KOMISJA EUROPEJSKA Bruksela, dnia 6.11.2015 COM(2015) 566 final KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO I RADY w sprawie przekazywania danych osobowych z UE do Stanów Zjednoczonych na mocy dyrektywy 95/46/WE w następstwie wyroku Trybunału Sprawiedliwości w sprawie C-362/14 (Schrems)



KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO I RADY Przekazywanie danych osobowych z UE do Stanów Zjednoczonych na mocy dyrektywy 95/46/WE w następstwie wyroku Trybunału Sprawiedliwości w sprawie C-362/14 (Schrems) 1. Wprowadzenie: uchylenie decyzji w sprawie bezpiecznego przekazywania danych W swoim wyroku z dnia 6 października 2015 r. w sprawie C-362/14 (Schrems) Trybunał Sprawiedliwości Unii Europejskiej (zwany dalej: „Trybunałem Sprawiedliwości” lub „Trybunałem”) potwierdził znaczenie praw podstawowych w kontekście ochrony danych osobowych, zgodnie z zapisem w Karcie praw podstawowych UE, również w sytuacjach przekazywania takich danych poza UE. Przekazywanie danych osobowych jest zasadniczym elementem stosunków transatlantyckich. UE i USA są dla siebie wzajemnie najważniejszymi partnerami handlowymi, a przekazywanie danych w coraz większym stopniu stanowi integralną część wymiany handlowej. Aby ułatwić przepływ danych przy jednoczesnym zapewnieniu wysokiego poziomu ochrony danych osobowych, Komisja uznała adekwatność ram prawnych „bezpiecznej przystani”, przyjmując decyzję Komisji 2000/520/WE z dnia 20 lipca 2000 r. (zwaną dalej „decyzją w sprawie bezpiecznego przekazywania danych”). W decyzji tej, opartej na art. 25 ust. 6 dyrektywy 95/46/WE, Komisja uznała, że zasady ochrony prywatności w ramach „bezpiecznej przystani” oraz odnoszące się do nich najczęściej zadawane pytania (NZP) wydane przez Departament Handlu USA zapewniają adekwatny poziom ochrony do celów przekazywania danych osobowych z UE. W rezultacie dane osobowe mogą być swobodnie przekazywane z państw członkowskich UE do tych przedsiębiorstw w Stanach Zjednoczonych, które zobowiązały się do przestrzegania wspomnianych zasad, pomimo braku ogólnego prawa dotyczącego ochrony danych osobowych w Stanach Zjednoczonych. Funkcjonowanie ustaleń w zakresie „bezpiecznej przystani” opierało się na zobowiązaniach i samocertyfikacji uczestniczących przedsiębiorstw. Zobowiązanie się do przestrzegania zasad ochrony prywatności w ramach „bezpiecznej przystani” oraz NZP jest dobrowolne, jednak przepisy te są wiążące na mocy prawa USA dla tych podmiotów, które zobowiązały się do ich przestrzegania, a Federalna Komisja Handlu USA jest uprawniona do ich wyegzekwowania. W swoim wyroku z dnia 6 października 2015 r. Trybunał stwierdził nieważność decyzji w sprawie bezpiecznego przekazywania danych. W tym właśnie kontekście niniejszy komunikat ma na celu przedstawienie przeglądu narzędzi alternatywnych do celów transatlantyckiego przekazywania danych na mocy dyrektywy 95/46/WE w sytuacji braku decyzji w sprawie odpowiedniej ochrony danych osobowych. Opisano w nim również krótko konsekwencje wyroku dla innych wydanych przez Komisję decyzji w sprawie odpowiedniej ochrony danych osobowych. W swoim wyroku Trybunał wyjaśnił, że decyzja w sprawie odpowiedniej ochrony danych osobowych na mocy art. 25 ust. 6 dyrektywy 95/46/WE jest uzależniona od ustalenia przez Komisję, że w danym kraju trzecim poziom ochrony danych osobowych jest, jeśli nawet niekoniecznie identyczny, „merytorycznie równoważny” poziomowi gwarantowanemu na terytorium UE na mocy tej dyrektywy interpretowanej w świetle Karty praw podstawowych. W odniesieniu do decyzji w sprawie bezpiecznego przekazywania danych Trybunał orzekł, że nie zawierała ona wystarczających ustaleń Komisji dotyczących ograniczeń w zakresie dostępu amerykańskich organów publicznych do danych przekazywanych na mocy tej decyzji oraz dotyczących istnienia skutecznej ochrony prawnej przed taką ingerencją. W szczególności Trybunał wyjaśnił, że uregulowanie umożliwiające organom publicznym uzyskanie powszechnego dostępu do treści wiadomości elektronicznych należy uznać za naruszenie zasadniczej istoty prawa podstawowego do poszanowania życia prywatnego. Trybunał potwierdził ponadto, że nawet jeśli wydano decyzję w sprawie odpowiedniej ochrony danych osobowych na mocy art. 25 ust. 6 dyrektywy 95/46/WE, organy ochrony danych państw członkowskich nadal są uprawnione i zobowiązane do zbadania, w sposób całkowicie niezależny, czy przekazywanie danych do państwa trzeciego spełnia wymogi ustanowione w dyrektywie 95/46/WE, interpretowanej w świetle art. 7, 8 i 47 Karty praw podstawowych. Trybunał potwierdził jednak również, że jedynie Trybunał Sprawiedliwości może stwierdzić nieważność unijnego aktu prawnego, takiego jak decyzja Komisji w sprawie odpowiedniej ochrony danych osobowych. Wyrok Trybunału opiera się na komunikacie Komisji z 2013 r. w sprawie funkcjonowania zasad bezpiecznego transferu danych osobowych z punktu widzenia obywateli UE i przedsiębiorstw z siedzibą w UE, w którym Komisja wskazała szereg niedociągnięć i określiła 13 zaleceń. Na podstawie tych zaleceń od stycznia 2014 r. Komisja prowadziła rozmowy z organami USA w celu wprowadzenia w życie nowych, poprawionych uzgodnień dotyczących transatlantyckiej wymiany danych. Po wyroku Trybunału Komisja jest nadal zaangażowana w realizację celu, jakim są odnowione i odpowiednie ramy prawne dla transatlantyckiego przekazywania danych osobowych. W związku z tym niezwłocznie wznowiła i zintensyfikowała ona rozmowy z rządem Stanów Zjednoczonych, aby zagwarantować, że wszelkie nowe uzgodnienia dotyczące transatlantyckiego przekazywania danych osobowych będą całkowicie spełniać normy ustanowione przez Trybunał. Wszelkie tego typu ramy prawne muszą zatem zawierać odpowiednie ograniczenia, zabezpieczenia i mechanizmy kontroli sądowej w celu zapewnienia stałej ochrony danych osobowych obywateli UE, także w odniesieniu do ewentualnego dostępu organów publicznych do celów egzekwowania prawa i do celów bezpieczeństwa narodowego. W międzyczasie przedstawiciele branży wyrazili obawy dotyczące możliwości dalszego przekazywania danych. Konieczne jest zatem sprecyzowanie warunków dalszego przekazywania danych. Skłoniło to Grupę Roboczą Art. 29 – niezależny organ doradczy, w którym zasiadają przedstawiciele wszystkich organów ochrony danych z państw członkowskich, jak również Europejski Inspektor Ochrony Danych – do wydania w dniu 16 października oświadczenia dotyczącego pierwszych wniosków z wyroku. Oprócz innych punktów oświadczenie zawierało następujące wskazówki dotyczące przekazywania danych: przekazywanie danych nie może już opierać się na unieważnionej decyzji Komisji w sprawie bezpiecznego przekazywania danych; w międzyczasie jako podstawę przekazywania danych można stosować standardowe klauzule umowne i wiążące reguły korporacyjne, choć Grupa Robocza Art. 29 stwierdziła także, że będzie nadal analizować wpływ wyroku na te alternatywne narzędzia. W oświadczeniu wezwano państwa członkowskie i instytucje UE do podjęcia rozmów z władzami Stanów Zjednoczonych w celu znalezienia rozwiązań prawnych i technicznych dla przekazywania danych; negocjacje dotyczące nowego bezpiecznego przekazywania danych mogłyby, w opinii Grupy Roboczej Art. 29, być częścią tego rozwiązania.

Grupa Robocza Art. 29 ogłosiła, że jeżeli do końca stycznia 2016 r. wraz z władzami Stanów Zjednoczonych nie uda się znaleźć właściwego rozwiązania, i w zależności od oceny alternatywnych narzędzi służących do przekazywania danych, organy ochrony danych podejmą wszelkie niezbędne i odpowiednie działania, w tym skoordynowane działania w zakresie egzekwowania przepisów. Ponadto Grupa Robocza Art. 29 podkreśliła współodpowiedzialność organów ochrony danych, instytucji UE, państw członkowskich i przedsiębiorstw za znalezienie trwałych rozwiązań służących wykonaniu wyroku Trybunału. W szczególności Grupa Robocza wezwała przedsiębiorstwa, aby rozważyły wprowadzenie wszelkich prawnych i technicznych rozwiązań ograniczających potencjalne ryzyko, jakie towarzyszy przekazywaniu przez nie danych. Niniejszy komunikat jest bez uszczerbku dla całkowicie niezależnych uprawnień i obowiązków organów ochrony danych w zakresie badania legalności takiego przekazywania danych. Nie ustanawia się w nim żadnych wiążących zasad i w pełni szanuje się uprawnienia sądów krajowych do interpretowania prawa właściwego oraz, w razie konieczności, do przedkładania Trybunałowi Sprawiedliwości wniosków o wydanie orzeczenia w trybie prejudycjalnym. Niniejszy komunikat nie może również stanowić podstawy dla żadnych indywidualnych lub zbiorowych uprawnień ani roszczeń. 2. Alternatywne podstawy przekazywania danych osobowych do USA Przepisy dotyczące międzynarodowego przekazywania danych określone w dyrektywie 95/46/WE opierają się na wyraźnym rozróżnieniu między, z jednej strony, przekazywaniem danych państwom trzecim zapewniającym odpowiedni stopień ochrony (art. 25 dyrektywy) oraz, z drugiej strony, przekazywaniem danych państwom trzecim, które uznano za niezapewniające odpowiedniego stopnia ochrony (art. 26 dyrektywy). Wyrok Schrems odnosi się do warunków, na jakich, zgodnie z art. 25 ust. 6 dyrektywy 95/46/WE, Komisja może stwierdzić, że państwo trzecie zapewnia odpowiedni stopień ochrony. W sytuacjach gdy państwo trzecie, do którego mają zostać przekazane dane osobowe z UE, uznano za niezapewniające odpowiedniego stopnia ochrony, art. 26 dyrektywy 95/46/WE przewiduje liczne alternatywne podstawy, w oparciu o które przekazanie danych może jednak nastąpić. W szczególności przekazanie można wykonać, gdy podmiot odpowiedzialny za określanie celów i sposobów przetwarzania danych osobowych („administrator danych”) zaleci odpowiednie zabezpieczenia, w rozumieniu art. 26 ust. 2 dyrektywy 95/46/WE, odnośnie do ochrony prywatności oraz podstawowych praw i wolności osoby oraz odnośnie do wykonywania odpowiednich praw. Takie środki zabezpieczające mogą w szczególności wynikać z odpowiednich klauzul umownych wiążących podmiot przekazujący dane i podmiot odbierający dane (zob. sekcja 2.1 i 2.2 poniżej). Obejmują one standardowe klauzule umowne wydane przez Komisję oraz, w odniesieniu do przekazywania danych między poszczególnymi podmiotami wchodzącymi w skład wielonarodowej grupy przedsiębiorstw, wiążące reguły korporacyjne dopuszczone przez organy ochrony danych; lub powołują się na jedno z odstępstw wyraźnie wymienionych w art. 26 ust. 1 lit. a) – f) dyrektywy 95/46/WE (zob. sekcja 2.3 poniżej). W porównaniu z decyzjami w sprawie odpowiedniej ochrony danych osobowych, które wynikają z ogólnej oceny systemu danego państwa trzeciego i mogą zasadniczo obejmować wszelkie przekazywanie danych do tego systemu, takie alternatywne podstawy przekazywania danych mają bardziej ograniczony zakres (dotyczą one wyłącznie konkretnych kategorii przepływów danych) oraz szerszy zasięg (nie zawsze są one ograniczone do danego kraju). Alternatywne podstawy przekazywania danych mają zastosowanie do przepływów danych wkonywanych przez poszczególne podmioty, które postanowiły skorzystać z jednej z możliwości przewidzianych w art. 26 dyrektywy 95/46/WE. Ponadto w przypadku gdy podmioty przekazujące dane i podmioty odbierające dane opierają przekazywanie danych na takich podstawach, oraz ponieważ nie mogą one polegać na zawartym w decyzji Komisji stwierdzeniu, że państwo trzecie zapewnia odpowiedni stopień ochrony, ponoszą one odpowiedzialność za zapewnienie, aby przekazywanie danych było zgodne z wymogami dyrektywy. 2.1. Rozwiązania umowne Jak podkreślono na forum Grupy Roboczej Art. 29, klauzule umowne – aby mogły stanowić wystarczające zabezpieczenia dla celów art. 26 ust. 2 dyrektywy 95/46/WE – „muszą zadowalająco rekompensować brak ogólnego poziomu odpowiedniej ochrony, poprzez włączenie istotnych elementów ochrony, których brakuje w danej konkretnej sytuacji”. W celu ułatwienia stosowania tych instrumentów w międzynarodowym przekazywaniu danych Komisja zatwierdziła, zgodnie z art. 26 ust. 4 dyrektywy, cztery zestawy standardowych klauzul umownych, które uważa się za spełniające wymagania określone w art. 26 ust. 2 dyrektywy. Dwa zestawy klauzul wzorcowych odnoszą się do przekazywania danych między administratorami danych, natomiast pozostałe dwa zestawy dotyczą przekazywania danych między administratorem danych a przetwarzającym działającym na jego polecenie. W każdym z tych zestawów klauzul wzorcowych ustanowiono odnośne obowiązki podmiotów przekazujących dane i podmiotów odbierających dane. Obejmują one obowiązki w zakresie, między innymi, środków bezpieczeństwa, informacji przekazywanych osobie, której dane dotyczą, w przypadku przekazywania danych szczególnie chronionych, powiadomienia podmiotu przekazującego dane o wnioskach o umożliwienie dostępu składanych przez organy ścigania państw trzecich lub o wszelkim przypadkowym lub nieuprawnionym dostępie, oraz w zakresie praw osób, których dane dotyczą, do dostępu do swoich danych osobowych, ich sprostowania lub usunięcia, jak również zasad odszkodowania dla osoby, której dane dotyczą, w przypadku szkody wynikającej z naruszenia przez którąkolwiek ze stron standardowych klauzul umownych. Klauzule wzorcowe zawierają również wymóg, aby obywatel UE, którego dane dotyczą, miał możliwość dochodzenia przed organem ochrony danych lub sądem państwa członkowskiego, w którym ma swoją siedzibę podmiot przekazujący dane, praw przysługujących im na mocy klauzul umownych jako beneficjentowi będącemu osobą trzecią. Te prawa i obowiązki są koniecznym elementem klauzul umownych, ponieważ - w przeciwieństwie do sytuacji, w której Komisja ustaliła, że stopień ochrony danych jest odpowiedni - nie można zakładać, że podmiot odbierający dane w państwie trzecim jest objęty odpowiednim systemem nadzoru i egzekwowania przepisów o ochronie danych. Ponieważ w państwach członkowskich decyzje Komisji wiążą w całości, włączenie do umowy standardowych klauzul umownych oznacza, że organy krajowe są co do zasady zobowiązane do zaakceptowania tych klauzul. W konsekwencji nie mogą one odmówić przekazania danych państwu trzeciemu tylko na tej podstawie, że wspomniane standardowe klauzule umowne nie oferują wystarczających zabezpieczeń. Pozostaje to bez uszczerbku dla prawa państw członkowskich do zbadania tych klauzul w świetle wymogów określonych przez Trybunał w wyroku Schrems. W przypadku wątpliwości powinny one wnieść sprawę do sądu krajowego, który z kolei może zwrócić się z wnioskiem do Trybunału Sprawiedliwości o wydanie orzeczenia w trybie prejudycjalnym. W większości przepisów państw członkowskich transponujących dyrektywę 95/45/WE nie istnieje wymóg uzyskania uprzedniego zezwolenia krajowego na przekazanie danych, jednak niektóre państwa członkowskie stosują system powiadamiania lub wcześniejszej zgody na wykorzystanie standardowych klauzul umownych. W takim przypadku krajowy organ ochrony danych musi porównać klauzule faktycznie zawarte w spornej umowie ze standardowymi klauzulami umownymi i sprawdzić, czy nie wprowadzono żadnych zmian. Jeśli klauzule zastosowano bez poprawek, zezwolenie jest zasadniczo udzielane automatycznie. Jak wyjaśniono poniżej (zob. sekcja 2.4), pozostaje to bez uszczerbku dla dodatkowych środków, jakie podmiot przekazujący dane może być zmuszony podjąć, w szczególności w następstwie informacji otrzymanych od podmiotu odbierającego dane na temat zmian w systemie prawnym danego państwa trzeciego, które mogą uniemożliwiać podmiotowi odbierającemu dane wypełnienie jego zobowiązań umownych. W przypadku stosowania standardowych klauzul umownych nadzorem organów ochrony danych objęte są zarówno podmioty przekazujące dane, jak i - w wyniku zobowiązania się do przestrzegania postanowień umowy - podmioty otrzymujące dane. Przyjęcie standardowych klauzul umownych nie uniemożliwia przedsiębiorstwom stosowania innych instrumentów, takich jak ustalenia umowne ad hoc, aby wykazać, że przekazują one dane z zastosowaniem wystarczających zabezpieczeń w rozumieniu art. 26 ust. 2 dyrektywy 95/46/WE. Zgodnie z art. 26 ust. 2 dyrektywy muszą one być każdorazowo zatwierdzane przez organy krajowe. Niektóre organy ochrony danych opracowały wytyczne w tej dziedzinie, w tym w formie standardowych umów lub szczegółowych zasad, jakimi należy się kierować przy sporządzaniu klauzul dotyczących przekazywania danych. Większość umów stosowanych obecnie przez przedsiębiorstwa do celów międzynarodowego przekazywania danych oparta jest jednak na zatwierdzonych przez Komisję standardowych klauzulach umownych. 2.2. Wewnątrzgrupowe przekazywanie danych

Aby przekazać dane osobowe z UE do oddziałów zlokalizowanych poza UE zgodnie z wymogami określonymi w art. 26 ust. 2 dyrektywy 95/46/WE, przedsiębiorstwo wielonarodowe może przyjąć wiążące reguły korporacyjne. Tego rodzaju kodeks postępowania można stosować wyłącznie w odniesieniu do przekazywania danych w obrębie grupy przedsiębiorstw. Zastosowanie wiążących reguł korporacyjnych umożliwia swobodny przepływ danych osobowych między poszczególnymi podmiotami grupy przedsiębiorstw na całym świecie, bez konieczności ustaleń umownych między każdym podmiotem z osobna, przy jednoczesnym zapewnieniu przestrzegania przez całą grupę tego samego wysokiego poziomu ochrony danych osobowych za pomocą jednego zestawu wiążących i dających się egzekwować zasad. Jednolity zestaw zasad zapewnia prostszy i bardziej skuteczny system, który pracownicy mogą łatwiej wdrożyć, a osoby, których dane dotyczą, lepiej zrozumieć. W celu wsparcia przedsiębiorstw w opracowywaniu wiążących reguł korporacyjnych Grupa Robocza Art. 29 objaśniła wymogi merytoryczne (np. zasadę celowości, bezpieczeństwo przetwarzania, przejrzyste informowanie osób, których dane dotyczą, ograniczenia w zakresie dalszego przekazywania danych poza grupę, indywidualne prawa dostępu, sprostowania i sprzeciwu) oraz proceduralne (np. audyty, kontrolę zgodności, rozpatrywanie skarg, współpracę z organami ochrony danych, odpowiedzialność oraz jurysdykcję) dotyczące wiążących reguł korporacyjnych, oparte na unijnych standardach ochrony danych. Zasady te nie tylko wiążą wszystkich członków grupy przedsiębiorstw, lecz, podobnie jak standardowe klauzule umowne, są także możliwe do wyegzekwowania na drodze prawnej w UE. Osoby, których dane osobowe są przetwarzane przez dany podmiot grupy, są uprawnione, jako beneficjenci będący osobami trzecimi, do wyegzekwowania przestrzegania wiążących reguł korporacyjnych poprzez złożenie skargi do organu ochrony danych i wniesienie sprawy przed sądem danego państwa członkowskiego. Oprócz tego w wiążących regułach korporacyjnych należy wyznaczyć podmiot na terenie UE, który przyjmuje odpowiedzialność za naruszenie zasad przez któregokolwiek członka grupy spoza UE, związanego tymi zasadami. W większości państw członkowskich przepisy krajowe przyjęte w celu transpozycji dyrektywy przewidują, że przekazywanie danych na podstawie wiążących reguł korporacyjnych musi być zatwierdzone przez organ ochrony danych w każdym państwie członkowskim, z którego przedsiębiorstwo wielonarodowe zamierza przekazać dane. W celu ułatwienia i przyspieszenia tego procesu, a także aby zmniejszyć obciążenie dla wnioskodawców, Grupa Robocza Art. 29 określiła standardowy formularz wniosku oraz szczegółową procedurę współpracy pomiędzy zainteresowanymi organami ochrony danych, która obejmuje wyznaczenie jednego „głównego organu” odpowiedzialnego za przeprowadzenie procedury zatwierdzenia. 2.3. Odstępstwa Dane osobowe można przekazywać podmiotom mającym siedzibę w kraju trzecim nawet w sytuacji braku decyzji w sprawie odpowiedniej ochrony danych osobowych na mocy art. 25 ust. 6 dyrektywy 95/46/WE i niezależnie od zastosowania standardowych klauzul umownych lub wiążących reguł korporacyjnych, o ile ma zastosowanie jedno z odstępstw określonych w art. 26 ust. 1 dyrektywy 95/46/WE: osoba, której dane dotyczą, udzieliła jednoznacznej zgody na proponowane przekazanie danych; przekazanie danych jest konieczne dla realizacji umowy między osobą, której dane dotyczą, i administratorem danych lub dla wprowadzenia w życie ustaleń poprzedzających zawarcie umowy, przyjętych na wniosek osoby, której dane dotyczą; przekazanie danych jest konieczne dla zawarcia lub wykonania umowy zawartej w interesie osoby, której dane dotyczą, między administratorem danych i osobą trzecią; przekazanie danych jest konieczne lub wymagane przez prawo z ważnych względów publicznych lub w celu ustanowienia, wykonania lub obrony tytułu prawnego; przekazanie jest konieczne dla ochrony żywotnych interesów osoby, której dane dotyczą; przekazanie danych następuje z rejestru, który ma służyć, zgodnie z obowiązującymi przepisami ustawowymi lub wykonawczymi, za źródło informacji dla ogółu społeczeństwa, udostępnionego do konsultacji obywateli i każdej osoby wykazującej uzasadniony interes, o ile warunki określone przez prawo odnośnie do wglądu do takiego rejestru zostały w danym przypadku spełnione.

Względy te stanowią odstępstwo od ogólnego zakazu przekazywania danych osobowych podmiotom mającym siedzibę w państwie trzecim niezapewniającym odpowiedniego stopnia ochrony. Podmiot przekazujący dane nie musi gwarantować zapewnienia odpowiedniej ochrony przez podmiot odbierający dane, i zazwyczaj nie będzie potrzebował uprzedniego zezwolenia na przekazanie danych od właściwych organów krajowych. Niemniej jednak, zdaniem Grupy Roboczej Art. 29, odstępstwa te muszą podlegać wykładni zawężającej ze względu na ich szczególny charakter. Grupa Robocza Art. 29 wydała kilka niewiążących wytycznych w sprawie stosowania art. 26 ust. 1 dyrektywy 95/46/WE. Obejmują one szereg „najlepszych praktyk” opracowanych w celu ukierunkowania działań w zakresie egzekwowania przepisów prowadzonych przez organy ochrony danych. W szczególności Grupa Robocza zaleca, aby przekazywanie danych osobowych, które można zaliczyć do kategorii powtarzających się, masowych lub strukturalnych, odbywało się z zastosowaniem wystarczających zabezpieczeń i, w miarę możliwości, w określonych ramach prawnych, takich jak standardowe klauzule umowne lub wiążące reguły korporacyjne. W następstwie stwierdzenia nieważności decyzji w sprawie bezpiecznego przekazywania danych w niniejszym komunikacie Komisja będzie odwoływać się jedynie do tych odstępstw, które wydają się szczególnie istotne dla przekazywania danych w kontekście handlowym. 2.3.1. Przekazywanie danych konieczne dla realizacji umowy lub dla wprowadzenia

w życie ustaleń poprzedzających zawarcie umowy na wniosek osoby, której dane dotyczą (art. 26 ust. 1 lit. b)) Odstępstwo to może być stosowane na przykład w kontekście rezerwacji hotelowej lub przekazywania informacji o płatnościach do państwa trzeciego w celu dokonania przelewu bankowego. Grupa Robocza Art. 29 uważa jednak, że we wszystkich tych przypadkach musi istnieć „ścisłe i zasadnicze powiązanie”, „bezpośredni i obiektywny związek” między osobą, której dane dotyczą, i celem umowy lub ustaleń poprzedzających zawarcie umowy (test konieczności). Ponadto odstępstwo nie może być stosowane do przekazywania dodatkowych informacji, które nie są konieczne do celów przekazania danych, ani do przekazywania danych w celu innym niż wykonanie umowy (na przykład w celach prowadzenia działań marketingowych po wykonaniu umowy). Co się tyczy ustaleń poprzedzających zawarcie umowy, Grupa Robocza Art. 29 wyraziła pogląd, że obejmują one jedynie kontakty zainicjowane przez osobę, której dane dotyczą (na przykład pytanie o informacje na temat o danej usługi), ale nie kontakty wynikające z działań marketingowych podjętych przez administratora danych. 2.3.2. Przekazywanie danych konieczne dla zawarcia lub wykonania umowy zawartej między administratorem danych i osobą trzecią, w interesie osoby, której dane dotyczą (art. 26 ust. 1 lit. c)) Odstępstwo to może być stosowane na przykład gdy osoba, której dane dotyczą, jest beneficjentem międzynarodowego przelewu bankowego, lub gdy biuro podróży przekazuje przewoźnikowi lotniczemu szczegóły dotyczące rezerwacji lotu. Zastosowanie ma ponownie test konieczności, który w tym przypadku wymaga istnienia ścisłego i zasadniczego związku między interesem osoby, której dane dotyczą, i celem umowy. 2.3.3. Przekazywanie danych konieczne lub wymagane przez prawo z ważnych względów publicznych lub w celu ustanowienia, wykonania lub obrony tytułu prawnego (art. 26 ust. 1 lit. d)) Odstępstwo to może być stosowane na przykład gdy przedsiębiorstwo musi przekazać dane w ramach swojej linii obrony przed roszczeniem prawnym lub w kontekście dochodzenia roszczeń na drodze sądowej lub przed organem publicznym. Podobnie jak w przypadku dwóch poprzednich odstępstw, również to podlega testowi konieczności: konieczne jest istnienie ścisłego powiązania z postępowaniem sądowym lub postępowaniem prawnym (w tym administracyjnym). Zdaniem Grupy Roboczej Art. 29 odstępstwo to może zostać zastosowane tylko w przypadku zgodności z jakimikolwiek przepisami międzynarodowymi dotyczącymi współpracy w postępowaniach karnych lub cywilnych dotyczących kategorii przekazywania danych, zwłaszcza jeśli wynikają one z przepisów konwencji haskiej z dnia 18 marca 1970 r. („konwencja o przeprowadzaniu dowodów”). 2.3.4. Jednoznaczna wcześniejsza zgoda osoby, której dane dotyczą, na proponowane przekazanie danych (art. 26 ust. 1 lit. a)) Zgoda może stanowić podstawę przekazywania danych, należy jednak wziąć pod uwagę szereg okoliczności. Ponieważ zgoda musi być udzielona na „proponowane” przekazanie danych, wymaga to udzielenia wcześniejszej zgody na konkretne przekazanie (lub konkretną kategorię przekazania). W przypadku wyrażania zgody przez internet, Grupa Robocza Art. 29 zaleciła stosowanie pól do samodzielnego zaznaczania (zamiast domyślnie zaznaczonych pól). Ponieważ zgoda musi być jednoznaczna, jakiekolwiek wątpliwości co do tego, czy faktycznie została ona udzielona sprawiłyby, że odstępstwo nie miałoby zastosowania. Będzie to prawdopodobnie oznaczało, że liczne sytuacje, w których zgoda jest co najwyżej dorozumiana (na przykład kiedy dana osoba została poinformowana o przekazaniu danych i nie zgłosiła zastrzeżeń) nie kwalifikowałyby się do objęcia tym odstępstwem. Można by je jednak zastosować w przypadku, gdy podmiot przekazujący jest w bezpośrednim kontakcie z osobą, której dane dotyczą, gdy możliwe jest dostarczenie niezbędnych informacji i uzyskanie jednoznacznej zgody. Ponadto, zgodnie z art. 2 lit. h) dyrektywy 95/46/WE, zgoda musi być dobrowolna, konkretna i świadoma. Zdaniem Grupy Roboczej Art. 29 pierwszy wymóg oznacza, że wszelka „presja” może unieważnić zgodę. Jest to szczególnie istotne w kontekście zatrudnienia, gdzie stosunek podporządkowania i wpisana w zatrudnienie zależność pracownika z reguły podważa możliwość powoływania się na zgodę. Ogólnie rzecz biorąc, nie można uznać za ważną zgody wyrażonej przez osobę, której dane dotyczą, która nie miała sposobności dokonać faktycznego wyboru lub która została postawiona przed faktem dokonanym. Niezwykle istotne jest, aby osoby, których dane dotyczą, były właściwie informowane z wyprzedzeniem o tym, że dane mogą zostać przekazane poza UE, do którego państwa trzeciego i na jakich warunkach (cel przekazania, tożsamość i szczegóły dotyczące odbiorcy(-ów) itd.). W informacjach tych należy uwzględnić konkretne ryzyko, że dane tych osób zostaną przekazane do państwa trzeciego niezapewniającego odpowiedniego stopnia ochrony. Ponadto, jak zauważa Grupa Robocza Art. 29, wycofanie zgody przez osobę, której dane dotyczą, nie ma co prawda mocy wstecznej, ale co do zasady powinno uniemożliwić dalsze przetwarzanie danych osobowych. W świetle tych ograniczeń Grupa Robocza Art. 29 uważa, że zgoda najprawdopodobniej nie zapewni odpowiednich długoterminowych ram dla administratorów danych w przypadku przekazywania o charakterze strukturalnym.