Document ID: 32000D0520

Beschikking van de Commissie
van 26 juli 2000
overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad, betreffende de gepastheid van de bescherming geboden door de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer en de daarmee verband houdende Vaak gestelde vragen, die door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd
(Kennisgeving geschied onder nummer C(2000) 2441)
(Voor de EER relevante tekst)
(2000/520/EG)
DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap,
Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens(1), inzonderheid op artikel 25, lid 6,
Overwegende hetgeen volgt:
(1) Overeenkomstig Richtlijn 95/46/EG moeten de lidstaten bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaat die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.
(2) De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties door de lidstaten worden doorgegeven.
(3) Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt en wordt in het bijzonder rekening gehouden met een aantal voorwaarden. De bij de richtlijn ingestelde Groep betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens(2) heeft richtsnoeren voor een dergelijke beoordeling vastgesteld(3).
(4) Gezien de verschillende benaderingen van gegevensbescherming in derde landen moeten de beoordeling van de gepastheid en besluiten op grond van artikel 25, lid 6, van Richtlijn 95/46/EG worden uitgevoerd op een wijze die geen willekeurige of onverantwoorde discriminatie tegen of tussen derde landen waar gelijksoortige voorwaarden gelden, noch een verkapte handelsbelemmering vormt, rekening houdend met de huidige internationale verbintenissen van de Gemeenschap.
(5) Het bij deze beschikking erkende passende beschermingsniveau voor de doorgifte van persoonsgegevens van de Gemeenschap naar de Verenigde Staten zou moeten worden bereikt indien organisaties voldoen aan de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer (Safe Harbor Privacy Principles), hierna "de beginselen" genoemd, en de richtsnoeren van de tenuitvoerlegging van de beginselen, de Vaak gestelde vragen (Frequently Asked Questions), hierna "FAQ's" genoemd, die op 21 juli 2000 door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd. Voorts zouden de organisaties hun beleid inzake de bescherming van de persoonlijke levenssfeer openbaar moeten maken en zich aan de rechtsbevoegdheid van de Federal Trade Commission (FTC) onderwerpen, overeenkomstig sectie 5 van de Federal Trade Commission Act waarin oneerlijke of misleidende handelingen of praktijken in of in verband met de handel worden verboden, dan wel aan die van een andere officiële instantie die de naleving van de overeenkomstig de FAQ's ten uitvoer gelegde beginselen daadwerkelijk garandeert.
(6) Sectoren en/of gegevensverwerking waarvoor niet een in bijlage VII van deze beschikking genoemde overheidsinstanties in de Verenigde Staten bevoegd is, dienen buiten het toepassingsgebied van deze beschikking te vallen.
(7) Voor een juiste toepassing van deze beschikking is het noodzakelijk dat de organisaties die de beginselen en de FAQ's onderschrijven, herkenbaar zijn voor de belanghebbende partijen, zoals de betrokkenen, degenen die gegevens naar het buitenland doorgeven en de gegevensbeschermingsautoriteiten. Hiertoe moet het ministerie van Handel van de Verenigde Staten of een door dit ministerie aangewezen instantie toezeggen een lijst bij te houden en ter beschikking te stellen van organisaties die door zelfcertificering de overeenkomstig de FAQ's ten uitvoer gelegde beginselen onderschrijven en die onder de rechtsbevoegdheid vallen van ten minste een van de in bijlage VII van deze beschikking genoemde overheidsinstanties.
(8) Ter wille van de doorzichtigheid en teneinde te garanderen dat de bevoegde autoriteiten in de lidstaten de personen wier persoonsgegevens worden verwerkt, kunnen beschermen, moet in deze beschikking worden aangegeven in welke buitengewone omstandigheden het gerechtvaardigd is specifieke gegevensstromen op te schorten, ook al is een passend beschermingsniveau vastgesteld.
(9) De door de beginselen en de FAQ's in het leven geroepen en door gevestigde mechanismen uit de overheids- en particuliere sector ondersteunde veilige haven vormt een innovatieve benadering, die eventueel moet worden herzien in het licht van de ervaring, de ontwikkelingen betreffende de bescherming van de persoonlijke levenssfeer in een situatie waarin de technologie de doorgifte en verwerking van persoonsgegevens steeds gemakkelijker maakt, en in het licht van rapporten van de betrokken met de rechtshandhaving belaste instanties over de uitvoering.
(10) De bij artikel 29 van de richtlijn opgerichte Groep betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens heeft over het beschermingsniveau dat door de Veiligehavenbeginselen in de Verenigde Staten wordt geboden, adviezen uitgebracht waarmee bij de voorbereiding van deze beschikking rekening is gehouden(4).
(11) De in deze beschikking vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité,
HEEFT DE VOLGENDE BESCHIKKING GEGEVEN:
Artikel 1
1. Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG geldt voor alle binnen de werkingssfeer van die richtlijn vallende activiteiten, dat de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer, hierna "de beginselen" genoemd, zoals vermeld in bijlage I van deze beschikking, ten uitvoer gelegd overeenkomstig de richtsnoeren in de Vaak gestelde vragen, hierna "FAQ's" genoemd, zoals vermeld in bijlage II van de beschikking, die op 21 juli 2000 door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd, worden geacht een passend beschermingsniveau te waarborgen voor de doorgifte van persoonsgegevens van de Gemeenschap naar in de Verenigde Staten gevestigde organisaties, een en ander gelet op de volgende, door het ministerie van Handel van de Verenigde Staten gepubliceerde documenten ten uitvoer gelegd volgens de ter uitvoering van die beginselen gegeven richtsnoeren:
a) een overzicht van de rechtshandhaving inzake de veilige haven, opgenomen in bijlage III;
b) een memorandum over schadevergoeding wegens inbreuken op de persoonlijke levenssfeer en uitdrukkelijke machtigingen in de wetgeving van de Verenigde Staten, opgenomen in bijlage IV;
c) een schrijven van de Federal Trade Commission, opgenomen in bijlage V;
d) een schrijven van het ministerie van Vervoer van de Verenigde Staten, opgenomen in bijlage VI.
2. Met betrekking tot elke doorgifte van gegevens moet aan de volgende voorwaarden zijn voldaan:
a) de organisatie die de gegevens ontvangt, heeft zich op eenduidige wijze en in het openbaar ertoe verbonden de beginselen die in overeenstemming met de FAQ's ten uitvoer worden gelegd, na te leven, en
b) de organisatie is onderworpen aan het wettelijk gezag van een in bijlage VII van deze beschikking vermelde overheidsinstantie in de Verenigde Staten die klachten kan onderzoeken en na oneerlijke en misleidende praktijken herstel kan verkrijgen alsmede schadeloosstelling voor natuurlijke personen, ongeacht het land van hun woonplaats of nationaliteit, indien de overeenkomstig de FAQ's ten uitvoer gelegde beginselen niet zijn nagekomen.
3. Elke organisatie die door zelfcertificering de overeenkomstig de FAQ's ten uitvoer gelegde beginselen onderschrijft, wordt geacht aan de in lid 2 gestelde voorwaarden te voldoen vanaf de datum waarop de organisatie het ministerie van Handel van de Verenigde Staten (of de door dit ministerie aangewezen instantie) in kennis stelt van de openbare bekendmaking van de in lid 2, onder a), bedoelde verbintenis, en van de identiteit van de in lid 2, onder b), bedoelde overheidsinstantie.
Artikel 2
Deze beschikking heeft alleen betrekking op de gepastheid van de bescherming die in de Verenigde Staten overeenkomstig de volgens de FAQ's ten uitvoer gelegde beginselen wordt geboden, teneinde aan de vereisten van artikel 25, lid 1, van Richtlijn 95/46/EG te voldoen en laat de toepassing van andere bepalingen van die richtlijn die op de verwerking van persoonsgegevens in de lidstaten betrekking hebben en met name van artikel 4, onverlet.
Artikel 3
1. Onverminderd hun bevoegdheden om maatregelen te nemen in verband met de naleving van nationale bepalingen die op grond van andere bepalingen dan artikel 25 van Richtlijn 95/46/EG zijn vastgesteld, kunnen de bevoegde autoriteiten in de lidstaten van hun bestaande bevoegdheden gebruikmaken om gegevensstromen naar een organisatie die door zelfcertificering de overeenkomstig de FAQ's ten uitvoer gelegde beginselen heeft onderschreven, op te schorten, teneinde personen ten aanzien van de verwerking van hun persoonsgegevens te beschermen, wanneer:
a) de in bijlage VII genoemde overheidsinstantie van de Verenigde Staten of een onafhankelijk verhaalmechanisme als bedoeld onder a) van het handhavingsbeginsel zoals vermeld in bijlage I van deze beschikking, tot de conclusie is gekomen dat de organisatie de overeenkomstig de FAQ's ten uitvoer gelegde beginselen schendt, of
b) het zeer waarschijnlijk is dat de beginselen worden geschonden; er redelijkerwijs kan worden aangenomen dat het desbetreffende handhavingsmechanisme niet tijdig passende maatregelen neemt of zal nemen om het betrokken probleem op te lossen; zich een risico voordoet dat de betrokkenen ernstige schade wordt toegebracht wanneer verder gegevens worden doorgegeven; en de bevoegde autoriteiten in de lidstaat zich naar omstandigheden redelijke inspanningen hebben getroost om de organisatie van het probleem in kennis te stellen en de gelegenheid te geven te reageren.
De opschorting wordt beëindigd zodra vaststaat dat de overeenkomstig de FAQ's ten uitvoer gelegde beginselen worden nageleefd en de bevoegde autoriteiten in de Gemeenschap hiervan in kennis zijn gesteld.
2. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van lid 1 maatregelen worden genomen.
3. De lidstaten stellen de Commissie tevens in kennis van gevallen waarin instanties die voor de naleving van de overeenkomstig de FAQ's ten uitvoer gelegde beginselen in de Verenigde Staten verantwoordelijk zijn, verzuimen een dergelijke naleving te garanderen.
4. Wanneer uit de overeenkomstig de leden 1, 2 en 3 verzamelde informatie mocht blijken dat een instantie die verantwoordelijk is voor de naleving van de overeenkomstig de FAQ's ten uitvoer gelegde beginselen in de Verenigde Staten, haar taak niet naar behoren vervult, stelt de Commissie het ministerie van Handel van de Verenigde Staten hiervan in kennis en stelt zij zo nodig, in overeenstemming met de in artikel 31 van Richtlijn 95/46/EG vastgestelde procedure, ontwerp-maatregelen voor om deze beschikking in te trekken of op te schorten dan wel de werkingssfeer ervan te beperken.
Artikel 4
1. Deze beschikking kan te allen tijde worden aangepast in het licht van de bij de uitvoering ervan opgedane ervaringen en/of indien het door de beginselen en de FAQ's geboden beschermingsniveau door de in de wetgeving van de Verenigde Staten gestelde eisen wordt achterhaald.
In ieder geval evalueert de Commissie op basis van de beschikbare informatie de uitvoering van de beschikking drie jaar nadat de lidstaten ervan in kennis zijn gesteld, en deel zij alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee, inclusief alle gegevens die van invloed kunnen zijn op de overeenkomstig artikel 1 van deze beschikking gedane vaststelling dat het beschermingsniveau passend is in de zin van artikel 25 van Richtlijn 95/46/EG, alsmede alle gegevens waaruit blijkt dat deze beschikking op discriminerende wijze wordt uitgevoerd.
2. De Commissie legt zo nodig overeenkomstig de bij artikel 31 van Richtlijn 95/46/EG vastgestelde procedure een ontwerp van de te nemen maatregelen voor.
Artikel 5
De lidstaten nemen alle nodig maatregelen om uiterlijk negentig dagen na de kennisgeving ervan aan de lidstaten aan deze beschikking te voldoen.
Artikel 6
Deze beschikking is gericht tot de lidstaten.
Gedaan te Brussel, 26 juli 2000.

Labels: 12
11
18