POGLAVJE V Prenosi osebnih podatkov v tretje države ali mednarodne organizacije

Člen 35

Splošna načela za prenose osebnih podatkov

1.  Države članice določijo, da pristojni organi vsak prenos osebnih podatkov, ki se obdelujejo ali so namenjeni obdelavi po prenosu v tretjo državo ali mednarodno organizacijo, vključno z nadaljnjimi prenosi v drugo tretjo državo ali mednarodno organizacijo, izvedejo samo, če je v skladu z nacionalnimi določbami, sprejetimi v skladu z drugimi določbami te direktive in samo če so izpolnjeni pogoji iz tega poglavja, in sicer:

2.  Države članice določijo, da so prenosi brez predhodnega soglasja druge države članice v skladu s točko (c) odstavka 1 dovoljeni samo, če je prenos osebnih podatkov nujno potreben, da se prepreči neposredna in resna grožnja javni varnosti v državi članici ali tretji državi ali vitalnim interesom države članice, predhodnega soglasja pa ni mogoče pridobiti pravočasno. O tem brez odlašanja obvestijo organ, pristojen za dajanje predhodnega soglasja.

3.  Vse določbe tega poglavja se uporabljajo za zagotovitev, da ni ogrožena raven varstva posameznikov, ki jo zagotavlja ta direktiva.

Člen 36

Prenosi na podlagi sklepa o ustreznosti

1.  Države članice določijo, da se prenos osebnih podatkov v tretjo državo ali mednarodno organizacijo lahko izvede, če Komisija sklene, da zadevna tretja država, ozemlje, eden ali več določenih sektorjev v tej tretji državi ali mednarodna organizacija zagotavlja ustrezno raven varstva podatkov. Za tak prenos ni potrebno posebno dovoljenje.

2.  Komisija pri ocenjevanju ustreznosti ravni varstva upošteva zlasti naslednje elemente:

3.  Komisija lahko po oceni ustreznosti ravni varstva z izvedbenim aktom sklene, da tretja država, ozemlje ali eden ali več določenih sektorjev v zadevni tretji državi ali mednarodna organizacija zagotavlja ustrezno raven varstva v smislu odstavka 2 tega člena. V izvedbenem aktu se določi mehanizem za redni pregled, vsaj vsaka štiri leta, ki v celoti upošteva razvoj dogodkov v tretji državi ali mednarodni organizaciji. V izvedbenem aktu se določi njegova ozemeljska veljavnost in sektorska uporaba ter kadar je ustrezno opredeli nadzorni organ ali organi iz točke (b) odstavka 2 tega člena. Izvedbeni akt se sprejme v skladu s postopkom pregleda iz člena 58(2).

4.  Komisija redno spremlja razvoj dogodkov v tretjih državah in mednarodnih organizacijah, ki bi lahko vplival na izvajanje sklepov, sprejetih v skladu z odstavkom 3.

5.  Komisija v primeru, ko razpoložljive informacije, zlasti na podlagi pregleda iz odstavka 3 tega člena, pokažejo, da tretja država, ozemlje ali eden ali več določenih sektorjev v zadevni tretji državi ali mednarodna organizacija ne zagotavlja več ustrezne ravni varstva v smislu odstavka 2 tega člena, z izvedbenim aktom, v potrebnem obsegu, razveljavi, spremeni ali začasno odloži izvajanje sklepa iz odstavka 3 tega člena brez retroaktivnega učinka. Ta izvedbeni akt se sprejme po postopku pregleda iz člena 58(2), v izjemno nujnih primerih pa po postopku iz člena 58(3).

V ustrezno utemeljenih izredno nujnih primerih Komisija v skladu s postopkom iz člena 58(3) sprejme izvedbene akte, ki se začnejo takoj uporabljati.

6.  Komisija se začne posvetovati s tretjo državo ali mednarodno organizacijo, kako izboljšati stanje, zaradi katerega je bil sprejet sklep na podlagi odstavka 5.

7.  Države članice določijo, da sklep, sprejet na podlagi odstavka 5 ne posega v prenose osebnih podatkov v zadevno tretjo državo, ozemlje ali en ali več določenih sektorjev v tej tretji državi ali mednarodno organizacijo v skladu s členoma 37 in 38.

8.  Komisija v Uradnem listu Evropske unije in na svojem spletnem mestu objavi seznam tretjih držav, ozemelj, določenih sektorjev v tretji državi in mednarodnih organizacij, v zvezi s katerimi je sprejela sklep, da zagotavljajo ustrezno raven varstva oziroma je ne zagotavljajo več.

Člen 37

Prenosi, za katere se uporabljajo ustrezni zaščitni ukrepi

1.  Države članice določijo, da se lahko v primeru nesprejetja sklepa v skladu s členom 36(3) osebni podatki prenesejo v tretjo državo ali mednarodno organizacijo, če:

2.  Upravljavec obvesti nadzorni organ o kategorijah prenosov iz točke (b) odstavka 1.

3.  Kadar prenos temelji na točki (b) odstavka 1, ga je treba dokumentirati, pri čemer mora biti dokumentacija na zahtevo na voljo nadzornemu organu, vključno z datumom in uro prenosa, podatki o pristojnem organu prejemniku, utemeljitvijo prenosa in prenesenimi osebnimi podatki.

Člen 38

Odstopanja v posebnih primerih

1.  Države članice zagotovijo, da se lahko v primeru, če ni bil sprejet sklep o ustreznosti v skladu s členom 36 oziroma če niso bili sprejeti ustrezni zaščitni ukrepi v skladu s členom 37, prenos ali kategorija prenosov osebnih podatkov v tretjo državo ali mednarodno organizacijo izvede le, če je prenos potreben:

2.  Če pristojni organ, ki podatke prenese, ugotovi, da temeljne pravice in svoboščine zadevnega posameznika, na katerega se nanašajo osebni podatki, prevladajo nad javnim interesom za prenos iz točk (d) in (e) odstavka 1, se osebni podatki ne prenesejo.

3.  Kadar prenos temelji na odstavku 1, ga je treba dokumentirati, pri čemer mora biti dokumentacija na zahtevo na voljo nadzornemu organu, vključno z datumom in uro prenosa, podatki o pristojnem organu prejemniku, utemeljitvijo prenosa in prenesenimi osebnimi podatki.

▼C1

Člen 39

Prenosi osebnih podatkov uporabnikom, ustanovljenim v tretjih državah

1.  V pravu Unije ali države članice se lahko z odstopanjem od točke (b) člena 35(1) in brez poseganja v kateri koli mednarodni sporazum iz odstavka 2 tega člena določi, da pristojni organi iz točke (7)(a) člena 3 v posameznih in posebnih primerih prenesejo osebne podatke neposredno uporabnikom, ustanovljenim v tretjih državah, le, če so izpolnjene zahteve iz drugih določb te direktive in vsi naslednji pogoji:

▼B

2.  Mednarodni sporazum iz odstavka 1 je kateri koli veljavni dvo- ali večstranski mednarodni sporazum med državami članicami in tretjimi državami s področja pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja.

3.  Pristojni organ, ki podatke prenese, obvesti nadzorni organ o prenosih na podlagi tega člena.

4.  Kadar prenos temelji na odstavku 1, ga je treba dokumentirati.

Člen 40

Mednarodno sodelovanje za varstvo osebnih podatkov

Komisija in države članice v zvezi s tretjimi državami in mednarodnimi organizacijami sprejmejo ustrezne ukrepe, da: