02001D0497 — RO — 17.12.2016 — 002.001

Acest document are doar scop informativ și nu produce efecte juridice. Instituțiile Uniunii nu își asumă răspunderea pentru conținutul său. Versiunile autentice ale actelor relevante, inclusiv preambulul acestora, sunt cele publicate în Jurnalul Oficial al Uniunii Europene și disponibile pe site-ul EUR-Lex. Aceste texte oficiale pot fi consultate accesând linkurile integrate în prezentul document.

(Text cu relevanță pentru SEE)

Astfel cum a fost modificat prin:

▼B

DECIZIA COMISIEI

din 15 iunie 2001

privind clauzele contractuale standard pentru transferul de date cu caracter personal către țările terțe în temeiul Directivei 95/46/CE

[notificată cu numărul C(2001) 1539]

(Text cu relevanță pentru SEE)

(2001/497/CE)

Articolul 1

Clauzele contractuale standard prevăzute în anexă sunt considerate ca oferind garanții suficiente în materie de protecție a vieții private și a drepturilor fundamentale și libertăților persoanelor și în ceea ce privește exercitarea drepturilor conexe în temeiul articolului 26 alineatul (2) din Directiva 9/46/CE.

▼M1

Responsabilii cu prelucrarea datelor pot să aleagă oricare dintre seturile I sau II din anexă. Cu toate acestea, ei nu pot să modifice clauzele, nici să combine clauzele individuale sau seturile.

▼B

Articolul 2

Prezenta decizie privește exclusiv caracterul adecvat al protecției furnizate de clauzele contractuale standard pentru transferul datelor cu caracter personal cuprinse în anexă. Aceasta nu aduce atingere aplicării altor dispoziții de drept intern de punere în aplicare a Directivei 95/46/CE care se referă la prelucrarea datelor cu caracter personal în statele membre.

Prezenta decizie nu se aplică transferului de date cu caracter personal de către operatori stabiliți în Comunitate către destinatari stabiliți în afara Comunității care acționează doar ca persoane împuternicite de către operatori.

Articolul 3

În sensul prezentei decizii:

(c) „autorități de supraveghere” înseamnă autoritățile prevăzute la articolul 28 din directiva menționată;

▼M2

Articolul 4

Ori de câte ori autoritățile competente din statele membre își exercită competențele prevăzute la articolul 28 alineatul (3) din Directiva 95/46/CE, antrenând suspendarea sau interdicția definitivă a fluxurilor de date către țări terțe în vederea asigurării protecției persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal, statul membru în cauză informează fără întârziere Comisia, care va transmite mai departe informațiile respective celorlalte state membre.

▼B

Articolul 5

►M1 Comisia evaluează efectul acestei decizii pe baza informațiilor disponibile după scurgerea a trei ani de la notificarea acesteia statelor membre, precum și după notificarea oricărei modificări aduse acesteia. ◄ Aceasta prezintă un raport cu privire la constatările făcute comitetului instituit în temeiul articolului 31 din Directiva 95/46/CE. Raportul cuprinde orice element care poate influența evaluarea privind caracterul adecvat al clauzelor contractuale standard din anexă și orice element care demonstrează că prezenta decizie se aplică în mod discriminator.

Articolul 6

Prezenta decizie se aplică de la 3 septembrie 2001.

Articolul 7

Prezenta decizie se adresează statelor membre.

ANEXĂ

▼M1

SETUL I

▼B

Apendicele 1

la clauzele contractuale standard

Apendicele 2

la clauzele contractuale standard

Principiile obligatorii de protecție a datelor prevăzute în clauza 5 litera (b) primul paragraf

Prezentele principii trebuie citite și interpretate în temeiul dispozițiilor (principiile și excepțiile relevante) Directivei 95/46/CE.

Principiile se aplică sub rezerva cerințelor imperative ale legislației interne aplicabile importatorului de date care nu depășesc ceea ce este necesar într-o societate democratică pe baza unuia dintre interesele prezentate în articolul 13 alineatul (1) din Directiva 95/46/CE, adică dacă constituie o măsură necesară salvgardării siguranței naționale, apărării, securității publice, prevenirii, cercetării, identificării și urmăririi în justiție a infracțiunilor sau a încălcării deontologiei în cazul profesiilor reglementate, unui interes economic sau financiar al statului sau protecției persoanei vizate sau drepturilor și libertăților celorlalți.

4. Securitatea și confidențialitatea: operatorul trebuie să adopte măsuri tehnice și organizatorice de securitate corespunzătoare în ceea ce privește riscurile pe care le prezintă prelucrarea, cum ar fi accesul neautorizat. Orice persoană care acționează sub autoritatea operatorului, inclusiv persoana împuternicită, nu trebuie să prelucreze datele decât conform instrucțiunilor operatorului.

Informațiile minime de furnizat persoanelor vizate trebuie să conțină într-o limbă pe care să o înțeleagă:

— mențiunea că, după transferul ulterior, datele pot fi prelucrate de către un operator stabilit într-o țară care nu are un nivel adecvat de protecție a vieții private a persoanelor sau

9. Decizii individuale automatizate: persoanele vizate au dreptul să nu se supună unei decizii luate numai pe baza prelucrării automatizate a datelor cu excepția cazului în care nu s-au luat alte măsuri pentru apărarea intereselor legitime ale persoanei conform articolului 15 alineatul (2) din Directiva 95/46/CE. Atunci când scopul transferului este luarea unei decizii automatizate, în sensul articolului 15 din Directiva 95/46/CE, care produce efecte juridice în ceea ce privește persoana sau care o afectează în mod semnificativ și care se bazează numai pe prelucrarea automatizată a datelor menite să evalueze anumite aspecte ale personalității sale, cum ar fi randamentul profesional, credibilitatea, încrederea, conduita etc., persoana trebuie să aibă dreptul să cunoască raționamentul care stă la baza acestei decizii.

Apendicele 3

privind clauzele contractuale standard

Principiile obligatorii de protecție a datelor menționate în clauza 5 litera (b) al doilea paragraf

Informațiile minime de furnizat persoanelor vizate trebuie să conțină într-o limbă pe care să o înțeleagă:

— mențiunea că, după transferul ulterior, datele pot fi prelucrate de către un operator stabilit într-o țară care nu are un nivel adecvat de protecție a vieții private a persoanelor sau

▼M1

SETUL II

Clauze contractuale standard pentru transferul de date cu caracter personal din Comunitate către țări terțe (transferuri de la responsabil cu prelucrarea la responsabil cu prelucrarea)

Acord de transfer de date

între

… (nume)

… (adresa și țara de stabilire)

în continuare „exportator de date”

și

… (nume)

… (adresa și țara de stabilire)

în continuare „importator de date”

denumite împreună „părțile”, separat „partea”.

Definiții

În sensul clauzelor:

(c) „importator de date” înseamnă responsabilul cu prelucrarea, care acceptă să primească, de la exportatorul de date, date cu caracter personal pentru a fi prelucrate în continuare în conformitate cu dispozițiile din prezentele clauze și care nu este supus mecanismului unei țări terțe de asigurare a unei protecții adecvate;

Detaliile transferului (precum și datele cu caracter personal cuprinse) sunt specificate în anexa B, care face parte integrantă din clauze.

I. Obligații ale exportatorului de date

Exportatorul de date oferă garanții și se angajează precum urmează:

(c) Exportatorul de date transmite importatorului de date, la cererea acestuia din urmă, textele reglementărilor pertinente în materie de protecție a datelor sau referințe la acestea (după caz, și fără să includă consultanță juridică) din țara în care este stabilit exportatorul de date.

II. Obligații ale importatorului de date

Importatorul de date oferă garanții și se angajează precum urmează:

(b) Importatorul de date adoptă proceduri pentru a se asigura că terții pe care-i autorizează să aibă acces la date cu caracter personal, inclusiv operatorii, respectă și mențin confidențialitatea și securitatea datelor cu caracter personal. Orice persoană care acționează sub autoritatea importatorului de date, inclusiv un operator de date, nu poate să prelucreze datele cu caracter personal decât în urma instrucțiunilor din partea importatorului de date. Această dispoziție nu se aplică persoanelor autorizate sau care prin acte cu putere de lege sau norme administrative trebuie să aibă acces la date cu caracter personal.

(c) În momentul în care aderă la prezentele clauze, importatorul de date nu are nici un motiv să creadă că există reglementări locale care să aducă atingere într-un mod substanțial garanțiilor oferite în temeiul prezentelor clauze și, în cazul în care află de existența unor asemenea reglementări, îl va informa pe exportatorul de date (care va transmite această notificare mai departe autorității, după caz).

(d) Importatorul de date prelucrează datele cu caracter personal în scopurile prezentate în anexa B și are capacitatea juridică să ofere garanțiile și să ia angajamentele specificate în prezentele clauze.

(ii) dispozițiile pertinente ( 1 ) ale unei decizii a Comisiei în aplicarea articolului 25 alineatul (6) din Directiva 95/46/CE, în cazul în care importatorul de date se conformează dispozițiilor pertinente ale acestei autorizații sau decizii și este stabilit într-o țară unde se aplică această autorizație sau decizie, dar nu este sub incidența acestei autorizații sau decizii în scopul transferului de date cu caracter personal ( 2 ) sau

Importatorul de date indică opțiunea pe care o selecționează: _

Parafa importatorului de date: _

(i) Importatorul de date nu divulgă și nici nu transferă datele cu caracter personal către un responsabil cu prelucrarea datelor dintr-o țară terță situată în afara Spațiului Economic European (SEE), în cazul în care nu notifică acest transfer exportatorului de date și

III. Responsabilitatea și drepturile terților

(b) Părțile convin că o persoană vizată are dreptul să valorifice, în calitate de terț beneficiar, prezenta clauză, precum și clauzele I (b), I (d), I (e), II (a), II (c), II (d), II (e), II (h), II (i), III (a), V, VI (d) și VII împotriva importatorului de date sau a exportatorului de date, pentru încălcările respective ale obligațiilor contractuale, în privința datelor sale cu caracter personal, și acceptă jurisdicția în acest scop a țării de stabilire a exportatorului de date. În cazurile care implică presupuse încălcări comise de importatorul de date, persoana vizată trebuie mai întâi să ceară exportatorului de date să ia măsuri corespunzătoare pentru valorificarea drepturilor sale împotriva importatorului de date; în cazul în care exportatorul de date nu ia aceste măsuri într-un termen corespunzător (care, în circumstanțe normale, ar fi de o lună), persoana vizată poate să-și valorifice drepturile direct împotriva importatorului de date. O persoană vizată are drept de acțiune directă împotriva unui exportator de date care n-a întreprins acțiuni corespunzătoare pentru a stabili dacă importatorul de date este în măsură să-și îndeplinească obligațiile legale în temeiul prezentelor clauze (revine exportatorului de date sarcina probei că a întreprins acțiuni corespunzătoare).