A BIZOTTSÁG HATÁROZATA
(2010. február 5.)
a 95/46/EK európai parlamenti és tanácsi irányelv alapján a személyes adatok harmadik országbeli adatfeldolgozók részére történő továbbítására vonatkozó általános szerződési feltételekről
(az értesítés a C(2010) 593. számú dokumentummal történt)
(EGT-vonatkozású szöveg)
(2010/87/EU)
AZ EURÓPAI BIZOTTSÁG,
tekintettel az Európai Unió működéséről szóló szerződésre,
tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 26. cikke (4) bekezdésére,
az európai adatvédelmi biztossal folytatott konzultációt követően,
mivel:
(1)
A 95/46/EK irányelv értelmében a tagállamoknak biztosítaniuk kell, hogy a személyes adatoknak egy harmadik országba történő továbbítására csak abban az esetben kerülhessen sor, ha az érintett harmadik állam gondoskodik a megfelelő szintű adatvédelemről, és ha az adatok továbbítása előtt a tagállamoknak az irányelv egyéb rendelkezéseivel összhangban álló jogszabályait tiszteletben tartják.
(2)
A 95/46/EK irányelv 26. cikkének (2) bekezdése azonban úgy rendelkezik, hogy a tagállamok - meghatározott biztosítékok mellett - engedélyezhetik a személyes adatok egyszeri vagy többszöri továbbítását olyan harmadik országokba, amelyek nem biztosítanak megfelelő szintű védelmet. E biztosítékok különösen a megfelelő szerződési feltételekkel jöhetnek létre.
(3)
A 95/46/EK irányelv értelmében az adatvédelem szintjét az adattovábbítás vagy adattovábbítások valamennyi körülményének ismeretében kell értékelni. Az említett irányelv által létrehozott, a személyes adatok feldolgozása tekintetében az egyének védelmével foglalkozó munkacsoport útmutatót bocsátott ki az ilyen értékelések segítése céljából.
(4)
Általános szerződési feltételek kizárólag az adatvédelemre vonatkozhatnak. Így az adatátadó, illetve adatátvevő a szerződés szempontjából lényegesnek tartott egyéb, üzleti vonatkozású feltételekkel kiegészítheti a szerződést, amennyiben ezek nem ellentétesek az általános szerződési feltételekkel.
(5)
Ez a határozat nem sértheti azokat a nemzeti felhatalmazásokat, amelyeket a tagállamok adhatnak a 95/46/EK irányelv 26. cikke (2) bekezdésének végrehajtására hozott nemzeti rendelkezéseikkel összhangban. E határozat hatálya csak arra terjed ki, hogy a tagállamok az abban megállapított általános szerződési feltételek megfelelő biztosíték jellegét elismerjék; így ez a határozat nem érinti az egyéb szerződési feltételeket.
(6)
A 95/46/EK irányelv alapján a személyes adatoknak harmadik országbeli adatfeldolgozók részére történő továbbítására vonatkozó általános szerződési feltételekről szóló, 2001. december 27-i 2002/16/EK bizottsági határozatot (2) azzal a céllal fogadták el, hogy megkönnyítsék a személyes adatoknak egy Európai Unióban letelepedett adatkezelő által egy nem megfelelő szintű adatvédelemmel rendelkező harmadik országban letelepedett adatfeldolgozó felé történő továbbítását.
(7)
A 2002/16/EK határozat elfogadása óta jelentős tapasztalatot sikerült gyűjteni. Továbbá, a személyes adatok harmadik országok felé történő továbbítására vonatkozó általános szerződési feltételekről szóló határozatok végrehajtásáról készített jelentések (3) arról tanúskodnak, hogy növekvő érdeklődés övezi a személyes adatok nem megfelelő védelmet biztosító harmadik országok felé történő nemzetközi továbbítására vonatkozó általános szerződési feltételek alkalmazásának előmozdítását. Emellett az érdekelt felek javaslatokat nyújtottak be a 2002/16/EK határozatban megállapított általános szerződéses feltételek naprakésszé tétele céljából, hogy e feltételek figyelembe vegyék a világszintű adattovábbítási tevékenységek rohamos terjedését, és foglalkozzanak néhány, az említett határozat által nem tárgyalt kérdéssel (4).
(8)
E határozat hatálya annak megállapítására korlátozódik, hogy az Európai Unióban letelepedett adatkezelő az e határozatban megállapított szerződési feltételeket használhatja ahhoz, hogy a személyes adatoknak egy harmadik országban letelepedett feldolgozó felé történő továbbítására vonatkozó, a 95/46/EK irányelv 26. cikke (2) bekezdése szerinti megfelelő biztosítékok meglegyenek.
(9)
E határozat nem alkalmazandó a személyes adatok Európai Unióban letelepedett adatkezelők által az Európai Unión kívül letelepedett adatkezelők felé történő továbbítására, amely a 95/46/EK irányelv alapján a személyes adatok harmadik országokba irányuló továbbítására vonatkozó általános szerződési feltételekről szóló, 2001. június 15-i 2001/497/EK bizottsági határozat (5) hatálya alá tartozik.
(10)
E határozat végrehajtja a 95/46/EK határozat 17. cikkének (3) bekezdésében megállapított kötelezettséget, és nem érintheti az említett rendelkezés értelmében létrejött szerződések vagy jogi aktusok tartalmát. Néhány - különösen az adatátadó kötelezettségeire vonatkozó - általános szerződési feltételt azonban bele kell foglalni azon rendelkezések pontosítására, amelyek az adatkezelő és a feldolgozó között létrejövő szerződésbe bekerülhetnek.
(11)
A tagállamok felügyeleti hatóságai kulcsfontosságú szerepet játszanak e szerződéses mechanizmusban, mivel ők biztosítják, hogy a személyes adatok továbbításukat követően megfelelő védelemben részesüljenek. Kivételes esetekben, amikor az adatátadók nem hajlandók vagy nem képesek megfelelő módon tájékoztatni az adatátvevőket - ami az érintettek számára súlyos károkat okozhat -, az általános szerződési feltételeknek lehetővé kell tenniük, hogy a felügyeleti hatóságok ellenőrizhessék az adatátvevőket és további feldolgozókat, és - adott esetben - rájuk nézve kötelező határozatokat hozzanak. A felügyeleti hatóságoknak megfelelő hatáskörrel kell rendelkezniük ahhoz, hogy az általános szerződési feltételek alapján megtiltsanak vagy felfüggesszenek adattovábbítást vagy adattovábbításokat azokban a kivételes esetekben, amikor megállapítást nyer, hogy egy szerződés alapján teljesített adattovábbításnak vélhetően súlyosan hátrányos hatása lesz az érintettek számára megfelelő védelmet biztosító garanciákra és kötelezettségekre.
(12)
Az általános szerződési feltételeknek rendelkezniük kell azokról a technikai és szervezési biztonsági intézkedésekről, amelyeket a nem megfelelő védelmet biztosító harmadik országban letelepedett feldolgozóknak alkalmazniuk kell annak érdekében, hogy megfelelő szintű biztonságot nyújtsanak a védelmet igénylő adatok természetére és a feldolgozásban rejlő kockázatok tekintetében. A feleknek a szerződésben rendelkezniük kell azokról a technikai és szervezeti intézkedésekről, amelyek - az alkalmazandó adatvédelmi jogra, a technika mindenkori állására és a végrehajtás költségeire való tekintettel - szükségesek a személyes adatok véletlen vagy jogellenes megsemmisülése, véletlen elvesztése, megváltoztatása, jogosulatlan nyilvánosságra hozatala vagy ahhoz való jogosulatlan hozzáférés, illetve az adatfeldolgozás egyéb jogellenes formái elleni védelméhez.
(13)
Az Európai Unióból kifelé történő adatáramlás megkönnyítése érdekében célszerű gondoskodni arról, hogy az Európai Unióban több adatkezelő számára adatfeldolgozást végző feldolgozók azonos technikai és szervezési biztonsági intézkedéseket alkalmazzanak, függetlenül attól, hogy melyik tagállam az adattovábbítás kezdeményezője, különösen azokban az esetekben, ahol az adatátvevő az adatátadónak az Európai Unió területén levő különböző intézményeitől kap adatokat további feldolgozásra; amely esetben annak a tagállamnak a jogát kell alkalmazni, ahol az intézmény található.
(14)
Célszerű meghatározni azt a minimális információt, amelyet a feleknek meg kell adniuk az adatok továbbítására vonatkozó szerződésben. Továbbra is a tagállamok jogában áll a felektől megkövetelt információk részletes meghatározása. Ennek a határozatnak az alkalmazását a tapasztalatok fényében felül kell vizsgálni.
(15)
Az adatátvevő csak az adatátadó megbízásából, az általa adott utasításokkal és az általános szerződési feltételekben szereplő kötelezettségekkel összhangban kezelheti az átadott személyes adatokat. Az adatátvevő a személyes adatokat nem szolgáltathatja ki harmadik személyeknek az adatátadó előzetes írásos beleegyezése nélkül. Az adatátadónak az adatfeldolgozási szolgáltatás során utasítania kell az adatátvevőt, hogy az adatokat az utasításaival, az alkalmazandó adatvédelmi jogszabályokkal és az általános szerződési feltételekben megfogalmazott kötelezettségekkel összhangban dolgozza fel.
(16)
A személyes adatok harmadik országok felé történő továbbítására vonatkozó általános szerződési feltételekről szóló határozatok végrehajtásáról készített jelentés javasolta, hogy a határozatokba foglaljanak bele megfelelő általános szerződési feltételeket az egy harmadik országban letelepedett adatfeldolgozó által egy másik adatfeldolgozó felé történő utólagos adattovábbításra (további adatfeldolgozás) vonatkozóan, hogy figyelembe vehessék a világszinten egyre inkább kiterjedő adatfeldolgozási tevékenységgel kapcsolatos üzleti tendenciákat és gyakorlatokat.
(17)
E határozatnak sajátos szerződési feltételeket kell tartalmaznia az egy harmadik országban letelepedett adatfeldolgozó (az adatátvevő) által adatfeldolgozási tevékenységeinek további adatfeldolgozás céljából egyéb, harmadik országokban letelepedett felhasználók (további felhasználók) számára történő átadásáról. Emellett e határozatnak ki kell kötnie azt a feltételt, hogy a további adatfeldolgozásnak biztosítania kell, hogy a továbbított személyes adatok védelme a további feldolgozó felé történő utólagos továbbítás ellenére sem sérül.
(18)
Emellett a további feldolgozás csupán az adatátadó és az adatátvevő közötti, az e határozatban előírt általános szerződés feltételeket is tartalmazó szerződésben elfogadott műveletekből áll, és - a 95/46/EK irányelvben meghatározott célhoz kötöttség elvének tiszteletben tartását biztosítandó - nem utalhat egyéb felhasználási műveletekre vagy célokra. Továbbá, amennyiben a további feldolgozó nem teljesíti a szerződés szerinti saját adatfeldolgozási kötelezettségeit, az adatátvevőt továbbra is felelősség terheli az adatátadó felé. A személyes adatoknak az Európai Unión kívül letelepedett feldolgozók felé történő továbbítása nem befolyásolhatja azt a tényt, hogy az adatfeldolgozás az alkalmazandó adatvédelmi jogszabályok hatálya alá esik.
(19)
Az általános szerződési feltételeknek nemcsak a szerződő intézmények számára, de az érintett személyek számára is érvényesíthetőknek kell lenniük, különösen azokban az esetekben, amikor az érintetteknek a szerződésszegés kárt okoz.
(20)
Az érintetteket fel kell jogosítani arra, hogy felléphessenek a továbbított személyes adatok feldolgozásáért felelős adatátadóval szemben, és - adott esetben - kártérítést kapjanak tőle. Az érintettet kivételes esetben fel kell jogosítani arra is, hogy felléphessen az adatátvevővel szemben és - adott esetben - kártérítést kapjon tőle azokban az esetekben, amikor az adatátadó vállalkozása ténylegesen megszűnik, jogilag megszűnik létezni, vagy fizetésképtelenné válik az adatátvevőnek vagy az általa megbízott esetleges további feldolgozónak a 3. általános szerződési feltétel (2) bekezdésében előírt bármely kötelezettségének megszegése következtében. Az érintettet kivételes esetben fel kell jogosítani arra is, hogy felléphessen a további feldolgozóval szemben és - adott esetben - kártérítést kapjon tőle azokban az esetekben, amikor mind az adatátadó, mind az adatátvevő vállalkozása ténylegesen megszűnik, jogilag megszűnik létezni, vagy fizetésképtelenné vált. A további feldolgozó harmadik féllel szembeni polgári jogi felelősségét az e szerződési feltételek alapján végzett saját adatfeldolgozási műveleteire kell korlátozni.
(21)
A kedvezményezett harmadik személyre vonatkozó rendelkezésre hivatkozó érintett és az adatátvevő közötti, egyezséggel nem lezárt jogvita esetében az adatátadónak a közvetítés vagy a peres eljárás közötti választási lehetőséget kell felajánlania az érintett számára. Az, hogy az érintettnek mennyiben lesz tényleges választási lehetősége, attól is függ majd, mennyire állnak rendelkezésre a közvetítés megbízható és elismert rendszerei. Az adatátadó letelepedési helye szerinti tagállam adatvédelmi felügyeleti hatóságai által végzett közvetítésre lehetőséget kell biztosítani, amennyiben e hatóságok nyújtanak ilyen szolgáltatást.
(22)
A szerződésre az adatátadó letelepedési helye szerinti tagállam joga az irányadó, lehetővé téve azt, hogy egy kedvezményezett harmadik személy a szerződésnek érvényt szerezhessen. Az érintettek számára - amennyiben kívánják, és amennyiben a nemzeti jog engedi - lehetővé kell tenni, hogy egyesületek vagy egyéb szervezetek útján képviseltessék magukat. Ugyanezen jog szabályozza azon adatvédelmi rendelkezéseket is, amelyeket a szerződési feltételek alapján az adatátadó által az adatátvevő számára továbbított személyes adatokat érintő feldolgozási tevékenységek továbbadására vonatkozóan a további felhasználóval kötött szerződések tartalmaznak.
(23)
Mivel ez a határozat kizárólag akkor alkalmazandó, ha a harmadik országban letelepedett adatfeldolgozó az adatfeldolgozást harmadik országban letelepedett további felhasználó számára adja alvállalkozásba, a határozat nem vonatkozik azokra a helyzetekre, amikor egy, az Európai Unió területén letelepedett olyan feldolgozó, aki az Európai Unióban letelepedett adatkezelő nevében végzi személyes adatok feldolgozását, feldolgozási tevékenységeit alvállalkozásba adja egy harmadik országban letelepedett további felhasználó számára. Ebben az esetben a tagállamok szabadon dönthetnek annak figyelembevétele tekintetében, hogy az adatfeldolgozás harmadik országban letelepedett további felhasználó számára történő alvállalkozásba adásánál az e határozatban meghatározott általános szeződési feltételek alapelveit és biztosítékait azzal a céllal alkalmazták, hogy biztosítsák azon érintettek jogainak megfelelő védelmét, amelyek személyes adatait a további feldolgozási műveletek céljából továbbították.
(24)
A személyes adatfeldolgozás vonatkozásában az egyének védelmével foglalkozó, a 95/46/EK irányelv 29. cikke alapján létrehozott munkacsoport véleményt adott ki az e határozat mellékletében szereplő általános szerződési feltételek által nyújtott védelem szintjéről, és a vélemény e határozat előkészítése során figyelembe vették.
(25)
A 2002/16/EK határozatot hatályon kívül kell helyezni.
(26)
Az ebben a határozatban előírt intézkedések összhangban vannak a 95/46/EK irányelv 31. cikke alapján létrehozott bizottság véleményével,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
A mellékletben szereplő általános szerződési feltételek megfelelő biztosítékot nyújtónak minősülnek, tekintettel az egyének magánélethez való jogának, alapvető jogainak és szabadságjogainak védelmére, valamint a 95/46/EK irányelv 26. cikkének (2) bekezdése által előírt megfelelő jogok gyakorlására.
2. cikk
E határozat csak a mellékletben meghatározott, a személyes adatoknak az adatfeldolgozók részére történő továbbítására vonatkozó általános szerződési feltételek által nyújtott megfelelő védelemre vonatkozik. A határozat nem érinti a 95/46/EK irányelv végrehajtására kiadott és a tagállamokon belül a személyes adatok feldolgozására vonatkozó egyéb nemzeti rendelkezések alkalmazását.
E határozat a személyes adatok továbbításának azon eseteire vonatkozik, amikor az Európai Unióban letelepedett adatkezelők a személyes adatokat olyan, az Európai Unión kívül letelepedett adatátvevőknek továbbítják, akik csak adatfeldolgozói feladatokat látnak el.
3. cikk
E határozat alkalmazásában a következő fogalommeghatározásokat kell alkalmazni:
a) „különleges adatkategóriák”: a 95/46/EK irányelv 8. cikkében szereplő adatok;
b) „felügyelő hatóság”: a 95/46/EK irányelv 28. cikkében említett hatóság;
c) „adatátadó”: a személyes adatokat továbbító adatkezelő;
d) „adatátvevő”: egy harmadik országban letelepedett olyan feldolgozó, aki vállalja, hogy az adatátadó utasításaival és e határozat feltételeivel összhangban történt adattovábbítást követően átveszi az adatátadótól a személyes adatokat - annak nevében történő - adatfeldolgozás céljából, és aki nem tartozik egy harmadik ország - 95/46/EK irányelv 25. cikkének (1) bekezdése szerinti - megfelelő védelmet biztosító rendszerének hatálya alá;
e) „további feldolgozó”: az adatátvevő vagy az adatátvevő által megbízott egyéb további feldolgozó által megbízott olyan feldolgozó, aki vállalja, hogy az adatátvevőtől vagy további megbízott feldolgozótól személyes adatokat kizárólag olyan célból vesz át, hogy az adatátadó nevében, az adatátadó utasításaival, a mellékletben foglalt általános szerződési feltételekkel és a további feldolgozásra vonatkozó szerződés feltételeivel összhangban történt adattovábbítást követően feldogozza;
f) „alkalmazandó adatvédelmi jog”: az egyének alapvető jogaik és szabadságjogaik, különösen - a személyes adatok feldolgozásával kapcsolatban - a magánélet tiszteletben tartásához való jogaik védelméről szóló, az adatátadó letelepedési helye szerinti tagállamban tevékenykedő adatkezelőre vonatkozó jogszabály;
g) „technikai és szervezési biztonsági intézkedések”: a személyes adatok véletlen vagy jogellenes megsemmisülése, véletlen elvesztése, megváltoztatása, az adatok jogosulatlan nyilvánosságra hozatala vagy az azokhoz történő jogosulatlan hozzáférés elleni védelmet nyújtó intézkedések, különösen azokban az esetekben, ahol az adatfeldolgozásnak része az adatok hálózaton keresztül történő továbbítása, valamint az adatfeldolgozás valamennyi egyéb jogellenes formája ellen védelmet nyújtó intézkedések.
4. cikk
(1) A 95/46/EK irányelv II., III., V. és VI. fejezete alapján elfogadott nemzeti rendelkezéseknek való megfelelés céljából tett intézkedésekre vonatkozó hatásköröket nem érintve, a tagállamok illetékes hatóságai a magánszemélyek - személyes adatainak feldolgozására tekintettel történő - védelme érdekében élhetnek azzal a jogukkal, hogy megtilthatják vagy felfüggeszthetik a harmadik országokba történő adattovábbítást olyan esetekben, ha:
a)
megállapítják, hogy az adatátvevőre vagy a további feldolgozóra irányadó jog olyan követelményeket támaszt vele szemben, amelyek értelmében el kell térnie az alkalmazandó adatvédelmi jogtól, valamint amelyek - a 95/46/EK irányelv 13. cikkében foglalt, a demokratikus társadalomban szükséges korlátozásokat - túllépik; és amennyiben ezek a követelmények vélhetően jelentős hátrányos hatással lesznek az alkalmazandó adatvédelmi jog és az általános szerződési feltételek által nyújtott garanciákra;
b)
az illetékes hatóság megállapította, hogy az adatátvevő vagy a további feldolgozó nem tartotta be a mellékletben szereplő általános szerződési feltételeket; vagy
c)
nagy a valószínűsége, hogy a mellékletben szereplő általános szerződési feltételeknek nem tesznek eleget vagy nem fognak eleget tenni, és az adattovábbítás folytatása súlyosan veszélyeztetné az érintetteket.
(2) Az (1) bekezdésben említett tilalmat vagy felfüggesztést azonnal megszüntetik, amint a felfüggesztés vagy tilalom okai megszűnnek.
(3) A tagállamok késedelem nélkül tájékoztatják a Bizottságot az (1) és (2) bekezdés értelmében elfogadott intézkedésekről, amely továbbítja ezt az információt a többi tagállamnak.
5. cikk
A Bizottság az elfogadását követő három év elteltével a rendelkezésre álló információ alapján értékeli e határozat érvényesülését. Megállapításairól a Bizottság jelentést terjeszt a 95/46/EK irányelv 31. cikke alapján létrehozott bizottság elé. A jelentésnek tartalmaznia kell a mellékletben szereplő általános szerződési feltételek megfelelő voltának értékelését adott esetben befolyásoló bizonyítékokat, valamint e határozat diszkriminatív alkalmazására vonatkozó esetleges bizonyítékokat.
6. cikk
Ezt a határozatot 2010. május 15-től kell alkalmazni.
7. cikk
(1) A 2002/16/EK határozat 2010. május 15-vel hatályát veszti.
(2) Az adatátadó és az adatátvevő által a 2002/16/EK határozat alapján 2010. május 15. előtt kötött szerződések teljes mértékben hatályban maradnak mindaddig, amíg a szerződés tárgyát képező adatátadási és adatfeldolgozási műveletek változatlanok maradnak, és amíg a felek között fennáll az e határozat hatálya alá tartozó személyes adatok forgalma. Amennyiben a szerződő felek e tekintetben változtatni szeretnének vagy alvállalkozásba kívánnák adni a szerződés tárgyát képező adatfeldolgozási műveleteket, a mellékletben foglalt általános szerződéses feltételeknek megfelelő új szerződést kell kötniük.
8. cikk
Ennek a határozatnak a tagállamok a címzettjei.
Kelt Brüsszelben, 2010. február 5-én.