KOMMISSIONENS BESLUT

av den 5 februari 2010

om standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredjeland i enlighet med Europaparlamentets och rådets direktiv 95/46/EG

[delgivet med nr K(2010) 593] (Text av betydelse för EES) (2010/87/EU)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktions- sätt,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 26.4,

efter att ha hört Europeiska datatillsynsmannen, och

av följande skäl:

(1) Enligt direktiv 95/46/EG är medlemsstaterna skyldiga att se till att överföring av personuppgifter till ett tredjeland endast får ske om det berörda landet säkerställer en ade- kvat skyddsnivå och om medlemsstaternas lagar, vilka följer direktivets övriga bestämmelser, iakttas före över- föringen.

(2) Enligt artikel 26.2 i direktiv 95/46/EG får dock medlems- staterna, förutsatt att vissa garantier ställs, tillåta en över- föring eller en serie överföringar av personuppgifter till länder som inte säkerställer ett adekvat skydd av uppgif- ter. Sådana garantier kan särskilt framgå av lämpliga av- talsklausuler.

(3) Enligt direktiv 95/46/EG ska bedömningen av skydds- nivån ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp överföringar

(4) Standardavtalsklausulerna bör endast beröra uppgifts- skydd. Därför får uppgiftsutföraren och uppgiftsinföraren ta med sådana andra klausuler om affärsrelaterade frågor som de anser vara av relevans för avtalet, under förutsätt- ning att de inte strider mot standardavtalsklausulerna.

(5) Beslutet bör inte påverka de nationella tillstånd som med- lemsstaterna kan komma att bevilja i enlighet med na- tionella bestämmelser om genomförande av artikel 26.2 i direktiv 95/46/EG. Dess verkan bör inskränka sig till att medlemsstaterna inte får vägra att erkänna att de i be- slutet fastställda standardavtalsklausulerna ger tillräckliga garantier. Beslutet bör således inte ha någon inverkan på andra avtalsklausuler.

(6) Kommissionens beslut 2002/16/EG av den 27 december 2001 om standardavtalsklausuler för överföring av per- sonuppgifter till registerförare etablerade i tredje land i enlighet med direktiv 95/46/EG (2) antogs för att under- lätta överföringen av personuppgifter från en register- ansvarig etablerad i Europeiska unionen till en registerfö- rare i ett tredjeland som inte tillhandahåller ett tillräckligt skydd.

(7) Sedan beslut 2002/16/EG antogs har många erfarenheter gjorts. Dessutom har rapporten om genomförandet av beslut om standardavtalsklausuler om överföring av per- sonuppgifter till tredjeländer (3) visat att det finns ett ökat intresse för att främja användningen av standardavtalsk- lausuler vid internationell överföring av personuppgifter till tredjeländer som inte erbjuder adekvat skydd. Vidare har berörda parter lagt fram förslag om att uppdatera standardavtalsklausulerna i beslut 2002/16/EG för att ta hänsyn till den snabbt ökande behandlingen av person- uppgifter i världen och ta upp vissa frågor som inte ingick i det beslutet (4).

av personuppgifter. Den arbetsgrupp för skydd av en-

skilda med avseende på behandling av personuppgifter som inrättats enligt direktivet har utfärdat riktlinjer för sådana bedömningar.

(1) EGT L 281, 23.11.1995, s. 31.

(2) EGT L 6, 10.1.2002, s. 52.

(3) SEK(2006) 95, 20.1.2006.

(4) Internationella handelskammaren (ICC), Japan Business Council in Eu rope (JBCE), EU Committee of the American Chamber of Commerce in Belgium (Amcham) och Federation of European Direct Marketing Asso ciations (FEDMA).

(8) Beslutets tillämpningsområde bör inte sträcka sig längre än till att fastställa att de angivna klausulerna i bilagan får användas av en registeransvarig etablerad i Europeiska unionen i syfte att ställa tillräckliga garantier i den me- ning som avses i artikel 26.2 i direktiv 95/46/EG vid överföringen av personuppgifter till en registerförare eta- blerad i tredje land.

(9) Detta beslut bör inte omfatta överföring av personupp- gifter från registeransvariga som är etablerade i Europe- iska unionen till registerförare som är etablerade utanför Europeiska unionen, om uppgifterna omfattas av tillämp- ningsområdet för kommissionens beslut 2001/497/EG av den 15 juni 2001 om standardavtalsklausuler för över- föring av personuppgifter till tredje land enligt direktiv 95/46/EG (1).

(10) Beslutet bör innebära att skyldigheten i artikel 17.3 i direktiv 95/46/EG fullgörs och bör inte påverka innehål- let i avtal eller rättsakter som upprättats i enlighet med den bestämmelsen. Några av standardavtalsklausulerna, i synnerhet de om uppgiftsutförarens skyldigheter, bör dock ingå för att klargöra vilka klausuler som kan tas med i ett avtal mellan en registeransvarig och en regis- terförare.

(11) Tillsynsmyndigheterna i medlemsstaterna har en nyckel- roll i samband med denna avtalsmekanism när det gäller att se till att personuppgifter omfattas av tillräckligt skydd efter överföring. I de undantagsfall då uppgiftsutfö- raren vägrar eller inte kan ge uppgiftsinföraren korrekta instruktioner och det finns en överhängande risk för att de registrerade lider allvarlig skada, bör standardavtalsk- lausulerna medge tillsynsmyndigheterna rätten att ge- nomföra inspektioner hos uppgiftsinförare och underen- treprenörer och i förekommande fall fatta beslut som är bindande för uppgiftsinföraren eller underentreprenören. Tillsynsmyndigheterna bör ha rätt att förbjuda eller av- bryta en uppgiftsöverföring eller en serie överföringar som sker enligt standardavtalsklausuler i de undantagsfall där det fastställts att en överföring på avtalsbasis sanno- likt har en avsevärt skadlig inverkan på de garantier och åtaganden som ska säkerställa adekvat skydd för den registrerade.

(12) Standardavtalsklausulerna bör innehålla bestämmelser om de tekniska och organisatoriska säkerhetsåtgärder, som ska vidtas av registerförare etablerade i tredjeländer med otillräckligt uppgiftsskydd, för att garantera en säkerhets-

(1) EGT L 181, 4.7.2001, s. 19.

nivå som är anpassad till de risker behandlingen medför och till karaktären hos de uppgifter som ska behandlas. Parterna bör i avtalet ange de tekniska och organisato- riska åtgärder som, med hänsyn tagen till tillämplig upp- giftsskyddslagstiftning, den senaste tekniken och kost- naden för att vidta dem, är erforderliga för att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otill- låten åtkomst eller varje annan form av olaglig behand- ling.

(13) För att underlätta flödet av uppgifter från Europeiska unionen bör registerförare som erbjuder uppgiftsbehand- lingstjänster till flera registeransvariga i Europeiska unio- nen tillåtas vidta samma tekniska och organisatoriska säkerhetsåtgärder, oavsett från vilken medlemsstat upp- giftsöverföringen sker, i synnerhet i sådana fall där upp- giftsinföraren tar emot uppgifter för vidare behandling från flera av uppgiftsutförarens driftsställen i Europeiska unionen, varvid lagen i den medlemsstat där driftsstället är beläget ska tillämpas.

(14) Det är lämpligt att fastställa vilka upplysningar parterna minst ska ange i avtalet om överföring. Medlemsstaterna bör ha befogenhet att närmare bestämma vilka upplys- ningar parterna måste lämna. Tillämpningen av det här beslutet bör ses över med ledning av de erfarenheter som görs.

(15) Uppgiftsinföraren ska behandla de överförda personupp- gifterna endast för uppgiftsutförarens räkning och i en- lighet med dennes instruktioner och de villkor som anges i klausulerna. I synnerhet bör uppgiftsinföraren inte lämna ut personuppgifterna till tredje man utan att på förhand ha utverkat ett skriftligt tillstånd från uppgifts- utföraren. Uppgiftsutföraren bör under hela uppgifts- behandlingen hålla uppgiftsinföraren informerad om att uppgifterna ska behandlas i enlighet med uppgiftsutföra- rens instruktioner, tillämplig uppgiftsskyddslagstiftning och skyldigheterna enligt klausulerna.

(16) I rapporten om genomförandet av beslut om standard- avtalsklausuler om överföring av personuppgifter till tred- jeländer rekommenderades fastställande av lämpliga av- talsklausuler om vidareöverföring från en registerförare etablerad i ett tredjeland till en annan registerförare (upp- giftsbehandling via underentreprenör), för att ta hänsyn till affärsutveckling och praxis i samband med den allt- mer globaliserade behandlingen av personuppgifter.

(17) Detta beslut bör innehålla särskilda standardavtalsklausu- ler om när registerförare etablerade i tredjeland (uppgift- sinföraren) lägger ut sina uppgiftsbehandlingstjänster på andra registerförare (underentreprenörer) etablerade i tredjeland. I beslutet bör också anges vilka villkor som utläggningen på entreprenad ska uppfylla för att säker- ställa att de personuppgifter som överförs fortsatt omfat- tas av skydd oberoende av en eventuell vidareöverföring till en underentreprenör.

(18) Dessutom bör utläggningen på entreprenad endast om- fatta sådan behandling som överenskommits enligt ett avtal mellan uppgiftsutföraren och uppgiftsinföraren som innehåller standardavtalsklausulerna enligt detta be- slut. För att upprätthålla principen om ändamålsbegräns- ning enligt direktiv 95/46/EG bör vidareöverföringen inte involvera uppgiftsbehandling i olika former eller för olika syften. Om underentreprenören inte uppfyller sina skyl- digheter i fråga om uppgiftsbehandling enligt avtalet bör uppgiftsinföraren förbli ansvarig gentemot uppgiftsutfö- raren. Överföring av personuppgifter till registerförare som är etablerade utanför Europeiska unionen bör inte påverka det faktum att behandling bör ske i enlighet med tillämplig uppgiftsskyddslagstiftning.

(19) Standardavtalsklausulerna bör kunna åberopas inte bara av de organisationer som är parter i avtalet utan även av de registrerade, i synnerhet om de registrerade vållas skada till följd av avtalsbrott.

(20) Den registrerade bör ha rätt att väcka talan mot och, om så är lämpligt, erhålla skadestånd från den uppgiftsutfö- rare som är registeransvarig för de personuppgifter som överförts. I undantagsfall bör den registrerade också ha rätt att väcka talan och, om så är lämpligt, erhålla skades- tånd från uppgiftsinföraren i sådana fall där uppgiftsin- föraren eller en av dennes underentreprenörer åsidosätter sina skyldigheter enligt klausul 3.2, om uppgiftsutföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd. I undantagsfall bör den registre- rade dessutom ha rätt att väcka talan och, om så är lämpligt, erhålla skadestånd från en underentreprenör i sådana fall där både uppgiftsutföraren och uppgiftsinfö- raren har upphört att existera i faktisk eller rättslig me- ning eller har hamnat på obestånd. Skadeståndsansvaret bör i sådana fall vara begränsat till underentreprenörens egen behandling av uppgifter enligt avtalsklausulerna.

(21) Om en tvist mellan den registrerade och uppgiftsinföra- ren inte kan lösas i godo och den registrerade åberopar

klausulen om tredjepartsberättigande, bör uppgiftsinföra- ren erbjuda den registrerade att få välja mellan medling och domstolsprövning. Hur stor faktisk valmöjlighet den registrerade kommer att få, beror på tillgången till till- förlitliga och erkända system för medling. Medling utförd av tillsynsmyndigheten med ansvar för uppgiftsskydd i den medlemsstat där uppgiftsutföraren är etablerad bör vara ett alternativ, i de fall där en sådan tjänst erbjuds.

(22) Den lag som ska tillämpas på avtalet bör vara lagen i det land där uppgiftsutföraren är etablerad, så att en berätti- gad tredje part har möjlighet att se till att avtalet följs. De registrerade bör om de så önskar och om nationell lag så medger ha möjlighet att företrädas av sammanslutningar eller andra organ. Samma lag bör även tillämpas på be- stämmelser om uppgiftsskydd i avtal med en underen- treprenör om utläggning av behandlingen av personupp- gifter som överförts av uppgiftsutföraren till uppgiftsin- föraren i enlighet med standardklausulerna.

(23) Eftersom detta beslut endast är tillämpligt på utläggning på entreprenad som registerförare etablerade i ett tredje- land gör på underentreprenörer etablerade i ett tredje- land, bör det inte vara tillämpligt på situationer där en registerförare etablerad i Europeiska unionen som be- handlar personuppgifter för en registeransvarig etablerad i Europeiska unionen lägger ut sin behandling på en underentreprenör etablerad i ett tredjeland. I sådana fall bör medlemsstaterna fritt kunna välja om de ska ta hän- syn till att principerna och skyddsmekanismerna i de standardavtalsklausuler som anges i detta beslut har an- vänts för att lägga ut uppgiftsbehandling på entreprenad till en registerförare i ett tredjeland, i syfte att tillhanda- hålla ett adekvat skydd av de rättigheter som tillkommer registrerade vars personuppgifter överförs för behandling av underentreprenör i ett tredjeland.

(24) Den arbetsgrupp för skydd av enskilda med avseende på behandlingen av personuppgifter som inrättats enligt artikel 29 i direktiv 95/46/EG har avgivit ett yttrande om den skyddsnivå som uppnås genom de standard- avtalsklausuler som bifogas detta beslut; detta yttrande har beaktats vid utarbetandet av det här beslutet.

(25) Beslut 2002/16/EG bör upphävas.

(26) Åtgärderna i detta beslut överensstämmer med yttrandet från den kommitté som inrättats enligt artikel 31 i di- rektiv 95/46/EG.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

De standardavtalsklausuler som anges i bilagan till detta beslut ska anses ge tillräckliga garantier för skydd av den personliga integriteten och enskildas grundläggande rättigheter och friheter samt för utövandet av motsvarande rättigheter, i enlighet med vad som föreskrivs i artikel 26.2 i direktiv 95/46/EG.

Artikel 2

Detta beslut ska endast tillgodose att standardavtalsklausulerna i bilagan erbjuder ett adekvat skydd vid överföring av personupp- gifter till registerförare. Det påverkar inte tillämpningen av an- dra nationella bestämmelser som antagits för genomförande av direktiv 95/46/EG och som rör behandling av personuppgifter inom medlemsstaterna.

Detta beslut ska tillämpas på överföring av personuppgifter från sådana registeransvariga som är etablerade i Europeiska unionen till sådana mottagare som är etablerade utanför Europeiska unionens territorium och som endast verkar som registerförare.

Artikel 3

standardavtalsklausuler som anges i bilagan samt villkoren i det skriftliga underentreprenörsavtalet,

f) tillämplig uppgiftsskyddslagstiftning: sådan lagstiftning som av- ser att skydda personers grundläggande fri- och rättigheter, särskilt deras personliga integritet i samband med behandling av personuppgifter, och som är tillämplig på registeransvariga i den medlemsstat där uppgiftsutföraren är etablerad,

g) tekniska och organisatoriska säkerhetsåtgärder: åtgärder avsedda att skydda personuppgifter mot oavsiktlig eller olaglig utplå- ning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten åtkomst, i synnerhet när behandlingen inbegriper överföring av uppgifter över ett nät, och mot varje annan form av olaglig behandling.

Artikel 4

1. Utan att det påverkar rätten för medlemsstaternas behö- riga myndigheter att se till att nationella bestämmelser som antagits i enlighet med bestämmelserna i kapitlen II, III, V och VI i direktiv 95/46/EG följs, får de använda sina befintliga befogenheter för att förbjuda eller avbryta flöden av uppgifter till tredjeland och därigenom skydda enskilda när det gäller behandling av personuppgifter om dem i fall där

I detta beslut avses med

a) särskilda kategorier av uppgifter: de uppgifter som avses i artikel 8 i direktiv 95/46/EG,

b) tillsynsmyndighet: den säkerhetsmyndighet som avses i artikel 28 i direktiv 95/46/EG,

c) uppgiftsutförare: den registeransvarige som överför personupp- gifterna,

d) uppgiftsinförare: den registerförare som är etablerad i ett tred- jeland och som samtycker till att från uppgiftsutföraren ta emot personuppgifter avsedda för behandling för uppgifts- utförarens räkning efter överföringen, enligt dennes instruk- tioner och i enlighet med detta beslut, såvida inte uppgift- sinföraren omfattas av ett system i det berörda tredjelandet som garanterar ett tillräckligt skydd i den mening som avses i artikel 25.1 i direktiv 95/46/EG,

e) underentreprenör: varje registerförare som anlitats av uppgift- sinföraren eller av en annan av uppgiftsinförarens underen- treprenörer och som åtar sig att från uppgiftsinföraren eller en annan av uppgiftsinförarens underentreprenörer ta emot personuppgifter i den enda avsikten att efter överföringen behandla personuppgifter för uppgiftsutförarens räkning och i enlighet med uppgiftsutförandens instruktioner, de

a) det konstateras att uppgiftsinföraren eller en underentrepre- nör enligt den lagstiftning som gäller för denne ska frångå tillämplig uppgiftsskyddslagstiftning som går utöver de re- striktioner som krävs i ett demokratiskt samhälle enligt artikel 13 i direktiv 95/46/EG, om dessa restriktioner san- nolikt har en avsevärt skadlig inverkan på de garantier som ställs i tillämplig uppgiftsskyddslagstiftning eller i standard- avtalsklausulerna,

b) en behörig myndighet har fastställt att uppgiftsinföraren eller en underentreprenör inte har följt standardavtalsklausulerna i bilagan, eller

c) det finns skälig grund att anta att standardavtalsklausulerna i bilagan inte följs eller inte kommer att följas och att fortsatt överföring skulle medföra en överhängande risk för allvarlig skada för de registrerade.

2. Förbudet eller avbrottet enligt punkt 1 ska upphöra så snart som skälen för förbudet eller avbrottet inte längre förelig- ger.

3. När medlemsstaterna vidtar åtgärder i enlighet med punk- terna 1 och 2 ska de utan dröjsmål underrätta kommissionen, som ska vidarebefordra uppgifterna till övriga medlemsstater.

Artikel 5

Kommissionen ska utvärdera genomförandet av detta beslut med ledning av tillgänglig information tre år efter att det har antagits. Den ska lämna en rapport om resultaten till den kom- mitté som inrättats enligt artikel 31 i direktiv 95/46/EG. Den ska ta med alla omständigheter som kan påverka bedömningen av att de bifogade standardavtalsklausulerna ger ett adekvat skydd och alla omständigheter som tyder på att detta beslut tillämpas diskriminerande.

Artikel 6

Detta beslut ska tillämpas från och med den 15 maj 2010.

Artikel 7

1. Beslut 2002/16/EG ska upphöra att gälla den 15 maj 2010.

2. Ett avtal som i enlighet med beslut 2002/16/EG har in- gåtts mellan en uppgiftsutförare och en uppgiftsinförare före

den 15 maj 2010 ska förbli giltigt så länge som de överföringar och den uppgiftsbehandling som avtalet avser är oförändrade och personuppgifter som omfattas av detta beslut fortsätter att överföras mellan parterna. Om avtalsparterna beslutar att göra några förändringar i detta avseende eller att lägga ut den upp- giftsbehandling som avtalet avser på en underentreprenör, ska de ingå ett nytt avtal som överensstämmer med standardavtalsk- lausulerna i bilagan.

Artikel 8

Detta beslut riktar sig till medlemsstaterna.

Utfärdat i Bryssel den 5 februari 2010.

På kommissionens vägnar

▇▇▇▇▇▇▇ ▇▇▇▇▇▇

Vice ordförande

BILAGA

STANDARDAVTALSKLAUSULER (”registerförare”)

Standardavtalsklausuler enligt artikel 26.2 i direktiv 95/46/EG för överföring av personuppgifter till registerförare i tredjeländer med otillräckligt uppgiftsskydd

Namn på den uppgiftsutförande organisationen: .......................................................................................................................................

Adress: ................................................................................................................................................................................................................

Tfn ...........................................................;. Fax ............................................................;E-postadress: ............................................................

Övriga uppgifter som krävs för att identifiera organisationen:

................................................................................................................................................................................................................................

(”Uppgiftsutföraren”)

och

Namn på den uppgiftsinförande organisationen: ......................................................................................................................................

Övriga uppgifter som krävs för att identifiera organisationen:

(”Uppgiftsinföraren”)

var och en ”part”, tillsammans ”parterna”.

HAR ENATS om följande avtalsklausuler (”klausulerna”) för att säkerställa ett adekvat skydd för privatliv och grund- läggande rättigheter och friheter för enskilda i samband med överföring från uppgiftsutföraren till uppgiftsinföraren av sådana personuppgifter som anges i tillägg 1.

Klausul 1

Definitioner

I dessa klausuler gäller följande definitioner:

a) personuppgifter, särskilda kategorier av uppgifter, behandling, registeransvarig, registerförare, registrerad och tillsynsmyndighet: samma innebörd som i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1).

b) uppgiftsutförare: den registeransvarige som överför personuppgifterna.

c) uppgiftsinförare: den registerförare som går med på att från uppgiftsutföraren ta emot personuppgifter för vidare behandling i enlighet med uppgiftsutförarens instruktioner och villkoren i klausulerna, och som inte omfattas av ett system i tredjeland som garanterar ett adekvat skydd i den mening som avses i artikel 25.1 i direktiv 95/46/EG.

(1) Parterna kan här återge definitionerna och betydelserna i direktiv 95/46/EG, om de anser det lämpligare att avtalet fungerar själv- ständigt.

d) underentreprenör: registerförare som anlitats av uppgiftsinföraren eller av en annan av uppgiftsinförarens underentrep- renörer och som går med på att från uppgiftsinföraren eller en annan av uppgiftsinförarens underentreprenör ta emot personuppgifter i den enda avsikten att efter överföringen behandla personuppgifter för uppgiftsutförarens räkning i enlighet med uppgiftsutförandens instruktioner, villkoren i klausulerna samt villkoren i det skriftliga underentrepre- nörsavtalet.

e) tillämplig uppgiftsskyddslagstiftning: sådan lagstiftning som avser att skydda personers grundläggande fri- och rättigheter, särskilt deras personliga integritet i samband med behandling av personuppgifter, och som är tillämplig på register- ansvariga i den medlemsstat där uppgiftsutföraren är etablerad.

f) tekniska och organisatoriska säkerhetsåtgärder: åtgärder avsedda att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten åtkomst, i synnerhet när behandlingen in- begriper överföring av uppgifter över ett nät, och mot varje annan form av olaglig behandling.

Klausul 2

Information om överföringen

Information om överföringen, och i förekommande fall om särskilda kategorier av personuppgifter, anges i tillägg 1, vilket utgör en integrerad del av klausulerna.

Klausul 3

Tredjepartsberättigande

1. Den registrerade kan i egenskap av berättigad tredjepart åberopa denna klausul och klausulerna 4 b–i, 5 a–e och 5 g–j, 6.1–2, 7, 8.2 samt klausulerna 9–12 gentemot uppgiftsutföraren.

2. Den registrerade kan gentemot uppgiftsinföraren åberopa denna klausul, klausulerna 5 a–e och 5 g, klausulerna 6, 7,

8.2 samt klausulerna 9–12 i sådana fall där uppgiftsutföraren har upphört att existera i faktisk eller rättslig mening, såvida inte en annan enhet enligt avtal eller lag till fullo har övertagit uppgiftsutförarens rättsliga skyldigheter, och som en följd av detta påtar sig uppgiftsutförarens rättigheter och skyldigheter, i vilket fall den registrerade kan åberopa de ovannämnda klausulerna gentemot denna.

3. Den registrerade kan gentemot underentreprenören åberopa denna klausul, klausulerna 5 a–e och 5 g, 6, 7, 8.2 samt klausulerna 9–12 i de fall där uppgiftsutföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd, såvida inte en annan enhet enligt avtal eller lag till fullo har övertagit uppgiftsutförarens rättsliga skyldigheter, och som en följd av detta övertar uppgiftsutförarens rättigheter och skyldigheter, i vilket fall den registrerade kan åberopa de ovannämnda klausulerna gentemot denna enhet. Skadeståndsansvaret ska i sådana fall vara begränsat till underentreprenörens egen behandling av uppgifter enligt klausulerna.

4. Parterna har inget att invända mot att en registrerad företräds av sammanslutningar eller andra organ om denne uttryckligen så önskar och i den mån det är tillåtet enligt nationell rätt.

Klausul 4

Uppgiftsutförarens skyldigheter

Uppgiftsutföraren godtar och garanterar

a) att behandlingen, inbegripet själva överföringen, av personuppgifterna har skett och även i fortsättningen kommer att ske i enlighet med tillämplig uppgiftsskyddslagstiftning (och i förekommande fall anmäls till behöriga myndigheter i den medlemsstat där uppgiftsutföraren är etablerad) och inte strider mot gällande lagar eller andra författningar i den medlemsstaten,

b) att han instruerat och under behandlingen av personuppgifter kommer att instruera uppgiftsinföraren att behandla de överförda personuppgifterna endast för uppgiftsutförarens räkning och i enlighet med tillämplig uppgiftsskyddslags- tiftning och klausulerna,

c) att uppgiftsinföraren kommer att ge tillräckliga garantier vad gäller de tekniska och organisatoriska säkerhetsåtgärder som anges i tillägg 2 till detta avtal.

d) att han, mot bakgrund av tillämplig uppgiftsskyddslagstiftning, har funnit säkerhetsåtgärderna lämpliga för att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten åtkomst, i synnerhet när behandlingen inbegriper överföring av uppgifter över ett nät, och mot varje annan form av olaglig behandling, med hänsyn tagen till teknikens ståndpunkt, kostnaden för vidtagande av åtgärderna och de risker behandlingen innebär och karaktären hos de uppgifter som ska behandlas,

e) att han kommer att se till att säkerhetsåtgärderna följs,

f) att, om överföringen avser särskilda kategorier av uppgifter, de registrerade har informerats eller informeras senast när överföringen sker eller så snart som möjligt därefter om att deras uppgifter kan komma att överföras till ett tredjeland som inte tillhandahåller adekvat skydd i den mening som avses i direktiv 95/46/EG,

g) att vidarebefordra anmälningar från uppgiftsinföraren eller eventuella underentreprenörer i enlighet med klausul 5 b och klausul 8.3 till tillsynsmyndigheten om uppgiftsutföraren beslutar att fortsätta överföringen eller häva avbrottet,

h) att på begäran tillhandahålla de registrerade en kopia av klausulerna, med undantag för tillägg 2, och en samman- fattande beskrivning av säkerhetsåtgärderna, samt en kopia av eventuella underentreprenörsavtal som måste ingås enligt klausulerna, såvida inte klausulerna eller avtalet innehåller affärsinformation,

i) att uppgiftsbehandlingen vid en eventuell utläggning på entreprenad utförs i enlighet med klausul 11 av en unde- rentreprenör som tillhandahåller åtminstone samma skyddsnivå för personuppgifter och den registrerades rättigheter som uppgiftsinföraren ska göra enligt klausulerna, och

j) att han kommer att se till att klausul 4 a–i följs.

Klausul 5

Uppgiftsinförarens skyldigheter (1)

Uppgiftsinföraren godtar och garanterar

a) att behandla personuppgifter för uppgiftsutförarens räkning och enlighet med dennes instruktioner samt dessa klau- suler; om han av något skäl inte kan fullgöra detta krav går han med på att omedelbart informera uppgiftsutföraren om detta, varvid uppgiftsutföraren har rätt att avbryta överföringen av uppgifter och/eller häva avtalet,

b) att han inte har anledning att förmoda att den lagstiftning som är tillämplig på honom hindrar honom från att fullfölja uppdragsutförarens instruktioner och sina skyldigheter enligt detta avtal; om lagstiftningen ändras på ett sätt som sannolikt har en avsevärt skadlig inverkan på de garantier som klausulerna innebär, ska han anmäla ändringen till uppgiftsutföraren, varvid uppgiftsutföraren har rätt att avbryta överföringen av uppgifter och/eller häva avtalet,

c) att han har vidtagit de tekniska och organisatoriska säkerhetsåtgärder som anges i tillägg 2 innan de överförda personuppgifterna behandlas,

(1) Standardavtalsklausulerna är inte oförenliga med obligatoriska krav i den nationella lagstiftning som är tillämplig på uppgiftsinföraren, förutsatt att kraven inte går utöver vad som är nödvändigt i ett demokratiskt samhälle på någon av de grunder som anges i artikel 13.1 i direktiv 95/46/EG, dvs. om det är en nödvändig åtgärd med hänsyn till statens säkerhet, försvaret, den allmänna säkerheten, förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken, ett för staten viktigt ekonomiskt eller finansiellt intresse eller skydd av den registrerades eller andras fri- och rättigheter. Exempel på sådana obligatoriska krav som inte går utöver vad som krävs i ett demokratiskt samhälle är internationellt erkända sanktioner, krav på skatterapportering eller upplysningsplikt när det gäller bekämpning av penningtvätt.

d) att utan dröjsmål kommer att underrätta uppgiftsutföraren om

i) varje rättsligt bindande begäran från rättsliga myndigheter om utlämnande av personuppgifterna, om inte detta är förbjudet på grund av exempelvis ett straffrättsligt förbud som syftar till att bevara sekretessen vid brottsutred- ningar,

ii) varje oavsiktlig eller otillåten åtkomst, och

iii) varje förfrågan direkt från de registrerade, utan att svara på dem om han inte givits tillstånd till det,

e) att utan dröjsmål och korrekt handlägga alla frågor från uppgiftsutföraren om behandling av sådana personuppgifter som överförs och att rätta sig efter tillsynsmyndighetens rekommendationer med avseende på behandlingen av de uppgifter som överförs,

f) att på uppgiftsutförarens begäran ställa sin databehandlingsutrustning till förfogande för granskning av den uppgifts- behandling som dessa klausuler avser; granskningen ska genomföras av uppgiftsutföraren eller av ett inspektionsorgan med oberoende och sakkunniga ledamöter; de av tystnadsplikt bundna ledamöterna utses av uppgiftsutföraren, i förekommande fall enligt överenskommelse med tillsynsmyndigheten.

g) att på begäran förse de registrerade med en kopia av klausulerna eller av eventuella befintliga underentreprenörsavtal, såvida inte klausulerna eller kontraktet innehåller känslig affärsinformation; i vilket fall uppgiftsinföraren kan ta bort dessa uppgifter; denna skyldighet omfattar dock inte tillägg 2, som ska ersättas av en sammanfattande beskrivning av säkerhetsåtgärderna i de fall där den registrerade inte kan erhålla en kopia från uppgiftsutföraren,

h) att han, om uppgiftsbehandlingen läggs ut på entreprenad, i förväg har underrättat uppgiftsutföraren och utverkat skriftligt förhandstillstånd från denne,

i) att den uppgiftsbehandling som utförs av underentreprenören utförs i enlighet med klausul 11,

j) att omedelbart översända en kopia av eventuella underentreprenörsavtal som ingåtts enligt klausulerna till uppgifts- utföraren.

Klausul 6

Ansvar

1. Parterna är överens om att en registrerad som lidit skada till följd av att en part eller en parts underentreprenör brutit mot de skyldigheter som avses i klausul 3 eller klausul 11 har rätt till ersättning från uppgiftsutföraren.

2. Om den registrerade, i situationer där uppgiftsinföraren eller dennes underentreprenör bryter mot någon av sina skyldigheter enligt klausulerna 3 eller 11, inte kan rikta skadeståndsanspråk mot uppgiftsutföraren i enlighet med punkt 1 på grund av att uppgiftsutföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd, ska uppgiftsinföraren godta att den registrerade kan rikta ett skadeståndsanspråk mot uppgiftsinföraren som om denne var uppgiftsutföraren, såvida inte en annan enhet enligt avtal eller lag till fullo har övertagit uppgiftsutförarens rättsliga skyldigheter, i vilket fall den registrerade kan göra sina rättigheter gällande gentemot denna enhet.

Uppgiftsinföraren kan inte åberopa att en underentreprenör har brustit i sina skyldigheter för att undvika eget ansvar.

3. Om en registrerad, i situationer där en underentreprenör har brutit mot någon av sina skyldigheter enligt klausu- lerna 3 eller 11, inte kan rikta ett skadeståndsanspråk mot uppgiftsutföraren eller uppgiftsinföraren i enlighet med punkt 1 och 2 på grund av att såväl uppgiftsutföraren som uppgiftsinföraren har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd, ska underentreprenören godta att den registrerade kan rikta ett skadeståndsanspråk mot underentreprenören, med avseende på dennes egen behandling av personuppgifter i enlighet med klausulerna, som om denne var uppgiftsutföraren eller uppgiftsinföraren, såvida inte en annan enhet enligt avtal eller lag till fullo har övertagit uppgiftsutförarens eller uppgiftsinförarens rättsliga skyldigheter, i vilket fall den registrerade kan göra sina rättigheter gällande gentemot denna enhet. Skadeståndsansvaret ska i sådana fall vara begränsat till underentreprenörens egen behandling av uppgifter enligt klausulerna.

Klausul 7

Medling och forum

1. Uppgiftsinföraren samtycker till att, om den registrerade åberopar tredje parts rättigheter och/eller kräver ersättning för skador i enlighet med klausulerna, godta den registrerades beslut att

a) inleda medling av tredje part eller, i tillämpliga fall, av tillsynsmyndigheten,

b) hänskjuta tvisten till domstol i den medlemsstat där uppgiftsutföraren är etablerad.

2. Parterna är överens om att den registrerades val inte påverkar dennes materiella eller processuella rätt att söka gottgörelse i enlighet med andra bestämmelser i nationell eller internationell lagstiftning.

Klausul 8

Samarbetet med tillsynsmyndigheterna

1. Uppgiftsutföraren åtar sig att deponera ett exemplar av detta avtal hos tillsynsmyndigheten, om så föreskrivs i tillämplig uppgiftsskyddslagstiftning eller om tillsynsmyndigheten begär det.

2. Parterna är överens om att tillsynsmyndigheten har rätt att genomföra inspektioner hos uppgiftsinföraren och uppgiftsinförarens eventuella underentreprenörer i samma omfattning och på samma villkor som skulle gälla för en revision hos uppgiftsutföraren enligt tillämplig uppgiftsskyddslagstiftning.

3. Uppgiftsinföraren ska omedelbart underrätta uppgiftsutföraren om uppgiftsinföraren och dennes eventuella unde- rentreprenörer omfattas av lagstiftning som förhindrar att de blir föremål för inspektion i enlighet med punkt 2. I sådant fall ska uppgiftsutföraren ha rätt att vidta de åtgärder som anges i klausul 5 b.

Klausul 9

Tillämplig lag

Klausulerna omfattas av lagen i den medlemsstat där uppgiftsutföraren är etablerad, nämligen ...............................................

Klausul 10

Ändring av avtalet

Parterna åtar sig att inte ändra klausulerna. Detta hindrar inte parterna från att om nödvändigt lägga till klausuler om affärsrelaterade frågor, så länge dessa inte står i strid med någon klausul.

Klausul 11

Utläggning på entreprenad

1. Uppgiftsinföraren får inte utan uppgiftsutförarens föregående samtycke på entreprenad lägga ut någon del av den behandling som uppgiftsinföraren utför för uppgiftsutförarens räkning i enlighet med klausulerna. Om uppgiftsinföraren, med uppgiftsutförarens samtycke, lägger över sina skyldigheter enligt dessa klausuler på en underentreprenör, får detta endast ske genom ingående av ett skriftligt avtal med underentreprenören, varigenom denne åläggs samma skyldigheter som enligt klausulerna åligger uppgiftsinföraren (1). Om underentreprenören inte uppfyller sina skyldigheter i fråga om uppgiftsbehandling enligt ett sådant avtal ska uppgiftsinföraren förbli fullt ansvarig gentemot uppgiftsutföraren för under- entreprenörens uppfyllande av sina skyldigheter enligt avtalet.

2. Det på förhand ingångna skriftliga avtalet mellan uppgiftsutföraren och uppgiftsinföraren ska även inbegripa en bestämmelse om berättigad tredje part i enlighet med klausul 3 i sådana fall där den registrerade inte kan rikta skade- ståndsanspråk i enlighet med klausul 6.1 mot uppgiftsutföraren eller uppgiftsinföraren, eftersom dessa har upphört att existera i faktisk eller rättslig mening eller har hamnat på obestånd, och ingen annan enhet har till fullo övertagit uppgiftsutförarens eller uppgiftsinförares rättsliga skyldigheter enligt avtal eller lag. Skadeståndsansvaret ska i sådana fall vara begränsat till underentreprenörens egen behandling av uppgifter enligt klausulerna.

3. Bestämmelserna om uppgiftsskyddsaspekter vid utläggning på entreprenad av det kontrakt som avses i punkt 1 på en underentreprenör ska omfattas av lagen i den medlemsstat där uppgiftsutföraren är etablerad, nämligen .....................

(1) Detta krav kan uppfyllas genom att även underentreprenören undertecknar det avtal som ingåtts mellan uppgiftsutföraren och uppgiftsinföraren enligt detta beslut.

4. Uppgiftsutföraren ska föra en förteckning över entreprenadavtal som ingåtts enligt klausulerna och anmälts av uppgiftsinföraren i enlighet med klausul 5 j. Förteckningen ska uppdateras minst en gång om året. Förteckningen ska vara tillgänglig för uppgiftsutförarens dataskyddsmyndighet.

Klausul 12

Skyldigheter efter det att behandlingen av personuppgifter har upphört

1. Parterna är överens om att uppgiftsinföraren och eventuella underentreprenörer efter behandlingens upphörande och beroende på vad uppgiftsutföraren beslutar antingen ska återlämna alla överförda personuppgifter och kopior av dessa till uppgiftsutföraren, eller förstöra alla personuppgifter och intyga för uppgiftsutföraren att så skett, såvida inte den på uppgiftsinföraren tillämpliga lagstiftningen helt eller delvis hindrar honom från att återlämna eller förstöra de över- förda personuppgifterna. I så fall ska uppgiftsinföraren garantera att denne kommer att bevara sekretessen hos de överförda personuppgifterna och inte aktivt behandla de överförda personuppgifterna ytterligare.

2. Uppgiftsinföraren och underentreprenören garanterar att de på uppgiftsutförarens och/eller tillsynsmyndighetens begäran kommer att ställa sin databehandlingsutrustning till förfogande för en granskning av de åtgärder som anges i punkt 1.

På uppgiftsutförarens vägnar:

Namn (fullständigt): ...........................................................................................................................................................................................

Befattning: ..........................................................................................................................................................................................................

Andra uppgifter som eventuellt krävs för att avtalet ska vara bindande: ........................................................................................

▇▇▇▇▇▇▇▇▇▇▇▇ ..................................................................................

(organisationens stämpel)

På uppgiftsinförarens vägnar:

Andra uppgifter som eventuellt krävs för att avtalet ska vara bindande: ........................................................................................

▇▇▇▇▇▇▇▇▇▇▇▇ ..................................................................................

(organisationens stämpel)

Tillägg 1

Till standardavtalsklausulerna

Detta tillägg är en del av klausulerna och ska fyllas i och undertecknas av parterna.

Medlemsstaterna kan i enlighet med sina egna nationella förfaranden ange de eventuella ytterligare upplysningar som måste lämnas i tillägget.

Uppgiftsutföraren

Uppgiftsutföraren är (ange verksamhet av betydelse för överföringen):

Uppgiftsinföraren

Uppgiftsinföraren är (ange verksamhet av betydelse för överföringen):

Registrerade

De personuppgifter som ska överföras rör följande kategorier av registrerade (ange närmare):

Typ av uppgifter som överförs

De uppgifter som överförs är av följande slag (ange närmare):

Särskilda kategorier av uppgifter (i förekommande fall)

Överföringen rör följande särskilda kategorier av uppgifter (ange närmare):

Behandling

De personuppgifter som överförs kommer att behandlas på följande sätt (ange närmare):

UPPGIFTSUTFÖRAREN

Namn: ....................................................................................................................

Underskrift ..........................................................................................................

UPPGIFTSINFÖRAREN

Namn: ....................................................................................................................

Underskrift ..........................................................................................................

Tillägg 2

till standardavtalsklausulerna

Detta tillägg är en del av klausulerna och ska fyllas i och undertecknas av parterna.

Redogörelse för de tekniska och organisatoriska säkerhetsåtgärder som uppgiftsinföraren vidtagit i enlighet med klausulerna 4 d och 5 c (eller bifogade handlingar/bestämmelser):

EXEMPEL PÅ BESTÄMMELSE OM SKADEERSÄTTNING (EJ OBLIGATORISK)

Ansvar

Om en part hålls ansvarig för den andra partens brott mot klausulerna är parterna överens om att den senare parten, i den utsträckning denne verkligen är ansvarig, ska ersätta den första parten för alla kostnader, utgifter, skadestånd och förluster som vållats denne.

För att ersättning ska utbetalas måste

a) uppgiftsutföraren utan dröjsmål underrätta uppgiftsinföraren om anspråket, och

b) uppgiftsinföraren ges möjlighet att samarbeta med uppgiftsutföraren i försvaret mot och avgörandet av anspråket (1).

(1) Punkten om ansvarsskyldighet är inte obligatorisk.

KOMMISSIONENS BESLUT

Document Metadata

Document Metadata

Table of Contents