SV Europeiska unionens officiella tidning L 39/5

KOMMISSIONENS BESLUT

av den 5 februari 2010

om standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredjeland i enlighet med Europaparlamentets och rådets direktiv 95/46/EG

[delgivet med nr K(2010) 593]

(Text av betydelse för EES)

(2010/87/EU)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 26.4,

efter att ha hört Europeiska datatillsynsmannen, och

av följande skäl:

(1) Enligt direktiv 95/46/EG är medlemsstaterna skyldiga att se till att överföring av personuppgifter till ett tredjeland endast får ske om det berörda landet säkerställer en adekvat skyddsnivå och om medlemsstaternas lagar, vilka följer direktivets övriga bestämmelser, iakttas före överföringen.

(2) Enligt artikel 26.2 i direktiv 95/46/EG får dock medlemsstaterna, förutsatt att vissa garantier ställs, tillåta en överföring eller en serie överföringar av personuppgifter till länder som inte säkerställer ett adekvat skydd av uppgifter. Sådana garantier kan särskilt framgå av lämpliga avtalsklausuler.

(3) Enligt direktiv 95/46/EG ska bedömningen av skyddsnivån ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp överföringar av personuppgifter. Den arbetsgrupp för skydd av enskilda med avseende på behandling av personuppgifter som inrättats enligt direktivet har utfärdat riktlinjer för sådana bedömningar.

(4) Standardavtalsklausulerna bör endast beröra uppgiftsskydd. Därför får uppgiftsutföraren och uppgiftsinföraren ta med sådana andra klausuler om affärsrelaterade frågor som de anser vara av relevans för avtalet, under förutsättning att de inte strider mot standardavtalsklausulerna.

(5) Beslutet bör inte påverka de nationella tillstånd som medlemsstaterna kan komma att bevilja i enlighet med nationella bestämmelser om genomförande av artikel 26.2 i direktiv 95/46/EG. Dess verkan bör inskränka sig till att medlemsstaterna inte får vägra att erkänna att de i beslutet fastställda standardavtalsklausulerna ger tillräckliga garantier. Beslutet bör således inte ha någon inverkan på andra avtalsklausuler.

(6) Kommissionens beslut 2002/16/EG av den 27 december 2001 om standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredje land i enlighet med direktiv 95/46/EG (2) antogs för att underlätta överföringen av personuppgifter från en registeransvarig etablerad i Europeiska unionen till en registerförare i ett tredjeland som inte tillhandahåller ett tillräckligt skydd.

(7) Sedan beslut 2002/16/EG antogs har många erfarenheter gjorts. Dessutom har rapporten om genomförandet av beslut om standardavtalsklausuler om överföring av personuppgifter till tredjeländer (3) visat att det finns ett ökat intresse för att främja användningen av standardavtalsklausuler vid internationell överföring av personuppgifter till tredjeländer som inte erbjuder adekvat skydd. Vidare har berörda parter lagt fram förslag om att uppdatera standardavtalsklausulerna i beslut 2002/16/EG för att ta hänsyn till den snabbt ökande behandlingen av personuppgifter i världen och ta upp vissa frågor som inte ingick i det beslutet (4).

(8) Beslutets tillämpningsområde bör inte sträcka sig längre än till att fastställa att de angivna klausulerna i bilagan får användas av en registeransvarig etablerad i Europeiska unionen i syfte att ställa tillräckliga garantier i den mening som avses i artikel 26.2 i direktiv 95/46/EG vid överföringen av personuppgifter till en registerförare etablerad i tredje land.

(9) Detta beslut bör inte omfatta överföring av personuppgifter från registeransvariga som är etablerade i Europeiska unionen till registerförare som är etablerade utanför Europeiska unionen, om uppgifterna omfattas av tillämpningsområdet för kommissionens beslut 2001/497/EG av den 15 juni 2001 om standardavtalsklausuler för överföring av personuppgifter till tredje land enligt direktiv 95/46/EG (5).

(10) Beslutet bör innebära att skyldigheten i artikel 17.3 i direktiv 95/46/EG fullgörs och bör inte påverka innehållet i avtal eller rättsakter som upprättats i enlighet med den bestämmelsen. Några av standardavtalsklausulerna, i synnerhet de om uppgiftsutförarens skyldigheter, bör dock ingå för att klargöra vilka klausuler som kan tas med i ett avtal mellan en registeransvarig och en registerförare.

(11) Tillsynsmyndigheterna i medlemsstaterna har en nyckelroll i samband med denna avtalsmekanism när det gäller att se till att personuppgifter omfattas av tillräckligt skydd efter överföring. I de undantagsfall då uppgiftsutföraren vägrar eller inte kan ge uppgiftsinföraren korrekta instruktioner och det finns en överhängande risk för att de registrerade lider allvarlig skada, bör standardavtalsklausulerna medge tillsynsmyndigheterna rätten att genomföra inspektioner hos uppgiftsinförare och underentreprenörer och i förekommande fall fatta beslut som är bindande för uppgiftsinföraren eller underentreprenören. Tillsynsmyndigheterna bör ha rätt att förbjuda eller avbryta en uppgiftsöverföring eller en serie överföringar som sker enligt standardavtalsklausuler i de undantagsfall där det fastställts att en överföring på avtalsbasis sannolikt har en avsevärt skadlig inverkan på de garantier och åtaganden som ska säkerställa adekvat skydd för den registrerade.

(12) Standardavtalsklausulerna bör innehålla bestämmelser om de tekniska och organisatoriska säkerhetsåtgärder, som ska vidtas av registerförare etablerade i tredjeländer med otillräckligt uppgiftsskydd, för att garantera en säkerhetsnivå som är anpassad till de risker behandlingen medför och till karaktären hos de uppgifter som ska behandlas. Parterna bör i avtalet ange de tekniska och organisatoriska åtgärder som, med hänsyn tagen till tillämplig uppgiftsskyddslagstiftning, den senaste tekniken och kostnaden för att vidta dem, är erforderliga för att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten åtkomst eller varje annan form av olaglig behandling.

(13) För att underlätta flödet av uppgifter från Europeiska unionen bör registerförare som erbjuder uppgiftsbehandlingstjänster till flera registeransvariga i Europeiska unionen tillåtas vidta samma tekniska och organisatoriska säkerhetsåtgärder, oavsett från vilken medlemsstat uppgiftsöverföringen sker, i synnerhet i sådana fall där uppgiftsinföraren tar emot uppgifter för vidare behandling från flera av uppgiftsutförarens driftsställen i Europeiska unionen, varvid lagen i den medlemsstat där driftsstället är beläget ska tillämpas.

(14) Det är lämpligt att fastställa vilka upplysningar parterna minst ska ange i avtalet om överföring. Medlemsstaterna bör ha befogenhet att närmare bestämma vilka upplysningar parterna måste lämna. Tillämpningen av det här beslutet bör ses över med ledning av de erfarenheter som görs.

(15) Uppgiftsinföraren ska behandla de överförda personuppgifterna endast för uppgiftsutförarens räkning och i enlighet med dennes instruktioner och de villkor som anges i klausulerna. I synnerhet bör uppgiftsinföraren inte lämna ut personuppgifterna till tredje man utan att på förhand ha utverkat ett skriftligt tillstånd från uppgiftsutföraren. Uppgiftsutföraren bör under hela uppgiftsbehandlingen hålla uppgiftsinföraren informerad om att uppgifterna ska behandlas i enlighet med uppgiftsutförarens instruktioner, tillämplig uppgiftsskyddslagstiftning och skyldigheterna enligt klausulerna.

(16) I rapporten om genomförandet av beslut om standardavtalsklausuler om överföring av personuppgifter till tredjeländer rekommenderades fastställande av lämpliga avtalsklausuler om vidareöverföring från en registerförare etablerad i ett tredjeland till en annan registerförare (uppgiftsbehandling via underentreprenör), för att ta hänsyn till affärsutveckling och praxis i samband med den alltmer globaliserade behandlingen av personuppgifter.

(17) Detta beslut bör innehålla särskilda standardavtalsklausuler om när registerförare etablerade i tredjeland (uppgiftsinföraren) lägger ut sina uppgiftsbehandlingstjänster på andra registerförare (underentreprenörer) etablerade i tredjeland. I beslutet bör också anges vilka villkor som utläggningen på entreprenad ska uppfylla för att säkerställa att de personuppgifter som överförs fortsatt omfattas av skydd oberoende av en eventuell vidareöverföring till en underentreprenör.

(18) Dessutom bör utläggningen på entreprenad endast omfatta sådan behandling som överenskommits enligt ett avtal mellan uppgiftsutföraren och uppgiftsinföraren som innehåller standardavtalsklausulerna enligt detta beslut. För att upprätthålla principen om ändamålsbegränsning enligt direktiv 95/46/EG bör vidareöverföringen inte involvera uppgiftsbehandling i olika former eller för olika syften. Om underentreprenören inte uppfyller sina skyldigheter i fråga om uppgiftsbehandling enligt avtalet bör uppgiftsinföraren förbli ansvarig gentemot uppgiftsutföraren. Överföring av personuppgifter till registerförare som är etablerade utanför Europeiska unionen bör inte påverka det faktum att behandling bör ske i enlighet med tillämplig uppgiftsskyddslagstiftning.

(19) Standardavtalsklausulerna bör kunna åberopas inte bara av de organisationer som är parter i avtalet utan även av de registrerade, i synnerhet om de registrerade vållas skada till följd av avtalsbrott.

(20) Den registrerade bör ha rätt att väcka talan mot och, om så är lämpligt, erhålla skadestånd från den uppgiftsutförare som är registeransvarig för de personuppgifter som överförts. I undantagsfall bör den registrerade också ha rätt att väcka talan och, om så är lämpligt, erhålla skadestånd från uppgiftsinföraren i sådana fall där uppgiftsinföraren eller en av dennes underentreprenörer åsidosätter sina skyldigheter enligt klausul 3.2, om uppgiftsutföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd. I undantagsfall bör den registrerade dessutom ha rätt att väcka talan och, om så är lämpligt, erhålla skadestånd från en underentreprenör i sådana fall där både uppgiftsutföraren och uppgiftsinföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd. Skadeståndsansvaret bör i sådana fall vara begränsat till underentreprenörens egen behandling av uppgifter enligt avtalsklausulerna.

(21) Om en tvist mellan den registrerade och uppgiftsinföraren inte kan lösas i godo och den registrerade åberopar klausulen om tredjepartsberättigande, bör uppgiftsinföraren erbjuda den registrerade att få välja mellan medling och domstolsprövning. Hur stor faktisk valmöjlighet den registrerade kommer att få, beror på tillgången till tillförlitliga och erkända system för medling. Medling utförd av tillsynsmyndigheten med ansvar för uppgiftsskydd i den medlemsstat där uppgiftsutföraren är etablerad bör vara ett alternativ, i de fall där en sådan tjänst erbjuds.

(22) Den lag som ska tillämpas på avtalet bör vara lagen i det land där uppgiftsutföraren är etablerad, så att en berättigad tredje part har möjlighet att se till att avtalet följs. De registrerade bör om de så önskar och om nationell lag så medger ha möjlighet att företrädas av sammanslutningar eller andra organ. Samma lag bör även tillämpas på bestämmelser om uppgiftsskydd i avtal med en underentreprenör om utläggning av behandlingen av personuppgifter som överförts av uppgiftsutföraren till uppgiftsinföraren i enlighet med standardklausulerna.

(23) Eftersom detta beslut endast är tillämpligt på utläggning på entreprenad som registerförare etablerade i ett tredjeland gör på underentreprenörer etablerade i ett tredjeland, bör det inte vara tillämpligt på situationer där en registerförare etablerad i Europeiska unionen som behandlar personuppgifter för en registeransvarig etablerad i Europeiska unionen lägger ut sin behandling på en underentreprenör etablerad i ett tredjeland. I sådana fall bör medlemsstaterna fritt kunna välja om de ska ta hänsyn till att principerna och skyddsmekanismerna i de standardavtalsklausuler som anges i detta beslut har använts för att lägga ut uppgiftsbehandling på entreprenad till en registerförare i ett tredjeland, i syfte att tillhandahålla ett adekvat skydd av de rättigheter som tillkommer registrerade vars personuppgifter överförs för behandling av underentreprenör i ett tredjeland.

(24) Den arbetsgrupp för skydd av enskilda med avseende på behandlingen av personuppgifter som inrättats enligt artikel 29 i direktiv 95/46/EG har avgivit ett yttrande om den skyddsnivå som uppnås genom de standardavtalsklausuler som bifogas detta beslut; detta yttrande har beaktats vid utarbetandet av det här beslutet.

(25) Beslut 2002/16/EG bör upphävas.

(26) Åtgärderna i detta beslut överensstämmer med yttrandet från den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

De standardavtalsklausuler som anges i bilagan till detta beslut ska anses ge tillräckliga garantier för skydd av den personliga integriteten och enskildas grundläggande rättigheter och friheter samt för utövandet av motsvarande rättigheter, i enlighet med vad som föreskrivs i artikel 26.2 i direktiv 95/46/EG.

Artikel 2

Detta beslut ska endast tillgodose att standardavtalsklausulerna i bilagan erbjuder ett adekvat skydd vid överföring av personuppgifter till registerförare. Det påverkar inte tillämpningen av andra nationella bestämmelser som antagits för genomförande av direktiv 95/46/EG och som rör behandling av personuppgifter inom medlemsstaterna.

Detta beslut ska tillämpas på överföring av personuppgifter från sådana registeransvariga som är etablerade i Europeiska unionen till sådana mottagare som är etablerade utanför Europeiska unionens territorium och som endast verkar som registerförare.

Artikel 3

I detta beslut avses med

a) särskilda kategorier av uppgifter: de uppgifter som avses i artikel 8 i direktiv 95/46/EG,

b) tillsynsmyndighet: den säkerhetsmyndighet som avses i artikel 28 i direktiv 95/46/EG,

c) uppgiftsutförare: den registeransvarige som överför personuppgifterna,

d) uppgiftsinförare: den registerförare som är etablerad i ett tredjeland och som samtycker till att från uppgiftsutföraren ta emot personuppgifter avsedda för behandling för uppgiftsutförarens räkning efter överföringen, enligt dennes instruktioner och i enlighet med detta beslut, såvida inte uppgiftsinföraren omfattas av ett system i det berörda tredjelandet som garanterar ett tillräckligt skydd i den mening som avses i artikel 25.1 i direktiv 95/46/EG,

e) underentreprenör: varje registerförare som anlitats av uppgiftsinföraren eller av en annan av uppgiftsinförarens underentreprenörer och som åtar sig att från uppgiftsinföraren eller en annan av uppgiftsinförarens underentreprenörer ta emot personuppgifter i den enda avsikten att efter överföringen behandla personuppgifter för uppgiftsutförarens räkning och i enlighet med uppgiftsutförandens instruktioner, de standardavtalsklausuler som anges i bilagan samt villkoren i det skriftliga underentreprenörsavtalet,

f) tillämplig uppgiftsskyddslagstiftning: sådan lagstiftning som avser att skydda personers grundläggande fri- och rättigheter, särskilt deras personliga integritet i samband med behandling av personuppgifter, och som är tillämplig på registeransvariga i den medlemsstat där uppgiftsutföraren är etablerad,

g) tekniska och organisatoriska säkerhetsåtgärder: åtgärder avsedda att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten åtkomst, i synnerhet när behandlingen inbegriper överföring av uppgifter över ett nät, och mot varje annan form av olaglig behandling.

Artikel 4

1. Utan att det påverkar rätten för medlemsstaternas behöriga myndigheter att se till att nationella bestämmelser som antagits i enlighet med bestämmelserna i kapitlen II, III, V och VI i direktiv 95/46/EG följs, får de använda sina befintliga befogenheter för att förbjuda eller avbryta flöden av uppgifter till tredjeland och därigenom skydda enskilda när det gäller behandling av personuppgifter om dem i fall där

a) det konstateras att uppgiftsinföraren eller en underentreprenör enligt den lagstiftning som gäller för denne ska frångå tillämplig uppgiftsskyddslagstiftning som går utöver de restriktioner som krävs i ett demokratiskt samhälle enligt artikel 13 i direktiv 95/46/EG, om dessa restriktioner sannolikt har en avsevärt skadlig inverkan på de garantier som ställs i tillämplig uppgiftsskyddslagstiftning eller i standardavtalsklausulerna,

b) en behörig myndighet har fastställt att uppgiftsinföraren eller en underentreprenör inte har följt standardavtalsklausulerna i bilagan, eller

c) det finns skälig grund att anta att standardavtalsklausulerna i bilagan inte följs eller inte kommer att följas och att fortsatt överföring skulle medföra en överhängande risk för allvarlig skada för de registrerade.

2. Förbudet eller avbrottet enligt punkt 1 ska upphöra så snart som skälen för förbudet eller avbrottet inte längre föreligger.

3. När medlemsstaterna vidtar åtgärder i enlighet med punkterna 1 och 2 ska de utan dröjsmål underrätta kommissionen, som ska vidarebefordra uppgifterna till övriga medlemsstater.

Artikel 5

Kommissionen ska utvärdera genomförandet av detta beslut med ledning av tillgänglig information tre år efter att det har antagits. Den ska lämna en rapport om resultaten till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG. Den ska ta med alla omständigheter som kan påverka bedömningen av att de bifogade standardavtalsklausulerna ger ett adekvat skydd och alla omständigheter som tyder på att detta beslut tillämpas diskriminerande.

Artikel 6

Detta beslut ska tillämpas från och med den 15 maj 2010.

Artikel 7

1. Beslut 2002/16/EG ska upphöra att gälla den 15 maj 2010.

2. Ett avtal som i enlighet med beslut 2002/16/EG har ingåtts mellan en uppgiftsutförare och en uppgiftsinförare före den 15 maj 2010 ska förbli giltigt så länge som de överföringar och den uppgiftsbehandling som avtalet avser är oförändrade och personuppgifter som omfattas av detta beslut fortsätter att överföras mellan parterna. Om avtalsparterna beslutar att göra några förändringar i detta avseende eller att lägga ut den uppgiftsbehandling som avtalet avser på en underentreprenör, ska de ingå ett nytt avtal som överensstämmer med standardavtalsklausulerna i bilagan.

Artikel 8

Detta beslut riktar sig till medlemsstaterna.

Utfärdat i Bryssel den 5 februari 2010. På kommissionens vägnar Jacques BARROT Vice ordförande

(1) EGT L 281, 23.11.1995, s. 31.

(2) EGT L 6, 10.1.2002, s. 52.

(3) SEK(2006) 95, 20.1.2006.

(4) Internationella handelskammaren (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce in Belgium (Amcham) och Federation of European Direct Marketing Associations (FEDMA).

(5) EGT L 181, 4.7.2001, s. 19.