ΑΝΑΚΟΙΝΩΣΗ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΠΡΟΣ ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ

Transcript

1 ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ Βρυξέλλες, COM(2015) 566 final ΑΝΑΚΟΙΝΩΣΗ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΠΡΟΣ ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την ΕΕ προς τις Ηνωμένες Πολιτείες της Αμερικής σύμφωνα με την οδηγία 95/46/ΕΚ κατόπιν της απόφασης του Δικαστηρίου στην υπόθεση C-362/14 (Schrems) EL EL

2 ΑΝΑΚΟΙΝΩΣΗ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΠΡΟΣ ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την ΕΕ προς τις Ηνωμένες Πολιτείες της Αμερικής σύμφωνα με την οδηγία 95/46/ΕΚ κατόπιν της απόφασης του Δικαστηρίου στην υπόθεση C-362/14 (Schrems) 1. ΕΙΣΑΓΩΓΗ: Η ΑΚΥΡΩΣΗ ΤΗΣ ΑΠΟΦΑΣΗΣ ΠΕΡΙ ΑΣΦΑΛΟΥΣ ΛΙΜΕΝΑ Το Δικαστήριο της Ευρωπαϊκής Ένωσης (στο εξής: «το Δικαστήριο»), στην απόφασή του της 6ης Οκτωβρίου 2015 στην υπόθεση C-362/14, Schrems) 1 επιβεβαιώνει τη σημασία του θεμελιώδους δικαιώματος της προστασίας των δεδομένων προσωπικού χαρακτήρα, όπως κατοχυρώνεται στον Χάρτη των Θεμελιωδών Δικαιωμάτων της ΕΕ, ακόμη και όταν τα δεδομένα αυτά διαβιβάζονται εκτός της ΕΕ. Οι διαβιβάσεις δεδομένων προσωπικού χαρακτήρα συνιστούν ουσιώδες στοιχείο των διατλαντικών σχέσεων. Η ΕΕ και οι Ηνωμένες Πολιτείες είναι οι σημαντικότεροι εμπορικοί εταίροι μεταξύ τους και οι διαβιβάσεις δεδομένων αποτελούν, όλο και περισσότερο, αναπόσπαστο μέρος των εμπορικών συναλλαγών τους. Προκειμένου να διευκολύνονται αυτές οι ροές δεδομένων και ταυτόχρονα να διασφαλίζεται υψηλό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα, η Επιτροπή αναγνώρισε την επάρκεια του πλαισίου του ασφαλούς λιμένα με την έκδοση της απόφασης 2000/520/ΕΚ της Επιτροπής, της 20ής Ιουλίου 2000 (στο εξής: «απόφαση περί ασφαλούς λιμένα»). Στην εν λόγω απόφαση, βάσει του άρθρου 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ 2, η Επιτροπή είχε αναγνωρίσει τις αρχές ασφαλούς λιμένα περί ιδιωτικής ζωής και τις συνοδευτικές συχνές ερωτήσεις (FAQ) που εξέδωσε το Υπουργείο Εμπορίου των ΗΠΑ ως παρέχουσες επαρκή προστασία για τον σκοπό των διαβιβάσεων δεδομένων προσωπικού χαρακτήρα από την ΕΕ 3. Ως αποτέλεσμα, τα δεδομένα προσωπικού χαρακτήρα θα μπορούσαν να διαβιβάζονται από τα κράτη μέλη της ΕΕ σε εταιρείες στις ΗΠΑ που έχουν προσυπογράψει τις εν λόγω αρχές, παρά την απουσία γενικής νομοθεσίας περί προστασίας των δεδομένων στις Ηνωμένες Πολιτείες. Η λειτουργία της ρύθμισης περί ασφαλούς λιμένα βασίστηκε στις δεσμεύσεις και την αυτοπιστοποίηση από τις εταιρείες που προσχωρούν. Ενώ η προσυπογραφή των αρχών ασφαλούς λιμένα και των συχνών ερωτήσεων είναι προαιρετική, οι κανόνες αυτοί είναι Απόφαση της 6ης Οκτωβρίου 2015 στην υπόθεση C-362/14, Maximilian Schrems κατά Data Protection Commissioner, EU:C:2015:650 (στο εξής και: «η απόφαση» ή «η απόφαση Schrems»). Οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 24ης Οκτωβρίου 1995 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών ΕΕ L 281 της , σ. 31 (στο εξής: «οδηγία 95/46/EΚ» ή «η οδηγία»). Για τους σκοπούς της παρούσας ανακοίνωσης, ο όρος «ΕΕ» καλύπτει και τον ΕΟΧ. Ως εκ τούτου, οι αναφορές στα «κράτη μέλη» νοείται ότι καλύπτουν και τα κράτη μέλη του ΕΟΧ. 2

3 δεσμευτικοί δυνάμει της νομοθεσίας των ΗΠΑ για τις οντότητες που τις έχουν προσυπογράψει και εκτελεστοί από την Ομοσπονδιακή Επιτροπή Εμπορίου των ΗΠΑ 4. Με την απόφασή του, της 6ης Οκτωβρίου 2015, το Δικαστήριο κήρυξε την απόφαση περί ασφαλούς λιμένα άκυρη. Στο πλαίσιο αυτό, στόχος της παρούσας ανακοίνωσης είναι η επισκόπηση των εναλλακτικών εργαλείων για τις διατλαντικές διαβιβάσεις δεδομένων σύμφωνα με την οδηγία 95/46/ΕΚ, ελλείψει απόφασης περί επάρκειας. Επίσης, περιγράφονται συνοπτικά οι συνέπειες της απόφασης για τις άλλες αποφάσεις της Επιτροπής περί επάρκειας. Στην απόφασή του, το Δικαστήριο διευκρίνισε ότι μια απόφαση περί επάρκειας βάσει του άρθρου 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ εξαρτάται από τη διαπίστωση της Επιτροπής ότι στην εν λόγω τρίτη χώρα υπάρχει επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που, μολονότι δεν είναι αναγκαστικά ταυτόσημο, είναι «ουσιαστικά ισοδύναμο» με αυτό που εξασφαλίζεται εντός της ΕΕ δυνάμει της οδηγίας, ερμηνευόμενης υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων. Όσον αφορά ειδικότερα την απόφαση περί ασφαλούς λιμένα το Δικαστήριο έκρινε ότι δεν περιλαμβάνει επαρκείς διαπιστώσεις της Επιτροπής σχετικά με τους περιορισμούς στην πρόσβαση των δημόσιων αρχών των ΗΠΑ στα δεδομένα που διαβιβάζονται σύμφωνα με την εν λόγω απόφαση και σχετικά με την ύπαρξη αποτελεσματικής δικαστικής προστασίας κατά των παρεμβάσεων αυτών. Συγκεκριμένα, το Δικαστήριο διευκρίνισε ότι η νομοθεσία που επιτρέπει στις δημόσιες αρχές να έχουν σε γενικευμένη βάση πρόσβαση στο περιεχόμενο των ηλεκτρονικών επικοινωνιών πρέπει να θεωρείται ότι θίγει την ουσία του θεμελιώδους δικαιώματος του σεβασμού της ιδιωτικής της ζωής. Επιπλέον, το Δικαστήριο επιβεβαίωσε ότι, ακόμα και όταν υπάρχει απόφαση περί επάρκειας δυνάμει του άρθρου 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ, οι αρχές προστασίας δεδομένων (ΑΠΔ) των κρατών μελών εξακολουθούν να έχουν την εξουσία και την υποχρέωση να εξετάζουν, με πλήρη ανεξαρτησία, αν οι διαβιβάσεις δεδομένων σε τρίτη χώρα συμμορφώνονται με τις απαιτήσεις που ορίζονται στην οδηγία 95/46/ΕΚ, ερμηνευόμενη υπό το πρίσμα των άρθρων 7, 8 και 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων. Ωστόσο, το Δικαστήριο τόνισε επίσης ότι μόνο το Δικαστήριο μπορεί να κηρύξει άκυρη μια πράξη της ΕΕ, όπως την απόφαση της Επιτροπής περί επάρκειας. Η απόφαση του Δικαστηρίου βασίζεται στην ανακοίνωση της Επιτροπής του 2013 σχετικά με τη λειτουργία του ασφαλούς λιμένα από την προοπτική των πολιτών της ΕΕ και των εταιρειών που είναι εγκατεστημένες στην ΕΕ 5, στην οποία η Επιτροπή εντόπισε ορισμένες αδυναμίες και διατύπωσε 13 συστάσεις. Με βάση τις εν λόγω συστάσεις, η Επιτροπή μετέχει σε συνομιλίες με τις αρχές των ΗΠΑ από τον Ιανουάριο του 2014 με σκοπό να θέσει σε 4 5 Για πιο εμπεριστατωμένη επισκόπηση της ρύθμισης περί ασφαλούς λιμένα, βλ. ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο σχετικά με τη λειτουργία του ασφαλούς λιμένα από την προοπτική των πολιτών της ΕΕ και των εταιρειών που είναι εγκατεστημένες στην ΕΕ, COM/2013/847 final. Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο σχετικά με τη λειτουργία του ασφαλούς λιμένα από τη σκοπιά των πολιτών της ΕΕ και των εταιρειών που είναι εγκατεστημένες στην ΕΕ, COM(2013) 847 final, Βλ. επίσης την ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, «Αποκατάσταση της εμπιστοσύνης στις ροές δεδομένων ΕΕ-ΗΠΑ», COM(2013) 846 final, , και το σχετικό μνημόνιο «Αποκατάσταση της εμπιστοσύνης στις ροές δεδομένων μεταξύ της ΕΕ και των ΗΠΑ Συχνές ερωτήσεις», MEMO/13/1059,

4 εφαρμογή μια ανανεωμένη και ενισχυμένη ρύθμιση για τις διατλαντικές ανταλλαγές δεδομένων. Σε συνέχεια της απόφασης, η Επιτροπή παραμένει προσηλωμένη στον στόχο της διαμόρφωσης ενός ανανεωμένου και ασφαλούς πλαισίου για τις διατλαντικές διαβιβάσεις δεδομένων προσωπικού χαρακτήρα. Στο πλαίσιο αυτό, επανέλαβε αμέσως και ενέτεινε τις συνομιλίες της με την κυβέρνηση των ΗΠΑ προκειμένου να εξασφαλιστεί ότι οποιαδήποτε νέα ρύθμιση για τις διατλαντικές διαβιβάσεις δεδομένων προσωπικού χαρακτήρα θα συμμορφώνεται πλήρως με τις απαιτήσεις που έθεσε το Δικαστήριο. Οποιοδήποτε τέτοιο πλαίσιο πρέπει, ως εκ τούτου, να προβλέπει επαρκείς περιορισμούς, ασφαλιστικές δικλείδες και μηχανισμούς δικαστικού ελέγχου ώστε να διασφαλίζεται η διαρκής προστασία των δεδομένων προσωπικού χαρακτήρα των πολιτών της ΕΕ, μεταξύ άλλων όσον αφορά την πιθανή πρόσβαση των δημόσιων αρχών για σκοπούς επιβολής του νόμου και εθνικής ασφάλειας. Εν τω μεταξύ, εκφράστηκαν ανησυχίες από τις επιχειρήσεις σχετικά με τις δυνατότητες για συνεχείς διαβιβάσεις δεδομένων 6. Συνεπώς, χρειάζεται να διευκρινιστεί υπό ποιες προϋποθέσεις οι διαβιβάσεις αυτές μπορούν να συνεχιστούν. Το γεγονός αυτό αποτέλεσε το έναυσμα για την έκδοση, στις 16 Οκτωβρίου, από την ομάδα εργασίας του άρθρου 29 το ανεξάρτητο συμβουλευτικό σώμα που συγκεντρώνει εκπροσώπους όλων των ΑΠΔ των κρατών μελών καθώς και τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων δήλωσης 7 σχετικά με τα πρώτα συμπεράσματα που πρέπει να συναχθούν από την απόφαση. Μεταξύ άλλων, η εν λόγω δήλωση περιείχε τις ακόλουθες κατευθύνσεις όσον αφορά τις διαβιβάσεις δεδομένων: οι διαβιβάσεις δεδομένων δεν μπορεί πλέον να βασίζονται στην ακυρωθείσα απόφαση περί ασφαλούς λιμένα της Επιτροπής οι τυποποιημένες συμβατικές ρήτρες και οι δεσμευτικοί εταιρικοί κανόνες μπορούν εν τω μεταξύ να χρησιμοποιούνται ως βάση για τις διαβιβάσεις δεδομένων, αν και η ομάδα του άρθρου 29 δήλωσε επίσης ότι θα συνεχίσει να αναλύει τις επιπτώσεις της απόφασης στα εν λόγω εναλλακτικά εργαλεία. Στην ανακοίνωση καλούνταν περαιτέρω τα κράτη μέλη και τα θεσμικά όργανα της ΕΕ να ξεκινήσουν συνομιλίες με τις αρχές των ΗΠΑ με σκοπό την εξεύρεση νομικών και τεχνικών λύσεων για τις διαβιβάσεις δεδομένων οι διαπραγματεύσεις για μια νέα συμφωνία ασφαλούς 6 7 Οι αντιπρόσωποι ενώσεων της βιομηχανίας εξέφρασαν τις ανησυχίες αυτές, μεταξύ άλλων, σε συνεδρίαση που διοργανώθηκε λίγο μετά την απόφαση Schrems από τον Αντιπρόεδρο κ. Ansip και τους Επιτρόπους κ. Jourová και κ. Oettinger στις 14 Οκτωβρίου. Βλ. Daily News της (MEX/15/5840). Βλ. επίσης: «ανοικτή επιστολή σχετικά με την εκτέλεση της απόφασης του ΔΕΕ στην υπόθεση C-362/14 Maximillian Schrems κατά Data Protection Commissioner», με ημερομηνία 13 Οκτωβρίου 2015 προς τον Πρόεδρο της Ευρωπαϊκής Επιτροπής, κ. Jean-Claude Juncker η οποία υπογράφεται από διάφορες ενώσεις της βιομηχανίας και εταιρείες της ΕΕ και των ΗΠΑ: oad&entryid=1045&portalid=0&tabid=353 Δήλωση της ομάδας εργασίας του άρθρου 29 που διατίθεται στο διαδίκτυο στη διεύθυνση: 4

5 λιμένα θα μπορούσαν, κατά την άποψη της ομάδας εργασίας του άρθρου 29, να είναι μέρος της εν λόγω λύσης. Η ομάδα εργασίας του άρθρου 29 ανακοίνωσε ότι, αν, έως το τέλος Ιανουαρίου 2016, δεν βρεθεί κατάλληλη λύση με τις αρχές των ΗΠΑ, και ανάλογα με την αξιολόγηση των εναλλακτικών εργαλείων για διαβίβαση δεδομένων, οι ΑΠΔ θα λάβουν όλα τα αναγκαία και κατάλληλα μέτρα, συμπεριλαμβανομένων των συντονισμένων μέτρων επιβολής. Τέλος, η ομάδα εργασίας του άρθρου 29 τόνισε την κοινή ευθύνη των ΑΠΔ, των θεσμικών οργάνων της ΕΕ, των κρατών μελών και των επιχειρήσεων για εξεύρεση βιώσιμων λύσεων με στόχο την εκτέλεση της απόφασης του Δικαστηρίου. Ειδικότερα, η ομάδα εργασίας ζήτησε από τις επιχειρήσεις να εξετάσουν το ενδεχόμενο εφαρμογής τυχόν νομικών και τεχνικών λύσεων για τον μετριασμό των πιθανών κινδύνων με τους οποίους είναι αντιμέτωπες κατά τη διαβίβαση δεδομένων. Η παρούσα ανακοίνωση εκδίδεται με την επιφύλαξη των εξουσιών και του καθήκοντος των ΑΠΔ να εξετάζουν τη νομιμότητα της εν λόγω διαβίβασης με πλήρη ανεξαρτησία 8. Δεν θέτει δεσμευτικούς κανόνες και σέβεται πλήρως τις εξουσίες των εθνικών δικαστηρίων να ερμηνεύουν το εφαρμοστέο δίκαιο και, εφόσον απαιτείται, να υποβάλλουν προδικαστικό ερώτημα στο Δικαστήριο. Επίσης, η παρούσα ανακοίνωση δεν μπορεί να αποτελέσει τη βάση για οποιαδήποτε ατομική ή συλλογική νόμιμη αξίωση ή απαίτηση. 2. ΕΝΑΛΛΑΚΤΙΚΕΣ ΒΑΣΕΙΣ ΓΙΑ ΤΗ ΔΙΑΒΙΒΑΣΗ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΣΤΙΣ ΗΠΑ. Οι κανόνες για τις διεθνείς διαβιβάσεις δεδομένων που ορίζονται στην οδηγία 95/46/ΕΚ βασίζονται σε σαφή διάκριση μεταξύ, αφενός, των διαβιβάσεων σε τρίτες χώρες που εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας (άρθρο 25 της οδηγίας) και, αφετέρου, προς τρίτες χώρες οι οποίες δεν διαπιστώθηκε ότι εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας (άρθρο 26 της οδηγίας). Η απόφαση Schrems αφορά τις προϋποθέσεις υπό τις οποίες, σύμφωνα με το άρθρο 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ, η Επιτροπή μπορεί να κρίνει ότι μια τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. Στην περίπτωση που η τρίτη χώρα στην οποία πρόκειται να εξαχθούν από την ΕΕ τα δεδομένα προσωπικού χαρακτήρα δεν διαπιστώθηκε ότι εξασφαλίζει το εν λόγω ικανοποιητικό επίπεδο προστασίας, το άρθρο 26 της οδηγίας 95/46/ΕΚ προβλέπει σειρά εναλλακτικών λόγων για τους οποίους οι διαβιβάσεις μπορούν παρόλα αυτά να πραγματοποιηθούν. Ιδίως οι διαβιβάσεις μπορούν να πραγματοποιούνται όταν ο φορέας που 8 Βλ. το άρθρο 8 παράγραφος 3 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και το άρθρο 16 παράγραφος της ΣΛΕΕ. Η ανεξαρτησία αυτή τονίστηκε επίσης από το Δικαστήριο στην απόφαση Schrems. 5

6 είναι υπεύθυνος για τον καθορισμό των σκοπών και του τρόπου της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (στο εξής ο «υπεύθυνος της επεξεργασίας»): παρέχει επαρκείς εγγυήσεις, κατά την έννοια του άρθρου 26 παράγραφος 2 της οδηγίας 95/46/EΚ, για την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων καθώς και την άσκηση των σχετικών δικαιωμάτων. Οι εν λόγω εγγυήσεις μπορούν ιδίως να παρέχονται μέσω συμβατικών ρητρών που δεσμεύουν τον εξαγωγέα και τον εισαγωγέα των δεδομένων (βλέπε τμήματα 2.1 και 2.2 παρακάτω). Σε αυτές συγκαταλέγονται οι τυποποιημένες συμβατικές ρήτρες που εκδίδει η Επιτροπή και, όσον αφορά τις διαβιβάσεις μεταξύ των διαφορετικών οντοτήτων ενός ομίλου πολυεθνικών εταιρειών, οι δεσμευτικοί εταιρικοί κανόνες που εγκρίνονται από τις ΑΠΔ ή βασίζεται σε μία από τις παρεκκλίσεις που απαριθμούνται ρητά στο άρθρο 26 παράγραφος 1 στοιχεία α) έως στ) της οδηγίας 95/46/ΕΚ (βλ. τμήμα 2.3 παρακάτω). Σε σύγκριση με τις αποφάσεις περί επάρκειας, οι οποίες προκύπτουν από τη συνολική αξιολόγηση συγκεκριμένου συστήματος τρίτης χώρας και μπορεί να καλύπτουν καταρχήν όλες τις διαβιβάσεις προς αυτό το σύστημα, οι εναλλακτικές βάσεις για τις διαβιβάσεις έχουν πιο περιορισμένο πεδίο εφαρμογής (διότι εφαρμόζονται μόνο σε συγκεκριμένες ροές δεδομένων) και ευρύτερη κάλυψη (διότι δεν περιορίζονται κατ ανάγκη σε συγκεκριμένη χώρα). Ισχύουν για τις ροές δεδομένων που πραγματοποιούνται από συγκεκριμένες οντότητες οι οποίες έχουν αποφασίσει να κάνουν χρήση μίας από τις δυνατότητες που παρέχει το άρθρο 26 της οδηγίας 95/46/ΕΚ. Επιπλέον, οι εξαγωγείς και οι εισαγωγείς δεδομένων, όταν βασίζουν τις διαβιβάσεις τους σε αυτούς τους λόγους, και εφόσον δεν μπορούν να βασίζονται σε διαπίστωση της επάρκειας της τρίτης χώρας που περιλαμβάνεται σε απόφαση της Επιτροπής, φέρουν την ευθύνη να εξασφαλίζουν ότι οι διαβιβάσεις είναι σύμφωνες με τις απαιτήσεις της οδηγίας Συμβατικές λύσεις Όπως επισήμανε η ομάδα εργασίας του άρθρου 29, προκειμένου να παρέχονται επαρκείς εγγυήσεις για τους σκοπούς του άρθρου 26 παράγραφος 2 της οδηγίας 95/46/ΕΚ, οι συμβατικές ρήτρες «πρέπει να αντισταθμίζουν ικανοποιητικά την απουσία γενικού επιπέδου επαρκούς προστασίας, περιλαμβάνοντας τα ουσιώδη στοιχεία της προστασίας που λείπουν, σε κάθε συγκεκριμένη περίπτωση» 9. Προκειμένου να διευκολυνθεί η χρήση τέτοιων μέσων για τις διεθνείς διαβιβάσεις, η Επιτροπή έχει εγκρίνει, σύμφωνα με το άρθρο 26 παράγραφος 4 της οδηγίας, τέσσερις δέσμες τυποποιημένων συμβατικών ρητρών που θεωρείται ότι πληρούν τις απαιτήσεις του άρθρου 26 παράγραφος 2 της οδηγίας. Δύο δέσμες πρότυπων ρητρών αφορούν τις διαβιβάσεις μεταξύ των υπευθύνων επεξεργασίας 10, ενώ οι 9 10 Βλ. ομάδα εργασίας του άρθρου 29, «Διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες: Εφαρμογή των άρθρων 25 και 26 της οδηγίας της ΕΕ για την προστασία των δεδομένων», (WP 12), 24 Ιουλίου 1998, σ. 16. Απόφαση 2001/497/ΕΚ της Επιτροπής, της 15ης Ιουνίου 2001, σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες βάσει της οδηγίας 6

7 άλλες δύο δέσμες πρότυπων ρητρών αφορούν τις διαβιβάσεις μεταξύ ενός υπεύθυνου και ενός εκτελούντα την επεξεργασία που ενεργεί υπό τις οδηγίες του 11. Καθεμία από αυτές τις δέσμες πρότυπων ρητρών καθορίζει τις αντίστοιχες υποχρεώσεις των εξαγωγέων και των εισαγωγέων δεδομένων. Σε αυτές συγκαταλέγονται υποχρεώσεις όσον αφορά, μεταξύ άλλων, τα μέτρα ασφάλειας, την ενημέρωση του προσώπου στο οποίο αναφέρονται τα δεδομένα σε περίπτωση διαβίβασης δεδομένων ευαίσθητου χαρακτήρα, την κοινοποίηση στον εξαγωγέα δεδομένων των αιτημάτων πρόσβασης των αρχών επιβολής του νόμου των τρίτων χωρών ή τυχόν τυχαίας ή χωρίς εξουσιοδότηση πρόσβασης, και τα δικαιώματα των προσώπων στα οποία αναφέρονται τα δεδομένα για πρόσβαση, διόρθωση και διαγραφή των δεδομένων τους προσωπικού χαρακτήρα, καθώς και τους κανόνες σχετικά με την αποζημίωση για το πρόσωπο στο οποίο αναφέρονται τα δεδομένα σε περίπτωση ζημιών που είναι αποτέλεσμα παραβίασης από οποιοδήποτε μέρος των τυποποιημένων συμβατικών ρητρών. Οι πρότυπες ρήτρες της ΕΕ απαιτούν επίσης τα πρόσωπα στα οποία αναφέρονται τα δεδομένα να έχουν τη δυνατότητα να επικαλεσθούν ενώπιον μιας ΑΠΔ και/ή δικαστηρίου του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εξαγωγέας δεδομένων τα δικαιώματα που απορρέουν από τις συμβατικές ρήτρες ως τρίτος δικαιούχος 12. Τα εν λόγω δικαιώματα και οι εν λόγω υποχρεώσεις είναι αναγκαία στις συμβατικές ρήτρες, διότι, σε αντίθεση με την περίπτωση στην οποία η Επιτροπή προέβη σε διαπίστωση επαρκούς προστασίας, δεν μπορεί να υποτεθεί ότι ο εισαγωγέας των δεδομένων στην τρίτη χώρα υπόκειται σε κατάλληλο σύστημα εποπτείας και επιβολής των κανόνων προστασίας δεδομένων. Δεδομένου ότι οι αποφάσεις της Επιτροπής είναι δεσμευτικές ως προς όλα τα μέρη τους στα κράτη μέλη, η ενσωμάτωση τυποποιημένων συμβατικών ρητρών σε σύμβαση σημαίνει ότι οι εθνικές αρχές υποχρεούνται, καταρχήν, να αποδέχονται τις ρήτρες αυτές. Κατά συνέπεια, δεν μπορούν να αρνηθούν τη διαβίβαση των δεδομένων σε τρίτη χώρα μόνο για τον λόγο ότι οι εν λόγω τυποποιημένες συμβατικές ρήτρες δεν παρέχουν επαρκείς εγγυήσεις. Τούτο δεν θίγει την εξουσία τους να εξετάζουν τις εν λόγω ρήτρες υπό το πρίσμα των απαιτήσεων που έθεσε το Δικαστήριο στην απόφαση Schrems. Σε περίπτωση αμφιβολίας, πρέπει να προσφεύγουν ενώπιον εθνικού δικαστηρίου, το οποίο με τη σειρά του μπορεί να υποβάλει αίτηση προδικαστικής απόφασης στο Δικαστήριο. Ενώ δεν υπάρχει απαίτηση για προηγούμενη εθνική έγκριση προκειμένου να πραγματοποιηθεί η διαβίβαση στη νομοθεσία των περισσότερων κρατών μελών για τη μεταφορά της οδηγίας 95/45/ΕΚ στο εθνικό δίκαιο, ορισμένα κράτη μέλη διατηρούν σύστημα κοινοποίησης και/ή προέγκρισης για την χρήση /46/ΕΚ, ΕΕ L 181 της , σ. 19, και απόφαση 2004/915/ΕΚ της Επιτροπής, της 27ης Δεκεμβρίου 2004, για την τροποποίηση της απόφασης 2001/497/ΕΚ όσον αφορά την εισαγωγή μιας εναλλακτικής δέσμης τυποποιημένων συμβατικών ρητρών για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες, ΕΕ L 385 της , σ. 74. Απόφαση 2002/16/ΕΚ της Επιτροπής, της 27ης Δεκεμβρίου 2001, σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία εγκατεστημένους σε τρίτες χώρες βάσει της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, ΕΕ L 6 της , σ. 52, και απόφαση 2010/87/ΕΕ της Επιτροπής, της 5ης Φεβρουαρίου 2010, σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία εγκατεστημένους σε τρίτες χώρες βάσει της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, ΕΕ L 39 της , σ. 5. Η πρώτη απόφαση, που καταργήθηκε από την τελευταία, εφαρμόζεται μόνο στις συμβάσεις που συνάφθηκαν πριν από τις 15 Μαΐου Βλέπε π.χ. την αιτιολογική σκέψη 6 της απόφασης 2004/915/ΕΚ της Επιτροπής και τη ρήτρα V του παραρτήματός της ρήτρα 7 του παραρτήματος της απόφασης 2010/87/ΕΕ της Επιτροπής. 7

8 τυποποιημένων συμβατικών ρητρών. Στην περίπτωση αυτή, η εθνική ΑΠΔ πρέπει να συγκρίνει τις ρήτρες που περιέχονται στην επίμαχη σύμβαση με τις τυποποιημένες συμβατικές ρήτρες και να επιβεβαιώνει ότι δεν έχει επέλθει καμία αλλαγή 13. Εάν οι ρήτρες έχουν χρησιμοποιηθεί χωρίς τροποποίηση 14, η έγκριση χορηγείται καταρχήν 15 αυτόματα 16. Όπως εξηγείται περαιτέρω παρακάτω (βλέπε τμήμα 2.4), τούτο ισχύει με την επιφύλαξη των συμπληρωματικών μέτρων που ο εξαγωγέας των δεδομένων πρέπει ενδεχομένως να λάβει, ιδίως σε συνέχεια πληροφοριών που λαμβάνει από τον εισαγωγέα των δεδομένων σχετικά με αλλαγές στο νομικό σύστημα της τρίτης χώρας οι οποίες μπορεί να εμποδίζουν τον εισαγωγέα των δεδομένων να τηρήσει τις υποχρεώσεις του βάσει της σύμβασης. Κατά την εφαρμογή των τυποποιημένων συμβατικών ρητρών, τόσο οι εξαγωγείς των δεδομένων όσο και, με την υπαγωγή τους στη σύμβαση, οι εισαγωγείς δεδομένων τελούν υπό την εποπτεία των ΑΠΔ. Η έγκριση των τυποποιημένων συμβατικών ρητρών δεν εμποδίζει τις εταιρείες να βασίζονται σε άλλα μέσα, όπως οι συμβατικές ρυθμίσεις ad hoc, για να αποδείξουν ότι οι διαβιβάσεις τους πραγματοποιούνται με επαρκείς εγγυήσεις κατά την έννοια του άρθρου 26 παράγραφος 2 της οδηγίας 95/46/ΕΚ. Σύμφωνα με το άρθρο 26 παράγραφος 2 της οδηγίας, αυτές πρέπει να εγκρίνονται κατά περίπτωση από τις εθνικές αρχές. Ορισμένες ΑΠΔ έχουν αναπτύξει κατευθυντήριες γραμμές στον τομέα αυτό, μεταξύ άλλων με τη μορφή τυποποιημένων συμβάσεων ή λεπτομερών κανόνων που πρέπει να τηρούνται κατά τη σύνταξη των ρητρών σχετικά με τη διαβίβαση δεδομένων. Οι περισσότερες συμβάσεις που χρησιμοποιούνται επί του παρόντος από τις εταιρείες για να πραγματοποιούν τις διεθνείς διαβιβάσεις δεδομένων τους βασίζονται, ωστόσο, στις τυποποιημένες συμβατικές ρήτρες που έχει εγκρίνει η Επιτροπή Πρέπει να σημειωθεί ότι η πρόταση για τον γενικό κανονισμό για την προστασία δεδομένων (COM(2012) 11 final) προβλέπει ότι οι διαβιβάσεις που βασίζονται σε τυποποιημένες συμβατικές ρήτρες ή σε δεσμευτικούς εταιρικούς κανόνες, στον βαθμό που έχουν εγκριθεί από την Επιτροπή ή σύμφωνα με τον προτεινόμενο μηχανισμό συνεκτικότητας, δεν απαιτούν καμία περαιτέρω έγκριση. 14 Η χρήση τυποποιημένων συμβατικών ρητρών, ωστόσο, δεν εμποδίζει τα μέρη να συμφωνήσουν την προσθήκη άλλων ρητρών, εφόσον αυτές δεν αντιφάσκουν, άμεσα ή έμμεσα, με τις ρήτρες που έχει εγκρίνει η Επιτροπή ή δεν θίγουν τα θεμελιώδη δικαιώματα ή τις ελευθερίες των προσώπων στα οποία αναφέρονται τα δεδομένα. Βλ. Ευρωπαϊκή Επιτροπή, «Συχνές ερωτήσεις σχετικά με τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα από την ΕΕ/τον ΕΟΧ σε τρίτες χώρες» (συχνές ερωτήσεις B.1.9), σ. 28 (διαθέσιμο στο διαδίκτυο στην ακόλουθη διεύθυνση: 15 Εάν μια ΑΠΔ έχει αμφιβολίες ως προς τη συμβατότητα των τυποποιημένων συμβατικών ρητρών με τις απαιτήσεις της οδηγίας, πρέπει να παραπέμπει το ζήτημα σε εθνικό δικαστήριο το οποίο μπορεί στη συνέχεια να υποβάλει προδικαστικό ερώτημα στο Δικαστήριο (βλ. σκέψεις 51, 52, 64 και 65 της απόφασης Schrems). 16 Η ομάδα εργασίας του άρθρου 29 έχει καθιερώσει ειδική διαδικασία συνεργασίας μεταξύ των ΑΠΔ για την έγκριση των συμβατικών ρητρών που μια εταιρεία επιθυμεί να χρησιμοποιήσει σε διαφορετικά κράτη μέλη. Βλ. ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας που δίνει συνέχεια στη διαδικασία συνεργασίας για τη διατύπωση κοινών γνωμοδοτήσεων σχετικά με τις «συμβατικές ρήτρες» που θεωρείται ότι συνάδουν με την κοινοτική πρότυπη ρήτρα» (WP 226), 26 Νοεμβρίου Βλ. επίσης τη ρήτρα VII του παραρτήματος της απόφασης 2004/915/ΕΚ της Επιτροπής, και τη ρήτρα 10 του παραρτήματος της απόφασης 2010/87/ΕΕ της Επιτροπής. 17 Βλ. ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας που δίνει συνέχεια στη διαδικασία συνεργασίας για τη διατύπωση κοινών γνωμοδοτήσεων σχετικά με τις «συμβατικές ρήτρες» που θεωρείται ότι συνάδουν με την κοινοτική πρότυπη ρήτρα» (WP 226), 26 Νοεμβρίου 2014, σ. 2. 8

9 2.2. Διαβιβάσεις εντός ομίλου Προκειμένου να διαβιβάσει δεδομένα προσωπικού χαρακτήρα από την ΕΕ προς θυγατρικές που είναι εγκατεστημένες εκτός της ΕΕ σύμφωνα με τις απαιτήσεις που ορίζονται στο άρθρο 26 παράγραφος 2 της οδηγίας 95/46/ΕΚ, μια πολυεθνική εταιρεία μπορεί να υιοθετήσει δεσμευτικούς εταιρικούς κανόνες. Αυτό το είδος κώδικα πρακτικής παρέχει έρεισμα μόνο για τις διαβιβάσεις που πραγματοποιούνται εντός του ομίλου. Κατ αυτόν τον τρόπο, οι δεσμευτικοί εταιρικοί κανόνες επιτρέπουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα μεταξύ των διαφόρων οντοτήτων ενός ομίλου εταιρειών παγκοσμίως χωρίς να χρειάζεται να υπάρχουν συμβατικές ρυθμίσεις μεταξύ κάθε εταιρικής οντότητας εξασφαλίζοντας παράλληλα ότι το ίδιο υψηλό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα τηρείται σε ολόκληρο τον όμιλο, μέσω ενιαίας δέσμης δεσμευτικών και εφαρμοστέων κανόνων. Η ύπαρξη ενιαίας δέσμης κανόνων δημιουργεί ένα απλούστερο και αποτελεσματικότερο σύστημα, το οποίο είναι ευκολότερο να εφαρμοστεί από το προσωπικό και να γίνει κατανοητό από τα πρόσωπα στα οποία αφορούν τα δεδομένα. Με σκοπό να βοηθήσει τις επιχειρήσεις στη σύνταξη των δεσμευτικών εταιρικών κανόνων, η ομάδα εργασίας του άρθρου 29 διατύπωσε τις ουσιαστικές απαιτήσεις (π.χ. περιορισμός του σκοπού, ασφάλεια της επεξεργασίας, διαφανής ενημέρωση των προσώπων στα οποία αναφέρονται τα δεδομένα, περιορισμοί σχετικά με περαιτέρω διαβιβάσεις εκτός του ομίλου, ατομικά δικαιώματα πρόσβασης, διόρθωσης και αντίθεσης) και τις διαδικαστικές απαιτήσεις (π.χ. έλεγχοι, παρακολούθηση της συμμόρφωσης, χειρισμός των καταγγελιών, συνεργασία με τις ΑΠΔ, ευθύνη και δικαιοδοσία) για τους δεσμευτικούς εταιρικούς κανόνες με βάση τα πρότυπα προστασίας δεδομένων της ΕΕ 18. Οι εν λόγω κανόνες δεν είναι δεσμευτικοί μόνον για τα μέλη του ομίλου αλλά, ομοίως με τις τυποποιημένες συμβατικές ρήτρες, είναι εφαρμοστέοι και στην ΕΕ: τα πρόσωπα των οποίων τα δεδομένα υφίστανται επεξεργασία από μια οικονομική οντότητα του ομίλου δικαιούνται ως τρίτοι δικαιούχοι να επιβάλλουν τη συμμόρφωση με τους δεσμευτικούς εταιρικούς κανόνες υποβάλλοντας καταγγελία ενώπιον μιας ΑΠΔ και ασκώντας αγωγή ενώπιον δικαστηρίου κράτους μέλους. Επιπλέον, οι δεσμευτικοί εταιρικοί κανόνες πρέπει να ορίζουν μια οντότητα εντός της ΕΕ που αποδέχεται την ευθύνη για παραβιάσεις των κανόνων από οποιοδήποτε μέλος του ομίλου εκτός ΕΕ το οποίο δεσμεύεται από τους κανόνες αυτούς. Σύμφωνα με τη νομοθεσία των περισσότερων κρατών μελών για τη μεταφορά της οδηγίας στο εθνικό δίκαιο, οι διαβιβάσεις δεδομένων βάσει δεσμευτικών εταιρικών κανόνων πρέπει να εγκρίνονται από την ΑΠΔ σε κάθε κράτος μέλος από το οποίο η πολυεθνική εταιρεία προτίθεται να διαβιβάσει τα δεδομένα. Προκειμένου να διευκολυνθεί και να επιταχυνθεί η διαδικασία, καθώς και να μειωθεί ο διοικητικός φόρτος για τους αιτούντες, η ομάδα εργασίας 18 Βλ. ομάδα εργασίας του άρθρου 29 «Έγγραφο εργασίας, το οποίο καταρτίζει πίνακα με τα στοιχεία και τις αρχές που πρέπει να περιέχονται στους δεσμευτικούς εταιρικούς κανόνες» (WP 153), 24 Ιουνίου 2008 «έγγραφο εργασίας, το οποίο θεσπίζει πλαίσιο για τη δομή των δεσμευτικών εταιρικών κανόνων (WP 154), 24 Ιουνίου 2008 και «έγγραφο εργασίας για τις συχνές ερωτήσεις (FAQ) που αφορούν τους δεσμευτικούς εταιρικούς κανόνες (WP 155), 24 Ιουνίου

10 του άρθρου 29 έχει καθιερώσει τυποποιημένο έντυπο αίτησης 19 και ειδική διαδικασία συνεργασίας μεταξύ των ενδιαφερόμενων ΑΠΔ 20, η οποία περιλαμβάνει τον ορισμό μιας «επικεφαλής αρχής», αρμόδιας για τη διεκπεραίωση της διαδικασίας έγκρισης Παρεκκλίσεις Στην περίπτωση που δεν υπάρχει απόφαση περί επάρκειας δυνάμει του άρθρου 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ, και ανεξάρτητα από τη χρήση τυποποιημένων συμβατικών ρητρών και/ή δεσμευτικών εταιρικών κανόνων, τα δεδομένα προσωπικού χαρακτήρα μπορούν, παρόλα αυτά, να διαβιβάζονται σε οντότητες εγκατεστημένες σε τρίτη χώρα στον βαθμό που ισχύει μία από τις εναλλακτικές παρεκκλίσεις που ορίζονται στο άρθρο 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ: 21 το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει συναινέσει ρητώς στη διαβίβαση η διαβίβαση είναι αναγκαία για την εκτέλεση σύμβασης μεταξύ του προσώπου στο οποίο αναφέρονται τα δεδομένα και του υπευθύνου επεξεργασίας ή για την εκτέλεση προσυμβατικών μέτρων ληφθέντων κατ' αίτηση του προσώπου αυτού η διαβίβαση είναι αναγκαία για τη συνομολόγηση ή την εκτέλεση σύμβασης που έχει συναφθεί ή πρόκειται να συναφθεί μεταξύ του υπευθύνου επεξεργασίας και τρίτου προς το συμφέρον του προσώπου στο οποίο αναφέρονται τα δεδομένα η διαβίβαση είναι αναγκαία ή απαιτείται εκ του νόμου για τη διασφάλιση σημαντικού δημοσίου συμφέροντος 22 ή για την αναγνώριση, άσκηση ή υπεράσπιση ενός δικαιώματος ενώπιον του δικαστηρίου η διαβίβαση είναι αναγκαία για τη διασφάλιση ζωτικού συμφέροντος του προσώπου στο οποίο αναφέρονται τα δεδομένα Ομάδα εργασίας του άρθρου 29, «Τυποποιημένη αίτηση για την έγκριση δεσμευτικών εταιρικών κανόνων για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα» (WP 133), 10 Ιανουαρίου Βλ. ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας που δίνει συνέχεια στη διαδικασία συνεργασίας για τη διατύπωση κοινών γνωμοδοτήσεων σχετικά με τις επαρκείς ασφαλιστικές δικλείδες που απορρέουν από τους δεσμευτικούς εταιρικούς κανόνες» (WP 107), 14 Απριλίου Όπως έχει τονίσει η ομάδα εργασίας του άρθρου 29, στον βαθμό που άλλες διατάξεις της οδηγίας 95/46/ΕΚ περιέχουν πρόσθετες απαιτήσεις σχετικές με τη χρήση των εν λόγω παρεκκλίσεων (για παράδειγμα οι περιορισμοί του άρθρου 8 για την επεξεργασία δεδομένων ευαίσθητου χαρακτήρα), αυτές πρέπει να τηρούνται. Βλ. ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ. 8. Βλέπε επίσης Ευρωπαϊκή Επιτροπή, «Συχνές ερωτήσεις σχετικά με τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα από την ΕΕ/τον ΕΟΧ σε τρίτες χώρες» (συχνές ερωτήσεις D.2), σ. 50. Τούτο μπορεί να περιλαμβάνει, για παράδειγμα, διαβιβάσεις δεδομένων μεταξύ φορολογικών ή τελωνειακών αρχών ή μεταξύ υπηρεσιών αρμόδιων για θέματα κοινωνικής ασφάλισης (βλέπε αιτιολογική σκέψη 58 της οδηγίας 95/46/ΕΚ). Η παρέκκλιση μπορεί επίσης να είναι επωφελής για τις διαβιβάσεις μεταξύ των εποπτικών οργάνων στον τομέα των χρηματοπιστωτικών υπηρεσιών. Βλ. ομάδα του άρθρου 29, «Έγγραφο εργασίας: Διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες: Εφαρμογή των άρθρων 25 και 26 της οδηγίας της ΕΕ για την προστασία των δεδομένων», (WP 12), 24 Ιουλίου 1998, σ

11 η διαβίβαση πραγματοποιείται από δημόσιο μητρώο το οποίο προορίζεται βάσει νομοθετικών ή κανονιστικών διατάξεων για την παροχή πληροφοριών στο κοινό και είναι προσιτό είτε στο κοινό γενικά είτε σε οποιοδήποτε πρόσωπο μπορεί να αποδείξει έννομο συμφέρον, εφόσον στη συγκεκριμένη περίπτωση πληρούνται οι σχετικές νόμιμες προϋποθέσεις. Αυτοί οι λόγοι συνιστούν παρέκκλιση από τη γενική απαγόρευση διαβίβασης δεδομένων προσωπικού χαρακτήρα σε οντότητες που είναι εγκατεστημένες σε τρίτη χώρα στην οποία δεν υπάρχει ικανοποιητικό επίπεδο προστασίας. Πράγματι, ο εξαγωγέας των δεδομένων δεν χρειάζεται να εξασφαλίζει ότι ο εισαγωγέας των δεδομένων θα παρέχει επαρκή προστασία, και συνήθως δεν χρειάζεται να λάβει προηγούμενη άδεια για τη διαβίβαση εκ μέρους των αρμόδιων εθνικών αρχών. Ωστόσο, η ομάδα εργασίας του άρθρου 29 θεωρεί ότι οι εν λόγω παρεκκλίσεις πρέπει να ερμηνεύονται στενά 23, λόγω του έκτακτου χαρακτήρα τους. Η ομάδα εργασίας του άρθρου 29 εξέδωσε αρκετά μη δεσμευτικά έγγραφα καθοδήγησης σχετικά με την εφαρμογή του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ 24. Σε αυτά περιλαμβάνονται ορισμένοι κανόνες «βέλτιστης πρακτικής» που έχουν σχεδιαστεί με στόχο τον προσανατολισμό των μέτρων επιβολής των ΑΠΔ 25. Ειδικότερα, η ομάδα εργασίας συνιστά οι διαβιβάσεις δεδομένων προσωπικού χαρακτήρα που θα μπορούσαν να χαρακτηριστούν ως επαναλαμβανόμενες, μαζικές ή διαρθρωτικές να πραγματοποιούνται με επαρκείς εγγυήσεις και, όπου είναι δυνατό, εντός ειδικού νομικού πλαισίου όπως είναι οι τυποποιημένες συμβατικές ρήτρες ή οι δεσμευτικοί εταιρικοί κανόνες 26. Στην παρούσα ανακοίνωση, η Επιτροπή θα εξετάσει μόνο τις εν λόγω παρεκκλίσεις, οι οποίες φαίνεται ότι είναι ιδιαίτερα σημαντικές για τις διαβιβάσεις στο εμπορικό πλαίσιο, κατόπιν της απόφασης ότι η απόφαση περί ασφαλούς λιμένα είναι άκυρη Ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ. 7, 17. Ομάδα του άρθρου 29, «Έγγραφο εργασίας: Διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες: Εφαρμογή των άρθρων 25 και 26 της οδηγίας της ΕΕ για την προστασία των δεδομένων», (WP 12), 24 Ιουλίου 1998 «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου Βλ. επίσης Ευρωπαϊκή Επιτροπή, «Συχνές ερωτήσεις σχετικά με τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα από την ΕΕ/τον ΕΟΧ σε τρίτες χώρες» (συχνές ερωτήσεις D.1 έως D.9), σ Ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ Ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ. 9. Σύμφωνα με την ομάδα εργασίας, μαζικές ή επαναλαμβανόμενες διαβιβάσεις μπορούν να πραγματοποιούνται μόνο βάσει παρέκκλισης, όταν η προσφυγή σε τυποποιημένες συμβατικές ρήτρες ή δεσμευτικούς εταιρικούς κανόνες είναι αδύνατη στην πράξη και στις οποίες οι κίνδυνοι για τα πρόσωπα στα οποία αναφέρονται τα δεδομένα είναι μικροί (π.χ. διεθνείς μεταφορές χρηματικών ποσών). Βλέπε επίσης Ευρωπαϊκή Επιτροπή, «Συχνές ερωτήσεις σχετικά με τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα από την ΕΕ/τον ΕΟΧ σε τρίτες χώρες» (συχνές ερωτήσεις D.1), σ

12 Διαβιβάσεις που είναι αναγκαίες για την εκτέλεση της σύμβασης ή για την εκτέλεση προσυμβατικών μέτρων ληφθέντων κατ αίτηση του προσώπου στο οποίο αναφέρονται τα δεδομένα [άρθρο 26 παράγραφος 1 στοιχείο β)] Η παρέκκλιση αυτή θα μπορούσε να ισχύει, για παράδειγμα, στο πλαίσιο κράτησης σε ξενοδοχείο ή όταν τα στοιχεία πληρωμής διαβιβάζονται σε τρίτη χώρα προκειμένου να πραγματοποιηθεί τραπεζικό έμβασμα. Ωστόσο, σε καθεμία από τις περιπτώσεις αυτές, η ομάδα εργασίας του άρθρου 29 θεωρεί ότι πρέπει να υπάρχει «στενή και ουσιαστική σύνδεση», «άμεση και αντικειμενική σχέση» μεταξύ του προσώπου στο οποίο αναφέρονται τα δεδομένα και των σκοπών της σύμβασης ή του προσυμβατικού μέτρου (κριτήριο της αναγκαιότητας) 27. Επίσης, η παρέκκλιση δεν μπορεί να ισχύσει για διαβιβάσεις πρόσθετων πληροφοριών που δεν είναι αναγκαίες για τον σκοπό της διαβίβασης ή για διαβιβάσεις για σκοπό άλλον από την εκτέλεση σύμβασης (για παράδειγμα, για την παρακολούθηση της εμπορικής προώθησης) 28. Όσον αφορά τα προσυμβατικά μέτρα, η ομάδα εργασίας του άρθρου 29 διατύπωσε την άποψη ότι θα καλύπτονταν μόνον οι επαφές που πραγματοποιήθηκαν από το πρόσωπο στο οποίο αναφέρονται τα δεδομένα (για παράδειγμα, ένα αίτημα για πληροφορίες σχετικά με συγκεκριμένη υπηρεσία), αλλά όχι όσες απορρέουν από τις προσεγγίσεις εμπορικής προώθησης στις οποίες προέβη ο υπεύθυνος επεξεργασίας δεδομένων Διαβιβάσεις που είναι αναγκαίες για τη συνομολόγηση ή την εκτέλεση σύμβασης που έχει συναφθεί ή πρόκειται να συναφθεί μεταξύ του υπευθύνου επεξεργασίας και τρίτου προς το συμφέρον του προσώπου στο οποίο αναφέρονται τα δεδομένα [άρθρο 26 παράγραφος 1 στοιχείο γ)] Η παρέκκλιση αυτή θα μπορούσε να ισχύει, για παράδειγμα, όταν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα είναι ο δικαιούχος του διεθνούς τραπεζικού εμβάσματος ή όταν ένας ταξιδιωτικός πράκτορας διαβιβάζει τις λεπτομέρειες μιας κράτησης πτήσης σε αεροπορική εταιρεία. Ομοίως, ισχύει το κριτήριο της αναγκαιότητας και στην περίπτωση αυτή απαιτείται στενή και ουσιαστική σχέση μεταξύ των συμφερόντων του προσώπου στο οποίο αναφέρονται τα δεδομένα και του επιδιωκόμενου σκοπού της σύμβασης Διαβιβάσεις που είναι αναγκαίες ή απαιτούνται εκ του νόμου για την αναγνώριση, άσκηση ή υπεράσπιση ενός δικαιώματος ενώπιον του δικαστηρίου [άρθρο 26 παράγραφος 1 στοιχείο δ)] Ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ. 13. Βλ. επίσης «Γνωμοδότηση 6/2002 σχετικά με τη διαβίβαση πληροφοριών για τον κατάλογο επιβατών και άλλων δεδομένων από τις αεροπορικές εταιρείες προς τις Ηνωμένες Πολιτείες» (WP 66), 24 Οκτωβρίου Ομάδα του άρθρου 29, «Έγγραφο εργασίας: Διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες: Εφαρμογή των άρθρων 25 και 26 της οδηγίας της ΕΕ για την προστασία των δεδομένων», (WP 12), 24 Ιουλίου 1998, σ. 24 «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ. 13. Ομάδα του άρθρου 29, «Έγγραφο εργασίας: Διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες: Εφαρμογή των άρθρων 25 και 26 της οδηγίας της ΕΕ για την προστασία των δεδομένων», (WP 12), 24 Ιουλίου 1998, σ

13 Η εν λόγω παρέκκλιση θα μπορούσε να ισχύει, για παράδειγμα, όταν μια εταιρεία χρειάζεται να διαβιβάσει δεδομένα για να αμυνθεί έναντι νομικής αξίωσης ή να ασκήσει αυτή την αξίωση ενώπιον δικαστηρίου ή δημόσιας αρχής. Όπως και στις δύο προηγούμενες παρεκκλίσεις, τούτο υπάγεται στο κριτήριο της αναγκαιότητας: 30 πρέπει να υπάρχει στενή σύνδεση με τη δικαστική διαφορά ή τις νομικές διαδικασίες (συμπεριλαμβανομένων των διοικητικών). Σύμφωνα με την ομάδα εργασίας του άρθρου 29, η παρέκκλιση μπορεί να εφαρμοστεί μόνο εάν τηρήθηκαν διεθνείς κανόνες σχετικά με τη συνεργασία σε ποινικές ή αστικές διαδικασίες που διέπουν το είδος της διαβίβασης, ιδίως διότι απορρέουν από τις διατάξεις της Σύμβασης της Χάγης της 18ης Μαρτίου 1970 (σύμβαση για τη «συγκέντρωση αποδείξεων») Ρητή προηγούμενη συγκατάθεση από το πρόσωπο στο οποίο αναφέρονται τα δεδομένα της προτεινόμενης διαβίβασης [άρθρο 26 παράγραφος 1 στοιχείο α)] Αν και η συγκατάθεση μπορεί να χρησιμοποιηθεί ως βάση για τις διαβιβάσεις δεδομένων, πρέπει να λαμβάνονται υπόψη ορισμένα ζητήματα. Δεδομένου ότι η συγκατάθεση πρέπει να δοθεί για την «προτεινόμενη» διαβίβαση, απαιτείται προηγούμενη συγκατάθεση για τη συγκεκριμένη διαβίβαση (ή για συγκεκριμένη κατηγορία διαβιβάσεων). Όταν αυτή ζητείται μέσω διαδικτύου, η ομάδα εργασίας του άρθρου 29 συνέστησε να χρησιμοποιούνται τετραγωνίδια προς επιλογή (και όχι προεπιλεγμένα τετραγωνίδια) 32. Δεδομένου ότι η συγκατάθεση πρέπει να είναι ρητή, οποιαδήποτε αμφιβολία σχετικά με το εάν έχει πράγματι δοθεί θα καθιστούσε την παρέκκλιση ανεφάρμοστη. Τούτο σημαίνει πιθανόν ότι πολλές περιπτώσεις κατά τις οποίες η συγκατάθεση στην καλύτερη περίπτωση υπονοείται (επειδή, για παράδειγμα, γνωστοποιήθηκε η διαβίβαση σε ένα πρόσωπο χωρίς αυτό να προβάλει αντιρρήσεις) δεν εμπίπτουν στην παρέκκλιση αυτή. Αντιθέτως, η παρέκκλιση θα μπορούσε να χρησιμοποιηθεί στις περιπτώσεις κατά τις οποίες η διαβιβάζουσα οντότητα έχει άμεση επαφή με το πρόσωπο στο οποίο αναφέρονται τα δεδομένα, η παροχή των αναγκαίων πληροφοριών είναι εύκολη και δίνεται ρητή συγκατάθεση Ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ. 15. Για παράδειγμα, στο πλαίσιο της απασχόλησης η παρέκκλιση δεν μπορεί να χρησιμοποιηθεί για να διαβιβαστούν όλοι οι φάκελοι των εργαζομένων στη μητρική εταιρεία του ομίλου που είναι εγκατεστημένη σε τρίτη χώρα λόγω ενδεχόμενων μελλοντικών νομικών διαδικασιών. Σύμβαση της Χάγης σχετικά με τη συγκέντρωση αποδείξεων σε αλλοδαπό κράτος σε αστικές και εμπορικές υποθέσεις, η οποία άνοιξε προς υπογραφή στις 18 Μαρτίου 1970, 23 U.S.T. 2555, 847 U.N.T.S Η εν λόγω σύμβαση καλύπτει, για παράδειγμα, την προδικασία ή τα αιτήματα εκ μέρους της δικαστικής αρχής ενός κράτους μέλους προς την αρμόδια αρχή άλλου κράτους για συγκέντρωση αποδείξεων που προορίζονται να χρησιμοποιηθούν σε δικαστικές υποθέσεις στο αιτούν κράτος. Ομάδα εργασίας του άρθρου 29 «Έγγραφο εργασίας για μια κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114, 25 Νοεμβρίου 2005, σ. 10, με αναφορά στη «Γνώμη 5/2004 για μη ζητηθείσα πληροφόρηση σχετικά με άμεση εμπορική προώθηση, σύμφωνα με το άρθρο 13 της οδηγίας 2002/58/ΕΚ» (WP 90), 27 Φεβρουαρίου 2004, σημείο 3.2. Ομάδα του άρθρου 29, «Έγγραφο εργασίας: Διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες: Εφαρμογή των άρθρων 25 και 26 της οδηγίας της ΕΕ για την προστασία των δεδομένων», (WP 12), 24 Ιουλίου 1998, σ

14 Επιπλέον, σύμφωνα με το άρθρο 2 στοιχείο η) της οδηγίας 95/46/ΕΚ, η συγκατάθεση πρέπει να είναι ελεύθερη, ρητή και εν πλήρει επιγνώσει. Σύμφωνα με την ομάδα εργασίας του άρθρου 29, η πρώτη προϋπόθεση σημαίνει ότι τυχόν άσκηση «πίεσης» μπορεί να καταστήσει τη συγκατάθεση άκυρη. Αυτό είναι ιδιαίτερα σημαντικό στο πλαίσιο της απασχόλησης, στο οποίο η σχέση εξάρτησης και η εγγενής εξάρτηση των εργαζομένων θα θέσει εν αμφιβόλω, υπό κανονικές συνθήκες, τη δυνατότητα να στηριχθεί η παρέκκλιση στη συγκατάθεση 34. Γενικότερα, η συγκατάθεση προσώπου στο οποίο αναφέρονται τα δεδομένα που δεν είχε τη δυνατότητα πραγματικής επιλογής ή βρέθηκε ενώπιον τετελεσμένου γεγονότος δεν μπορεί να θεωρείται έγκυρη 35. Ιδιαίτερη σημασία έχει η εκ των προτέρων κατάλληλη ενημέρωση των προσώπων στα οποία αναφέρονται τα δεδομένα ότι τα δεδομένα μπορεί να διαβιβάζονται εκτός της ΕΕ, σε ποια τρίτη χώρα και υπό ποιους όρους (τον σκοπό της, την ταυτότητα και τα στοιχεία του (των) παραλήπτη (-ών), κλπ.). Οι πληροφορίες αυτές πρέπει να καλύπτουν τον ιδιαίτερο κίνδυνο να διαβιβαστούν τα δεδομένα τους σε τρίτη χώρα στην οποία δεν υπάρχει επαρκής προστασία 36. Επιπλέον, όπως έχει επισημανθεί από την ομάδα εργασίας του άρθρου 29, η ανάκληση της συγκατάθεσης του προσώπου στο οποίο αναφέρονται τα δεδομένα, αν και δεν έχει αναδρομική ισχύ, πρέπει, καταρχήν, να εμποδίζει κάθε περαιτέρω επεξεργασία δεδομένων προσωπικού χαρακτήρα 37. Υπό το πρίσμα αυτών των περιορισμών, η ομάδα εργασίας του άρθρου 29 θεωρεί ότι η συγκατάθεση δεν είναι πιθανόν να παρέχει επαρκές μακροπρόθεσμο πλαίσιο για τους υπεύθυνους επεξεργασίας δεδομένων στις περιπτώσεις διαρθρωτικών διαβιβάσεων Περίληψη σχετικά με τις εναλλακτικές βάσεις για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα Από τα ανωτέρω συνάγεται ότι οι εταιρείες μπορούν να χρησιμοποιούν διάφορα εναλλακτικά εργαλεία για να πραγματοποιούν διεθνείς διαβιβάσεις δεδομένων σε τρίτες χώρες οι οποίες δεν θεωρείται ότι παρέχουν ικανοποιητικό επίπεδο προστασίας κατά την έννοια του άρθρου 25 παράγραφος 2 της οδηγίας 95/46/ΕΚ. Μετά την απόφαση Schrems, η ομάδα εργασίας του άρθρου 29 διευκρίνισε ιδίως ότι οι τυποποιημένες συμβατικές ρήτρες και οι Ομάδα εργασίας του άρθρου 29 «Γνώμη 8/2001 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο εργασιακό πλαίσιο» (WP 48), 13 Σεπτεμβρίου 2001, σ. 3, 23 και 26. Σύμφωνα με την ομάδα εργασίας, η στήριξη της παρέκκλισης στη συγκατάθεση πρέπει να περιορίζεται στις περιπτώσεις κατά τις οποίες ο εργαζόμενος έχει πραγματικά ελεύθερη επιλογή και είναι συνεπώς σε θέση να αποσύρει τη συγκατάθεσή του, χωρίς αυτό να αποβεί σε βάρος του. Βλ. επίσης ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ. 11. Ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ. 11. Βλ. επίσης «Γνωμοδότηση 6/2002 σχετικά με τη διαβίβαση πληροφοριών για τον κατάλογο επιβατών και άλλων δεδομένων από τις αεροπορικές εταιρείες προς τις Ηνωμένες Πολιτείες» (WP 66), 24 Οκτωβρίου Ομάδα του άρθρου 29, «Έγγραφο εργασίας: Διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες: Εφαρμογή των άρθρων 25 και 26 της οδηγίας της ΕΕ για την προστασία των δεδομένων», (WP 12), 24 Ιουλίου 1998, σ. 24. Ομάδα εργασίας του άρθρου 29 «Γνώμη 15/2011 σχετικά με τον ορισμό της συγκατάθεσης» (WP 187), 13 Ιουλίου 2011, σ. 9. Ομάδα εργασίας του άρθρου 29, «Έγγραφο εργασίας σχετικά με την κοινή ερμηνεία του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ της 24ης Οκτωβρίου 1995» (WP 114), 25 Noεμβρίου 2005, σ

15 δεσμευτικοί εταιρικοί κανόνες μπορούν να χρησιμοποιηθούν για τη διαβίβαση δεδομένων στις ΗΠΑ, ενώ συνεχίζει την αξιολόγησή της και με την επιφύλαξη των εξουσιών των ΑΠΔ να διερευνούν συγκεκριμένες υποθέσεις 39. Από την πλευρά τους, οι επιχειρήσεις αντέδρασαν με διάφορους τρόπους στην απόφαση, μεταξύ άλλων βασίζοντας τις διαβιβάσεις δεδομένων που πραγματοποιούν στα εν λόγω εναλλακτικά εργαλεία 40. Ωστόσο, πρέπει να επισημανθούν δύο σημαντικές προϋποθέσεις: πρώτον, υπενθυμίζεται ότι, ανεξάρτητα από τη συγκεκριμένη νομική βάση στην οποία βασίζονται, οι διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα μπορούν να πραγματοποιηθούν σύννομα μόνον εάν η αρχική συγκέντρωση των δεδομένων και η περαιτέρω επεξεργασία τους από τον υπεύθυνο επεξεργασίας δεδομένων που είναι εγκατεστημένος στην ΕΕ γίνονται σύμφωνα με τις ισχύουσες εθνικές νομοθεσίες για τη μεταφορά της οδηγίας 95/46/ΕΚ στο εθνικό δίκαιο. Η οδηγία ορίζει ρητά ότι η επεξεργασία που πραγματοποιείται πριν από τη διαβίβαση, καθώς και η ίδια η διαβίβαση, πρέπει να τηρούν πλήρως τους κανόνες που θεσπίζονται από τα κράτη μέλη σύμφωνα με τις λοιπές διατάξεις της οδηγίας 41. Δεύτερον, αν δεν υπάρχει διαπίστωση της επάρκειας από την Επιτροπή, οι υπεύθυνοι επεξεργασίας έχουν την ευθύνη να εξασφαλίζουν ότι οι διαβιβάσεις δεδομένων πραγματοποιούνται με επαρκείς εγγυήσεις σύμφωνα με το άρθρο 26 παράγραφος 2 της οδηγίας. Η εν λόγω αξιολόγηση πρέπει να γίνεται υπό το πρίσμα όλων των περιστάσεων σχετικά με την επίμαχη διαβίβαση. Ειδικότερα, τόσο οι τυποποιημένες συμβατικές ρήτρες όσο και οι δεσμευτικοί εταιρικοί κανόνες προβλέπουν ότι, εάν ο εισαγωγέας των δεδομένων έχει λόγους να πιστεύει ότι η ισχύουσα νομοθεσία στην αποδέκτρια χώρα μπορεί να τον εμποδίσει να εκπληρώσει τις υποχρεώσεις του, ενημερώνει αμέσως τον εξαγωγέα των δεδομένων στην ΕΕ. Σε μια τέτοια περίπτωση, εναπόκειται στον εξαγωγέα να εξετάσει το ενδεχόμενο λήψης των κατάλληλων μέτρων που απαιτούνται για τη διασφάλιση της προστασίας των δεδομένων προσωπικού χαρακτήρα 42. Αυτά μπορεί να κυμαίνονται από τεχνικά και οργανωτικά μέτρα, μέτρα συναφή με το επιχειρηματικό μοντέλο ή νομικά μέτρα 43 έως τη δυνατότητα αναστολής της διαβίβασης των δεδομένων ή καταγγελίας της σύμβασης. Λαμβάνοντας υπόψη όλες τις περιστάσεις της διαβίβασης, οι εξαγωγείς ενδέχεται συνεπώς να πρέπει να εφαρμόσουν πρόσθετες ασφαλιστικές δικλείδες προς συμπλήρωση εκείνων που παρέχονται σύμφωνα με την 39 Βλ. δήλωση της ομάδας εργασίας του άρθρου 29 της 16ης Οκτωβρίου 2015 (ανωτέρω υποσημείωση 8). 40 Ορισμένες πολυεθνικές εταιρείες δήλωσαν ότι βασίζουν τις διαβιβάσεις δεδομένων προς τις ΗΠΑ σε εναλλακτικά εργαλεία. Βλ. π.χ. τις δηλώσεις της Microsoft ( ή της Salesforce ( Άλλες εταιρείες των ΗΠΑ, όπως η Oracle, δήλωσαν ότι παρέχουν στους πελάτες υπηρεσιών υπολογιστικού νέφους τη δυνατότητα αποθήκευσης των δεδομένων τους στην Ευρώπη, ώστε να μην αποστέλλονται για αποθήκευση αλλού: ?mode=print&ot=example.AjaxPageLayout.ot 41 Βλ. αιτιολογική σκέψη 60 και άρθρο 25 παράγραφος 1 της οδηγίας 95/46/ΕΚ. 42 Βλ. π.χ. το σημείο 5 του παραρτήματος της απόφασης 2010/87/ΕΕ της Επιτροπής, και ομάδα εργασίας του άρθρου 29 «Έγγραφο εργασίας, το οποίο θεσπίζει πλαίσιο για τη δομή των δεσμευτικών εταιρικών κανόνων» (WP 154), 24 Ιουνίου 2008, σ Βλ. π.χ. τις κατευθυντήριες γραμμές που εκδόθηκαν από τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Ασφάλεια Δικτύων και Πληροφοριών (ENISA): 15

16 εφαρμοστέα νομική βάση, προκειμένου η διαβίβαση να ανταποκρίνεται στις απαιτήσεις του άρθρου 26 παράγραφος 2 της οδηγίας. Η συμμόρφωση με τις απαιτήσεις αυτές θα αξιολογείται, σε τελική ανάλυση, από τις ΑΠΔ κατά περίπτωση ως μέρος της άσκησης των λειτουργιών εποπτείας και επιβολής του νόμου που ασκούν, μεταξύ άλλων στο πλαίσιο της έγκρισης των συμβατικών ρυθμίσεων και των δεσμευτικών εταιρικών κανόνων ή με βάση μεμονωμένες καταγγελίες. Ενώ ορισμένες ΑΠΔ έχουν εκφράσει αμφιβολίες σχετικά με τη δυνατότητα χρήσης μέσων διαβίβασης όπως οι τυποποιημένες συμβατικές ρήτρες και οι δεσμευτικοί εταιρικοί κανόνες για τις διατλαντικές ροές δεδομένων 44, στη δήλωσή της σε συνέχεια της απόφασης Schrems, η ομάδα εργασίας του άρθρου 29 ανακοίνωσε ότι θα συνεχίσει την ανάλυση των επιπτώσεων της απόφασης στα άλλα εργαλεία διαβίβασης 45. Τούτο δεν θίγει τις εξουσίες των ΑΠΔ να διερευνούν συγκεκριμένες υποθέσεις και να ασκούν τις εξουσίες τους με στόχο την προστασία των ιδιωτών. 3. ΟΙ ΣΥΝΕΠΕΙΕΣ ΤΗΣ ΑΠΟΦΑΣΗΣ SCHREMS ΓΙΑ ΤΙΣ ΑΠΟΦΑΣΕΙΣ ΠΕΡΙ ΕΠΑΡΚΕΙΑΣ Με την απόφασή του, το Δικαστήριο δεν θέτει υπό αμφισβήτηση τις αρμοδιότητες της Επιτροπής σύμφωνα με το άρθρο 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ να αποφανθεί ότι μια τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, εφόσον τηρούνται οι απαιτήσεις που έθεσε το Δικαστήριο. Σύμφωνα με τις απαιτήσεις αυτές, η πρόταση του 2012 για έναν γενικό κανονισμό για την προστασία δεδομένων 46 που θα αντικαταστήσει την οδηγία 95/46/ΕΚ αποσαφηνίζει περαιτέρω και ορίζει λεπτομερώς τις προϋποθέσεις υπό τις Βλ. π.χ. το έγγραφο θέσης που εξέδωσε η Διάσκεψη προστασίας δεδομένων των γερμανικών αρχών προστασίας των δεδομένων σε ομοσπονδιακό και κρατικό επίπεδο στις : Τονίζοντας ότι η απόφαση Schrems περιλαμβάνει «αυστηρές ουσιαστικές προϋποθέσεις» που τόσο η Επιτροπή όσο και οι ΑΠΔ πρέπει να τηρούν, το έγγραφο θέσης υποδεικνύει ότι οι γερμανικές ΑΠΔ θα αξιολογούν τη νομιμότητα των διαβιβάσεων δεδομένων που βασίζονται σε εναλλακτικά εργαλεία (τυποποιημένες συμβατικές ρήτρες, δεσμευτικοί εταιρικοί κανόνες) και δεν θα χορηγούν πλέον νέες εγκρίσεις για τη χρήση των εν λόγω εργαλείων. Παράλληλα, οι επιμέρους γερμανικές ΑΠΔ έχουν εκδώσει σαφείς προειδοποιήσεις ότι τα εναλλακτικά εργαλεία διαβίβασης τελούν υπό νομική εξέταση. Βλ. π.χ. τα έγγραφα θέσης που έχουν εκδοθεί από τις ΑΠΔ του Schleswig-Holstein: Position-Paper-on-the-Judgment-of-the-Court-of-Justice-of-the-European-Union-of-6-October-2015,-C html και της Ρηνανίας-Παλατινάτου: H-Urteil_Safe_Harbor.pdf. Βλ. δήλωση της ομάδας εργασίας του άρθρου 29 της 16ης Οκτωβρίου 2015 (ανωτέρω υποσημείωση 8). Ευρωπαϊκή Επιτροπή, πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (γενικός κανονισμός για την προστασία δεδομένων). Βλ. επίσης Ευρωπαϊκό Κοινοβούλιο, νομοθετικό ψήφισμα της 12ης Μαρτίου 2014 σχετικά με την πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (γενικός κανονισμός για την προστασία δεδομένων), COM(2012)0011 C7-0025/ /0011 (COD)) Συμβούλιο, πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (γενικός κανονισμός για την προστασία δεδομένων), προετοιμασία γενικής προσέγγισης, 9565/15. Η πρόταση βρίσκεται επί του παρόντος στο τελικό στάδιο της νομοθετικής διαδικασίας. 16