РЕШЕНИЕ НА КОМИСИЯТА
от 31 януари 2011 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Държавата Израел във връзка с автоматизираното предаване на лични данни
(нотифицирано под номер C(2011) 332)
(текст от значение за ЕИП)
(2011/61/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след като се консултира с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни към трета държава може да се извършва само ако въпросната трета държава осигурява адекватно ниво на защита и ако законодателствата на държавите-членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватно ниво на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква нивото на защита на данните да бъде преценявано с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни, или на набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Правната система на Държавата Израел не се основава на писана конституция, макар че Върховният съд на Държавата Израел е предоставил конституционен статут на някои „основни закони“. Тези „основни закони“ се допълват от голяма по обем съдебна практика, тъй като израелската правна система се придържа в съществена степен към принципите на обичайното право. Правото на личен живот е включено в раздел 7 от т.нар. „Основен закон: човешко достойнство и свобода“.
(6)
Правните стандарти за защита на личните данни в Държавата Израел до голяма степен се основават върху стандартите, установени в Директива 95/46/ЕО, и са посочени в Закона за защита на неприкосновеността на личния живот 5741-1981, изменен за последен път през 2007 г., с цел да се установят нови изисквания за обработване на личните данни и да се утвърди подробна организация на надзорния орган.
(7)
Това законодателство за защита на данните се допълва още от правителствени решения относно прилагането на Закона за защита на неприкосновеността на личния живот 5741-1981 и относно организацията и функционирането на надзорния орган, които до голяма степен се основават на препоръките, формулирани в доклада до Министерството на правосъдието, изготвен от Комитета за преглед на законодателство, свързано с бази данни („доклад Шофман“).
(8)
Разпоредби за защита на данните се съдържат също и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормите в областта на здравеопазването и публичните регистри.
(9)
Правните стандарти за защита на данните, приложими в Държавата Израел, обхващат всички основни принципи, необходими за адекватно ниво на защита на физическите лица във връзка с обработването на лични данни в автоматизирани бази данни. Глава 2 от Закона за защита на неприкосновеността на личния живот 5741-1981, в която се определят принципите за обработване на личните данни, не се прилага за обработването на лични данни в неавтоматизирани бази данни (ръчни бази данни).
(10)
Прилагането на правните стандарти за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Израелския орган за законодателство, информация и технологии (ИОЗИТ), който разполага с правомощия за разследване и намеса и който действа напълно независимо.
(11)
Израелските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува израелското право, и също така дадоха уверения, че израелското законодателство за защита на данните се прилага в съответствие с това тълкуване. Настоящото решение се основава на тези обяснения и уверения и следователно е обусловено от тях.
(12)
Поради това следва да се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни съгласно Директива 95/46/ЕО по отношение на автоматизираното международно предаване на лични данни от Европейския съюз към Държавата Израел и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. От друга страна, международното предаване на лични данни от ЕС към Държавата Израел, при което самото предаване, както и последващата обработка на данните се осъществяват изключително чрез неавтоматизирани средства, не следва да бъде предмет на настоящото решение.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано, въпреки констатирането на адекватна защита.
(14)
Констатациите в настоящото решение относно адекватността на защитата на данните се отнасят до Държавата Израел, както е определена в съответствие с международното право. По-нататъшно последващо предаване на получател извън Държавата Израел, както е определена в съответствие с международното право, следва да се счита за предаване на лични данни на трета държава.
(15)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на адекватност на защитата на лични данни по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. В своето благоприятно становище работната група окуражи израелските органи да приемат допълнителни разпоредби, които разширяват обхвата на прилагането на израелското законодателство, така че в него да се включат и ръчните бази данни, и които изрично признават прилагането на принципа на пропорционалност към обработването на лични данни в частния сектор и тълкуват изключенията при международното предаване на данни в съответствие с критериите, посочени в нейния Работен документ за общо тълкуване на член 26, параграф 1 от Директива 95/46/ЕО (2). Това становище беше взето предвид при изготвянето на настоящото решение (3).
(16)
Комитетът, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО, не изготви становище в срока, определен от неговия председател,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз, по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които то подлежи на допълнителна автоматизирана обработка в Държавата Израел.
2. Компетентният надзорен орган в Държавата Израел относно прилагането на правните стандарти за защита на данните е Израелският орган за законодателство, информация и технологии (ИОЗИТ), посочен в приложението към настоящото решение.
Член 2
1. Настоящото решение се отнася единствено до нивото на адекватна защита, осигурено в Държавата Израел, както е определена в съответствие с международното право, за да се отговори на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не влияе по никакъв начин върху други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
2. Настоящото решение се прилага в съответствие с международното право. То не засяга статута на Голанските възвишения, Ивицата Газа и Западния бряг, включително Източен Ерусалим, съгласно разпоредбите на международното право.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правата, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Държавата Израел с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен израелски орган е установил, че получателят нарушава приложимите стандарти за защита; или
б)
когато е налице голяма вероятност да са нарушени стандартите на защита, има основателни причини да се смята, че компетентният израелски орган не взема или няма да вземе подходящите и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за засегнатите лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Държавата Израел, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират стандартите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки информират незабавно Комисията за мерките, приети на основание член 3.
2. Държавите-членки и Комисията се информират взаимно за случаите, при които действията, предприети от органите, отговорни за гарантиране на спазването на стандартите за защита в Държавата Израел, не успеят да гарантират тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира спазването на стандартите за защита в Държавата Израел, не изпълнява действително своята роля, Комисията уведомява за това компетентния израелски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава прилагането на настоящото решение и съобщава съответните констатации на комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което би могло да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Държавата Израел е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин. По-специално тя наблюдава обработването на лични данни в ръчни бази данни.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на неговото нотифициране.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 31 януари 2011 година.
KOMISJONI OTSUS,
31. jaanuar 2011,
isikuandmete piisava kaitse kohta Iisraeli Riigis seoses isikuandmete automaatse töötlemisega vastavalt Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ
(teatavaks tehtud numbri K(2011) 332 all)
(EMPs kohaldatav tekst)
(2011/61/EL)
EUROOPA KOMISJON,
võttes arvesse Euroopa Liidu toimimise lepingut,
võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, (1) eriti selle artikli 25 lõiget 6,
olles konsulteerinud Euroopa andmekaitseinspektoriga
ning arvestades järgmist:
(1)
Direktiivi 95/46/EÜ kohaselt peavad liikmesriigid sätestama, et isikuandmeid võib kolmandale riigile edastada üksnes juhul, kui kõnealuses kolmandas riigis on tagatud andmekaitse piisav tase ning kui enne andmete edastamist järgitakse direktiivi muude sätete rakendamist käsitlevaid liikmesriikide õigusakte.
(2)
Komisjon võib järeldada, et kolmas riik tagab andmekaitse piisava taseme. Sel juhul võib liikmesriikidest isikuandmeid edastada ilma lisatagatisteta.
(3)
Vastavalt direktiivile 95/46/EÜ tuleb andmekaitse taseme hindamisel silmas pidada kõiki andmete edastamise toimingute või andmete edastamise toimingute kogumi asjaolusid ning pöörata erilist tähelepanu mitmele andmete edastamise seisukohalt olulistele ja direktiivi artiklis 25 loetletud tegurile.
(4)
Kuna kolmandad riigid suhtuvad andmekaitsesse erineval viisil, tuleks hinnata andmekaitse piisavust ning teha ja jõustada kõik direktiivi 95/46/EÜ artikli 25 lõikel 6 põhinevad otsused viisil, mis ei tekita meelevaldset või põhjendamatut diskrimineerimist selliste kolmandate riikide suhtes või vahel, kus valitsevad samasugused tingimused, või kaubanduse varjatud tõkestamist, võttes arvesse Euroopa Liidu kehtivaid rahvusvahelisi kohustusi.
(5)
Iisraeli õigussüsteemis puudub kirjutatud põhiseadus, kuid Iisraeli Riigikohus on andnud teatavatele alusseadustele põhiseadusliku staatuse. Kõnealuseid alusseadusi täiendab ulatuslik kohtupraktika, kuna Iisraeli õigussüsteem põhineb suures osas tavaõiguse põhimõtetel. Õigus eraelu puutumatusele on osa inimväärikust ja vabadust käsitleva alusseaduse artiklist 7.
(6)
Isikuandmete kaitset käsitlevate õigusnormide aluseks Iisraelis on peamiselt direktiiviga 95/46/EÜ kehtestatud õigusnormid, need on sätestatud eraelu puutumatuse kaitset käsitlevas seaduses 5741-1981, mida on viimati muudetud 2007. aastal, kui kehtestati uued isikuandmete töötlemist käsitlevad nõuded ning reglementeeriti üksikasjalikult järelevalveasutuse struktuur.
(7)
Andmekaitset käsitlevaid õigusakte täiendavad ka valitsuse otsused eraelu puutumatuse kaitset käsitleva seaduse 5741-1981 rakendamise kohta ning järelevalveasutuse struktuuri ja toimimise kohta, mille aluseks on suures osas andmebaase käsitlevate õigusaktide kontrollimiseks loodud komitee aruandes („Schoffmani aruanne”) justiitsministeeriumile esitatud soovitused.
(8)
Andmekaitset käsitlevaid sätteid sisaldavad ka hulk õigusakte, mis reguleerivad erinevaid sektoreid, näiteks finantssektori õigusaktid, tervishoiualased eeskirjad ja riiklikke registreid käsitlevad õigusaktid.
(9)
Iisraelis kohaldatavad andmekaitse õigusnormid hõlmavad kõiki üldpõhimõtteid, mis on vajalikud füüsiliste isikute kaitseks piisaval tasemel seoses isikuandmete töötlemisega automatiseeritud andmebaasides. Eraelu puutumatuse kaitset käsitleva seaduse 5741-1981 2. peatükki, milles sätestatakse isikuandmete töötlemise põhimõtted, ei kohaldata isikuandmete töötlemise suhtes automatiseerimata andmebaasides (manuaalsed andmebaasid).
(10)
Kõnealuste andmekaitse õigusnormide kohaldamine tagatakse halduslike ja õiguskaitsevahenditega ning sõltumatu järelevalve abil, mida teostab järelevalveasutusena Iisraeli õigus-, teabe- ja tehnoloogiaamet (ILITA), millele on antud uurimis- ja sekkumisvolitused ning mis tegutseb täiesti sõltumatult.
(11)
Iisraeli andmekaitseasutus on esitanud selgitused ja kinnitused selle kohta, kuidas Iisraeli õigust tuleks tõlgendada ning on kinnitanud, et Iisraeli andmekaitse eeskirju rakendatakse sellise tõlgendamise kohaselt. Käesolev otsus võtab arvesse nimetatud selgitusi ja kinnitusi ning sõltub seega neist.
(12)
Seetõttu tuleks isikuandmete kaitse Iisraelis lugeda piisavaks direktiivi 95/46/EÜ tähenduses selles osas, mis käsitleb automatiseeritud rahvusvahelist isikuandmete edastamist Euroopa Liidust Iisraeli, või juhul, kui see ei ole automatiseeritud, nende automatiseeritud töötlemist Iisraeli territooriumil. Kõnealust otsust ei peaks aga kohaldatama rahvusvahelise isikuandmete edastamise suhtes Euroopa Liidust Iisraeli, mille puhul edastamine ja sellele järgnev andmete töötlemine toimub ainult automatiseerimata vahendite abil.
(13)
Selguse ja arusaadavuse huvides ning võimaldamaks liikmesriikide pädevatel ametiasutustel tagada üksikisikute kaitset nende isikuandmete töötlemisel, tuleb kindlaks määrata need erandlikud asjaolud, mille korral teatava andmevahetuse peatamine on põhjendatud, olenemata sellest, et andmekaitse tase on tunnistatud piisavaks.
(14)
Käesoleva otsusega seotud andmekaitse taseme hindamise tulemused hõlmavad Iisraeli vastavalt rahvusvahelises õiguses määratletule. Andmete edasine edastamine Iisraelist väljapoole tuleks vastavalt rahvusvahelises õiguses määratletule lugeda isikuandmete edastamiseks kolmandale riigile.
(15)
Direktiivi 95/46/EÜ artikli 29 alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on esitanud isikuandmete kaitse piisava taseme kohta pooldava arvamuse selles osas, mis käsitleb automatiseeritud rahvusvahelist isikuandmete edastamist Euroopa Liidust Iisraeli, või juhul kui see ei ole automatiseeritud, nende automatiseeritud töötlemist Iisraeli territooriumil. Töörühm kutsus oma pooldavas arvamuses Iisraeli ametiasutusi üles jätkama selliste õigusaktide vastuvõtmist, millega laiendatakse Iisraeli õigusaktide kohaldamisala nii, et need hõlmaksid manuaalseid andmebaase ja milles sätestatakse sõnaselgelt proportsionaalsuse põhimõtte kohaldamine isikuandmete töötlemise suhtes erasektoris ning tõlgendatakse rahvusvahelist andmeedastust käsitlevaid erandeid vastavalt töörühma koostatud töödokumendis direktiivi 95/46/EÜ artikli 26 lõike 1 ühise tõlgendamise kohta sätestatud kriteeriumitele (2). Nimetatud arvamust (3) on käesoleva direktiivi sätetes arvesse võetud.
(16)
Direktiivi 95/46/EÜ artikli 31 lõike 1 alusel loodud komitee ei esitanud oma arvamust selle esimehe kehtestatud tähtaja jooksul,
ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
Artikkel 1
1. Direktiivi 95/46/EÜ artikli 25 lõike 2 kohaldamiseks loetakse Iisrael riigiks, kus on tagatud Euroopa Liidust edastatud isikuandmete kaitse piisav tase selles osas, mis käsitleb automatiseeritud rahvusvahelist isikuandmete edastamist Euroopa Liidust Iisraeli või juhul kui see ei ole automatiseeritud, nende automatiseeritud töötlemist Iisraeli territooriumil.
2. Andmekaitse õigusnormide kohaldamise eest vastutav Iisraeli pädev järelevalveasutus on käesoleva otsuse lisas osutatud Iisraeli õigus-, teabe- ja tehnoloogiaamet (edaspidi „ILITA”).
Artikkel 2
1. Käesolev otsus käsitleb ainult Iisraeli andmekaitse piisavust vastavalt rahvusvahelises õiguses määratletule kooskõlas direktiivi 95/46/EÜ artikli 25 lõike 1 nõuetega ning see ei mõjuta muid tingimusi või piiranguid, millega rakendatakse kõnealuse direktiivi muid sätteid, mis käsitlevad isikuandmete töötlemist liikmesriikides.
2. Käesolev otsus käsitleb Iisraeli Riigi andmekaitse piisavust ning seda kohaldatakse kooskõlas rahvusvahelise õigusega. Sellega ei piirata rahvusvahelise õiguse mõttes Golani kõrgendike, Gaza sektori ja Läänekalda (koos Ida-Jeruusalemmaga) staatust.
Artikkel 3
1. Ilma et see piiraks liikmesriikide pädevate asutuste volitusi võtta meetmeid selleks, et tagada vastavus muudele sätetele kui direktiivi 95/46/EÜ artikli 25 kohaselt võetud siseriiklikele õigusnormidele, võivad nimetatud asutused kasutada olemasolevaid volitusi peatada andmete edastamine Iisraelis asuvale vastuvõtjale, et kaitsta üksikisikuid seoses nende isikuandmete töötlemisega järgmistel juhtudel:
a)
Iisraeli pädev ametiasutus on kindlaks teinud, et vastuvõtja rikub kehtivaid kaitsenõudeid või
b)
on väga tõenäoline, et kaitsenõudeid rikutakse; on põhjust arvata, et Iisraeli pädev ametiasutus ei võta ega kavatse võtta aegsasti asjakohaseid meetmeid kõnealuse olukorra lahendamiseks; andmeedastuse jätkamine võib kujutada andmesubjektide jaoks vältimatut tõsise kahju ohtu ning liikmesriikide pädevad ametiasutused on asjaolusid arvestades võtnud piisavaid meetmeid Iisraelis asuva töötlemise eest vastutava osapoole teavitamiseks ja andnud talle võimaluse vastata.
2. Peatamine lõpetatakse kohe, kui on tagatud kaitsenõuete järgimine ning asjaomase liikmesriigi pädevale ametiasutusele on sellest teatatud.
Artikkel 4
1. Liikmesriigid teatavad lõike 3 alusel võetud meetmetest viivitamata komisjonile.
2. Liikmesriigid ja komisjon teatavad üksteisele juhtudest, mil Iisraelis kaitsenõuete järgimise tagamise eest vastutavate organite tegevus ei ole taganud kaitsenõuete järgimist.
3. Kui artikli 3 ning selle lõigete 1 ja 2 kohaselt kogutud teave tõendab, et mõni Iisraeli kaitsenõuete järgimise tagamise eest vastutav ametiasutus ei täida oma ülesandeid tõhusalt, teavitab komisjon Iisraeli pädevat ametiasutust ning esitab vajaduse korral direktiivi 95/46/EÜ artikli 31 lõikes 2 sätestatud korras eelnõud meetmete kohta, mille eesmärk on käesolev otsus kehtetuks tunnistada või peatada või piirata selle reguleerimisala.
Artikkel 5
Komisjon jälgib käesoleva otsuse toimimist ning esitab direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele aruande kõigi asjakohaste järelduste kohta, sealhulgas tõendid, mis võivad mõjutada käesoleva otsuse artiklis 1 esitatud järeldust, et Iisraelis pakutav kaitse on direktiivi 95/46/EÜ artikli 25 tähenduses piisav, ning tõendid selle kohta, et käesolevat otsust rakendatakse diskrimineerival viisil. Eelkõige jälgib komisjon isikuandmete töötlemist manuaalsetes andmebaasides.
Artikkel 6
Liikmesriigid võtavad kõik käesoleva otsuse järgimiseks vajalikud meetmed kolme kuu jooksul alates otsuse teatavakstegemise kuupäevast.
Artikkel 7
Käesolev otsus on adresseeritud liikmesriikidele.
Brüssel, 31. jaanuar 2011