Komisijos sprendimas
2000 m. liepos 26 d.
dėl Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl "saugaus uosto" privatumo principų teikiamos apsaugos pakankamumo ir su tuo susijusių JAV komercijos departamento pateiktų "Dažnai užduodamų klausimų"
(pranešta dokumentu Nr. C(2000) 2441)
(tekstas svarbus EEE)
(2000/520/EB)
EUROPOS BENDRIJŲ KOMISIJA,
atsižvelgdama į Europos bendrijos steigimo sutartį,
atsižvelgdama į 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo [1], ypač į jos 25 straipsnio 6 dalį,
kadangi:
(1) Pagal Direktyvą 95/46/EB valstybės narės privalo imtis priemonių, kad asmens duomenys būtų perduodami trečiajai šaliai tik tuomet, jei ta trečioji šalis užtikrina pakankamą apsaugos lygį ir prieš perduodant duomenis atsižvelgiama į tos valstybės narės įstatymus, įgyvendinančius kitas tos direktyvos nuostatas.
(2) Komisija gali nustatyti, kad trečioji šalis užtikrina pakankamą apsaugos lygį. Tuomet asmens duomenys gali būti perduodami iš valstybių narių nereikalaujant papildomų garantijų.
(3) Pagal Direktyvą 95/46/EB duomenų apsaugos lygį reikia įvertinti atsižvelgiant į visas su duomenų perdavimo operacija arba duomenų perdavimo operacijų rinkiniu susijusias aplinkybes ir esamas sąlygas. Pagal šią direktyvą įkurta Darbo grupė asmenų apsaugai tvarkant asmens duomenis [2] išleido vadovą tokiems įvertinimams [3].
(4) Turint omenyje įvairius požiūrius į duomenų apsaugą trečiosiose šalyse, pakankamumas turėtų būti įvertinamas ir kiekvienas sprendimas, priimtas vadovaujantis Direktyvos 95/46/EB 25 straipsnio 6 dalimi, turėtų būti įgyvendinamas taip, kad savavališkai ar nepagrįstai nediskriminuotų trečiųjų šalių tais atvejais, kai vyrauja panašios sąlygos, nei taptų paslėpta verslo kliūtimi, atsižvelgiant į dabartinius Bendrijos tarptautinius įsipareigojimus.
(5) Šiuo sprendimu pripažįstamas pakankamas duomenų perdavimo iš Bendrijos į Jungtines Valstijas apsaugos lygis yra pasiekiamas, jei organizacijos laikosi iš valstybės narės į Jungtines Valstijas perduodamų asmens duomenų apsaugos "saugaus uosto" privatumo principų (toliau vadinamų "Principais") ir "Dažnai užduodamų klausimų" (toliau vadinamų "FAQ"), nurodančių, kaip laikytis 2000 m. liepos 21 d. Jungtinių Valstijų Vyriausybės išleistų Principų. Be to, organizacijos turi viešai paskelbti savo privatumo taisykles ir joms turi būti taikoma Federalinės prekybos komisijos (FPK) jurisdikcija pagal Federalinės prekybos komisijos akto 5 skirsnį, kuriuo draudžiami komercijoje galimi naudoti ar jai įtakos turėti nesąžiningi ar apgaulingi veiksmai ar metodai, arba kitos įstatyminės institucijos jurisdikcija, kuri veiksmingai užtikrintų, kad būtų laikomasi pagal FAQ įgyvendinamų Principų.
(6) Šis sprendimas netaikomas sektoriams ir (arba) duomenų tvarkymo veiksmams, kurie nepriklauso nė vienos šio sprendimo VII priede išvardytų Jungtinių Valstijų Vyriausybinių institucijų jurisdikcijai.
(7) Tam, kad būtų tinkamai vykdomas šis sprendimas, būtina, kad Principų ir FAQ besilaikančias organizacijas žinotų suinteresuotos šalys, pvz., duomenų subjektai, duomenų eksportuotojai ir duomenų apsaugos institucijos. Tuo tikslu JAV komercijos departamentas ar jo įgaliotas asmuo turi įsipareigoti naudoti ir pateikti visuomenei sąrašą organizacijų, kurios patvirtina besilaikančios pagal FAQ nustatytų Principų ir kurios priklauso bent vienos šio sprendimo VII priede išvardytų Vyriausybinių institucijų jurisdikcijai.
(8) Siekiant skaidrumo ir norint apsaugoti valstybių narių kompetentingų institucijų gebėjimą užtikrinti asmenų apsaugą tvarkant jų asmens duomenis, šiame sprendime būtina tiksliai apibrėžti išskirtines aplinkybes, kuriomis būtų pateisinamas tam tikrų ypatingų duomenų srautų perdavimo sulaikymas, nepaisant to, kad yra pakankama apsauga.
(9) Principais ir FAQ sukurtą "saugų uostą" gali reikėti patikslinti atsižvelgiant į patirtį, privatumo apsaugos pažangą, kai dėl technologijų tampa vis lengviau perduoti bei tvarkyti asmens duomenis, ir į vykdymo priežiūros institucijų įgyvendinimo ataskaitas.
(10) Pagal Direktyvos 95/46/EB 29 straipsnio nuostatas įkurta Darbo grupė asmenų apsaugai tvarkant asmens duomenis pareiškė savo nuomonę dėl apsaugos lygio, kurį suteikia "saugaus uosto principai" Jungtinėse Valstijose, į kurią buvo atsižvelgta rengiat šį sprendimą [4].
(11) Šiame sprendime numatytos priemonės atitinka pagal Direktyvos 95/46/EEB 31 straipsnio nuostatas įkurto komiteto nuomonę.
(12) Remdamasis 2000 m. liepos 5 d. Tarybos sprendimu 1999/468/EB, ypač jo 8 straipsniu, Europos Parlamentas priėmė rezoliuciją A5-0177/2000 dėl Komisijos sprendimo dėl "saugaus uosto privatumo principų" teikiamos apsaugos ir JAV komercijos departamento pateiktų su jais susijusių dažnai užduodamų klausimų [5] projekto. Komisija dar kartą išnagrinėjo sprendimo projektą, atsižvelgdama į tą rezoliuciją, ir padarė išvadą, kad nors Europos Parlamentas pareiškė nuomonę, kad "saugaus uosto principams" ir su jais susijusiems DUK reikalingi tam tikri patobulinimai, kad būtų galima spręsti, kad jie suteikia "pakankamą apsaugą", Parlamentas nenusprendė, kad Komisija viršytų savo įgaliojimus priimdama šį sprendimą,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 straipsnis
1. Direktyvos 95/46/EB 25 straipsnio 2 dalyje numatytais tikslais, visai tos direktyvos taikymo srityje numatytai veiklai, šio sprendimo I priede pateikti "saugaus uosto privatumo principai" (toliau vadinami "Principais") taikomi laikantis šio sprendimo II priede pateiktų 2000 m. liepos 21 d. JAV komercijos departamento išleistų "Dažnai užduodamų klausimų" (toliau vadinamų "FAQ") nurodymų ir laikomi užtikrinančiais pakankamą Jungtinėse Valstijose įsikūrusioms organizacijoms iš Bendrijos perduodamų asmens duomenų apsaugos lygį, atsižvelgiant į tokius JAV komercijos departamento išleistus dokumentus:
a) "saugaus uosto" reikalavimų vykdymo priežiūros apžvalgą, pateiktą III priede;
b) memorandumą dėl JAV teisės aktuose nustatytų nuostolių už privatumo ir aiškių įgaliojimų pažeidimus atlyginimą, pateiktą IV priede;
c) Federalinės prekybos komisijos laišką, pateiktą V priede;
d) JAV transporto departamento laišką, pateiktą VI priede.
2. Vykdant kiekvieną duomenų perdavimo operaciją, būtina įvykdyti tokias sąlygas:
a) duomenis gaunanti organizacija vienareikšmiai ir viešai turi paskelbti apie savo įsipareigojimą laikytis pagal FAQ vykdomų Principų; ir
b) ta organizacija turi priklausyti vienai iš šio sprendimo VII priede išvardytų Jungtinių Valstijų Vyriausybinių institucijų, įgaliotų tirti skundus, ginti nuo nesąžiningų ar apgaulingų veiksmų ir atlyginti žalą asmenims, nesvarbu, kokioje šalyje jie gyvena, ar kokia jų tautybė, patirtą dėl pagal FAQ vykdomų Principų nesilaikymo, jurisdikcijai.
3. Šio straipsnio 2 dalyje nustatytų sąlygų laikomasi, jei organizacija pasiskelbia besilaikanti pagal FAQ vykdomų Principų, nuo dienos, kurią ta organizacija praneša JAV komercijos departamentui (ar jo įgaliotam asmeniui) apie viešą šio straipsnio 2 dalies a punkte nurodyto įsipareigojimo paskelbimą ir nurodo šio straipsnio 2 dalies b punkte nurodytos institucijos tapatybę.
2 straipsnis
Šis sprendimas yra susijęs tik su Jungtinėse Valstijose pagal FAQ vykdomų Principų teikiamos apsaugos pakankamumu tam, kad būtų laikomasi Direktyvos 95/46/EB 25 straipsnio 1 dalies reikalavimų ir neturi įtakos kitų su asmens duomenų tvarkymu valstybėse narėse susijusių tos direktyvos nuostatų, ypač jos 4 straipsnio, taikymui.
3 straipsnis
1. Nepažeidžiant valstybių narių kompetentingų institucijų teisių imtis veiksmų, kad būtų laikomasi nacionalinių teisės nuostatų, priimtų pagal Direktyvos 95/46/EB, išskyrus 25 straipsnį, nuostatas, tos institucijos gali pasinaudoti teise sustabdyti duomenų teikimą organizacijai, kuri pasiskelbė besilaikanti pagal FAQ vykdomų Principų, taip apsaugant asmenis, kad jų duomenys nebūtų tvarkomi, jei:
a) šio sprendimo VII priede nurodyta Jungtinių Valstijų Vyriausybinė institucija arba šio sprendimo I priede nustatyto Vykdymo priežiūros principo a punkte numatytas nepriklausomas regreso teisės mechanizmas nustato, kad ta organizacija pažeidžia pagal FAQ vykdomus Principus; arba
b) yra didelė tikimybė, kad Principai yra pažeisti; galima pagrįstai manyti, kad naudojant atitinkamą vykdymo priežiūros mechanizmą nesiimama ar nebus imtasi pakankamų ir savalaikių priemonių išspręsti iškilusią problemą; tęsiant duomenų perdavimą susidarytų neišvengiamas pavojus rimtai pakenkti duomenų subjektams; valstybės narės kompetentingos institucijos ėmėsi pagrįstų pastangų tokiomis aplinkybėmis pranešti apie tai organizacijai ir suteikti jai galimybę nurodyti priežastis.
Duomenų teikimo sustabdymas nutraukiamas, kai tik yra užtikrinama, kad laikomasi pagal FAQ vykdomų Principų ir apie tai pranešama atitinkamoms kompetentingoms institucijoms Bendrijoje.
2. Valstybės narės nedelsdamos praneša Komisijai, kai imamasi priemonių pagal šio straipsnio 1 dalies nuostatas.
3. Valstybės narės ir Komisija taip pat informuoja viena kitą apie atvejus, kai atsakingų už pagal FAQ vykdomų Principų laikymąsi institucijų Jungtinėse Valstijose veiksmai neužtikrina tokio laikymosi.
4. Jei pagal šio straipsnio 1, 2 ir 3 dalių nuostatas sukaupta informacija suteikia įrodymus, kad bet kuri atsakinga už pagal FAQ vykdomų Principų laikymąsi institucija Jungtinėse Valstijose tinkamai neatlieka savo prievolių, Komisija informuoja JAV komercijos departamentą ir, jei būtina, pagal Direktyvos 95/46/EB 31 straipsnyje nustatytą tvarką pateikia numatomų šio sprendimo atšaukimo, sustabdymo ar jos taikymo srities apribojimo priemonių projektą.
4 straipsnis
1. Šis sprendimas gali būti bet kada pakeistas atsižvelgiant į jo vykdymo patirtį ir (arba) tuo atveju, jei JAV teisės aktais būtų reikalaujama didesnio už Principų ir FAQ suteikiamą apsaugos lygį.
Praėjus trejiems metams po sprendimo pranešimo valstybėms narėms, Komisija įvertina kaip šis sprendimas vykdomas ir remdamasi turima informacija praneša susijusias išvadas pagal Direktyvos 95/46/EB 31 straipsnį įsteigtam Komitetui, įskaitant visus įrodymus, kurie gali turėti įtakos vertinant, ar šio sprendimo 1 straipsnio nuostatos suteikia pakankamą apsaugą, kaip numato Direktyvos 95/46/EB 25 straipsnis, ir bet kokius galimus įrodymus, kad taikant šį sprendimą kas nors yra diskriminuojamas.
2. Jei būtina, Komisija pateikia numatomų priemonių projektą laikydamasi Direktyvos 95/46/EB 31 straipsnyje nustatytos tvarkos.
5 straipsnis
Valstybės narės ne vėliau kaip per 90 dienų po pranešimo pateikimo valstybėms narėms imasi visų priemonių, būtinų, kad būtų laikomasi šio sprendimo.
6 straipsnis
Šis sprendimas skirtas valstybėms narėms.
Priimta Briuselyje, 2000 m. liepos 26 d.