Document ID: 32000D0520

Komission päätös,
tehty 26 päivänä heinäkuuta 2000,
Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisesti yksityisyyden suojaa koskevien safe harbor -periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä
(tiedoksiannettu numerolla K(2000) 2441)
(ETA:n kannalta merkityksellinen teksti)
(2000/520/EY)
EUROOPAN YHTEISÖJEN KOMISSIO, joka
ottaa huomioon Euroopan yhteisön perustamissopimuksen,
ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY(1), ja erityisesti sen 25 artiklan 6 kohdan,
sekä katsoo seuraavaa:
(1) Direktiivin 95/46/EY mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä kolmannessa maassa turvataan tietosuojan riittävä taso ja direktiivin muiden säännösten täytäntöönpanemiseksi annettuja jäsenvaltioiden lakeja noudatetaan ennen tietojen siirtämistä.
(2) Komissio voi todeta, että kolmas maa turvaa tietosuojan riittävän tason. Henkilötietojen siirtäminen jäsenvaltioista voidaan tässä tapauksessa sallia ilman lisätakeita.
(3) Direktiivin 95/46/EY mukaisesti tietosuojan taso olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta. Direktiivin mukaisesti perustettu tietosuojatyöryhmä(2) on antanut arvioinnin tekemistä koskevia ohjeita(3).
(4) Koska kolmannet maat suhtautuvat eri tavoin tietosuojaan, tietosuojan riittävyyden arviointi olisi suoritettava ja kaikki direktiivin 95/46/EY 25 artiklan 6 kohtaan perustuvat päätökset olisi pantava täytäntöön tavalla, joka ei mielivaltaisesti tai epäoikeudenmukaisesti syrji mitään kolmatta maata tai tee eroa niiden välillä, jos niissä vallitsevat samanlaiset olosuhteet, tai muodosta peiteltyä kaupan estettä yhteisön nykyiset kansainväliset sitoumukset huomioon ottaen.
(5) Tämän päätöksen mukainen riittävä suojan taso tietojen siirrolle yhteisöstä Yhdysvaltoihin pitäisi saada, jos organisaatiot noudattavat jäsenvaltioista Yhdysvaltoihin siirrettävien henkilötietojen suojan osalta yksityisyyden suojaa koskevia safe harbor -periaatteita, jäljempänä "periaatteet", ja tavallisimpien kysymysten -ohjetta periaatteiden täytäntöönpanemiseksi, jäljempänä "FAQ", jotka Yhdysvaltain hallitus on laatinut 21 päivänä heinäkuuta 2000. Organisaatioiden on lisäksi julkistettava yksityisyyden suojaa koskeva toimintalinjansa ja kuuluttava Federal Trade Commission Act -lain, jossa kielletään kauppaa koskevat tai kauppaan vaikuttavat sopimattomat tai harhaanjohtavat toimet tai käytännöt, 5 pykälän nojalla Federal Trade Commissionin (FTC) tai muun, FAQ:iden mukaisesti sovellettavien periaatteiden noudattamisesta vastaavan lakisääteisen elimen toimivallan piiriin.
(6) Alat ja/tai tietojenkäsittelytoimet, jotka eivät kuulu tämän päätöksen liitteessä VII lueteltujen valtiollisten elinten toimivaltaan Yhdysvalloissa, eivät kuulu tämän päätöksen soveltamisalaan.
(7) Tämän päätöksen asianmukaisen soveltamisen varmistamiseksi asianomaisten osapuolten, kuten rekisteröityjen, tiedonviejien ja tietosuojaviranomaisten, on voitava tunnistaa periaatteita ja FAQ:ita noudattavat organisaatiot; sen vuoksi Yhdysvaltojen kauppaministeriön tai sen edustajan olisi otettava tehtäväkseen ylläpitää ja pitää yleisesti saatavilla luetteloa organisaatioista, jotka ilmoittavat noudattavansa FAQ:iden mukaisesti sovellettavia periaatteita ja jotka kuuluvat ainakin yhden tämän päätöksen liitteessä VII luetellun valtiollisen elimen toimivallan piiriin.
(8) Avoimuuden saavuttamiseksi ja sen varmistamiseksi, että jäsenvaltioiden toimivaltaiset viranomaiset kykenevät turvaamaan yksityishenkilöiden suojan henkilötietoja käsiteltäessä, tässä päätöksessä on tarpeen määritellä poikkeukselliset olot, joissa tiettyjen tiedonsiirtojen keskeyttäminen olisi oikeutettua siitä huolimatta, että tietosuojan taso on todettu riittäväksi.
(9) Safe harbor -periaatteiden ja FAQ:iden tarkistaminen saattaa olla tarpeen yksityisyyden suojaan liittyvien kokemusten ja kehityksen perusteella, kun teknologia jatkuvasti yksinkertaistaa henkilötietojen siirtoa ja käsittelyä, ja niiden kertomusten perusteella, joita saadaan asiaa käsitteleviltä täytäntöönpanoviranomaisilta.
(10) Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut lausuntoja safe harbor -periaatteiden tarjoamasta tietosuojan tasosta Yhdysvalloissa. Lausunnot on otettu huomioon tämän päätöksen valmistelussa(4).
(11) Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklalla perustetun komitean lausunnon mukaiset,
ON TEHNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
1. Direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamiseksi ja kaikkien direktiivin soveltamisalaan kuuluvien toimintojen osalta yksityisyyden suojaa koskevien, tämän päätöksen liitteenä I olevien safe harbor -periaatteiden, jäljempänä "periaatteet", joita sovelletaan Yhdysvaltojen kauppaministeriön 21 päivänä heinäkuuta 2000 julkaisemien ja tämän päätöksen liitteenä II olevien tavallisimpien kysymysten (Frequently Asked Questions, FAQ), jäljempänä "FAQ", tarjoaman ohjauksen mukaisesti, katsotaan varmistavan yhteisöstä Yhdysvaltoihin sijoittautuneille organisaatioille siirrettyjen henkilötietojen riittävän suojelun tason, ottaen huomioon seuraavat Yhdysvaltain kauppaministeriön julkaisemat asiakirjat:
a) periaatteiden noudattamista käsittelevä katsaus (esitetään liitteessä III);
b) muistio yksityisyyden loukkausten aiheuttamista vahingoista ja Yhdysvaltain lainsäädännön mukaiset täsmälliset valtuudet (esitetään liitteessä IV);
c) Federal Trade Commissionin kirje (esitetään liitteessä V);
d) Yhdysvaltain liikenneministeriön kirjelomake (esitetään liitteessä VI).
2. Jokaisen tietojen siirron on täytettävä seuraavat edellytykset:
a) tiedot vastaanottava organisaatio on yksiselitteisesti ja julkisesti ilmoittanut sitoutuvansa noudattamaan FAQ:iden mukaisesti sovellettuja periaatteita; ja
b) organisaatio kuuluu sellaisen tämän päätöksen liitteessä VII luetellun Yhdysvaltojen valtiollisen elimen lakisääteisen toimivallan piiriin, jolla on valtuudet tutkia valituksia ja määrätä korvauksia sopimattomista tai harhaanjohtavista käytännöistä sekä tarjota oikeuskeinoja yksityisille heidän asuinmaastaan tai kansallisuudestaan riippumatta, jos FAQ:iden mukaisesti sovellettavia periaatteita ei noudateta.
3. Edellä 2 kohdassa mainittujen edellytysten katsotaan kunkin organisaation, joka on ilmoittanut noudattavansa FAQ:iden mukaisesti sovellettavia periaatteita, osalta täyttyvän siitä päivästä alkaen, jona organisaatio antaa Yhdysvaltojen kauppaministeriölle (tai sen nimeämälle) tiedoksi edellä 2 kohdan a alakohdassa tarkoitetun julkisesti ilmoitetun sitoumuksensa ja edellä 2 kohdan b alakohdassa tarkoitetun valtiollisen elimen nimen.
2 artikla
Tämä päätös koskee ainoastaan Yhdysvalloissa FAQ:iden mukaisesti sovellettavien periaatteiden tietosuojan riittävyyttä siinä tarkoituksessa, että direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimukset täytettäisiin, eikä sillä ole vaikutusta direktiivin muiden, henkilötietojen käsittelyä jäsenvaltioissa koskevien säännösten, myöskään 4 artiklan, soveltamiseen.
3 artikla
1. Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä direktiivin 95/46/EY muiden säännösten kuin 25 artiklan noudattamiseksi annettujen kansallisten säännösten noudattamisen varmistamiseksi, jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttää organisaatiolle, joka on ilmoittanut noudattavansa FAQ:iden mukaisesti sovellettavia periaatteita, suunnatut tietovirrat yksityishenkilöiden suojelemiseksi heitä koskevien henkilötietojen käsittelemisen osalta tapauksissa, joissa:
a) tämän päätöksen liitteessä VII tarkoitettu Yhdysvaltojen valtiollinen elin tai tämän päätöksen liitteessä I esitetyn täytäntöönpanoperiaatteen a luetelmakohdassa tarkoitettu riippumaton valitusmenettelyjärjestely on todennut, että organisaatio loukkaa FAQ:iden mukaisesti sovellettavia periaatteita; tai
b) on huomattavan todennäköistä, että periaatteita loukataan; on kohtuullinen syy uskoa, että asianomainen täytäntöönpano-organisaatio ei ole ryhtynyt tai ryhdy riittäviin ja ajankohtaisiin toimenpiteisiin kyseessä olevan tapauksen ratkaisemiseksi; tietojen siirron jatkaminen aiheuttaisi välittömän vakavan haitan vaaran rekisteröidyille; ja jäsenvaltion toimivaltaiset viranomaiset ovat olosuhteisiin nähden kohtuullisessa määrin pyrkineet antamaan organisaatiolle ilmoituksen ja tilaisuuden vastata siihen.
Keskeytystoimenpide lakkaa heti, kun FAQ:iden mukaisesti sovellettavien periaatteiden noudattaminen on varmistunut ja asianomaisille toimivaltaisille viranomaisille yhteisössä on siitä ilmoitettu.
2. Jäsenvaltiot ilmoittavat viipymättä komissiolle 1 kohdan nojalla toteutetuista toimenpiteistä.
3. Jäsenvaltiot ja komissio tiedottavat toisilleen myös tapauksista, joissa periaatteiden noudattamisesta Yhdysvalloissa vastuussa olevien elinten toiminta ei varmista FAQ:iden mukaisesti sovellettavien periaatteiden noudattamista.
4. Jos 1, 2 ja 3 kohdan mukaisesti saadut tiedot osoittavat, että jokin FAQ:iden mukaisesti sovellettavien periaatteiden noudattamisesta Yhdysvalloissa vastuussa oleva elin ei tosiasiallisesti täytä tehtäväänsä, komissio tiedottaa asiasta Yhdysvaltojen kauppaministeriölle ja esittää tarvittaessa direktiivin 95/46/EY 31 artiklassa säädetyn menettelyn mukaisesti luonnoksen toimenpiteistä, joiden tarkoituksena on kumota tämä päätös tai lykätä sen soveltamista tai rajoittaa sen soveltamisalaa.
4 artikla
1. Tätä päätöstä voidaan muuttaa milloin tahansa täytäntöönpanosta saatujen kokemusten perusteella ja/tai jos Yhdysvaltojen lainsäädäntö antaa periaatteita ja FAQ:ita paremman suojan.
Komissio arvioi tämän päätöksen täytäntöönpanon käytettävissä olevien tietojen perusteella kolme vuotta sen jälkeen, kun se on annettu tiedoksi jäsenvaltioille, ja toimittaa kaikki tärkeät huomiot direktiivin 95/46/EY 31 artiklalla perustetulle komitealle, myös kaiken aineiston, joka voi vaikuttaa tämän päätöksen 1 artiklan säännösten arviointiin direktiivin 95/46/EY 25 artiklassa tarkoitetun riittävän suojan osalta ja kaikki osoitukset siitä, että tätä päätöstä pannaan täytäntöön syrjivästi.
2. Komissio esittää tarvittaessa luonnoksen toimenpiteistä 31 artiklassa säädetyn menettelyn mukaisesti.
5 artikla
Jäsenvaltioiden on toteutettava kaikki tämän päätöksen noudattamisen edellyttämät toimenpiteet yhdeksänkymmenen päivän kuluessa siitä päivästä, jona se annettiin tiedoksi jäsenvaltioille.
6 artikla
Tämä päätös on osoitettu kaikille jäsenvaltioille.
Tehty Brysselissä 26 päivänä heinäkuuta 2000.

Labels: 12
11
18