Decizia nr. 167/2006

Anexa CLAUZE CONTRACTUALE STANDARD

în cazul transferurilor de date cu caracter personal către un

împuternicit stabilit într-un stat a cărui legislație nu prevede un

nivel de protecție cel puțin egal cu cel oferit de legea română

În conformitate cu

art. 29 alin. (4) din Legea nr. 677/2001

pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, modificată și completată,

Numele sau denumirea persoanei care exporta datele ..............

Adresa ......................................

Telefon ....., fax ........, e-mail .....

Alte informații necesare pentru identificarea persoanei: ............

(exportatorul de date)

și

Numele sau denumirea persoanei care importa datele ......

Adresa .......................

Telefon ........, fax ........, e-mail ................

Alte informații necesare pentru identificarea persoanei: .............(importatorul de date),

AU CONVENIT asupra următoarelor clauze contractuale (clauze), pentru a oferi garanții adecvate protecției drepturilor și libertăților fundamentale ale persoanelor, în special a dreptului la viața intima, familială și privată, în legătură cu transferul datelor cu caracter personal de la exportatorul de date către împuternicitul care importa datele prevăzute în Anexa nr. 1:

Clauza 1: Definiții

În sensul acestor clauze:

a) "date cu caracter personal" înseamnă orice informații referitoare la o persoană fizica identificata sau identificabila; o persoană identificabila este acea persoana care poate fi identificata, direct sau indirect, în mod particular prin referire la un număr de identificare ori la unul sau mai mulți factori specifici identității sale fizice, fiziologice, psihice, economice sau culturale;

b) "categorii speciale de date" înseamnă categoriile de date menționate la

cap. III din Legea nr. 677/2001 , modificată și completată;

c) "prelucrarea datelor cu caracter personal" înseamnă orice operațiune sau set de operațiuni care se efectuează asupra datelor, prin mijloace automate sau neautomate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvaluirea către terți prin transmitere, diseminare sau în orice alt mod, alaturarea ori combinarea, blocarea, ștergerea sau distrugerea;

d) "persoana vizata" înseamnă persoana fizica ale carei date cu caracter personal sunt prelucrate;

e) "exportator de date" înseamnă operatorul care transfera datele cu caracter personal;

f) "importator de date" înseamnă împuternicitul stabilit într-un stat din afară Uniunii Europene, care este de acord sa primească date de la exportatorul de date, pentru a fi prelucrate după transfer pe seama acestuia, în conformitate cu instrucțiunile primite de la exportatorul de date și cu obligațiile prevăzute în prezentele clauze și care nu este supus unui sistem de protecție a datelor personale adecvat, în statul de destinație;

g) "autoritate de supraveghere" înseamnă Autoritatea Naționala de Supraveghere a Prelucrării Datelor cu Caracter Personal;

h) "legislația de protecție a datelor aplicabilă" înseamnă

Legea nr. 677/2001 , modificată și completată, care protejeaza drepturile și libertățile fundamentale ale persoanelor fizice și, în particular, dreptul acestora la intimitate cu privire la prelucrarea datelor, aplicabilă în România;

i) "măsuri de securitate tehnice și organizatorice" înseamnă acele măsuri care au ca obiect protecția datelor cu caracter personal împotriva distrugerii accidentale sau ilegale, pierderii accidentale, alterarii, divulgării sau accesului neautorizat, în special în cazul în care prelucrarea implica transmiterea datelor prin intermediul unei rețele, precum și împotriva oricăror alte forme de prelucrare ilegala.

Clauza 2: Informații privind transferul

Informațiile privind transferul, în particular, categoriile speciale de date cu caracter personal, dacă este cazul, sunt menționate în Anexa nr. 1. care face parte integrantă din prezentele clauze contractuale.

Clauza 3: Clauza terțului beneficiar

Persoanele vizate pot invoca împotriva exportatorului de date prezenta clauza, clauza 4 lit. b)-h), clauza 5 lit. a)-e) și g), clauza 6 alin. (1) și (2), clauza 8 alin. (2) și clauzele 9, 10 și 11, ca terți beneficiari.

Persoanele vizate pot invoca împotriva importatorului de date prezenta clauza, clauza 5 lit. a)-e) și g), clauza 6 alin. (1) și (2), clauza 7, clauza 8 alin. (2) și clauzele 9, 10 și 11, în cazul în care exportatorul de date a dispărut sau a încetat sa existe.

Părțile nu se opun ca persoanele vizate să fie reprezentate, la cerere, de o asociație sau de alte persoane, dacă legea permite.

Clauza 4: Obligațiile exportatorului de date

Exportatorul de date garantează ca:

a) prelucrarea, inclusiv transferul datelor cu caracter personal, au fost și vor fi efectuate în continuare potrivit prevederilor legale privind protecția datelor personale și ca acestea au fost notificate autorității de supraveghere, dacă este cazul;

b) importatorul de date a fost și va fi instruit pe parcursul prelucrării datelor personale transferate, pentru a prelucra datele numai pe seama exportatorului de date și în conformitate cu prevederile legale și cu prezentele clauze contractuale;

c) importatorul de date prezintă suficiente garanții pentru respectarea măsurilor de securitate tehnice și organizatorice menționate în Anexa nr. 2 la aceste clauze contractuale;

d) măsurile de securitate adoptate sunt corespunzătoare pentru protejarea datelor personale împotriva distrugerii accidentale sau ilegale, pierderii, modificării, dezvaluirii sau accesului neautorizat, în special dacă prelucrarea respectiva comporta transmisii de date în cadrul unei rețele, precum și împotriva oricărei alte forme de prelucrare ilegala și ca aceste măsuri asigura un nivel de securitate corespunzător riscurilor prezentate de prelucrare și de natura datelor care trebuie protejate, ținând cont de progresul tehnic și de costurile de implementare;

e) va asigura respectarea măsurilor de securitate;

f) în cazul în care transferul implica categorii speciale de date, persoana vizata a fost informată sau va fi informată anterior transferului ca date pot fi transmise către un stat care nu asigura un nivel de protecție cel puțin egal cu cel oferit de legea română;

g) va inainta notificarea primită de la importatorul de date conform clauzei 5 lit. b) autorității de supraveghere, în cazul în care decide sa continue transferul sau sa revoce suspendarea;

h) va pune la dispoziție persoanelor vizate, la cerere, o copie a prezentelor clauze, cu excepția Anexei nr. 2 care va fi înlocuită cu o descriere sumară a măsurilor de securitate.

Clauza 5: Obligații ale importatorului de date

Importatorul de date garantează ca:

a) va prelucra datele personale numai pe seama exportatorului de date și în conformitate cu instrucțiunile primite și cu prezentele clauze contractuale; în cazul în care nu poate îndeplini aceasta obligație, din orice motiv, va informa de îndată pe exportatorul de date, caz în care acesta are dreptul sa suspende transferul și/sau sa înceteze contractul;

b) legislația ce îi este aplicabilă nu îl împiedica să se conformeze instrucțiunilor exportatorului de date și să își îndeplinească obligațiile decurgând din prezentele clauze contractuale și ca, în cazul unor modificări legislative care ar fi posibil să aibă un efect negativ asupra garanțiilor și obligațiilor prevăzute de prezentele clauze contractuale, le va notifica de îndată exportatorului de date, caz în care exportatorul de date are dreptul sa suspende transferul de date și/sau sa înceteze contractul;

c) a implementat măsurile de securitate tehnice și organizatorice menționate în Anexa nr. 2, înainte de a începe prelucrarea datelor transferate;

d) va informa de îndată exportatorul de date în legătură cu:

1. orice solicitare de dezvaluire obligatorie a datelor personale, adresată de o autoritate publică, cu excepția cazului în care se interzice informarea, cum ar fi în cazul activităților de cercetare și urmărire penală supuse obligației de confidențialitate;

2. orice acces accidental sau neautorizat;

3. orice solicitare primită direct de la persoanele vizate cărora nu li s-a răspuns, cu excepția cazului în care a fost autorizat în acest sens;

e) va soluționa de îndată și în mod corespunzător toate cererile exportatorului de date referitoare la prelucrarea datelor personale transferate și va respecta dispozițiile date de autoritatea de supraveghere în privinta prelucrării datelor personale transferate;

f) la cererea exportatorului de date, va supune mijloacele sale de prelucrare controlului acestuia sau al unui organ de control compus din membri independenți, cu calificarile profesionale necesare, supuși obligației de confidențialitate, aleși de exportatorul de date cu acordul autorității de supraveghere, dacă este cazul;

g) va pune la dispoziția persoanelor vizate, la cererea acestora, o copie a prezentelor clauzelor contractuale, cu excepția Anexei nr. 2 care va fi înlocuită de o descriere sumară a măsurilor de securitate în acele cazuri în care persoanele vizate nu au posibilitatea obținerii unei copii de la exportatorul de date.

Clauza 6: Răspunderea părților

(1) Persoana vizata care a suferit un prejudiciu ca urmare a oricărei încălcări a prevederilor menționate în clauza 3 are dreptul sa primească de la exportatorul de date compensații pentru prejudiciul suferit.

(2) Dacă persoana vizata nu poate trage la răspundere exportatorul de date, conform alin. (1), ca urmare a încălcării obligațiilor importatorului de date prevăzute în clauza 3, întrucât exportatorul de date a dispărut, a încetat sa existe sau a devenit insolvabil, persoana vizata se poate indrepta împotriva importatorului de date.

(3) Dacă o parte este trasa la răspundere, pentru încălcarea unei prevederi de către cealaltă parte, prima parte va fi compensata de aceasta din urma pentru orice cheltuieli, pagube, costuri sau pierderi, în limita prejudiciului produs.

Compensarea se acordă cu îndeplinirea următoarelor condiții cumulative:

a) exportatorul de date a notificat de îndată importatorul de date în legătură cu plângerea adresată;

b) s-a recunoscut dreptul importatorului de date de a coopera cu exportatorul de date, în vederea soluționării plângerii.*)

----------

(1) În cazul în care persoana vizata invoca prevederea terțului beneficiar împotriva importatorului de date și/sau solicita despăgubiri pentru prejudiciul cauzat, conform prezentelor clauze, importatorul de date va accepta opțiunea persoanei vizate:

a) sa supună litigiul medierii unei persoane independente sau autorității de supraveghere, dacă este cazul;

b) sa supună litigiul instanțelor din România.

(2) Prin acordul dintre persoana vizata și importatorul de date litigiul poate fi supus unui organ de arbitraj, dacă importatorul de date are sediul într-un stat care a ratificat Convenția de la New York privind executarea hotărârilor arbitrale.

(3) Aplicarea alin. (1) și (2) nu aduce atingere dreptului persoanelor vizate de a fi despagubite, potrivit altor prevederi legale naționale sau internaționale.

Clauza 8: Cooperarea cu autoritățile de supraveghere

(1) Exportatorul de date va depune la autoritatea de supraveghere o copie a prezentelor clauze contractuale, dacă legea prevede astfel sau la solicitarea autorității de supraveghere.

(2) Autoritatea de supraveghere are dreptul de a efectua un control al importatorului de date, în aceleași condiții aplicabile, potrivit legii, exportatorului de date.

Clauza 9: Legea contractului

Clauzelor contractuale li se aplică legea română, respectiv

.....................

Clauza 10: Modificarea contractului

Părțile se obliga sa nu modifice prezentele clauze contractuale.

Clauza 11: Obligațiile importatorului de date după încetarea prelucrării datelor personale

(1) La încetarea prelucrării datelor personale, importatorul de date va returna exportatorului de date, conform opțiunii acestuia, toate datele personale transferate și copiile acestora sau le va distruge, operațiuni care vor fi certificate exportatorului de date, cu excepția cazului în care legislația importatorului de date nu îi permite returnarea sau distrugerea parțială sau integrală a datelor personale transferate. În acest caz, importatorul de date va garanta respectarea obligației de confidențialitate a datelor personale transferate și faptul că nu va prelucra în continuare aceste date.

(2) Importatorul de date garantează ca, la cererea exportatorului de date și/sau a autorității de supraveghere, va permite efectuarea unui control al mijloacele sale de prelucrare, pentru verificarea îndeplinirii obligațiilor prevăzute la alin. (1).

În numele exportatorului de date:

Numele (scris integral): ....................................

Funcția .....................................................

Adresa ....................................................

Alte informații necesare pentru a impune obligativitatea contractului (dacă este cazul): .................................

Semnatura ............

( )

(ștampila)

În numele importatorului de date:

Numele (scris integral): ....................................

Funcția .....................................................

Adresa ....................................................

Alte informații necesare pentru a impune obligativitatea contractului (dacă este cazul): .................................

Semnatura ............

( )

(ștampila)

Anexa 1 -------

la clauzele contractuale standard

---------------------------------

INFORMAȚII

privind transferul datelor cu caracter personal

Date de identificare:

Exportatorul de date: Exportatorul de date efectuează (se menționează pe scurt activitățile relevante pentru transfer):

....................................................

....................................................

....................................................

Importatorul de date:

Importatorul de date efectuează (se menționează pe scurt activitățile relevante pentru transfer):

....................................................

....................................................

....................................................

....................................................

Persoanele vizate:

Datele cu caracter personal transferate se referă la următoarele categorii de persoane vizate:

....................................................

....................................................

....................................................

....................................................

Scopurile transferului:

Transferul este necesar în următoarele scopuri:

....................................................

....................................................

....................................................

....................................................

Operațiuni de prelucrare:

Datele cu caracter personal transferate vor fi prelucrate prin următoarele operațiuni principale:

....................................................

....................................................

....................................................

Categorii de date:

Datele cu caracter personal transferate fac parte din următoarele categorii de date:

....................................................

....................................................

....................................................

....................................................

Categorii speciale de date (dacă este cazul):

Datele cu caracter personal transferate fac parte din următoarele categorii de date cu caracter special:

....................................................

....................................................

....................................................

Durata stocării:

Datele cu caracter personal transferate pot fi stocate doar până la:

....................................................

(luni/ani)

EXPORTATORUL DE DATE

IMPORTATORUL DE DATE

(numele) .......................

(numele) ........................

(semnătura autorizată) .........

(semnătura autorizată) ..........

Notă: Prezentul apendix este parte integrantă a clauzelor contractuale și trebuie completat și semnat de părți.

Anexa 2 -------

la clauzele contractuale standard

---------------------------------

MĂSURILE BE SECURITATE TEHNICE ȘI ORGANIZATORICE,

IMPLEMENTATE DE IMPORTATORUL DE DATE

Descrierea măsurilor de securitate tehnice și organizatorice, implementate de importatorul de date în conformitate cu clauzele 4 lit. d) și 5 lit. c) (se poate anexa un alt document sau prevederile legale aplicabile):

....................................................

....................................................

....................................................

Notă: Prezentul apendix este parte integrantă a clauzelor contractuale și trebuie completat și semnat de părți.

-------