Decyzja Komisji
z dnia 26 lipca 2000 r.
przyjęta na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady,
w sprawie adekwatności ochrony przewidzianej przez zasady ochrony prywatności w ramach "bezpiecznej przystani" oraz przez odnoszące się do nich najczęściej zadawane pytania, wydane przez Departament Handlu USA (notyfikowana jako dokument nr C(2000) 2441)
(Tekst mający znaczenie dla EOG)
(2000/520/WE)
KOMISJA WSPÓLNOT EUROPEJSKICH,
uwzględniając Traktat ustanawiający Wspólnotę Europejską,
uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych [1], w szczególności jej art. 25 ust. 6,
a także mając na uwadze, co następuje:
(1) Na mocy dyrektywy 95/46/WE Państwa Członkowskie są zobowiązane zapewnić, że przekazywanie danych osobowych do państwa trzeciego może odbywać się tylko wtedy, gdy dane państwo trzecie zapewnia adekwatny poziom bezpieczeństwa, a prawa Państwa Członkowskiego wprowadzające w życie inne przepisy dyrektywy są przestrzegane przed przekazaniem danych.
(2) Komisja może stwierdzić, że państwo trzecie zapewnia adekwatny poziom bezpieczeństwa. W tym przypadku dane osobowe mogą być przekazywane z Państw Członkowskich bez konieczności dodatkowych gwarancji.
(3) Na mocy dyrektywy 95/46/WE poziom ochrony danych powinien zostać oceniony w świetle wszystkich okoliczności związanych z operacją przekazywania danych albo zespołem operacji przekazywania danych oraz w odniesieniu do danych warunków. Grupa robocza ds. ochrony osób fizycznych w odniesieniu do przetwarzania danych osobowych powołana na podstawie wspomnianej dyrektywy [2] wydała wytyczne na temat dokonywania takich ocen [3].
(4) Biorąc pod uwagę różne podejścia do problemu ochrony danych w państwach trzecich, ocena adekwatności i każda decyzja na podstawie art. 25 ust. 6 dyrektywy 95/46/WE powinna być wprowadzona w życie w taki sposób, który ani nie dokonuje dyskryminacji w sposób arbitralny lub nieusprawiedliwiony wobec państw trzecich lub między tymi państwami, w których panują podobne warunki, ani też nie stwarza ukrytych barier w handlu uwzględniając obecne zobowiązania międzynarodowe Wspólnoty.
(5) Adekwatny poziom ochrony przekazywania danych ze Wspólnoty do Stanów Zjednoczonych, uznany przez niniejszą decyzję, powinien zostać osiągnięty, jeżeli organizacje będą przestrzegać zasad ochrony prywatności w ramach "bezpiecznej przystani" dotyczących ochrony danych osobowych przekazywanych z Państwa Członkowskiego do Stanów Zjednoczonych (zwanych dalej "zasadami") i najczęściej zadawanych pytań (zwanych dalej "NZP"), zawierających wytyczne dotyczące wprowadzania w życie zasad wydanych przez Rząd Stanów Zjednoczonych w dniu 21 lipca 2000 r. Ponadto organizacje powinny publicznie ujawnić stosowane przez nie polityki ochrony prywatności, a także powinny zostać poddane bądź to właściwości (Federalnej Komisji Handlu (FKH)) na podstawie sekcji 5 Ustawy o Federalnej Komisji Handlu, która zakazuje nieuczciwych lub wprowadzających w błąd czynów bądź praktyk handlowych lub wpływających na handel, bądź innego ustawowego organu, który skutecznie zapewni przestrzeganie zasad wdrożonych zgodnie z NZP.
(6) Z zakresu niniejszej decyzji powinny być wyłączone sektory i/lub przetwarzanie danych niepodlegające właściwości żadnego spośród organów rządowych w Stanach Zjednoczonych, wymienionych w załączniku VII do niniejszej decyzji.
(7) W celu zapewnienia prawidłowego stosowania niniejszej decyzji konieczne jest, żeby organizacje przestrzegające zasad i NZP mogły być uznane przez strony zainteresowane, takie jak osoby, których dane dotyczą, eksporterzy danych i organy ochrony danych. W tym celu Departament Handlu USA albo osoba przez niego wyznaczonapowinna podjąć się prowadzenia i publicznego udostępniania wykazu organizacji deklarujących przestrzeganie zasad wdrożonych zgodnie z NZP oraz podlegających właściwości, co najmniej jednego organu rządowego wymienionego w załączniku VII do niniejszej decyzji.
(8) Dla zachowania przejrzystości i w celu zagwarantowania właściwym władzom w Państwach Członkowskich możliwości zapewnienia ochrony osób fizycznych w zakresie przetwarzania ich danych osobowych, konieczne jest wyszczególnienie w niniejszej decyzji okoliczności wyjątkowych, w których zawieszenie określonych przekazów danych powinno być usprawiedliwione, bez względu na to czy stwierdzono ich właściwą ochronę.
(9) W świetle doświadczenia oraz nowych rozwiązań dotyczących ochrony prywatności w okolicznościach, w których technika umożliwia coraz łatwiejsze przekazywanie i przetwarzanie danych osobowych, a także w świetle sprawozdań w sprawie wprowadzenia w życie sporządzonych przez zaangażowane władze wykonawcze, może zajść potrzeba dokonania przeglądu "bezpiecznej przystani" tworzonej przez zasady i NZP.
(10) Grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, powołana na mocy art. 29 dyrektywy 95/46/WE, wydała opinie o poziomie bezpieczeństwa, jaką zapewniają zasady "bezpiecznej przystani" w Stanach Zjednoczonych, które zostały uwzględnione przy przygotowaniu niniejszej decyzji [4].
(11) Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu powołanego na mocy art. 31 dyrektywy 95/46/WE.
(12) Zgodnie z decyzją Komisji nr 1999/468/WE, w szczególności jej art. 8, w dniu 5 lipca 2000 r. Parlament Europejski przyjął rezolucję nr A5-0177/2000 w sprawie projektu decyzji Komisji w sprawie adekwatności ochrony przyznanej przez zasady ochrony prywatności w ramach "bezpiecznej przystani" i związanymi z nią najczęściej zadawanymi pytaniami wydany przez Departament Handlu USA [5]. Komisja ponownie zbadała projekt decyzji w świetle tej rezolucji i stwierdziła, że pomimo, iż Parlament Europejski wyraził pogląd, że należy dokonać pewnych ulepszeń w zasadach "bezpiecznej przystani" i odnośnych NZP zanim uzna się, że zapewniają adekwatną ochronę, nie ustanowił on, że Komisja przekroczyłaby swoje uprawnienia przyjmując tę decyzję,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
Artykuł 1
1. Do celów art. 25 ust. 2 dyrektywy 95/46/WE, w odniesieniu do wszystkich działań wchodzących w zakres niniejszej dyrektywy przyjmuje się, że zasady ochrony prywatności w ramach "bezpiecznej przystani" (zwane dalej "zasadami"), jak określono w załączniku I do niniejszej decyzji, wprowadzane w życie zgodnie z wytycznymi zawartymi w najczęściej zadawanych pytaniach (zwanych dalej NZP) wydanych przez Departament Handlu USA w dniu 21 lipca 2000 r., jak określono w załączniku II do niniejszej decyzji, zapewniają adekwatny poziom ochrony danych osobowych przekazywanych ze Wspólnoty do organizacji mających siedzibę w Stanach Zjednoczonych, z uwzględnieniem następujących dokumentów wydanych przez Departament Handlu USA:
a) przegląd egzekwowania "bezpiecznej przystani", przedstawiony w załączniku III;
b) memorandum w sprawie odszkodowań z tytułu naruszenia prywatności i wyraźnych upoważnień w prawie amerykańskim, przedstawione w załączniku IV;
c) list Federalnej Komisji Handlu, przedstawiony w załączniku V;
d) list Departamentu Transportu USA, przedstawiony w załączniku VI.
2. W stosunku do każdego przekazu danych powinny zostać spełnione następujące warunki:
a) organizacja otrzymująca dane jednoznacznie i publicznie ujawniła swoje zobowiązanie przestrzegania zasad wdrożonych zgodnie z NZP; oraz
b) organizacja podlega ustawowym uprawnieniom organu rządowego Stanów Zjednoczonych wymienionego w załączniku VII do niniejszej decyzji, który w przypadku nieprzestrzegania zasad wdrożonych przy pomocy NZP jest upoważniony do badania skarg i uwalniania od nieuczciwych lub wprowadzających w błąd praktyk oraz uzyskiwania odszkodowania dla osób fizycznych, niezależnie od ich kraju zamieszkania bądź przynależności państwowej.
3. Przyjmuje się, że warunki określone w ust. 2 spełnia każda organizacja, która deklaruje przestrzeganie zasad wdrożonych zgodnie z NZP od dnia, w którym ta organizacja zawiadomi Departament Handlu USA (albo osobę przez niego wyznaczoną) o publicznym ujawnieniu zobowiązania określonego w ust. 2 lit. a) oraz danych organu rządowego, określonego w ust. 2 lit. b).
Artykuł 2
Niniejsza decyzja dotyczy jedynie adekwatności ochrony zapewnianej w Stanach Zjednoczonych na mocy zasadwdrożonych zgodnie z NZP w celu spełnienia wymagań art. 25 ust. 1 dyrektywy 95/46/WE i nie wpływa na stosowanie innych przepisów tej dyrektywy, które dotyczą przetwarzania danych osobowych w Państwach Członkowskich, w szczególności jej art. 4.
Artykuł 3
1. Bez uszczerbku dla ich uprawnień do podejmowania działania zmierzającego do zapewnienia zgodności z przepisami krajowymi przyjętymi na mocy przepisów innych niż art. 25 dyrektywy 95/46/WE, właściwe władze Państw Członkowskich mogą wykonywać posiadane uprawnienia w celu zawieszenia przepływu danych do organizacji, która złożyła zaświadczenie o przestrzeganiu zasad wdrożonych zgodnie z NZP, w celu ochrony osób fizycznych w odniesieniu do przetwarzania ich danych osobowych w przypadkach, gdy:
a) organ rządowy w Stanach Zjednoczonych, określony w załączniku VII do niniejszej decyzji lub mechanizm niezależnej ochrony prawnej w rozumieniu lit. a) Zasady Realizacji Prawa określonej w załączniku I do niniejszej decyzji ustali, że organizacja narusza zasady wdrożone zgodnie z NZP; lub
b) istnieje duże prawdopodobieństwo, że zasady są łamane; istnieje uzasadnione domniemanie, że mechanizm realizacji prawa o którym mowa nie podejmuje lub nie podejmie właściwych kroków w odpowiednim czasie w celu załatwienia spornej sprawy; dalszy przekaz tworzyłby bezpośrednie ryzyko wystąpienia poważnej szkody dla osób, których dane dotyczą; a właściwe władze Państwa Członkowskiego dołożyły należytych starań w tych okolicznościach w celu powiadomienia danej organizacji i umożliwienia udzielenia odpowiedzi.
Zawieszenie ustaje z chwilą, gdy zostanie zapewnione przestrzeganie zasad wdrożonych zgodnie z NZP oraz właściwe władze Wspólnoty zostaną o tym powiadomione.
2. Państwa Członkowskie bezzwłocznie powiadomią Komisję o przyjęciu środków na podstawie ust. 1.
3. Państwa Członkowskie i Komisja powiadomią się także o przypadkach, w których działanie organów odpowiedzialnych za zapewnienie przestrzegania zasad wdrożonych zgodnie z NZP w Stanach Zjednoczonych nie zapewnia ich przestrzegania.
4. Jeżeli informacje zebrane zgodnie z ust. 1, 2 i 3 dostarczą dowodów, że jakikolwiek organ odpowiedzialny za zapewnienie przestrzegania zasad wdrożonych zgodnie z NZP w Stanach Zjednoczonych nie spełnia skutecznie swojej roli, Komisja informuje o tym Departament Handlu USA oraz, w razie potrzeby, przedstawia projekt środków zgodnie z procedurą, określoną w art. 31 dyrektywy 95/46/WE, w celu uchylenia albo zawieszenia niniejszej decyzji lub też ograniczenia jej zakresu.
Artykuł 4
1. Niniejsza decyzja może być dostosowywana w dowolnym czasie w świetle doświadczenia uzyskanego podczas wprowadzania jej w życie i/lub, jeżeli wymagania ustawodawstwa USA będą wyższe niż poziom bezpieczeństwa zapewniany przez zasad y i NZP.
W każdym przypadku, Komisja oceni wprowadzanie w życie niniejszej decyzji na podstawie dostępnych informacji trzy lata od jej notyfikowania Państwom Członkowskim i złoży sprawozdanie na temat wszelkich stosownych ustaleń komitetowi, ustanowionemu na podstawie art. 31 dyrektywy 95/46/WE, łącznie z wszelkimi dowodami, które mogą wpływać na ocenę przepisów określonych w art. 1 niniejszej decyzji w odniesieniu do zapewniania przez nie właściwej ochrony w rozumieniu art. 25 dyrektywy 95/46/WE oraz wszelkimi dowodami na stosowanie praktyk dyskryminacyjnych przy wprowadzaniu w życie niniejszej decyzji.
2. Komisja, w miarę potrzeb, przedstawia projekt środków zgodnie z procedurą określoną w art. 31 dyrektywy 95/46/WE.
Artykuł 5
Państwa Członkowskie podejmą wszelkie niezbędne środki w celu zapewnienia zgodności z niniejszą decyzją najpóźniej do końca okresu 90 dni upływającego od dnia jej notyfikowania Państwom Członkowskim.
Artykuł 6
Niniejsza decyzja skierowana jest do Państw Członkowskich.
Sporządzono w Brukseli, dnia 26 lipca 2000 r.