2001D0497 — PT — 01.04.2005 — 001.001

Este documento constitui um instrumento de documentação e não vincula as instituições

►B DECISÃO DA COMISSÃO de 15 de Junho de 2001 relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros, nos termos da Directiva 95/46/CE [notificada com o número C(2001) 1539] (Texto relevante para efeitos do EEE) (2001/497/CE) (JO L 181, 4.7.2001, p.19)

Alterado por:









▼B

DECISÃO DA COMISSÃO

de 15 de Junho de 2001

relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros, nos termos da Directiva 95/46/CE

[notificada com o número C(2001) 1539]

(Texto relevante para efeitos do EEE)

(2001/497/CE)







A COMISSÃO DAS COMUNIDADES EUROPEIAS, Tendo em conta o Tratado que institui a Comunidade Europeia, Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados ( 1 ), e, nomeadamente, o n.o 4 do seu artigo 26.o, Considerando o seguinte: (1) Nos termos da Directiva 95/46/CE, os Estados-Membros devem assegurar que a transferência de dados pessoais para um país terceiro só possa realizar-se se o país terceiro em questão garantir um nível adequado de protecção de dados e se as leis dos Estados-Membros, conformes com a directiva, tiverem sido respeitadas antes de efectuada a transferência. (2) Todavia, o n.o 2 do artigo 26.o da Directiva 95/46/CE prevê que os Estados-Membros possam permitir a transferência ou um conjunto de transferências de dados pessoais para países terceiros que não assegurem um nível de protecção adequado, se se verificarem determinadas garantias. Tais garantias podem, nomeadamente, resultar de cláusulas contratuais adequadas. (3) Nos termos da Directiva 95/46/CE, o nível de protecção dos dados pessoais deve ser apreciado em função de todas as circunstâncias que rodeiem a transferência ou o conjunto de transferências de dados. O Grupo de Trabalho de protecção das pessoas no que diz respeito ao tratamento de dados pessoais, criado pela referida directiva ( 2 ), apresentou orientações destinadas a contribuir para essa apreciação ( 3 ). (4) O n.o 2 do artigo 26.o da Directiva 95/46/CE, que oferece flexibilidade a organizações que desejem transferir dados para países terceiros, e o n.o 4 do artigo 26.o, que prevê cláusulas contratuais-tipo, são essenciais para manter o fluxo necessário de dados pessoais entre a Comunidade Europeia e países terceiros sem encargos desnecessários para os operadores económicos. As referidas normas são particularmente importantes considerando a improbabilidade, a curto e mesmo a médio prazo, de a Comissão adoptar a verificação do nível de adequação em virtude do n.o 6 do artigo 25.o relativamente a mais do que um número limitado de países. (5) As referidas cláusulas contratuais-tipo, em conjunção com o artigo 25.o e o n.o 1 e o n.o 2 do artigo 26.o, são apenas uma de várias possibilidades oferecidas pela Directiva 95/46/CE para assegurar a licitude da transferência de dados pessoais para países terceiros. A sua incorporação nos contratos vem facilitar muito as transferências de dados pessoais para países terceiros efectuadas pelas organizações. As cláusulas contratuais-tipo só se referem à protecção dos dados. O exportador de dados e o importador de dados podem incluir outras cláusulas sobre questões correlacionadas comercialmente, tais como cláusulas sobre assistência mútua em caso de litígio com o titular dos dados ou com a autoridade de controlo, que considerem pertinentes para o contrato desde que não contradigam as cláusulas contratuais-tipo. (6) A presente decisão não obsta a que os Estados-Membros possam conceder autorizações em conformidade com as disposições nacionais nos termos do n.o 2 do artigo 26.o da Directiva 95/46/CE. As circunstâncias de transferências específicas podem exigir que os responsáveis pelo tratamento apresentem garantias diferentes nos termos do n.o 2 do artigo 26.o Em qualquer caso, a presente decisão só tem o efeito de impedir que os Estados-Membros não reconheçam que as cláusulas contratuais nela previstas oferecem garantias adequadas, não tendo, portanto, quaisquer efeitos sobre outras cláusulas contratuais. (7) O alcance da presente decisão é, tão só, o de estatuir que as cláusulas em anexo podem ser utilizadas por um responsável pelo tratamento estabelecido na Comunidade, de modo a representar garantias suficientes nos termos do n.o 2 do artigo 26.o da Directiva 95/46/CE. A transferência de dados pessoais para países terceiros é uma operação de tratamento num Estado-Membro cuja licitude está sujeita à lei nacional. As autoridades de controlo dos Estados-Membros, no exercício das suas funções e competência, nos termos do artigo 28.o da Directiva 95/46/CE, continuarão a ser competentes para apreciar se o exportador de dados respeitou a lei nacional de execução da Directiva 95/46/CE e, em particular, quaisquer regras específicas no que respeita ao dever de prestar informações nos termos da directiva. (8) A presente decisão não abrange a transferência de dados pessoais efectuada por responsáveis pelo tratamento estabelecidos na Comunidade para destinatários estabelecidos fora do território da Comunidade que apenas processem os referidos dados. Essas transferências não exigem as mesmas garantias, pois aquele que processa dados age exclusivamente por conta do responsável pelo tratamento. A Comissão considera necessário abordar a questão deste tipo de transferência numa decisão posterior. (9) Convém prever as informaçõers mínimas que as partes devem especificar no contrato relativo à transferência. Os Estados-Membros conservam o poder de especificar quais as informações que as partes devem fornecer. A forma de funcionamento da presente decisão será revista à luz da experiência. (10) No futuro, a Comissão também considerará se as cláusulas contratuais-tipo apresentadas pelas organizações empresariais e por outros interessados directos oferecem garantias adequadas em conformidade com a Directiva 95/46/CE. (11) Embora as partes possam acordar livremente as regras de protecção de dados há determinados princípios de protecção de dados que têm que ser sempre aplicados. (12) Os dados só devem poder ser tratados, e depois utilizados ou comunicados, para determinados fins e não devem ser conservados mais tempo do que o necessário. (13) Nos termos do artigo 12.o da Directiva 95/46/CE, a pessoa a quem os dados se referem deve ter o direito de aceder a todos os dados que lhe digam respeito e, se for o caso, à rectificação, apagamento ou bloqueio de determinados dados. (14) As transferências subsequentes de dados pessoais para outros responsáveis estabelecidos em países terceiros só devem ser permitidas em determinadas condições, nomeadamente a fim de assegurar que os titulares de dados recebem a informação adequada e têm a oportunidade de objectar ou de retirar o consentimento. (15) Para além de apreciar se as transferências para países terceiros são efectuadas em conformidade com a lei nacional, as autoridades de controlo devem ter também um papel fundamental neste mecanismo contratual, assegurando a protecção adequada dos dados após a sua transferência. Em determinadas circunstâncias, as autoridades de controlo dos Estados-Membros devem conservar o poder de proibir ou suspender uma transferência ou um conjunto de transferências de dados fundadas nas cláusulas contratutais-tipo, nos casos excepcionais em que se determine que uma transferência de base contratual pode ter um efeito adverso substancial nas garantias que dão protecção adequada às pessoas a quem se referem os dados. (16) Às cláusulas contratuais-tipo deve poder ser dada execução não apenas pelas organizações signatárias do contrato, mas também pelos titulares dos dados, em particular sempre que os titulares dos dados sofrerem quaisquer danos em consequência da violação do contrato. (17) A lei que rege o contrato deve ser a lei do Estado-Membro no qual se tiver estabelecido o exportador de dados, possibilitando a terceiros beneficiários promover a execução do contrato. Os titulares dos dados devem poder ser representados por associações ou outras organizações se assim o desejarem e a lei nacional o permitir. (18) A fim de reduzir as dificuldades de ordem prática dos titulares dos dados que pretendam fazer valer os seus direitos no âmbito das cláusulas contratuais-tipo, o exportador de dados e o importador de dados devem ser solidariamente responsáveis por danos resultantes de qualquer violação das disposições abrangidas na cláusula do terceiro beneficiário, de forma a que os titulares dos dados tenham maior facilidade em obter reparação. (19) O titular dos dados tem o direito de accionar e de obter indemnização do exportador de dados, do importador de dados ou de ambos, por quaisquer danos resultantes de qualquer acto incompatível com os deveres resultantes das cláusulas contratuais-tipo. Mas não devem ser tidos por responsáveis se provarem que o prejuízo não lhes é imputável. (20) A responsabilidade solidária não é extensível às disposições não abrangidas pela cláusula do terceiro beneficiário e não deve implicar o ressarcimento por um dos responsáveis dos danos resultantes do tratamento ilícito efectuado pelo outro. Embora o direito de regresso entre responsáveis, não constituindo uma exigência para garantir um nível adequado de protecção aos titulares dos dados, pudesse não ter lugar, está incluído nas cláusulas contratuais-tipo para efeitos de esclarecimento e para evitar a necessidade de as partes negociarem caso a caso cláusulas de indemnização. (21) As partes devem acordar, para o caso de litígio entre as partes e o titular dos dados que não possa ser resolvido de forma amigável e sempre que o titular dos dados invocar a cláusula de terceiro beneficiário, a possibilidade, para o titular dos dados de recorrer a mediação ou arbitragem, a menos que prefira recorrer aos tribunais. A referida possibilidade depende concretamente da existência de sistemas fiáveis e reconhecidos de mediação e arbitragem. No caso de as autoridades de controlo proporcionarem serviços de mediação deve prever-se tal possibilidade. (22) O grupo de protecção das pessoas no que diz respeito ao tratamento de dados pessoais, criado nos termos do artigo 29.o da Directiva 95/46/CE, emitiu parecer sobre o nível de protecção oferecido pelas cláusulas contratuais-tipo anexadas à presente decisão, que foi tomado em consideração na sua elaboração ( 4 ). (23) As medidas previstas na presente decisão estão em conformidade com o parecer do comité criado pelo artigo 31.o da Directiva 95/46/CE, Considerando o seguinte: ADOPTOU A PRESENTE DECISÃO:







Artigo 1.o

As cláusulas contratuais-tipo constantes do anexo são consideradas como oferecendo garantias adequadas de protecção da vida privada e dos direitos e liberdades fundamentais do indivíduo bem como do exercício dos direitos correspondentes, nos termos do n.o 2 do artigo 26.o da Directiva 95/46/CE.

▼M1

Os responsáveis pelo tratamento de dados podem escolher entre os conjuntos I e II constantes do anexo. Não podem, porém, alterar as cláusulas nem combinar separadamente as cláusulas ou os conjuntos.

▼B

Artigo 2.o

A presente decisão só diz respeito à adequação do nível de protecção facultado pelas cláusulas contratuais-tipo no que respeita à transferência dos dados pessoais previstos no anexo. Não afecta a aplicação de outras normas de execução nacionais da Directiva 95/46/CE relativas ao tratamento de dados pessoais nos Estados-Membros.

A presente decisão não é aplicável à transferência de dados pessoais por emissores estabelecidos na Comunidade a receptores estabelecidos fora da Comunidade cuja actividade seja só a do seu processamento.

Artigo 3.o

Para efeitos da presente decisão:

a) São aplicáveis as definições da Directiva 95/46/CE;

b) Entende-se por «categorias especiais de dados» os dados referidos no artigo 8.o da directiva;

c) Entende-se por «autoridade de controlo» a entidade referida no artigo 28.o da directiva;

d) Entende-se por «exportador de dados» o responsável pela transmissão de dados pessoais;

e) Entende-se por «importador de dados» o responsável pela recepção de dados pessoais que tenha acordado recebê-los do exportador para processamento nos termos da presente decisão.

Artigo 4.o

1. Sem prejuízo da sua competência para tomar medidas que garantam o cumprimento das disposições nacionais aprovadas para efeitos do disposto nos capítulos II, III, V e VI da Directiva 95/46/CE as autoridades competentes dos Estados-Membros podem, no exercício da sua competência proibir ou suspender o fluxo de dados para países terceiros, a fim de proteger as pessoas no que diz respeito ao tratamento dos seus dados pessoais, nos casos em que:

a) A lei a que o importador de dados está sujeito lhe imponha o dever de não observar as regras pertinentes de protecção de dados e tal exigência ultrapasse as restrições necessárias ao funcionamento de uma sociedade democrática tal como disposto no artigo 13.o da Directiva 95/46/CE, sempre que a referida exigência possa ter um efeito adverso substancial nas garantias facultadas pelas cláusulas contratuais-tipo, ou

b) Seja determinado, pela entidade competente que o importador de dados não respeitou as cláusulas contratuais, ou

c) Existam fortes probabilidades para supor que as cláusulas contratuais-tipo em anexo não estão a ser ou não virão a ser cumpridas e que a continuação da transferência dos dados constitui um risco iminente de graves prejuízos para os titulares dos dados.

▼M1

2. Para efeitos do n.o 1, sempre que o responsável pelo tratamento de dados alegar garantias adequadas com base nas cláusulas contratuais típicas do conjunto II do anexo, as autoridades competentes para a protecção de dados podem exercer os respectivos poderes previstos para proibir ou suspender os fluxos de dados se:

a) O importador de dados se recusar a cooperar de boa fé com as autoridades de protecção de dados ou a cumprir as respectivas obrigações que decorrem claramente do contrato;

b) O exportador de dados se recusar a adoptar as medidas apropriadas para executar o contrato contra o importador de dados no prazo normal de um mês, após o aviso da autoridade competente responsável pela protecção dos dados ao exportador de dados.

Para efeitos da primeira alínea, a recusa de má fé ou a recusa de execução do contrato por parte do importador de dados não inclui os casos em que a cooperação ou a execução entrariam em conflito com as exigências da legislação nacional aplicáveis ao importador de dados, que não ultrapassem o necessário numa sociedade democrática com base num dos interesses enunciados no n.o 1 do artigo 13.o da Directiva 95/46/CE, em especial as sanções, fixadas em instrumentos internacionais e/ou nacionais, a obrigação de apresentar declarações de rendimentos ou relativas ao branqueamento de capitais.

Para efeitos da alínea a) do n.o 1, a cooperação pode incluir, nomeadamente, a apresentação dos meios de processamento de dados do importador para auditoria ou a obrigação de respeitar o parecer da autoridade de controlo da protecção de dados da Comunidade.

3. A proibição ou suspensão, nos termos dos n.os 1 e 2, serão levantadas assim que os seus fundamentos deixem de se verificar.

4. Sempre que os Estados-Membros adoptarem medidas nos termos dos n.os 1, 2 e 3, devem informar sem demora a Comissão, que do facto dará conhecimento aos outros Estados-Membros.

▼B

Artigo 5.o

►M1 A Comissão apreciará da aplicação da presente decisão, com base nas informações disponíveis, três anos após a sua notificação e após a notificação das eventuais alterações aos Estados-Membros. ◄ Apresentará o relatório respectivo ao comité criado pelo artigo 31.o da Directiva 95/46/CE. O relatório incluirá, quaisquer elementos de prova que possam influenciar a apreciação, no que se refere ao nível adequado de protecção das cláusulas contratuais-tipo em anexo, e quaisquer elementos de prova de que a presente decisão está a ser aplicada de forma discriminatória.

Artigo 6.o

A presente decisão produz efeitos a partir de 3 de Setembro de 2001.

Artigo 7.o

Os Estados-Membros são os destinatários da presente decisão.









ANEXO

▼M1

CONJUNTO I

▼B

Apêndice 1

às cláusulas contratuais-tipo

Apêndice 2

Às cláusulas contratuais-tipo

Princípios imperativos de protecção de dados referidos no primeiro parágrafo da alínea b) da cláusula 5

Estes princípios de protecção de dados devem ser lidos e interpretados à luz das disposições da Directiva 95/46/CE.

Aplicam-se sem prejuízo das normas imperativas de direito nacional a que está sujeito o importador de dados, que não ultrapassem o que é necessário numa sociedade democrática, no âmbito de qualquer dos interesses previstos no n.o 1 do artigo 13.o da Directiva 95/46/CE, quer dizer, de normas que se configurem como medidas de protecção necessária da segurança nacional, da defesa, da segurança pública, medidas de prevenção, investigação, detecção e perseguição de actividades criminosas ou com violação da ética de profissões sujeitas a regulamentação, medidas de protecção de importantes interesses económicos e financeiros do Estado ou medidas de protecção do titular dos dados ou dos direitos e liberdades de terceiros.

1. Limitação da finalidade do tratamento: os dados só devem ser tratados e subsequentemente usados ou comunicados para os fins específicos indicados no apêndice 1 às cláusulas contratuais-tipo. Os dados não devem ser conservados por mais tempo do que o necessário para esse mesmo fim.

2. Proporcionalidade e qualidade dos dados: os dados devem ser exactos e, sendo necessário, actualizados. Devem ser adequados, pertinentes e não excessivos em relação às finalidades para os quais são transferidos ou posteriormente tratados.

3. Transparência: os titulares dos dados devem ser informados da finalidade do tratamento dos dados e da identidade do responsável pelo seu tratamento no país terceiro, devendo-lhes também ser fornecida qualquer informação necessária para garantir a legitimidade do tratamento, a menos que essa informação já tenha sido prestada pelo exportador de dados.

4. Segurança e confidencialidade: o responsável pelo tratamento dos dados deve tomar as medidas de segurança de carácter técnico e organizativo adequadas ao risco que o tratamento dos dados apresenta, como por exemplo o relativo ao acesso não permitido. Qualquer pessoa agindo sob a autoridade do responsável pelo tratamento dos dados, incluindo um subcontratante, não deve proceder ao tratamento de dados sem instruções do responsável.

5. Direitos de acesso, rectificação, apagamento e bloqueio: tal como disposto no artigo 12.o da Directiva 95/46/CE, o titular dos dados deve ter acesso a todos os dados tratados que lhe digam respeito e, consoante o caso, obter a rectificação, o apagamento ou o bloqueio dos dados cujo tratamento não cumpra o disposto nos princípios constantes do presente apêndice, nomeadamente devido ao carácter incompleto ou inexacto desses dados. Também pode opor-se ao tratamento de dados que lhe digam respeito, por razões preponderantes e legítimas relacionadas com a sua situação particular.

6. Restrições relativas a transferências subsequentes: as transferências subsequentes de dados pessoais do importador de dados para outro responsável estabelecido em país terceiro em que não haja garantias de protecção adequada ou não abrangido por decisão da Comissão nos termos do n.o 6 do artigo 25.o da Directiva 95/46/CE (transferências subsequentes) só podem efectuar-se se: a) Os titulares dos dados tiverem dado o seu consentimento inequívoco à transferência subsequente, no caso de estarem envolvidas categorias especiais de dados, ou, noutros casos, tiverem tido a oportunidade de se oporem. As informações mínimas a prestar aos titulares dos dados devem incluir, numa linguagem que lhes seja compreensível: — o objectivo da transferência subsequente, — a identificação do exportador de dados estabelecido na Comunidade, — a menção das categorias de outros destinatários dos dados e dos países de destino, e — a menção de que, depois da transferência subsequente, os dados podem ser tratados por um responsável estabelecido num país onde não haja um nível de protecção adequado da vida privada; ou b) O exportador de dados e o importador de dados tiverem dado o seu acordo quanto à adesão de outro responsável pelo tratamento às cláusulas contratuais-tipo, tornando-se este último, assim, uma nova parte signatária das cláusulas sujeitando-se às mesmas obrigações que o importador de dados.

7. Categorias especiais de dados: no caso do tratamento de dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, assim como os dados relativos à saúde e à vida sexual e de dados relativos a infracções, condenações penais ou medidas de segurança, devem ser previstas garantias adicionais nos temros da Driectiva 95/46/CE, nomeadamente, medidas de segurança adequadas tais como a utilização de uma cifragem sólida para a transmissão ou de um registo do acesso aos dados sensíveis.

8. Marketing directo: no caso de uma transferência de dados para fins de marketing directo, devem existir procedimentos eficazes para permitir que o titular dos dados se possa opor, em qualquer altura, à utilização dos seus dados para tais efeitos.

9. Decisão individual automatizada: os titulares dos dados têm o direito de não se sujeitarem a uma decisão que se baseie unicamente num tratamento automatizado de dados, a menos que se tomem outras medidas destinadas a garantir a defesa dos seus interesses legítimos tal como disposto no n.o 2 do artigo 15.o da Directiva 95/46/CE. Quando a transferência tiver por finalidade uma decisão automatizada nos termos do artigo 15.o da Directiva 95/46/CE, que produza efeitos na sua esfera jurídica ou que a afecte de modo significativo, tomada exlcusivamente com base num tratamento automatizado de dados destinados a apreciar determinados aspectos da sua personalidade, como por exemplo capacidade profissional, credibilidade, fiabilidade, comportamento, etc., o titular dos dados tem direito a conhecer os fundamentos subjacentes a uma tal decisão.

Apêndice 3

Às cláusulas contratuais-tipo

Princípios imperativos de protecção de dados referidos no segundo parágrafo da alínea b) da cláusula 5

1. Limitação da finalidade do tratamento: os dados só devem ser tratados e subsequentemente usados ou comunicados para os fins específicos indicados no apêndice 1 às cláusulas contratuais-tipo. Os dados não devem ser conservados por mais tempo do que o necessário para esse mesmo fim.

2. Direitos de acesso, rectificação, apagamento e bloqueio: tal como disposto no artigo 12.o da Directiva 95/46/CE, o titular dos dados deve ter acesso a todos os dados tratados que lhe digam respeito e, consoante o caso, obter a rectificação, o apagamento ou o bloqueio dos dados cujo tratamento não cumpra o disposto nos princípios constantes do presente apêndice, nomeadamente devido ao carácter incompleto ou inexacto desses dados. Também pode opor-se ao tratamento de dados que lhe digam respeito, por razões preponderantes e legítimas relacionadas com a sua situação particular.

3. Restrições relativas a transferências subsequentes: as transferências subsequentes de dados pessoais do importador de dados para outro responsável estabelecido em país terceirto em que não haja garantias de protecção adequada ou não abrangido por decisão da Comissão nos termos do n.o 6 do artigo 25.o da Directiva 95/46/CE (transferências subsequentes) só podem efectuar-se se: a) Os titulares dos dados tiverem dado o seu consentimento inequívoco à transferência subsequente, no caso de estarem envolvidas categorias especiais de dados, ou, noutros casos, tiverem tido a oportunidade de se oporem. As informações mínimas a prestar aos titulares dos dados devem incluir, numa linguagem que lhes seja compreensível: — o objectivo da transferência subsequente, — a identificação do exportador de dados estabelecido na Comunidade, — a menção das categorias de outros destinatários dos dados e dos países de destino, e — a menção de que, depois da transferência subsequente, os dados podem ser tratados por um responsável estabelecido num país onde não haja um nível de protecção adequado da vida privada; ou b) O exportador de dados e o importador de dados tiverem dado o seu acordo quanto à adesão de outro responsável pelo tratamento às cláusulas contratuais-tipo, tornando-se este último, assim, uma nova parte signatária das cláusulas sujeitando-se às mesmas obrigações que o importador de dados.

▼M1

CONJUNTO II

Cláusulas contratuais típicas para a transferência de dados pessoais da Comunidade para países terceiros (transferências entre responsáveis pelo tratamento de dados)

Acordo de transferência de dados

Entre

_ (nome)

_ (endereço e país de estabelecimento),

a seguir designado «exportador de dados»),

e

_ (nome)

_ (endereço e país de estabelecimento),

a seguir designado «importador de dados»;

individualmente, uma «parte»; em conjunto, «as partes».

Definições

Para efeitos das presentes cláusulas:

a) «Dados pessoais», «categorias específicas de dados/dados sensíveis», «tratamento», «responsável pelo tratamento», «subcontratante», «pessoa em causa» e «autoridade de controlo/autoridade» devem ser entendidos na acepção da Directiva 95/46/CE, de 24 de Outubro de 1995 (por «a autoridade» deve entender-se a autoridade competente para a protecção de dados no território em que o exportador de dados se encontrar estabelecido);

b) O «exportador de dados» é o responsável pelo tratamento que transfere os dados pessoais;

c) O «importador de dados» é o responsável pelo tratamento que aceita receber dados pessoais, provenientes do exportador de dados, para posterior tratamento nos termos das presentes cláusulas, que não se encontre sujeito a um sistema de um país terceiro que garanta protecção adequada;

d) As «cláusulas» são as presentes cláusulas contratuais, que constituem um documento independente que não inclui termos comerciais estabelecidos pelas partes em acordos comerciais separados.

Os elementos da transferência (bem como os dados pessoais abrangidos) são especificados no anexo B, que é parte integrante das cláusulas.

I. Obrigações do exportador de dados

O exportador de dados garante o seguinte:

a) Os dados pessoais são recolhidos, tratados e transferidos nos termos da legislação aplicável ao exportador de dados;

b) São envidados esforços razoáveis no intuito de assegurar que o importador de dados possa cumprir as obrigações legais decorrentes das presentes cláusulas;

c) A pedido do importador de dados, ser-lhe-ão enviadas cópias da legislação relevante em matéria de protecção de dados, ou referências a esta legislação (se necessário e não incluindo o aconselhamento jurídico), do país em que o exportador de dados se encontrar estabelecido;

d) Responderá às consultas das pessoas em causa ou da autoridade relativas ao tratamento dos dados por parte do importador de dados, a menos que as partes tenham acordado que será o importador de dados a dar as respostas; neste caso, se o importador de dados não quiser ou não puder responder, o exportador de dados deve responder, dentro do possível e com a informação de que razoavelmente disponha. As respostas serão dadas num prazo razoável;

e) Fornecerá uma cópia das cláusulas às pessoas em causa, a pedido destas, que constituem os terceiros beneficiários previstos na cláusula III, a menos que as cláusulas contenham informação confidencial; neste caso, pode ser suprimida esta informação. Quando for suprimida informação, o exportador de dados deve dar conhecimento às pessoas em causa, por escrito, da causa da referida supressão e do direito de comunicá-la à autoridade. No entanto, o exportador de dados deve acatar as decisões da autoridade relativas ao acesso das pessoas em causa ao texto integral das cláusulas, desde que estas pessoas tenham aceitado respeitar a confidencialidade da informação suprimida. O exportador de dados deve também fornecer uma cópia das cláusulas à autoridade, sempre que lhe seja exigido.

II. Obrigações do importador de dados

O importador de dados garante o seguinte:

a) Adoptar as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra a destruição acidental ou ilegal ou contra a perda acidental, a alteração, a divulgação ou o acesso não autorizados, cujo nível de segurança seja adequado ao risco decorrente do tratamento e da natureza dos dados a proteger;

b) Adoptar os procedimentos necessários para que os terceiros autorizados a aceder aos dados pessoais, incluindo os subcontratantes, respeitem e mantenham a confidencialidade e a segurança dos dados pessoais. Todas as pessoas sob a autoridade do importador de dados, incluindo os subcontratantes, devem ser obrigados a tratar os dados pessoais apenas sob a orientação do importador de dados. Esta regra não se aplica às pessoas autorizadas a aceder aos dados pessoais ou cujo acesso seja determinado por disposições legais;

c) Não existem razões para crer que, na data de subscrição das presentes cláusulas, exista legislação local que possa ter um efeito negativo substancial sobre as garantias previstas nestas cláusulas e informará o exportador de dados (que, sempre que seja exigido, notificará, por sua vez, a autoridade) assim que tiver conhecimento de legislação deste teor;

d) Tratará os dados pessoais para os fins descritos no anexo B e tem legitimidade para oferecer as garantias e cumprir as obrigações estabelecidas nas presentes cláusulas;

e) Indicará ao exportador de dados um ponto de contacto da sua organização autorizado a responder às consultas relativas ao tratamento de dados pessoais e cooperará de boa fé com o exportador de dados, as pessoas em causa e a autoridade no tocante a todas as referidas consultas num prazo razoável. Em caso de dissolução legal do exportador de dados, ou caso as partes tenham acordado neste sentido, o importador de dados assumirá a responsabilidade pelo cumprimento do disposto na alínea e) da cláusula I;

f) A pedido do exportador de dados, fornecer-lhe-á provas que demonstrem que dispõe dos recursos financeiros necessários para cumprir as suas responsabilidades nos termos da cláusula III (que podem incluir a cobertura de seguros);

g) A pedido razoável do exportador de dados, facultará o acesso às suas instalações de tratamento de dados, aos seus ficheiros de dados e a toda a documentação necessária para o tratamento para fins de revisão, auditoria ou certificação, a realizar pelo exportador de dados (ou por qualquer inspector ou auditor imparcial e independente escolhido pelo exportador de dados e a que o importador de dados não se tenha oposto em termos razoáveis), para determinar se são cumpridas as garantias e as obrigações previstas nas presentes cláusulas, mediante notificação razoável e durante as horas de trabalho habituais. O pedido será sujeito aos necessários consentimento ou aprovação de uma autoridade reguladora ou de controlo do país do importador de dados, caso sejam previstos; o importador de dados tratará de obter tempestivamente este consentimento ou esta aprovação;

h) Tratará os dados pessoais, ao seu critério, nos termos: i) da legislação de protecção de dados do país em que o exportador de dados se encontrar estabelecido; ii) das disposições pertinentes ( 5 ) de qualquer decisão da Comissão, nos termos do n.o 6 do artigo 25.o da Directiva 95/46/CE, das quais conste que o importador de dados cumpre o disposto na referida autorização ou decisão e se encontra estabelecido num país em que estas são aplicáveis, mas não é abrangido pelas mesmas para efeitos da transferência ou das transferências de dados pessoais ( 6 ), iii) dos princípios relativos ao tratamento de dados fixados no anexo A. Opção escolhida pelo importador de dados:_ Iniciais do importador de dados:_;

i) Não divulgará nem transferirá dados pessoais a terceiros responsáveis pelo tratamento de dados estabelecidos fora do Espaço Económico Europeu (EEE), a menos que notifique a transferência ao exportador de dados e i) o terceiro responsável pelo tratamento proceda ao tratamento dos dados em conformidade com a decisão da Comissão da qual conste que um país terceiro oferece protecção adequada; ii) o terceiro responsável pelo tratamento subscreva as presentes cláusulas ou outro acordo de transferência de dados aprovado por uma autoridade competente da UE; iii) tenha sido dada às pessoas em causa oportunidade para se opor, depois de terem sido informadas das finalidades da transferência, das categorias de destinatários e do facto de os países para os quais se exportarão os dados poderem ter normas de protecção de dados diferentes; iv) no que se refere às transferência ulteriores de dados sensíveis, as pessoas em causa tenham dado o seu consentimento inequívoco para esse efeito.

III. Responsabilidade e direitos de terceiros

a) Cada parte é responsável perante a outra parte pelos danos causados pela violação das presentes cláusulas. A responsabilidade entre partes limita-se aos danos efectivamente sofridos. As indemnizações punitivas (que se destinariam a castigar uma das partes por comportamento indigno) são especificamente excluídas. Cada uma das partes é responsável perante as pessoas em causa pela violação de direitos de terceiros, nos termos das presentes cláusulas. Este facto não prejudica a responsabilidade do exportador de dados, ao abrigo da respectiva legislação de protecção de dados;

b) As partes estipulam que as pessoas em causa devem ter o direito de invocar, na qualidade de terceiros beneficiários, a presente cláusula, bem como as alíneas b), d) e e) da cláusula I, as alíneas a), c), d), e), h) e i) da cláusula II, a alínea a) da cláusula III, a cláusula V, a alínea d) da cláusula VI e a cláusula VII, contra o importador de dados ou o exportador de dados, pela violação das respectivas obrigações contratuais, no que se refere ao dados pessoais que lhe digam respeito, e aceitam a jurisdição do país de estabelecimento do exportador de dados para este efeito. Nos casos de alegada infracção por parte do importador de dados, a pessoa em causa deve, antes de tudo, solicitar ao exportador de dados que tome as medidas apropriadas para executar os respectivos direitos contra o importador de dados; caso o exportador de dados não o faça num prazo razoável (que, em circunstâncias normais, é de um mês), a pessoa em causa pode então executar os seus direitos directamente contra o importador. As pessoas em causa podem agir directamente contra um exportador de dados que não tenha envidado esforços razoáveis para verificar a capacidade do importador de dados para cumprir as respectivas obrigações legais nos termos das presentes cláusulas (recai sobre o exportador de dados o ónus de provar que envidou esforços razoáveis).

IV. Legislação aplicável às cláusulas

As presentes cláusulas são reguladas pela legislação do país em que o exportador de dados se encontra estabelecido, com excepção das disposições legislativas e regulamentares relativas ao tratamento de dados pessoais por parte do importador de dados nos termos da alínea h) da cláusula II, a aplicar apenas caso o importador de dados a tenha seleccionado, na referida cláusula.

V. Resolução de litígios com pessoas em causa ou com a autoridade

a) Em caso de litígio ou queixa apresentada por uma pessoa em causa ou pela autoridade relativamente ao tratamento de dados pessoais contra uma ou ambas as partes, as partes informar-se-ão reciprocamente desses litígios ou queixas e devem cooperar com vista à sua resolução amigável de forma célere;

b) As partes comprometem-se a participar em qualquer procedimento de mediação habitualmente disponível e não vinculativo iniciado por uma pessoa em causa ou pela autoridade. Caso participem no procedimento, as partes podem escolher fazê-lo à distância (quer por telefone quer por outros meios electrónicos). As partes comprometem-se igualmente a considerar a participação em outros procedimentos de arbitragem ou mediação, desenvolvidos para os litígios em matéria de protecção de dados;

c) Cada uma das partes deve acatar a decisão de um tribunal competente do país de estabelecimento do exportador de dados ou da autoridade, que é definitiva e não admite recurso.

VI. Resolução

a) Se o importador de dados violar as respectivas obrigações decorrentes das presentes cláusulas, o exportador de dados pode suspender temporariamente a transferência de dados pessoais para o importador de dados, até que cesse o incumprimento ou o contrato chegue ao seu termo;

b) No caso de: i) a transferência de dados pessoais para o importador de dados ter sido temporariamente suspensa pelo exportador de dados durante mais de um mês, nos termos da alínea a); ii) ao respeitar as presentes cláusulas, o importador de dados viole as respectivas obrigações legais no país de importação; iii) o importador de dados violar de forma substancial ou persistente as garantias previstas ou os compromissos assumidos em virtude das presentes cláusulas; iv) uma decisão definitiva que não admita recurso de um tribunal competente do país de estabelecimento do exportador de dados ou da autoridade considerar ter havido incumprimento das cláusulas por parte do importador de dados ou do exportador de dados; v) ter sido solicitada a administração judicial ou a liquidação do importador de dados, quer a título pessoal quer a título empresarial, e desde que esta solicitação não tenha sido indeferida nos prazos previstos na legislação aplicável, é emitida uma ordem de liquidação, é designado um liquidatário para alguns dos seus activos e um síndico de falências, se o importador de dados for um particular, se este tiver dado início a um acordo voluntário de empresa ou se se encontrar numa situação análoga perante qualquer jurisdição, o exportador de dados, sem prejuízo de quaisquer outros direitos que possa invocar contra o importador de dados, pode resolver as presentes cláusulas, devendo informar a autoridade a este respeito, sempre que tal for exigido. Nos casos previstos nas alíneas i), ii) ou iv), o importador de dados pode igualmente resolver as presentes cláusulas;

c) Cada uma das partes pode resolver as presentes cláusulas em duas circunstâncias: i) se a Comissão declarar que o país (ou um sector do mesmo) para o qual se transferem os dados e no qual o importador procede ao tratamento dos dados garante um nível de protecção adequado, nos termos do n.o 6 do artigo 25.o da Directiva 95/46/CE (ou qualquer outro texto que a substitua); ii) a Directiva 95/46/CE (ou outro texto que a substitua) passa a ser directamente aplicável no referido país;

d) As partes estipulam que a resolução das presentes cláusulas em qualquer momento, em quaisquer circunstâncias e independentemente dos motivos [salvo a resolução prevista na alínea c) da cláusula VI], não as dispensa do cumprimento das obrigações e/ou das condições previstas nas presentes cláusulas relativamente ao tratamento dos dados pessoais transferidos.

VII. Alteração das presentes cláusulas

As partes não podem alterar as presentes cláusulas, excepto para actualizar as informações do anexo B, caso em que devem informar a autoridade, se tal for exigido. Este facto não obsta a que as partes aditem cláusulas comerciais adicionais, se necessário.

VIII. Descrição da transferência

Os elementos da transferência e dos dados pessoais são especificados no anexo B. As partes estipulam que o anexo B pode conter informações comerciais de natureza confidencial, que não divulgarão a terceiros, excepto se a legislação o exigir ou em resposta a um organismo regulador ou governamental competente, ou ainda quando for necessário em virtude da alínea e) da cláusula I. As partes podem aditar anexos para abranger transferências adicionais, que devem ser apresentados à autoridade, se tal for exigido. Em alternativa, o anexo B pode ser redigido de forma a abranger múltiplas transferências.

Data: _

_

_

PELO IMPORTADOR DE DADOS

PELO EXPORTADOR DE DADOS

…

…

…

…

…

…

ANEXO A

PRINCÍPIOS RELATIVOS AO TRATAMENTO DE DADOS

1. Limitação da finalidade — Os dados pessoais podem ser tratados e subsequentemente utilizados ou comunicados apenas para os fins descritos no anexo B ou ulteriormente autorizados pela pessoa em causa.

2. Proporcionalidade e qualidade dos dados — Os dados pessoais devem ser exactos e, se necessário, regularmente actualizados. Devem ser adequados, relevantes e proporcionais em relação às finalidades para as quais são transferidos e posteriormente tratados.

3. Transparência — As pessoas em causa devem receber as informações necessárias relativas à garantia da lealdade do tratamento (tais como informações acerca das finalidades do tratamento e da transferência), a menos que esta informação já tenha sido facultada pelo exportador de dados.

4. Segurança e confidencialidade — O responsável pelo tratamento de dados deve adoptar medidas de segurança técnicas e organizativas para garantir o nível de segurança adequado aos riscos decorrentes do tratamento, tais como a destruição acidental ou ilegal, a perda acidental ou a alteração, a divulgação ou o acesso não autorizados. Qualquer pessoa sob a autoridade do responsável pelo tratamento dos dados, incluindo um subcontratante, não deve proceder ao tratamento de dados sem instruções do referido responsável.

5. Direitos de acesso, rectificação, supressão e oposição — O artigo 12.o da Directiva 95/46/CE prevê que as pessoas em causa devem receber, directamente ou por terceiros, as informações pessoais que sobre elas possua uma organização, à excepção dos pedidos manifestamente abusivos, tanto por terem sido apresentados a intervalos desrazoáveis ou porque o seu número ou natureza são repetitivos ou sistemáticos, ou para os quais não seja necessário o consentimento do interessado nos termos da legislação do país do exportador de dados. Se a autoridade tiver dado a sua autorização prévia, não é necessária também a autorização da pessoa em causa quando este facto for de molde a prejudicar seriamente os interesses do importador de dados ou de outras organizações que com ele lidem, bem como quando estes interesses devam prevalecer sobre os interesses em matéria de direitos e liberdades fundamentais da pessoa em causa. Não é necessário identificar as fontes dos dados pessoais sempre que isso não seja possível mediante esforços razoáveis ou acarrete a violação de direitos de terceiros. As pessoas em causa devem poder rectificar, alterar ou suprimir as informações pessoais que a elas se referem, sempre que sejam inexactas ou que o seu tratamento não respeite os princípios do presente anexo. Se existir fundamento para duvidar da legitimidade do pedido, a organização pode solicitar outras justificações antes de proceder à rectificação, alteração ou supressão. Não é necessário notificar a rectificação, alteração ou supressão dos dados a terceiros a quem tenham sido divulgados, quando isso exija um esforço desproporcionado. As pessoas em causa devem poder opor-se ao tratamento de dados pessoais a elas referentes, caso existam fundamentos legítimos imperiosos relacionados com a sua situação específica. O ónus da prova para efeitos de qualquer recusa neste sentido recai sobre o importador de dados e as pessoas em causa podem sempre contestar esta recusa junto da autoridade.

6. Dados sensíveis — O importador de dados deve tomar as medidas adicionais necessárias (por exemplo, relativas à segurança) para proteger os dados sensíveis, nos termos das respectivas obrigações decorrentes da cláusula II.

7. Dados utilizados para efeitos de marketing — Caso os dados sejam tratados para efeitos de marketing directo, devem existir procedimentos eficazes para permitir que a pessoa em causa se possa opor, em qualquer momento, à utilização dos seus dados para tais efeitos.

8. Decisões automatizadas — Para efeitos do presente anexo, por «decisões automatizadas» deve entender-se decisões do exportador de dados ou do importador de dados que produzam efeitos jurídicos relativamente a uma pessoa em causa ou que a prejudiquem significativamente, que se baseiem em exclusivo no tratamento automatizado de dados pessoais destinados a avaliar determinados aspectos pessoais com ela relacionados, tal como o desempenho profissional, a idoneidade creditícia, fiabilidade, conduta, etc. O importador de dados não deve tomar decisões automatizadas relativas às pessoas em causa, a não ser que: i) Estas decisões tenham sido tomadas pelo importador de dados no momento de subscrever ou executar um contrato com a pessoa em causa, e ii) a pessoa em causa tenha oportunidade para debater os efeitos de uma decisão automatizada relevante com um representante da parte que toma esta decisão ou para lhe apresentar observações; a) ou b) A legislação aplicável ao exportador de dados estabeleça o contrário.

ANEXO B

DESCRIÇÃO DA TRANSFERÊNCIA

[a preencher pelas partes]

EXEMPLOS DE CLÁUSULAS COMERCIAIS (FACULTATIVAS)

Pagamento de indemnizações entre o exportador e o importador de dados:

«Cada uma das partes indemnizará a outra, ficando esta livre de quaisquer custos, encargos, danos, despesas ou perdas que decorram do incumprimento do disposto nas presentes cláusulas. A indemnização dependerá do seguinte: a) a parte ou partes a indemnizar (a “parte indemnizada”) deve notificar a reclamação sem demora à outra parte (a “parte indemnizadora”); b) a parte ou partes indemnizadoras devem ter controlo exclusivo relativamente à defesa e à resolução de uma reclamação deste tipo; e c) a parte ou partes indemnizadas devem ter a possibilidade de cooperar e de prestar assistência de modo razoável à parte indemnizadora na defesa e resolução da reclamação.».

Resolução de litígios entre o exportador e o importador de dados (as partes podem estipular a substituição desta cláusula por qualquer outra cláusula de jurisdição ou de resolução alternativa de litígios)

«Os eventuais litígios entre o importador e o exportador de dados relativos a uma alegada violação do disposto nas presentes cláusulas devem ser decididos em última instância com recurso às regras de arbitragem da Câmara de Comércio Internacional, por um ou mais árbitros designados em conformidade com as referidas regras. O local de arbitragem é [ ]. O número de árbitros é de [ ].».

Repartição dos custos

«Cada parte cumprirá as obrigações que lhe incumbem por força das presentes cláusulas a expensas suas.».

Cláusula adicional de resolução

«Em caso de resolução das presentes cláusulas, o importador de dados deve, consoante a escolha do exportador, devolver-lhe sem demora todos os dados pessoais abrangidos pelas presentes cláusulas, e as suas cópias, ou destruí-las totalmente, certificando esta destruição ao exportador, a menos que a legislação nacional ou a regulamentação local aplicável ao importador o impeça de devolver ou destruir total ou parcialmente esses dados. Nesta circunstância, o importador compromete-se a manter a confidencialidade dos dados pessoais e a não voltar a tratá-los activamente. O importador de dados garante que, a pedido do exportador de dados, colocará à sua disposição ou de um inspector por ele designado, ao qual o importador não se tenha oposto em termos razoáveis, as suas instalações de tratamento para verificar o cumprimento desta obrigação, mediante notificação prévia razoável e durante o horário de trabalho.»