A Bizottság határozata
(2000. július 26.)
a 95/46/EK európai parlamenti és tanácsi irányelv alapján, az Egyesült Államok Kereskedelmi Minisztériuma által kiadott "biztonságos kikötő" adatvédelmi elvek által biztosított védelem megfelelőségéről és az ezzel kapcsolatos gyakran felvetődő kérdésekről
(az értesítés a C(2000) 2441. számú dokumentummal történt)
(EGT vonatkozású szöveg)
(2000/520/EK)
AZ EURÓPAI KÖZÖSSÉGEK BIZOTTSÁGA,
tekintettel az Európai Közösséget létrehozó szerződésre,
tekintettel a személyes adatok kezelése vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre [1] és különösen annak 25. cikke (6) bekezdésére,
mivel:
(1) A 95/46/EK irányelv alapján a tagállamoknak rendelkezniük kell arról, hogy személyes adatok harmadik országba történő továbbítása csak akkor történhessen meg, ha a szóban forgó harmadik ország megfelelő szintű védelmet biztosít, és ha az irányelv más rendelkezéseit végrehajtó tagállami jogszabályokat az adattovábbítást megelőzően figyelembe vették.
(2) A Bizottság megállapíthatja, hogy egy harmadik ország megfelelő szintű védelmet biztosít. Ilyen esetben a személyes adatok a tagállamokból anélkül továbbíthatók, hogy további garanciákra lenne szükség.
(3) A 95/46/EK irányelv alapján, az adatvédelem szintjét az adattovábbítási művelet vagy az adattovábbítási műveletsorozat összes körülményének és az adott feltételeknek a figyelembevételével kell értékelni. A fenti irányelv alapján a személyes adatok kezelése vonatkozásában az egyének védelmére létrehozott munkacsoport [2] útmutatást adott ki az ilyen értékelések elkészítéséhez [3].
(4) Mivel a harmadik országok az adatvédelem eltérő megközelítéseit alkalmazzák, a megfelelőség értékelését és a 95/46/EK irányelv 25. cikkének (6) bekezdésén alapuló bármilyen határozatot oly módon kell végrehajtani, hogy az ne tegyen önkényes vagy indokolatlan megkülönböztetést olyan harmadik országokkal szemben vagy azok között, ahol hasonló feltételek uralkodnak, illetve ne képezzen leplezett kereskedelmi akadályt, figyelembe véve a Közösség jelenlegi nemzetközi kötelezettségeit.
(5) Az e határozat által elismert, a Közösségből az Egyesült Államokba történő adattovábbításra vonatkozó megfelelő szintű védelem elérhető, ha a szervezetek teljesítik az Egyesült Államok kormánya által 2000. július 21-én kiadott, az egy tagállamból az Egyesült Államokba továbbított személyes adatok védelmére vonatkozó "biztonságos kikötő" adatvédelmi elveket (a továbbiakban: az elvek) és az elvek végrehajtására vonatkozó útmutatást biztosító, gyakran felvetődő kérdéseket (a továbbiakban: GYFK). Ezenfelül a szervezeteknek nyilvánosságra kell hozniuk adatvédelmi politikájukat, és el kell fogadniuk a Szövetségi Kereskedelmi Bizottság (FTC) joghatóságát a Szövetségi Kereskedelmi Bizottságról szóló törvény 5. szakasza alapján, amely megtiltja a tisztességtelen vagy megtévesztő cselekményeket vagy gyakorlatokat a kereskedelemben vagy azzal kapcsolatban, vagy más hatósági szerv joghatóságát, amely hatékonyan biztosítja a gyakran felvetődő kérdésekkel összhangban bevezetett elveknek való megfelelést.
(6) A határozat VII. mellékletében felsorolt egyesült államokbeli kormányzati szervek egyikének joghatósága alá sem tartozó ágazatok és/vagy adatfeldolgozás e határozat hatályán kívül esik.
(7) E határozat megfelelő alkalmazásának biztosítása érdekében szükséges, hogy az elveket és GYFK-t elfogadó szervezetek az érdekelt felek - mint például az érintettek, adatátadók és adatvédelmi hatóságok - által elismerhetőek legyenek. E célból az Egyesült Államok Kereskedelmi Minisztériumának vagy az általa kijelölt szervnek vállalnia kell az olyan szervezetek jegyzékének vezetését és a nyilvánosság számára hozzáférhetővé tételét, amelyek saját maguk tanúsítják a GYFK-val összhangban végrehajtott elvek elfogadását, és az e határozat VII. mellékletében felsoroltak közül legalább egy kormányzati szerv joghatósága alá tartoznak.
(8) Az átláthatóság érdekében és a tagállamok illetékes hatóságainak azon képessége megőrzése céljából, hogy a személyes adatok kezelése vonatkozásában biztosítsa az egyének védelmét, ebben a határozatban pontosan meg kell határozni azokat a rendkívüli körülményeket, amelyek esetén indokolt a meghatározott adatáramlás felfüggesztése, függetlenül attól, hogy a védelmet megfelelőnek találják.
(9) Az elvek és GYFK által létrehozott "biztonságos kikötő" felülvizsgálatra szorulhat, figyelembe véve a tapasztalatokat, az adatvédelem fejlődését, olyan körülmények között, amelyekben a technológia egyre könnyebbé teszi a személyes adatok továbbítását és kezelését, valamint figyelembe véve az érintett végrehajtó hatóságok jelentéseit a megvalósításról.
(10) A 95/46/EK irányelv 29. cikke alapján a személyes adatok kezelése tekintetében az egyének védelmére létrehozott munkacsoport véleményeket nyilvánított az egyesült államokbeli "biztonságos kikötő" elvek által biztosított védelem szintjéről, amelyeket e határozat elkészítésekor figyelembe vettek [4].
(11) Az e határozatban foglalt intézkedések összhangban vannak a 95/46/EK irányelv 31. cikke alapján létrehozott bizottság véleményével.
(12) Az 1999/468/EK tanácsi határozat és különösen annak 8. cikke alapján az Európai Parlament 2000. július 5-én elfogadta az Egyesült Államok Kereskedelmi Minisztériuma által kiadott A5-0177/2000 állásfoglalást a "biztonságos kikötő adatvédelmi elvek" által biztosított védelem megfelelőségéről és az ezzel kapcsolatos gyakran felvetődő kérdésekről szóló bizottsági határozattervezetről [5]. A Bizottság az állásfoglalás figyelembevételével felülvizsgálta a határozattervezetet, és arra a következtetésre jutott, hogy bár az Európai Parlament kifejezte azt a véleményét, hogy a "biztonságos kikötő elvek" és a kapcsolódó gyakran felvetődő kérdések némi fejlesztésre szorulnak, mielőtt úgy lehetne tekinteni, hogy "megfelelő védelmet" biztosítanak, nem állapította meg, hogy a Bizottság túllépte volna hatáskörét a határozat elfogadásával,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
(1) A 95/46/EK irányelv 25. cikke (2) bekezdésének alkalmazásában, az Egyesült Államok Kereskedelmi Minisztériuma által 2000. július 21-én kiadott, e határozat II. mellékletében meghatározott gyakran felvetődő kérdések (a továbbiakban: GYFK) által biztosított útmutatással összhangban bevezetett, e határozat I. mellékletében meghatározott "biztonságos kikötő adatvédelmi elveket" (a továbbiakban: az elvek) az említett irányelv hatálya alá tartozó összes tevékenységre vonatkozóan úgy tekintik, mint amelyek biztosítják a Közösségből az Egyesült Államokban letelepedett szervezetek felé továbbított személyes adatok megfelelő szintű védelmét, tekintettel az Egyesült Államok Kereskedelmi Minisztériuma által kiadott következő okmányokra:
a) a III. mellékletben ismertetett "biztonságos kikötő" végrehajtási áttekintés;
b) a IV. mellékletben bemutatott, az adatvédelem megsértéséért járó kártérítésről és az amerikai jog kifejezett meghatalmazásairól szóló jegyzet;
c) a Szövetségi Kereskedelmi Bizottságnak az V. mellékletben bemutatott levele;
d) az Egyesült Államok Közlekedési Minisztériumának VI. mellékletben bemutatott levele.
(2) Minden egyes adattovábbítás tekintetében a következő feltételeknek kell teljesülniük:
a) az adatokat fogadó szervezet egyértelműen és nyilvánosan kinyilvánította a GYFK-val összhangban bevezetett elvek teljesítésére vonatkozó kötelezettségvállalását; és
b) a szervezet egy olyan, az e határozat VII. mellékletében felsorolt egyesült államokbeli kormányzati szervnek a törvényben meghatározott hatásköre alá tartozik, amelyet a panaszok kivizsgálására és a tisztességtelen vagy megtévesztő gyakorlatok miatti jóvátétel kieszközlésére, valamint magánszemélyek orvoslására feljogosítottak, azok lakóhely szerinti országától vagy állampolgárságától függetlenül, a GYFK-val összhangban bevezetett elvek nem teljesítése esetén.
(3) A (2) bekezdésben megállapított feltételeket minden egyes szervezet esetében teljesítettnek tekintik, amely önmaga tanúsítja a GYFK-val összhangban végrehajtott elvek betartását, attól az időponttól számítva, amikor a szervezet közli az Egyesült Államok Kereskedelmi Minisztériumával (vagy az általa kijelölt szervvel) a (2) bekezdés a) pontjában említett kötelezettségvállalás nyilvános közzétételét és a (2) bekezdés b) pontjában említett kormányzati szerv kilétét.
2. cikk
Ez a határozat csak a gyakran felvetődő kérdésekkel összhangban bevezetett elvek alapján az Egyesült Államokban nyújtott védelem megfelelőségére érvényes, a 95/46/EK irányelv 25. cikke (1) bekezdése követelményeinek való megfelelés céljából, és nincs hatással az említett irányelv más, a személyes adatok tagállamokon belüli kezelésével kapcsolatos rendelkezéseinek, különösen a 4. cikkének alkalmazására.
3. cikk
(1) A 95/46/EK irányelv 25. cikkétől eltérő rendelkezések alapján elfogadott nemzeti rendelkezéseknek való megfelelés biztosítása érdekében intézkedés megtételére vonatkozó hatáskörük sérelme nélkül, a tagállamok illetékes hatóságai gyakorolhatják meglévő hatáskörüket az olyan szervezet felé irányuló adatáramlás felfüggesztésére, amely önmaga tanúsította a GYFK-val összhangban bevezetett elvek elfogadását, hogy védjék az egyéneket a személyes adatok kezelése tekintetében olyan esetekben, ahol:
a) az e határozat VII. mellékletében említett egyesült államokbeli kormányzati szerv vagy egy független jogorvoslati mechanizmus az e határozat I. mellékletében meghatározott végrehajtási elvről szóló a) levél értelmében megállapította, hogy a szervezet megszegi a GYFK-val összhangban bevezetett elveket; vagy
b) az elvek megszegésének nagy a valószínűsége; okkal feltételezik, hogy az érintett végrehajtási mechanizmus sem most, sem később nem tesz megfelelő és időszerű lépéseket az adott eset rendezésére; a folytatódó adattovábbítás az érintettek súlyos károsodásának veszélyével fenyeget; és a tagállam illetékes hatóságai a körülményekhez képest elfogadható erőfeszítéseket tettek, hogy a szervezetet értesítsék, és lehetőséget adjanak neki a válaszadásra.
A felfüggesztés megszűnik, amint a gyakran felvetődő kérdésekkel összhangban bevezetett elvek teljesítését biztosítják, és arról értesítik a Közösség illetékes hatóságát.
(2) A tagállamok haladéktalanul tájékoztatják a Bizottságot, amikor az (1) bekezdés alapján intézkedéseket fogadnak el.
(3) A tagállamok és a Bizottság egymást is tájékoztatják azokról az esetekről, amikor az Egyesült Államokban a gyakran felvetődő kérdésekkel összhangban bevezetett elveknek való megfelelés biztosításáért felelős szervek intézkedése nem biztosítja az ilyen megfelelést.
(4) Ha az (1), (2) és (3) bekezdés alapján összegyűjtött információk azt bizonyítják, hogy az Egyesült Államokban a gyakran felvetődő kérdésekkel összhangban bevezetett elveknek való megfelelés biztosításáért felelős bármely szerv nem hatékonyan tölti be szerepét, a Bizottság tájékoztatja az Egyesült Államok Kereskedelmi Minisztériumát, és szükség esetén a 95/46/EK irányelv 31. cikkében említett eljárással összhangban intézkedéstervezeteket nyújt be e határozat visszavonása, felfüggesztése vagy hatályának korlátozása céljából.
4. cikk
(1) Ez a határozat bármikor kiigazítható a végrehajtásával kapcsolatos tapasztalat fényében, illetve ha az Egyesült Államok jogszabályainak követelményei szigorúbbá válnak az elvek és a GYFK által biztosított védelmi szintnél.
A Bizottság a tagállamok felé történő értesítése után három évvel minden esetben értékeli e határozat végrehajtását a rendelkezésre álló információk alapján, és beszámol a 95/46/EK irányelv 31. cikke alapján létrehozott bizottságnak bármilyen vonatkozó megállapításról, beleértve az olyan bizonyítékokat, amelyek hatással lehetnek annak értékelésére, hogy az e határozat 1. cikkében meghatározott rendelkezések a 95/46/EK irányelv 25. cikke értelmében megfelelő védelmet biztosítanak, illetve annak bizonyítékát, hogy ezt a határozatot megkülönböztető módon hajtják végre.
(2) A Bizottság szükség esetén intézkedéstervezeteket terjeszt elő a 95/46/EK irányelv 31. cikkében említett eljárásnak megfelelően.
5. cikk
A tagállamok meghozzák azokat az intézkedéseket, amelyek szükségesek ahhoz, hogy ennek a határozatnak legkésőbb a tagállamok felé történő értesítésétől számított 90 napos időszak végéig megfeleljenek.
6. cikk
Ennek a határozatnak a tagállamok a címzettjei.
Kelt Brüsszelben, 2000. július 26-án.