Document ID: 32000D0520

Kommissionens beslutning
af 26. juli 2000
i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af safe harbor-principperne til beskyttelse af privatlivets fred og de dertil hørende hyppige spørgsmål fra det amerikanske handelsministerium
(meddelt under nummer K(2000) 2441)
(EØS-relevant tekst)
(2000/520/EF)
KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995, om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(1), særlig artikel 25, stk. 6, og
ud fra følgende betragtninger:
(1) Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at overførsel af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og hvis den pågældende medlemsstats lovgivning til gennemførelse af direktivets andre bestemmelser overholdes forud for overførslen.
(2) Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der overføres personoplysninger fra medlemsstaterne, uden at det er nødvendigt, at der stilles yderligere garantier.
(3) Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en overførsel eller en type overførsel af oplysninger og med hensyn til situationen. Den ved direktivet nedsatte gruppe(2) har udgivet vejledninger om, hvorledes disse vurderinger skal foretages(3).
(4) På grund af tredjelandenes forskellige fremgangsmåder med hensyn til databeskyttelse bør man foretage vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og gennemføre enhver beslutning, der træffes i medfør af artikel 25, stk. 6, på en sådan måde, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor forholdene er de samme, eller skabes skjulte handelshindringer under hensyntagen til Fællesskabets nuværende internationale forpligtelser.
(5) Et foretagende skal for at opnå anerkendelse og forblive anerkendt som et foretagende, der sikrer et tilstrækkeligt beskyttelsesniveau for overførslen af oplysninger fra EF til USA i overensstemmelse med denne beslutning, overholde disse principper og hyppige spørgsmål (FAQ) (som giver vejledning for implementeringen af principperne udsendt af USA's regering 21.7.2000), gøre dets foranstaltninger til beskyttelse af privatlivets fred offentligt tilgængelige og være underlagt Federal Trade Commissions (FTC) kompetence i henhold til paragraf 5 i Federal Trade Commission Act om forbud mod illoyal og vildledende adfærd eller praksis i forbindelse med handel eller være underlagt ethvert andet ved lov etableret organ, der kan sikre overholdelse af principperne, som gennemføres i overensstemmelse med FAQ.
(6) Denne beslutning finder ikke anvendelse på de sektorer og/eller databehandlinger, der ikke er underlagt et af de amerikanske regeringsorganer, der nævnes i bilag VII.
(7) For at sikre, at denne beslutning anvendes korrekt, bør det være muligt for berørte parter, herunder dataafsendere og databeskyttelsesmyndigheder, at identificere de foretagender, der tilslutter sig principperne og FAQ. Det amerikanske handelsministerium eller dets repræsentant har til dette formål påtaget sig at oprette, ajourføre og offentliggøre en liste over foretagender, der på grundlag af selvevaluering har tilsluttet sig principperne, der gennemføres i henhold til FAQ, og som er underlagt mindst et af de regeringsorganer, der nævnes i bilag VII.
(8) Af hensyn til princippet om gennemsigtighed og for at beskytte de kompetente myndigheders muligheder for i medlemsstaterne at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger bør det i beslutningen specificeres, under hvilke særlige omstændigheder det er muligt at suspendere specifikke dataoverførsler, uanset om det pågældende databeskyttelsesniveau anses for tilstrækkeligt.
(9) Safe harbor-ordningen og FAQ er resultatet af en helt ny fremgangsmåde, som derfor i givet fald bør tages op til fornyet overvejelse i lyset af erfaringerne, udviklingen inden for beskyttelse af privatlivets fred i en verden, hvor teknologien hele tiden gør det nemmere at overføre og behandle personoplysninger, og rapporterne om de involverede kompetente myndigheders gennemførelse af ordningen.
(10) Denne beslutning tager højde for de udtalelser, som den ved direktivets artikel 29 nedsatte gruppe om beskyttelse af personoplysninger har afgivet om det beskyttelsesniveau, der sikres på grundlag af safe harbor-ordningen i USA(4).
(11) De i denne beslutning fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det i artikel 31 i direktiv 95/46/EF nedsatte udvalg -
VEDTAGET FØLGENDE BESLUTNING:
Artikel 1
1. Med henblik på artikel 5, stk. 2, i direktiv 95/46/EF og for så vidt angår alle de aktiviteter, der er omfattet af direktivet, formodes safe harbor-principperne, i det følgende benævnt "principperne", som omhandlet i bilag I, der finder anvendelse i overensstemmelse med de normgivende hyppige spørgsmål (FAQ), som blev udstedt den 21. juli 2000 af det amerikanske handelsministerium og er vedlagt som bilag II til denne beslutning, at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EF til i USA etablerede foretagender, i betragtning af følgende dokumenter fra USA's handelsministerium:
a) oversigt over håndhævelse af safe harbor-principperne i bilag III
b) memorandum om erstatning for krænkelse af privatlivets fred og udtrykkelige tilladelser i USA's lovgivning i bilag IV
c) brev fra Federal Trade Commission, bilag V
d) brev fra det amerikanske handelsministerium, bilag VI.
2. I forbindelse med overførsel af personoplysninger skal følgende betingelser opfyldes:
a) foretagendet, der modtager oplysningerne, skal utvetydigt og offentligt have angivet, at det forpligter sig til at overholde principperne, der anvendes i overensstemmelse med FAQ
b) foretagendet skal være underlagt et af de i bilag VII anførte regeringsorganers lovbestemte beføjelser til at behandle klager og udstede forbud eller påbud i forbindelse med illoyal eller vildledende praksis og opnå, at et retstilstand genoprettes for fysiske personer, uden hensyn til nationalitet eller bopælsland, i tilfælde af manglende overholdelse af principperne, der gennemføres i overensstemmelse med FAQ.
3. Et foretagende, der på grundlag af selvcertificering tilslutter sig principperne, der gennemføres i overensstemmelse med FAQ, formodes at opfylde de i stk. 2 anførte betingelser fra den dato, hvor det meddeler det amerikanske handelsministerium (eller dets repræsentant), at det offentligt har forpligtet sig i henhold til stk. 2, litra a), og opgiver navnet på det i stk. 2, litra b), anførte regeringsorgan.
Artikel 2
Denne beslutning vedrører kun tilstrækkeligheden af den beskyttelse, der opnås i USA, i kraft af principperne, der gennemføres i overensstemmelse med FAQ, med henblik på at opfylde kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og den har ingen indvirkning på gennemførelsen af de andre bestemmelser i direktivet, som vedrører behandlingen af personoplysninger i medlemsstaterne, navnlig artikel 4.
Artikel 3
1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overholdelse af de nationale bestemmelser, der vedtages i overensstemmelse med andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser med henblik på at suspendere overførslen af oplysninger til et foretagende, der på grundlag af selvcertificering tilslutter sig principperne, der gennemføres i overensstemmelse med FAQ, for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger.
a) når det amerikanske regeringsorgan, som anført i bilag VII, eller en uvildig klageinstans, som anført i a) under princippet om håndhævelse som anført i bilag I, fastslår, at det pågældende foretagende overtræder principperne, der gennemføres i overensstemmelse med FAQ, eller
b) når der er stor sandsynlighed for, at principperne overtrædes; når der er tilstrækkelig grund til at antage, at det pågældende organ ikke træffer eller ikke agter at træffe passende og betimelige foranstaltninger for at løse den pågældende sag, når der ved fortsat overførsel af personoplysninger er stor risiko for på betydelig vis at skade de registrerede, og når de kompetente myndigheder i medlemsstaterne forholdene taget i betragtning på passende vis har bestræbt sig på at underrette det pågældende foretagende og give det mulighed for at svare.
Suspenderingen skal straks ophøre, når principperne, der gennemføres i overensstemmelse med FAQ, igen overholdes, og når den kompetente myndighed i EU er blevet underrettet derom.
2. Medlemsstaterne skal straks underrette Kommissionen, når der træffes foranstaltninger i medfør af stk. 1.
3. Medlemsstaterne og Kommissionen skal ligeledes underrette hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af de principper, der gennemføres i overensstemmelse med FAQ i USA, ikke er i stand til at sikre, at principperne overholdes.
4. Hvis det fremgår af de oplysninger, der skal udveksles i henhold til stk. 1, 2 og 3, at et organ, der er ansvarlig for håndhævelse af principperne, der gennemføres i overensstemmelse med FAQ i USA, ikke opfylder sin rolle effektivt, skal Kommissionen underrette det amerikanske handelsministerium og, hvis det er nødvendigt, forelægge et udkast til foranstaltninger i overensstemmelse med den i direktivets artikel 31 fastsatte procedure med henblik på at ophæve eller suspendere nærværende beslutning eller begrænse dens anvendelsesområde.
Artikel 4
1. Denne beslutning kan til enhver tid blive ændret på grundlag af erfaringerne i forbindelse med dens gennemførelse, og/eller hvis der i den amerikanske lovgivning stilles krav om samme beskyttelsesniveau som det, der opnås ved hjælp af principperne og FAQ.
Kommissionen skal under alle omstændigheder evaluere gennemførelsen af denne beslutning på grundlag af alle tilgængelige oplysninger tre år efter, at den pågældende medlemsstat har fået meddelelse derom, og rapportere om ethvert relevant forhold til det ved artikel 31 i direktiv 95/46/EF nedsatte udvalg, herunder om ethvert forhold, der kan påvirke den i artikel 1 i nærværende beslutning anførte vurdering, hvor bestemmelserne vurderes som værende i stand til at tilvejebringe en tilstrækkelig beskyttelse i henhold til artikel 25 i direktiv 95/46/EF, samt om ethvert forhold, hvoraf det fremgår, at beslutningen gennemføres på en diskriminerende måde.
2. Kommissionen skal, hvis det er nødvendigt, fremlægge forslag til foranstaltninger i henhold til proceduren i direktivets artikel 31.
Artikel 5
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne beslutning senest 90 dage efter, at den er meddelt.
Artikel 6
Denne beslutning er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 26. juli 2000.

Labels: 12
11
18