32000D0520
L 215/7
JURNALUL OFÍCIAL AL UNIUNII EUROPENE
DECIZIA COMISIEI
din 26 iulie 2000
în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind caracterul adecvat al protecției oferite de principiile „sferei de siguranță” privind protecția vieții private și întrebările de bază aferente, publicate de Departamentul Comerțului al S.U.A.
[notificată cu numărul C(2000) 2441]
(Text cu relevanță pentru SEE)
(2000/520/CE)
COMISIA COMUNITĂȚILOR EUROPENE,
având în vedere Tratatul de instituire a Comunității Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1) și, în special, articolul 25 alineatul (6) al acesteia,
întrucât:
(1)
În temeiul Directivei 95/46/CE, statelor membre li se cere să ia măsuri astfel încât transferul datelor cu caracter personal către o țară terță să poată avea loc numai în cazul în care țara terță în cauză asigură un nivel adecvat de protecție și în cazul în care legile statelor membre care pun în aplicare alte dispoziții ale directivei sunt respectate înainte de transfer.
(2)
Comisia poate constata că o țară terță asigură un nivel adecvat de protecție. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără a mai fi necesare garanții suplimentare.
(3)
În temeiul Directivei 95/46/CE, nivelul de protecție a datelor trebuie evaluat având în vedere toate circumstanțele în care se desfășoară o operațiune de transfer de date sau un set de operațiuni de transfer de date și ținând seama de condițiile date. Grupul de lucru privind protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, înființat în temeiul directivei menționate anterior (2), a emis indicații referitoare la efectuarea acestor evaluări (3).
(4)
Ținând seama de diferitele abordări ale protecției datelor în țările terțe, ar trebui efectuată evaluarea caracterului adecvat al acestei protecții, iar orice decizie întemeiată pe articolul 25 alineatul (6) din Directiva 95/46/CE ar trebui aplicată astfel încât să nu producă discriminări arbitrare sau nejustificate împotriva țărilor terțe sau între acestea acolo unde există condiții similare și nici să nu constituie o barieră ascunsă în calea comerțului, ținând seama de angajamentele internaționale actuale ale Comunității.
(5)
Nivelul adecvat de protecție pentru transferul de date din Comunitate către Statele Unite ale Americii, recunoscut prin prezenta decizie, ar trebui obținut în cazul în care organizațiile respectă principiile „sferei de siguranță” privind protecția vieții private pentru protecția datelor cu caracter personal transferate dintr-un stat membru în Statele Unite ale Americii (denumite în continuare „principiile”) și întrebările de bază, „frequently asked questions” (denumite în continuare „FAQ”), care oferă indicații pentru punerea în aplicare a principiilor publicate de Guvernul Statelor Unite ale Americii la 21 iulie 2000. Mai mult, organizațiile ar trebui să-și facă publice politicile de confidențialitate și să se supună jurisdicției Comisiei Federale pentru Comerț (Comisia Federală pentru Comerț - FTC) în temeiul articolului 5 din Federal Trade Commission Act care interzice actele sau practicile neloiale sau frauduloase în comerț sau care afectează comerțul, sau altui organism oficial care asigură punerea în aplicare cu eficacitate a principiilor în conformitate cu FAQ.
(6)
Sectoarele și/sau prelucrarea de date care nu intră sub jurisdicția nici unuia dintre organismele administrative ale Statelor Unite ale Americii enumerate în anexa VII la prezenta decizie ar trebui să nu intre în domeniul de aplicare al prezentei decizii.
(7)
Pentru a asigura buna aplicare a prezentei decizii, este necesar ca organizațiile care aderă la principii și la FAQ să poată fi recunoscute de către părțile interesate, ca de exemplu persoanele vizate, exportatorii de date și autoritățile însărcinate cu protecția datelor. În acest scop, Departamentul Comerțului al Statelor Unite ale Americii sau reprezentantul acestuia ar trebui să își ia angajamentul de a păstra și a face publică o listă a organizațiilor care își declară adeziunea la principiile puse în aplicare în conformitate cu FAQ și care intră sub jurisdicția a cel puțin unuia dintre organismele administrative enumerate în anexa VII la prezenta decizie.
(8)
În scopul transparenței și pentru a permite autorităților competente din statele membre să asigure protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, este necesar ca în prezenta decizie să se indice circumstanțele excepționale în care suspendarea anumitor fluxuri de date ar fi justificată în ciuda constatării unei protecții adecvate.
(9)
Ar putea fi necesar ca „sfera de siguranță” creată de principii și de FAQ să fie revizuită în lumina experienței, a evoluției protecției vieții private în circumstanțe în care tehnologia facilitează din ce în ce mai mult transferul și prelucrarea datelor cu caracter personal și în lumina rapoartelor privind punerea în aplicare elaborate de autoritățile competente.
(10)
Grupul de lucru privind protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal înființat în temeiul articolului 29 din Directiva 95/46/CE a emis avize privind nivelul de protecție pe care îl asigură principiile „sferei de siguranță” în Statele Unite ale Americii, avize luate în considerare la elaborarea prezentei decizii (4).
(11)
Măsurile prevăzute de prezenta decizie sunt conforme cu avizul comitetului constituit în temeiul articolului 31 din Directiva 95/46/CE.
(12)
În temeiul Deciziei 1999/468/CE a Consiliului și, în special, al articolului 8 din aceasta, la 5 iulie 2000 Parlamentul European a adoptat Rezoluția A5-0177/2000 cu privire la proiectul de decizie a Comisiei privind caracterul adecvat al protecției oferite de principiile „sferei de siguranță” privind protecția vieții private și întrebările de bază aferente, publicate de Departamentul Comerțului al Statelor Unite ale Americii (5). Comisia a reexaminat proiectul de decizie în lumina acelei rezoluții și a concluzionat că, deși Parlamentul European și-a exprimat opinia că sunt necesare anumite îmbunătățiri ale principiilor „sferei de siguranță” și întrebărilor de bază aferente înainte de a putea considera că oferă o „protecție adecvată”, acesta nu a stabilit că s-ar depăși competențele Comisiei în cazul în care aceasta adoptă decizia,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
(1) În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, pentru toate activitățile care intră în domeniul de aplicare al acelei directive, principiile „sferei de siguranță” privind protecția vieții private (denumite în continuare „principiile”), cuprinse în anexa I la prezenta decizie, puse în aplicare în conformitate cu orientările furnizate de întrebările de bază („frequently asked questions” - denumite în continuare „FAQ”) publicate de Departamentul Comerțului al Statelor Unite ale Americii la 21 iulie 2000, cuprinse în anexa II la prezenta decizie, asigură un nivel adecvat de protecție a datelor personale transferate din Comunitate către organizații stabilite în Statele Unite ale Americii, ținând seama de următoarele documente emise de Departamentul Comerțului al Statelor Unite ale Americii:
(a)
studiul privind punerea în aplicare a principiilor „sferei de siguranță” menționat la anexa III;
(b)
un memorandum privind despăgubirile pentru încălcarea vieții private și autorizațiile exprese prevăzute de legislația Statelor Unite ale Americii, menționat la anexa IV;
(c)
o scrisoare din partea Comisiei Federale pentru Comerț, menționată la anexa V;
(d)
o scrisoare din partea Departamentului Transporturilor al Statelor Unite ale Americii, menționată la anexa VI.
(2) În ceea ce privește fiecare transfer de date, trebuie respectate următoarele condiții:
(a)
organizația care primește datele își declară în mod public și clar angajamentul de a respecta principiile puse în aplicare în conformitate cu FAQ și
(b)
organizația intră sub jurisdicția unui organism administrativ din Statele Unite ale Americii menționat la anexa VII la prezenta decizie care este împuternicit să ancheteze plângerile și să obțină măsuri de reparare împotriva practicilor neloiale sau frauduloase precum și despăgubirea persoanelor în cauză, indiferent de țara de reședință sau de cetățenia acestora, în cazul nerespectării principiilor puse în aplicare în conformitate cu FAQ.
(3) Se consideră că sunt îndeplinite condițiile prevăzute la alineatul (2) de fiecare organizație care își declară adeziunea la principiile puse în aplicare în conformitate cu FAQ, de la data la care organizația notifică Departamentului Comerțului al Statelor Unite ale Americii (sau reprezentantului acestuia) declararea publică a angajamentului menționat la alineatul (2) litera (a) și identitatea organismului administrativ menționat la alineatul (2) litera (b).
Articolul 2
Prezenta decizie se referă numai la caracterul adecvat al protecției oferite în Statele Unite ale Americii de principiile puse în aplicare în conformitate cu FAQ în vederea respectării cerințelor prevăzute la articolul 25 alineatul (1) din Directiva 95/46/CE și nu afectează aplicarea altor dispoziții din directiva menționată care privesc prelucrarea de date cu caracter personal în statele membre, în special articolul 4.
Articolul 3
(1) Fără a aduce atingere competențelor lor de a lua măsuri în vederea asigurării respectării dispozițiilor naționale adoptate în temeiul unor dispoziții altele decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita competențele de care dispun pentru a suspenda fluxurile de date către o organizație care și-a declarat adeziunea la principiile puse în aplicare în conformitate cu FAQ în vederea protejării persoanelor cu privire la prelucrarea datelor cu caracter personal ale acestora în cazurile în care:
(a)
organismul administrativ din Statele Unite ale Americii menționat la anexa VII la prezenta decizie sau o instanță de recurs independentă în sensul literei (a) din principiul de punere în aplicare menționat la anexa I la prezenta decizie a constatat că organizația încalcă principiile puse în aplicare în conformitate cu FAQ sau
(b)
este foarte probabil ca principiile să fie încălcate; există motive serioase pentru a crede că organismul de aplicare în cauză nu ia sau nu va lua din timp măsuri adecvate pentru a soluționa cauza respectivă; continuarea transferului ar crea pentru persoanele în cauză un risc iminent de a suferi prejudicii grave; iar autoritățile competente din statul membru au depus eforturi rezonabile, ținând seama de circumstanțe, de a avertiza organizația și a îi oferi posibilitatea de a răspunde.
Suspendarea încetează de îndată ce se asigură respectarea principiilor puse în aplicare în conformitate cu FAQ, iar autoritățile competente în cauză din Comunitate sunt informate în consecință.
(2) Statele membre informează fără întârziere Comisia atunci când sunt adoptate măsuri în temeiul alineatului (1).
(3) De asemenea, statele membre și Comisia se informează reciproc asupra cazurilor în care măsurile luate de organismele însărcinate cu asigurarea respectării principiilor puse în aplicare în conformitate cu FAQ în Statele Unite ale Americii nu asigură această respectare.
(4) În cazul în care informațiile strânse în aplicarea alineatelor (1), (2) și (3) demonstrează că un organism însărcinat cu asigurarea respectării principiilor puse în aplicare în conformitate cu FAQ în Statele Unite ale Americii nu își îndeplinește eficient rolul, Comisia informează Departamentul Comerțului al Statelor Unite ale Americii și, în cazul în care este necesar, prezintă un proiect de măsuri în conformitate cu procedura menționată la articolul 31 din Directiva 95/46/CE în vederea abrogării sau suspendării prezentei decizii ori a limitării domeniului de aplicare al acesteia.
Articolul 4
(1) Prezenta decizie poate fi oricând adaptată în lumina experienței dobândite în timpul punerii ei în aplicare și/sau în cazul în care nivelul de protecție oferit de principii și FAQ este depășit de exigențele legislației SUA.
În orice caz, Comisia evaluează punerea în aplicare a prezentei decizii pe baza informațiilor disponibile la trei ani de la notificarea ei statelor membre și raportează comitetului înființat în temeiul articolului 31 din Directiva 95/46/CE orice constatare pertinentă, inclusiv orice dovadă care ar putea afecta evaluarea conform căreia dispozițiile de la articolul 1 din prezenta decizie asigură un nivel adecvat de protecție în sensul articolului 25 din Directiva 95/46/CE și orice dovadă care indică faptul că prezenta decizie este aplicată în mod discriminatoriu.
(2) În cazul în care este necesar, Comisia prezintă un proiect de măsuri în conformitate cu procedura menționată la articolul 31 din Directiva 95/46/CE.
Articolul 5
Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii în termen de 90 de zile de la data notificării acesteia către statele membre.
Articolul 6
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 26 iulie 2000.