Rozhodnutie Komisie
z 26. júla 2000
v súlade so smernicou Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej zásadami "bezpečného prístavu" a súvisiacimi často kladenými otázkami vydanými Ministerstvom obchodu USA
(oznámené pod číslom dokumentu C(2000) 2441)
(Text s významom pre EHP)
(2000/520/ES)
KOMISIA EURÓPSKYCH SPOLOČENSTIEV,
so zreteľom na Zmluvu o založení Európskeho spoločenstva,
so zreteľom na smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov [1], najmä na jej článok 25 ods. 6,
keďže:
(1) Podľa smernice 95/46/ES sa od členských štátov vyžaduje, aby zabezpečili, že sa prenos osobných údajov do tretej krajiny môže vykonať len vtedy, ak príslušná tretia krajina zaručuje primeranú úroveň ochrany, a ak sa pred uskutočnením prenosu dodržiavajú právne predpisy príslušného členského štátu vykonávajúce ostatné ustanovenia uvedenej smernice.
(2) Komisia môže prísť k záveru, že určitá tretia krajina zaručuje primeranú úroveň ochrany. V takom prípade je prenos osobných údajov z členských štátov možný bez toho, že by boli potrebné ďalšie záruky.
(3) Podľa smernice 95/46/ES by sa mala úroveň ochrany údajov posudzovať so zreteľom na všetky okolnosti sprevádzajúce určitú operáciu prenosu údajov alebo určitý súbor operácií prenosu údajov a vo vzťahu k príslušných podmienkam. Pracovná skupina pre ochranu jednotlivcov v súvislosti so spracovaním osobných údajov zriadená podľa uvedenej smernice [2] vydala usmernenie týkajúce sa postupu pri takomto posudzovaní [3].
(4) Vzhľadom na rôzne prístupy k ochrane údajov v tretích krajinách by sa posudzovanie primeranosti úrovne ochrany a akékoľvek rozhodnutie založené na článku 25 ods. 6 smernice 95/46/ES mali vykonávať takým spôsobom, ktorý nie je svojvoľne a neopodstatnene diskriminačný voči tretím krajinám alebo vo vzťahu k jednotlivým tretím krajinám, v ktorých existujú podobné podmienky, a ktorý tiež nepredstavuje skrytú prekážku pre obchodovanie, pričom je potrebné brať do úvahy existujúce medzinárodné záväzky spoločenstva.
(5) Primeraná úroveň ochrany prenosu údajov zo spoločenstva do Spojených štátov uznávaná podľa tohto rozhodnutia by mala byť dosiahnutá vtedy, ak organizácie spĺňajú zásady "bezpečného prístavu" vo vzťahu k ochrane osobných údajov prenášaných z určitého členského štátu do Spojených štátov (ďalej len "zásady") a často kladené otázky ("frequently asked questions", ďalej len "FAQ") poskytujúce usmernenie pre vykonávanie zásad, ktoré vydala vláda Spojených štátov 21. júla 2000. Okrem toho by organizácie mali zverejniť svoje príslušné stratégie v oblasti ochrany súkromia a mali by podliehať jurisdikcii Federálnej obchodnej komisie (FTC - Federal Trade Commission) podľa oddielu 5 zákona o Federálnej obchodnej komisii, ktorý zakazuje nekalé alebo klamlivé konanie alebo praktiky v rámci obchodovania alebo ovplyvňujúce obchodovanie, alebo by mali podliehať inému štatutárnemu orgánu, ktorý účinne zabezpečí súlad so zásadami vykonávanými v súlade s FAQ.
(6) Sektory a/alebo spracúvanie údajov, ktoré nepodliehajú právomoci žiadneho z vládnych orgánov v Spojených štátoch uvedených v prílohe VII k tomuto rozhodnutiu, nespadajú do rámca pôsobnosti tohto rozhodnutia.
(7) V záujme zabezpečenia náležitého uplatňovania tohto rozhodnutia je potrebné, aby zainteresované strany ako napríklad dotknuté osoby, vývozcovia údajov a orgány na ochranu údajov vedeli rozpoznať organizácie dodržiavajúce zásady a FAQ. S týmto cieľom by Ministerstvo obchodu USA alebo jeho zástupca mali na seba vziať povinnosť udržiavať a sprístupňovať verejnosti zoznam organizácií, ktoré osvedčia svoje dodržiavanie zásad vykonávaných v súlade s FAQ, a ktoré spadajú do jurisdikcie prinajmenšom jedného z vládnych orgánov uvedených v prílohe VII k tomuto rozhodnutiu.
(8) V záujme transparentnosti a s cieľom zabezpečenia schopnosti príslušných orgánov v členských štátoch zaručiť ochranu jednotlivcov v súvislosti so spracúvaním ich osobných údajov je potrebné, aby sa v tomto rozhodnutí presne vymedzili mimoriadne okolnosti, za ktorých by malo byť opodstatnené pozastavenie tokov určitých informácií, a to bez ohľadu na to, či Komisia prišla k záveru, že v danej krajine je zabezpečená primeraná úroveň ochrany.
(9) "Bezpečný prístav" ustanovený zásadami a FAQ bude možno potrebné opätovne prehodnotiť na základe skúseností, na základe vývoja v oblasti ochrany súkromia za okolností, v ktorých technológia umožňuje čoraz jednoduchší prenos a spracúvanie osobných údajov a na základe správ o vykonávaní vypracovaných príslušnými orgánmi poverenými vymáhaním výkonu zásad a FAQ.
(10) Pracovná skupina pre ochranu jednotlivcov v súvislosti so spracovaním osobných údajov ustanovená podľa článku 29 smernice 95/46/ES poskytla stanoviská ohľadom ochrany poskytovanej zásadami "bezpečného prístavu" v Spojených štátoch a tieto stanoviská boli zohľadnené pri príprave tohto rozhodnutia [4].
(11) Opatrenia ustanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru ustanoveného podľa článku 31 smernice 95/46/ES,
(12) Podľa rozhodnutia 1999/468/ES a najmä jeho článku 8 prijal Európsky parlament 5. júla 2000 rezolúciu A5-0177/2000 [5] k návrhu rozhodnutia Komisie o primeranosti ochrany poskytovanej zásadami "bezpečného prístavu" a súvisiacimi často kladenými otázkami vydanými Ministerstvom obchodu USA. Komisia návrh rozhodnutia opätovne preskúmala so zreteľom na toto rozhodnutie a prišla k záveru, že hoci Európsky parlament považuje za potrebné niektoré vylepšenia zásad "bezpečného prístavu" a súvisiacich často kladených otázok na to, aby sa mohli považovať za také, ktoré zabezpečia "primeranú ochranu", nezistil, že by Komisia prijatím uvedeného rozhodnutia prekročila svoje právomoci,
PRIJALA TOTO ROZHODNUTIE:
Článok 1
1. Na účely článku 25 ods. 2 smernice 95/46/ES sa vo vzťahu ku všetkým aktivitám spadajúcim do rámca pôsobnosti uvedenej smernice "zásady bezpečného prístavu" (ďalej len "zásady"), tak ako sú uvedené v prílohe I k tomuto rozhodnutiu, vykonávané v súlade s usmernením vyplývajúcim z často kladených otázok (ďalej len "FAQ") vydaných Ministerstvom obchodu USA 21. júla 2000 tak, ako sú uvedené v prílohe II k tomuto rozhodnutiu považujú za také, ktoré zabezpečujú primeranú úroveň ochrany osobných údajov prenášaných zo spoločenstva do organizácií so sídlom v Spojených štátoch, pričom sa zohľadňujú nasledujúce dokumenty vydané Ministerstvom obchodu USA:
a) prehľad presadzovania zásad bezpečného prístavu uvedený v prílohe III;
b) memorandum týkajúce sa náhrad škôd za porušenie súkromia a výslovného oprávnenia v rámci práva USA uvedené v prílohe IV;
c) list Federálnej obchodnej komisie uvedený v prílohe V;
d) list Ministerstva dopravy USA uvedený v prílohe VI;
2. Vo vzťahu ku každému prenosu údajov sa musia splniť nasledujúce podmienky:
a) organizácia, ktorej sa poskytujú údaje, sa jednoznačne a verejným vyhlásením zaviaže dodržiavať zásady vykonávané v súlade s FAQ a
b) v prípade nedodržiavania zásad vykonávaných v súlade s FAQ podlieha daná organizácia zákonným právomociam niektorého zo štátnych orgánov v Spojených štátoch uvedených v prílohe VII k tomuto rozhodnutiu, ktorý je oprávnený vyšetrovať sťažnosti a zabezpečovať nápravu v prípade nekalých alebo klamlivých praktík, ako aj zabezpečovať odškodnenie jednotlivcov bez ohľadu na to, v akej krajine majú trvalý pobyt alebo akú majú štátnu príslušnosť.
3. Podmienky uvedené v odseku 2 sa považujú za splnené vo vzťahu ku každej organizácii, ktorá osvedčí svoje dodržiavanie zásad vykonávaných v súlade s FAQ odo dňa, kedy daná organizácia oznámi Ministerstvu obchodu USA (alebo jeho zástupcovi) svoje verejné vyhlásenie o záväzku uvedenom v odseku 2 písm. a) a totožnosť štátneho orgánu uvedeného v odseku 2 písm. b).
Článok 2
Toto rozhodnutie sa týka len primeranosti ochrany poskytovanej v Spojených štátoch podľa zásad vykonávaných v súlade s FAQ s cieľom splnenia požiadaviek článku 25 ods. 1 smernice 95/46/ES a nie je ním dotknuté uplatňovanie iných ustanovení uvedenej smernice, ktoré sa vzťahujú na spracúvanie osobných údajov v rámci členských štátov, najmä článku 4 tejto smernice.
Článok 3
1. Bez toho, aby tým boli dotknuté ich právomoci prijímať opatrenia na zabezpečenie súladu s vnútroštátnymi právnymi normami prijatými podľa ustanovení iných ako článok 25 smernice 95/46/ES, môžu príslušné orgány v členských štátoch vykonávať svoje existujúce právomoci týkajúce sa pozastavenia tokov údajov do organizácie, ktorá osvedčila svoje dodržiavanie zásad vykonávaných v súlade s FAQ, aby tak chránili jednotlivcov v súvislosti so spracúvaním ich osobných údajov v prípadoch, keď:
a) štátny orgán v Spojených štátoch uvedený v prílohe VII k tomuto rozhodnutiu alebo nezávislý opravný mechanizmus v zmysle písmena a) zásady vymáhania výkonu uvedenej v prílohe I k tomuto rozhodnutiu zistí, že daná organizácia porušuje zásady vykonávané v súlade s FAQ; alebo
b) je veľká pravdepodobnosť, že sa porušujú zásady; existuje reálny dôvod na domnienku, že príslušný mechanizmus na vymáhanie výkonu neprijíma alebo neprijme primerané a včasné opatrenia na urovnanie určitého prípadu; pokračujúci prenos údajov by mal za následok bezprostredné riziko vážneho poškodenia dotknutých osôb, ktoré sú predmetom údajov; a príslušné orgány v danom členskom štáte vyvinuli podľa okolností primerané úsilie na to, aby o tom informovali dotknutú organizáciu a poskytli jej možnosť odpovedať.
Pozastavenie tokov údajov do určitej organizácie sa ukončí, akonáhle sa zabezpečí dodržiavanie zásad vykonávaných v súlade s FAQ a len čo sú o tom informované dotknuté príslušné orgány v spoločenstve.
2. V prípade, že sa prijmú opatrenia na základe odseku 1, členské štáty o tom bezodkladne informujú Komisiu.
3. Členské štáty a Komisia sa tiež navzájom informujú o prípadoch, kedy konanie orgánov zodpovedných za vymáhanie výkonu zásad vykonávaných v súlade s FAQ v Spojených štátoch nezabezpečuje takéto dodržiavanie.
4. Ak informácie zhromaždené podľa odsekov 1, 2 a 3 poskytujú dôkazy o tom, že určitý orgán zodpovedný za dodržiavanie zásad vykonávaných v súlade s FAQ v Spojených štátoch nevykonáva účinne svoju úlohu, Komisia o tom informuje Ministerstvo obchodu USA a v prípade potreby predloží návrh opatrení v súlade s postupom uvedeným v článku 31 smernice 95/46/ES s cieľom zrušiť alebo pozastaviť účinnosť tohto rozhodnutia alebo obmedziť rozsah jeho pôsobnosti.
Článok 4
1. Toto rozhodnutie je možné kedykoľvek upraviť na základe skúseností s jeho vykonávaním a/alebo vtedy, ak úroveň ochrany poskytovanú zásadami a FAQ predstihnú požiadavky právnych predpisov USA.
Komisia v každom prípade posúdi vykonávanie tohto rozhodnutia na základe dostupných informácií tri roky po jeho oznámení členským štátom a podá správu o príslušných zisteniach výboru ustanovenému podľa článku 31 smernice 95/46/ES, vrátane akýchkoľvek dôkazov, ktoré by mohli mať vplyv na hodnotenie, podľa ktorého ustanovenia uvedené v článku 1 tohto rozhodnutia poskytujú primeranú ochranu v zmysle článku 25 smernice 95/46/ES a akýchkoľvek dôkazov svedčiacich o tom, že toto rozhodnutie sa vykonáva diskriminačným spôsobom.
2. Komisia v prípade potreby predloží návrh opatrení v súlade s postupom uvedeným v článku 31 smernice 95/46/ES.
Článok 5
Členské štáty prijmú opatrenia potrebné na dosiahnutie súladu s týmto rozhodnutím najneskôr do uplynutia lehoty 90 dní odo dňa jeho oznámenia členským štátom.
Článok 6
Toto rozhodnutie je adresované členským štátom.
V Bruseli 26. júla 2000