privind stabilirea Clauzelor contractuale standard în cazul transferurilor de date cu caracter personal către un operator stabilit într-un stat a cărui legislaţie nu prevede un nivel de protecţie cel puţin egal cu cel oferit de legea română
În temeiul Hotărârii Senatului României nr. 33 din 4 octombrie 2001 pentru numirea Avocatului Poporului,vazand prevederile art. 13 din Legea nr. 35/1997 privind organizarea şi funcţionarea instituţiei Avocatul Poporului, modificată şi completată prin Legea nr. 181/2002, şi ale art. 4 din Regulamentul de organizare şi funcţionare a instituţiei Avocatul Poporului, aprobat prin Hotărârea Biroului permanent al Senatului nr. 5/2002,în aplicarea prevederilor art. 29 alin. (4) din Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date, conform cărora Avocatul Poporului, în calitate de autoritate de supraveghere, poate autoriza transferul de date cu caracter personal către un stat a cărui legislaţie nu prevede un nivel de protecţie cel puţin egal cu cel oferit de legea română, atunci când operatorul oferă garanţii suficiente cu privire la protecţia drepturilor fundamentale ale persoanelor, garanţii care trebuie să fie stabilite prin contracte încheiate între operatori şi persoanele fizice sau juridice din dispoziţia cărora se efectuează transferul,având în vedere Nota Direcţiei pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal nr. 551 din 29 ianuarie 2003 privind clauzele contractuale standard pentru transferul datelor cu caracter personal către statele a căror legislaţie nu prevede un nivel de protecţie cel puţin egal cu cel oferit de legea română,având în vedere exigenta elaborării unor clauze contractuale standard care oferă garanţii suficiente cu privire la protecţia drepturilor fundamentale ale persoanelor, în cazul transferurilor de date cu caracter personal de la un operator stabilit în România către un operator stabilit într-un stat a cărui legislaţie nu prevede un nivel de protecţie cel puţin egal cu cel oferit de legea română, precum şi a publicării clauzelor contractuale standard respective în Monitorul Oficial al României, Partea I, în scopul ca acestea să poată fi cunoscute în mod corespunzător de către operatorii menţionaţi,Avocatul Poporului emite prezentul ordin. +
Articolul 1Se aprobă Clauzele contractuale standard în cazul transferurilor de date cu caracter personal către un operator stabilit într-un stat a cărui legislaţie nu prevede un nivel de protecţie cel puţin egal cu cel oferit de legea română, prevăzute în anexa, denumite în continuare clauze contractuale standard. +
Articolul 2(1) Prevederile prezentului ordin nu afectează aplicarea altor prevederi legale care privesc prelucrarea datelor cu caracter personal. … (2) Prezentul ordin nu se aplică transferului de date cu caracter personal, realizat de către operatorii, stabiliţi în România, către destinatarii stabilit, în străinătate, care acţionează doar ca împuterniciţi. … +
Articolul 3În înţelesul prezentului ordin, următorii termeni se definesc după cum urmează:a) categorii speciale de date – categoriile de date menţionate în cap. III din Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date; … b) exportator de date – operatorul stabilit în România, care transfera date cu caracter personal; … c) importator de date – operatorul stabilit în străinătate, care este de acord sa primească date cu caracter personal de la exportatorul de date pentru prelucrare ulterioară. … +
Articolul 4(1) Avocatul Poporului poate dispune interzicerea sau suspendarea transferului datelor cu caracter personal de către exportator către un alt stat, pentru a proteja drepturile fundamentale ale persoanelor în legătură cu prelucrarea datelor lor cu caracter personal, atunci când: … a) legea naţionala a importatorului îl obliga sa nu respecte clauzele contractuale standard, iar acest fapt nu este motivat de cauze care ţin de apărarea naţionala, siguranţa naţionala, ordinea publică, prevenirea, cercetarea şi reprimarea infracţiunilor, interesele economice sau financiare importante ale statului, activităţile efectuate în îndeplinirea unor atribuţii de autoritate publică legate de domeniile sus menţionate, de apărarea persoanei vizate sau a drepturilor şi libertăţilor celorlalte persoane; … b) exista posibilitatea de nerespectare a clauzelor contractuale standard, iar desfăşurarea transferului prezintă riscul prejudicierii persoanelor vizate; … c) o autoritate competentă a stabilit ca importatorul de date nu a respectat clauzele contractuale. … (2) Interdicţia sau suspendarea aplicată conform alin. (1) va fi ridicată de îndată ce au încetat motivele care au determinat luarea acestei măsuri. … +
Articolul 5Prezentul ordin va fi publicat în Monitorul Oficial al României, Partea I. +
Articolul 6Anexa cuprinzând Clauzele contractuale standard în cazul transferurilor de date cu caracter personal către un operator stabilit într-un stat a cărui legislaţie nu prevede un nivel de protecţie cel puţin egal cu cel oferit de legea română face parte integrantă din prezentul ordin.AVOCATUL POPORULUI,prof. univ. dr. IOAN MURARUBucureşti, 29 ianuarie 2003.Nr. 6. +
AnexăCLAUZE CONTRACTUALE STANDARDîn cazul transferurilor de date cu caracterpersonal către un operator stabilit într-un stat a cărui legislaţie nuprevede un nivel de protecţie cel puţin egal cu cel oferit de legea românăNumele sau denumirea persoanei care exporta datele ………, adresa ……. telefon …… fax …… e-mail ……….Alte informaţii necesare pentru identificarea persoanei: ……….. /(exportatorul de date)şiNumele sau denumirea persoanei care importa datele ……. adresa …… telefon ……. fax ……. e-mail ………Alte informaţii necesare pentru identificarea persoanei: ……….. /(importatorul de date)au convenit asupra următoarelor clauze contractuale (clauze), menţionate în apendixul 1, pentru a oferi garanţii adecvate protecţiei drepturilor şi libertăţilor fundamentale ale persoanelor, în special a dreptului la viaţa intima, familială şi privată, în legătură cu transferul datelor cu caracter personal de la exportator către importatorul de date:Clauza 1: DefiniţiiÎn sensul acestor clauze:a) categorii speciale de date înseamnă categoriile de date menţionate la cap. III din Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date; … b) persoana vizata înseamnă persoana fizica ale carei date cu caracter personal sunt prelucrate; … c) exportator de date înseamnă operatorul care transfera datele cu caracter personal; … d) importator de date înseamnă operatorul care este de acord sa primească date cu caracter personal de la exportatorul de date, pentru prelucrare ulterioară, în condiţiile acestor clauze, şi care nu este supus unei legislaţii care prevede un nivel de protecţie cel puţin egal cu cel oferit de legea română. … Clauza 2: Detalii privind transferulDetaliile privind transferul, categoriile de date cu caracter personal şi scopurile în care acestea pot fi transferate sunt menţionate în apendixul 1 care face parte integrantă din clauze.Clauza 3: Clauza terţului beneficiarPersoanele vizate pot aplica clauza 4 lit. b), c) şi d), clauza 5 lit. a), b), c) şi e), clauza 6 alin. (1) şi (2) şi clauzele 7, 9 şi 11 din acest act, ca terţi beneficiari. Părţile nu se opun ca persoanele vizate să fie reprezentate, la cerere, de o asociaţie sau de alte persoane juridice, dacă legea permite.Clauza 4: Obligaţiile exportatorului de dateExportatorul de date garantează ca:a) prelucrarea până în momentul transferului şi transferul ulterior al datelor cu caracter personal au fost şi vor fi efectuate în continuare potrivit prevederilor legale; … b) dacă transferul presupune categorii speciale de date, persoana vizata a fost informată sau va fi informată anterior transferului ca aceste date pot fi transmise către un stat a cărui legislaţie nu prevede un nivel de protecţie cel puţin egal cu cel oferit de legea română; … c) va pune la dispoziţie persoanelor vizate o copie a clauzelor referitoare la protecţia datelor cu caracter personal, la cererea acestora; … d) va răspunde la întrebările autorităţii de supraveghere şi la orice întrebări ale persoanelor vizate, cu privire la prelucrarea datelor cu caracter personal efectuată de către importatorul de date. … Clauza 5: Obligaţii ale importatorului de dateImportatorul de date garantează ca:a) legislaţia ce îi este aplicabilă nu îl împiedica să îşi îndeplinească obligaţiile decurgând din clauze şi ca, în cazul unor modificări legislative care ar fi posibil să aibă un efect negativ asupra garanţiilor prevăzute de aceste clauze, le va notifica exportatorului de date şi autorităţii de supraveghere din România, caz în care exportatorul de date are dreptul sa suspende transferul de date şi/sau sa înceteze contractul; … b) va prelucra datele cu caracter personal potrivit principiilor obligatorii de protecţie a datelor, prevăzute în apendixul 2 care face parte integrantă din prezentele clauze, sau, dacă s-a convenit expres de către părţi, conform principiilor obligatorii de protecţie a datelor, prevăzute în apendixul 3 care face parte integrantă din prezentele clauze, va prelucra datele conform prevederilor legale naţionale care apara drepturile şi libertăţile fundamentale ale persoanelor, în special dreptul la viaţa intima, familială şi privată, în legătură cu prelucrarea datelor cu caracter personal, aplicabile unui operator de date din România; … c) va soluţiona cu promptitudine şi într-un mod corespunzător toate solicitarile rezonabile formulate de exportatorul de date sau de persoana vizata, referitoare la prelucrarea efectuată de importator asupra datelor cu caracter personal transferate, va coopera cu autoritatea de supraveghere competenţa pe parcursul tuturor investigatiilor acesteia şi se va supune autorizării autorităţii de supraveghere în ceea ce priveşte prelucrarea datelor transferate; … d) la cererea exportatorului de date, va supune mijloacele sale de prelucrare controlului acestuia sau al unui organ de control compus din membri independenţi, cu calificarile profesionale necesare, aleşi de exportatorul de date cu acordul autorităţii de supraveghere; … e) la cererea persoanelor vizate, le va pune la dispoziţie o copie a clauzelor care privesc protecţia datelor cu caracter personal şi va indica persoana sau persoanele care răspund la solicitarile referitoare la prelucrarea datelor cu caracter personal. … Clauza 6: Răspunderea părţilor(1) Persoana vizata care a suferit un prejudiciu ca urmare a oricărei încălcări a prevederilor menţionate în clauza 3 are dreptul sa primească de la părţile contractante compensaţii pentru prejudiciul suferit. Părţile sunt scutite de aceasta răspundere doar dacă dovedesc ca nici una dintre ele nu este răspunzătoare de încălcarea acestor prevederi. … (2) Exportatorul şi importatorul de date sunt răspunzători în mod indiviz şi solidar pentru prejudiciul adus persoanei vizate, ca urmare a oricărei încălcări menţionate la alin. (1). În cazul unor asemenea încălcări, persoana vizata poate intenta acţiune în instanţa fie împotriva exportatorului, fie împotriva importatorului de date, fie împotriva ambilor. … (3) Dacă o parte este trasa la răspundere, potrivit alin. (1), pentru încălcarea unei prevederi de către cealaltă parte, prima parte va fi compensata de aceasta din urma pentru orice cheltuieli sau prejudicii.*) … ––––Notă …
*) Alineatul (3) este optional.Clauza 7: Medierea şi jurisdicţia(1) În cazul unui litigiu între persoana vizata şi una dintre părţi, care nu este soluţionat pe cale amiabila, iar persoana vizata invoca prevederea terţului beneficiar din clauza 3, vor accepta opţiunea persoanei vizate: … a) sa supună litigiul medierii unei persoane independente; … b) sa supună litigiul instanţelor din România. … (2) Prin acordul dintre persoana vizata şi exportatorul sau importatorul de date litigiul poate fi supus unui organ de arbitraj, dacă partea are sediul într-o ţara care a ratificat Convenţia de la New York privind executarea hotărârilor arbitrale. … (3) Aplicarea alin. (1) şi (2) nu aduce atingere drepturilor substanţiale sau procedurale ale persoanelor vizate, de a fi despagubite, potrivit altor prevederi legale naţionale sau internaţionale. … Clauza 8: Cooperarea cu autorităţile de supravegherePărţile vor depune la autoritatea de supraveghere o copie a clauzelor, la solicitarea acesteia sau dacă legea prevede astfel.Clauza 9: Încetarea clauzelorÎncetarea clauzelor în orice moment, în orice împrejurări şi din orice motiv nu scuteşte părţile de obligaţiile şi/sau de condiţiile clauzelor în ceea ce priveşte prelucrarea datelor transferate.Clauza 10: Legea contractuluiClauzele sunt guvernate de legea română, adică ………………….Clauza 11: Modificarea contractuluiPărţile se obliga sa nu modifice prezentele clauze.În numele exportatorului de date:Numele (scris integral): ………………………………..funcţia …………………………………………………adresa ………………………………………………….Alte informaţii necesare pentru a impune obligativitatea contractului (dacă exista): …………………….. ………………. (semnatura) (ştampila)În numele importatorului de date:Numele (scris integral): ………………………………..funcţia …………………………………………………adresa ………………………………………………….Alte informaţii necesare pentru a impune obligativitatea contractului (dacă exista): …………………….. …………….. (semnatura) (ştampila) +
APENDIX 1la clauzele contractuale standard, care cuprindeinformaţii potrivit clauzei 2Prezentul apendix face parte din clauze şi trebuie completat şi semnat de părţi.Exportatorul de dateExportatorul de date efectuează (se menţionează pe scurt activităţile relevante pentru transfer):……………………….Importatorul de dateImportatorul de date efectuează (se menţionează pe scurt activităţile relevante pentru transfer): ……………………….Persoanele vizateDatele cu caracter personal transferate se referă la următoarele categorii de persoane vizate: …………………………Scopurile transferuluiTransferul este necesar în următoarele scopuri: ……………………..Categorii de dateDatele cu caracter personal transferate fac parte din următoarele categorii de date: …………………………………………Categorii speciale de date (dacă este cazul)Datele cu caracter personal transferate sunt incluse în următoarele categorii de date cu caracter special: ……..DestinatariiDatele cu caracter personal transferate pot fi dezvăluite doar următorilor destinatari sau categorii de destinatari: ……………………………………Durata stocăriiDatele cu caracter personal transferate pot fi stocate doar până la: ….(luni/ani)Exportatorul de date, Importatorul de date, ………………… ………………… (numele) (numele)(semnatura autorizata) (semnatura autorizata) +
APENDIX 2la clauzele contractuale standard, care cuprindeprincipiile obligatorii de protecţie a datelor menţionateîn clauza 5 lit. b) teza 1Aceste principii obligatorii de protecţie a datelor trebuie citite şi interpretate în lumina prevederilor (principii şi excepţii corespunzătoare) din Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date.Principiile se aplică conform legislaţiei naţionale a importatorului de date, dacă aceasta nu excede cerinţelor necesare pentru apărarea naţionala, siguranţa naţionala, ordinea publică, prevenirea, cercetarea şi reprimarea infracţiunilor, intereselor economice sau financiare importante ale statului, activităţilor efectuate în îndeplinirea unor atribuţii de autoritate publică legate de domeniile sus-menţionate, de apărarea persoanei vizate sau a drepturilor şi libertăţilor celorlalte persoane.1. Limitarea la scop: datele trebuie prelucrate şi utilizate ulterior sau comunicate mai departe doar în scopurile determinate în apendixul 1 la clauze. Datele nu trebuie păstrate mai mult timp decât este necesar pentru scopurile în care au fost transferate.2. Calitatea datelor şi proportionalitatea: datele trebuie să fie exacte şi, atunci când este cazul, actualizate. Datele trebuie să fie adecvate, pertinente şi neexcesive în raport cu scopul în care au fost transferate sau prelucrate ulterior.3. Transparenta: persoanelor vizate trebuie să li se furnizeze informaţii referitoare la scopurile prelucrării şi la identitatea operatorului de date din străinătate, precum şi orice alte informaţii necesare asigurării unei prelucrari corecte, cu excepţia cazului în care asemenea informaţii le-au fost deja furnizate.4. Securitatea şi confidenţialitatea: operatorul de date trebuie să adopte măsuri tehnice şi organizatorice de securitate corespunzătoare riscurilor pe care le prezintă prelucrarea, cum ar fi accesul neautorizat. Orice persoană care acţionează sub autoritatea operatorului de date, inclusiv persoana imputernicita, trebuie să prelucreze datele doar pe baza instrucţiunilor operatorului.5. Dreptul de acces, rectificare, ştergere şi blocare a datelor: asa cum se prevede în art. 13 şi 14 din Legea nr. 677/2001, persoanele vizate trebuie să aibă acces la toate datele prelucrate care le privesc şi, dacă este cazul, drept de rectificare, ştergere sau blocare a datelor a căror prelucrare nu respecta principiile stabilite în acest apendix, mai ales a datelor incomplete sau inexacte. De asemenea, din motive întemeiate care ţin de situaţia lor particulară, persoanelor vizate trebuie să li se asigure dreptul de a se opune prelucrării datelor care le privesc.6. Limitarea transferurilor ulterioare: transferurile ulterioare de date cu caracter personal de la importatorul de date la alt operator stabilit într-un stat care nu asigura o protecţie adecvată poate avea loc doar în următoarele situaţii:a) în cazul categoriilor speciale de date, dacă persoanele vizate şi-au dat consimţământul neechivoc pentru transferul ulterior sau li s-a dat posibilitatea să se opună. Informaţiile minime furnizate persoanelor vizate trebuie să fie transmise într-o limbă pe care să o înţeleagă şi vor cuprinde: … – scopurile transferului ulterior;– identitatea exportatorului de date stabilit în România;– categoriile de destinatari ulteriori ai datelor şi ţările de destinaţie; şi– menţiunea ca după transferul ulterior datele pot fi prelucrate de un operator stabilit într-o ţara unde nu exista un nivel adecvat de protecţie a vieţii intime a persoanelor;b) în cazul în care exportatorul şi importatorul de date convin asupra aderării altui operator la clauze, care astfel devine parte la clauze şi îşi asuma aceleaşi obligaţii ca importatorul de date. … 7. Categorii speciale de date: trebuie asigurate garanţii suplimentare, mai ales măsuri de securitate corespunzătoare, cum ar fi encriptarea pentru transmitere sau păstrarea unei evidente a accesului la date, atunci când sunt prelucrate date privind originea rasială sau etnică, opiniile politice, credintele religioase sau filosofice ori apartenenţa sindicala, date privind starea de sănătate sau viaţa sexuală, date având o funcţie de identificare de aplicabilitate generală şi date referitoare la săvârşirea de infracţiuni de către persoana vizata ori la condamnări penale, măsuri de siguranţă sau sancţiuni administrative ori contravenţionale aplicate persoanei vizate.8. Marketingul direct: dacă datele sunt prelucrate în scopuri de marketing direct, trebuie să existe proceduri concrete care să permită oricând persoanei vizate să se opună folosirii datelor sale în asemenea scopuri.9. Deciziile automatizate individuale: persoanele vizate au dreptul sa nu fie supuse unei decizii bazate exclusiv pe prelucrarea automată a datelor, cu excepţia cazului în care sunt luate măsuri pentru apărarea intereselor legitime ale persoanei, asa cum se prevede în art. 17 din Legea nr. 677/2001. Atunci când scopul transferului este luarea unei decizii prin mijloace automate, asa cum se menţionează în art. 17 din Legea nr. 677/2001, care produce efecte juridice pentru persoana vizata sau care o afectează în mod semnificativ şi care se bazează exclusiv pe prelucrarea automată a datelor, care intenţionează sa evalueze anumite aspecte personale referitoare la persoana vizata, cum ar fi performanta profesională, credibilitatea, responsabilitatea, comportamentul etc., persoana trebuie să aibă dreptul sa cunoască motivele acestei decizii. +
APENDIX 3la clauzele contractuale standard, care cuprindeprincipiile obligatorii de protecţie a datelor menţionateîn clauza 5 lit b) teza 21. Limitarea la scop: datele trebuie prelucrate, utilizate ulterior sau comunicate mai departe doar în scopurile determinate în apendixul 1 la clauze. Datele nu trebuie păstrate mai mult timp decât este necesar pentru scopurile în care au fost transferate.2. Dreptul de acces, de opoziţie, de rectificare, ştergere şi blocare a datelor: asa cum se prevede în art. 13 şi 14 din Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date, persoanele vizate trebuie să aibă dreptul de acces la toate datele care le privesc, care sunt prelucrate, şi, dacă este cazul, drept de rectificare, ştergere şi blocare a datelor a căror prelucrare nu respecta principiile stabilite în acest apendix, mai ales a datelor incomplete sau inexacte. De asemenea, trebuie să aibă dreptul de a se opune prelucrării datelor care le privesc, din motive întemeiate care ţin de situaţia lor particulară.3. Limitarea transferurilor ulterioare: transferurile ulterioare de date cu caracter personal de la importatorul de date la alt operator stabilit într-un stat care nu asigura o protecţie adecvată pot avea loc doar în următoarele situaţii:a) în cazul categoriilor speciale de date, persoanele vizate şi-au dat consimţământul neechivoc pentru transferul ulterior de date cu caracter personal sau li s-a dat posibilitatea să se opună efectuării acestor operaţiuni. Informaţiile minime furnizate persoanelor vizate trebuie să fie transmise într-o limbă pe care să o înţeleagă şi vor cuprinde: … – scopurile transferului ulterior;– identitatea exportatorului de date stabilit în România;– categoriile de destinatari ulteriori ai datelor, ţările de destinaţie; şi– menţiunea ca după transferul ulterior datele pot fi prelucrate de un operator stabilit într-o ţara unde nu exista un nivel adecvat de protecţie a vieţii intime a persoanelor;b) exportatorul şi importatorul de date convin asupra aderării la clauze a altui operator care astfel devine parte la clauze şi îşi asuma aceleaşi obligaţii ca şi importatorul de date. … –––––
