CELEX ID: 32010D0087

--- ENGLISH ---

Document:
12.2.2010
EN
Official Journal of the European Union
L 39/5
COMMISSION DECISION
of 5 February 2010
on standard contractual clauses for the transfer of personal data to processors established in third countries under Directive 95/46/EC of the European Parliament and of the Council
(notified under document C(2010) 593)
(Text with EEA relevance)
(2010/87/EU)
THE EUROPEAN COMMISSION,
Having regard to the Treaty on the Functioning of the European Union,
Having regard to Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data 
(
1
)
, and in particular Article 26(4) thereof,
After consulting the European Data Protection Supervisor,
Whereas:
(1)
Pursuant to Directive 95/46/EC Member States are required to provide that a transfer of personal data to a third country may only take place if the third country in question ensures an adequate level of data protection and the Member States’ laws, which comply with the other provisions of the Directive, are respected prior to the transfer.
(2)
However, Article 26(2) of Directive 95/46/EC provides that Member States may authorise, subject to certain safeguards, a transfer or a set of transfers of personal data to third countries which do not ensure an adequate level of protection. Such safeguards may in particular result from appropriate contractual clauses.
(3)
Pursuant to Directive 95/46/EC the level of data protection should be assessed in the light of all the circumstances surrounding the data transfer operation or set of data transfer operations. The Working Party on the protection of individuals with regard to the processing of personal data established under that Directive has issued guidelines to aid with the assessment.
(4)
Standard contractual clauses should relate only to data protection. Therefore, the data exporter and the data importer are free to include any other clauses on business related issues which they consider as being pertinent for the contract as long as they do not contradict the standard contractual clauses.
(5)
This Decision should be without prejudice to national authorisations Member States may grant in accordance with national provisions implementing Article 26(2) of Directive 95/46/EC. This Decision should only have the effect of requiring the Member States not to refuse to recognise, as providing adequate safeguards, the standard contractual clauses set out in it and should not therefore have any effect on other contractual clauses.
(6)
Commission Decision 2002/16/EC of 27 December 2001 on standard contractual clauses for the transfer of personal data to processors established in third countries, under Directive 95/46/EC 
(
2
)
 was adopted in order to facilitate the transfer of personal data from a data controller established in the European Union to a processor established in a third country which does not offer adequate level of protection.
(7)
Much experience has been gained since the adoption of Decision 2002/16/EC. In addition, the report on the implementation of Decisions on standard contractual clauses for the transfers of personal data to third countries 
(
3
)
 has shown that there is an increasing interest in promoting the use of the standard contractual clauses for international transfers of personal data to third countries not providing an adequate level of protection. In addition, stakeholders have submitted proposals with a view to updating the standard contractual clauses set out in Decision 2002/16/EC in order to take account of the rapidly expanding scope of data-processing activities in the world and to address some issues that were not covered by that Decision 
(
4
)
.
(8)
The scope of this Decision should be limited to establishing that the clauses which it sets out may be used by a data controller established in the European Union in order to adduce adequate safeguards within the meaning of Article 26(2) of Directive 95/46/EC for the transfer of personal data to a processor established in a third country.
(9)
This Decision should not apply to the transfer of personal data by controllers established in the European Union to controllers established outside the European Union which fall within the scope of Commission Decision 2001/497/EC of 15 June 2001 on standard contractual clauses for the transfer of personal data to third countries, under Directive 95/46/EC 
(
5
)
.
(10)
This Decision should implement the obligation provided for in Article 17(3) of Directive 95/46/EC and should not prejudice the content of the contracts or legal acts established pursuant to that provision. However, some of the standard contractual clauses, in particular as regards the data exporter’s obligations, should be included in order to increase clarity as to the provisions which may be contained in a contract between a controller and a processor.
(11)
Supervisory authorities of the Member States play a key role in this contractual mechanism in ensuring that personal data are adequately protected after the transfer. In exceptional cases where data exporters refuse or are unable to instruct the data importer properly, with an imminent risk of grave harm to the data subjects, the standard contractual clauses should allow the supervisory authorities to audit data importers and sub-processors and, where appropriate, take decisions which are binding on data importers and sub-processors. The supervisory authorities should have the power to prohibit or suspend a data transfer or a set of transfers based on the standard contractual clauses in those exceptional cases where it is established that a transfer on contractual basis is likely to have a substantial adverse effect on the warranties and obligations providing adequate protection for the data subject.
(12)
Standard contractual clauses should provide for the technical and organisational security measures to be applied by data processors established in a third country not providing adequate protection, in order to ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected. Parties should make provision in the contract for those technical and organisational measures which, having regard to applicable data protection law, the state of the art and the cost of their implementation, are necessary in order to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access or any other unlawful forms of processing.
(13)
In order to facilitate data flows from the European Union, it is desirable for processors providing data-processing services to several data controllers in the European Union to be allowed to apply the same technical and organisational security measures irrespective of the Member State from which the data transfer originates, in particular in those cases where the data importer receives data for further processing from different establishments of the data exporter in the European Union, in which case the law of the designated Member State of establishment should apply.
(14)
It is appropriate to lay down the minimum information that the parties should specify in the contract dealing with the transfer. Member States should retain the power to particularise the information the parties are required to provide. The operation of this Decision should be reviewed in the light of experience.
(15)
The data importer should process the transferred personal data only on behalf of the data exporter and in accordance with his instructions and the obligations contained in the clauses. In particular the data importer should not disclose the personal data to a third party without the prior written consent of the data exporter. The data exporter should instruct the data importer throughout the duration of the data-processing services to process the data in accordance with his instructions, the applicable data protection laws and the obligations contained in the clauses.
(16)
The report on the implementation of Decisions on standard contractual clauses for the transfers of personal data to third countries recommended the establishment of appropriate standard contractual clauses on subsequent onwards transfers from a data processor established in a third country to another data processor (sub-processing), in order to take account of business trends and practices for more and more globalised processing activity.
(17)
This Decision should contain specific standard contractual clauses on the sub-processing by a data processor established in a third country (the data importer) of his processing services to other processors (sub-processors) established in third countries. In addition, this Decision should set out the conditions that the sub-processing should fulfil to ensure that the personal data being transferred continue to be protected notwithstanding the subsequent transfer to a sub-processor.
(18)
In addition, the sub-processing should only consist of the operations agreed in the contract between the data exporter and the data importer incorporating the standard contractual clauses provided for in this Decision and should not refer to different processing operations or purposes so that the purpose limitation principle set out by Directive 95/46/EC is respected. Moreover, where the sub-processor fails to fulfil his own data-processing obligations under the contract, the data importer should remain liable toward the data exporter. The transfer of personal data to processors established outside the European Union should not prejudice the fact that the processing activities should be governed by the applicable data protection law.
(19)
Standard contractual clauses should be enforceable not only by the organisations which are parties to the contract, but also by the data subjects, in particular where the data subjects suffer damage as a consequence of a breach of the contract.
(20)
The data subject should be entitled to take action and, where appropriate, receive compensation from the data exporter who is the data controller of the personal data transferred. Exceptionally, the data subject should also be entitled to take action, and, where appropriate, receive compensation from the data importer in those cases, arising out of a breach by the data importer or any sub-processor under it of any of its obligations referred to in the paragraph 2 of Clause 3, where the data exporter has factually disappeared or has ceased to exist in law or has become insolvent. Exceptionally, the data subject should be also entitled to take action, and, where appropriate, receive compensation from a sub-processor in those situations where both the data exporter and the data importer have factually disappeared or ceased to exist in law or have become insolvent. Such third-party liability of the sub-processor should be limited to its own processing operations under the contractual clauses.
(21)
In the event of a dispute between a data subject, who invokes the third-party beneficiary clause, and the data importer, which is not amicably resolved, the data importer should offer the data subject a choice between mediation or litigation. The extent to which the data subject will have an effective choice will depend on the availability of reliable and recognised systems of mediation. Mediation by the data protection supervisory authorities of the Member State in which the data exporter is established should be an option where they provide such a service.
(22)
The contract should be governed by the law of the Member State in which the data exporter is established enabling a third-party beneficiary to enforce a contract. Data subjects should be allowed to be represented by associations or other bodies if they so wish and if authorised by national law. The same law should also govern the provisions on data protection of any contract with a sub-processor for the sub-processing of the processing activities of the personal data transferred by the data exporter to the data importer under the contractual clauses.
(23)
Since this Decision applies only to subcontracting by a data processor established in a third country of his processing services to a sub-processor established in a third country, it should not apply to the situation by which a processor established in the European Union and performing the processing of personal data on behalf of a controller established in the European Union subcontracts his processing operations to a sub-processor established in a third country. In such situations, Member States are free whether to take account of the fact that the principles and safeguards of the standard contractual clauses set out in this Decision have been used to subcontract to a sub-processor established in a third country with the intention of providing adequate protection for the rights of data subjects whose personal data are being transferred for sub-processing operations.
(24)
The Working Party on the protection of individuals with regard to the processing of personal data established under Article 29 of Directive 95/46/EC has delivered an opinion on the level of protection provided under the standard contractual clauses annexed to this Decision, which has been taken into account in the preparation of this Decision.
(25)
Decision 2002/16/EC should be repealed.
(26)
The measures provided for in this Decision are in accordance with the opinion of the Committee established under Article 31 of Directive 95/46/EC,
HAS ADOPTED THIS DECISION:
Article 1
The standard contractual clauses set out in the Annex are considered as offering adequate safeguards with respect to the protection of the privacy and fundamental rights and freedoms of individuals and as regards the exercise of the corresponding rights as required by Article 26(2) of Directive 95/46/EC.
Article 2
This Decision concerns only the adequacy of protection provided by the standard contractual clauses set out in the Annex for the transfer of personal data to processors. It does not affect the application of other national provisions implementing Directive 95/46/EC that pertain to the processing of personal data within the Member States.
This Decision shall apply to the transfer of personal data by controllers established in the European Union to recipients established outside the territory of the European Union who act only as processors.
Article 3
For the purposes of this Decision the following definitions shall apply:
(a)
‘special categories of data’ means the data referred to in Article 8 of Directive 95/46/EC;
(b)
‘supervisory authority’ means the authority referred to in Article 28 of Directive 95/46/EC;
(c)
‘data exporter’ means the controller who transfers the personal data;
(d)
‘data importer’ means the processor established in a third country who agrees to receive from the data exporter personal data intended for processing on the data exporter’s behalf after the transfer in accordance with his instructions and the terms of this Decision and who is not subject to a third country’s system ensuring adequate protection within the meaning of Article 25(1) of Directive 95/46/EC;
(e)
‘sub-processor’ means any processor engaged by the data importer or by any other sub-processor of the data importer and who agrees to receive from the data importer or from any other sub-processor of the data importer personal data exclusively intended for the processing activities to be carried out on behalf of the data exporter after the transfer in accordance with the data exporter’s instructions, the standard contractual clauses set out in the Annex, and the terms of the written contract for sub-processing;
(f)
‘applicable data protection law’ means the legislation protecting the fundamental rights and freedoms of individuals and, in particular, their right to privacy with respect to the processing of personal data applicable to a data controller in the Member State in which the data exporter is established;
(g)
‘technical and organisational security measures’ means those measures aimed at protecting personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.
Article 4
1.   Without prejudice to their powers to take action to ensure compliance with national provisions adopted pursuant to Chapters II, III, V and VI of Directive 95/46/EC, the competent authorities in the Member States may exercise their existing powers to prohibit or suspend data flows to third countries in order to protect individuals with regard to the processing of their personal data in cases where:
(a)
it is established that the law to which the data importer or a sub-processor is subject imposes upon him requirements to derogate from the applicable data protection law which go beyond the restrictions necessary in a democratic society as provided for in Article 13 of Directive 95/46/EC where those requirements are likely to have a substantial adverse effect on the guarantees provided by the applicable data protection law and the standard contractual clauses;
(b)
a competent authority has established that the data importer or a sub-processor has not respected the standard contractual clauses in the Annex; or
(c)
there is a substantial likelihood that the standard contractual clauses in the Annex are not being or will not be complied with and the continuing transfer would create an imminent risk of grave harm to the data subjects.
2.   The prohibition or suspension pursuant to paragraph 1 shall be lifted as soon as the reasons for the suspension or prohibition no longer exist.
3.   When Member States adopt measures pursuant to paragraphs 1 and 2, they shall, without delay, inform the Commission which will forward the information to the other Member States.
Article 5
The Commission shall evaluate the operation of this Decision on the basis of available information three years after its adoption. It shall submit a report on the findings to the Committee established under Article 31 of Directive 95/46/EC. It shall include any evidence that could affect the evaluation concerning the adequacy of the standard contractual clauses in the Annex and any evidence that this Decision is being applied in a discriminatory way.
Article 6
This Decision shall apply from 15 May 2010.
Article 7
1.   Decision 2002/16/EC is repealed with effect from 15 May 2010.
2.   A contract concluded between a data exporter and a data importer pursuant to Decision 2002/16/EC before 15 May 2010 shall remain in force and effect for as long as the transfers and data-processing operations that are the subject matter of the contract remain unchanged and personal data covered by this Decision continue to be transferred between the parties. Where contracting parties decide to make changes in this regard or subcontract the processing operations that are the subject matter of the contract they shall be required to enter into a new contract which shall comply with the standard contractual clauses set out in the Annex.
Article 8
This Decision is addressed to the Member States.
Done at Brussels, 5 February 2010.
For the Commission
Jacques BARROT
Vice-President
(
1
)
  
            
OJ L 281, 23.11.1995, p. 31
.
(
2
)
  
            
OJ L 6, 10.1.2002, p. 52
.
(
3
)
  SEC(2006) 95, 20.1.2006.
(
4
)
  The International Chamber of Commerce (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce in Belgium (Amcham), and the Federation of European Direct Marketing Associations (FEDMA).
(
5
)
  
            
OJ L 181, 4.7.2001, p. 19
.
ANNEX
STANDARD CONTRACTUAL CLAUSES (PROCESSORS)
For the purposes of Article 26(2) of Directive 95/46/EC for the transfer of personal data to processors established in third countries which do not ensure an adequate level of data protection
Name of the data exporting organisation: …
Address: …
Tel. …; fax …; e-mail: …
Other information needed to identify the organisation
…
(the data 
exporter
)
And
Name of the data importing organisation: …
Address: …
Tel. …; fax …; e-mail: …
Other information needed to identify the organisation:
…
(the data 
importer
)
each a ‘party’; together ‘the parties’,
HAVE AGREED on the following Contractual Clauses (the Clauses) in order to adduce adequate safeguards with respect to the protection of privacy and fundamental rights and freedoms of individuals for the transfer by the data exporter to the data importer of the personal data specified in Appendix 1.
Clause 1
Definitions
For the purposes of the Clauses:
(a)
‘personal data’, ‘special categories of data’, ‘process/processing’, ‘controller’, ‘processor’, ‘data subject’ and ‘supervisory authority’ shall have the same meaning as in Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data 
(
1
)
;
(b)
‘the data exporter’ means the controller who transfers the personal data;
(c)
‘the data importer’ means the processor who agrees to receive from the data exporter personal data intended for processing on his behalf after the transfer in accordance with his instructions and the terms of the Clauses and who is not subject to a third country’s system ensuring adequate protection within the meaning of Article 25(1) of Directive 95/46/EC;
(d)
‘the sub-processor’ means any processor engaged by the data importer or by any other sub-processor of the data importer who agrees to receive from the data importer or from any other sub-processor of the data importer personal data exclusively intended for processing activities to be carried out on behalf of the data exporter after the transfer in accordance with his instructions, the terms of the Clauses and the terms of the written subcontract;
(e)
‘the applicable data protection law’ means the legislation protecting the fundamental rights and freedoms of individuals and, in particular, their right to privacy with respect to the processing of personal data applicable to a data controller in the Member State in which the data exporter is established;
(f)
‘technical and organisational security measures’ means those measures aimed at protecting personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.
Clause 2
Details of the transfer
The details of the transfer and in particular the special categories of personal data where applicable are specified in Appendix 1 which forms an integral part of the Clauses.
Clause 3
Third-party beneficiary clause
1.
The data subject can enforce against the data exporter this Clause, Clause 4(b) to (i), Clause 5(a) to (e), and (g) to (j), Clause 6(1) and (2), Clause 7, Clause 8(2), and Clauses 9 to 12 as third-party beneficiary.
2.
The data subject can enforce against the data importer this Clause, Clause 5(a) to (e) and (g), Clause 6, Clause 7, Clause 8(2), and Clauses 9 to 12, in cases where the data exporter has factually disappeared or has ceased to exist in law unless any successor entity has assumed the entire legal obligations of the data exporter by contract or by operation of law, as a result of which it takes on the rights and obligations of the data exporter, in which case the data subject can enforce them against such entity.
3.
The data subject can enforce against the sub-processor this Clause, Clause 5(a) to (e) and (g), Clause 6, Clause 7, Clause 8(2), and Clauses 9 to 12, in cases where both the data exporter and the data importer have factually disappeared or ceased to exist in law or have become insolvent, unless any successor entity has assumed the entire legal obligations of the data exporter by contract or by operation of law as a result of which it takes on the rights and obligations of the data exporter, in which case the data subject can enforce them against such entity. Such third-party liability of the sub-processor shall be limited to its own processing operations under the Clauses.
4.
The parties do not object to a data subject being represented by an association or other body if the data subject so expressly wishes and if permitted by national law.
Clause 4
Obligations of the data exporter
The data exporter agrees and warrants:
(a)
that the processing, including the transfer itself, of the personal data has been and will continue to be carried out in accordance with the relevant provisions of the applicable data protection law (and, where applicable, has been notified to the relevant authorities of the Member State where the data exporter is established) and does not violate the relevant provisions of that State;
(b)
that it has instructed and throughout the duration of the personal data-processing services will instruct the data importer to process the personal data transferred only on the data exporter’s behalf and in accordance with the applicable data protection law and the Clauses;
(c)
that the data importer will provide sufficient guarantees in respect of the technical and organisational security measures specified in Appendix 2 to this contract;
(d)
that after assessment of the requirements of the applicable data protection law, the security measures are appropriate to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing, and that these measures ensure a level of security appropriate to the risks presented by the processing and the nature of the data to be protected having regard to the state of the art and the cost of their implementation;
(e)
that it will ensure compliance with the security measures;
(f)
that, if the transfer involves special categories of data, the data subject has been informed or will be informed before, or as soon as possible after, the transfer that its data could be transmitted to a third country not providing adequate protection within the meaning of Directive 95/46/EC;
(g)
to forward any notification received from the data importer or any sub-processor pursuant to Clause 5(b) and Clause 8(3) to the data protection supervisory authority if the data exporter decides to continue the transfer or to lift the suspension;
(h)
to make available to the data subjects upon request a copy of the Clauses, with the exception of Appendix 2, and a summary description of the security measures, as well as a copy of any contract for sub-processing services which has to be made in accordance with the Clauses, unless the Clauses or the contract contain commercial information, in which case it may remove such commercial information;
(i)
that, in the event of sub-processing, the processing activity is carried out in accordance with Clause 11 by a sub-processor providing at least the same level of protection for the personal data and the rights of data subject as the data importer under the Clauses; and
(j)
that it will ensure compliance with Clause 4(a) to (i).
Clause 5
Obligations of the data importer
(
2
)
The data importer agrees and warrants:
(a)
to process the personal data only on behalf of the data exporter and in compliance with its instructions and the Clauses; if it cannot provide such compliance for whatever reasons, it agrees to inform promptly the data exporter of its inability to comply, in which case the data exporter is entitled to suspend the transfer of data and/or terminate the contract;
(b)
that it has no reason to believe that the legislation applicable to it prevents it from fulfilling the instructions received from the data exporter and its obligations under the contract and that in the event of a change in this legislation which is likely to have a substantial adverse effect on the warranties and obligations provided by the Clauses, it will promptly notify the change to the data exporter as soon as it is aware, in which case the data exporter is entitled to suspend the transfer of data and/or terminate the contract;
(c)
that it has implemented the technical and organisational security measures specified in Appendix 2 before processing the personal data transferred;
(d)
that it will promptly notify the data exporter about:
(i)
any legally binding request for disclosure of the personal data by a law enforcement authority unless otherwise prohibited, such as a prohibition under criminal law to preserve the confidentiality of a law enforcement investigation;
(ii)
any accidental or unauthorised access; and
(iii)
any request received directly from the data subjects without responding to that request, unless it has been otherwise authorised to do so;
(e)
to deal promptly and properly with all inquiries from the data exporter relating to its processing of the personal data subject to the transfer and to abide by the advice of the supervisory authority with regard to the processing of the data transferred;
(f)
at the request of the data exporter to submit its data-processing facilities for audit of the processing activities covered by the Clauses which shall be carried out by the data exporter or an inspection body composed of independent members and in possession of the required professional qualifications bound by a duty of confidentiality, selected by the data exporter, where applicable, in agreement with the supervisory authority;
(g)
to make available to the data subject upon request a copy of the Clauses, or any existing contract for sub-processing, unless the Clauses or contract contain commercial information, in which case it may remove such commercial information, with the exception of Appendix 2 which shall be replaced by a summary description of the security measures in those cases where the data subject is unable to obtain a copy from the data exporter;
(h)
that, in the event of sub-processing, it has previously informed the data exporter and obtained its prior written consent;
(i)
that the processing services by the sub-processor will be carried out in accordance with Clause 11;
(j)
to send promptly a copy of any sub-processor agreement it concludes under the Clauses to the data exporter.
Clause 6
Liability
1.
The parties agree that any data subject, who has suffered damage as a result of any breach of the obligations referred to in Clause 3 or in Clause 11 by any party or sub-processor is entitled to receive compensation from the data exporter for the damage suffered.
2.
If a data subject is not able to bring a claim for compensation in accordance with paragraph 1 against the data exporter, arising out of a breach by the data importer or his sub-processor of any of their obligations referred to in Clause 3 or in Clause 11, because the data exporter has factually disappeared or ceased to exist in law or has become insolvent, the data importer agrees that the data subject may issue a claim against the data importer as if it were the data exporter, unless any successor entity has assumed the entire legal obligations of the data exporter by contract of by operation of law, in which case the data subject can enforce its rights against such entity.
The data importer may not rely on a breach by a sub-processor of its obligations in order to avoid its own liabilities.
3.
If a data subject is not able to bring a claim against the data exporter or the data importer referred to in paragraphs 1 and 2, arising out of a breach by the sub-processor of any of their obligations referred to in Clause 3 or in Clause 11 because both the data exporter and the data importer have factually disappeared or ceased to exist in law or have become insolvent, the sub-processor agrees that the data subject may issue a claim against the data sub-processor with regard to its own processing operations under the Clauses as if it were the data exporter or the data importer, unless any successor entity has assumed the entire legal obligations of the data exporter or data importer by contract or by operation of law, in which case the data subject can enforce its rights against such entity. The liability of the sub-processor shall be limited to its own processing operations under the Clauses.
Clause 7
Mediation and jurisdiction
1.
The data importer agrees that if the data subject invokes against it third-party beneficiary rights and/or claims compensation for damages under the Clauses, the data importer will accept the decision of the data subject:
(a)
to refer the dispute to mediation, by an independent person or, where applicable, by the supervisory authority;
(b)
to refer the dispute to the courts in the Member State in which the data exporter is established.
2.
The parties agree that the choice made by the data subject will not prejudice its substantive or procedural rights to seek remedies in accordance with other provisions of national or international law.
Clause 8
Cooperation with supervisory authorities
1.
The data exporter agrees to deposit a copy of this contract with the supervisory authority if it so requests or if such deposit is required under the applicable data protection law.
2.
The parties agree that the supervisory authority has the right to conduct an audit of the data importer, and of any sub-processor, which has the same scope and is subject to the same conditions as would apply to an audit of the data exporter under the applicable data protection law.
3.
The data importer shall promptly inform the data exporter about the existence of legislation applicable to it or any sub-processor preventing the conduct of an audit of the data importer, or any sub-processor, pursuant to paragraph 2. In such a case the data exporter shall be entitled to take the measures foreseen in Clause 5(b).
Clause 9
Governing law
The Clauses shall be governed by the law of the Member State in which the data exporter is established, namely …
Clause 10
Variation of the contract
The parties undertake not to vary or modify the Clauses. This does not preclude the parties from adding clauses on business related issues where required as long as they do not contradict the Clause.
Clause 11
Sub-processing
1.
The data importer shall not subcontract any of its processing operations performed on behalf of the data exporter under the Clauses without the prior written consent of the data exporter. Where the data importer subcontracts its obligations under the Clauses, with the consent of the data exporter, it shall do so only by way of a written agreement with the sub-processor which imposes the same obligations on the sub-processor as are imposed on the data importer under the Clauses 
(
3
)
. Where the sub-processor fails to fulfil its data protection obligations under such written agreement the data importer shall remain fully liable to the data exporter for the performance of the sub-processor’s obligations under such agreement.
2.
The prior written contract between the data importer and the sub-processor shall also provide for a third-party beneficiary clause as laid down in Clause 3 for cases where the data subject is not able to bring the claim for compensation referred to in paragraph 1 of Clause 6 against the data exporter or the data importer because they have factually disappeared or have ceased to exist in law or have become insolvent and no successor entity has assumed the entire legal obligations of the data exporter or data importer by contract or by operation of law. Such third-party liability of the sub-processor shall be limited to its own processing operations under the Clauses.
3.
The provisions relating to data protection aspects for sub-processing of the contract referred to in paragraph 1 shall be governed by the law of the Member State in which the data exporter is established, namely …
4.
The data exporter shall keep a list of sub-processing agreements concluded under the Clauses and notified by the data importer pursuant to Clause 5(j), which shall be updated at least once a year. The list shall be available to the data exporter’s data protection supervisory authority.
Clause 12
Obligation after the termination of personal data-processing services
1.
The parties agree that on the termination of the provision of data-processing services, the data importer and the sub-processor shall, at the choice of the data exporter, return all the personal data transferred and the copies thereof to the data exporter or shall destroy all the personal data and certify to the data exporter that it has done so, unless legislation imposed upon the data importer prevents it from returning or destroying all or part of the personal data transferred. In that case, the data importer warrants that it will guarantee the confidentiality of the personal data transferred and will not actively process the personal data transferred anymore.
2.
The data importer and the sub-processor warrant that upon request of the data exporter and/or of the supervisory authority, it will submit its data-processing facilities for an audit of the measures referred to in paragraph 1.
On behalf of the data exporter:
Name (written out in full): …
Position: …
Address: …
Other information necessary in order for the contract to be binding (if any):
Signature …
On behalf of the data importer:
Name (written out in full): …
Position: …
Address: …
Other information necessary in order for the contract to be binding (if any):
Signature …
(
1
)
  Parties may reproduce definitions and meanings contained in Directive 95/46/EC within this Clause if they considered it better for the contract to stand alone.
(
2
)
  Mandatory requirements of the national legislation applicable to the data importer which do not go beyond what is necessary in a democratic society on the basis of one of the interests listed in Article 13(1) of Directive 95/46/EC, that is, if they constitute a necessary measure to safeguard national security, defence, public security, the prevention, investigation, detection and prosecution of criminal offences or of breaches of ethics for the regulated professions, an important economic or financial interest of the State or the protection of the data subject or the rights and freedoms of others, are not in contradiction with the standard contractual clauses. Some examples of such mandatory requirements which do not go beyond what is necessary in a democratic society are, inter alia, internationally recognised sanctions, tax-reporting requirements or anti-money-laundering reporting requirements.
(
3
)
  This requirement may be satisfied by the sub-processor co-signing the contract entered into between the data exporter and the data importer under this Decision.
Appendix 1
to the Standard Contractual Clauses
This Appendix forms part of the Clauses and must be completed and signed by the parties
The Member States may complete or specify, according to their national procedures, any additional necessary information to be contained in this Appendix
Data exporter
The data exporter is (please specify briefly your activities relevant to the transfer):
…
…
…
Data importer
The data importer is (please specify briefly activities relevant to the transfer):
…
…
…
Data subjects
The personal data transferred concern the following categories of data subjects (please specify):
…
…
…
Categories of data
The personal data transferred concern the following categories of data (please specify):
…
…
…
Special categories of data (if appropriate)
The personal data transferred concern the following special categories of data (please specify):
…
…
…
Processing operations
The personal data transferred will be subject to the following basic processing activities (please specify):
…
…
…
DATA EXPORTER
Name: …
Authorised Signature …
DATA IMPORTER
Name: …
Authorised Signature …
Appendix 2
to the Standard Contractual Clauses
This Appendix forms part of the Clauses and must be completed and signed by the parties.
Description of the technical and organisational security measures implemented by the data importer in accordance with Clauses 4(d) and 5(c) (or document/legislation attached):
…
…
…
…
ILLUSTRATIVE INDEMNIFICATION CLAUSE (OPTIONAL)
Liability
The parties agree that if one party is held liable for a violation of the clauses committed by the other party, the latter will, to the extent to which it is liable, indemnify the first party for any cost, charge, damages, expenses or loss it has incurred.
Indemnification is contingent upon:
(a)
the data exporter promptly notifying the data importer of a claim; and
(b)
the data importer being given the possibility to cooperate with the data exporter in the defence and settlement of the claim 
(
1
)
.
(
1
)
  Paragraph on liabilities is optional.

Summary:
Transferring Personal Data to non-EU countries: Standard Contractual Clauses
SUMMARY OF:
Decision 2010/87/EU on standard contractual clauses for the transfer of personal data to processors established in third countries under Directive 95/46/EC
WHAT IS THE AIM OF THE DECISION?
It lays down standard contractual clauses which can be used by data controllers
*
 (exporters) in the 
EU
 that transfer personal data
*
 to data processors
*
 (importers) established outside the EU or 
EEA
, to provide appropriate data protection safeguards and thereby comply with the requirements of EU data protection laws (the general data protection regulation — Regulation (EU) 
2016/679
 — see 
summary
).
KEY POINTS
The standard contractual clauses are set out in the annex to the decision as follows. Standard contractual clauses only relate to data protection and can be included by the parties in a wider contract or be supplemented with other clauses or additional safeguards, provided that they do not contradict, directly or indirectly, the standard contractual clauses adopted by this decision.
Clause 1: Definitions
Definitions of key notions used in the standard contractual clauses are set out.
Clause 2: Transfer details
The parties should list, in an annex to the contractual clauses, the details of the transfers, including the relevant activities of the data importer and exporter, the categories of personal data transferred and the processing operations to which the personal data will be subject once transferred.
Clause 3: Third-party beneficiary clause
The clause allows data subjects to enforce several of the clauses against the data exporter, data importer or sub-processor as a third-party beneficiary. It furthermore provides that the parties do not object to a data subject being represented by an association or other body if permitted by national law.
Clause 4: Obligations of the data exporter
This clause lays down the contractual obligations for the data exporter, which has to agree and warrant to:
process the personal data only in accordance with data protection law;
instruct the data importer to process the data only on the data exporter’s behalf and in accordance with data protection law and the clauses;
provide (and comply with) sufficient guarantees in respect of technical and organisational security measures to protect personal data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access, in particular where processing is over a network;
inform the data subject if special categories of data could be transmitted to a non-EU country with inadequate data protection;
forward the notification that it has received from the data importer about the latter’s inability to comply with the clauses to the competent supervisory authority, if it decides to continue the transfer;
make available to data subjects, upon request, a copy of the clauses, with a summary description of the security measures;
in the event of sub-processing, the sub-processor must provide at least the same level of personal data protection as the data importer.
Clause 5: Obligations of the data importer
This clause lays down the contractual obligations of the data importer, which has to agree and warrant:
to process the personal data only on behalf of the data exporter and in compliance with its instructions and the clauses;
that it has no reason to believe that the legislation applicable to it prevents it from fulfilling the instructions received from the data exporter and its obligations under the contract;
to promptly notify any change in this legislation which is likely to have a substantial adverse effect on the warranties and obligations provided by the clauses, in which case the data exporter is entitled to suspend the transfer of data and/or terminate the contract;
to implement specified technical and organisational security measures before processing the personal data transferred;
to promptly notify the data exporter about requests to disclose personal data by a law enforcement authority, any accidental or unauthorised access, and any request received directly from the data subjects without responding to the request, unless otherwise authorised;
to deal promptly with all inquiries from the data exporter and to abide by the advice of the supervisory authority;
at the request of the data exporter, to submit its data-processing facilities for audit of the processing activities covered by the clauses;
to make available to data subjects, upon request, a copy of the clauses, with a summary description of the security measures;
to hire a sub-processor only with prior written consent of the data exporter.
Clause 6: Liability
The clauses require the parties to agree that any data subject who has suffered damages as a result of any breach of the obligations is entitled to receive compensation from the data exporter for the damages suffered.
Clause 7: Mediation and jurisdiction
The data importer must agree that if the data subject invokes against it third-party beneficiary rights and/or claims compensation for damages, it will accept the decision of the data subject to refer the dispute to independent mediation, or to the courts in the EU country in which the data exporter is established (with the right to seek remedies under other national or international laws).
Clause 8: Cooperation with supervisory authorities
This clause governs the cooperation with the competent supervisory authority, by providing that:
the supervisory authority has the right to conduct an audit of the data importer, and of any sub-processor;
the data importer agrees to inform the data exporter about any legislation preventing an audit of the data importer. In such a case the data exporter shall be entitled to suspend data transfer or terminate the contract.
Clause 9: Governing law
The clauses should be governed by the national law of the EU country in which the data exporter is established.
Clause 10: Variation of the contract
The parties must not vary, modify or contradict the clauses.
Clause 11: Sub-processing
The provisions relating to sub-processing should be governed by the law of the EU country in which the data exporter is established.
Clause 12: Obligation after the termination of personal data-processing services
This clause regulates the obligations of the parties after termination of the data processing. In particular, the parties should agree that at the end of data-processing services, the data importer and the sub-processor must return (or destroy, on request) all the personal data transferred unless prevented from doing so by legislation.
FROM WHEN HAS THE DECISION APPLIED?
It has applied since 15 May 2010.
BACKGROUND
Note: this decision was the subject of a request for 
preliminary ruling
 that led to the 
Court of Justice of the EU
 judgment (
Case C-311/18
) of 16 July 2020, in which the Court confirmed the validity of the decision.
The 
European Commission
 has also issued 2 sets of standard contractual clauses for data transfers from data controllers in the EU to data controllers established outside the EU or EEA.
See also: 
Data protection
 (
European Commission
).
KEY TERMS
Data controller:
 the natural or legal person, public authority, agency or other body which determines the purposes and means of the processing of personal data.
Personal data:
 any information relating to a person (data subject) who can be identified, directly or indirectly, by a name, an identification number, location data, an online identifier or to factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that person.
Data processor:
 a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller.
MAIN DOCUMENT
Commission Decision 
2010/87/EU
 of 5 February 2010 on standard contractual clauses for the transfer of personal data to processors established in third countries under Directive 95/46/EC of the European Parliament and of the Council (OJ L 39, 12.2.2010, pp. 5-18)
Successive amendments to Decision 2010/87/EU have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
RELATED DOCUMENTS
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 4.5.2016, pp. 1-88)
See 
consolidated version
.
Commission Decision 
2004/915/EC
 of 27 December 2004 amending Decision 2001/497/EC as regards the introduction of an alternative set of standard contractual clauses for the transfer of personal data to third countries (OJ L 385, 29.12.2004, pp. 74-84)
Commission Decision 
2001/497/EC
 of 15 June 2001 on standard contractual clauses for the transfer of personal data to third countries, under Directive 95/46/EC (OJ L 181, 4.7.2001, pp. 19-31)
See 
consolidated version
.
Directive 
95/46/EC
 of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (OJ L 281, 23.11.1995, pp. 31-50)
See 
consolidated version
.
last update 07.10.2020

--- DANISH ---

Document:
12.2.2010
DA
Den Europæiske Unions Tidende
L 39/5
KOMMISSIONENS AFGØRELSE
af 5. februar 2010
om standardkontraktbestemmelser for videregivelse af personoplysninger til registerførere etableret i tredjelande i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF
(meddelt under nummer K(2010) 593)
(EØS-relevant tekst)
(2010/87/EU)
EUROPA-KOMMISSIONEN HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger 
(
1
)
, særlig artikel 26, stk. 4, og
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse, og
ud fra følgende betragtninger:
(1)
I henhold til direktiv 95/46/EF skal medlemsstaterne sørge for, at personoplysninger kun kan videregives til et tredjeland, hvis det pågældende tredjeland sikrer et tilstrækkeligt databeskyttelsesniveau, og hvis medlemsstaternes lovgivning, der er i overensstemmelse med direktivets øvrige bestemmelser, overholdes inden videregivelsen.
(2)
Medlemsstaterne kan dog i henhold til artikel 26, stk. 2, i direktiv 95/46/EF og med forbehold af visse garantier give tilladelse til videregivelse eller en type videregivelse af personoplysninger til tredjelande, der ikke sikrer et tilstrækkeligt beskyttelsesniveau. Sådanne garantier kan især fremgå af passende kontraktbestemmelser.
(3)
Databeskyttelsesniveauet bør i henhold til direktiv 95/46/EF vurderes på grundlag af samtlige de forhold, der har indflydelse på videregivelse eller en type videregivelse af oplysninger. Den ved direktivet nedsatte arbejdsgruppe vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger har udarbejdet retningslinjer for, hvorledes denne vurdering skal foretages.
(4)
Standardkontraktbestemmelser bør kun vedrøre databeskyttelse. Dataeksportøren og dataimportøren kan derfor frit indføje enhver anden kommerciel bestemmelse, som de anser for at være af betydning for kontrakten, så længe den pågældende bestemmelse ikke er i strid med standardkontraktbestemmelserne.
(5)
Denne afgørelse bør ikke berøre nationale tilladelser, som medlemsstaterne måtte give i henhold til nationale bestemmelser om gennemførelse af artikel 26, stk. 2, i direktiv 95/46/EF. Den bør kun have den virkning, at medlemsstaterne ikke må nægte at anerkende, at de i afgørelsen fastsatte standardkontraktbestemmelser giver tilstrækkelige garantier, og den bør derfor ikke have nogen indvirkning på andre kontraktbestemmelser.
(6)
Kommissionens beslutning 2002/16/EF af 27. december 2001 om standardkontraktbestemmelser for overførsel af personoplysninger til registerførere etableret i tredjelande i henhold til direktiv 95/46/EF 
(
2
)
 blev vedtaget for at lette videregivelsen af personoplysninger fra en registeransvarlig, der er etableret i Den Europæiske Union, til en registerfører, der er etableret i et tredjeland, som ikke frembyder et tilstrækkeligt databeskyttelsesniveau.
(7)
Der er opnået mange erfaringer siden vedtagelsen af beslutning 2002/16/EF. Desuden viser rapporten om gennemførelsen af beslutningerne om standardkontraktbestemmelser for videregivelse af personoplysninger til tredjelande 
(
3
)
, at der er voksende interesse for at fremme brugen af standardkontraktbestemmelser for international videregivelse af personoplysninger til tredjelande, som ikke frembyder et tilstrækkeligt databeskyttelsesniveau. Endvidere har interesserede parter fremsat forslag til ajourføring af standardkontraktbestemmelserne i beslutning 2002/16/EF for at tage hensyn til databehandlingens hastige udbredelse på verdensplan og at behandle en række spørgsmål, der ikke var omfattet af beslutningen 
(
4
)
.
(8)
Denne afgørelses anvendelsesområde bør begrænses til at fastslå, at de bestemmelser, den indeholder, kan anvendes af en registeransvarlig, der er etableret i Den Europæiske Union, med henblik på at yde tilstrækkelige garantier i overensstemmelse med artikel 26, stk. 2, i direktiv 95/46/EF for videregivelse af personoplysninger til en registerfører etableret i et tredjeland.
(9)
Denne afgørelse bør ikke finde anvendelse på videregivelse af personoplysninger fra registeransvarlige etableret i Den Europæiske Union til registeransvarlige etableret uden for Den Europæiske Unions område, når disse oplysninger falder ind under anvendelsesområdet for Kommissionens beslutning 2001/497/EF af 15. juni 2001 om standardkontraktbestemmelser for overførsel af personoplysninger til tredjelande i henhold til direktiv 95/46/EF 
(
5
)
.
(10)
Denne afgørelse bør opfylde den i artikel 17, stk. 3, i direktiv 95/46/EF omhandlede forpligtelse og bør ikke berøre indholdet i de kontrakter eller retligt bindende dokumenter, der er udarbejdet i henhold til denne bestemmelse. Nogle af standardkontraktbestemmelserne, særlig med hensyn til dataeksportørens pligter, bør imidlertid medtages for at skabe større klarhed over, hvilke bestemmelser der kan være omfattet af en kontrakt mellem en registeransvarlig og en registerfører.
(11)
Medlemsstaternes tilsynsmyndigheder spiller en central rolle i denne kontraktordning ved at sikre, at personoplysninger beskyttes tilstrækkeligt efter videregivelsen. I særlige tilfælde, hvor dataeksportøren nægter eller ikke er i stand til at instruere dataimportøren behørigt, med overhængende risiko for alvorlig skade for de registrerede til følge, bør standardkontraktbestemmelserne give tilsynsmyndighederne adgang til at foretage inspektion hos dataimportørerne og de underkontraherede registerførere og i givet fald at træffe beslutninger, som er bindende for dataimportørerne og de underkontraherede registerførere. Tilsynsmyndighederne bør have beføjelse til at forbyde eller suspendere videregivelse eller en type videregivelse af personoplysninger på grundlag af standardkontraktbestemmelserne i de særlige tilfælde, hvor det konstateres, at videregivelse på grundlag af kontraktbestemmelserne kan forventes at få en betydelig negativ virkning på de garantier og forpligtelser, hvormed den registrerede sikres en passende beskyttelse.
(12)
Standardkontraktbestemmelser bør fastsætte de tekniske og organisatoriske sikkerhedsforanstaltninger, som registerførere etableret i et tredjeland, der ikke frembyder et tilstrækkeligt beskyttelsesniveau, skal iværksætte for at garantere et passende sikkerhedsniveau i forhold til de risici, behandlingen og arten af de oplysninger, der skal beskyttes, indebærer. Parterne bør i kontrakten fastsætte de tekniske og organisatoriske foranstaltninger, som under hensyn til den gældende databeskyttelseslovgivning, det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse, er nødvendige for at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang eller enhver anden form for ulovlig behandling.
(13)
For at fremme datastrømmen fra Den Europæiske Union bør registerførere, som leverer databehandlingstjenester til flere registeransvarlige i Den Europæiske Union, have tilladelse til at anvende de samme tekniske og organisatoriske sikkerhedsforanstaltninger, uanset hvilken medlemsstat dataoverførslen stammer fra, især i de tilfælde, hvor dataimportøren modtager data til yderligere behandling fra dataeksportørens forskellige foretagender i Den Europæiske Union, idet lovgivningen i den medlemsstat, som er hjemstaten, i så fald bør finde anvendelse.
(14)
Det er hensigtsmæssigt at fastlægge de minimumoplysninger, som parterne skal specificere i kontrakten om videregivelse af personoplysninger. Medlemsstaterne bør bevare retten til nærmere at specificere, hvilke oplysninger parterne skal give. Denne afgørelse bør revideres på grundlag af de erfaringer, der gøres med den.
(15)
Dataimportøren bør udelukkende behandle de videregivne personoplysninger på dataeksportørens vegne og i overensstemmelse med dennes instrukser og de forpligtelser, der fremgår af standardkontraktbestemmelserne. Dataimportøren bør især ikke videregive personoplysninger til tredjemand uden dataeksportørens forudgående skriftlige samtykke. Dataeksportøren bør under hele databehandlingsforløbet instruere dataimportøren om at behandle oplysningerne i overensstemmelse med hans instrukser, den gældende databeskyttelseslovgivning og de forpligtelser, der fremgår af standardkontraktbestemmelserne.
(16)
Rapporten om gennemførelsen af beslutningerne om standardkontraktbestemmelser for videregivelse af personoplysninger til tredjelande anbefaler, at der fastsættes standardkontraktbestemmelser om senere videregivelse af oplysninger fra en registerfører, der er etableret i et tredjeland, til en anden registerfører (udlicitering) for at tage hensyn til, at erhvervslivets tendens i praksis går i retning af en mere og mere globaliseret databehandling.
(17)
Denne afgørelse bør indeholde særlige standardkontraktbestemmelser om det forhold, at en registerfører, der er etableret i et tredjeland (dataimportøren), udliciterer sin databehandling til andre registerførere (underkontraherede registerførere), der er etableret i tredjelande. Den bør desuden indeholde de betingelser, som udliciteringen skal opfylde for at sikre, at de videregivne personoplysninger fortsat beskyttes uanset den efterfølgende videregivelse til en underkontraheret registerfører.
(18)
Endvidere bør udliciteringen kun bestå af de transaktioner, der er aftalt i den kontrakt, som dataeksportøren og dataimportøren har indgået, og som indeholder de standardkontraktbestemmelser, der er omhandlet i denne afgørelse, og den bør ikke omfatte anden behandling eller andre formål, så det formålsbegrænsningsprincip, der er fastsat i direktiv 95/46/EF, overholdes. Hvis den underkontraherede registerfører ikke opfylder sine databehandlingsforpligtelser i henhold til kontrakten, bør dataimportøren desuden fortsat være ansvarlig over for dataeksportøren. Videregivelsen af personoplysninger til registerførere etableret uden for Den Europæiske Unions område bør ikke påvirke det forhold, at databehandling bør være underlagt den gældende databeskyttelseslovgivning.
(19)
Standardkontraktbestemmelser bør ikke alene kunne håndhæves af de kontraherende parter, men også af de registrerede, og det gælder især, når de registrerede lider skade som følge af kontraktbrud.
(20)
Den registrerede bør have ret til at anlægge sag mod og i givet fald modtage erstatning fra dataeksportøren, der er registeransvarlig for de videregivne personoplysninger. Undtagelsesvis bør den registrerede også have ret til at anlægge sag mod og i givet fald modtage erstatning fra dataimportøren i tilfælde, hvor dataimportøren eller en af dennes underkontraherede registerførere overtræder sine forpligtelser i henhold til standardbestemmelse 3, stk. 2, og dataeksportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvent. Undtagelsesvis bør den registrerede også have ret til at anlægge sag mod og i givet fald modtage erstatning fra en underkontraheret registerfører, hvis både dataeksportøren og dataimportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvente. Den underkontraherede registerførers erstatningsansvar bør begrænses til hans egen databehandling i henhold til kontraktbestemmelserne.
(21)
Såfremt der opstår en tvist mellem den registrerede, som påberåber sig tredjemandsløftet, og dataimportøren, og denne tvist ikke afgøres i mindelighed, bør dataimportøren tilbyde den registrerede valget mellem mægling eller domstolsprøvelse. Om den registrerede har en egentlig valgmulighed, vil afhænge af, hvorvidt der er pålidelige og anerkendte mæglingsinstanser og voldgiftsretter til rådighed. Mægling foretaget af databeskyttelsesmyndighederne i den medlemsstat, hvor dataeksportøren er etableret, bør være en valgmulighed, når den tilbydes.
(22)
Kontrakten bør være underlagt lovgivningen i den medlemsstat, hvor dataeksportøren er etableret, hvilket giver en begunstiget tredjemand mulighed for at håndhæve en kontrakt. De registrerede bør, såfremt de ønsker det, og det er tilladt i henhold til national ret, kunne lade sig repræsentere af foreninger eller andre organer. Samme lovgivning bør også gælde for bestemmelser om databeskyttelse i kontrakter med en underkontraheret registerfører om udlicitering af behandlingen af personoplysninger, som dataeksportøren har videregivet til dataimportøren i henhold til kontraktbestemmelserne.
(23)
Da denne afgørelse kun gælder for den situation, hvor en registerfører etableret i et tredjeland udliciterer sin databehandling til en underkontraheret registerfører etableret i et tredjeland, bør den ikke finde anvendelse på den situation, hvor en registerfører, der er etableret i Den Europæiske Union og behandler personoplysninger på vegne af en registeransvarlig, der er etableret i Den Europæiske Union, udliciterer sin behandling til en underkontraheret registerfører, der er etableret i et tredjeland. I sådanne situationer kan medlemsstaterne frit vælge, om de vil tage hensyn til, at principperne og garantierne i standardkontraktbestemmelserne i denne afgørelse er blevet anvendt til udlicitering af behandlingen til en underkontraheret registerfører, der er etableret i et tredjeland, med det formål at yde tilstrækkelig beskyttelse af de rettigheder, der tilkommer registrerede, hvis personoplysninger videregives til behandling hos en underkontraheret registerfører.
(24)
Den udtalelse, som gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet om det beskyttelsesniveau, som opnås ved hjælp af standardkontraktbestemmelserne i bilaget til denne afgørelse, er taget i betragtning ved udarbejdelsen af denne afgørelse.
(25)
Beslutning 2002/16/EF bør ophæves.
(26)
Foranstaltningerne i denne afgørelse er i overensstemmelse med udtalelsen fra det udvalg, der er nedsat ved artikel 31 i direktiv 95/46/EF —
VEDTAGET DENNE AFGØRELSE:
Artikel 1
De i bilaget fastsatte standardkontraktbestemmelser anses for at yde tilstrækkelige garantier for beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder samt for udøvelsen af de dertil knyttede rettigheder, som fastsat i artikel 26, stk. 2, i direktiv 95/46/EF.
Artikel 2
Denne afgørelse vedrører kun tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af de i bilaget fastsatte standardkontraktbestemmelser for videregivelse af personoplysninger til registerførere. Den har ingen indvirkning på anvendelsen af andre nationale retsforskrifter om gennemførelse af direktiv 95/46/EF, som vedrører behandling af personoplysninger i medlemsstaterne.
Denne afgørelse finder anvendelse på videregivelse af personoplysninger fra registeransvarlige, der er etableret i Den Europæiske Union, til modtagere, som er etableret uden for Den Europæiske Unions område, og som blot behandler disse oplysninger.
Artikel 3
I denne afgørelse forstås ved:
a)   
»særlige kategorier af oplysninger«
: de oplysninger, der er omhandlet i artikel 8 i direktiv 95/46/EF
b)   
»tilsynsmyndighed«
: den myndighed, der er omhandlet i artikel 28 i direktiv 95/46/EF
c)   
»dataeksportør«
: den registeransvarlige, der videregiver personoplysningerne
d)   
»dataimportør«
: den registerfører etableret i et tredjeland, som indvilliger i at modtage personoplysninger fra dataeksportøren med henblik på behandling på dataeksportørens vegne efter videregivelsen, i overensstemmelse med dataeksportørens instrukser og denne afgørelse, og som ikke er underlagt et tredjelands system, der sikrer et tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 1, i direktiv 95/46/EF
e)   
»underkontraheret registerfører«
: enhver registerfører, der efter aftale med dataimportøren eller af en af dataimportørens øvrige underkontraherede registerførere indvilliger i fra dataimportøren eller en af dataimportørens øvrige underkontraherede registerførere at modtage personoplysninger udelukkende med henblik på behandling på dataeksportørens vegne efter videregivelsen, i overensstemmelse med dataeksportørens instrukser, de standardkontraktbestemmelser, der er anført i bilaget, og betingelserne i den skriftlige udliciteringskontrakt
f)   
»den gældende databeskyttelseslovgivning«
: den lovgivning, der beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, især deres ret til beskyttelse af privatlivets fred, med hensyn til behandling af personoplysninger, og som gælder for en registeransvarlig i den medlemsstat, hvor dataeksportøren er etableret
g)   
»tekniske og organisatoriske sikkerhedsforanstaltninger«
: de foranstaltninger, der har til formål at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang, især hvor behandlingen omfatter videregivelse af oplysninger i et net, samt mod enhver anden form for ulovlig behandling.
Artikel 4
1.   De kompetente myndigheder i medlemsstaterne kan, uden at det berører deres beføjelse til at træffe foranstaltninger for at sikre overholdelse af de nationale bestemmelser, der vedtages i henhold til kapitel II, III, V og VI i direktiv 95/46/EF, gøre brug af deres beføjelser til at forbyde eller suspendere datastrømmen til tredjelande for at beskytte fysiske personer med hensyn til behandling af deres personoplysninger:
a)
når det er fastslået, at den lovgivning, som dataimportøren eller en underkontraheret registerfører er underlagt, pålægger den pågældende krav om at fravige den gældende databeskyttelseslovgivning i en grad, som er mere vidtgående end de restriktioner, der er nødvendige i et demokratisk samfund, som fastsat i artikel 13 i direktiv 95/46/EF, når disse krav kan formodes at have en betydelig negativ virkning på den sikkerhed, der opnås ved hjælp af den gældende databeskyttelseslovgivning og standardkontraktbestemmelserne, eller
b)
når en kompetent myndighed har fastslået, at dataimportøren eller en underkontraheret registerfører ikke har overholdt standardkontraktbestemmelserne i bilaget, eller
c)
når der er stor sandsynlighed for, at standardkontraktbestemmelserne i bilaget ikke overholdes eller ikke vil blive overholdt, og at en fortsat videregivelse af oplysninger vil kunne skabe en overhængende risiko for alvorlig skade for de registrerede.
2.   Forbud eller suspension i henhold til stk. 1 ophæves straks, når grundene til forbuddet eller suspensionen ikke længere eksisterer.
3.   Når medlemsstaterne vedtager foranstaltninger i overensstemmelse med stk. 1 og 2, underretter de straks Kommissionen, som igen underretter de øvrige medlemsstater.
Artikel 5
Kommissionen evaluerer anvendelsen af denne afgørelse på grundlag af alle tilgængelige oplysninger tre år efter, at afgørelsen er vedtaget. Den aflægger rapport om resultaterne til det udvalg, der er nedsat ved artikel 31 i direktiv 95/46/EF. Rapporten skal omfatte ethvert forhold, der kan påvirke vurderingen af, om standardkontraktbestemmelserne i bilaget er tilstrækkelige, samt ethvert forhold, hvoraf det fremgår, at denne afgørelse anvendes på en diskriminerende måde.
Artikel 6
Denne afgørelse træder i kraft den 15. maj 2010.
Artikel 7
1.   Beslutning 2002/16/EF ophæves med virkning fra den 15. maj 2010.
2.   Kontrakter, der indgås af en dataeksportør og en dataimportør i henhold til beslutning 2002/16/EF inden den 15. maj 2010, har fuld gyldighed, så længe den videregivelse af oplysninger og den databehandling, kontrakten vedrører, forbliver uændret, og personoplysninger, der er omfattet af denne afgørelse, fortsat videregives mellem parterne. Når de kontraherende parter beslutter at foretage ændringer i denne forbindelse eller udliciterer den databehandling, som kontrakten vedrører, skal de indgå en ny kontrakt, som skal være i overensstemmelse med de standardkontraktbestemmelser, der er fastsat i bilaget.
Artikel 8
Denne afgørelse er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 5. februar 2010.
På Kommissionens vegne
Jacques BARROT
Næstformand
(
1
)
  
            
EFT L 281 af 23.11.1995, s. 31
.
(
2
)
  
            
EFT L 6 af 10.1.2002, s. 52
.
(
3
)
  SEC(2006) 95 af 20.1.2006.
(
4
)
  Det Internationale Handelskammer (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce i Belgien (Amcham), og Federation of European Direct Marketing Associations (FEDMA).
(
5
)
  
            
EFT L 181 af 4.7.2001, s. 19
.
BILAG
STANDARDKONTRAKTBESTEMMELSER (»REGISTERFØRERE«)
I henhold til artikel 26, stk. 2, i direktiv 95/46/EF med hensyn til videregivelse af personoplysninger til registerførere etableret i tredjelande, der ikke sikrer et tilstrækkeligt databeskyttelsesniveau.
Det dataeksporterende foretagendes navn: …
Adresse: …
Tlf. …; fax …; e-mail: …
Andre oplysninger til identifikation af foretagendet:
…
(
dataeksportøren
)
og
Det dataimporterende foretagendes navn: …
Adresse: …
Tlf. …; fax …; e-mail: …
Andre oplysninger til identifikation af foretagendet:
…
(
dataimportøren
)
hver især en »part«; tilsammen »parterne«
HAR AFTALT følgende standardkontraktbestemmelser (i det følgende benævnt »standardbestemmelserne«) med henblik på at tilvejebringe passende garantier med hensyn til beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med dataeksportørens videregivelse af de i tillæg 1 anførte personoplysninger til dataimportøren.
Standardbestemmelse 1
Definitioner
Følgende definitioner gælder for standardbestemmelserne:
a)
»Personoplysninger«, »særlige kategorier af oplysninger«, »behandle/behandling«, »registeransvarlig«, »registerfører«, »den registrerede« og »tilsynsmyndighed« har samme betydning som i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger 
(
1
)
b)
»dataeksportør« betyder den registeransvarlige, der videregiver personoplysningerne
c)
»dataimportør« betyder den registerfører, som indvilliger i at modtage personoplysninger fra dataeksportøren med henblik på behandling på dataeksportørens vegne efter videregivelsen, i overensstemmelse med dataeksportørens instrukser og standardbestemmelserne, og som ikke er underlagt et tredjelands system, der sikrer et tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 1, i direktiv 95/46/EF
d)
»underkontraheret registerfører« betyder enhver registerfører, der efter aftale med dataimportøren eller af en af dataimportørens øvrige underkontraherede registerførere indvilliger i fra dataimportøren eller en af dataimportørens øvrige underkontraherede registerførere at modtage personoplysninger udelukkende med henblik på behandling på dataeksportørens vegne efter videregivelsen, i overensstemmelse med dataeksportørens instrukser, standardbestemmelserne og den skriftlige udliciteringskontrakt
e)
»den gældende databeskyttelseslovgivning« betyder den lovgivning, der beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, især deres ret til beskyttelse af privatlivets fred, med hensyn til behandling af personoplysninger, og som gælder for en registeransvarlig i den medlemsstat, hvor dataeksportøren er etableret
f)
»tekniske og organisatoriske sikkerhedsforanstaltninger« betyder de foranstaltninger, der har til formål at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang, især hvor behandlingen omfatter videregivelse af oplysninger i et net, samt mod enhver anden form for ulovlig behandling.
Standardbestemmelse 2
Nærmere oplysninger om videregivelsen
De nærmere oplysninger om videregivelsen og især de særlige kategorier af personoplysninger, hvor dette er relevant, er nærmere angivet i tillæg 1, der er en integrerende del af standardbestemmelserne.
Standardbestemmelse 3
Tredjemandsløfte
1.
Den registrerede kan som begunstiget tredjemand håndhæve denne standardbestemmelse, standardbestemmelse 4, litra b)-i), standardbestemmelse 5, litra a)-e) og g)-j), standardbestemmelse 6, stk. 1 og 2, standardbestemmelse 7, standardbestemmelse 8, stk. 2 og standardbestemmelse 9-12 over for dataeksportøren.
2.
Den registrerede kan håndhæve denne standardbestemmelse, standardbestemmelse 5, litra a)-e) og g), standardbestemmelse 6, standardbestemmelse 7, standardbestemmelse 8, stk. 2 og standardbestemmelse 9-12 over for dataimportøren i tilfælde, hvor dataeksportøren faktisk eller retligt set er ophørt med at eksistere, medmindre en eventuel retssuccessor har påtaget sig alle dataeksportørens retlige forpligtelser i henhold til kontrakt eller i henhold til lovgivning og som følge heraf overtager dataeksportørens rettigheder og forpligtelser, idet den registrerede i så fald kan håndhæve dem over for en sådan retssuccessor.
3.
Den registrerede kan håndhæve denne standardbestemmelse, standardbestemmelse 5, litra a)-e) og g), standardbestemmelse 6, standardbestemmelse 7, standardbestemmelse 8, stk. 2 og standardbestemmelse 9-12 over for den underkontraherede registerfører i tilfælde, hvor både dataeksportøren og dataimportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvente, medmindre en eventuel retssuccessor har påtaget sig alle dataeksportørens retlige forpligtelser i henhold til kontrakt eller i henhold til lovgivning og som følge heraf overtager dataeksportørens rettigheder og forpligtelser, idet den registrerede i så fald kan håndhæve dem over for en sådan retssuccessor. Den underkontraherede registerførers erstatningsansvar er begrænset til hans egen behandling i henhold til standardbestemmelserne.
4.
Parterne gør ingen indsigelse mod, at de registrerede, såfremt de udtrykkeligt ytrer ønske herom, og det er tilladt i henhold til national ret, lader sig repræsentere af en forening eller andre organer.
Standardbestemmelse 4
Dataeksportørens pligter
Dataeksportøren accepterer og garanterer:
a)
at hans behandling af personoplysningerne, herunder selve videregivelsen, har været, og fortsat vil være i overensstemmelse med de relevante bestemmelser i den gældende databeskyttelseslovgivning (og i givet fald er blevet anmeldt til de kompetente myndigheder i den medlemsstat, hvor dataeksportøren er etableret), og at behandlingen ikke er i strid med denne stats relevante bestemmelser
b)
at han har instrueret og under behandlingen af personoplysninger vil instruere dataimportøren om kun at behandle de videregivne personoplysninger på dataeksportørens vegne og i overensstemmelse med den gældende databeskyttelseslovgivning og standardbestemmelserne
c)
at dataimportøren vil stille tilstrækkelige garantier med hensyn til de tekniske og organisatoriske sikkerhedsforanstaltninger, der er nærmere angivet i tillæg 2 til denne kontrakt
d)
at sikkerhedsforanstaltningerne, efter at være blevet vurderet i forhold til kravene i den gældende databeskyttelseslovgivning, er tilstrækkelige til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang, især når behandlingen omfatter dataoverførsel i et net, samt mod enhver anden form for ulovlig behandling, og at disse foranstaltninger giver et passende databeskyttelsesniveau i forhold til de risici, der er forbundet med behandlingen og arten af de oplysninger, der skal beskyttes, under hensyn til det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse
e)
at han vil sikre, at disse sikkerhedsforanstaltninger overholdes
f)
at de registrerede i tilfælde af, at videregivelsen omfatter særlige kategorier af oplysninger, er blevet informeret eller inden eller snarest muligt efter videregivelsen vil blive informeret om, at deres oplysninger kan blive videregivet til et tredjeland, der ikke sikrer et tilstrækkeligt databeskyttelsesniveau som omhandlet i direktiv 95/46/EF
g)
at han vil sende meddelelser, som han modtager fra dataimportøren eller en eventuel underkontraheret registerfører i henhold til standardbestemmelse 5, litra b) og 8, stk. 3, videre til databeskyttelsesmyndigheden, hvis han beslutter at fortsætte videregivelsen eller at ophæve suspensionen
h)
at han efter anmodning vil stille følgende til rådighed for de registrerede: et eksemplar af standardbestemmelserne, bortset fra tillæg 2, og en kortfattet beskrivelse af sikkerhedsforanstaltningerne samt et eksemplar af enhver kontrakt om udlicitering, der skal ske i henhold til standardbestemmelserne, medmindre standardbestemmelserne eller kontrakten indeholder kommercielle oplysninger, som han i så fald kan udelade
i)
at behandlingen i tilfælde af udlicitering gennemføres i henhold til standardbestemmelse 11 af en underkontraheret registerfører, der frembyder mindst samme beskyttelsesniveau for den registreredes personoplysninger og rettigheder som dataimportøren i henhold til standardbestemmelserne, og
j)
at han vil sikre, at standardbestemmelse 4, litra a)-i), overholdes.
Standardbestemmelse 5
Dataimportørens pligter
(
2
)
Dataimportøren accepterer og garanterer:
a)
at han udelukkende vil behandle personoplysningerne på dataeksportørens vegne og i overensstemmelse med dennes instrukser og standardbestemmelserne; såfremt han af en hvilken som helst grund ikke er i stand til at sikre en sådan overensstemmelse, indvilliger han i straks at underrette dataeksportøren herom, hvorefter dataeksportøren i så fald har ret til at suspendere dataoverførslen og/eller ophæve kontrakten
b)
at han ikke har grund til at tro, at han ifølge den lovgivning, han er underlagt, er forhindret i at følge de instrukser, han har modtaget fra dataeksportøren, og overholde sine forpligtelser i henhold til kontrakten, og at han, såfremt denne lovgivning ændres således, at det sandsynligvis vil få en væsentlig negativ indvirkning på de garantier og forpligtelser, der opnås ved hjælp af standardbestemmelserne, straks vil give dataeksportøren meddelelse om ændringen, så snart han får kendskab hertil, hvorefter dataeksportøren i så fald har ret til at suspendere dataoverførslen og/eller ophæve kontrakten
c)
at han, inden han behandler de videregivne personoplysninger, har iværksat de tekniske og organisatoriske sikkerhedsforanstaltninger, der er nærmere angivet i tillæg 2
d)
at han straks vil give dataeksportøren meddelelse om:
i)
retshåndhævende myndigheders retligt bindende anmodninger om videregivelse af personoplysninger, medmindre dette på anden måde er forbudt, som for eksempel ved et forbud ifølge strafferetten med henblik på at sikre fortrolighed i efterforskningssager
ii)
enhver utilsigtet eller uautoriseret adgang og
iii)
anmodninger, der modtages direkte fra de registrerede, og som han ikke har besvaret, medmindre han på anden måde er bemyndiget dertil
e)
at han straks og behørigt vil behandle alle dataeksportørens forespørgsler vedrørende sin behandling af de videregivne personoplysninger og følge tilsynsmyndighedens anbefalinger med hensyn til behandling af de videregivne oplysninger
f)
at han på dataeksportørens anmodning vil lade sine databehandlingsfaciliteter underkaste inspektion, som omfatter den i standardbestemmelserne omhandlede databehandling, og som foretages af dataeksportøren eller et inspektionsorgan bestående af uafhængige medlemmer med tavshedspligt, der er i besiddelse af de nødvendige faglige kvalifikationer, og som udpeges af dataeksportøren, i givet fald efter aftale med tilsynsmyndigheden
g)
at han efter anmodning vil stille et eksemplar af standardbestemmelserne eller eksisterende udliciteringskontrakter til rådighed for den registrerede, medmindre standardbestemmelserne eller kontrakten indeholder kommercielle oplysninger, som han i så fald kan udelade, bortset fra tillæg 2, der erstattes af en kortfattet beskrivelse af sikkerhedsforanstaltningerne i de tilfælde, hvor den registrerede ikke kan få udleveret et eksemplar fra dataeksportøren
h)
at han i tilfælde af udlicitering på forhånd har underrettet dataeksportøren og indhentet hans skriftlige samtykke dertil
i)
at den underkontraherede registerførers behandling vil ske i henhold til standardbestemmelse 11
j)
at han straks vil sende dataeksportøren et eksemplar af de udliciteringsaftaler, som han indgår i henhold til standardbestemmelserne.
Standardbestemmelse 6
Erstatningsansvar
1.
Parterne er enige om, at registrerede, der har lidt skade som følge af en parts eller en underkontraheret registerførers overtrædelse af de forpligtelser, der er omhandlet i standardbestemmelse 3 eller 11, har ret til erstatning fra dataeksportøren for den lidte skade.
2.
Hvis en registreret i tilfælde, hvor dataimportøren eller hans underkontraherede registerfører overtræder sine forpligtelser i henhold til standardbestemmelse 3 eller 11, ikke er i stand til at fremsætte erstatningskrav mod dataeksportøren i henhold til stk. 1, fordi dataeksportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvent, accepterer dataimportøren, at den registrerede kan fremsætte krav mod dataimportøren, som om han var dataeksportøren, medmindre en eventuel retssuccessor har påtaget sig alle dataeksportørens forpligtelser i henhold til kontrakt eller i henhold til lovgivning, idet den registrerede i så fald kan påberåbe sig sine rettigheder over for en sådan retssuccessor.
Dataimportøren kan ikke unddrage sig sit ansvar ved at påberåbe sig en underkontraheret registerførers misligholdelse af sine forpligtelser.
3.
Hvis en registreret i tilfælde, hvor den underkontraherede registerfører overtræder sine forpligtelser i henhold til standardbestemmelse 3 eller 11, ikke er i stand til at fremsætte erstatningskrav mod dataeksportøren eller dataimportøren i henhold til stk. 1 og 2, fordi både dataeksportøren og dataimportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvente, accepterer den underkontraherede registerfører, at den registrerede kan fremsætte krav mod den underkontraherede registerfører med hensyn til dennes egen behandling i henhold til standardbestemmelserne, som om han var dataeksportøren eller dataimportøren, medmindre en eventuel retssuccessor har påtaget sig alle dataeksportørens eller dataimportørens retlige forpligtelser i henhold til kontrakt eller i henhold til lovgivning, idet den registrerede i så fald kan påberåbe sig sine rettigheder over for en sådan retssuccessor. Den underkontraherede registerførers erstatningsansvar begrænses til hans egen databehandling i henhold til standardbestemmelserne.
Standardbestemmelse 7
Mægling og værneting
1.
Hvis den registrerede gør tredjemandsløftet gældende over for dataimportøren og/eller kræver skadeserstatning i henhold til standardbestemmelserne, vil dataimportøren acceptere den registreredes beslutning om:
a)
at henvise sagen til mægling foretaget af en uvildig person eller i givet fald af tilsynsmyndigheden
b)
at henvise sagen til domstolene i den medlemsstat, hvor dataeksportøren er etableret.
2.
Parterne er enige om, at den registreredes valg ikke har nogen indvirkning på den registreredes materielle eller processuelle rettigheder til at søge forholdet afhjulpet i overensstemmelse med andre bestemmelser i national eller international ret.
Standardbestemmelse 8
Samarbejdet med tilsynsmyndighederne
1.
Dataeksportøren accepterer at deponere et eksemplar af denne kontrakt hos tilsynsmyndigheden, hvis denne måtte anmode herom, eller hvis det kræves i henhold til den gældende databeskyttelseslovgivning.
2.
Parterne accepterer, at tilsynsmyndigheden har ret til at foretage en inspektion af dataimportøren og en eventuel underkontraheret registerfører med samme formål og på de samme betingelser som en inspektion af dataeksportøren i henhold til den gældende databeskyttelseslovgivning.
3.
Dataimportøren underretter straks dataeksportøren om, at han eller en eventuel underkontraheret registerfører er underlagt en lovgivning, der forhindrer en inspektion af ham eller en eventuel underkontraheret registerfører i henhold til stk. 2. I så fald har dataeksportøren ret til at træffe de foranstaltninger, der er fastsat i standardbestemmelse 5, litra b).
Standardbestemmelse 9
Lovvalg
Standardbestemmelserne er underlagt lovgivningen i den medlemsstat, hvor dataeksportøren er etableret, nemlig …
Standardbestemmelse 10
Ændring af kontrakten
Parterne forpligter sig til ikke at ændre standardbestemmelserne. Dette forhindrer ikke parterne i at indføje bestemmelser om forretningsmæssige spørgsmål, hvis det er nødvendigt, så længe de ikke strider mod standardbestemmelsen.
Standardbestemmelse 11
Udlicitering
1.
Dataimportøren udliciterer ikke noget af den databehandling, han foretager på dataeksportørens vegne i henhold til standardbestemmelserne, uden dataeksportørens forudgående skriftlige samtykke. Når dataimportøren med dataeksportørens samtykke, udliciterer sine forpligtelser i henhold til standardbestemmelserne, sker dette udelukkende ved indgåelse af en skriftlig aftale med den underkontraherede registerfører, som herved pålægges de samme forpligtelser, som dem, der påhviler dataimportøren i henhold til standardbestemmelserne 
(
3
)
. Hvis den underkontraherede registerfører ikke opfylder sine databeskyttelsesforpligtelser i henhold til en sådan skriftlig aftale, er dataimportøren fuldt ansvarlig over for dataeksportøren for, at den underkontraherede registerførers forpligtelser i henhold til en sådan aftale opfyldes.
2.
Den forudgående skriftlige kontrakt mellem dataimportøren og den underkontraherede registerfører indeholder også et tredjemandsløfte som fastsat i standardbestemmelse 3 for tilfælde, hvor den registrerede ikke kan fremsætte erstatningskrav som anført i standardbestemmelse 6, stk. 1, mod dataeksportøren eller dataimportøren, fordi de faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvente, og ingen retssuccessor har påtaget sig alle dataeksportørens eller dataimportørens retlige forpligtelser i henhold til kontrakt eller i henhold til lovgivning. Den underkontraherede registerførers erstatningsansvar begrænses til hans egen databehandling i henhold til standardbestemmelserne.
3.
Bestemmelserne om databeskyttelsesaspekter ved udlicitering i den kontrakt, der er omhandlet i stk. 1, er underlagt lovgivningen i den medlemsstat, hvor dataeksportøren er etableret, nemlig …
4.
Dataeksportøren fører en liste over udliciteringsaftaler, der er indgået i henhold til standardbestemmelserne og meddelt af dataimportøren i henhold til standardbestemmelse 5, litra j), og listen ajourføres mindst en gang om året. Listen er tilgængelig for dataeksportørens datatilsynsmyndighed.
Standardbestemmelse 12
Forpligtelser efter afsluttet databehandling af personoplysninger
1.
Parterne er enige om, at dataimportøren og den underkontraherede registerfører, når databehandlingen af personoplysningerne er afsluttet, og afhængigt af dataeksportørens ønske, enten returnerer alle videregivne personoplysninger og eksemplarer heraf til dataeksportøren eller destruerer alle personoplysninger og attesterer dette over for dataeksportøren, medmindre den lovgivning, som dataimportøren er underlagt, forhindrer ham i at returnere eller destruere alle eller en del af de videregivne personoplysninger. Dataimportøren garanterer i så fald, at han vil sikre fortroligheden af de videregivne personoplysninger og ikke aktivt vil foretage yderligere behandling af disse.
2.
Dataimportøren og den underkontraherede registerfører garanterer, at de på dataeksportørens og/eller tilsynsmyndighedens anmodning vil lade deres databehandlingsfaciliteter underkaste en inspektion med henblik på kontrol af de foranstaltninger, der er omhandlet i stk. 1.
På dataeksportørens vegne:
Navn (fornavn og efternavn): …
Stilling: …
Adresse: …
(Eventuelle) andre oplysninger, som er nødvendige for at gøre kontrakten retligt bindende: …
Underskrift …
På dataimportørens vegne:
Navn (fornavn og efternavn): …
Stilling: …
Adresse: …
(Eventuelle) andre oplysninger, som er nødvendige for at gøre kontrakten retligt bindende: …
Underskrift …
(
1
)
  Parterne kan i denne standardbestemmelse indføje de definitioner og betydninger, der er fastsat i direktiv 95/46/EF, hvis de anser det for mere hensigtsmæssigt, at kontrakten står alene.
(
2
)
  Obligatoriske krav i den nationale lovgivning, der finder anvendelse på dataimportøren, og som ikke er mere vidtgående end dem, der er nødvendige i et demokratisk samfund på basis af en af de grunde, der er nævnt i artikel 13, stk. 1, i direktiv 95/46/EF, det vil sige, hvis de udgør en nødvendig restriktion af hensyn til statens sikkerhed, forsvaret, den offentlige sikkerhed, forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller brud på etiske regler for lovregulerede erhverv, en medlemsstats væsentlige økonomiske eller finansielle interesser eller beskyttelsen af den registreredes interesser eller andres rettigheder og frihedsrettigheder, er ikke i strid med standardbestemmelserne. Sådanne obligatoriske krav, der ikke er mere vidtgående end det, der er nødvendigt i et demokratisk samfund, er f.eks. internationalt anerkendte sanktioner, oplysningspligt i skattesager eller oplysningspligt til bekæmpelse af hvidvaskning af penge.
(
3
)
  Kravet kan opfyldes ved, at den underkontraherede registerfører medundertegner den kontrakt, som dataeksportøren og dataimportøren indgår i henhold til denne afgørelse.
Tillæg 1
Til standardkontraktbestemmelserne
Dette tillæg udgør en integrerende del af standardbestemmelserne og skal udfyldes og underskrives af parterne
Medlemsstaterne kan i overensstemmelse med deres nationale procedurer tilføje eller nærmere angive yderligere nødvendige oplysninger, som skal fremgå af tillægget.)
Dataeksportør
Dataeksportøren er (giv en kort beskrivelse af de af Deres aktiviteter, der er relevante for videregivelsen af oplysninger):
…
…
…
Dataimportør
Dataimportøren er (giv en kort beskrivelse af de af Deres aktiviteter, der er relevante for videregivelsen af oplysninger):
…
…
…
Registrerede
De videregivne personoplysninger vedrører følgende kategorier af registrerede (angiv nærmere):
…
…
…
Kategorier af oplysninger
De videregivne personoplysninger omfatter følgende kategorier af oplysninger (angiv nærmere):
…
…
…
Særlige kategorier af oplysninger (hvis relevant)
De videregivne personoplysninger omfatter følgende særlige kategorier af oplysninger (angiv nærmere):
…
…
…
Behandling
De videregivne personoplysninger vil blive genstand for følgende grundlæggende behandling (angiv nærmere):
…
…
…
DATAEKSPORTØR
Navn: …
Den befuldmægtigedes underskrift …
DATAIMPORTØR
Navn: …
Den befuldmægtigedes underskrift …
Tillæg 2
til standardkontraktbestemmelserne
Dette tillæg udgør en integrerende del af standardbestemmelserne og skal udfyldes og underskrives af parterne
Beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger, der iværksættes af dataimportøren i henhold til standardbestemmelse 4, litra d), og standardbestemmelse 5, litra c) (eller vedlagt dokument/lovgivning):
…
…
…
…
VEJLEDENDE BESTEMMELSE OM SKADESERSTATNING (VALGFRI)
Erstatningsansvar
Hvis en af parterne gøres ansvarlig for den anden parts overtrædelse af standardbestemmelserne, er parterne enige om, at sidstnævnte part, i det omfang denne er ansvarlig, skal holde førstnævnte part skadesløs for alle omkostninger, gebyrer, erstatningsbeløb, udgifter eller tab, som denne har afholdt eller pådraget sig.
Skadeserstatningen er betinget af:
a)
at dataeksportøren straks giver dataimportøren meddelelse om kravet, og
b)
at dataimportøren får mulighed for at samarbejde med dataeksportøren ved forsvaret i sagen og afgørelsen af kravet 
(
1
)
.
(
1
)
  Afsnittet om erstatningsansvar er valgfrit.

Summary:
Videregivelse af personoplysninger til tredjelande: Standardkontraktbestemmelser
RESUMÉ AF:
Afgørelse 2010/87/EU om standardkontraktbestemmelser for videregivelse af personoplysninger til registerførere etableret i tredjelande i henhold til direktiv 95/46/EF
HVAD ER FORMÅLET MED AFGØRELSEN?
Den fastsætter standardkontraktbestemmelser, som kan bruges af registeransvarlige
*
 (eksportører) i 
EU
, der videregiver personoplysninger
*
 til registerførere
*
 (importører) etableret uden for EU eller 
EØS
, til at give passende databeskyttelsesgarantier og derved overholde kravene i EU’s lovgivning om beskyttelse af personoplysninger — forordning (EU) 
2016/679
 — se 
resumé
).
HOVEDPUNKTER
Standardkontraktbestemmelserne er fastsat i bilaget til afgørelsen som følger. Standardkontraktbestemmelser vedrører kun databeskyttelse og kan medtages af parterne i en bredere kontrakt eller suppleres med andre bestemmelser eller yderligere garantier, forudsat at de ikke, direkte eller indirekte, strider imod standardkontraktbestemmelserne.
Standardbestemmelse 1: Definitioner
Der er fastsat definitioner på centrale begreber i standardkontraktbestemmelserne.
Standardbestemmelse 2: Nærmere oplysninger om videregivelsen
Parterne bør i et bilag til kontraktbestemmelserne anføre oplysninger om videregivelserne, herunder de relevante aktiviteter hos dataimportøren og -eksportøren, de kategorier af personoplysninger, der videregives, samt den behandling, som personoplysningerne underkastes efter videregivelsen.
Standardbestemmelse 3: Tredjemandsløfte
Med denne standardbestemmelse kan den registrerede håndhæve flere standardbestemmelser over for dataeksportøren, dataimportøren eller den underkontraherede registerfører som tredjemand. Den foreskriver desuden, at parterne ikke gør indsigelse mod, at en registreret lader sig repræsentere af en forening eller andre organer, hvis det er tilladt i henhold til national ret.
Standardbestemmelse 4: Dataeksportørens pligter
Denne standardbestemmelse fastsætter dataeksportørens pligter, idet denne skal acceptere og garantere at:
behandle personoplysningerne i overensstemmelse med databeskyttelseslovgivningen
 
instruere dataimportøren om kun at behandle oplysningerne på dataeksportørens vegne og i overensstemmelse med databeskyttelseslovgivningen og standardbestemmelserne
 
stille (og overholde) tilstrækkelige garantier med hensyn til de tekniske og organisatoriske sikkerhedsforanstaltninger for at beskytte personoplysningerne mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang, især når behandlingen omfatter dataoverførsel i et net
 
informere den registrerede, hvis særlige kategorier af data kan videregives til et tredjeland med utilstrækkelig databeskyttelse
 
videresende den meddelelse, som han har modtaget fra dataimportøren om dennes manglende evne til at overholde standardbestemmelserne til den kompetente tilsynsmyndighed hvis han beslutter at fortsætte videregivelsen
 
han efter anmodning vil stille et eksemplar af standardbestemmelserne til rådighed for de registrerede samt en kortfattet beskrivelse af sikkerhedsforanstaltningerne
 
den underkontraherede registerfører, i tilfælde af udlicitering, skal yde samme beskyttelsesniveau for personoplysninger som dataimportøren.
Standardbestemmelse 5: Dataimportørens pligter
Denne standardbestemmelse fastsætter dataimportørens pligter, idet denne skal acceptere og garantere at:
behandle personoplysningerne på dataeksportørens vegne og i overensstemmelse med dennes instrukser og standardbestemmelserne
 
han ikke har grund til at tro, at han ifølge den lovgivning, han er underlagt, er forhindret i at følge de instrukser, han har modtaget fra dataeksportøren, og overholde sine forpligtelser i henhold til kontrakten
 
såfremt denne lovgivning ændres således, at det sandsynligvis vil få en væsentlig negativ indvirkning på de garantier og forpligtelser, der opnås ved hjælp af standardbestemmelserne, straks at give meddelelse herom, hvorefter dataeksportøren i så fald har ret til at suspendere dataoverførslen og/eller ophæve kontrakten
 
gennemføre tekniske og organisatoriske sikkerhedsforanstaltninger før behandling af de videregivne personoplysninger
 
straks give dataeksportøren meddelelse om retshåndhævende myndigheders anmodninger om videregivelse af personoplysninger, utilsigtet eller uautoriseret adgang og anmodninger, der modtages direkte fra de registrerede, og som han ikke har besvaret, medmindre han på anden måde er bemyndiget dertil
 
straks og behørigt at behandle alle dataeksportørens forespørgsler og følge tilsynsmyndighedens anbefalinger
 
han på dataeksportørens anmodning vil lade sine databehandlingsfaciliteter underkaste inspektion, som omfatter den i standardbestemmelserne omhandlede databehandling
 
han efter anmodning vil stille et eksemplar af standardbestemmelserne til rådighed for de registrerede samt en kortfattet beskrivelse af sikkerhedsforanstaltningerne
 
kun at ansætte en underkontraherende registerfører med forudgående skriftligt samtykke.
Standardbestemmelse 6: Erstatningsansvar
I henhold til standardbestemmelserne skal parterne være enige om, at registrerede, der har lidt skade som følge af en overtrædelse af forpligtelserne har ret til erstatning fra dataeksportøren for den lidte skade.
Standardbestemmelse 7: Mægling og værneting
Dataimportøren skal acceptere, at hvis den registrerede gør tredjemandsløftet gældende over for dataimportøren og/eller kræver skadeserstatning, at denne accepterer den registreredes beslutning om at henvise sagen til mægling foretaget af en uvildig person eller til domstolene i det EU-land, hvor dataeksportøren er etableret (med ret til at søge forholdet afhjulpet i overensstemmelse med andre bestemmelser i national eller international ret).
Standardbestemmelse 8: Samarbejde med tilsynsmyndighederne
Denne standardbestemmelse regulerer samarbejdet med den kompetente tilsynsmyndighed ved at fastsætte, at:
tilsynsmyndigheden har ret til at foretage en inspektion af dataimportøren og en eventuel underkontraheret registerfører
 
dataimportøren straks underretter dataeksportøren om evt. lovgivning, der forhindrer en inspektion af dataimportøren. I så fald har dataeksportøren ret til at suspendere dataoverførslen og/eller ophæve kontrakten.
Standardbestemmelse 9: Lovvalg
Standardbestemmelserne er underlagt lovgivningen i det EU-land, hvor dataeksportøren er etableret.
Standardbestemmelse 10: Ændring af kontrakten
Parterne må ikke ændre eller indføje bestemmelser, der strider mod standardbestemmelserne.
Standardbestemmelse 11: Udlicitering
Bestemmelserne vedrørende udlicitering er underlagt lovgivningen i det EU-land, hvor dataeksportøren er etableret.
Standardbestemmelse 12: Forpligtelser efter afsluttet databehandling af personoplysninger
Denne standardbestemmelse regulerer parternes forpligtelser efter afsluttet databehandling. Navnlig skal parterne være enige om, at dataimportøren og den underkontraherede registerfører, efter afsluttet databehandling af personoplysninger, skal returnere (eller på anmodning destruere) alle videregivne personoplysninger, medmindre lovgivningen forhindrer dette.
HVORNÅR GÆLDER AFGØRELSEN FRA?
Den trådte i kraft den 15. maj 2010.
BAGGRUND
Bemærk: denne afgørelse var underlagt en anmodning om 
præjudiciel afgørelse
, der førte til dom afsagt af 
EU-Domstolen
 (
sag C-311/18
) af 16. juli 2020, hvor Domstolen bekræftede afgørelsens gyldighed.
 
Europa-Kommissionen
 har også udstedt to sæt standardkontraktbestemmelser for videregivelse af oplysninger fra registeransvarlige i EU til registeransvarlige etableret uden for EU eller EØS.
 
Se desuden:
Databeskyttelse
 (
Europa-Kommissionen
).
VIGTIGE BEGREBER
Registeransvarlig:
 fysisk eller juridisk person, offentlig myndighed, agentur eller andet organ, der bestemmer formål og metode for behandling af personoplysninger.
Personoplysninger:
 oplysninger om en person (registreret), som kan identificeres, direkte eller indirekte, ved et navn, identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet.
Registerfører:
 fysisk eller juridisk person, offentlig myndighed, agentur eller andet organ, der behandler personoplysninger på vegne af den registeransvarlige.
HOVEDDOKUMENT
Kommissionens afgørelse 
2010/87/EU
 af 5. februar 2010 om standardkontraktbestemmelser for videregivelse af personoplysninger til registerførere etableret i tredjelande i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF (EUT L 39 af 12.2.2010, s. 5-18).
Efterfølgende ændringer af afgørelse 2010/87/EU er indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1-88).
Se den 
konsoliderede udgave
.
Kommissionens beslutning 
2004/915/EF
 af 27. december 2004 om ændring af beslutning 2001/497/EF for at indføre en alternativ standardkontrakt om overførsel af personoplysninger til tredjelande (EUT L 385 af 29.12.2004, s. 74-84).
Kommissionens beslutning 
2001/497/EF
 af 15. juni 2001 om standardkontraktbestemmelser for overførsel af personoplysninger til tredjelande i henhold til direktiv 95/46/EF (EFT L 181 af 4.7.2001, s. 19-31).
Se den 
konsoliderede udgave
.
Europa-Parlamentet og Rådets direktiv 
95/46/EF
 af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281 af 23.11.1995, s. 31-50).
Se den 
konsoliderede udgave
.
seneste ajourføring 07.10.2020