Úradný vestník L 215 , 25/08/2000 S. 0007 - 0047



Rozhodnutie Komisie z 26. júla 2000 v súlade so smernicou Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej zásadami "bezpečného prístavu" a súvisiacimi často kladenými otázkami vydanými Ministerstvom obchodu USA (oznámené pod číslom dokumentu C(2000) 2441) (Text s významom pre EHP) (2000/520/ES) KOMISIA EURÓPSKYCH SPOLOČENSTIEV, so zreteľom na Zmluvu o založení Európskeho spoločenstva, so zreteľom na smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov [1], najmä na jej článok 25 ods. 6, keďže: (1) Podľa smernice 95/46/ES sa od členských štátov vyžaduje, aby zabezpečili, že sa prenos osobných údajov do tretej krajiny môže vykonať len vtedy, ak príslušná tretia krajina zaručuje primeranú úroveň ochrany, a ak sa pred uskutočnením prenosu dodržiavajú právne predpisy príslušného členského štátu vykonávajúce ostatné ustanovenia uvedenej smernice. (2) Komisia môže prísť k záveru, že určitá tretia krajina zaručuje primeranú úroveň ochrany. V takom prípade je prenos osobných údajov z členských štátov možný bez toho, že by boli potrebné ďalšie záruky. (3) Podľa smernice 95/46/ES by sa mala úroveň ochrany údajov posudzovať so zreteľom na všetky okolnosti sprevádzajúce určitú operáciu prenosu údajov alebo určitý súbor operácií prenosu údajov a vo vzťahu k príslušných podmienkam. Pracovná skupina pre ochranu jednotlivcov v súvislosti so spracovaním osobných údajov zriadená podľa uvedenej smernice [2] vydala usmernenie týkajúce sa postupu pri takomto posudzovaní [3]. (4) Vzhľadom na rôzne prístupy k ochrane údajov v tretích krajinách by sa posudzovanie primeranosti úrovne ochrany a akékoľvek rozhodnutie založené na článku 25 ods. 6 smernice 95/46/ES mali vykonávať takým spôsobom, ktorý nie je svojvoľne a neopodstatnene diskriminačný voči tretím krajinám alebo vo vzťahu k jednotlivým tretím krajinám, v ktorých existujú podobné podmienky, a ktorý tiež nepredstavuje skrytú prekážku pre obchodovanie, pričom je potrebné brať do úvahy existujúce medzinárodné záväzky spoločenstva. (5) Primeraná úroveň ochrany prenosu údajov zo spoločenstva do Spojených štátov uznávaná podľa tohto rozhodnutia by mala byť dosiahnutá vtedy, ak organizácie spĺňajú zásady "bezpečného prístavu" vo vzťahu k ochrane osobných údajov prenášaných z určitého členského štátu do Spojených štátov (ďalej len "zásady") a často kladené otázky ("frequently asked questions", ďalej len "FAQ") poskytujúce usmernenie pre vykonávanie zásad, ktoré vydala vláda Spojených štátov 21. júla 2000. Okrem toho by organizácie mali zverejniť svoje príslušné stratégie v oblasti ochrany súkromia a mali by podliehať jurisdikcii Federálnej obchodnej komisie (FTC – Federal Trade Commission) podľa oddielu 5 zákona o Federálnej obchodnej komisii, ktorý zakazuje nekalé alebo klamlivé konanie alebo praktiky v rámci obchodovania alebo ovplyvňujúce obchodovanie, alebo by mali podliehať inému štatutárnemu orgánu, ktorý účinne zabezpečí súlad so zásadami vykonávanými v súlade s FAQ. (6) Sektory a/alebo spracúvanie údajov, ktoré nepodliehajú právomoci žiadneho z vládnych orgánov v Spojených štátoch uvedených v prílohe VII k tomuto rozhodnutiu, nespadajú do rámca pôsobnosti tohto rozhodnutia. (7) V záujme zabezpečenia náležitého uplatňovania tohto rozhodnutia je potrebné, aby zainteresované strany ako napríklad dotknuté osoby, vývozcovia údajov a orgány na ochranu údajov vedeli rozpoznať organizácie dodržiavajúce zásady a FAQ. S týmto cieľom by Ministerstvo obchodu USA alebo jeho zástupca mali na seba vziať povinnosť udržiavať a sprístupňovať verejnosti zoznam organizácií, ktoré osvedčia svoje dodržiavanie zásad vykonávaných v súlade s FAQ, a ktoré spadajú do jurisdikcie prinajmenšom jedného z vládnych orgánov uvedených v prílohe VII k tomuto rozhodnutiu. (8) V záujme transparentnosti a s cieľom zabezpečenia schopnosti príslušných orgánov v členských štátoch zaručiť ochranu jednotlivcov v súvislosti so spracúvaním ich osobných údajov je potrebné, aby sa v tomto rozhodnutí presne vymedzili mimoriadne okolnosti, za ktorých by malo byť opodstatnené pozastavenie tokov určitých informácií, a to bez ohľadu na to, či Komisia prišla k záveru, že v danej krajine je zabezpečená primeraná úroveň ochrany. (9) "Bezpečný prístav" ustanovený zásadami a FAQ bude možno potrebné opätovne prehodnotiť na základe skúseností, na základe vývoja v oblasti ochrany súkromia za okolností, v ktorých technológia umožňuje čoraz jednoduchší prenos a spracúvanie osobných údajov a na základe správ o vykonávaní vypracovaných príslušnými orgánmi poverenými vymáhaním výkonu zásad a FAQ. (10) Pracovná skupina pre ochranu jednotlivcov v súvislosti so spracovaním osobných údajov ustanovená podľa článku 29 smernice 95/46/ES poskytla stanoviská ohľadom ochrany poskytovanej zásadami "bezpečného prístavu" v Spojených štátoch a tieto stanoviská boli zohľadnené pri príprave tohto rozhodnutia [4]. (11) Opatrenia ustanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru ustanoveného podľa článku 31 smernice 95/46/ES, (12) Podľa rozhodnutia 1999/468/ES a najmä jeho článku 8 prijal Európsky parlament 5. júla 2000 rezolúciu A5-0177/2000 [5] k návrhu rozhodnutia Komisie o primeranosti ochrany poskytovanej zásadami "bezpečného prístavu" a súvisiacimi často kladenými otázkami vydanými Ministerstvom obchodu USA. Komisia návrh rozhodnutia opätovne preskúmala so zreteľom na toto rozhodnutie a prišla k záveru, že hoci Európsky parlament považuje za potrebné niektoré vylepšenia zásad "bezpečného prístavu" a súvisiacich často kladených otázok na to, aby sa mohli považovať za také, ktoré zabezpečia "primeranú ochranu", nezistil, že by Komisia prijatím uvedeného rozhodnutia prekročila svoje právomoci, PRIJALA TOTO ROZHODNUTIE: Článok 1 1. Na účely článku 25 ods. 2 smernice 95/46/ES sa vo vzťahu ku všetkým aktivitám spadajúcim do rámca pôsobnosti uvedenej smernice "zásady bezpečného prístavu" (ďalej len "zásady"), tak ako sú uvedené v prílohe I k tomuto rozhodnutiu, vykonávané v súlade s usmernením vyplývajúcim z často kladených otázok (ďalej len "FAQ") vydaných Ministerstvom obchodu USA 21. júla 2000 tak, ako sú uvedené v prílohe II k tomuto rozhodnutiu považujú za také, ktoré zabezpečujú primeranú úroveň ochrany osobných údajov prenášaných zo spoločenstva do organizácií so sídlom v Spojených štátoch, pričom sa zohľadňujú nasledujúce dokumenty vydané Ministerstvom obchodu USA: a) prehľad presadzovania zásad bezpečného prístavu uvedený v prílohe III; b) memorandum týkajúce sa náhrad škôd za porušenie súkromia a výslovného oprávnenia v rámci práva USA uvedené v prílohe IV; c) list Federálnej obchodnej komisie uvedený v prílohe V; d) list Ministerstva dopravy USA uvedený v prílohe VI; 2. Vo vzťahu ku každému prenosu údajov sa musia splniť nasledujúce podmienky: a) organizácia, ktorej sa poskytujú údaje, sa jednoznačne a verejným vyhlásením zaviaže dodržiavať zásady vykonávané v súlade s FAQ a b) v prípade nedodržiavania zásad vykonávaných v súlade s FAQ podlieha daná organizácia zákonným právomociam niektorého zo štátnych orgánov v Spojených štátoch uvedených v prílohe VII k tomuto rozhodnutiu, ktorý je oprávnený vyšetrovať sťažnosti a zabezpečovať nápravu v prípade nekalých alebo klamlivých praktík, ako aj zabezpečovať odškodnenie jednotlivcov bez ohľadu na to, v akej krajine majú trvalý pobyt alebo akú majú štátnu príslušnosť. 3. Podmienky uvedené v odseku 2 sa považujú za splnené vo vzťahu ku každej organizácii, ktorá osvedčí svoje dodržiavanie zásad vykonávaných v súlade s FAQ odo dňa, kedy daná organizácia oznámi Ministerstvu obchodu USA (alebo jeho zástupcovi) svoje verejné vyhlásenie o záväzku uvedenom v odseku 2 písm. a) a totožnosť štátneho orgánu uvedeného v odseku 2 písm. b). Článok 2 Toto rozhodnutie sa týka len primeranosti ochrany poskytovanej v Spojených štátoch podľa zásad vykonávaných v súlade s FAQ s cieľom splnenia požiadaviek článku 25 ods. 1 smernice 95/46/ES a nie je ním dotknuté uplatňovanie iných ustanovení uvedenej smernice, ktoré sa vzťahujú na spracúvanie osobných údajov v rámci členských štátov, najmä článku 4 tejto smernice. Článok 3 1. Bez toho, aby tým boli dotknuté ich právomoci prijímať opatrenia na zabezpečenie súladu s vnútroštátnymi právnymi normami prijatými podľa ustanovení iných ako článok 25 smernice 95/46/ES, môžu príslušné orgány v členských štátoch vykonávať svoje existujúce právomoci týkajúce sa pozastavenia tokov údajov do organizácie, ktorá osvedčila svoje dodržiavanie zásad vykonávaných v súlade s FAQ, aby tak chránili jednotlivcov v súvislosti so spracúvaním ich osobných údajov v prípadoch, keď: a) štátny orgán v Spojených štátoch uvedený v prílohe VII k tomuto rozhodnutiu alebo nezávislý opravný mechanizmus v zmysle písmena a) zásady vymáhania výkonu uvedenej v prílohe I k tomuto rozhodnutiu zistí, že daná organizácia porušuje zásady vykonávané v súlade s FAQ; alebo b) je veľká pravdepodobnosť, že sa porušujú zásady; existuje reálny dôvod na domnienku, že príslušný mechanizmus na vymáhanie výkonu neprijíma alebo neprijme primerané a včasné opatrenia na urovnanie určitého prípadu; pokračujúci prenos údajov by mal za následok bezprostredné riziko vážneho poškodenia dotknutých osôb, ktoré sú predmetom údajov; a príslušné orgány v danom členskom štáte vyvinuli podľa okolností primerané úsilie na to, aby o tom informovali dotknutú organizáciu a poskytli jej možnosť odpovedať. Pozastavenie tokov údajov do určitej organizácie sa ukončí, akonáhle sa zabezpečí dodržiavanie zásad vykonávaných v súlade s FAQ a len čo sú o tom informované dotknuté príslušné orgány v spoločenstve. 2. V prípade, že sa prijmú opatrenia na základe odseku 1, členské štáty o tom bezodkladne informujú Komisiu. 3. Členské štáty a Komisia sa tiež navzájom informujú o prípadoch, kedy konanie orgánov zodpovedných za vymáhanie výkonu zásad vykonávaných v súlade s FAQ v Spojených štátoch nezabezpečuje takéto dodržiavanie. 4. Ak informácie zhromaždené podľa odsekov 1, 2 a 3 poskytujú dôkazy o tom, že určitý orgán zodpovedný za dodržiavanie zásad vykonávaných v súlade s FAQ v Spojených štátoch nevykonáva účinne svoju úlohu, Komisia o tom informuje Ministerstvo obchodu USA a v prípade potreby predloží návrh opatrení v súlade s postupom uvedeným v článku 31 smernice 95/46/ES s cieľom zrušiť alebo pozastaviť účinnosť tohto rozhodnutia alebo obmedziť rozsah jeho pôsobnosti. Článok 4 1. Toto rozhodnutie je možné kedykoľvek upraviť na základe skúseností s jeho vykonávaním a/alebo vtedy, ak úroveň ochrany poskytovanú zásadami a FAQ predstihnú požiadavky právnych predpisov USA. Komisia v každom prípade posúdi vykonávanie tohto rozhodnutia na základe dostupných informácií tri roky po jeho oznámení členským štátom a podá správu o príslušných zisteniach výboru ustanovenému podľa článku 31 smernice 95/46/ES, vrátane akýchkoľvek dôkazov, ktoré by mohli mať vplyv na hodnotenie, podľa ktorého ustanovenia uvedené v článku 1 tohto rozhodnutia poskytujú primeranú ochranu v zmysle článku 25 smernice 95/46/ES a akýchkoľvek dôkazov svedčiacich o tom, že toto rozhodnutie sa vykonáva diskriminačným spôsobom. 2. Komisia v prípade potreby predloží návrh opatrení v súlade s postupom uvedeným v článku 31 smernice 95/46/ES. Článok 5 Členské štáty prijmú opatrenia potrebné na dosiahnutie súladu s týmto rozhodnutím najneskôr do uplynutia lehoty 90 dní odo dňa jeho oznámenia členským štátom. Článok 6 Toto rozhodnutie je adresované členským štátom. V Bruseli 26. júla 2000 Za Komisiu Frederik Bolkestein člen Komisie [1] Ú. v. ES L 381, 23.11.1995, s. 31. [2] Webová adresa tejto pracovnej skupiny je: http://www.europa.eu.int/comm/internal_market/en/media/dataprot/ wpdocs/index.htm [3] WP 12: Prenosy osobných údajov do tretích krajín: uplatňovanie článkov 25 a 26 smernice EÚ o ochrane údajov, prijaté pracovnou skupinou 24. júla 1998. [4] WP 15: Stanovisko 1/99 týkajúce sa úrovne ochrany údajov v Spojených štátoch a prebiehajúce diskusie medzi Európskou komisiou a Spojenými štátmi.WP 19: Stanovisko 2/99 ohľadom primeranosti "medzinárodných zásad bezpečného prístavu" vydaných Ministerstvom obchodu USA 19. apríla 1999.WP 21: Stanovisko 4/99 ohľadom často kladených otázok, ktoré má vydať Ministerstvo obchodu USA v súvislosti s navrhovanými "zásadami bezpečného prístavu" a ohľadom primeranosti "medzinárodných zásad bezpečného prístavu".WP 23: Pracovný dokument týkajúci sa súčasného stavu prebiehajúcich diskusií medzi Európskou komisiou a vládou Spojených štátov ohľadom "medzinárodných zásad bezpečného prístavu".WP 27: Stanovisko 7/99 ohľadom úrovne ochrany údajov poskytovanej "zásadami bezpečného prístavu" uverejnenými spolu s často kladenými otázkami (FAQ) a inými súvisiacimi dokumentmi 15. a 16. novembra 1999 Ministerstvom obchodu USA.WP 31: Stanovisko 3/2000 ohľadom dialógu EÚ/USA týkajúceho sa systému "bezpečného prístavu".WP 32: Stanovisko 4/2000 ohľadom úrovne ochrany poskytovanej "zásadami bezpečného prístavu". [5] Rezolúcia zatiaľ nebola uverejnená v úradnom vestníku. -------------------------------------------------- PRÍLOHA I ZÁSADY "BEZPEČNÉHO PRÍSTAVU" vydané Ministerstvom obchodu USA 21. júla 2000 Súhrnný právny predpis Európskej únie týkajúci sa ochrany súkromia, smernica o ochrane údajov (smernica) nadobudla účinnosť 25. októbra 1998. Táto smernica požaduje, aby sa prenosy osobných údajov vykonávali len do tých nečlenských krajín EÚ, ktoré poskytujú "primeranú" úroveň ochrany súkromia. Napriek tomu, že Spojené štáty a Európska únia sledujú rovnaký cieľ v zmysle zvyšovania ochrany súkromia svojich občanov, Spojené štáty majú k ochrane súkromia prístup, ktorý je odlišný od prístupu Európskej únie. Spojené štáty uplatňujú sektorálny prístup založený na kombinácii právnych predpisov, regulácie a samoregulácie. Vzhľadom na tieto rozdiely mnohé organizácie v USA vyjadrili neistotu, čo sa týka dopadu "štandardu primeranosti úrovne ochrany" požadovaného EÚ na prenos osobných údajov z Európskej únie do Spojených štátov. V záujme zoslabenia týchto pocitov neistoty a poskytnutia predvídateľnejšieho rámca vo vzťahu k takýmto prenosom údajov vydáva Ministerstvo obchodu z titulu svojej zákonnej právomoci tento dokument a často kladené otázky ("zásady") zamerané na podporu, zvýšenie úrovne a rozvoj medzinárodného obchodu. Tieto zásady boli vypracované na základe porád so zástupcami podnikateľskej sféry a verejnosti s cieľom uľahčenia obchodu medzi Spojenými štátmi a Európskou úniou. Sú určené výlučne na to, aby ich využívali organizácie v USA, ktoré získavajú osobné údaje z Európskej únie a ktoré chcú splniť kritériá bezpečného prístavu a z nich vyplývajúci predpoklad "primeranej úrovne" ochrany osobných údajov. Keďže zásady boli vypracované výlučne na tento osobitný účel, ich použitie na iné účely môže byť nevhodné. Tieto zásady nie je možné používať ako náhradu za vnútroštátne právne predpisy vykonávajúce vyššie spomínanú smernicu, ktoré sa uplatňujú na spracúvanie osobných údajov v členských štátoch. Rozhodnutie organizácií splniť kritériá "bezpečného prístavu" je úplne dobrovoľné a organizácie ich môžu spĺňať rôznym spôsobom. Organizácie, ktoré sa rozhodnú dodržiavať zásady musia na to, aby získali a udržali si výhody vyplývajúce zo štatútu "bezpečného prístavu" byť v súlade so zásadami a musia urobiť verejné vyhlásenie, že v súlade s nimi konajú. Napríklad, ak sa určitá organizácia pripojí k samoregulačnému programu ochrany súkromia, ktorý je v súlade so zásadami, spĺňa kritériá bezpečného prístavu. Organizácie môžu splniť kritériá bezpečného prístavu aj tak, že vypracujú svoje vlastné samoregulačné stratégie ochrany súkromia, pokiaľ sú tieto v súlade so zásadami. Tam, kde je spĺňanie zásad určitou organizáciou založené úplne alebo čiastočne na samoregulácii, nedodržiavanie takejto samoregulácie danou organizáciou musí byť tiež trestné podľa oddielu 5 zákona o Federálnej obchodnej komisii zakazujúceho nekalé a klamlivé konanie alebo podľa iného zákona alebo právneho predpisu zakazujúceho takéto konanie. (Pozri prílohu, v ktorej je uvedený zoznam štatutárnych orgánov USA uznávaných Európskou úniou.) Navyše, organizácie podliehajúce zákonnému, regulačnému, administratívnemu alebo inému súboru právnych noriem (alebo súboru pravidiel) účinne ochraňujúcemu súkromie jednotlivcov môžu tiež spĺňať kritériá na získanie výhod vyplývajúcich zo štatútu "bezpečného prístavu". Vo všetkých takýchto prípadoch sa výhody vyplývajúce zo štatútu bezpečného prístavu zaručujú odo dňa, kedy organizácia zamýšľajúca získať štatút organizácie spĺňajúcej kritériá "bezpečného prístavu" sama osvedčí Ministerstvu obchodu (alebo jeho zástupcovi) svoje dodržiavanie zásad v súlade s usmernením uvedeným vo FAQ týkajúcom sa poskytovania takéhoto osvedčenia. Dodržiavanie týchto zásad môže byť obmedzené: a) na mieru potrebnú na splnenie požiadaviek národnej bezpečnosti, verejného záujmu alebo vymáhania práva; b) zákonmi, nariadeniami vlády alebo precedenčným právom, ktoré ustanovujú protichodné povinnosti alebo výslovné oprávnenia, za predpokladu, že pri vykonávaní každého takéhoto oprávnenia môže organizácia preukázať, že jej nedodržiavanie zásad je obmedzené do tej miery, ktorá je potrebná na splnenie vyššie stojacich legitímnych záujmov vyplývajúcich z takéhoto oprávnenia; alebo c) ak účinok určitej smernice v rámci právnych predpisov členského štátu umožňuje výnimky alebo odchýlky, za predpokladu, že takéto výnimky alebo odchýlky sa uplatňujú v porovnateľných súvislostiach. Sledujúc cieľ zvyšovania ochrany súkromia by sa organizácie mali snažiť vykonávať tieto zásady v úplnosti a transparentne, čo tiež znamená, že by v rámci svojich stratégií ochrany súkromia mali uviesť, v akých prípadoch sa budú pravidelne uplatňovať výnimky zo zásad povolené na základe vyššie uvedeného písmena b). Z tých istých dôvodoch sa predpokladá, že tam, kde je v súlade so zásadami a/alebo s právom USA možná voľba medzi určitými alternatívami, si organizácie podľa možnosti zvolia vyššiu úroveň ochrany. Niektoré organizácie môžu mať z praktických alebo iných dôvodov záujem o uplatňovanie zásad na všetky svoje operácie spracúvania údajov, sú však povinné ich uplatňovať len na údaje prenesené po tom, čo získali štatút organizácie spĺňajúcej kritériá "bezpečného prístavu". Na to, aby splnili kritériá "bezpečného prístavu" nie sú organizácie povinné uplatňovať tieto zásady na osobné informácie v rámci systémov neautomatizovaného spracúvania súborov. Organizácie, ktoré majú záujem o výhody vyplývajúce zo štatútu bezpečného prístavu s cieľom získavania informácií zo systémov neautomatizovaného spracovania súborov z Európskej únie musia uplatňovať zásady na všetky takéto informácie prenesené po tom, čo získajú štatút "bezpečného prístavu". Organizácia, ktorá má záujem o rozšírenie výhod vyplývajúcich zo štatútu "bezpečného prístavu" na osobné informácie týkajúce sa ľudských zdrojov prenášané z Európskej únie v súvislosti s pracovnoprávnymi vzťahmi musí túto skutočnosť uviesť pri poskytovaní osvedčenia o svojom dodržiavaní zásad Ministerstvu obchodu (alebo jeho zástupcovi) a musí spĺňať požiadavky uvedené vo FAQ týkajúcej sa takéhoto osvedčenia. Organizácie tiež budú môcť poskytovať záruky potrebné podľa článku 26 smernice vo vzťahu k hmotnoprávnym ustanoveniam o ochrane súkromia, a to v prípade, že zahrnú zásady do písomných dohôd so stranami prenášajúcimi údaje z EÚ a po tom, čo Komisia a členské štáty schvália ostatné ustanovenia vo vzťahu k takýmto modelovým zmluvám. Na otázky výkladu zásad a súladu so zásadami "bezpečného prístavu" (vrátane často kladených otázok) a príslušné stratégie ochrany súkromia uplatňované organizáciami so štatútom bezpečného prístavu sa uplatňuje právo USA, s výnimkou prípadov, kedy sa organizácie zaviazali spolupracovať s európskymi orgánmi na ochranu údajov. Pokiaľ nie je stanovené inak, všetky ustanovenia zásad bezpečného prístavu a často kladené otázky sa uplatňujú tam, kde sú relevantné. "Osobné údaje" a "osobné informácie" sú údaje o identifikovanom alebo identifikovateľnom jednotlivcovi spadajúce do rámca pôsobnosti smernice, ktoré získavajú organizácie v USA od Európskej únie a ktoré sú v akejkoľvek forme zaznamenané. OZNÁMENIE Organizácia musí informovať jednotlivcov o dôvodoch, na základe ktorých vo vzťahu k nim zhromažďuje a využíva informácie, o tom, ako sa majú s danou organizáciou skontaktovať v prípade dopytov alebo sťažností, o druhoch tretích strán, ktorým dané informácie poskytuje a o možnostiach a prostriedkoch, ktoré daná organizácia poskytuje jednotlivcom, ak chcú využívanie a poskytovanie takýchto informácií obmedziť. Toto oznámenie musí byť poskytnuté v jasnom a zrozumiteľnom jazyku vtedy, keď sa od jednotlivcov po prvýkrát požaduje poskytnutie osobných informácií danej organizácii alebo čo najskôr po tom ako je to možné, ale v každom prípade pred tým, než daná organizácia využije takéto informácie na účel iný ako ten, na ktorý boli tieto informácie pôvodne zhromaždené alebo spracúvané prenášajúcou organizáciou alebo pred tým, než daná organizácia poskytne tieto informácie po prvýkrát tretej strane [1]. MOŽNOSŤ VOĽBY Organizácia musí jednotlivcom ponúknuť možnosť rozhodnúť sa (možnosť vyjadriť nesúhlas), či sa ich osobné informácie a) môžu poskytnúť tretej strane [2] alebo b) môžu byť využité na účel, ktorý je nezlučiteľný s cieľom (účelmi), na ktorý (ktoré) boli tieto informácie pôvodne zhromaždené alebo následne schválené daným jednotlivcom. Jednotlivcom musia byť poskytnuté jasné a zreteľné, ľahko dostupné a z hľadiska výdavkov prístupné mechanizmy na výkon takejto voľby. Čo sa týka citlivých informácií (t. j. osobných informácií týkajúcich sa liečebnej starostlivosti alebo zdravotného stavu, rasového alebo etnického pôvodu, politických názorov, náboženskej viery alebo svetonázoru, členstva v odboroch alebo informácií týkajúcich sa sexuálneho života jednotlivca), jednotlivcom musí byť poskytnutá možnosť potvrdzujúcej alebo explicitnej voľby (možnosť vyjadriť súhlas), ak sa príslušné informácie majú poskytnúť tretej strane alebo využiť na účel iný ako ten, na základe ktorého boli tieto informácie pôvodne zhromaždené alebo následne schválené jednotlivcom prostredníctvom výkonu voľby v zmysle vyjadrenia súhlasu. V každom prípade by mala organizácia zaobchádzať ako s citlivými s akýmikoľvek informáciami získanými od tretej strany, ak ich tretia strana identifikuje ako citlivé a zaobchádza s nimi ako s citlivými. ĎALŠÍ PRENOS Aby mohli organizácie poskytnúť informácie tretej strane, musia uplatniť zásady oznámenia a možnosti voľby. Tam, kde chce organizácia preniesť informácie tretej strane, ktorá koná ako sprostredkovateľ, tak ako je to opísané v poznámke na konci, môže tak urobiť, ak sa najprv buď presvedčí o tom, že tretia strana dodržiava zásady alebo podlieha smernici alebo inému právnemu záveru o primeranosti ochrany, alebo ak uzavrie písomnú dohodu s takouto treťou stranou požadujúcu, aby tretia strana poskytovala aspoň takú istú úroveň ochrany súkromia, akú požadujú príslušné zásady. Ak organizácia splní tieto požiadavky, nebude považovaná za zodpovednú (pokiaľ sa organizácia nedohodne inak), ak tretia strana, ktorej organizácia prenáša takéto informácie spracuje tieto informácie spôsobom odporujúcim akýmkoľvek obmedzeniam alebo vyhláseniam, s výnimkou prípadov, kedy daná organizácia vedela alebo mala vedieť, že tretia strana spracuje dané informácie takýmto odporujúcim spôsobom a daná organizácia neuskutočnila náležité kroky, ktoré by zabránili takémuto spracovaniu alebo by ho zastavili. BEZPEČNOSŤ Organizácie zakladajúce, uchovávajúce, využívajúce alebo rozširujúce osobné informácie musia uskutočniť primerané preventívne opatrenia, aby vo vzťahu k týmto informáciám zabránili ich strate, zneužívaniu a neoprávnenému prístupu k nim, ich odhaľovaniu, zmene a zničeniu. INTEGRITA ÚDAJOV V súlade so zásadami musia osobné údaje zodpovedať účelom, na ktoré sa majú využiť. Organizácia nemôže spracúvať osobné informácie spôsobom, ktorý je nezlučiteľný s cieľmi, na základe ktorých boli zhromaždené a následne schválené príslušným jednotlivcom. V miere zodpovedajúcej týmto cieľom by mala organizácia prijať náležité opatrenia na zabezpečenie toho, že údaje sú spoľahlivé vo vzťahu k ich zamýšľanému využitiu, že sú presné, úplné a aktuálne. PRÍSTUP Jednotlivci musia mať prístup k osobným informáciám o sebe, ktoré uchováva určitá organizácia a majú mať možnosť opraviť, zmeniť a doplniť alebo vypustiť určité informácie tam, kde sú tieto nepresné, s výnimkou prípadov, kedy by zaťaženie alebo výdavky súvisiace s poskytnutím prístupu neboli úmerné rizikám vyplývajúcim v danom prípade pre súkromie príslušného jednotlivca alebo tam, kde by boli poškodené práva osôb iných ako príslušný jednotlivec. VYMÁHANIE VÝKONU Účinná ochrana súkromia musí zahrňovať mechanizmy zabezpečujúce dodržiavanie zásad, možnosť nápravy pre jednotlivcov, ktorých sa údaje týkajú a ktorí sú postihnutí v dôsledku nedodržiavania zásad a zabezpečujúce vyvodenie dôsledkov pre príslušnú organizáciu v prípade nedodržiavania zásad. Takéto mechanizmy musia prinajmenšom zahrňovať: a) ľahko dostupné a z hľadiska výdavkov prístupné nezávislé opravné mechanizmy, prostredníctvom ktorých sa odvolaním sa na zásady vyšetrujú a riešia sťažnosti a spory jednotlivcov a priznávajú náhrady škody tam, kde to ustanovuje uplatňované právo alebo iniciatívy súkromného sektoru; b) následné postupy umožňujúce overiť, či sú osvedčenia a tvrdenia spoločností o ich praktikách v oblasti ochrany súkromia pravdivé a či sa praktiky v oblasti ochrany súkromia vykonávajú tak ako sú prezentované; a c) povinnosti napraviť problémy, ktoré vznikli v dôsledku nedodržiavania zásad organizáciami vyhlasujúcim svoju oddanosť zásadám a vyvodenie dôsledkov pre takéto organizácie. Sankcie musia byť dostatočne prísne, aby zabezpečili dodržiavanie zásad organizáciami. [1] Oznámenie alebo možnosť voľby nie je potrebné poskytnúť vtedy, ak sa informácie poskytujú tretej strane konajúcej ako orgán vykonávajúci úlohu (úlohy) v mene alebo na základe pokynov danej organizácie. Na druhej strane v prípadoch takéhoto poskytovania informácií sa uplatňuje zásada ďalšieho prenosu. [2] Oznámenie alebo možnosť voľby nie je potrebné poskytnúť vtedy, ak sa informácie poskytujú tretej strane konajúcej ako orgán vykonávajúci úlohu (úlohy) v mene alebo na základe pokynov danej organizácie. Na druhej strane v prípadoch takéhoto poskytovania informácií sa uplatňuje zásada ďalšieho prenosu. -------------------------------------------------- PRÍLOHA II ČASTO KLADENÉ OTÁZKY (FAQ – Frequently Asked Questions) FAQ 1 – Citlivé údaje Otázka: Musí organizácia vždy poskytnúť jednotlivcovi možnosť explicitnej voľby (možnosť vyjadriť súhlas) vo vzťahu k citlivým údajom? Odpoveď: Nie, takáto možnosť voľby sa nevyžaduje tam, kde je spracúvanie údajov: (1) vykonávané v životne dôležitom záujme osoby, ktorej sa údaje týkajú alebo v životne dôležitom záujme inej osoby; (2) potrebné pre založenie právnych nárokov alebo obhajoby; (3) požadované s cieľom poskytnutia zdravotnej starostlivosti alebo stanovenia diagnózy; (4) vykonávané v priebehu zákonnej činnosti nadácie, združenia alebo akéhokoľvek iného neziskového orgánu majúceho politický, filozofický, náboženský alebo odborársky cieľ za podmienky, že sa spracúvanie týka výlučne členov príslušného orgánu alebo osôb, ktoré sú s ním v pravidelnom kontakte v súvislosti s jeho cieľmi a že sa údaje neposkytnú tretej strane bez súhlasu dotknutých osôb; (5) potrebné pre výkon povinností príslušnej organizácie v oblasti pracovného práva; alebo tam, (6) kde sa spracúvanie týka údajov, ktoré príslušný jednotlivec jasne zverejnil. FAQ 2 – Výnimky pre novinárov Otázka: Berúc do úvahy ústavnú ochranu slobody tlače v USA a výnimku smernice ohľadom novinárskeho materiálu, uplatňujú sa zásady bezpečného prístavu na osobné informácie zhromažďované, uchovávané alebo rozširované na novinársky účel? Odpoveď: Tam, kde sa práva na slobodnú tlač zakotvené v Prvom dodatku k Ústave Spojených štátov prelínajú so záujmami ochrany súkromia, musí Prvý dodatok upravovať vyváženie týchto záujmov so zreteľom na činnosť osôb alebo organizácií v Spojených štátoch. Osobné informácie zhromažďované s cieľom uverejnenia v tlači, vysielania rozhlasom alebo televíziou alebo s cieľom iných foriem verejného oznámenia novinárskeho materiálu, či sa už použije alebo nie, ako aj informácie nájdené v už uverejnenom materiále rozšírenom z mediálnych archívov, nepodliehajú požiadavkám zásad "bezpečného prístavu". FAQ 3 – Druhotná zodpovednosť Otázka: Sú poskytovatelia internetových služieb (IPSs – Internet Service Providers), telekomunikační prepravcovia alebo iné organizácie zodpovedné podľa zásad bezpečného prístavu, ak v mene inej organizácie len prenášajú, smerujú, prepájajú alebo ukladajú informácie, ktoré môžu porušovať tieto zásady? Odpoveď: Nie. Podobne ako je to v prípade samotnej smernice, bezpečný prístav nezakladá druhotnú zodpovednosť. Pokiaľ určitá organizácia koná len ako prenášač údajov vysielaných tretími stranami a nerozhoduje o účeloch a spôsoboch spracúvania týchto osobných údajov, nie je zodpovedná. FAQ 4 – Investičné bankovníctvo a audity Otázka: Činnosť audítorov a investičných bankárov môže zahrňovať spracúvanie osobných údajov bez súhlasu alebo vedomia jednotlivca. Za akých podmienok je toto povolené v rámci zásad týkajúcich sa oznámenia, možnosti voľby a prístupu? Odpoveď: Investiční bankári alebo audítori môžu spracúvať informácie bez vedomia jednotlivca len do miery potrebnej a po dobu potrebnú na to, aby splnili zákonné požiadavky alebo požiadavky verejného záujmu a za iných okolností, za ktorých by sa uplatňovanie týchto zásad dotýkalo legitímnych záujmov príslušnej organizácie. Tieto legitímne záujmy zahrňujú monitorovanie dodržiavania právnych záväzkov spoločnosťami a legitímnu účtovnícku činnosť a potrebu utajenia údajov súvisiacu s prípadnými nákupmi, zlúčeniami, spoločnými podnikmi alebo inými podobnými transakciami vykonávanými investičnými bankármi alebo audítormi. FAQ 5 – Úloha orgánov na ochranu údajov [1] Otázka: Ako budú spoločnosti, ktoré sa zaviažu spolupracovať s orgánmi na ochranu údajov Európskej únie (DPA – Data Protection Authorities) prijímať tieto záväzky a a ako budú tieto záväzky vykonávané? Odpoveď: Podľa zásad "bezpečného prístavu" sa musia organizácie Spojených štátov získavajúce osobné údaje z EÚ zaviazať, že budú uplatňovať účinné mechanizmy na vymáhanie výkonu zásad "bezpečného prístavu". Konkrétne, ako je to ustanovené v zásade týkajúcej sa vymáhania výkonu, musia tieto organizácie poskytovať: a) možnosť nápravy pre jednotlivcov, ktorých sa údaje týkajú, b) následné postupy umožňujúce overiť, či sú osvedčenia a tvrdenia organizácií o ich postupoch v oblasti ochrany súkromia pravdivé a c) záväzky v zmysle nápravy problémov, ktoré vznikli v dôsledku nedodržiavania zásad a vyvodenie dôsledkov pre takéto organizácie. Organizácia môže spĺňať písmená a) a c) zásady týkajúcej sa vymáhania výkonu, ak chce dodržať požiadavky tejto FAQ s cieľom spolupráce s DPA. Organizácia sa môže zaviazať spolupracovať s DPA tým, že v rámci svojho osvedčenia o spĺňaní zásad "bezpečného prístavu" poskytne Ministerstvu obchodu (pozri FAQ 6 týkajúcu sa osvedčenia vydávaného samotnou organizáciou) vyhlásenie, že daná organizácia: 1. sa rozhodla splniť požiadavku v písmenách a) a c) zásady týkajúcej sa vymáhania výkonu zásad "bezpečného prístavu" tým, že sa zaviazala spolupracovať s DPA; 2. bude spolupracovať s DPA pri vyšetrovaní a rozhodovaní vo vzťahu k sťažnostiam vzneseným v rámci systému bezpečného prístavu a 3. bude dodržiavať akékoľvek rady poskytnuté zo strany DPA, ak sú DPA toho názoru, že daná organizácia musí prijať osobitné opatrenia s cieľom splnenia zásad "bezpečného prístavu", vrátane opravných alebo kompenzačných opatrení v prospech jednotlivcov postihnutých v dôsledku nedodržiavania zásad a poskytne DPA písomné potvrdenie, že sa takéto opatrenia vykonali. Spolupráca zo strany DPA bude zabezpečená vo forme informácií a rád nasledujúcim spôsobom: - Rady zo strany DPA sa budú poskytovať prostredníctvom neformálneho výboru DPA ustanoveného na úrovni Európskej únie, ktorý okrem iného pomôže zabezpečiť harmonizovaný a súvislý prístup. - Výbor bude poskytovať rady príslušným organizáciám v Spojených štátoch ohľadom nevyriešených sťažností jednotlivcov týkajúcich sa zaobchádzania s osobnými informáciami, ktoré boli prenesené z EÚ pod ochranou zásad bezpečného prístavu. Cieľom týchto rád bude zabezpečiť, aby sa zásady bezpečného prístavu uplatňovali správne, pričom tieto rady budú zahrňovať akékoľvek nápravné opatrenia vo vzťahu k príslušným jednotlivcom, ktoré budú DPA považovať za primerané. - Výbor bude takéto rady poskytovať ako odpoveď na žiadosti o rozhodnutie zo strany príslušných organizácií a/alebo na sťažnosti obdržané priamo od jednotlivcov voči organizáciám, ktoré sa zaviazali spolupracovať s DPA pre účely bezpečného prístavu, pričom budú nabádať a podľa potreby pomáhať takýmto jednotlivcom, aby najskôr využili vnútropodnikové mechanizmy na vybavovanie sťažností, ktoré poskytuje daná organizácia. - Rady budú poskytnuté len po tom, čo obe strany sporu mali primeranú možnosť vyjadriť sa a poskytnúť podľa svojho želania akékoľvek dôkazy. Výbor sa bude snažiť poskytnúť rady tak rýchlo, ako mu to umožňuje táto požiadavka ohľadom náležitého postupu. Vo všeobecnosti sa výbor bude snažiť poskytnúť rady do 60 dní po obdržaní sťažnosti alebo žiadosti o rozhodnutie a podľa možnosti rýchlejšie. - Výbor zverejní výsledky svojho posúdenia ohľadom sťažností, ktoré mu boli predložené, ak to bude považovať za vhodné. - Poskytnutie rady prostredníctvom výboru nezakladá vo vzťahu k výboru alebo vo vzťahu k jednotlivým DPA žiadnu zodpovednosť. Ako bolo uvedené vyššie organizácie, ktoré sa rozhodnú pre tento spôsob riešenia sporov sa musia zaviazať, že budú držiavať rady poskytnuté zo strany DPA. Ak určitá organizácia do 25 dní odo dňa vydania rád nekoná v súlade s nimi a neposkytne žiadne uspokojujúce vysvetlenie omeškania, výbor oznámi svoj zámer buď predložiť danú záležitosť Federálnej obchodnej komisii alebo inému federálnemu alebo štátnemu orgánu USA so zákonnými právomocami s cieľom konania v zmysle vymáhania výkonu práva v prípadoch podvodu alebo nepravdivého vyhlásenia, alebo svoj zámer rozhodnúť o tom, že dohoda o spolupráci bola vážne porušená a preto musí byť považovaná za neplatnú. V tomto poslednom prípade výbor informuje Ministerstvo obchodu (alebo jeho zástupcu), aby mohol byť náležite upravený zoznam účastníkov systému bezpečného prístavu. Akékoľvek nedodržanie plnenia záväzku spolupracovať s DPA, ako aj nedodržanie plnenia zásad "bezpečného prístavu" sa bude považovať za žalovateľné ako klamlivá praktika podľa oddielu 5 zákona o Federálnej obchodnej komisii alebo podľa iného podobného právneho predpisu. Organizácie, ktoré sa rozhodnú pre túto možnosť budú musieť platiť ročný poplatok určený na pokrytie prevádzkových nákladov výboru a môžu byť dodatočne požiadané, aby uhradili akékoľvek potrebné výdavky na preklad súvisiace s posudzovaním, ktoré výbor uskutočňuje vo vzťahu k žiadostiam o rozhodnutie alebo sťažnostiam voči týmto organizáciám. Ročný poplatok neprekročí 500 amerických dolárov a pre menšie spoločnosti bude nižší. Možnosť spolupráce s DPA budú mať k dispozícii organizácie, ktoré sa po dobu troch rokov zapoja do systému bezpečného prístavu. DPA tento mechanizmus pred uplynutím tejto doby opätovne posúdia, ak sa ukáže, že počet organizácií v USA, ktoré sa rozhodnú pre túto možnosť je príliš vysoký. FAQ 6 – Osvedčenie vydávané samotnou organizáciou Otázka: Akým spôsobom organizácia osvedčuje, že dodržiava zásady bezpečného prístavu? Odpoveď: Výhody vyplývajúce zo štatútu bezpečného prístavu sú zabezpečené odo dňa, kedy určitá organizácia sama poskytne ministerstvu obchodu (alebo jeho zástupcovi) v súlade s nižšie uvedeným usmernením osvedčenie, že dodržiava zásady. S cieľom poskytnutia osvedčenia o svojom dodržiavaní zásad "bezpečného prístavu" môže organizácia poslať Ministerstvu obchodu (alebo jeho zástupcovi) list podpísaný vedúcim pracovníkom spoločnosti v mene danej organizácie pripájajúcej sa k systému bezpečného prístavu, ktorý obsahuje prinajmenšom nasledujúce informácie: 1. názov organizácie, poštovú adresu, e-mailovú adresu, telefónne a faxové čísla; 2. opis činnosti danej organizácie s ohľadom na osobné informácie získavané od EÚ a 3. opis stratégie danej organizácie v oblasti ochrany súkromia vo vzťahu k takýmto osobným informáciám, vrátane: a) miesta, kde je stratégia v oblasti ochrany súkromia dostupná na nahliadnutie pre verejnosť, b) dňa, kedy nadobúda účinnosť vykonávanie tejto stratégie, c) kontaktného orgánu pre vybavovanie sťažností, žiadostí o prístup a akýchkoľvek iných záležitostí vyplývajúcich z uplatňovania systému bezpečného prístavu, d) osobitného štatutárneho orgánu, v ktorého právomoci je vypočutie sťažností voči danej organizácii čo sa týka možných nekalých alebo klamlivých praktík a porušení zákonov alebo iných právnych predpisov upravujúcich ochranu súkromia (a ktorý je uvedený v zozname pripojenom k zásadám), e) názvu akéhokoľvek programu v oblasti ochrany súkromia, ktorého je daná organizácia členom, f) spôsobu overovania (napr. vnútri podniku, treťou stranou) [2], a g) nezávislého opravného mechanizmu, ktorý je dostupný s cieľom vyšetrovania nevyriešených sťažností. Tam, kde má organizácia záujem o to, aby výhody vyplývajúce zo štatútu bezpečného prístavu zahrňovali informácie v oblasti ľudských zdrojov prenášané z EÚ na využitie v súvislosti s pracovnoprávnymi vzťahmi, môže tak urobiť, ak existuje štatutárny orgán s právomocou vypočúvať sťažnosti voči danej organizácii vyplývajúce z informácií týkajúcich sa ľudských zdrojov, ktorý je uvedený v zozname pripojenom k zásadám. Navyše to musí daná organizácia uviesť vo svojom liste a musí vyhlásiť, že sa zaväzuje spolupracovať s orgánom EÚ alebo príslušnými orgánmi v súlade s FAQ 9 a FAQ 5 podľa potreby a že bude dodržiavať rady poskytnuté týmito orgánmi. Ministerstvo obchodu (alebo jeho zástupca) bude udržiavať zoznam všetkých organizácií, ktoré podajú takýto list, ktorým si zabezpečujú dostupnosť výhod vyplývajúcich zo štatútu bezpečného prístavu a bude každoročne aktualizovať takýto zoznam na základe listov a oznámení obdržaných podľa FAQ 11. Takéto listy obsahujúce osvedčenia vydávané samotnými organizáciami by sa mali poskytovať najmenej raz ročne. V opačnom prípade bude organizácia zo zoznamu odstránená a nebudú jej viac zabezpečené výhody vyplývajúce zo štatútu bezpečného prístavu. Tento zoznam i listy obsahujúce osvedčenia jednotlivých organizácií budú verejne sprístupnené. Všetky organizácie, ktoré poskytujú osvedčenie o svojom dodržiavaní zásad "bezpečného prístavu" musia tiež vo svojich príslušných uverejnených vyhláseniach o stratégii ochrany súkromia uviesť, že dodržiavajú zásady "bezpečného prístavu". Záväzok dodržiavať zásady "bezpečného prístavu" nie je časovo obmedzený vo vzťahu k údajom získavaným v priebehu doby, v ktorej daná organizácia využíva výhody bezpečného prístavu. Záväzok organizácie znamená, že bude na takéto údaje naďalej uplatňovať zásady tak dlho, pokiaľ ich bude uchovávať, využívať alebo poskytovať, dokonca aj vtedy, ak následne z akýchkoľvek dôvodov upustí od zásad bezpečného prístavu. Organizácia, ktorá prestane existovať ako samostatná právnická osoba v dôsledku koncentrácie alebo akvizície musí o tom vopred informovať Ministerstvo obchodu (alebo jeho zástupcu). V tomto oznámení by tiež malo byť uvedené, či nadobúdajúca spoločnosť alebo spoločnosť vzniknutá v dôsledku koncentrácie (1) bude výkonom práva upravujúceho akvizíciu alebo koncentráciu naďalej viazaná zásadami "bezpečného prístavu" alebo (2) sa rozhodne poskytnúť osvedčenie o svojom dodržiavaní zásad bezpečného prístavu alebo poskytnúť iné záruky, ako napríklad písomnú dohodu zabezpečujúcu dodržiavanie zásad "bezpečného prístavu". Tam, kde neplatí ani (1) ani (2), musia byť akékoľvek údaje získané v rámci bezpečného prístavu okamžite vymazané. Organizácia nemusí podriadiť všetky osobné informácie zásadám "bezpečného prístavu", ale musí podriadiť zásadám bezpečného prístavu všetky osobné údaje získané od EÚ po tom, čo sa zapojila do systému bezpečného prístavu. Akýkoľvek nepravdivé vyhlásenie pre verejnosť ohľadom dodržiavania zásad bezpečného prístavu určitou organizáciou môže byť žalovateľné zo strany Federálnej obchodnej komisie alebo iného príslušného vládneho orgánu. Nepravdivé vyhlásenie pre Ministerstvo obchodu (alebo jeho zástupcu) môže byť žalovateľné podľa zákona o nepravdivých vyhláseniach (18 U.S.C. (Ústava Spojených štátov) § 1001). FAQ 7 – Overovanie Otázka: Akým spôsobom zabezpečujú organizácie následné postupy umožňujúce overiť, či sú ich osvedčenia a tvrdenia o ich praktikách bezpečného prístavu pravdivé a či sa praktiky bezpečného prístavu vykonávajú tak, ako sú prezentované a v súlade so zásadami bezpečného prístavu? Odpoveď: Aby splnila požiadavky na overovanie ustanovené v zásade týkajúcej sa vymáhania výkonu, organizácia môže takéto osvedčenia a tvrdenia overovať buď prostredníctvom posudzovania dodržiavania zásad "bezpečného prístavu" vykonaného samotnou organizáciou, alebo vykonaného externým posudzovateľom. Pri posudzovaní vykonávanom samotnou organizáciou by sa malo preukázať, že verejne prezentovaná stratégia ochrany súkromia danej organizácie týkajúca sa osobných informácií získavaných z EÚ je presná, vyčerpávajúca, zreteľne prezentovaná, vykonávaná v úplnosti a prístupná. Takéto posúdenie tiež musí preukázať, že stratégia danej organizácie v oblasti ochrany súkromia je v súlade so zásadami "bezpečného prístavu", že jednotlivci sú informovaní o všetkých mechanizmoch dostupných v rámci organizácie, ktoré sa zaoberajú sťažnosťami a o nezávislých mechanizmoch, prostredníctvom ktorých môžu jednotlivci presadzovať svoje sťažnosti; že organizácia uplatňuje postupy na školenie zamestnancov v oblasti vykonávania jej stratégie v oblasti ochrany súkromia a na postihovanie zamestnancov v prípade nedodržania tejto stratégie; a že daná organizácia uplatňuje interné postupy s cieľom vykonávania pravidelného objektívneho posudzovania dodržiavania toho, čo bolo uvedené vyššie. Vyhlásenie osvedčujúce posúdenie vykonané samotnou organizáciou by malo byť podpísané vedúcim pracovníkom spoločnosti alebo iným oprávneným zástupcom danej organizácie najmenej raz za rok a na požiadanie by malo byť sprístupnené jednotlivcom alebo v súvislosti s vyšetrovaním alebo sťažnosťou ohľadom nedodržiavania zásad "bezpečného prístavu". Organizácie by mali uchovávať záznamy o vykonávaní svojich postupov bezpečného prístavu a mali by ich na požiadanie sprístupniť v súvislosti s vyšetrovaním alebo sťažnosťou ohľadom nedodržiavania praktík bezpečného prístavu nezávislému orgánu zodpovednému za vyšetrovanie sťažností alebo orgánu s jurisdikciou týkajúcou sa nekalých a klamlivých postupov. Tam, kde sa určitá organizácia rozhodne pre posúdenie dodržiavania postupov bezpečného prístavu vykonané externým posudzovateľom, takéto posúdenie musí preukázať, že jej stratégia v oblasti ochrany súkromia týkajúca sa osobných informácií získavaných z EÚ je v súlade so zásadami "bezpečného prístavu", že sa dodržiava a že jednotlivci sú informovaní o mechanizmoch, prostredníctvom ktorých môžu presadzovať svoje sťažnosti. Spôsoby posudzovania môžu zahrňovať bez obmedzenia audit, náhodné kontroly, používanie "návnad" alebo podľa potreby využívanie technologických nástrojov. Vyhlásenie osvedčujúce, že bolo úspešne ukončené posúdenie dodržiavania postupov bezpečného prístavu vykonané externým posudzovateľom by malo byť podpísané buď posudzovateľom alebo vedúcim pracovníkom spoločnosti alebo iným oprávneným zástupcom danej organizácie najmenej raz rok a malo by byť na požiadanie sprístupnené jednotlivcom alebo v súvislosti s vyšetrovaním alebo sťažnosťou ohľadom dodržiavania spomínaných praktík. FAQ 8 – Prístup Zásada prístupu: Jednotlivci musia mať prístup k osobným informáciám o sebe, ktoré uchováva určitá organizácia a majú mať možnosť opraviť, zmeniť a doplniť alebo odstrániť takéto informácie tam, kde sú nepresné, s výnimkou prípadov, kedy by zaťaženie alebo výdavky súvisiace s poskytnutím prístupu neboli úmerné rizikám vyplývajúcim v danom prípade pre súkromie príslušného jednotlivca alebo tam, kde by boli poškodené legitímne práva osôb iných ako príslušný jednotlivec. 1. Otázka: Je právo na prístup absolútne? 1. Odpoveď: Nie. Podľa zásad "bezpečného prístavu" je právo na prístup k osobným informáciám základom ochrany súkromia. Konkrétne umožňuje jednotlivcom overovať správnosť informácií, ktoré sa o nich uchovávajú. Povinnosť organizácie poskytovať prístup k osobným informáciám, ktoré uchováva o danom jednotlivcovi však podlieha zásade primeranosti alebo odôvodnenosti a v určitých prípadoch je potrebné ju modifikovať. V skutočnosti Vysvetľujúce memorandum z roku 1980 týkajúce sa usmernení OECD ohľadom ochrany súkromia jasne ustanovuje, že povinnosť organizácie umožniť prístup k osobným informáciám nie je absolútna. Toto memorandum nevyžaduje príliš podrobné vyhľadávanie prikazované napríklad pod hrozbou potrestania, ani nevyžaduje prístup ku všetkým rôznym formám, v ktorých môže príslušná organizácia informácie uchovávať. Skúsenosti skôr ukázali, že pri reagovaní na žiadosti jednotlivcov ohľadom prístupu k ich osobným informáciám by sa organizácie mali predovšetkým riadiť dôvodom (dôvodmi), ktoré viedli k príslušným žiadostiam. Napríklad, ak je žiadosť o prístup nejasná alebo rozsahom všeobecná, organizácia môže s jednotlivcom nadviazať dialóg, aby lepšie pochopila motiváciu danej žiadosti a lokalizovala zodpovedajúce informácie. Organizácia sa môže zaujímať o to, s ktorou organizačnou súčasťou (súčasťami) danej organizácie príslušný jednotlivec komunikoval a/alebo o povahu informácií (alebo ich využití), ktoré sú predmetom žiadosti o prístup. Jednotlivci však nemusia odôvodňovať svoju žiadosť o prístup k svojim vlastným údajom. Výdavky a zaťaženie sú významnými faktormi a mali by sa brať do úvahy, ale nie sú určujúce pri rozhodovaní o tom, či je umožnenie prístupu odôvodnené. Napríklad, ak sa dané informácie využívajú pri rozhodnutiach, ktoré významne ovplyvnia daného jednotlivca (napríklad zamietnutie alebo priznanie dôležitých dávok, ako napríklad poistného, hypotéky alebo práce), potom v súlade s ostatnými ustanoveniami týchto FAQ by organizácia mala poskytnúť tieto informácie dokonca aj vtedy, ak je toto poskytnutie relatívne zložité alebo nákladné. Ak požadované informácie nie sú citlivé alebo sa nevyužívajú pri rozhodnutiach, ktoré významne ovplyvnia daného jednotlivca (napr. necitlivé marketingové údaje využívané na rozhodnutie o tom, či sa má alebo nemá danému jednotlivcovi poslať katalóg), ale sú ľahko dostupné a ich poskytnutie nie je nákladné, organizácia by mala poskytnúť prístup ku skutočným informáciám, ktoré táto organizácia uchováva o danom jednotlivcovi. Tieto informácie by mohli zahrňovať skutočnosti získané od jednotlivca, skutočnosti zhromaždené v priebehu určitej transakcie alebo skutočnosti týkajúce sa daného jednotlivca získané od iných osôb. V súlade so základnou povahou prístupu k osobným informáciám by sa organizácie mali vždy v dobrej viere snažiť poskytnúť prístup. Napríklad, ak je potrebné určité informácie chrániť a dajú sa ľahko oddeliť od iných informácií, ktorých sa týka žiadosť o prístup, organizácia by mala upraviť chránené informácie a mala by sprístupniť ostatné informácie. Ak organizácia rozhodne, že v niektorom konkrétnom prípade by sa mal prístup zamietnuť, mala by jednotlivcovi požadujúcemu prístup poskytnúť vysvetlenie, prečo sa takto rozhodla a mala by mu udať kontaktné miesto, na ktoré sa môže obrátiť v prípade ďalších otázok. 2. Otázka: Čo sú to dôverné obchodné informácie a môžu organizácie zamietnuť prístup s cieľom ich ochrany? 2. Odpoveď: Dôverné obchodné informácie (keďže tento termín sa používa vo Federálnych pravidlách občianskoprávneho konania týkajúcich sa sprístupnenia) sú informácie, vo vzťahu ku ktorým určitá organizácia podnikla kroky v zmysle ich ochrany pred zverejnením tam, kde by na určitom trhu odhalenie týchto informácií pomohlo konkurenčnej spoločnosti. Určitý počítačový program používaný určitou organizáciou ako napríklad modelovací program alebo podrobnosti tohto programu môžu byť dôvernými obchodnými informáciami. Tam, kde je možné dôverné obchodné informácie ľahko oddeliť od iných informácií, ktorých sa týka žiadosť o prístup, daná organizácia by mala upraviť dôverné obchodné informácie a mala by sprístupniť nedôverné informácie. Organizácie môžu zamietnuť alebo obmedziť prístup, pokiaľ by poskytnutie prístupu odhalilo jej vlastné dôverné obchodné informácie, tak ako boli vymedzené vyššie, ako napríklad marketingové odhady alebo kategorizácie vypracované danou organizáciou alebo dôverné obchodné informácie inej organizácie tam, kde takéto informácie podliehajú zmluvnej povinnosti utajenia za okolností, kedy by sa k takejto povinnosti utajenia organizácia spravidla zaviazala alebo by jej bola uložená. 3. Otázka: Pri poskytovaní prístupu môže organizácia odhaliť jednotlivcom osobné informácie o nich stiahnuté z jej databáz alebo sa vyžaduje poskytnutie prístupu k samotnej databáze? 3. Odpoveď: Prístup je možné poskytnúť tak, že organizácia sprístupní osobné informácie jednotlivcovi, pričom sa nevyžaduje, aby organizácia poskytla jednotlivcovi prístup k svojej databáze. 4. Otázka: Musí organizácia reštrukturalizovať svoje databázy, aby mohla poskytnúť prístup k osobným informáciám? 4. Odpoveď: Prístup k osobným informáciám je potrebné poskytnúť len vtedy, ak organizácia dané informácie uchováva. Samotná zásada prístupu nezakladá povinnosť uchovávať, udržiavať, reorganizovať alebo reštrukturalizovať súbory s osobnými informáciami. 5. Otázka: Z týchto odpovedí je jasné, že v určitých prípadoch je možné prístup zamietnuť. V ktorých iných prípadoch môže organizácia zamietnuť jednotlivcom prístup k ich osobným informáciám? 5. Odpoveď: Takéto okolnosti sú obmedzené a akékoľvek dôvody na zamietnutie prístupu musia byť osobitné. Organizácia môže zamietnuť poskytnutie prístupu k informáciám, pokiaľ je pravdepodobné, že takéto poskytnutie je v rozpore s ochranou dôležitých verejných záujmov, ako napríklad národná bezpečnosť; obrana; alebo verejná bezpečnosť. Okrem toho tam, kde sa osobné informácie spracúvajú výlučne pre účely výskumu alebo štatistiky, môže byť prístup zamietnutý. Iné dôvody na zamietnutie alebo obmedzenie prístupu k osobným informáciám sú: a) rozpor s výkonom alebo vymáhaním výkonu práva, vrátane prevencie, vyšetrovania alebo odhaľovania trestných činov alebo práva na spravodlivý proces; b) rozpor so súkromnými žalobnými dôvodmi, vrátane prevencie, vyšetrovania alebo odhaľovania právnych nárokov alebo práva na spravodlivý proces; c) poskytovanie osobných informácií týkajúcich sa iného jednotlivca (iných jednotlivcov) tam, kde takéto odkazy nie je možné revidovať; d) porušovanie zákonnej alebo inej profesionálnej výsady alebo povinnosti; e) porušovanie potrebnej dôvernosti budúcich alebo prebiehajúcich rokovaní, napríklad takých, ktoré zahrňujú akvizíciu verejne kótovaných spoločností; f) škodlivé ovplyvňovanie vyšetrovania bezpečnosti pri práci alebo konania vo veci pracovných sťažností; g) narušovanie dôvernosti, ktorá môže byť na obmedzenú dobu potrebnú v súvislosti s plánovaním zmien v obsadzovaní funkcií v rámci určitej spoločnosti a s reorganizáciou určitej spoločnosti, alebo h) narušovanie dôvernosti, ktorá môže byť potrebná v súvislosti s monitorovaním, kontrolou alebo regulačnými funkciami súvisiacimi s dobrým hospodárskym alebo finančným riadením, alebo i) iné okolnosti, za ktorých by zaťaženie alebo náklady súvisiace s poskytnutím prístupu boli neúmerné alebo by boli porušené legitímne práva alebo záujmy iných osôb. Organizácia, ktorá si nárokuje výnimku má povinnosť preukázať jej uplatniteľnosť (zvyčajne to tak je). Ako bolo uvedené vyššie, jednotlivcom by sa mali uviesť dôvody zamietnutia alebo obmedzenia prístupu k osobným informáciám a kontaktné miesto pre prípad, že by mali ďalšie otázky. 6. Otázka: Môže organizácia účtovať poplatok na pokrytie nákladov za poskytnutie prístupu k osobným informáciám? 6. Odpoveď: Áno. Usmernenia OECD pripúšťajú, že organizácie môžu účtovať poplatok za predpokladu, že nie je príliš vysoký. To znamená, že organizácie môžu za prístup k osobným informáciám účtovať primeraný poplatok. Účtovanie poplatkov môže byť užitočné z hľadiska odradzovania opakujúcich sa a zlomyseľných žiadostí. To znamená, že organizácie, ktorých predmetom podnikania je predaj verejne dostupných informácií môžu pri odpovedaní na žiadosti o prístup k osobným informáciám účtovať obvyklý poplatok danej organizácie. Jednotlivci sa môžu prípadne pokúsiť o prístup k informáciám o sebe u organizácií, ktoré pôvodne zhromaždili dané údaje. Prístup nemôže byť zamietnutý kvôli nákladom, ak príslušný jednotlivec ponúka zaplatenie nákladov. 7. Otázka: Musí organizácia poskytnúť prístup k osobným informáciám získaným z verejných záznamov? 7. Odpoveď: Po prvé si treba vyjasniť, že verejné záznamy sú tie záznamy uchovávané vládnymi orgánmi alebo právnickými osobami na akejkoľvek úrovni, ktoré sú vo všeobecnosti otvorené pre verejnosť s cieľom dopytovania. Na takéto informácie nie je potrebné uplatňovať zásadu prístupu, pokiaľ nie sú kombinované s inými osobnými informáciami, s výnimkou prípadov, kedy sa neveľké množstvo informácií z neverejných záznamov používa na registrovanie alebo organizovanie informácií vo verejných záznamoch. Je však potrebné rešpektovať akékoľvek podmienky dopytovania stanovené príslušnou jurisdikciou. Avšak tam, kde sú informácie z verejných záznamov kombinované s inými informáciami z neverejných záznamov (iných ako tie, ktoré boli osobitne uvedené vyššie), organizácia musí poskytnúť prístup ku všetkým takým informáciám za predpokladu, že nepodliehajú iným povoleným výnimkám. 8. Otázka: Musí sa zásada prístupu uplatňovať na verejne dostupné osobné informácie? 8. Odpoveď: Podobne ako pri informáciách z verejných záznamov (pozri Q 7), nie je potrebné poskytovať prístup k informáciám, ktoré už sú verejne dostupné širokej verejnosti, pokiaľ nie sú kombinované s informáciami, ktoré nie sú verejne dostupné. 9. Otázka: Ako sa môže organizácia chrániť pred opakovanými alebo zlomyseľnými žiadosťami o prístup? 9. Odpoveď: Organizácia nemusí odpovedať na takéto žiadosti o prístup. Z týchto dôvodov môžu organizácie účtovať primeraný poplatok a môžu stanoviť primerané limity na počet prípadov v rámci určitého časového obdobia, kedy sa vyhovie žiadostiam určitého jednotlivca o prístup k osobným informáciám. Pri stanovovaní takýchto limitov by organizácia mala zohľadniť také faktory ako frekvencia, s akou sa informácie aktualizujú, účel, na ktorý sa dané údaje využívajú a povahu daných informácií. 10. Otázka: Ako sa organizácia môže chrániť pred podvodnými žiadosťami o prístup? 10. Odpoveď: Organizácia nemusí poskytnúť prístup k osobným informáciám, pokiaľ jej nie sú dodané dostatočné informácie, ktoré jej umožnia potvrdiť totožnosť osoby, ktorá podáva žiadosť. 11. Otázka: Existuje nejaký časová lehota, v rámci ktorého musia byť poskytnuté odpovede na žiadosti o prístup? 11. Odpoveď: Áno, organizácie by mali odpovedať bez neprimeraného oneskorenia a v primeranej časovej lehote. Túto požiadavku možno splniť rôznym spôsobom, ako to stanovuje Vysvetľujúce memorandum k usmerneniam OECD o ochrane súkromia z roku 1980. Napríklad prevádzkovateľ údajov, ktorý v pravidelných intervaloch poskytuje informácie dotknutým osobám, ktoré sú predmetom údajov, je možné vyňať z povinnosti odpovedať okamžite na individuálne žiadosti. FAQ 9 – Ľudské zdroje 1. Otázka: Podlieha prenos osobných informácií z EÚ do Spojených štátov zhromaždených v súvislosti s pracovnoprávnymi vzťahmi zásadám bezpečného prístavu? 1. Otázka: Áno, tam, kde spoločnosť v EÚ prenáša osobné informácie o svojich zamestnancoch (minulých alebo súčasných) zhromaždené v súvislosti s pracovným pomerom do materskej, sesterskej alebo nesesterskej spoločnosti, ktorá poskytuje služby v Spojených štátoch a ktorá je účastníčkou systému bezpečného prístavu, na daný prenos sa vzťahujú výhody vyplývajúce zo systému bezpečného prístavu. V takýchto prípadoch zhromažďovanie informácií a ich spracúvanie pred prenosom podlieha vnútroštátnym právnym predpisom krajiny EÚ, v ktorej boli dané informácie zhromaždené a musia byť rešpektované akékoľvek podmienky alebo obmedzenia vo vzťahu k prenosu týchto informácií ustanovené týmto predpismi. Zásady bezpečného prístavu sú relevantné len vtedy, keď sa prenášajú individuálne identifikované záznamy alebo keď ide o prístup k takýmto záznamom. Na štatistické výkazy založené na súhrnných údajoch o zamestnancoch a/alebo na využívaní anonymizovaných alebo pseudoanonymizovaných údajov sa nevzťahujú problémy ochrany súkromia. 2. Otázka: Ako sa na takéto informácie uplatňujú zásady oznámenia a možnosti voľby? 2. Odpoveď: Organizácia v USA, ktorá získala informácie týkajúce sa zamestnancov z EÚ v rámci systému bezpečného prístavu môže tieto informácie poskytnúť tretím stranám a/alebo ich využívať na rôzne účely len v súlade so zásadami oznámenia a možnosti voľby. Napríklad tam, kde chce určitá organizácia využiť osobné informácie zhromaždené v rámci pracovného pomeru na účely nesúvisiace s pracovnoprávnymi vzťahmi, ako napríklad na marketingovú komunikáciu, daná organizácia v USA musí pred tým, než tak urobí, poskytnúť dotknutým jednotlivcom možnosť voľby, pokiaľ títo jednotlivci už nedali svoj súhlas na využitie daných informácií na takéto účely. Navyše, takáto možnosť voľby sa nesmie použiť na obmedzenie pracovných príležitostí alebo na represívne konanie voči takýmto zamestnancom. Treba podotknúť, že určité všeobecne uplatniteľné podmienky na prenos z niektorých členských štátov môžu vylučovať iné možnosti využitia takýchto informácií po prenose mimo EÚ a takéto podmienky sa budú musieť rešpektovať. Navyše, zamestnávatelia by mali vynaložiť primerané úsilie na to, aby vyhoveli zamestnancom uprednostňujúcim ochranu svojho súkromia. To by napríklad mohlo znamenať obmedzenie prístupu k príslušným údajom, anonymizovanie určitých údajov alebo pridelenie kódov alebo pseudonymov v prípadoch, kedy sa pre účely manažmentu nevyhnutne nevyžadujú skutočné mená. Do tej miery a po takú dobu, ktoré sú potrebné na to, aby neboli dotknuté legitímne záujmy organizácie v oblasti vykonávania náboru, prijímania do zamestnania alebo iných pracovnoprávnych rozhodnutí organizácia nemusí poskytnúť oznámenie a možnosť voľby. 3. Otázka: Ako sa v tejto oblasti uplatňuje zásada prístupu k osobným informáciám? 3. Odpoveď: FAQ týkajúce sa prístupu k osobným informáciám poskytujú usmernenie čo sa týka dôvodov, ktoré môžu opodstatňovať odmietnutie alebo obmedzenie prístupu na požiadanie v súvislosti s ľudskými zdrojmi. Zamestnávatelia v Európskej únii musia prirodzene dodržiavať miestne právne predpisy a zabezpečiť, aby mali zamestnanci v rámci Európskej únie prístup k takýmto informáciám, tak ako to vyžaduje právo v ich domovských krajinách bez ohľadu na to, na akom mieste sa údaje spracúvajú a uchovávajú. Zásady "bezpečného prístavu" vyžadujú, aby organizácia, ktorá spracúva takéto údaje v Spojených štátoch spolupracovala pri poskytovaní takéhoto prístupu buď priamo, alebo prostredníctvom zamestnávateľa v EÚ. 4. Otázka: Ako sa bude v súlade so zásadami bezpečného prístavu uplatňovať vymáhanie výkonu vo vzťahu k údajom o zamestnancoch? 4. Odpoveď: Pokiaľ sa informácie využívajú len v rámci pracovnoprávnych vzťahov, prvotná zodpovednosť za údaje vo vzťahu k zamestnancom spočíva na príslušnej spoločnosti v EÚ. To znamená, že v prípade, že európski zamestnanci podajú sťažnosti týkajúce sa porušovania ich práv na ochranu údajov a nie sú spokojní s výsledkami interného posúdenia, konania v rámci sťažnosti a odvolacieho konania (alebo iného uplatňovateľného konania v rámci pracovných sťažností v súlade so zmluvou s odbormi), tieto sťažnosti by mali byť podané na štátny alebo národný orgán na ochranu údajov alebo na úrad práce, v rámci jurisdikcie ktorých daný zamestnanec pracuje. Týka sa to aj prípadov, kedy sa údajné nesprávne zaobchádzanie s osobnými informáciami spomínaných zamestnancov udialo v Spojených štátoch, kedy je zodpovedná organizácia v USA, ktorá získala dané informácie od zamestnávateľa a nie zamestnávateľ, čo znamená, že ide o údajné porušenie zásad bezpečného prístavu a nie porušenie vnútroštátnych právnych predpisov vykonávajúcich smernicu. Toto bude najúčinnejší spôsob riešenia často sa prekrývajúcich práv a povinností ukladaných miestnym pracovným právom a pracovnými dohodami, ako aj právom v oblasti ochrany údajov. Organizácia v USA, ktorá sa zúčastňuje na systéme bezpečného prístavu a ktorá využíva údaje EÚ v oblasti ľudských zdrojov prenášané z Európskej únie v súvislosti s pracovnoprávnymi vzťahmi a ktorá má záujem o to, aby takéto prenosy spadali pod zásady bezpečného prístavu sa musí preto zaviazať, že v takýchto prípadoch bude spolupracovať pri vyšetrovaniach príslušných orgánov EÚ a že bude dodržiavať rady týchto orgánov. DPA, ktoré súhlasili s takýmto spôsobom spolupráce budú o tom informovať Európsku komisiu a Ministerstvoobchodu USA. Ak má organizácia v USA zúčastňujúca sa na systéme bezpečného prístavu záujem o prenos údajov týkajúcich sa ľudských zdrojov z určitého členského štátu bez schválenia príslušnej DPA, budú sa uplatňovať ustanovenia FAQ 5. FAQ 10 – Zmluvy podľa článku 17 Otázka: Ak sa údaje prenášajú z EÚ do Spojených štátov len s cieľom spracúvania, bude potrebná zmluva bez ohľadu nato, či sa spracovateľ zúčastňuje na systéme bezpečného prístavu? Odpoveď: Áno. Od správcov údajov v Európskej únii sa vždy vyžaduje, aby uzavreli zmluvu v prípade, ak sa prenos vykonáva len s cieľom spracúvania údajov, bez ohľadu na to, či sa operácia spracúvania vykonáva vnútri alebo mimo EÚ. Cieľom zmluvy je chrániť záujmy správcu údajov, t. j. osoby alebo orgánu určujúceho účely a prostriedky spracúvania a plne zodpovedného za dané údaje vo vzťahu k príslušnému jednotlivcovi (jednotlivcom). V zmluve sa preto presne určuje spracúvanie, ktoré sa vykonať a všetky prostriedky potrebné na zabezpečenie ochrany daných údajov. To znamená, že organizácia v USA zúčastňujúca sa na systéme bezpečného prístavu a získavajúca osobné informácie z EÚ len s cieľom spracúvania nemusí uplatňovať na tieto informácie zásady, pretože v súlade s príslušnými predpismi EÚ (ktoré môžu byť prísnejšie ako zodpovedajúce zásady "bezpečného prístavu") za tieto informácie zodpovedá voči jednotlivcovi osoba zodpovedná za spracovanie. Keďže účastníci bezpečného prístavu poskytujú primeranú ochranu osobných informácií, zmluvy s účastníkmi bezpečného prístavu týkajúce sa výlučne spracúvania údajov si nevyžadujú predchádzajúci súhlas (alebo takýto súhlas poskytnú členské štáty automaticky), ktorý by sa vyžadoval v prípade zmlúv s príjemcami údajov, ktorí sa nezúčastňujú na systéme bezpečného prístavu alebo iným spôsobom neposkytujú primeranú ochranu osobných informácií. FAQ 11 – Riešenie sporov a vymáhanie výkonu Otázka: Ako by sa mali vykonávať požiadavky zásady vymáhania výkonu týkajúce sa riešenia sporov ako sa bude postupovať v prípade, že určitá organizácia sústavne nedodržiava zásady? Odpoveď: Zásada vymáhania výkonu ustanovuje požiadavky na vymáhanie výkonu zásad bezpečného prístavu. To, ako sa majú splniť požiadavky bodu b) tejto zásady je stanovené vo FAQ týkajúcej sa overovania (FAQ 7). Táto FAQ 11 sa týka bodov a) a c), ktoré oba požadujú nezávislé opravné mechanizmy. Tieto mechanizmy môžu mať rôznu formu, avšak musia spĺňať požiadavky zásady vymáhania výkonu. Organizácie môžu splniť tieto požiadavky nasledujúcim spôsobom: (1) dodržiavaním programov ochrany súkromia vypracovaných súkromným sektorom, ktoré začleňujú do svojich pravidiel zásady bezpečného prístavu a ktoré zahrňujú účinné mechanizmy vymáhania výkonu toho druhu, ktorý je opísaný v zásade vymáhania výkonu; (2) podrobením sa zákonným alebo regulačným dozorným orgánom, ktoré zabezpečujú vybavovanie individuálnych sťažností a riešenie sporov; alebo (3) tým, že sa zaviažu spolupracovať s orgánmi na ochranu údajov sídliacimi v Európskej únii alebo s ich oprávnenými zástupcami. Vymenovanie vyššie uvedených spôsobov má ilustratívny a nie obmedzujúci charakter. Súkromný sektor môže vypracovať iné mechanizmy na zabezpečenie vymáhania výkonu, pokiaľ tieto mechanizmy budú spĺňať požiadavky zásady vymáhania výkonu a FAQs. Treba upozorniť na to, že požiadavky zásady vymáhania výkonu sú dodatočnými požiadavkami k požiadavkám ustanoveným v odseku 3 úvodu k zásadám, podľa ktorých samoregulačné pravidlá musia byť vymáhateľné podľa článku 5 zákona o Federálnej obchodnej komisii alebo podľa podobného právneho predpisu. Opravné mechanizmy Jednotlivci by mali byť podporovaní v tom, aby pred tým, než sa obrátia na nezávislé opravné mechanizmy podávali svoje sťažnosti na príslušné organizácie. To, či je určitý opravný mechanizmus nezávislý je faktická otázka, ktorú možno zodpovedať viacerými spôsobmi, napríklad preukázaním transparentnej štruktúry a financovania alebo dobrým osvedčením z predchádzajúcej činnosti. Ako to vyžaduje zásada vymáhania výkonu, opravný mechanizmus dostupný pre jednotlivcov musí byť ľahko prístupný a z hľadiska výdavkov prijateľný. Orgány pre riešenie sporov by mali prešetriť každú sťažnosť, ktorú dostanú od jednotlivcov, pokiaľ tieto sťažnosti nie sú očividne nepodložené alebo neodôvodnené. Toto však nevylučuje možnosť, že organizácia prevádzkujúca opravný mechanizmus zavedie požiadavky súvisiace s oprávnenosťou podania sťažnosti, avšak takéto požiadavky musia byť transparentné a odôvodnené (napríklad požiadavka na vylúčenie sťažností, ktoré nespadajú do rámca pôsobnosti daného programu alebo patria na posúdenie inému fóru) a ich výsledkom by nemalo byť narušenie záväzku ohľadom prešetrovania oprávnených sťažností. Okrem toho by opravné mechanizmy mali jednotlivcom poskytovať úplné a ľahko dostupné informácie o tom, aký je postup v rámci konania týkajúceho sa riešenia sporov v prípade, že podajú sťažnosť. Takéto informácie by mali obsahovať upozornenie na praktiky daného mechanizmu v oblasti ochrany súkromia, a to v súlade so zásadami "bezpečného prístavu" [3]. Opravné mechanizmy by tiež mali spolupracovať na vypracovaní nástrojov ako napríklad štandardných formulárov na podávanie sťažnosti, aby tak uľahčili proces riešenia sťažností. Opatrenia a sankcie Výsledkom akýchkoľvek nápravných opatrení ustanovených orgánom na riešenie sporov by malo byť to, že daná organizácia do tej miery, po ktorú je to možné, zvráti alebo opraví nedodržiavanie zásad a to, že ďalšie spracúvanie údajov danou organizáciou bude v súlade so zásadami a tam, kde je to vhodné, to, že spracúvanie osobných údajov jednotlivca, ktorý podal sťažnosť, bude ukončené. Sankcie musia byť dostatočne prísne, aby sa zabezpečilo dodržiavanie zásad danou organizáciou. Rozsah sankcií rôzneho stupňa prísnosti umožní orgánom na riešenie sporov primerane reagovať na rozličné stupne nedodržiavania zásad. Sankcie by mali zahrňovať tak uverejnenie zisteného nedodržiavania zásad, ako aj požiadavku vymazať za určitých okolností dané údaje [4]. Iné sankcie by mohli zahrňovať pozastavenie a odobratie oprávnenia používať označenie štatútu bezpečného prístavu, kompenzáciu pre jednotlivcov za straty spôsobené v dôsledku nedodržiavania zásad a príkazných opatrení. Orgány súkromného sektoru pre riešenie sporov a samoregulačné orgány musia oznámiť prípady, kedy organizácie so štatútom bezpečného prístavu nedodržiavajú svoje pravidlá vládnemu orgánu s uplatniteľnou jurisdikciou alebo súdom, podľa toho, čo je v konkrétnom prípade vhodné, a musia informovať Ministerstvo obchodu USA (alebo jeho zástupcu). Činnosť Federálnej obchodnej komisie (FTC – Federal Trade Commission) Federálna obchodná Komisia sa zaviazala prioritne posudzovať žiadosti o rozhodnutie obdržané od súkromných organizácií uplatňujúcich samoreguláciu, ako napríklad BBOnline a TRUSTe, a od členských štátov EÚ sťažujúcich sa na nedodržiavanie zásad "bezpečného prístavu" s cieľom zistiť, či bol porušený oddiel 5 zákona FTC zakazujúci nekalé alebo klamlivé konanie alebo praktiky v rámci obchodovania. Ak FTC príde k záveru, že má dôvod (dôvody) domnievať sa, že bol porušený oddiel 5, môže v danej veci rozhodnúť tak, že bude žiadať administratívny príkaz na zastavenie činnosti zakazujúci namietané praktiky alebo tak, že podá sťažnosť na federálny obvodný súd, výsledkom čoho by v prípade úspechu mohol byť príkaz federálneho súdu s tým istým účinkom. FTC môže uložiť civilné sankcie za porušenie administratívneho príkazu na zastavenie činnosti a môže konať v rámci urážky súdu v civilnom alebo trestnom práve za porušenie príkazu federálneho súdu. Každý takýto krok oznámi Federálna obchodná Komisia Ministerstvu obchodu USA. Ministerstvo obchodu podnecuje iné vládne orgány, aby ho informovali o konečnom vybavení takýchto žiadostí o rozhodnutie alebo o iných rozhodnutiach nariaďujúcich dodržiavanie zásad bezpečného prístavu. Trvalé nedodržiavanie zásad Ak určitá organizácia trvale nedodržiava zásady, nemá už ďalej nárok na výhody vyplývajúce zo štatútu bezpečného prístavu. Trvalé nedodržiavanie zásad nastane tam, kde organizácia, ktorá sama osvedčila svoje dodržiavanie zásad Ministerstvu obchodu USA (alebo jeho zástupcovi) odmietne splniť rozhodnutie samoregulačného alebo vládneho orgánu alebo tam, kde takýto orgán rozhodne, že určitá organizácia často nedodržiava zásady až do tej miery, že jej tvrdenie o dodržiavaní zásad nie je viac vierohodné. V týchto prípadoch musí daná organizácia okamžite informovať Ministerstvo obchodu (alebo jeho zástupcu) o takýchto skutočnostiach. Ak to neurobí, môže byť žalovateľná podľa zákona o nepravdivom vyhlásení (18 U.S.C. § 1001). Ministerstvo obchodu USA (alebo jeho zástupca) uvedie na ním udržiavanom verejnom zozname organizácií, ktoré osvedčili svoje dodržiavanie zásad každé oznámenie, ktoré obdrží vo vzťahu k trvalému nedodržiavaniu zásad, či už je toto oznámenie od samotnej organizácie, od samoregulačného orgánu alebo od vládneho orgánu, ale len po tom, čo ministerstvo najprv tridsať (30) dní vopred danú organizáciu nedodržiavajúcu zásady upozorní a dá jej príležitosť reagovať. Vo verejnom zozname udržiavanom Ministerstvom obchodu (alebo jeho zástupcom) bude tiež jasne uvedené, ktoré organizácie majú zabezpečené a ktoré organizácie už nemajú zabezpečené výhody bezpečného prístavu. Organizácia, ktorá podáva žiadosť o účasť na samoregulačnom orgáne s cieľom opätovného splnenia kritérií bezpečného prístavu musí poskytnúť tomuto orgánu úplné informácie o svojej predchádzajúcej účasti v systéme bezpečného prístavu. FAQ 12 – Možnosť voľby – Časové súvislosti vyjadrenia nesúhlasu s využívaním osobných informácií ("Opt out") Otázka: Umožňuje zásada možnosti voľby jednotlivcovi vykonať voľbu len na začiatku vzťahu s určitou organizáciou alebo kedykoľvek? Odpoveď: Vo všeobecnosti je cieľom zásady možnosti voľby zabezpečiť, aby sa osobné informácie využívali a poskytovali spôsobmi, ktoré sú zlučiteľné s očakávaním a rozhodnutím daného jednotlivca. To znamená, že jednotlivec by mal mať možnosť vyjadriť nesúhlas (alebo súhlas) vo vzťahu k tomu, či sa majú jeho osobné informácie využiť na priamy marketing, kedykoľvek podliehajúc primeraným obmedzeniam stanoveným danou organizáciou, ako napríklad poskytnutie času pre organizáciu, aby mohla urobiť kroky v tom zmysle, aby vyjadrenie nesúhlasu jednotlivca s využívaním jeho osobných informácií nadobudlo účinnosť. Organizácia môže tiež požadovať dostatočné informácie na potvrdenie totožnosti jednotlivca požadujúceho ukončenie využívania jeho osobných informácií. V Spojených štátoch môžu jednotlivci vykonávať túto možnosť voľby prostredníctvom využívania relevantného centrálneho programu ako napríklad Poštová preferenčná služba Združenia priameho marketingu. Organizácie, ktoré sa zúčastňujú na Poštovej preferenčnej službe Združenia priameho marketingu by mali podporovať jej dostupnosť pre spotrebiteľov, ktorí si neželajú dostávať komerčné informácie. V každom prípade by jednotlivec mal mať k dispozícii ľahko dostupný a z hľadiska výdavkov prístupný mechanizmus na výkon tejto možnosti. Podobne môže organizácia využívať informácie na určité priame marketingové účely, keď nie je prakticky možné poskytnúť jednotlivcovi príležitosť vyjadriť nesúhlas pred použitím daných informácií, ak daná organizácia zároveň (a na požiadanie kedykoľvek) poskytne jednotlivcovi takúto možnosť zamietnuť (bez toho, že by to jednotlivca niečo stálo), aby mu boli doručované akékoľvek ďalšie priame marketingové oznamy a ak organizácia vyhovie želaniu jednotlivca. FAQ 13 – Informácie súvisiace s cestovaním Otázka: Kedy je možné prenášať organizáciám sídliacim mimo EÚ informácie týkajúce sa rezervácií v rámci osobnej leteckej dopravy a iné informácie týkajúce sa cestovania, ako napríklad informácie o osobách často využívajúcich letecké služby alebo informácie o hotelových rezerváciách a zvláštnych požiadavkách na zaobchádzanie, ako napríklad o jedle zodpovedajúcom náboženským požiadavkám alebo o potrebe fyzickej pomoci? Odpoveď: Takéto informácie je možné prenášať za niekoľkých rôznych okolností. Podľa článku 26 smernice je možné prenášať osobné údaje "do tretej krajiny, ktorá nezabezpečuje primeranú úroveň ochrany v zmysle článku 25 ods. 2" za podmienky, že (1) je potrebné poskytnúť služby požadované zákazníkom alebo splniť podmienky dohody, ako napríklad dohody uzavretej s "osobou často využívajúcou letecké služby"; alebo (2) že na to dal výslovný súhlas zákazník. Organizácie v USA zúčastnené na systéme bezpečného prístavu poskytujú primeranú ochranu osobných údajov a preto im môžu byť prenášané údaje z EÚ bez toho, aby spĺňali spomínané podmienky alebo iné podmienky ustanovené v článku 26 smernice. Keďže systém bezpečného prístavu zahrňuje osobitné pravidlá týkajúce sa citlivých informácií, takéto informácie (ktoré je potrebné zhromažďovať napríklad v súvislosti s tým, že zákazníci potrebujú fyzickú pomoc) je možné zahrnúť do prenosov informácií účastníkom bezpečného prístavu. Vo všetkých prípadoch však musí organizácia prenášajúca dané informácie rešpektovať právo členského štátu EÚ, v ktorom vyvíja činnosť, ktoré môže okrem iného ukladať osobitné podmienky pre narábanie s citlivými údajmi. FAQ 14 – Farmaceutické výrobky a liečivá 1. Otázka: Ak sú osobné údaje zhromažďované v EÚ a prenášané do Spojených štátov s cieľom farmaceutického výskumu a/alebo za inými účelmi, uplatňujú sa záklony členských štátov alebo zásady "bezpečného prístavu"? 1. Odpoveď: Právo členských štátov sa uplatňuje na zhromažďovanie osobných údajov a na akékoľvek spracúvanie, ktoré sa vykonáva pred prenosom do Spojených štátov. Zásady bezpečného prístavu sa na tieto údaje uplatňujú po tom, čo boli prenesené do Spojených štátov. Ak je to vhodné, údaje využívané na farmaceutický výskum a iné účely by mali byť anonymné. 2. Otázka: Osobné údaje získané v rámci zvláštnych lekárskych alebo farmaceutických výskumných štúdií hrajú často významnú úlohu v ďalšom vedeckom výskume. Ak sa osobné údaje zhromaždené v rámci jednej výskumnej štúdie prenesú do organizácie v USA, ktorá je účastníkom bezpečného prístavu, môže táto organizácia využívať dané údaje v rámci nového vedeckého výskumu? 2. Odpoveď: Áno, ak sa najskôr poskytlo oznámenie a možnosť voľby. Takéto oznámenie by malo poskytnúť informácie o akomkoľvek budúcom zvláštnom využití daných údajov, ako napríklad následné využívanie v pravidelných intervaloch, v súvisiacich štúdiách alebo v marketingu. Je zrejmé, že nie je možné presne vymedziť všetky budúce možnosti využitia daných údajov, pretože nový výskum môže byť podnietený novými pohľadmi na pôvodné údaje, na základe nových objavov a pokroku v medicíne a na základe vývoja v oblasti zdravotníctva a regulačného systému. Tam, kde je to vhodné, by preto oznámenie malo obsahovať vysvetlenie, že osobné údaje môžu byť použité v rámci aktivít budúceho lekárskeho a farmaceutického výskumu, ktoré nemožno vopred predvídať. Ak určité využívanie údajov nie je zlučiteľné s hlavným účelom (účelmi) výskumu, pre ktorý boli dané údaje pôvodne zhromaždené alebo na ktorý dal jednotlivec následne súhlas, je potrebné získať nový súhlas. 3. Otázka: Čo sa stane s údajmi jednotlivca, ak sa účastník rozhodne dobrovoľne alebo na žiadosť sponzora nezúčastňovať sa ďalej na určitej klinickej štúdii? 3. Odpoveď: Účastníci sa môžu kedykoľvek rozhodnúť nezúčastňovať sa ďalej na klinickej štúdii alebo môžu byť o to kedykoľvek požiadaní. Akékoľvek údaje zhromaždené pred skončením účasti na štúdii môžu byť naďalej spracúvané spolu s inými údajmi zhromaždenými ako súčasť klinickej štúdie, avšak len vtedy, ak to bolo objasnené príslušnému účastníkovi v oznámení v čase, keď on alebo ona súhlasili s účasťou. 4. Otázka: Farmaceutické spoločnosti alebo spoločnosti vyrábajúce lekárske prístroje majú povolené poskytovať osobné údaje z klinických štúdií uskutočnených v EÚ regulačným orgánom v Spojených štátoch s cieľom regulácie alebo dohľadu. Sú podobné prenosy povolené pre strany iné ako regulačné orgány, ako napríklad do sídiel spoločností alebo na iné vedecké pracoviská? 4. Odpoveď: Áno, v súlade so zásadami oznámenia a možnosti voľby. 5. Otázka: V záujme zabezpečenia objektivity pri mnohých klinických štúdiách účastníkom a často aj výskumníkom nemôže byť poskytnutý prístup k informáciám o tom, akým liečebným metódam sú podrobení jednotliví účastníci. Ak by bol takýto prístup umožnený, ohrozila by sa platnosť príslušného výskumu a výsledky. Budú mať účastníci takýchto klinických štúdií (označovaných ako "skrytý" výskum) prístup k údajom o liečebných metódach, ktorým boli podrobení počas štúdie? 5. Odpoveď: Nie, takýto prístup sa účastníkovi nemusí poskytnúť, ak takéto obmedzenie bolo vysvetlené vtedy, keď sa účastník rozhodoval o účasti v štúdii a keby odhalenie takýchto informácií ohrozilo integritu príslušného výskumu. Súhlas s účasťou na určitej štúdii za týchto podmienok je vlastne zrieknutím sa práva na prístup k spomínaným informáciám. Následne po záveroch štúdie a analýze výsledkov by účastníci mali mať prístup k svojim údajom, ak o to požiadajú. Mali by sa ich v prvom rade žiadať od lekára alebo iného poskytovateľa zdravotnej starostlivosti, ktorý im poskytol ošetrenie v rámci klinickej štúdie alebo v druhom rade od sponzorujúcej spoločnosti. 6. Otázka: Musí farmaceutická firma alebo firma vyrábajúca lekárske prístroje uplatňovať zásady "bezpečného prístavu", pokiaľ ide o oznámenie, možnosť voľby, ďalší prenos a prístup v rámci svojich aktivít týkajúcich sa bezpečnosti výrobkov a monitorovania účinnosti, vrátane podávania správ o nepriaznivých prípadoch a sledovania stavu pacientov/subjektov používajúcich určité lieky alebo lekárske prístroje (napr. kardiostimulátor)? 6. Odpoveď: Nie, pokiaľ je dodržiavanie zásad v rozpore s dodržiavaním zákonom stanovených požiadaviek. Platí to tak vo vzťahu k správam poskytovaným napríklad poskytovateľmi zdravotnej starostlivosti farmaceutickým spoločnostiam alebo spoločnostiam vyrábajúcim lekárske prístroje, ako aj vo vzťahu s správam poskytovaným farmaceutickými spoločnosťami a spoločnosťami vyrábajúcimi lekárske prístroje vládnym organizáciám ako napríklad Správe pre výživu a liečivá (Food and Drug Administration). 7. Otázka: Výskumné údaje hlavný vedúci pracovník výskumu vždy zakóduje v ich pôvodnom stave osobitným kľúčom, aby sa neodhalila totožnosť jednotlivých osôb, ktoré sú predmetom údajov. Farmaceutickým spoločnostiam sponzorujúcim takýto výskum sa tento kľúč neposkytuje. Tento osobitný kľúčový kód vlastní len spomínaný výskumný pracovník, aby mohol/mohla za určitých okolností identifikovať osobu, ktorá je predmetom výskumu (napríklad v prípade, že je potrebná následná lekárska starostlivosť). Predstavuje prenos takýmto spôsobom zakódovaných údajov z EÚ do Spojených štátov prenos osobných údajov podliehajúcich zásadám bezpečného prístavu? 7. Odpoveď: Nie. Takýto prenos nepredstavuje prenos osobných údajov, ktoré by podliehali zásadám. FAQ 15 – Verejné záznamy a verejne prístupné informácie Otázka: Je potrebné uplatňovať zásady oznámenia, možnosti voľby a ďalšieho prenosu na informácie obsiahnuté vo verejných záznamoch alebo na verejne prístupné informácie? Odpoveď: Zásady oznámenia, možnosti voľby alebo ďalšieho prenosu nie je potrebné uplatňovať na informácie obsiahnuté vo verejných záznamoch, pokiaľ nie sú kombinované s informáciami obsiahnutými v neverejných záznamoch a pokiaľ sa rešpektujú všetky podmienky týkajúce sa potreby konzultácie ustanovené príslušnou jurisdikciou. Vo všeobecnosti tiež nie je potrebné uplatňovať zásady oznámenia, možnosti voľby alebo ďalšieho prenosu na verejne prístupné informácie, pokiaľ subjekt v EÚ prenášajúci dané údaje neuvedie, že takéto informácie podliehajú obmedzeniam, ktoré si vyžadujú, aby daná organizácia na zamýšľané účely využívania týchto informácií uplatňovala vyššie uvedené zásady. Organizácie nebudú zodpovedné za to, ako takéto informácie využívajú tí, ktorí ich získali z uverejnených materiálov. Tam, kde sa zistí, že určitá organizácia zámerne zverejnila osobné informácie v protiklade so zásadami, takže ona alebo iní môžu mať z týchto výnimiek výhody, prestane spĺňať kritériá na získavanie výhod vyplývajúcich zo systému bezpečného prístavu. [1] Zahrnutie tejto FAQ do súboru často kladených otázok závisí od súhlasu orgánov na ochranu údajov EÚ (Data Protection Authorities – DPA). Tieto orgány prediskutovali tento text v článku 29 pracovnej skupiny a väčšina konštatovala, že je prijateľný, ale konečné stanovisko môžu prijať len v kontexte celkového stanoviska, ktoré pracovná skupina vydá ohľadom konečného súboru často kladených otázok. [2] Pozri FAQ 7 týkajúcu sa overovania. [3] Od orgánov na riešenie sporov sa nevyžaduje, aby dodržiavali zásadu vymáhania výkonu. Môžu tiež urobiť výnimku zo zásad tam, kde pri výkone svojich osobitných úloh narazia na vzájomne si odporujúce povinnosti alebo na výslovné oprávnenia. [4] Orgány na riešenie sporov podľa svojho uváženia rozhodujú o okolnostiach, za akých použijú tieto sankcie. Citlivosť údajov je jedným faktorom, ktorý treba brať do úvahy pri rozhodovaní, či by sa malo vyžadovať vymazanie údajov, pričom druhým faktorom je skutočnosť, či organizácia zhromažďovala, využívala alebo poskytovala informácie spôsobom jednoznačne protirečiacim zásadám. -------------------------------------------------- PRÍLOHA III Prehľad vymáhania výkonu zásad "bezpečného prístavu" Právomoci federálnych a štátnych orgánov v oblasti "nekalých a klamlivých postupov" a ochrana súkromia Toto memorandum uvádza prehľad právomocí Federálnej obchodnej komisie (FTC – Federal Trade Comission) podľa oddielu 5 zákona o Federálnej obchodnej komisii (15 U.S.C. §§ 41 – 58, v znení neskorších predpisov) v zmysle konania voči tým, ktorí v rámci ochrany osobných informácií prestanú konať v súlade so svojimi vyhláseniami a/alebo záväzkami. Venuje sa tiež výnimkám z týchto právomocí a spôsobilosti iných federálnych a štátnych orgánov prijať opatrenia tam, kde FTC nemá právomoc [1]. Právomoc FTC v oblasti nekalých alebo klamlivých postupov Oddiel 5 zákona Federálnej obchodnej komisie vyhlasuje "nekalé a klamlivé postupy v rámci obchodovania alebo ovplyvňujúce obchodovanie" za protizákonné. 15 U.S.C. § 45 a) (1). Oddiel 5 udeľuje FTC plné právomoci v zmysle zabránenia takémuto konaniu a postupom. 15 U.S.C. § 45 a) (2). To znamená, že FTC môže po vykonaní oficiálneho vypočutia vydať "príkaz na zdržanie sa konania" s cieľom zastavenia takéhoto protiprávneho konania. 15 U.S.C. § 45 b). Ak by to bolo vo verejnom záujme, FTC môže tiež požiadať obvodný súd USA o dočasný obmedzujúci príkaz alebo o dočasný alebo trvalý zákaz. 15 U.S.C. § 53 b). V prípadoch, v ktorých ide o širokú škálu nekalých alebo klamlivých postupov alebo tam, kde už FTC vydala v danej záležitosti príkaz na zadržanie sa konania, môže FTC vyhlásiť administratívne pravidlo ustanovujúce príslušné konanie alebo postupy. 15 U.S.C. § 57 a. Každý, kto nesplní príkaz FTC, podlieha civilnej sankcii až do výšky 11000 USD, pričom každý deň pokračujúceho porušovania zákona predstavuje samostatné porušenie [2]. 15 U.S.C. § 45 (1). Podobne je každý, kto vedome poruší pravidlo ustanovené Federálnou obchodnou komisiou povinný zaplatiť 11000 USD za každé porušenie pravidla. 15 U.S.C. § 45 m). Konanie v zmysle vymáhania práva môže začať buď Ministerstvo spravodlivosti alebo, v prípade jeho odmietnutia, Federálna obchodná Komisia. 15 U.S.C. § 56. Právomoc FTC a ochrana súkromia Pri výkone svojej právomoci na základe oddielu 5 vychádza FTC z toho, že nepravdivé vyhlásenie o tom, prečo sa od spotrebiteľov zhromažďujú informácie alebo ako sa tieto informácie využijú predstavuje klamlivý postup [3]. Napríklad v roku 1998 FTC podala sťažnosti proti GeoCities za poskytnutie informácií, ktoré táto spoločnosť zhromažďovala na svojej webovej stránke, tretím stranám s cieľom ponúk, a to bez predchádzajúceho súhlasu spotrebiteľov, napriek tomu, že vyhlasovala opak [4]. FTC tiež trvala na tom, že zhromažďovanie osobných údajov od detí a predaj a poskytovanie takýchto informácií bez súhlasu rodičov pravdepodobne predstavuje nekalý postup [5]. V liste generálnemu riaditeľovi Európskej komisie Johnovi Moggovi predseda FTC Pitofsky poukázal na obmedzenia právomoci FTC v oblasti ochrany súkromia tam, kde neprišlo k nepravdivému vyhláseniu (alebo vôbec neprišlo k žiadnemu vyhláseniu) vo vzťahu k tomu, ako sa zhromažďované informácie využijú. List predsedu FTC Pitofského Johnovi Moggovi (23. september 1998). Avšak spoločnosti, ktoré chcú využívať výhody navrhovaného systému "bezpečného prístavu" budú musieť poskytnúť osvedčenie, že budú chrániť informácie, ktoré zhromažďujú v súlade so stanovenými usmerneniami. Z toho vyplýva, že tam, kde určitá spoločnosť osvedčí, že zabezpečí ochranu informácií a potom túto ochranu nezabezpečí, by takéto konanie bolo nepravdivým vyhlásením a "klamlivým postupom" v zmysle oddielu 5. Keďže jurisdikcia FTC zahrňuje nekalé alebo klamlivé konanie alebo postupy "v rámci obchodovania alebo ovplyvňujúce obchodovanie", FTC nebude mať právomoc vo vzťahu k zhromažďovaniu a využívaniu osobných informácií pre nekomerčné účely, napríklad na zbieranie finančných príspevkov na charitatívne účely. Pozri list Pitofského, s. 3. Avšak využívanie osobných informácií v akejkoľvek obchodnej transakcii zodpovedá tomuto judikátu. To znamená, že ak napríklad zamestnávateľ predá osobné informácie o svojich zamestnancoch na účely priameho marketingu, táto transakcia bude spadať do rámca pôsobnosti oddielu 5. Oddiel 5 Výnimky V oddiele 5 sú ustanovené výnimky z právomoci FTC v oblasti nekalého alebo klamlivého konania alebo postupov vo vzťahu k: - finančným inštitúciám vrátane bánk, sporiteľných úverových inštitúcií a úverových zväzov, - telekomunikáciám a verejným dopravcom v rámci dopravy medzi jednotlivým štátmi USA, - leteckým prepravcom a - veľkoobchodníkom a prevádzkovateľom dobytčích staníc (v ktorých sa dočasne prechováva dobytok a ošípané pred tým než idú na jatky, sú predané alebo prepravené na iné miesto). Pozri 15 U.S.C. § 45 a) (2). Nižšie uvedený text sa podrobnejšie zaoberá každou z týchto výnimiek, ako aj regulačným orgánom, ktorý má príslušnú právomoc. Finančné inštitúcie [6] Prvá výnimka sa vzťahuje na "banky, sporiteľné a úverové inštitúcie opísané v oddiele 18f)(3) [15 U.S.C. § 57 af)(3)]" a na "federálne úverové združenia opísané v oddiele 18f)(4) [15 U.S.C. § 57af)(4)]" [7]. Tieto finančné inštitúcie namiesto toho podliehajú nariadeniam vydaným Federálnym rezervným úradom a Úradom pre dohľad nad sporiteľňami [8] respektíve Národnou správnou radou úverových družstiev. Pozri 15 U.S.C. § 57af). Tieto regulačné orgány sú orientované na vydávanie nariadení potrebných na zabránenie nekalým a klamlivým postupom v rámci týchto finančných inštitúcií [9] a na zriadenie osobitného oddelenia na vybavovanie sťažností spotrebiteľov. 15 U.S.C. § 57af)(1). A nakoniec, právomoc v zmysle vymáhania práva vyplýva z oddielu 8 federálneho zákona o vkladovom poistení (12 U.S.C. § 1818) čo sa týka bánk a sporiteľní a úverových inštitúcií a z oddielov 120 a 206 federálneho zákona o úverových združeniach čo sa týka federálnych úverových združení. 15 U.S.C. § 57af) (2)-(4). Napriek tomu, že poisťovníctvo nie je osobitne zahrnuté v zozname výnimiek v oddiele 5, zákon McCarran-Fergusona (15 U.S.C. § 1011 a nasl.) vo všeobecnosti ponecháva reguláciu v oblasti poisťovacej činnosti na jednotlivé štáty USA [10]. Navyše, podľa oddielu 2b) zákona McCarran-Fergusona nemôže žiaden federálny zákon urobiť neplatným, ovplyvniť nepriaznivým spôsobom alebo nahradiť štátne nariadenie "pokiaľ sa takýto zákon netýka osobitne poisťovníctva." 15 U.S.C. § 1011 2b). Avšak ustanovenia zákona o FTC sa vzťahujú na poisťovníctvo "do tej miery, že táto oblasť nie je upravená štátnym právom."Id. Treba tiež poukázať na to, že zákon McCarran-Fergusona prenecháva štátom USA právomoc len vo vzťahu k "poisťovacej činnosti". To znamená, že FTC si ponecháva zvyškovú právomoc vo vzťahu k nekalým alebo klamlivým postupom poisťovacích spoločností vtedy, keď sa nezaoberajú poisťovacou činnosťou. Išlo by napríklad o prípad, kedy poisťovatelia predávajú osobné informácie o svojich poistencoch na účely priameho marketingu obchodníkom s produktmi nepatriacimi do oblasti poisťovníctva [11]. Verejní prepravcovia Druhá výnimka oddielu 5 zahrňuje tých verejných prepravcov, ktorí "podliehajú zákonom upravujúcim oblasť obchodu." 15 U.S.C. § 45a)(2). V tomto prípade sa "zákony upravujúce oblasť obchodu" odvolávajú na podhlavu IV hlavy 49 Zákonníka Spojených štátov a na komunikačný zákon z roku 1934 (47 U.S.C. § 151 a nasl.) (komunikačný zákon). Pozri 15 U.S.C. § 44. 49 U.S.C. podhlava IV (medzištátna doprava) zahrňuje železničných prepravcov, motorových prepravcov, vodných prepravcov, burzových maklérov, nákladných dopravcov a potrubných prepravcov. 49 U.S.C. § 10101 a nasl. Títo rozliční verejní prepravcovia podliehajú regulácii Úradu pre pozemnú dopravu, nezávislého orgánu v rámci Ministerstva dopravy. 49 U.S.C. §§ 10501, 13501 a 15301. V každom prípade má prepravca zakázané poskytovať informácie o povahe, mieste určenia a iných aspektoch svojho nákladu, ktoré by sa mohli využiť na ujmu odosielateľa. Pozri 49 U.S.C. §§ 11904, 14908 a 16103. Treba poznamenať, že tieto ustanovenia sa vzťahujú na informácie týkajúce sa nákladu odosielateľa, a preto nezahrňujú osobné informácie o odosielateľovi, ktoré sa nevzťahujú na príslušný prepravovaný náklad. Čo sa týka komunikačného zákona, ustanovuje reguláciu "medzištátneho (medzi štátmi USA) a medzinárodného obchodu v rámci drôtovej a rádiotelegrafickej komunikácie" Federálnou komunikačnou komisiou (FCC – Federal Communication Commission). Pozri 47 U.S.C. §§ 151 a 152. Popri verejných prepravcoch predstavovaných telekomunikačnými spoločnosťami sa komunikačný zákon uplatňuje aj na také spoločnosti ako televízne a rozhlasové spoločnosti a poskytovatelia káblových služieb, ktorí nie sú verejnými prepravcami. Ako také tieto posledne vymenované spoločnosti nespĺňajú podmienky na poskytnutie výnimky podľa oddielu 5 zákona o FTC. To znamená, že v jurisdikcii FTC je vyšetrovanie týchto spoločností z hľadiska používania nekalých a klamlivých postupov, zatiaľ čo FCC disponuje súbežnou jurisdikciou vykonávať v tejto oblasti svoju nezávislú právomoc tak, ako je to opísané nižšie. Podľa komunikačného zákona má "každý telekomunikačný prepravca" vrátane miestnych telekomunikačných prepravcov povinnosť ochraňovať súkromie informácií vo vlastníctve zákazníka [12]. 47 U.S.C. § 222a). Okrem tejto všeobecnej právomoci v zmysle ochrany súkromia bol komunikačný zákon zmenený a doplnený zákonom o politike v oblasti káblovej komunikácie z roku 1984 (káblový zákon), 47 U.S.C. § 521 a nasl. s cieľom splnomocnenia káblových prevádzkovateľov v zmysle ochrany "osobne identifikovateľných informácií" týkajúcich sa káblových účastníkov. 47 U.S.C. § 551 [13]. Káblový zákon obmedzuje zhromažďovanie osobných informácií káblovými prevádzkovateľmi a požaduje, aby kábloví prevádzkovatelia informovali príslušného účastníka o povahe zhromažďovaných informácií a o tom, ako budú tieto informácie využité. Káblový zákon poskytuje účastníkom právo na prístup k informáciám o nich a požaduje od káblových prevádzkovateľov, aby takéto informácie zničili, keď už nie sú potrebné. Komunikačný zákon splnomocňuje FCC vykonávať tieto dve ustanovenia týkajúce sa ochrany súkromia, a to buď z vlastnej iniciatívy, alebo ako reakciu na sťažnosť zvonka [14]. 47 U.S.C. §§ 205, 403; id. § 208. Ak FCC príde k záveru, že telekomunikačný prepravca (vrátane káblového prepravcu) porušil ustanovenia o ochrane súkromia oddielu 222 alebo oddielu 551, existujú tri základné opatrenia, ktoré môže FCC prijať. Po prvé, po vypočutí a rozhodnutí o porušení môže Komisia nariadiť prepravcovi, aby zaplatil peňažnú náhradu škody [15]. 47 U.S.C. § 209. Druhá možnosť je, že FCC dá prepravcovi príkaz na zdržanie sa konania vo vzťahu k protiprávnej praktike alebo opomenutiu. 47 U.S.C. § 205a). A nakoniec, Komisia môže tiež nariadiť prepravcovi porušujúcemu zákon, aby "splnil a dodržiaval akékoľvek nariadenie alebo praktiku", ktoré ustanoví FCC. Id. Súkromné osoby, ktoré sa domnievajú, že telekomunikačný prepravca alebo káblový prevádzkovateľ porušil príslušné ustanovenia komunikačného zákona alebo káblového zákona buď podajú sťažnosť na FCC, alebo predložia svoje žaloby federálnemu okresnému súdu. 47 U.S.C. § 207. Žalobcovi, ktorý uspeje na federálnom obvodnom súde voči telekomunikačnému prepravcovi vo veci nedodržiavania ochrany informácií vo vlastníctve zákazníka podľa širšieho oddielu 222 komunikačného zákona, môže byť priznaná náhrada za skutočne spôsobené škody a úhrada odmeny pre právnych zástupcov. 47 U.S.C. § 206. Žalobcovi, ktorý podá žalobu vo veci porušenia súkromia podľa osobitného oddielu 551 káblového zákona, môže byť okrem náhrady za skutočne spôsobené škody a úhrady odmeny pre právnych zástupcov priznaná tiež náhrada škody plniaca represívnu funkciu a primeraná úhrada súdnych nákladov. 47 U.S.C. § 551f). FCC prijala podrobné pravidlá na výkon oddielu 222. Pozri 47 CFR 64.2001-2009. Tieto pravidlá ustanovujú osobitné záruky a ochranu voči neoprávnenému prístupu k sieťovým informáciám vo vlastníctve zákazníka. Tieto nariadenia vyžadujú, aby telekomunikační prepravcovia: - vypracovali a uplatňovali softvérové systémy, v rámci ktorých sa pri prvom uvedení záznamu služieb vo vzťahu k zákazníkovi na obrazovke objaví označenie o oznámení zákazníkovi/o schválení zákazníkom, - udržiavali elektronické "kontrolné sledovanie" s cieľom sledovania prístupu k záznamu zákazníka, vrátane prípadov, kedy je záznam otvorený, kým a na aký účel, - školili svoj personál v oblasti oprávneného využívania sieťových informácií vo vlastníctve zákazníka a uplatňovali príslušný systém disciplinárnych opatrení, - vybudovali systém dohľadu nad zabezpečením dodržiavania pravidiel pri vykonávaní telemarketingu a - každoročne osvedčovali Federálnej komunikačnej komisii (FCC), ako dodržiavajú tieto nariadenia. Leteckí prepravcovia Americkí a zahraniční leteckí prepravcovia, ktorí podliehajú federálnemu leteckému zákonu z roku 1958 sú tiež vyňatí z oddielu 5 zákona o FTC. Pozri 15 U.S.C. § 45a)(2). Týka sa to každého, kto poskytuje medzištátnu (v rámci štátov USA) alebo medzinárodnú prepravu tovaru alebo cestujúcich alebo kto prepravuje letecky poštu. Pozri 49 U.S.C. § 40102. Leteckí prepravcovia podliehajú právomoci Ministerstva dopravy. V tomto smere je minister dopravy oprávnený prijať opatrenia v záujme "zabránenia nekalým, klamlivým, dravým alebo protisúťažným postupom v oblasti dopravy". 49 U.S.C. § 40101a)(9). Ak je to vo verejnom záujme, minister dopravy môže vyšetrovať, či sa americký alebo zahraničný letecký prepravca alebo organizácia zabezpečujúca letenky dopustili nekalého alebo klamlivého postupu. 49 U.S.C. § 41712. Po vypočutí môže minister dopravy vydať príkaz na zastavenie príslušného protiprávneho postupu. Id. Pokiaľ je nám známe, minister dopravy neuplatnil túto právomoc na riešenie problému ochrany osobných informácií o leteckých zákazníkoch [16]. Existujú dve ustanovenia ochraňujúce osobné informácie, ktoré sa uplatňujú vo vzťahu k leteckým prepravcom v osobitných súvislostiach. Po prvé, federálny letecký zákon chráni súkromie žiadateľov o miesto pilota. Pozri 49 U.S.C. 44936f). Popri tom, že daný zákon umožňuje leteckým prepravcom získavať záznamy o doterajšom zamestnaní príslušného žiadateľa, poskytuje žiadateľovi právo na oznámenie, že sa dané záznamy požadujú, právo na súhlas s takouto požiadavkou, na opravu nepresností a na to, že sa tieto záznamy poskytnú len tým osobám, ktoré sa zúčastňujú na rozhodovaní o prijatí do zamestnania. Po druhé, nariadenia Ministerstva dopravy vyžadujú, aby zoznam informácií o cestujúcich, ktoré sa zhromažďujú s cieľom použitia vládou v prípade leteckého nešťastia, "zostal utajený a poskytol sa len Ministerstvu zahraničných vecí USA, Národnému úradu pre dopravu (na žiadosť NTB (NTB – National Transportation Board, t. j. Národný úrad pre dopravu)) a Ministerstvu dopravy USA." 14 CFR časť 243, § 243.9c) (doplnené 63 FR 8258). Prevádzkovatelia zariadení na porciovanie a balenie mäsa a prevádzkovatelia dobytčích staníc Čo sa týka zákona o prevádzkovateľoch zariadení na porciovanie a balenie mäsa a prevádzkovateľoch dobytčích staníc z roku 1921 (7 U.S.C. § 181 a nasl.), zákon ustanovuje, že je protiprávne, aby sa "ktorýkoľvek prevádzkovateľ zariadení na porciovanie a balenie mäsa vo vzťahu k živému dobytku, mäsu, mäsovým potravinárskym výrobkom alebo k výrobkom zo zvierat v nespracovanej podobe alebo aby sa ktorýkoľvek obchodník so živou hydinou vo vzťahu k živej hydine podieľal na nekalých, nespravodlivo diskriminačných alebo klamlivých postupoch alebo prostriedkoch alebo aby takéto praktiky a prostriedky používal". 7 U.S.C. § 192a); pozri tiež 7 U.S.C. § 213a) (zakazujúci "akékoľvek nekalé, nespravodlivo diskriminujúce alebo klamlivé postupy alebo prostriedky" v súvislosti so živým dobytkom). Prvotnú právomoc v zmysle vymáhania výkonu týchto ustanovení má minister poľnohospodárstva, zatiaľ čo FTC si zachováva právomoc nad maloobchodnými transakciami a transakciami zahrňujúcimi obchod s hydinou. 7 U.S.C. § 227b)(2). Nie je jasné, či minister poľnohospodárstva bude vykladať prípady, kedy prevádzkovateľ zariadení na porciovanie a balenie mäsa alebo prevádzkovateľ dobytčej stanice nekoná pri ochrane súkromia v súlade s vyhlasovanou stratégiou ako "klamlivý" postup spadajúci pod zákon o prevádzkovateľoch zariadení na porciovanie a balenie mäsa a prevádzkovateľoch dobytčích staníc. Výnimka v oddiele 5 sa však týka osôb, verejných obchodných spoločností alebo korporácií len "potiaľ, pokiaľ podliehajú zákonu o prevádzkovateľoch zariadení na porciovanie a balenie mäsa a prevádzkovateľoch dobytčích staníc". To znamená, že ak ochrana súkromia nie je záležitosťou spadajúcou do rozsahu pôsobnosti zákona o prevádzkovateľoch zariadení na porciovanie a balenie mäsa a prevádzkovateľoch dobytčích staníc, potom sa môže celkom ľahko stať, že sa výnimka v oddiele 5 nebude uplatňovať a prevádzkovatelia zariadení na porciovanie a balenie mäsa a prevádzkovatelia dobytčích staníc budú v tomto smere podliehať právomoci FTC. Právomoc štátov USA v oblasti "nekalých a klamlivých postupov" Podľa analýzy vypracovanej pracovníkmi FTC "Všetkých 50 štátov plus District of Columbia, Guam, Portoriko a americké Pa