ROZHODNUTÍ KOMISE
ze dne 19. října 2010
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů v Andorrském knížectví
(oznámeno pod číslem K(2010) 7084)
(Text s významem pro EHP)
(2010/625/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Andorra je stát se systémem parlamentního spoluknížectví, přičemž funkce spoluknížat zastávají prezident Francouzské republiky a španělský arcibiskup ze Seo de Urgel.
(6)
Právo na soukromí je zakotveno v článku 14 Ústavy Andorrského knížectví (Constitució del Principat d’Andorra) schválené všeobecným referendem ze dne 14. března 1993.
(7)
Právní předpisy upravující ochranu osobních údajů v Andorrském knížectví jsou ve velké míře založené na normách stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně č. 15/2003 ze dne 18. prosince o ochraně osobních údajů (Llei qualificada de protecció de dades personals, LQPDP). Tyto právní předpisy na ochranu údajů jsou dále doplněny nařízením ze dne 1. července 2004, které zřizuje veřejný rejstřík souborů osobních údajů, a nařízením ze dne 9. června 2010, které schvaluje předpisy andorrské agentury pro ochranu údajů. Druhý dokument upřesňuje mnoho otázek, které si pracovní skupina, zřízená podle čl. 29 směrnice 95/46/ES, kladla ve svém stanovisku ze dne 1. prosince 2009 (2) ohledně ochrany jednotlivců, pokud jde o zpracování osobních údajů.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Andorra ratifikovala Úmluvu Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat ze dne 28. ledna 1981, dodatkový protokol k Úmluvě o ochraně osob se zřetelem na automatizované zpracování osobních údajů, o orgánech dozoru a toku údajů přes hranice ze dne 8. listopadu 2001, dále Úmluvu o ochraně lidských práv a základních svobod Rady Evropy ze dne 4. listopadu 1950 (v Andorrském knížectví vstoupila v platnost 22. ledna 1996) a Pakt o občanských a politických právech ze dne 16. prosince 1966 (v Andorrském knížectví platný od 19. července 2006).
(10)
Právní normy pro ochranu osobních údajů platné v Andorrském knížectví upravují všechny základní zásady nezbytné pro zajištění odpovídající úrovně práv fyzických osob a zároveň stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Používání těchto právních norem pro ochranu osobních údajů je zaručeno prostřednictvím správních a soudních opravných prostředků a nezávislého dohledu, který provádí orgán dozoru (andorrská agentura pro ochranu údajů), jenž je pověřený vyšetřovacími pravomocemi a pravomocemi zasáhnout a jedná zcela nezávisle.
(11)
Andorrské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu andorrského práva a poskytly záruky ohledně provádění andorrských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Andorru je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (3). V uvedeném kladném stanovisku pracovní skupina podpořila andorrské orgány v probíhajícím procesu přijímání dalších ustanovení, která rozšíří uplatňování andorrských právních předpisů na automatizovaná individuální rozhodnutí, jelikož tento prvek není v současnosti výslovně uznán andorrským zákonem o ochraně osobních údajů.
(15)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Andorra považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
Článek 2
Toto rozhodnutí se vztahuje na odpovídající úroveň ochrany zajišťovanou v Andorrském knížectví s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Andorrském knížectví s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný orgán Andorry zjistí, že příjemce nedodržuje normy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany; pokud se lze důvodně domnívat, že příslušný orgán Andorry včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení sporné věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené v Andorrském knížectví a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými, zajištěním dodržování norem ochrany v Andorrském knížectví, nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Andorrském knížectví, neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Andorrského knížectví a bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Andorrském knížectví odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do 1. ledna 2011.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 19. října 2010.
KOMISIJAS LĒMUMS
(2010. gada 19. oktobris)
par personas datu pienācīgu aizsardzību Andorā atbilstīgi Eiropas Parlamenta un Padomes Direktīvai 95/46/EK
(izziņots ar dokumenta numuru C(2010) 7084)
(Dokuments attiecas uz EEZ)
(2010/625/ES)
EIROPAS KOMISIJA,
ņemot vērā Līgumu par Eiropas Savienības darbību,
ņemot vērā Eiropas Parlamenta un Padomes 1995. gada 24. oktobra Direktīvu 95/46/EK par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (1) un jo īpaši tās 25. panta 6. punktu,
apspriedusies ar Eiropas Datu aizsardzības uzraudzītāju,
tā kā:
(1)
Atbilstīgi Direktīvai 95/46/EK dalībvalstīm jāparedz tas, ka personas datus var nodot trešai valstij tikai tad, ja attiecīgā trešā valsts nodrošina pienācīgu aizsardzības līmeni un ja pirms nosūtīšanas ievēroti dalībvalstu tiesību akti, ar kuriem īsteno citus minētās direktīvas noteikumus.
(2)
Komisija var atzīt, ka trešā valsts nodrošina atbilstīgu aizsardzības līmeni. Tādā gadījumā personas datus no dalībvalstīm var nosūtīt bez papildu garantijām.
(3)
Atbilstīgi Direktīvai 95/46/EK datu aizsardzības līmenis ir jānovērtē, ņemot vērā visus apstākļus, kādos tiek veikta viena datu nosūtīšanas darbība vai vairākas datu nosūtīšanas darbības, un īpašu uzmanību pievēršot vairākiem elementiem, kas ir būtiski nosūtīšanai un kas uzskaitīti direktīvas 25. pantā.
(4)
Ņemot vērā trešo valstu dažādās pieejas datu aizsardzībai, jāveic atbilstības novērtējums un ikviens lēmums, kurš pamatojas uz Direktīvas 95/46/EK 25. panta 6. punktu, jāpieņem un jāizpilda tādā veidā, lai tas neradītu patvaļīgu vai neattaisnojamu diskrimināciju attiecībā uz tām trešām valstīm vai to trešo valstu starpā, kurās dominē līdzīgi apstākļi, kā arī neradītu slēptus tirdzniecības šķēršļus, ņemot vērā Eiropas Savienības pašreizējās starptautiskās saistības.
(5)
Andora ir valsts, kuras politiskā sistēma ir parlamentārs kopprotektorāts, kurā kopvaldnieku statuss ir Francijas Republikas prezidentam un Urgelas (Urgell) arhibīskapam.
(6)
Tiesības uz privāto dzīvi ir ietvertas Andoras Firstistes konstitūcijas (Constitució del Principat d’Andorra) 14. pantā, ko apstiprināja tautas referendumā 1993. gada 14. martā.
(7)
Andorā personas datu aizsardzības tiesību normas lielā mērā ir balstītas uz Direktīvā 95/46/EK noteiktajiem standartiem, kas iekļautas 18. decembra Kvalificētajā likumā Nr. 15/2003 par personas datu aizsardzību (Llei qualificada de protecció de dades personals) (LQPDP). Šos personas datu aizsardzības normatīvos aktus papildina 2004. gada 1. jūlija dekrēts, ar ko izveido Personas datus saturošu datņu valsts reģistru, un 2010. gada 9. jūnija dekrēts, ar ko apstiprina Andoras Datu aizsardzības aģentūras noteikumus. Otrais minētais instruments izskaidro vairākus jautājumus, ko savā 2009. gada 1. decembra atzinumā uzdevusi Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas izveidota saskaņā ar Direktīvas 95/46/EK 29. pantu (2).
(8)
Datu aizsardzības noteikumi ir ietverti arī vairākos juridiskos aktos, kas reglamentē dažādas nozares, piemēram, finanšu nozares tiesību aktos, veselības noteikumos un publiskos reģistros.
(9)
Andora ir ratificējusi Eiropas Padomes 1981. gada 28. janvāra Konvenciju par personu aizsardzību attiecībā uz personas datu automātisku apstrādi un 2001. gada 8. novembra Papildprotokolu Konvencijā par personu aizsardzību attiecībā uz personas datu automātisko apstrādi, kas attiecas uz uzraudzības iestādēm un datu pārrobežu plūsmu, kā arī 1950. gada 4. novembra Eiropas Padomes Cilvēktiesību un pamatbrīvību aizsardzības konvenciju (Andorā spēkā no 1996. gada 22. janvāra) un 1966. gada 16. decembra Starptautisko paktu par pilsoniskajām un politiskajām tiesībām (Andorā spēkā no 2006. gada 19. jūlija).
(10)
Andorā piemērojamie datu aizsardzības tiesiskie standarti attiecas uz visiem pamatprincipiem, kas vajadzīgi pienācīgam fizisko personu privātuma aizsardzības līmenim, kā arī paredz izņēmumus un ierobežojumus, lai nodrošinātu sabiedrībai svarīgas intereses. Šo personas datu aizsardzības tiesisko standartu piemērošanu garantē ar administratīvās un tiesiskās aizsardzības līdzekļiem un neatkarīgu uzraudzību, ko veic uzraudzības iestāde - Andoras datu aizsardzības aģentūra, kurai ir tiesības veikt izmeklēšanu un iejaukties lietā un kura rīkojas pilnīgi neatkarīgi.
(11)
Andoras datu aizsardzības iestādes ir iesniegušas paskaidrojumus un apliecinājumus attiecībā uz to, kā interpretējami Andoras tiesību akti, un ir iesniegusi apliecinājumus, ka Andoras datu aizsardzības noteikumi ir īstenoti saskaņā ar šādu interpretāciju. Šis lēmums ņem vērā minētos paskaidrojumus un apliecinājumus, tādēļ tas ir atkarīgs no tiem.
(12)
Tādēļ jāuzskata, ka Andora nodrošina pienācīgu personas datu aizsardzības līmeni, kā minēts Direktīvā 95/46/EK.
(13)
Pārredzamības labad un lai nodrošinātu dalībvalstu kompetento iestāžu spēju nodrošināt indivīdu aizsardzību attiecībā uz viņu personas datu apstrādi, jānosaka izņēmuma apstākļi, kuros konkrētu datu plūsmu apturēšana var būt attaisnojama neatkarīgi no tā, ka konstatēta atbilstīga aizsardzība.
(14)
Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas ir izveidota ar Direktīvas 95/46/EK 29. pantu, ir sniegusi labvēlīgu atzinumu par personas datu aizsardzības līmeni, kurš ir ņemts vērā, sagatavojot šo lēmumu (3). Šajā labvēlīgajā atzinumā Darba grupa ir aicinājusi Andoras iestādes, pieņemot jaunus tiesību aktus, kas paplašinās Andoras tiesību aktu piemērošanu automatizētiem individuāliem lēmumiem, jo pašlaik tas nav skaidri noteikts Andoras Kvalificētā likumā par personas datu aizsardzību.
(15)
Šajā lēmumā paredzētie pasākumi atbilst atzinumam, ko sniegusi komiteja, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. panta 1. punktu,
IR PIEŅĒMUSI ŠO LĒMUMU.
1. pants
Direktīvas 95/46/EK 25. panta 2. punkta nolūkā tiek uzskatīts, ka Andora nodrošina no Eiropas Savienības nosūtīto personas datu pienācīgu aizsardzības līmeni.
2. pants
Šis lēmums attiecas tikai uz aizsardzības atbilstību, ko Andora nodrošina, lai izpildītu Direktīvas 95/46/EK 25. panta 1. punkta prasības, un tas neietekmē citu minētās direktīvas noteikumu īstenošanai paredzētos nosacījumus vai ierobežojumus, kuri attiecas uz personas datu apstrādi dalībvalstīs.
3. pants
1. Neskarot dalībvalstu kompetento iestāžu pilnvaras rīkoties, lai nodrošinātu atbilstību valsts tiesību aktiem, kuri pieņemti atbilstīgi Direktīvas 95/46/EK noteikumiem, izņemot 25. pantu, šīs iestādes var īstenot savas pašreizējās pilnvaras, lai apturētu datu plūsmu pie saņēmēja Andorā, ar mērķi aizsargāt indivīdus attiecībā uz viņu personas datu apstrādi, ja:
a)
Andoras kompetentā iestāde ir noteikusi, ka saņēmējs neievēro piemērojamos aizsardzības standartus; vai
b)
ja pastāv reāla iespēja, ka aizsardzības standarti tiek pārkāpti, ir nopietns pamats uzskatīt, ka kompetentā Andoras iestāde neveic vai neveiks atbilstīgus un savlaicīgus pasākumus, lai nokārtotu attiecīgo lietu, turpmāka pārraide varētu nodarīt nopietnu kaitējumu personām, kuru dati tiek pārraidīti, un dalībvalstu kompetentās iestādes šajos apstākļos ir pielikušas visas pūles, lai informētu par datu apstrādi atbildīgo pusi Andorā un dotu tai iespēju attiecīgi reaģēt.
2. Apturēšanu atceļ, tiklīdz ir nodrošināti aizsardzības standarti un par to paziņots attiecīgo dalībvalstu kompetentajai iestādei.
4. pants
1. Ja, pamatojoties uz 3. pantu, pieņem pasākumus, dalībvalstis par to nekavējoties informē Komisiju.
2. Dalībvalstis un Komisija informē viena otru par gadījumiem, kad iestādes, kas Andorā ir atbildīgas par aizsardzības standartu ievērošanu, nav panākušas šādu ievērošanu.
3. Ja saskaņā ar 3. pantu un šā panta 1. un 2. punktu apkopotā informācija sniedz pierādījumu, ka kāda no iestādēm, kas Andorā ir atbildīga par aizsardzības standartu ievērošanu, savu uzdevumu nepilda efektīvi, Komisija par to informē Andoras kompetento iestādi un vajadzības gadījumā iesniedz pasākumu projektu saskaņā ar Direktīvas 95/46/EK 31. panta 2. punktā minēto procedūru, lai atceltu vai apturētu šo lēmumu vai ierobežotu tā darbības jomu.
5. pants
Komisija uzrauga šā lēmuma darbību un par visiem atbilstīgajiem atzinumiem ziņo Komitejai, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. pantu, tostarp par visiem pierādījumiem, kuri varētu ietekmēt šā lēmuma 1. pantā minēto atzinumu, ka Andorā tiek veikta atbilstīga aizsardzība Direktīvas 95/46/EK 25. panta nozīmē, un par pierādījumiem, ka šo lēmumu īsteno diskriminējošā veidā.
6. pants
Dalībvalstis līdz 2011. gada 1. janvārim veic pasākumus, kas vajadzīgi, lai izpildītu šā lēmuma prasības.
7. pants
Šis lēmums ir adresēts dalībvalstīm.
Briselē, 2010. gada 19. oktobrī