2001D0497 — RO — 01.04.2005 — 001.001

Acest document reprezintă un instrument de documentare, iar instituţiile nu îşi asumă responsabilitatea pentru conţinutul său.

(Text cu relevanță pentru SEE)

Astfel cum a fost modificat prin:

No

▼B

DECIZIA COMISIEI

din 15 iunie 2001

privind clauzele contractuale standard pentru transferul de date cu caracter personal către țările terțe în temeiul Directivei 95/46/CE

[notificată cu numărul C(2001) 1539]

(Text cu relevanță pentru SEE)

(2001/497/CE)

Persoana vizată are dreptul de a introduce o acțiune și de a obține reparații de la exportatorul de date, importatorul de date sau de la ambii pentru orice prejudiciu care rezultă din orice acțiune incompatibilă cu obligațiile prevăzute de clauzele contractuale standard. Cele două părți pot fi exonerate de această răspundere dacă dovedesc că nici una dintre ele nu a fost răspunzătoare.

Prezenta decizie nu trebuie să aducă atingere autorizațiilor naționale pe care statele membre le pot acorda în conformitate cu dispozițiile de drept intern de aplicare a articolului 26 alineatul (2) din Directiva 95/46/CE. Circumstanțele transferurilor specifice îi pot determina pe operatori să prevadă garanții diferite în sensul articolului 26 alineatul (2). În orice caz, prezenta decizie are unicul efect de a obliga statele membre să nu refuze recunoașterea faptului că clauzele contractuale descrise în decizie oferă garanții adecvate și, prin urmare, aceasta nu are nici un efect asupra altor clauze contractuale.

Cu toate acestea, articolul 26 alineatul (2) din Directiva 95/46/CE prevede că statele membre pot autoriza, sub rezerva anumitor garanții, transferul sau o serie de transferuri de date cu caracter personal către țări terțe care nu asigură un nivel de protecție adecvat. Aceste garanții trebuie să rezulte mai ales din clauze contractuale corespunzătoare.

Articolul 1

Clauzele contractuale standard prevăzute în anexă sunt considerate ca oferind garanții suficiente în materie de protecție a vieții private și a drepturilor fundamentale și libertăților persoanelor și în ceea ce privește exercitarea drepturilor conexe în temeiul articolului 26 alineatul (2) din Directiva 9/46/CE.

▼M1

Responsabilii cu prelucrarea datelor pot să aleagă oricare dintre seturile I sau II din anexă. Cu toate acestea, ei nu pot să modifice clauzele, nici să combine clauzele individuale sau seturile.

▼B

Articolul 2

Prezenta decizie privește exclusiv caracterul adecvat al protecției furnizate de clauzele contractuale standard pentru transferul datelor cu caracter personal cuprinse în anexă. Aceasta nu aduce atingere aplicării altor dispoziții de drept intern de punere în aplicare a Directivei 95/46/CE care se referă la prelucrarea datelor cu caracter personal în statele membre.

Prezenta decizie nu se aplică transferului de date cu caracter personal de către operatori stabiliți în Comunitate către destinatari stabiliți în afara Comunității care acționează doar ca persoane împuternicite de către operatori.

Articolul 3

În sensul prezentei decizii:

(c) „autorități de supraveghere” înseamnă autoritățile prevăzute la articolul 28 din directiva menționată;

Articolul 4

(1) Fără a aduce atingere competențelor lor de a lua măsuri pentru a asigura respectarea dispozițiilor de drept intern adoptate în conformitate cu capitolele II, III, V și VI din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita competențele de care dispun pentru a interzice sau suspenda fluxurile de date către țările terțe pentru a proteja persoanele în ceea ce privește prelucrarea datelor cu caracter personal în cazurile în care:

(c) există o probabilitate mare că clauzele contractuale standard din anexă nu sunt sau nu vor fi respectate și că transferarea în continuare ar comporta un risc iminent de prejudicii grave aduse persoanelor vizate.

▼M1

(2) În sensul alineatului (1), în cazul în care responsabilul cu prelucrarea datelor oferă garanții adecvate pe baza clauzelor contractuale standard cuprinse în setul II din anexă, autoritățile competente în materie de protecție a datelor au dreptul să-și exercite împuternicirile de care dispun pentru a interzice sau a suspenda fluxurile de date în cazurile următoare:

În sensul primului paragraf, refuzul cu rea credință sau refuzul de a aplica contractul de către importatorul de date nu include cazurile în care cooperarea sau aplicarea ar veni în conflict cu cerințele obligatorii din legislația internă, aplicabile importatorului de date, care nu depășesc ceea ce este necesar într-o societate democratică pe baza unuia din interesele enunțate la articolul 13 alineatul (1) din Directiva 95/46/CE, în special sancțiunile prevăzute în actele internaționale și/sau interne, obligațiile de declarație fiscală sau obligațiile de declarație în cadrul luptei contra spălării banilor.

În sensul dispozițiilor de la litera (a) din primul paragraf, cooperarea poate include, în special, prezentarea pentru verificare a mijloacelor de prelucrare a datelor deținute de importatorul de date sau obligația de a se conforma recomandării făcute de autoritatea de supraveghere în materie de protecție a datelor din Comunitate.

(3) Interdicția sau suspendarea prevăzute la alineatele (1) și (2) se ridică de îndată ce motivele pentru impunerea lor au încetat să mai existe.

▼M1

(4) Atunci când statele membre adoptă măsuri în conformitate cu alineatele (1), (2) și (3), ele informează fără întârziere Comisia, care va transmite informațiile celorlalte state membre.

▼B

Articolul 5

►M1 Comisia evaluează efectul acestei decizii pe baza informațiilor disponibile după scurgerea a trei ani de la notificarea acesteia statelor membre, precum și după notificarea oricărei modificări aduse acesteia. ◄ Aceasta prezintă un raport cu privire la constatările făcute comitetului instituit în temeiul articolului 31 din Directiva 95/46/CE. Raportul cuprinde orice element care poate influența evaluarea privind caracterul adecvat al clauzelor contractuale standard din anexă și orice element care demonstrează că prezenta decizie se aplică în mod discriminator.

Articolul 6

Prezenta decizie se aplică de la 3 septembrie 2001.

Articolul 7

Prezenta decizie se adresează statelor membre.

ANEXĂ

▼M1

SETUL I

▼B

Apendicele 1

la clauzele contractuale standard

Apendicele 2

la clauzele contractuale standard

Principiile obligatorii de protecție a datelor prevăzute în clauza 5 litera (b) primul paragraf

Prezentele principii trebuie citite și interpretate în temeiul dispozițiilor (principiile și excepțiile relevante) Directivei 95/46/CE.

Principiile se aplică sub rezerva cerințelor imperative ale legislației interne aplicabile importatorului de date care nu depășesc ceea ce este necesar într-o societate democratică pe baza unuia dintre interesele prezentate în articolul 13 alineatul (1) din Directiva 95/46/CE, adică dacă constituie o măsură necesară salvgardării siguranței naționale, apărării, securității publice, prevenirii, cercetării, identificării și urmăririi în justiție a infracțiunilor sau a încălcării deontologiei în cazul profesiilor reglementate, unui interes economic sau financiar al statului sau protecției persoanei vizate sau drepturilor și libertăților celorlalți.

4. Securitatea și confidențialitatea: operatorul trebuie să adopte măsuri tehnice și organizatorice de securitate corespunzătoare în ceea ce privește riscurile pe care le prezintă prelucrarea, cum ar fi accesul neautorizat. Orice persoană care acționează sub autoritatea operatorului, inclusiv persoana împuternicită, nu trebuie să prelucreze datele decât conform instrucțiunilor operatorului.

— mențiunea că, după transferul ulterior, datele pot fi prelucrate de către un operator stabilit într-o țară care nu are un nivel adecvat de protecție a vieții private a persoanelor sau

9. Decizii individuale automatizate: persoanele vizate au dreptul să nu se supună unei decizii luate numai pe baza prelucrării automatizate a datelor cu excepția cazului în care nu s-au luat alte măsuri pentru apărarea intereselor legitime ale persoanei conform articolului 15 alineatul (2) din Directiva 95/46/CE. Atunci când scopul transferului este luarea unei decizii automatizate, în sensul articolului 15 din Directiva 95/46/CE, care produce efecte juridice în ceea ce privește persoana sau care o afectează în mod semnificativ și care se bazează numai pe prelucrarea automatizată a datelor menite să evalueze anumite aspecte ale personalității sale, cum ar fi randamentul profesional, credibilitatea, încrederea, conduita etc., persoana trebuie să aibă dreptul să cunoască raționamentul care stă la baza acestei decizii.

Apendicele 3

privind clauzele contractuale standard

Principiile obligatorii de protecție a datelor menționate în clauza 5 litera (b) al doilea paragraf

— mențiunea că, după transferul ulterior, datele pot fi prelucrate de către un operator stabilit într-o țară care nu are un nivel adecvat de protecție a vieții private a persoanelor sau

▼M1

SETUL II

Clauze contractuale standard pentru transferul de date cu caracter personal din Comunitate către țări terțe (transferuri de la responsabil cu prelucrarea la responsabil cu prelucrarea)

Acord de transfer de date

între

… (nume)

… (adresa și țara de stabilire)

în continuare „exportator de date”

și

… (nume)

… (adresa și țara de stabilire)

în continuare „importator de date”

denumite împreună „părțile”, separat „partea”.

Definiții

În sensul clauzelor:

(c) „importator de date” înseamnă responsabilul cu prelucrarea, care acceptă să primească, de la exportatorul de date, date cu caracter personal pentru a fi prelucrate în continuare în conformitate cu dispozițiile din prezentele clauze și care nu este supus mecanismului unei țări terțe de asigurare a unei protecții adecvate;

Detaliile transferului (precum și datele cu caracter personal cuprinse) sunt specificate în anexa B, care face parte integrantă din clauze.

I. Obligații ale exportatorului de date

Exportatorul de date oferă garanții și se angajează precum urmează:

(c) Exportatorul de date transmite importatorului de date, la cererea acestuia din urmă, textele reglementărilor pertinente în materie de protecție a datelor sau referințe la acestea (după caz, și fără să includă consultanță juridică) din țara în care este stabilit exportatorul de date.

II. Obligații ale importatorului de date

Importatorul de date oferă garanții și se angajează precum urmează:

(b) Importatorul de date adoptă proceduri pentru a se asigura că terții pe care-i autorizează să aibă acces la date cu caracter personal, inclusiv operatorii, respectă și mențin confidențialitatea și securitatea datelor cu caracter personal. Orice persoană care acționează sub autoritatea importatorului de date, inclusiv un operator de date, nu poate să prelucreze datele cu caracter personal decât în urma instrucțiunilor din partea importatorului de date. Această dispoziție nu se aplică persoanelor autorizate sau care prin acte cu putere de lege sau norme administrative trebuie să aibă acces la date cu caracter personal.

(c) În momentul în care aderă la prezentele clauze, importatorul de date nu are nici un motiv să creadă că există reglementări locale care să aducă atingere într-un mod substanțial garanțiilor oferite în temeiul prezentelor clauze și, în cazul în care află de existența unor asemenea reglementări, îl va informa pe exportatorul de date (care va transmite această notificare mai departe autorității, după caz).

(d) Importatorul de date prelucrează datele cu caracter personal în scopurile prezentate în anexa B și are capacitatea juridică să ofere garanțiile și să ia angajamentele specificate în prezentele clauze.

(ii) dispozițiile pertinente ( 5 ) ale unei decizii a Comisiei în aplicarea articolului 25 alineatul (6) din Directiva 95/46/CE, în cazul în care importatorul de date se conformează dispozițiilor pertinente ale acestei autorizații sau decizii și este stabilit într-o țară unde se aplică această autorizație sau decizie, dar nu este sub incidența acestei autorizații sau decizii în scopul transferului de date cu caracter personal ( 6 ) sau

(i) Importatorul de date nu divulgă și nici nu transferă datele cu caracter personal către un responsabil cu prelucrarea datelor dintr-o țară terță situată în afara Spațiului Economic European (SEE), în cazul în care nu notifică acest transfer exportatorului de date și

III. Responsabilitatea și drepturile terților

(b) Părțile convin că o persoană vizată are dreptul să valorifice, în calitate de terț beneficiar, prezenta clauză, precum și clauzele I (b), I (d), I (e), II (a), II (c), II (d), II (e), II (h), II (i), III (a), V, VI (d) și VII împotriva importatorului de date sau a exportatorului de date, pentru încălcările respective ale obligațiilor contractuale, în privința datelor sale cu caracter personal, și acceptă jurisdicția în acest scop a țării de stabilire a exportatorului de date. În cazurile care implică presupuse încălcări comise de importatorul de date, persoana vizată trebuie mai întâi să ceară exportatorului de date să ia măsuri corespunzătoare pentru valorificarea drepturilor sale împotriva importatorului de date; în cazul în care exportatorul de date nu ia aceste măsuri într-un termen corespunzător (care, în circumstanțe normale, ar fi de o lună), persoana vizată poate să-și valorifice drepturile direct împotriva importatorului de date. O persoană vizată are drept de acțiune directă împotriva unui exportator de date care n-a întreprins acțiuni corespunzătoare pentru a stabili dacă importatorul de date este în măsură să-și îndeplinească obligațiile legale în temeiul prezentelor clauze (revine exportatorului de date sarcina probei că a întreprins acțiuni corespunzătoare).