Ordinul nr. 6/2003
privind stabilirea Clauzelor contractuale standard în cazul transferurilor de date cu caracter personal către un operator stabilit într-un stat a cărui legislație nu prevede un nivel de protecție cel puțin egal cu cel oferit de legea română
prezumat în vigoare
În temeiul
Hotărârii Senatului României nr. 33 din 4 octombrie 2001
pentru numirea Avocatului Poporului,
vazand prevederile
art. 13 din Legea nr. 35/1997
privind organizarea și funcționarea instituției Avocatul Poporului, modificată și completată prin
Legea nr. 181/2002 , și ale art. 4 din Regulamentul de organizare și funcționare a instituției Avocatul Poporului, aprobat prin
Hotărârea Biroului permanent al Senatului nr. 5/2002 ,
în aplicarea prevederilor
art. 29 alin. (4) din Legea nr. 677/2001
pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, conform cărora Avocatul Poporului, în calitate de autoritate de supraveghere, poate autoriza transferul de date cu caracter personal către un stat a cărui legislație nu prevede un nivel de protecție cel puțin egal cu cel oferit de legea română, atunci când operatorul oferă garanții suficiente cu privire la protecția drepturilor fundamentale ale persoanelor, garanții care trebuie să fie stabilite prin contracte încheiate între operatori și persoanele fizice sau juridice din dispoziția cărora se efectuează transferul,
având în vedere Nota Direcției pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal nr. 551 din 29 ianuarie 2003 privind clauzele contractuale standard pentru transferul datelor cu caracter personal către statele a căror legislație nu prevede un nivel de protecție cel puțin egal cu cel oferit de legea română,
având în vedere exigenta elaborării unor clauze contractuale standard care oferă garanții suficiente cu privire la protecția drepturilor fundamentale ale persoanelor, în cazul transferurilor de date cu caracter personal de la un operator stabilit în România către un operator stabilit într-un stat a cărui legislație nu prevede un nivel de protecție cel puțin egal cu cel oferit de legea română, precum și a publicării clauzelor contractuale standard respective în Monitorul Oficial al României, Partea I, în scopul ca acestea să poată fi cunoscute în mod corespunzător de către operatorii menționați,
Avocatul Poporului emite prezentul ordin.
Articolul 1
Se aprobă Clauzele contractuale standard în cazul transferurilor de date cu caracter personal către un operator stabilit într-un stat a cărui legislație nu prevede un nivel de protecție cel puțin egal cu cel oferit de legea română, prevăzute în anexa, denumite în continuare clauze contractuale standard.
Articolul 2
Prevederile prezentului ordin nu afectează aplicarea altor prevederi legale care privesc prelucrarea datelor cu caracter personal.
Prezentul ordin nu se aplică transferului de date cu caracter personal, realizat de către operatorii, stabiliți în România, către destinatarii stabilit, în străinătate, care acționează doar ca împuterniciți.
Articolul 3
În înțelesul prezentului ordin, următorii termeni se definesc după cum urmează:
a) categorii speciale de date - categoriile de date menționate în
cap. III din Legea nr. 677/2001
pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date;
b) exportator de date - operatorul stabilit în România, care transfera date cu caracter personal;
c) importator de date - operatorul stabilit în străinătate, care este de acord sa primească date cu caracter personal de la exportatorul de date pentru prelucrare ulterioară.
Articolul 4
Avocatul Poporului poate dispune interzicerea sau suspendarea transferului datelor cu caracter personal de către exportator către un alt stat, pentru a proteja drepturile fundamentale ale persoanelor în legătură cu prelucrarea datelor lor cu caracter personal, atunci când:
a) legea naționala a importatorului îl obliga sa nu respecte clauzele contractuale standard, iar acest fapt nu este motivat de cauze care țin de apărarea naționala, siguranța naționala, ordinea publică, prevenirea, cercetarea și reprimarea infracțiunilor, interesele economice sau financiare importante ale statului, activitățile efectuate în îndeplinirea unor atribuții de autoritate publică legate de domeniile sus menționate, de apărarea persoanei vizate sau a drepturilor și libertăților celorlalte persoane;
b) exista posibilitatea de nerespectare a clauzelor contractuale standard, iar desfășurarea transferului prezintă riscul prejudicierii persoanelor vizate;
c) o autoritate competentă a stabilit ca importatorul de date nu a respectat clauzele contractuale.
Interdicția sau suspendarea aplicată conform alin. (1) va fi ridicată de îndată ce au încetat motivele care au determinat luarea acestei măsuri.
Articolul 5
Prezentul ordin va fi publicat în Monitorul Oficial al României, Partea I.
Articolul 6
Anexa cuprinzând Clauzele contractuale standard în cazul transferurilor de date cu caracter personal către un operator stabilit într-un stat a cărui legislație nu prevede un nivel de protecție cel puțin egal cu cel oferit de legea română face parte integrantă din prezentul ordin.
AVOCATUL POPORULUI,
prof. univ. dr. IOAN MURARU
București, 29 ianuarie 2003.
Nr. 6.
Anexa CLAUZE CONTRACTUALE STANDARD
în cazul transferurilor de date cu caracter
personal către un operator stabilit într-un stat a cărui legislație nu
prevede un nivel de protecție cel puțin egal cu cel oferit de legea română
Numele sau denumirea persoanei care exporta datele ........., adresa ....... telefon ...... fax ...... e-mail ..........
Alte informații necesare pentru identificarea persoanei: ........... /(exportatorul de date)
și
Numele sau denumirea persoanei care importa datele ....... adresa ...... telefon ....... fax ....... e-mail .........
Alte informații necesare pentru identificarea persoanei: ........... /(importatorul de date)
au convenit asupra următoarelor clauze contractuale (clauze), menționate în apendixul 1, pentru a oferi garanții adecvate protecției drepturilor și libertăților fundamentale ale persoanelor, în special a dreptului la viața intima, familială și privată, în legătură cu transferul datelor cu caracter personal de la exportator către importatorul de date:
Clauza 1: Definiții
În sensul acestor clauze:
a) categorii speciale de date înseamnă categoriile de date menționate la
cap. III din Legea nr. 677/2001
pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date;
b) persoana vizata înseamnă persoana fizica ale carei date cu caracter personal sunt prelucrate;
c) exportator de date înseamnă operatorul care transfera datele cu caracter personal;
d) importator de date înseamnă operatorul care este de acord sa primească date cu caracter personal de la exportatorul de date, pentru prelucrare ulterioară, în condițiile acestor clauze, și care nu este supus unei legislații care prevede un nivel de protecție cel puțin egal cu cel oferit de legea română.
Clauza 2: Detalii privind transferul
Detaliile privind transferul, categoriile de date cu caracter personal și scopurile în care acestea pot fi transferate sunt menționate în apendixul 1 care face parte integrantă din clauze.
Clauza 3: Clauza terțului beneficiar
Persoanele vizate pot aplica clauza 4 lit. b), c) și d), clauza 5 lit. a), b), c) și e), clauza 6 alin. (1) și (2) și clauzele 7, 9 și 11 din acest act, ca terți beneficiari. Părțile nu se opun ca persoanele vizate să fie reprezentate, la cerere, de o asociație sau de alte persoane juridice, dacă legea permite.
Clauza 4: Obligațiile exportatorului de date
Exportatorul de date garantează ca:
a) prelucrarea până în momentul transferului și transferul ulterior al datelor cu caracter personal au fost și vor fi efectuate în continuare potrivit prevederilor legale;
b) dacă transferul presupune categorii speciale de date, persoana vizata a fost informată sau va fi informată anterior transferului ca aceste date pot fi transmise către un stat a cărui legislație nu prevede un nivel de protecție cel puțin egal cu cel oferit de legea română;
c) va pune la dispoziție persoanelor vizate o copie a clauzelor referitoare la protecția datelor cu caracter personal, la cererea acestora;
d) va răspunde la întrebările autorității de supraveghere și la orice întrebări ale persoanelor vizate, cu privire la prelucrarea datelor cu caracter personal efectuată de către importatorul de date.
Clauza 5: Obligații ale importatorului de date
Importatorul de date garantează ca:
a) legislația ce îi este aplicabilă nu îl împiedica să își îndeplinească obligațiile decurgând din clauze și ca, în cazul unor modificări legislative care ar fi posibil să aibă un efect negativ asupra garanțiilor prevăzute de aceste clauze, le va notifica exportatorului de date și autorității de supraveghere din România, caz în care exportatorul de date are dreptul sa suspende transferul de date și/sau sa înceteze contractul;
b) va prelucra datele cu caracter personal potrivit principiilor obligatorii de protecție a datelor, prevăzute în apendixul 2 care face parte integrantă din prezentele clauze, sau, dacă s-a convenit expres de către părți, conform principiilor obligatorii de protecție a datelor, prevăzute în apendixul 3 care face parte integrantă din prezentele clauze, va prelucra datele conform prevederilor legale naționale care apara drepturile și libertățile fundamentale ale persoanelor, în special dreptul la viața intima, familială și privată, în legătură cu prelucrarea datelor cu caracter personal, aplicabile unui operator de date din România;
c) va soluționa cu promptitudine și într-un mod corespunzător toate solicitarile rezonabile formulate de exportatorul de date sau de persoana vizata, referitoare la prelucrarea efectuată de importator asupra datelor cu caracter personal transferate, va coopera cu autoritatea de supraveghere competența pe parcursul tuturor investigatiilor acesteia și se va supune autorizării autorității de supraveghere în ceea ce privește prelucrarea datelor transferate;
d) la cererea exportatorului de date, va supune mijloacele sale de prelucrare controlului acestuia sau al unui organ de control compus din membri independenți, cu calificarile profesionale necesare, aleși de exportatorul de date cu acordul autorității de supraveghere;
e) la cererea persoanelor vizate, le va pune la dispoziție o copie a clauzelor care privesc protecția datelor cu caracter personal și va indica persoana sau persoanele care răspund la solicitarile referitoare la prelucrarea datelor cu caracter personal.
Clauza 6: Răspunderea părților
(1) Persoana vizata care a suferit un prejudiciu ca urmare a oricărei încălcări a prevederilor menționate în clauza 3 are dreptul sa primească de la părțile contractante compensații pentru prejudiciul suferit. Părțile sunt scutite de aceasta răspundere doar dacă dovedesc ca nici una dintre ele nu este răspunzătoare de încălcarea acestor prevederi.
(2) Exportatorul și importatorul de date sunt răspunzători în mod indiviz și solidar pentru prejudiciul adus persoanei vizate, ca urmare a oricărei încălcări menționate la alin. (1). În cazul unor asemenea încălcări, persoana vizata poate intenta acțiune în instanța fie împotriva exportatorului, fie împotriva importatorului de date, fie împotriva ambilor.
(3) Dacă o parte este trasa la răspundere, potrivit alin. (1), pentru încălcarea unei prevederi de către cealaltă parte, prima parte va fi compensata de aceasta din urma pentru orice cheltuieli sau prejudicii.*)
------------
(1) În cazul unui litigiu între persoana vizata și una dintre părți, care nu este soluționat pe cale amiabila, iar persoana vizata invoca prevederea terțului beneficiar din clauza 3, vor accepta opțiunea persoanei vizate:
a) sa supună litigiul medierii unei persoane independente;
b) sa supună litigiul instanțelor din România.
(2) Prin acordul dintre persoana vizata și exportatorul sau importatorul de date litigiul poate fi supus unui organ de arbitraj, dacă partea are sediul într-o țara care a ratificat Convenția de la New York privind executarea hotărârilor arbitrale.
(3) Aplicarea alin. (1) și (2) nu aduce atingere drepturilor substanțiale sau procedurale ale persoanelor vizate, de a fi despagubite, potrivit altor prevederi legale naționale sau internaționale.
Clauza 8: Cooperarea cu autoritățile de supraveghere
Părțile vor depune la autoritatea de supraveghere o copie a clauzelor, la solicitarea acesteia sau dacă legea prevede astfel.
Clauza 9: Încetarea clauzelor
Încetarea clauzelor în orice moment, în orice împrejurări și din orice motiv nu scutește părțile de obligațiile și/sau de condițiile clauzelor în ceea ce privește prelucrarea datelor transferate.
Clauza 10: Legea contractului
Clauzele sunt guvernate de legea română, adică ......................
Clauza 11: Modificarea contractului
Părțile se obliga sa nu modifice prezentele clauze.
În numele exportatorului de date:
Numele (scris integral): ......................................
funcția .........................................................
adresa ..........................................................
Alte informații necesare pentru a impune obligativitatea contractului (dacă exista): ..........................
...................
(semnatura)
(ștampila)
În numele importatorului de date:
Numele (scris integral): ......................................
funcția .........................................................
adresa ..........................................................
Alte informații necesare pentru a impune obligativitatea contractului (dacă exista): ..........................
.................
(semnatura)
(ștampila)
APENDIX 1
la clauzele contractuale standard, care cuprinde
informații potrivit clauzei 2
Prezentul apendix face parte din clauze și trebuie completat și semnat de părți.
Exportatorul de date
Exportatorul de date efectuează (se menționează pe scurt activitățile relevante pentru transfer):............................
Importatorul de date
Importatorul de date efectuează (se menționează pe scurt activitățile relevante pentru transfer): ............................
Persoanele vizate
Datele cu caracter personal transferate se referă la următoarele categorii de persoane vizate: ..............................
Scopurile transferului
Transferul este necesar în următoarele scopuri: ..........................
Categorii de date
Datele cu caracter personal transferate fac parte din următoarele categorii de date: ................................................
Categorii speciale de date (dacă este cazul)
Datele cu caracter personal transferate sunt incluse în următoarele categorii de date cu caracter special: ........
Destinatarii
Datele cu caracter personal transferate pot fi dezvăluite doar următorilor destinatari sau categorii de destinatari: ..........................................
Durata stocării
Datele cu caracter personal transferate pot fi stocate doar până la: ....(luni/ani)
Exportatorul de date,
Importatorul de date,
.....................
.....................
(numele)
(numele)
(semnatura autorizata)
(semnatura autorizata)
APENDIX 2
la clauzele contractuale standard, care cuprinde
principiile obligatorii de protecție a datelor menționate
în clauza 5 lit. b) teza 1
Aceste principii obligatorii de protecție a datelor trebuie citite și interpretate în lumina prevederilor (principii și excepții corespunzătoare) din
pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date.
Principiile se aplică conform legislației naționale a importatorului de date, dacă aceasta nu excede cerințelor necesare pentru apărarea naționala, siguranța naționala, ordinea publică, prevenirea, cercetarea și reprimarea infracțiunilor, intereselor economice sau financiare importante ale statului, activităților efectuate în îndeplinirea unor atribuții de autoritate publică legate de domeniile sus-menționate, de apărarea persoanei vizate sau a drepturilor și libertăților celorlalte persoane.
1. Limitarea la scop: datele trebuie prelucrate și utilizate ulterior sau comunicate mai departe doar în scopurile determinate în apendixul 1 la clauze. Datele nu trebuie păstrate mai mult timp decât este necesar pentru scopurile în care au fost transferate.
2. Calitatea datelor și proportionalitatea: datele trebuie să fie exacte și, atunci când este cazul, actualizate. Datele trebuie să fie adecvate, pertinente și neexcesive în raport cu scopul în care au fost transferate sau prelucrate ulterior.
3. Transparenta: persoanelor vizate trebuie să li se furnizeze informații referitoare la scopurile prelucrării și la identitatea operatorului de date din străinătate, precum și orice alte informații necesare asigurării unei prelucrari corecte, cu excepția cazului în care asemenea informații le-au fost deja furnizate.
4. Securitatea și confidențialitatea: operatorul de date trebuie să adopte măsuri tehnice și organizatorice de securitate corespunzătoare riscurilor pe care le prezintă prelucrarea, cum ar fi accesul neautorizat. Orice persoană care acționează sub autoritatea operatorului de date, inclusiv persoana imputernicita, trebuie să prelucreze datele doar pe baza instrucțiunilor operatorului.
5. Dreptul de acces, rectificare, ștergere și blocare a datelor: asa cum se prevede în
art. 13 și 14 din Legea nr. 677/2001 , persoanele vizate trebuie să aibă acces la toate datele prelucrate care le privesc și, dacă este cazul, drept de rectificare, ștergere sau blocare a datelor a căror prelucrare nu respecta principiile stabilite în acest apendix, mai ales a datelor incomplete sau inexacte. De asemenea, din motive întemeiate care țin de situația lor particulară, persoanelor vizate trebuie să li se asigure dreptul de a se opune prelucrării datelor care le privesc.
6. Limitarea transferurilor ulterioare: transferurile ulterioare de date cu caracter personal de la importatorul de date la alt operator stabilit într-un stat care nu asigura o protecție adecvată poate avea loc doar în următoarele situații:
a) în cazul categoriilor speciale de date, dacă persoanele vizate și-au dat consimțământul neechivoc pentru transferul ulterior sau li s-a dat posibilitatea să se opună. Informațiile minime furnizate persoanelor vizate trebuie să fie transmise într-o limbă pe care să o înțeleagă și vor cuprinde:
- scopurile transferului ulterior;
- identitatea exportatorului de date stabilit în România;
- categoriile de destinatari ulteriori ai datelor și țările de destinație; și
- mențiunea ca după transferul ulterior datele pot fi prelucrate de un operator stabilit într-o țara unde nu exista un nivel adecvat de protecție a vieții intime a persoanelor;
b) în cazul în care exportatorul și importatorul de date convin asupra aderării altui operator la clauze, care astfel devine parte la clauze și își asuma aceleași obligații ca importatorul de date.
7. Categorii speciale de date: trebuie asigurate garanții suplimentare, mai ales măsuri de securitate corespunzătoare, cum ar fi encriptarea pentru transmitere sau păstrarea unei evidente a accesului la date, atunci când sunt prelucrate date privind originea rasială sau etnică, opiniile politice, credintele religioase sau filosofice ori apartenența sindicala, date privind starea de sănătate sau viața sexuală, date având o funcție de identificare de aplicabilitate generală și date referitoare la săvârșirea de infracțiuni de către persoana vizata ori la condamnări penale, măsuri de siguranță sau sancțiuni administrative ori contravenționale aplicate persoanei vizate.
8. Marketingul direct: dacă datele sunt prelucrate în scopuri de marketing direct, trebuie să existe proceduri concrete care să permită oricând persoanei vizate să se opună folosirii datelor sale în asemenea scopuri.
9. Deciziile automatizate individuale: persoanele vizate au dreptul sa nu fie supuse unei decizii bazate exclusiv pe prelucrarea automată a datelor, cu excepția cazului în care sunt luate măsuri pentru apărarea intereselor legitime ale persoanei, asa cum se prevede în
art. 17 din Legea nr. 677/2001 . Atunci când scopul transferului este luarea unei decizii prin mijloace automate, asa cum se menționează în
art. 17 din Legea nr. 677/2001 , care produce efecte juridice pentru persoana vizata sau care o afectează în mod semnificativ și care se bazează exclusiv pe prelucrarea automată a datelor, care intenționează sa evalueze anumite aspecte personale referitoare la persoana vizata, cum ar fi performanta profesională, credibilitatea, responsabilitatea, comportamentul etc., persoana trebuie să aibă dreptul sa cunoască motivele acestei decizii.
APENDIX 3
la clauzele contractuale standard, care cuprinde
principiile obligatorii de protecție a datelor menționate
în clauza 5 lit b) teza 2
1. Limitarea la scop: datele trebuie prelucrate, utilizate ulterior sau comunicate mai departe doar în scopurile determinate în apendixul 1 la clauze. Datele nu trebuie păstrate mai mult timp decât este necesar pentru scopurile în care au fost transferate.
2. Dreptul de acces, de opoziție, de rectificare, ștergere și blocare a datelor: asa cum se prevede în
art. 13 și 14 din Legea nr. 677/2001
pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, persoanele vizate trebuie să aibă dreptul de acces la toate datele care le privesc, care sunt prelucrate, și, dacă este cazul, drept de rectificare, ștergere și blocare a datelor a căror prelucrare nu respecta principiile stabilite în acest apendix, mai ales a datelor incomplete sau inexacte. De asemenea, trebuie să aibă dreptul de a se opune prelucrării datelor care le privesc, din motive întemeiate care țin de situația lor particulară.
3. Limitarea transferurilor ulterioare: transferurile ulterioare de date cu caracter personal de la importatorul de date la alt operator stabilit într-un stat care nu asigura o protecție adecvată pot avea loc doar în următoarele situații:
a) în cazul categoriilor speciale de date, persoanele vizate și-au dat consimțământul neechivoc pentru transferul ulterior de date cu caracter personal sau li s-a dat posibilitatea să se opună efectuării acestor operațiuni. Informațiile minime furnizate persoanelor vizate trebuie să fie transmise într-o limbă pe care să o înțeleagă și vor cuprinde:
- scopurile transferului ulterior;
- identitatea exportatorului de date stabilit în România;
- categoriile de destinatari ulteriori ai datelor, țările de destinație; și
- mențiunea ca după transferul ulterior datele pot fi prelucrate de un operator stabilit într-o țara unde nu exista un nivel adecvat de protecție a vieții intime a persoanelor;
b) exportatorul și importatorul de date convin asupra aderării la clauze a altui operator care astfel devine parte la clauze și își asuma aceleași obligații ca și importatorul de date.
--------------
*) Alineatul (3) este optional.
Clauza 7: Medierea și jurisdicția
Textul este prelucrat automat din sursa indicată; numerotarea și legăturile pot conține erori. Referințele subliniate duc la actele citate, așa cum au fost identificate de noi.