KOMISIJOS SPRENDIMAS
2010 m. vasario 5 d.
dėl sutarčių standartinių sąlygų, nustatytų asmens duomenų perdavimui trečiosiose šalyse įsikūrusiems tvarkytojams pagal Europos Parlamento ir Tarybos direktyvos 95/46/EB nuostatas
(pranešta dokumentu Nr. C(2010) 593)
(Tekstas svarbus EEE)
(2010/87/ES)
EUROPOS KOMISIJA,
atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,
atsižvelgdama į 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (1), ypač į jos 26 straipsnio 4 dalį,
pasikonsultavusi su Europos duomenų apsaugos priežiūros pareigūnu,
kadangi:
(1)
Pagal Direktyvą 95/46/EB valstybės narės turi užtikrinti, kad asmens duomenų perdavimas trečiajai šaliai būtų įmanomas tik tuo atveju, jeigu minėta trečioji šalis užtikrina tinkamą duomenų apsaugos lygį ir jei prieš perduodant duomenis atsižvelgiama į valstybių narių teisės aktus, atitinkančius kitas Direktyvos nuostatas.
(2)
Tačiau Direktyvos 95/46/EB 26 straipsnio 2 dalyje nurodoma, kad valstybės narės gali leisti vieną ar daugiau kartų perduoti asmens duomenis trečiosioms šalims, kurios neužtikrina reikiamos apsaugos, su sąlyga, kad bus garantuotos tam tikros apsaugos priemonės. Tokios apsaugos priemonės pirmiausia gali būti nustatytos atitinkamose sutarčių sąlygose.
(3)
Pagal Direktyvą 95/46/EB duomenų apsaugos lygis turi būti vertinamas atsižvelgiant į visas duomenų perdavimo operacijos arba perdavimo operacijų grupės aplinkybes. Pagal tą direktyvą įsteigta darbo grupė asmenų apsaugai tvarkant asmens duomenis paskelbė gaires, padedančias atlikti vertinimą.
(4)
Standartinės sutarčių sąlygos turėtų būti susijusios tik su duomenų apsauga. Todėl duomenų eksportuotojas ir jų importuotojas gali nevaržomi nustatyti bet kokias kitas dalykinius klausimus reglamentuojančias sąlygas, kurios, jų manymu, yra susijusios su sutartimi, jei tik jos neprieštarauja standartinėms sutarčių sąlygoms.
(5)
Šiuo sprendimu neturėtų būti pažeidžiami nacionaliniai įgaliojimai, kuriuos valstybės narės gali suteikti, atsižvelgdamos į nacionalines nuostatas, kuriomis įgyvendinama Direktyvos 95/46/EB 26 straipsnio 2 dalis. Šiuo sprendimu valstybės narės turėtų būti tik įpareigojamos neatsisakyti pripažinti, kad sprendime pateiktomis standartinėmis sutarčių sąlygomis užtikrinamos tinkamos apsaugos priemonės, todėl šis sprendimas neturėtų daryti jokio poveikio kitoms sutarčių sąlygoms.
(6)
2001 m. gruodžio 27 d. Komisijos sprendimas 2002/16/EB dėl sutarčių standartinių sąlygų asmens duomenų perdavimui trečiosiose šalyse įsikūrusiems tvarkytojams pagal Direktyvą 95/46/EB (2) priimtas tam, kad būtų palengvintas asmens duomenų perdavimas iš Europos Sąjungoje įsikūrusio duomenų valdytojo tvarkytojui, įsikūrusiam trečiojoje šalyje, kuri neužtikrina tinkamo apsaugos lygio.
(7)
Po Sprendimo 2002/16/EB priėmimo įgyta daug patirties. Be to, sprendimų dėl sutarčių standartinių sąlygų, susijusių su asmens duomenų perdavimu trečiosioms šalims, įgyvendinimo ataskaitoje (3) pažymėta, kad didėja susidomėjimas sutarčių standartinių sąlygų, susijusių su tarptautiniu asmens duomenų perdavimu trečiosioms šalims, neužtikrinančioms tinkamo apsaugos lygio, naudojimo skatinimu. Be to, suinteresuotieji asmenys pateikė pasiūlymų, kurių tikslas - atnaujinti Sprendimu 2002/16/EB nustatytas standartines sutarčių sąlygas, kad būtų atsižvelgta į pasaulyje greitai augantį duomenų tvarkymo veiklos mastą ir būtų sprendžiami tam tikri klausimai, neįtraukti į tą sprendimą (4).
(8)
Šio sprendimo taikymo sritis turėtų būti apribota nuostata, kad Europos Sąjungoje įsikūręs duomenų valdytojas, naudodamasis sprendime nurodytomis sąlygomis, gali pateikti tinkamas apsaugos priemones, kad asmens duomenis būtų galima perduoti trečiojoje šalyje įsikūrusiam tvarkytojui, kaip numatyta Direktyvos 95/46/EB 26 straipsnio 2 dalyje.
(9)
Šis sprendimas neturėtų būti taikomas Europos Sąjungoje įsikūrusių duomenų valdytojų atliekamam asmens duomenų perdavimui už Europos Sąjungos ribų įsikūrusiems duomenų valdytojams, kurie įeina į 2001 m. birželio 15 d. Komisijos sprendimo 2001/497/EB dėl standartinių sutarčių sąlygų asmens duomenų perdavimui trečiosiose šalyse įsikūrusiems duomenų tvarkytojams taikymo sritį pagal Direktyvą 95/46/EB (5).
(10)
Šiuo sprendimu turėtų būti įgyvendinamas Direktyvos 95/46/EB 17 straipsnio 3 dalyje numatytas įsipareigojimas ir juo neturėtų būti pažeidžiamas pagal tą nuostatą sudarytų sutarčių arba priimtų teisės aktų turinys. Tačiau į juos reikėtų įtraukti kai kurias standartines sutarčių sąlygas, visų pirma - dėl duomenų eksportuotojo įsipareigojimų, kad būtų aiškiau suprantamos nuostatos, kurios gali būti įtrauktos į duomenų valdytojo ir duomenų tvarkytojo sutartį.
(11)
Įgyvendinant šį sutarčių mechanizmą valstybių narių priežiūros institucijoms tenka svarbus vaidmuo - jos užtikrina, kad po perdavimo asmens duomenys būtų tinkamai apsaugoti. Išskirtiniais atvejais, kai duomenų eksportuotojai atsisako ar negali duoti tinkamų nurodymų duomenų importuotojui, ir todėl duomenų subjektams iškyla didelės žalos grėsmė, standartinės sutarčių sąlygos turėtų leisti priežiūros institucijoms atlikti duomenų importuotojų ir pagalbinių duomenų tvarkytojų patikrinimus ir, tam tikrais atvejais, priimti duomenų importuotojus ir pagalbinius duomenų tvarkytojus įpareigojančius sprendimus. Priežiūros institucijoms turėtų būti suteikta teisė sutarčių standartinių sąlygų pagrindu uždrausti ar sustabdyti duomenų perdavimą ar kelis duomenų perdavimus tais išimtiniais atvejais, kai nustatoma, jog pagal sutartį atliekamas duomenų perdavimas gali labai neigiamai paveikti garantijas ir įsipareigojimus, kuriais suteikiama tinkama apsauga duomenų subjektui.
(12)
Standartinėse sutarčių sąlygose turėtų būti numatytos techninės ir organizacinės saugumo priemonės, kurių turėtų imtis duomenų tvarkytojai, įsikūrę reikiamos apsaugos neužtikrinančioje trečiojoje šalyje, kad užtikrintų tinkamą apsaugos lygį atsižvelgiant į tvarkymo ir saugotinų duomenų pobūdžio riziką. Į sutartį šalys turėtų įtraukti nuostatą dėl tų techninių ir organizacinių priemonių, kurios yra būtinos siekiant apsaugoti asmens duomenis nuo atsitiktinio ar neteisėto sunaikinimo ar atsitiktinio praradimo, pakeitimo, nesankcionuoto atskleidimo arba nesankcionuotos prieigos prie jų arba nuo kitų neteisėtų tvarkymo būdų, atsižvelgiant į taikomus duomenų apsaugos teisės aktus, į tų priemonių modernumą ir įgyvendinimo išlaidas.
(13)
Siekiant palengvinti duomenų srautus iš Europos Sąjungos, pageidautina, kad duomenų tvarkytojams, kurie teikia duomenų tvarkymo paslaugas keliems Europos Sąjungoje veikiantiems duomenų valdytojams, būtų leidžiama imtis vienodų techninių ir organizacinių saugumo priemonių, nepriklausomai nuo to, iš kurios valstybės narės perduodami duomenys, ypač tada, kai duomenų importuotojas gauna duomenis tolesniam tvarkymui iš skirtingų Europos Sąjungoje įsikūrusių duomenų eksportuotojo įstaigų. Tokiu atveju turėtų galioti valstybės narės, kurioje įstaiga įsikūrusi, teisė.
(14)
Reikėtų nustatyti būtiniausią informaciją, kurią šalys turėtų nurodyti duomenų perdavimo sutartyje. Valstybės narės turėtų išsaugoti teisę patikslinti, kokią informaciją šalys turi pateikti. Atsižvelgiant į įgytą patirtį turėtų būti atlikta šio sprendimo veikimo peržiūra.
(15)
Duomenų importuotojas turėtų perduotus asmens duomenis tvarkyti tik duomenų eksportuotojo vardu ir laikydamasis jo pateiktų nurodymų bei sutarties sąlygose nustatytų įsipareigojimų. Svarbiausia, duomenų importuotojas neturėtų atskleisti asmens duomenų trečiajai šaliai neturėdamas išankstinio raštiško duomenų eksportuotojo sutikimo. Per visą duomenų tvarkymo paslaugų teikimo laiką duomenų eksportuotojas turėtų duoti duomenų importuotojui nurodymus tvarkyti duomenis laikantis jo instrukcijų, taikytinų duomenų apsaugos teisės aktų ir sutarties sąlygose numatytų įsipareigojimų.
(16)
Sprendimų dėl sutarčių standartinių sąlygų, susijusių su asmens duomenų perdavimu trečiosioms šalims, įgyvendinimo ataskaitoje rekomenduojama parengti tinkamas standartines sutarčių sąlygas dėl tolesnių perdavimų, kuriuos vykdo trečiojoje šalyje įsikūręs duomenų tvarkytojas kitam duomenų tvarkytojui (pagalbiniam tvarkymui), kad būtų atsižvelgta į vis globalesnį pobūdį įgyjančios duomenų tvarkymo veiklos dalykines tendencijas ir praktiką.
(17)
Į šį sprendimą turėtų būti įtrauktos konkrečios standartinės sutarčių sąlygos dėl trečiojoje šalyje įsikūrusio duomenų tvarkytojo (duomenų importuotojo) pagalbinio duomenų tvarkymo perdavimo kitiems trečiosiose šalyse įsikūrusiems (pagalbiniams) duomenų tvarkytojams. Be to, jame turėtų būti nustatytos sąlygos, kurias turėtų atitikti pagalbinis duomenų tvarkymas, kad būtų užtikrinta, jog perduodami asmens duomenys būtų apsaugoti, nors jie ir perduodami toliau pagalbiniam duomenų tvarkytojui.
(18)
Be to, pagalbinį duomenų tvarkymą turėtų sudaryti tik veiksmai, dėl kurių susitarta duomenų eksportuotojo ir duomenų importuotojo sutartyje, į kurią įtraukiamos standartinės sutarčių sąlygos, nustatytos šiame sprendime, ir jis neturėtų apimti kitokių tvarkymo veiksmų arba tikslų, kad būtų laikomasi tikslų apribojimo principo, nustatyto Direktyvoje 95/46/EB. Be to, jeigu pagalbinis duomenų tvarkytojas nesilaiko priimtų duomenų tvarkymo įsipareigojimų pagal šią sutartį, duomenų importuotojas vis vien turėtų vykdyti savo įsipareigojimus duomenų eksportuotojui. Asmens duomenų perdavimas už Europos Sąjungos ribų įsikūrusiems duomenų tvarkytojams neturėtų pažeisti nuostatos, kad visais atvejais duomenų tvarkymo veikla turi būti atliekama pagal taikytinos duomenų apsaugos teisės reikalavimus.
(19)
Standartines sutarčių sąlygas turėtų vykdyti ne tik organizacijos, kurios yra sutarties šalys, bet ir duomenų subjektai, ypač kai sutarties pažeidimu padaroma žala duomenų subjektams.
(20)
Duomenų subjektui turėtų būti suteikta teisė iškelti ieškinį duomenų eksportuotojui, kuris yra perduotų asmens duomenų valdytojas, ir, esant atitinkamoms aplinkybėms, gauti iš jo kompensaciją. Išskirtiniais atvejais, kurių gali pasitaikyti duomenų importuotojui arba bet kuriam su juo susijusiam pagalbiniam duomenų tvarkytojui pažeidus kurį nors iš 3 sąlygos 2 dalyje paminėtų įsipareigojimų, kai duomenų eksportuotojas yra faktiškai dingęs, teisiškai nutraukė savo veiklą arba tapo nemokus, duomenų subjektui taip pat turėtų būti suteikta teisė iškelti ieškinį duomenų importuotojui ir, esant atitinkamoms aplinkybėms, gauti iš jo kompensaciją. Išskirtiniais atvejais duomenų subjektui taip pat turėtų būti suteikta teisė iškelti ieškinį pagalbiniam duomenų tvarkytojui ir, esant atitinkamoms aplinkybėms, gauti iš jo kompensaciją tais atvejais, kai duomenų eksportuotojas ir duomenų importuotojas yra faktiškai dingę, teisiškai nutraukė savo veiklą arba tapo nemokūs. Tokia pagalbinio duomenų tvarkytojo kaip trečiojo asmens atsakomybė turėtų būti apribojama jo paties vykdoma duomenų tvarkymo veikla pagal sutarties sąlygas.
(21)
Kilus duomenų subjekto, kuris remiasi trečiosios šalies naudos gavėjos sąlyga, ir duomenų importuotojo ginčui, kurio nepavyksta išspręsti šalių susitarimu, duomenų importuotojas turėtų sudaryti duomenų subjektui galimybę pasirinkti ginčo sprendimo būdą, t. y. spręsti ginčą per tarpininkus arba bylinėjantis. Duomenų subjekto veiksmingo pasirinkimo galimybė priklausys nuo patikimų ir pripažintų tarpininkavimo sistemų buvimo. Bet kokiu atveju vienu iš variantų galėtų būti valstybės narės, kurioje įsikūręs duomenų eksportuotojas, duomenų apsaugos priežiūros institucijų tarpininkavimas, jei jos teikia tokią paslaugą.
(22)
Sutartį turėtų reglamentuoti valstybės narės, kurioje įsikūręs duomenų eksportuotojas, teisė, kuria turėtų būti suteikiama galimybė trečiajai šaliai naudos gavėjai užtikrinti sutarties vykdymą. Duomenų subjektams gali atstovauti asociacijos ar kitos institucijos, jeigu to pageidauja duomenų subjektai ir tai leidžia nacionalinė teisė. Ta pati teisė turėtų reglamentuoti ir duomenų apsaugos nuostatas, įtrauktas į bet kokią sutartį su pagalbiniu duomenų tvarkytoju dėl pagal sutarties sąlygas duomenų eksportuotojo duomenų importuotojui perduotų asmens duomenų tvarkymo veiksmų perdavimo pagalbiniam tvarkymui.
(23)
Kadangi šis sprendimas taikomas tik tais atvejais, kai trečiojoje šalyje įsikūręs duomenų tvarkytojas sudaro duomenų tvarkymo subrangos sutartį su pagalbiniu duomenų tvarkytoju, įsikūrusiu trečiojoje šalyje, jis neturėtų būti taikomas tais atvejais, kai Europos Sąjungoje įsikūręs tvarkytojas, kuris tvarko asmens duomenis Europos Sąjungoje įsikūrusio duomenų valdytojo vardu, sudaro duomenų tvarkymo subrangos sutartį su pagalbiniu duomenų tvarkytoju, įsikūrusiu trečiojoje šalyje. Tokiais atvejais valstybės narės turi teisę atsižvelgti į tai, ar sudarant sutartį su pagalbiniu duomenų tvarkytoju, įsikūrusiu trečiojoje šalyje, buvo laikomasi šiame sprendime nustatytų standartinių sutarčių sąlygų principų ir apsaugos priemonių, siekiant užtikrinti tinkamą duomenų subjektų, kurių asmens duomenys perduodami pagalbiniam duomenų tvarkymui, teisių apsaugą.
(24)
Darbo grupė asmenų apsaugai tvarkant asmens duomenis, sudaryta pagal Direktyvos 95/46/EB 29 straipsnį, pateikė savo nuomonę dėl apsaugos, suteikiamos pagal standartines sutarčių sąlygas, lygio, kuri pridedama prie šio sprendimo kaip priedas. Į šią nuomonę buvo atsižvelgta rengiant šį sprendimą.
(25)
Sprendimas 2002/16/EB turėtų būti panaikintas.
(26)
Šiame sprendime numatytos priemonės atitinka pagal Direktyvos 95/46/EB 31 straipsnį įsteigto komiteto nuomonę,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 straipsnis
Priede pateiktos standartinės sutarčių sąlygos laikomos užtikrinančiomis tinkamas apsaugos priemones pagal Direktyvos 95/46/EB 26 straipsnio 2 dalies reikalavimus, ginant privatumo teisę ir pagrindines asmens teises ir laisves, susijusias su atitinkamų teisių įgyvendinimu.
2 straipsnis
Šiame sprendime kalbama tik apie apsaugos, kurią užtikrina priede pateiktos standartinės sutarčių sąlygos dėl asmens duomenų perdavimo duomenų tvarkytojams, tinkamumą. Jis netaikomas kitoms su asmens duomenų tvarkymu valstybėse narėse susijusioms nacionalinėms nuostatoms, kuriomis įgyvendinama Direktyvą 95/46/EB.
Šis sprendimas taikomas Europos Sąjungoje įsikūrusių duomenų valdytojų atliekamam asmens duomenų perdavimui gavėjams, kurie yra įsikūrę už Europos Sąjungos teritorijos ribų ir veikia tik kaip duomenų tvarkytojai.
3 straipsnis
Šio sprendimo tikslais taikomos šios apibrėžtys:
a) „ypatingos duomenų kategorijos“- Direktyvos 95/46/EB 8 straipsnyje minimi duomenys;
b) „priežiūros institucija“- Direktyvos 95/46/EB 28 straipsnyje nurodyta institucija;
c) „duomenų eksportuotojas“- duomenų valdytojas, kuris perduoda asmens duomenis;
d) „duomenų importuotojas“- trečiojoje šalyje įsikūręs duomenų tvarkytojas, sutinkantis iš duomenų eksportuotojo gauti asmens duomenis ir gautus duomenis tvarkyti duomenų eksportuotojo vardu, laikydamasis jo duotų nurodymų bei šio sprendimo sąlygų, ir nepriklausantis trečiosios šalies tinkamos apsaugos užtikrinimo sistemai, kaip nustatyta Direktyvos 95/46/EB 25 straipsnio 1 dalyje;
e) „pagalbinis duomenų tvarkytojas“- bet koks tvarkytojas, kurį pasamdo duomenų importuotojas arba bet koks kitas duomenų importuotojo pagalbinis duomenų tvarkytojas ir kuris sutinka iš duomenų importuotojo arba bet kokio kito duomenų importuotojo pagalbinio duomenų tvarkytojo gauti asmens duomenis, skirtus tik tvarkymui, kuris atliekamas duomenų eksportuotojo vardu perdavus duomenis pagal duomenų eksportuotojo nurodymus, priede nustatytas standartines sutarčių sąlygas ir rašytinę pagalbinio duomenų tvarkymo sutartį;
f) „taikytina duomenų apsaugos teisė“- teisės aktai, ginantys pagrindines asmenų teises ir laisves (ypač jų teisę į privatų gyvenimą) tvarkant asmens duomenis, kurių turi laikytis duomenų valdytojas toje valstybėje narėje, kurioje įsikūręs duomenų eksportuotojas;
g) „techninės ir organizacinės saugumo priemonės“- priemonės, kurių paskirtis - saugoti asmens duomenis nuo atsitiktinio ar neteisėto sunaikinimo arba nuo atsitiktinio praradimo, pakeitimo, nesankcionuoto atskleidimo arba nesankcionuotos prieigos prie jų, ypač tais atvejais, kai tvarkymo proceso metu duomenys perduodami tinklu, taip pat nuo visų kitų neteisėtų tvarkymo formų.
4 straipsnis
1. Nepažeidžiant valstybių narių kompetentingų institucijų teisių imtis veiksmų, kad būtų užtikrintas nacionalinių nuostatų, priimtų įgyvendinant Direktyvos 95/46/EB II, III, V ir VI skirsnių reikalavimus, vykdymas, jos gali pasinaudoti joms suteiktomis teisėmis uždrausti ar sustabdyti duomenų srautus į trečiąsias šalis, kad apsaugotų asmenis, kurių asmens duomenys yra tvarkomi, jeigu:
a)
nustatoma, kad teisės aktu, kurio turi laikytis duomenų importuotojas arba pagalbinis duomenų tvarkytojas, jam keliami reikalavimai verčia nukrypti nuo taikomos duomenų apsaugos teisės ir tie reikalavimai viršija Direktyvos 95/46/EB 13 straipsnyje nustatytus apribojimus, reikalingus demokratinėje visuomenėje, jei tie reikalavimai gali ypač neigiamai paveikti taikytiname duomenų apsaugos teisėje ar standartinėse sutarčių sąlygose nustatytas garantijas;
b)
kompetentinga institucija nustato, kad duomenų importuotojas arba pagalbinis duomenų tvarkytojas nevykdo priede pateiktų standartinių sutarčių sąlygų; arba
c)
yra reali tikimybė, kad priede pateiktos standartinės sutarčių sąlygos yra nevykdomos arba bus nevykdomos ir kad toliau perduodant duomenis duomenų subjektams iškils didelės žalos grėsmė.
2. Pagal 1 dalies sąlygas paskelbtas draudimas ar sustabdymas turi būti panaikintas iškart, kai tik nebelieka sustabdymo ar draudimo priežasčių.
3. Valstybės narės, priėmusios priemones pagal 1 ir 2 dalių sąlygas, privalo neatidėliodamos apie jas pranešti Komisijai, o Komisija tą informaciją perduos kitoms valstybėms narėms.
5 straipsnis
Praėjus trejiems metams po šio sprendimo priėmimo, Komisija, remdamasi turima informacija, įvertina, kaip vykdomas šis sprendimas. Išvadų ataskaitą ji pateikia pagal Direktyvos 95/46/EB 31 straipsnio reikalavimus įsteigtam Komitetui. Joje pateikiami visi įrodymai, kurie galėtų turėti įtakos priede pateiktų sutarčių standartinių sąlygų tinkamumo įvertinimui, ir bet kokie įrodymai, patvirtinantys, kad taikant šį sprendimą kas nors yra diskriminuojamas.
6 straipsnis
Šis įgyvendinimo sprendimas taikomas nuo 2010 m. gegužės 15 d.
7 straipsnis
1. Sprendimas 2002/16/EB panaikinamas nuo 2010 m. gegužės 15 d.
2. Duomenų eksportuotojų ir duomenų importuotojų sutartys pagal Sprendimą 2002/16/EB, sudarytos iki 2010 m. gegužės 15 d., lieka galioti su sąlyga, kad duomenų perdavimas ir duomenų tvarkymo veiksmai, kurie yra sutarties objektas, išliks nepakitę ir šalys ir toliau siųs viena kitai į šio sprendimo taikymo sritį patenkančius asmens duomenis. Jeigu sutarties šalys nusprendžia padaryti su šiuo klausimu susijusių pakeitimų arba sudaryti subrangos sutartį dėl duomenų tvarkymo veiksmų, kurie yra sutarties objektas, jos turi sudaryti naują sutartį, kuri atitinka priede nustatytas standartines sutarčių sąlygas.
8 straipsnis
Šis sprendimas skirtas valstybėms narėms.
Priimta Briuselyje 2010 m. vasario 5 d.