РЕШЕНИЕ НА КОМИСИЯТА
от 19 октомври 2010 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата на личните данни в Андора
(нотифицирано под номер C(2010) 7084)
(текст от значение за ЕИП)
(2010/625/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни на трета държава може да се извършва, само ако въпросната трета държава осигурява подходяща степен на защита и ако законодателствата на държавите-членки по прилагането на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватна степен на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с предаване на данни или с набор от операции по предаване на данни, като се отчитат редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде прието и изпълнявано по начин, който не води до произволна или неоснователна дискриминация по отношение на трети държави или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка пред търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Държавата Андора е парламентарно княжество, представлявано от двама съкнязе - президента на Френската република и епископа на Урхел.
(6)
Правото на личен живот е залегнало в член 14 от Конституцията на Княжество Андора (Constitució del Principat d’Andorra), одобрена с национален референдум на 14 март 1993 г.
(7)
Правните норми за защита на личните данни в Андора се основават до голяма степен на стандартите, установени в Директива 95/46/ЕО, и са залегнали в Квалифициран закон 15/2003 от 18 декември относно защитата на личните данни (Llei qualificada de protecció de dades personals) (LQPDP). Това законодателство за защита на данните допълват два указа - указ от 1 юли 2004 г. за създаване на публичния регистър за вписване на личните данни и указ от 9 юни 2010 г. за одобряване на правилниците на Агенцията по защита на данните на Андора. Вторият инструмент изяснява няколко въпроса, повдигнати от работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, в нейното становище от 1 декември 2009 г. (2)
(8)
Разпоредби за защита на данните се съдържат и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормативните разпоредби в областта на здравеопазването и публичните регистри.
(9)
Андора е ратифицирала Конвенцията на Съвета на Европа за защита на лицата при автоматизирана обработка на лични данни от 28 януари 1981 г. и допълнителния протокол към Конвенцията за защита на лицата при автоматизирана обработка на лични данни по отношение на надзорните органи и трансграничните потоци от данни от 8 ноември 2001 г., както и Конвенцията на Съвета на Европа за защита на правата на човека и основните свободи от 4 ноември 1950 г., която е в сила в Андора от 22 януари 1996 г., и Международния пакт за граждански и политически права от 16 декември 1966 г., който е в сила в Андора от 19 юли 2006 г.
(10)
Правните норми за защита на данните, приложими в Андора, обхващат всички основни принципи, необходими за осигуряване на адекватна степен на защита на физическите лица, като също така предвиждат възможността за изключения и ограничения, с цел да бъдат защитени важни обществени интереси. Прилагането на тези правни норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Агенцията по защита на данните на Андора, която разполага с правомощия за разследване и намеса и която действа напълно независимо.
(11)
Органите на Андора за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува правото на Андора, и също така потвърдиха, че законодателството за защита на данните на Андора се прилага в съответствие с това тълкуване. Настоящото решение отчита тези обяснения и уверения и следователно е обусловено от тях.
(12)
Следователно следва да се счита, че Андора осигурява адекватна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се посочат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано въпреки констатирането на адекватна защита.
(14)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (3). В своето благоприятно становище работната група насърчи органите на Андора да продължат текущия процес на приемане на допълнителни разпоредби, които ще разширят обхвата на прилагане на законодателството на Андора, така че в него да се включат автоматизираните индивидуални решения, тъй като това в момента не е изрично признато в квалифицирания закон за защита на личните данни на Андора.
(15)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Андора осигурява адекватна степен на защита на личните данни, предавани от Европейския съюз.
Член 2
Настоящото решение се отнася до адекватността на защитата, осигурена в Андора с оглед на изпълняване на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не засяга други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националните разпоредби, приети в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правомощията, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Андора с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Андора е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност да се нарушават нормите на защита, има основателни причини да се смята, че компетентният орган в Андора не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за съответните физически лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Андора, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират нормите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки уведомяват незабавно Комисията за приетите на основание член 3 мерки.
2. Държавите-членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за гарантиране на спазването на нормите за защита в Андора, не успеят да осигурят тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира съблюдаването на нормите за защита в Андора, не изпълнява действително своята роля, Комисията уведомява за това компетентния орган в Андора и, ако е необходимо, представя проект за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава действието на настоящото решение и съобщава съответните констатации на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяка явна информация, която би могла да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Андора е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка явна информация, че настоящото решение се прилага по дискриминационен начин.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението до 1 януари 2011 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 19 октомври 2010 година.
KOMISSION PÄÄTÖS,
annettu 19 päivänä lokakuuta 2010,
Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla riittävästä henkilötietojen suojasta Andorrassa
(tiedoksiannettu numerolla K(2010) 7084)
(ETA:n kannalta merkityksellinen teksti)
(2010/625/EU)
EUROOPAN KOMISSIO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1) ja erityisesti sen 25 artiklan 6 kohdan,
on kuullut Euroopan tietosuojavaltuutettua,
sekä katsoo seuraavaa:
(1)
Direktiivin 95/46/EY mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä kolmannessa maassa turvataan tietosuojan riittävä taso ja jos direktiivin muiden säännösten täytäntöönpanemiseksi annettuja jäsenvaltioiden lakeja noudatetaan ennen tietojen siirtämistä.
(2)
Komissio voi todeta, että kolmas maa turvaa tietosuojan riittävän tason. Henkilötietoja voidaan tässä tapauksessa siirtää ilman lisätakeita.
(3)
Direktiivin 95/46/EY mukaisesti tietosuojan taso olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta ja ottaen erityisesti huomioon eräät siirron kannalta olennaiset direktiivin 25 artiklassa luetellut tekijät.
(4)
Koska kolmannet maat suhtautuvat eri tavoin tietosuojaan, tietosuojan riittävyyden arviointi olisi suoritettava ja kaikki direktiivin 95/46/EY 25 artiklan 6 kohtaan perustuvat päätökset olisi tehtävä ja pantava täytäntöön tavalla, joka ei mielivaltaisesti tai epäoikeudenmukaisesti syrji mitään kolmatta maata tai tee eroa niiden välillä, jos niissä vallitsevat samanlaiset olosuhteet, tai muodosta peiteltyä kaupan estettä, kun otetaan huomioon Euroopan unionin nykyiset kansainväliset sitoumukset.
(5)
Andorran valtiomuoto on parlamentaarinen ruhtinaskunta, jonka hallitsijoina toimivat Ranskan tasavallan presidentti ja Urgellin arkkipiispa.
(6)
Oikeus yksityisyyteen sisältyy kansanäänestyksessä 14 päivänä maaliskuuta 1993 hyväksytyn Andorran ruhtinaskunnan perustuslain (Constitució del Principat d’Andorra) 14 pykälään.
(7)
Henkilötietojen suojaa Andorrassa koskevat oikeussäännöt perustuvat suurelta osin direktiivissä 95/46/EY vahvistettuihin normeihin, ja niistä säädetään henkilötietojen suojasta 18 päivänä joulukuuta 2003 annetussa laissa N:o 15/2003 (Llei qualificada de protecció de dades personals). Kyseisen henkilötietojen suojaa koskevan lainsäädännön lisäksi 1 päivänä heinäkuuta 2004 annettiin asetus julkisesta rekisteristä henkilötietojen kirjaamiseksi ja 9 päivänä kesäkuuta 2010 annettiin asetus, jolla hyväksyttiin Andorran tietosuojavirastosta annettu asetus. Viimeksi mainitussa asetuksessa selvennetään useita kysymyksiä, jotka direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on 1 päivänä joulukuuta 2009 antamassaan lausunnossa (2) ottanut esille.
(8)
Tietosuojasäännöksiä sisältyy myös useisiin eri aloja, kuten rahoitusalaa, terveydenhuoltoa ja julkisia rekistereitä säänteleviin säädöksiin.
(9)
Andorra on ratifioinut 28 päivänä tammikuuta 1981 tehdyn Euroopan neuvoston yleissopimuksen yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä ja yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen 8 päivänä marraskuuta 2001 tehdyn lisäpöytäkirjan, joka koskee valvontaviranomaisia ja tietojen siirtoja eri maiden välillä, 4 päivänä marraskuuta 1950 tehdyn Euroopan neuvoston yleissopimuksen ihmisoikeuksien ja perusvapauksien suojaamiseksi, joka on ollut voimassa Andorrassa 22 päivästä tammikuuta 1996 lähtien, ja 16 päivänä joulukuuta 1966 tehdyn kansalaisoikeuksia ja poliittisia oikeuksia koskevan kansainvälisen yleissopimuksen, joka on ollut voimassa Andorrassa 19 päivästä heinäkuuta 2006 lähtien.
(10)
Andorrassa sovellettavat oikeudelliset tietosuojastandardit kattavat kaikki perusperiaatteet riittävän suojan takaamiseksi luonnollisille henkilöille, ja niissä säädetään myös poikkeuksista ja rajoituksista tärkeiden julkisten etujen suojelemiseksi. Kyseisten oikeudellisten tietosuojastandardien soveltaminen taataan hallinnollisin ja oikeudellisin keinoin sekä valvontaviranomaisen eli Andorran tietosuojaviraston suorittamalla riippumattomalla valvonnalla. Tietosuojavirastolla on tutkinta- ja toimintavaltuudet ja se toimii täysin riippumattomasti.
(11)
Andorran tietosuojaviranomaiset ovat antaneet selvityksiä ja lausuntoja siitä, kuinka Andorran lainsäädäntöä on tulkittava, sekä vakuuttaneet, että Andorran tietosuojalainsäädäntö pannaan täytäntöön kyseisen tulkinnan mukaisesti. Tässä päätöksessä otetaan huomioon kyseiset selvitykset ja lausunnot ja se on näin ollen niistä riippuvainen.
(12)
Näin ollen on katsottava, että Andorra tarjoaa direktiivissä 95/46/EY säädetyn henkilötietojen suojan riittävän tason.
(13)
Avoimuuden lisäämiseksi sekä sen varmistamiseksi, että jäsenvaltioiden toimivaltaiset viranomaiset pystyvät takaamaan yksilöiden tietosuojan heidän henkilötietojaan käsiteltäessä, on tarpeen tarkentaa, minkälaisissa poikkeusolosuhteissa tiettyjen tiedonsiirtojen keskeyttäminen voi olla perusteltua siitä huolimatta, että tietosuojan taso on todettu riittäväksi.
(14)
Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut henkilötietojen suojan tasosta myönteisen lausunnon (3), joka on otettu huomioon tämän päätöksen valmistelussa. Työryhmä kannusti myöntävässä lausunnossaan Andorran viranomaisia jatkamaan sellaisten säännösten hyväksymistä, joilla Andorran lainsäädännön soveltamista laajennetaan koskemaan automaattisia yksittäispäätöksiä, sillä tästä ei selkeästi säädetä henkilötietojen suojasta annetussa Andorran laissa.
(15)
Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklan 1 kohdassa perustetun komitean lausunnon mukaiset,
ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamiseksi katsotaan, että Andorra tarjoaa riittävän suojan Euroopan unionista siirretyille henkilötiedoille.
2 artikla
Tämä päätös koskee Andorrassa tarjotun tietosuojan riittävyyttä suhteessa direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimusten täyttymiseen, eikä sillä ole vaikutusta direktiivin muiden, henkilötietojen käsittelyä jäsenvaltioissa koskevien säännösten täytäntöönpanemiseksi vahvistettujen ehtojen tai rajoitusten soveltamiseen.
3 artikla
1. Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä sen varmistamiseksi, että muiden säännösten kuin direktiivin 95/46/EY 25 artiklan noudattamiseksi annettuja kansallisia säännöksiä noudatetaan, jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttääkseen Andorrassa olevalle vastaanottajalle suunnatun tietojen siirron suojellakseen yksityishenkilöitä näiden henkilötietojen käsittelyn osalta tapauksissa, joissa
a)
toimivaltainen Andorran viranomainen on todennut, että vastaanottaja ei noudata sovellettavia tietosuojavaatimuksia; tai
b)
on erittäin todennäköistä, että tietosuojavaatimuksia ei noudateta, ja on perusteltua aihetta olettaa, ettei toimivaltainen Andorran viranomainen parhaillaan tai jatkossa viipymättä toteuta vaadittavia toimenpiteitä asian ratkaisemiseksi; ja tiedonsiirron jatkaminen aiheuttaisi vakavan vaaran rekisteröidylle ja jäsenvaltion toimivaltaiset viranomaiset ovat olosuhteisiin nähden kohtuullisessa määrin pyrkineet antamaan Andorraan sijoittautuneelle tietojenkäsittelystä vastaavalle osapuolelle huomautuksen ja tilaisuuden vastata siihen.
2. Keskeytys lakkaa heti kun tietosuojavaatimusten noudattaminen on varmistettu ja tästä on ilmoitettu asianomaisten jäsenvaltioiden toimivaltaisille viranomaisille.
4 artikla
1. Jäsenvaltiot ilmoittavat viipymättä komissiolle 3 artiklan nojalla toteutetuista toimenpiteistä.
2. Jäsenvaltiot ja komissio tiedottavat toisilleen tapauksista, joissa tietosuojavaatimusten noudattamisesta Andorrassa vastuussa olevat elimet eivät pysty varmistamaan periaatteiden noudattamista.
3. Jos 3 artiklan sekä tämän artiklan 1 ja 2 kohdan nojalla saadut tiedot osoittavat, että jokin tietosuojavaatimusten noudattamisesta Andorrassa vastuussa oleva elin ei tosiasiallisesti hoida tehtäväänsä, komissio tiedottaa asiasta Andorran toimivaltaiselle viranomaiselle ja tarvittaessa esittää direktiivin 95/46/EY 31 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti ehdotuksia toimenpiteistä, joiden tarkoituksena on peruuttaa tämä päätös tai lykätä sen soveltamista tai rajoittaa sen soveltamisalaa.
5 artikla
Komissio seuraa tämän päätöksen soveltamista ja toimittaa direktiivin 95/46/EY 31 artiklan nojalla perustetulle komitealle kaikki asiaankuuluvat huomiot, mukaan luettuna kaikki seikat, jotka voivat vaikuttaa tämän päätöksen 1 artiklan mukaiseen arvioon, jonka mukaan tietosuojan taso Andorrassa on direktiivin 95/46/EY 25 artiklan mukaisessa merkityksessä riittävä, sekä kaikki todisteet päätöksen syrjivästä soveltamisesta.
6 artikla
Jäsenvaltioiden on toteutettava kaikki tämän päätöksen noudattamisen edellyttämät toimenpiteet viimeistään 1 päivänä tammikuuta 2011.
7 artikla
Tämä päätös on osoitettu kaikille jäsenvaltioille.
Tehty Brysselissä 19 päivänä lokakuuta 2010.