РЕШЕНИЕ НА КОМИСИЯТА
от 19 октомври 2010 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата на личните данни в Андора
(нотифицирано под номер C(2010) 7084)
(текст от значение за ЕИП)
(2010/625/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни на трета държава може да се извършва, само ако въпросната трета държава осигурява подходяща степен на защита и ако законодателствата на държавите-членки по прилагането на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватна степен на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с предаване на данни или с набор от операции по предаване на данни, като се отчитат редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде прието и изпълнявано по начин, който не води до произволна или неоснователна дискриминация по отношение на трети държави или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка пред търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Държавата Андора е парламентарно княжество, представлявано от двама съкнязе - президента на Френската република и епископа на Урхел.
(6)
Правото на личен живот е залегнало в член 14 от Конституцията на Княжество Андора (Constitució del Principat d’Andorra), одобрена с национален референдум на 14 март 1993 г.
(7)
Правните норми за защита на личните данни в Андора се основават до голяма степен на стандартите, установени в Директива 95/46/ЕО, и са залегнали в Квалифициран закон 15/2003 от 18 декември относно защитата на личните данни (Llei qualificada de protecció de dades personals) (LQPDP). Това законодателство за защита на данните допълват два указа - указ от 1 юли 2004 г. за създаване на публичния регистър за вписване на личните данни и указ от 9 юни 2010 г. за одобряване на правилниците на Агенцията по защита на данните на Андора. Вторият инструмент изяснява няколко въпроса, повдигнати от работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, в нейното становище от 1 декември 2009 г. (2)
(8)
Разпоредби за защита на данните се съдържат и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормативните разпоредби в областта на здравеопазването и публичните регистри.
(9)
Андора е ратифицирала Конвенцията на Съвета на Европа за защита на лицата при автоматизирана обработка на лични данни от 28 януари 1981 г. и допълнителния протокол към Конвенцията за защита на лицата при автоматизирана обработка на лични данни по отношение на надзорните органи и трансграничните потоци от данни от 8 ноември 2001 г., както и Конвенцията на Съвета на Европа за защита на правата на човека и основните свободи от 4 ноември 1950 г., която е в сила в Андора от 22 януари 1996 г., и Международния пакт за граждански и политически права от 16 декември 1966 г., който е в сила в Андора от 19 юли 2006 г.
(10)
Правните норми за защита на данните, приложими в Андора, обхващат всички основни принципи, необходими за осигуряване на адекватна степен на защита на физическите лица, като също така предвиждат възможността за изключения и ограничения, с цел да бъдат защитени важни обществени интереси. Прилагането на тези правни норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Агенцията по защита на данните на Андора, която разполага с правомощия за разследване и намеса и която действа напълно независимо.
(11)
Органите на Андора за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува правото на Андора, и също така потвърдиха, че законодателството за защита на данните на Андора се прилага в съответствие с това тълкуване. Настоящото решение отчита тези обяснения и уверения и следователно е обусловено от тях.
(12)
Следователно следва да се счита, че Андора осигурява адекватна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се посочат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано въпреки констатирането на адекватна защита.
(14)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (3). В своето благоприятно становище работната група насърчи органите на Андора да продължат текущия процес на приемане на допълнителни разпоредби, които ще разширят обхвата на прилагане на законодателството на Андора, така че в него да се включат автоматизираните индивидуални решения, тъй като това в момента не е изрично признато в квалифицирания закон за защита на личните данни на Андора.
(15)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Андора осигурява адекватна степен на защита на личните данни, предавани от Европейския съюз.
Член 2
Настоящото решение се отнася до адекватността на защитата, осигурена в Андора с оглед на изпълняване на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не засяга други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националните разпоредби, приети в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правомощията, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Андора с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Андора е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност да се нарушават нормите на защита, има основателни причини да се смята, че компетентният орган в Андора не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за съответните физически лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Андора, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират нормите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки уведомяват незабавно Комисията за приетите на основание член 3 мерки.
2. Държавите-членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за гарантиране на спазването на нормите за защита в Андора, не успеят да осигурят тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира съблюдаването на нормите за защита в Андора, не изпълнява действително своята роля, Комисията уведомява за това компетентния орган в Андора и, ако е необходимо, представя проект за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава действието на настоящото решение и съобщава съответните констатации на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяка явна информация, която би могла да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Андора е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка явна информация, че настоящото решение се прилага по дискриминационен начин.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението до 1 януари 2011 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 19 октомври 2010 година.
BESLUIT VAN DE COMMISSIE
van 19 oktober 2010
overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad, over de passende bescherming van persoonsgegevens in Andorra
(Kennisgeving geschied onder nummer C(2010) 7084)
(Voor de EER relevante tekst)
(2010/625/EU)
DE EUROPESE COMMISSIE,
Gezien het Verdrag betreffende de werking van de Europese Unie,
Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), en met name artikel 25, lid 6,
Na raadpleging van de Europese Toezichthouder voor gegevensbescherming,
Overwegende hetgeen volgt:
(1)
Overeenkomstig Richtlijn 95/46/EG dienen de lidstaten te bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaten die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.
(2)
De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties vanuit de lidstaten worden doorgegeven.
(3)
Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt en wordt in het bijzonder rekening gehouden met een aantal elementen die van belang zijn voor de doorgifte en in artikel 25 van de richtlijn zijn opgenomen.
(4)
Gezien de verschillende benaderingen van gegevensbescherming in derde landen dient het beschermingsniveau te worden beoordeeld en dienen besluiten op grond van artikel 25, lid 6, van Richtlijn 95/46/EG te worden vastgesteld en uitgevoerd op een wijze die geen willekeurige of onterechte discriminatie inhoudt tegen of tussen derde landen waar gelijksoortige voorwaarden gelden, noch een verkapte handelsbelemmering, rekening houdend met de geldende internationale verbintenissen van de Europese Unie.
(5)
Andorra is een parlementair vorstendom, met de president van de Franse Republiek en de aartsbisschop van Urgell als gezamenlijke vorsten.
(6)
Het recht op bescherming van de persoonlijke levenssfeer is vastgelegd in artikel 14 van de grondwet van het vorstendom Andorra (Constitució del Principat d’Andorra), die op 14 maart 1993 bij referendum is goedgekeurd.
(7)
De rechtsregels voor de bescherming van persoonsgegevens in Andorra zijn grotendeels gebaseerd op de normen van Richtlijn 95/46/EG en zijn vastgelegd in de Gekwalificeerde Wet 15/2003 van 18 december over de bescherming van persoonsgegevens (Llei qualificada de protecció de dades personals - LQPDP). Deze gegevensbeschermingswet wordt aangevuld door het decreet van 1 juli 2004 tot instelling van het openbare register van bestanden met persoonsgegevens en het decreet van 9 juni 2010 houdende goedkeuring van het reglement van het Andorrese Agentschap voor gegevensbescherming. Laatstgenoemd decreet geeft een verduidelijking betreffende een aantal vraagstukken die de bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens aan de orde heeft gesteld in haar advies van 1 december 2009 (2).
(8)
Gegevensbeschermingsbepalingen zijn ook opgenomen in een aantal rechtsinstrumenten die van toepassing zijn op verschillende sectoren, zoals de financiële sector, de gezondheidszorg en openbare registers.
(9)
Het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens van 28 januari 1981 en het Aanvullend Protocol bij het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens inzake toezichthoudende autoriteiten en grensoverschrijdend verkeer van gegevens van 8 november 2001, het Verdrag van de Raad van Europa tot bescherming van de rechten van de mens en de fundamentele vrijheden van 4 november 1950, dat in Andorra sinds 22 januari 1996 van kracht is, en het Internationaal Verdrag inzake burgerrechten en politieke rechten van 16 december 1966, dat in Andorra sinds 19 juli 2006 van kracht is, zijn door Andorra geratificeerd.
(10)
De wettelijke normen voor gegevensbescherming in Andorra omvatten alle basisbeginselen die noodzakelijk zijn voor een passend beschermingsniveau voor natuurlijke personen en voorzien tevens in de nodige uitzonderingen en beperkingen voor de bescherming van zwaarwegende algemene belangen. De toepassing van deze normen wordt gewaarborgd door bestuurlijke en rechtsmiddelen en het onafhankelijke toezicht door de toezichthoudende autoriteit, het Agentschap voor gegevensbescherming, dat de bevoegdheid heeft om onderzoek te verrichten en in te grijpen en onafhankelijk optreedt.
(11)
De Andorrese autoriteiten voor gegevensbescherming hebben verduidelijkingen en waarborgen geboden inzake de interpretatie van de Andorrese wetgeving en de verzekering gegeven dat de Andorrese normen inzake gegevensbescherming overeenkomstig deze interpretatie worden uitgevoerd. Dit besluit neemt deze verduidelijkingen en waarborgen in aanmerking en stelt derhalve de naleving daarvan als voorwaarde.
(12)
Gezien het bovenstaande wordt aangenomen dat Andorra een passend beschermingsniveau voor persoonsgegevens waarborgt, als bedoeld in Richtlijn 95/46/EG.
(13)
In het belang van de transparantie en om de bevoegde autoriteiten in de lidstaten in staat te stellen de bescherming van personen in verband met de verwerking van hun persoonsgegevens te waarborgen, moet nader worden geregeld in welke buitengewone omstandigheden de doorgifte van gegevens kan worden opgeschort, ondanks dat een passend beschermingsniveau is vastgesteld.
(14)
De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft over het niveau van de bescherming van persoonsgegevens een gunstig advies uitgebracht, waarmee bij de opstelling van dit besluit rekening is gehouden (3). De Groep heeft er in haar gunstige advies bij de Andorrese autoriteiten op aangedrongen nadere bepalingen aan te nemen waarmee het toepassingsgebied van de Andorrese wetgeving wordt uitgebreid tot geautomatiseerde individuele besluiten, die momenteel door de gekwalificeerde wet over de bescherming van persoonsgegevens niet uitdrukkelijk worden erkend.
(15)
De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31, lid 1, van Richtlijn 95/46/EG ingestelde comité,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG wordt Andorra geacht een passend beschermingsniveau te waarborgen voor vanuit de Europese Unie doorgegeven persoonsgegevens.
Artikel 2
Dit besluit heeft betrekking op de gepastheid van de bescherming die in Andorra wordt geboden, teneinde aan de vereisten van artikel 25, lid 1, van Richtlijn 95/46/EG te voldoen, en laat andere voorwaarden of beperkingen tot uitvoering van andere bepalingen van die richtlijn die op de verwerking van persoonsgegevens in de lidstaten betrekking hebben, onverlet.
Artikel 3
1. In onderstaande gevallen kunnen de bevoegde autoriteiten in de lidstaten gebruikmaken van hun bestaande bevoegdheden om gegevensstromen naar een ontvanger in Andorra te onderbreken, teneinde personen ten aanzien van de verwerking van hun persoonsgegevens te beschermen, onverminderd de bevoegdheid van die autoriteiten om maatregelen te nemen voor de naleving van nationale bepalingen die zijn goedgekeurd ingevolge andere bepalingen dan artikel 25 van Richtlijn 95/46/EG:
a)
indien een bevoegde autoriteit in Andorra tot de conclusie is gekomen dat de ontvanger in strijd met de toepasselijke normen voor gegevensbescherming handelt, of
b)
indien het zeer waarschijnlijk is dat niet aan de normen voor gegevensbescherming wordt voldaan, er goede redenen zijn om aan te nemen dat de bevoegde autoriteit in Andorra niet tijdig passende maatregelen neemt of zal nemen om het probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade aan de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat gedaan hebben wat in de gegeven omstandigheden redelijkerwijs mogelijk is om de in Andorra gevestigde organisatie die voor de verwerking verantwoordelijk is in kennis te stellen en de gelegenheid te geven te reageren.
2. De opschortende maatregel blijft van kracht tot vaststaat dat de beschermingsnormen worden nageleefd en de bevoegde autoriteit van de betrokken lidstaat of lidstaten hiervan in kennis is gesteld.
Artikel 4
1. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van artikel 3 maatregelen worden genomen.
2. De lidstaten en de Commissie stellen elkaar op de hoogte van de gevallen waarin de instanties die in Andorra verantwoordelijk zijn voor de naleving van de beschermingsnormen niet in staat zijn deze naleving te garanderen.
3. Wanneer uit de overeenkomstig artikel 3 en de leden 1 en 2 van dit artikel verzamelde informatie mocht blijken dat een instantie die verantwoordelijk is voor de naleving van de beschermingsnormen in Andorra haar taak niet naar behoren vervult, stelt de Commissie de bevoegde autoriteit in Andorra hiervan in kennis en stelt zij zo nodig, in overeenstemming met de procedure van artikel 31, lid 2, van Richtlijn 95/46/EG, ontwerpmaatregelen voor om dit besluit in te trekken of op te schorten dan wel het toepassingsgebied ervan te beperken.
Artikel 5
De Commissie evalueert de werking van dit besluit en deelt alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee, met inbegrip van alle gegevens die van invloed kunnen zijn op de vaststelling in artikel 1 van dit besluit dat het beschermingsniveau in Andorra passend is in de zin van artikel 25 van Richtlijn 95/46/EG, alsmede, wanneer dit besluit op discriminerende wijze wordt uitgevoerd, alle gegevens waaruit dat blijkt.
Artikel 6
De lidstaten nemen alle nodig maatregelen om uiterlijk op 1 januari 2011 aan dit besluit te voldoen.
Artikel 7
Dit besluit is gericht tot de lidstaten.
Gedaan te Brussel, 19 oktober 2010.