Document ID: 32010D0087

KOMISJONI OTSUS,
5. veebruar 2010,
kolmandates riikides asuvatele volitatud töötlejatele isikuandmete edastamise lepingu tüüptingimuste kohta nõukogu ja Euroopa Parlamendi direktiivi 95/46/EÜ alusel
(teatavaks tehtud numbri K(2010) 593 all)
(EMPs kohaldatav tekst)
(2010/87/EL)
EUROOPA KOMISJON,
võttes arvesse Euroopa Liidu toimimise lepingut,
võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, (1) eriti selle artikli 26 lõiget 4,
olles konsulteerinud Euroopa andmekaitseinspektoriga
ning arvestades järgmist:
(1)
Vastavalt direktiivile 95/46/EÜ peavad liikmesriigid sätestama, et isikuandmete edastamine kolmandatesse riikidesse võib toimuda üksnes siis, kui kõnesolev kolmas riik tagab piisava andmekaitse taseme ja kui enne andmete edastamist tunnustatakse liikmesriikide seadusi, mis järgivad kõnealuse direktiivi muid sätteid.
(2)
Direktiivi 95/46/EÜ artikli 26 lõige 2 näeb siiski ette, et liikmesriigid võivad teatavate tagatiste korral lubada isikuandmete edastamist või edastamiste kogumit kolmandatesse riikidesse, mis ei taga piisavat kaitsetaset. Sellised tagatised võivad tuleneda eelkõige asjakohastest lepingutingimustest.
(3)
Vastavalt direktiivile 95/46/EÜ peaks andmekaitse taset hindama kõiki andmete edastamistoimingu või edastamistoimingute kogumi asjaolusid silmas pidades. Kõnealuse direktiivi alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on välja andnud juhised hindamise hõlbustamiseks.
(4)
Lepingu tüüptingimused peaksid olema seotud üksnes andmekaitsega. Andmeeksportija ja andmeimportija võivad seega vabalt lisada mis tahes muid ettevõtlusega seotud lepingutingimusi, mida nad lepingus asjakohaseks peavad, niikaua kui need ei lähe vastuollu lepingu tüüptingimustega.
(5)
Käesolev otsus ei tohiks piirata riiklikke lubasid, mida liikmesriigid võivad anda kooskõlas direktiivi 95/46/EÜ artikli 26 lõiget 2 rakendavate siseriiklike õigusnormidega. Käesolev otsus peaks nõudma ainult, et liikmesriigid ei keelduks tunnustamast selles sätestatud tüüptingimusi kui piisavaid tagatisi pakkuvaid tingimusi ning seepärast ei peaks see mõjutama muid lepingutingimusi.
(6)
Euroopa Liidus asuvatelt vastutavatelt töötlejatelt piisavat andmekaitse taset mittepakkuvates kolmandates riikides asuvatele töötlejatele isikuandmete edastamise lihtsustamiseks on vastu võetud komisjoni 27. detsembri 2001. aasta otsus 2002/16/EÜ kolmandates riikides asuvatele volitatud töötlejatele isikuandmete edastamise lepingu tüüptingimuste kohta direktiivi 95/46/EÜ alusel (2).
(7)
Alates otsuse 2002/16/EÜ vastuvõtmisest on saadud palju kogemusi. Lisaks on kolmandatesse riikidesse isikuandmete edastamise lepingu tüüptingimusi käsitlevate otsuste rakendamise aruandes (3) väljendatud järjest suuremat huvi piisavat andmekaitse taset mittepakkuvatesse kolmandatesse riikidesse isikuandmete rahvusvahelise edastamise lepingute tüüptingimuste kasutamise soodustamise vastu. Lisaks on sidusrühmad (4) esitanud ettepanekuid, mille eesmärgiks on otsuses 2002/16/EÜ sätestatud lepingu tüüptingimusi ajakohastada, et arvesse võtta andmetöötlustoimingute kiiresti suurenevat mahtu maailmas ja tegeleda küsimustega, mida nimetatud otsuses ei käsitleta.
(8)
Käesoleva otsuse reguleerimisala peaks olema piiratud, kehtestades, et selles sätestatud tingimusi võib kasutada Euroopa Liidus asuv vastutav töötleja, et esitada piisavaid tagatisi direktiivi 95/46/EÜ artikli 26 lõikes 2 määratletud tähenduses isikuandmete edastamisel kolmandas riigis asuvale volitatud töötlejale.
(9)
Käesolevat otsust ei tuleks kohaldada isikuandmete edastamise suhtes Euroopa Liidus asuvatelt vastutavatelt töötlejatelt väljaspool liitu asuvatele vastutavatele töötlejatele, kes jäävad komisjoni 15. juuni 2001. aasta otsuse 2001/497/EÜ (kolmandatesse riikidesse isikuandmete edastamise lepingu tüüptingimuste kohta direktiivi 95/46/EÜ alusel) (5) reguleerimisalasse.
(10)
Käesolev otsus peaks rakendama direktiivi 95/46/EÜ artikli 17 lõikes 3 ettenähtud kohustust ega tohiks piirata vastavalt sellele sättele kehtestatud lepingute või õigusaktide sisu. Mõned lepingu tüüptingimused, eriti andmeeksportija kohustusi puudutavad punktid tuleks siiski sisse viia, suurendamaks sätete selgust, mis võivad sisalduda vastutava töötleja ja volitatud töötleja vahelises lepingus.
(11)
Liikmesriikide järelevalveasutused mängivad käesolevas lepingumehhanismis võtmerolli, et tagada isikuandmete piisav kaitse pärast edastamist. Erandjuhtumitel, kui andmeeksportijad keelduvad andmeimportijat korralikult juhendamast või ei saa seda teha, millega kaasneb ähvardav oht tõsise kahju tekkimiseks andmesubjektidele, peaksid lepingu tüüptingimused lubama järelevalveasutustel andmeimportijaid ja alamtöötlejaid kontrollida ning vajaduse korral andmeimportijatele ja alamtöötlejatele siduvaid otsuseid vastu võtta. Järelevalveasutustel peaks olema õigus keelata või peatada lepingu tüüptingimustel põhinev andmete edastamine või edastamistoimingute kogum sellisel erandjuhul, kui on kindlaks tehtud, et lepinguline edastamine võib tõenäoliselt omada olulist ebasoodsat mõju tagatistele ja kohustustele, mis sätestavad andmesubjekti piisava kaitse.
(12)
Lepingu tüüptingimustes peaksid olema ette nähtud tehnilised ja organisatsioonilised turvameetmed, mida ebapiisavat kaitset pakkuvas kolmandas riigis asuv volitatud andmetöötleja peaks kohaldama, et tagada turvataset, mis vastab töötlemisel tekkivatele riskidele ja kaitsealuste andmete olemusele. Pooled peaksid lisama lepingusse sätte selliste tehniliste ja organisatsiooniliste meetmete kohta, mis on vajalikud isikuandmete kaitsmiseks juhusliku või ebaseadusliku hävitamise või juhusliku kaotsimineku, muutmise, volitamata avalikustamise või juurdepääsu või muude ebaseaduslike töötlemisviiside eest, võttes arvesse kohaldatavat andmekaitseseadust, tehnika taset ning meetmete rakendamise maksumust.
(13)
Hõlbustamaks andmete liikumist Euroopa Liidust on soovitav, et liidus mitmetele vastutavatele andmetöötlejatele andmetöötlusteenuseid osutavatel volitatud töötlejatel oleks võimaldatud kohaldada samu tehnilisi ja organisatsioonilisi turvameetmeid sõltumatult liikmesriigist, kust andmeedastus pärineb, eriti juhul, kui andmeimportija saab edasiseks töötlemiseks andmeid liidu andmeeksportija erinevatest asutustest, millisel puhul peaks kohaldatama määratud asutuse liikmesriigi õigust.
(14)
On asjakohane sätestada minimaalne teabehulk, mida pooled peaksid edastamist käsitlevas lepingus määratlema. Liikmesriikidele peaks jääma õigus detailiseerida teavet, mida pooled peavad esitama. Käesoleva otsuse toimivust peaks läbi vaatama kogemusi silmas pidades.
(15)
Andmeimportija peaks edastatud isikuandmeid töötlema üksnes andmeeksportija nimel ning kooskõlas tema juhiste ja lepingutingimustes sisalduvate kohustustega. Eelkõige andmeimportija ei tohiks avalikustada isikuandmeid kolmandale isikule andmeeksportija eelneva kirjaliku nõusolekuta. Andmeeksportija peaks juhendama andmeimportijat kogu andmetöötlusteenuse osutamise kestel, et andmeid töödeldaks kooskõlas tema juhiste, kohaldatavate andmekaitseseaduste ja lepingutingimustes sisalduvate kohustustega.
(16)
Kolmandatesse riikidesse isikuandmete edastamise lepingu tüüptingimusi käsitlevate otsuste rakendamise aruandes on soovitatud kehtestada asjaomased lepingu tüüptingimused, mis käsitlevad andmete edasist edastamist kolmandas riigis asuvalt andmetöötlejalt teisele andmetöötlejale (alamtöötlemine), et arvesse võtta valdkonna tava ja suundumust aina üleilmsema töötlemise poole.
(17)
Käesolev otsus peaks sisaldama konkreetseid lepingu tüüptingimusi, mis käsitlevad kolmandates riikides asuvate andmetöötlejate (andmeimportijate) poolt pakutavate töötlusteenuste delegeerimist teistele kolmandates riikides asuvatele töötlejatele (alamtöötlejatele). Lisaks tuleks selles sätestada tingimused, millele alamtöötlemine peaks vastama ning millega tagatakse, et edastatavad isikuandmed on hoolimata nende järgnevast edastamisest alamtöötlejale endiselt kaitstud.
(18)
Lisaks peaks alamtöötlemine piirduma üksnes andmeeksportija ja andmeimportija vahelises, käesolevas otsuses ettenähtud tüüptingimusi sisaldavas lepingus sätestatud toimingutega, samuti ei tohiks alamtöötlemine viidata erinevatele töötlustoimingutele ega -eesmärkidele, et kinni pidada direktiivis 95/46/EÜ sätestatud eesmärgi piiramise põhimõttest. Kui alamtöötleja ei täida sellisest lepingust talle tulenevat andmetöötlusega seotud kohustust, peaks andmeeksportija ees vastutama andmeimportija. Isikuandmete edastamine väljaspool Euroopa Liitu asuvatele volitatud töötlejatele ei tohiks mõjutada tõsiasja, et töötlemistegevust peaks reguleerima kohaldatav andmekaitseseadus.
(19)
Lepingu tüüptingimusi ei peaks saama täitmisele pöörata mitte ainult lepingupoolteks olevad organisatsioonid, vaid ka andmesubjektid, eriti juhul, kui andmesubjektid kannavad kahju lepingu rikkumise tagajärjel.
(20)
Andmesubjektil peaks olema õigus astuda samme ning kui see on asjakohane, siis saada hüvitist andmeeksportijalt, kes on edastatud isikuandmete vastutav andmetöötleja. Erandkorras peaks andmesubjektil olema õigus võtta meetmeid ning kui see on asjakohane, siis saada hüvitist andmeimportijalt juhul, mis tuleneb 3. tingimuse lõikes 2 märgitud andmeimportija või temale alluva alamtöötleja mis tahes kohustuste rikkumisest, kui andmeeksportija on teadaolevalt kadunud või on oma seadusejärgse tegevuse lõpetanud või on maksejõuetuks muutunud. Erandkorras peaks andmesubjektil olema õigus võtta meetmeid ning kui see on asjakohane, siis saada hüvitist alamtöötlejalt ka neil juhtudel, kui nii andmeeksportija kui ka andmeimportija on teadaolevalt kadunud või on oma seadusejärgse tegevuse lõpetanud või on maksejõuetuks muutunud. Alamtöötleja kui kolmanda isiku vastutus peaks olema piiratud tema lepingus sätestatud töötlustoimingutega.
(21)
Soodustatud kolmanda isiku sättele tugineva andmesubjekti ja andmeimportija vahelise vaidluse korral, mida ei ole sõbralikult lahendatud, peaks andmeimportija andma andmesubjektile valiku lepitamise või kohtuvaidluse vahel. Andmesubjekti käsutuses oleva tegeliku valiku ulatus sõltub lepitamise usaldusväärsete ning tunnustatud süsteemide kättesaadavusest. Liikmesriikide järelevalveasutuste poolne lepitamine peaks olema valikuks siis, kui nad sellist teenust osutavad.
(22)
Lepingut peaks reguleerima selle liikmesriigi õigus, kus andmeeksportija asub, võimaldades soodustatud kolmandal isikul lepingut täitmisele pöörata. Andmesubjektidele peaks olema lubatud lasta ennast esindada ühendustel või muudel organitel, kui nad seda soovivad ja kui see on siseriiklike õigusaktidega lubatud. Sama õigust tuleks kohaldada ka kõigi selliste lepingute andmekaitsesätete suhtes, mis on sõlmitud alamtöötlejatega andmeeksportijalt andmeimportijale nendevahelise lepingu alusel edastatud isikuandmete alamtöötlemiseks.
(23)
Kuna käesolevat otsust kohaldatakse üksnes juhul, kui kolmandas riigis asuv andmetöötleja osutab andmete töötlemise teenust kolmandas riigis asuvale alamtöötlejale, ei tohiks seda kohaldada olukorras, kus Euroopa Liidus asuv töötleja, kes töötleb isikuandmeid Euroopa Liidus asuva vastutava töötleja nimel, annab oma töötlustoimingud üle kolmandas riigis asuvale alamtöötlejale. Sellistes olukordades on liikmesriikidel vabadus otsustada, kas arvesse võtta asjaolu, et töötlustoimingute andmisel kolmandas riigis asuvale alamtöötlejale on nende andmesubjektide õiguste piisaval tasemel kaitse tagamiseks, kelle isikuandmeid alamtöötlustoiminguteks edastatakse, kasutatud käesolevas otsuses sätestatud lepingu tüüptingimuste põhimõtteid ja kaitsemeetmeid.
(24)
Direktiivi 95/46/EÜ artikli 29 alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on esitanud arvamuse kaitsetaseme kohta, mida pakuvad käesolevale otsusele lisatud lepingu tüüptingimused ja mida on selle otsuse ettevalmistamisel arvesse võetud.
(25)
Otsus 2002/16/EÜ tuleks tunnistada kehtetuks.
(26)
Käeoleva otsusega ettenähtud meetmed on kooskõlas direktiivi 95/46/EÜ artikli 31 alusel asutatud komitee arvamusega,
ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
Artikkel 1
Lisas sätestatud lepingu tüüptingimusi käsitletakse piisavate tagatistena üksikisikute eraelu puutumatuse ning põhiõiguste ja -vabaduste kaitseks ning vastavate õiguste teostamiseks, nagu on nõutud direktiivi 95/46/EÜ artikli 26 lõikes 2.
Artikkel 2
Käesolev otsus käsitleb üksnes kaitse piisavust, mida pakuvad lisas sätestatud isikuandmete volitatud töötlejatele edastamise lepingu tüüptingimused. See ei mõjuta muude direktiivi 95/46/EÜ rakendavate siseriiklike õigusnormide kohaldamist, mis on seotud isikuandmete töötlemisega liikmesriikide piires.
Käesolev otsus kehtib isikuandmete edastamise kohta Euroopa Liidus asuvatelt vastutavatelt töötlejatelt väljaspool liidu territooriumi asuvatele vastuvõtjatele, kes tegutsevad üksnes volitatud töötlejatena.
Artikkel 3
Käesolevas otsuses kasutatakse järgmisi mõisteid:
a) andmete eriliigid- direktiivi 95/46/EÜ artiklis 8 märgitud andmed;
b) järelevalveasutus- direktiivi 95/46/EÜ artiklis 28 märgitud organ;
c) andmeeksportija- vastutav töötleja, kes edastab isikuandmeid;
d) andmeimportija- kolmandas riigis asuv volitatud töötleja, kes nõustub võtma andmeeksportijalt vastu isikuandmeid, mis on mõeldud töötlemiseks pärast edastamist andmeeksportija nimel ja kooskõlas tema juhiste ja käesoleva otsuse tingimustega ning kelle kohta ei kehti piisavat kaitset tagav kolmanda riigi süsteem direktiivi 95/46/EÜ artikli 25 lõike 1 tähenduses;
e) alamtöötleja- andmeimportija või andmeimportija alamtöötleja värvatud töötleja, kes nõustub andmeimportijalt või andmeimportija alamtöötlejalt saama isikuandmeid, mis on ette nähtud üksnes edastamisjärgseteks töötlustoiminguteks, mis teostatakse andmeeksportija nimel vastavalt andmeeksportija antud suunistele, lisas sätestatud lepingu tüüptingimustele ja kirjaliku alamtöötluslepingu tingimustele;
f) kohaldatav andmekaitseseadus- õigusakt, mis kaitseb üksikisikute põhiõigusi ja -vabadusi ning eriti nende eraelu puutumatuse õigust seoses isikuandmete töötlemisega ning mis on kohaldatav vastutava andmetöötleja suhtes liikmesriigis, kus andmeeksportija asub;
g) tehnilised ja organisatsioonilised turvameetmed- meetmed isikuandmete kaitsmiseks juhusliku või ebaseadusliku hävitamise või juhusliku kaotsimineku, muutmise, volitamata avalikustamise või juurdepääsu eest eelkõige juhul, kui töötlemine hõlmab andmete edastamist võrgu kaudu, ning igasuguse muu võimaliku ebaseadusliku töötlemise eest.
Artikkel 4
1. Ilma et see piiraks nende volitusi võtta meetmeid tagamaks vastavust siseriiklikele õigusnormidele, mis on vastu võetud direktiivi 95/46/EÜ II, III, V ja VI peatüki kohaselt, võivad liikmesriikide pädevad organid kasutada neil olemasolevaid volitusi keelata või peatada andmete liikumine kolmandatesse riikidesse, et kaitsta üksikisikuid seoses nende isikuandmete töötlemisega juhul, kui:
a)
on kindlaks tehtud, et andmeimportija või alamtöötleja kohta kehtiv seadus kehtestab talle nõudeid kalduda kõrvale kohaldatavast andmekaitseseadusest, et kõnealused nõuded lähevad kaugemale direktiivi 95/46/EÜ artiklis 13 sätestatud demokraatlikus ühiskonnas vajalikest piirangutest ja et need nõuded võivad tõenäoliselt omada olulist ebasoodsat mõju kohaldatava andmekaitseseaduse ja lepingu tüüptingimustega ettenähtud tagatistele või
b)
pädev organ on kindlaks teinud, et andmeimportija või alamtöötleja ei ole järginud lisas sätestatud lepingu tüüptingimusi või
c)
on olemas oluline tõenäosus, et lisas esitatud lepingu tüüptingimusi ei järgita ning et jätkuv edastamine looks ähvardava ohu tõsise kahju tekkimiseks andmesubjektidele.
2. Keelamine või peatamine vastavalt lõikele 1 tühistatakse kohe, kui keelamise või peatamise põhjusi enam pole.
3. Kui liikmesriigid võtavad meetmeid vastavalt lõikele 1 ja 2, peavad nad neist meetmetest viivitamata teatama komisjonile, kes edastab saadud teabe teistele liikmesriikidele.
Artikkel 5
Komisjon hindab käesoleva otsuse toimivust kättesaadava teabe alusel kolme aasta pärast alates otsuse vastuvõtmisest. Tulemuste kohta esitab ta aruande direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele. Aruanne sisaldab mis tahes tõendusmaterjali, mis võiks mõjutada lisas esitatud lepingu tüüptingimuste piisavuse hindamist, ning mis tahes tõendusmaterjali, et käesolevat otsust kohaldatakse diskrimineerivalt.
Artikkel 6
Käesolevat otsust kohaldatakse alates 15. maist 2010.
Artikkel 7
1. Otsus 2002/16/EÜ tunnistatakse kehtetuks alates 15. maist 2010.
2. Andmeeksportija ja andmeimportija vahel otsuse 2002/16/EÜ alusel enne 15. maid 2010 sõlmitud leping jääb kehtima ja jõusse seni, kuni lepingu objektiks olevad andmete edastus- ja töötlustoimingud jäävad samaks ja poolte vahel edastatakse käesoleva otsusega hõlmatud isikuandmeid. Kui lepingu pooled otsustavad teha muudatusi või anda edasi lepingu objektiks olevaid töötlustoiminguid, peavad nad sõlmima uue lepingu, mis on kooskõlas lisas sätestatud lepingu tüüptingimustega.
Artikkel 8
Käesolev otsus on adresseeritud liikmesriikidele.
Brüssel, 5. veebruar 2010

Labels: 7
12
11
5