PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 19. prosince 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů na Novém Zélandu
(oznámeno pod číslem C(2012) 9557)
(Text s významem pro EHP)
(2013/65/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na určité zvláštní podmínky týkající se předávání.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by způsob, jakým je posuzována odpovídající úroveň této ochrany a jakým jsou na základě směrnice 95/46/ES přijímána a prosazována rozhodnutí, neměl být svévolný ani bezdůvodně diskriminační vůči třetím zemím, nebo mezi třetími zeměmi, kde jsou obdobné podmínky, a aby nevytvářel skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Nový Zéland je bývalá britská kolonie. Postavení nezávislého dominia získal v roce 1907, avšak své formální ústavní svazky s Velkou Británií přetrhl až v roce 1947. Nový Zéland je unitárním státem a nemá psanou ústavu ve smyslu nejvyššího základního zákona státu. Země je konstituční monarchií a parlamentní demokracií westminsterského modelu, kde hlavou státu je královna Nového Zélandu.
(6)
Nový Zéland ctí zásadu suverenity parlamentu. Podle konvence tam však platí řada zákonů, které mají zvláštní ústavní význam a pohlíží se na ně jako na „vyšší zákony“. To znamená, že tvoří součást ústavního pořádku neboli rámce a formují činnost vlády a přijímání dalších zákonů. V případě změny nebo rušení těchto zákonů se kromě toho předpokládá konsenzus napříč politickým spektrem. Některé tyto zákony - „Bill Of Rights Act“ ze dne 28. srpna 1990 (Public Act No 109 z roku 1990), „Human Rights Act“ ze dne 10. srpna 1993 (Public Act No 82 z roku 1993) a „Privacy Act“ ze dne 17. května 1993 (Public Act No 28 z roku 1993) - se vztahují k ochraně údajů. Ústavní význam těchto zákonů se odráží ve všeobecném konsenzu, že musí být zohledněny při tvorbě a předkládání nových zákonů.
(7)
Právní normy pro ochranu osobních údajů na Novém Zélandu jsou primárně stanoveny v zákoně na ochranu soukromí „Privacy Act“ ve znění „Privacy (Cross-border Information) Amendment Act“ ze dne 7. září 2010 (Public Act No 113 z roku 2010). Tento zákon je starší než směrnice 95/46/ES a neomezuje se jen na automaticky zpracovávané údaje či strukturované údaje v evidenčním systému (rejstříku), nýbrž upravuje veškeré osobní informace v libovolné podobě. Vztahuje se na celý veřejný a soukromý sektor až na několik málo zvláštních výjimek ve veřejném zájmu, které lze v demokratické společnosti očekávat.
(8)
Otázkami soukromí se na Novém Zélandu zabývá mnoho regulačních rámců z hlediska politiky, pravidel, nebo příslušnosti soudů k řešení stížností. Některé mají formu zákonů, ale jiné jsou samoregulační odvětvové normy, včetně regulace sdělovacích prostředků, přímého marketingu, nevyžádaných elektronických zpráv, průzkumu trhu, oblasti zdraví a invalidity, bankovnictví, pojištění a spoření.
(9)
Kromě právních předpisů přijatých novozélandským parlamentem platí v zemi rozsáhlý soubor zvykového práva, jehož kořeny pocházejí z anglického zvykového práva, kde jsou zakotveny zásady a pravidla zvykového práva týkající se ochrany údajů. K základním zásadám zvykového práva patří zásada, že nejvyšším zájmem práva je důstojnost člověka. Tato zásada zvykového práva představuje klíčový prvek východisek a souvislostí, z nichž soudy na Novém Zélandu obecně čerpají důvody pro svá rozhodnutí. Novozélandská judikatura vycházející ze zvykového práva zná též řadu dalších stránek ochrany soukromí, včetně zasahování do soukromí, porušení důvěry a doplňkové ochrany v souvislosti s pomluvou, obtěžováním, nactiutrhační lží, nedbalostí a jinými delikty.
(10)
Právní normy o ochraně údajů uplatňované na Novém Zélandu obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a do výjimek z nich se promítají zásady stanovené ve směrnici 95/46/ES.
(11)
Uplatňování právních norem o ochraně osobních údajů zaručují správní a soudní prostředky nápravy a nezávislý dozor prováděný dozorčím orgánem, komisařem pro ochranu soukromí, který je nadán pravomocemi uvedenými v článku 28 směrnice 95/46/ES a je nezávislý. Kterákoli zainteresovaná strana má navíc právo domáhat se soudní cestou náhrady škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(12)
Nový Zéland je tudíž třeba považovat za zemi, která zajišťuje odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(13)
Toto rozhodnutí by se mělo týkat odpovídající úrovně ochrany osobních údajů zajištěné na Novém Zélandu s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice a které se týkají zpracování osobních údajů v členských státech.
(14)
V zájmu transparentnosti a k dosažení toho, aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(15)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů na Novém Zélandu, k němuž bylo přihlédnuto při přípravě tohoto prováděcího rozhodnutí (2).
(16)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Nový Zéland považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. Dozorčí orgán příslušný k uplatňování právních norem ochrany osobních údajů na Novém Zélandu je uveden v příloze tohoto rozhodnutí.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření k zajištění dodržování vnitrostátních předpisů přijatých na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci za účelem pozastavení předávání údajů příjemci na Novém Zélandu s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný orgán na Novém Zélandu zjistí, že příjemce nedodržuje použitelné normy ochrany osobních údajů, nebo
b)
pokud je velmi pravděpodobné, že nejsou dodržovány normy týkající se ochrany osobních údajů a pokud se lze důvodně domnívat, že příslušný novozélandský orgán včas nepřijímá nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci, pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené na Novém Zélandu a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajišťováním souladu s normami ochrany na Novém Zélandu nejsou dostatečná.
3. Pokud informace shromážděné podle čl. 2 odst. 1 a podle odstavců 1 a 2 tohoto článku prokáží, že některý subjekt pověřený zajišťováním souladu s normami ochrany na Novém Zélandu neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Nového Zélandu a, bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit jeho účinnost nebo omezit jeho působnost.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a relevantní poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně důkazů, které by mohly mít vliv na hodnocení podle článku 1 tohoto rozhodnutí, tj. že ochrana na Novém Zélandu je odpovídající ve smyslu článku 25 směrnice 95/46/ES, a včetně důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do 20. března 2013.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 19. prosince 2012.
KOMMISSIONENS GENOMFÖRANDEBESLUT
av den 19 december 2012
i enlighet med Europaparlamentets och rådets direktiv 95/46/EG om ett adekvat skydd av personuppgifter i Nya Zeeland
[delgivet med nr C(2012) 9557]
(Text av betydelse för EES)
(2013/65/EU)
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 25.6,
efter att ha hört Europeiska datatillsynsmannen, och
av följande skäl:
(1)
Enligt direktiv 95/46/EG ska medlemsstaterna föreskriva att överföring av personuppgifter till tredjeland endast får ske om landet i fråga garanterar en adekvat skyddsnivå och om medlemsstatens lagar, genom vilka andra bestämmelser i direktivet genomförs, efterlevs före överföringen.
(2)
Kommissionen kan fastställa att ett tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att några ytterligare garantier krävs.
(3)
Enligt direktiv 95/46/EG ska bedömningen av nivån på uppgiftsskyddet ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter, varvid man särskilt ska beakta vissa för överföringen relevanta aspekter.
(4)
Då sättet att se på frågan om uppgiftsskydd varierar mellan olika tredjeländer bör bedömningen av om skyddsnivån är adekvat genomföras, och beslut som grundar sig på direktiv 95/46/EG fattas och verkställas, utan godtycklig eller obefogad diskriminering i förhållande till tredjeland eller mellan de tredjeländer där liknande förhållanden råder samt på ett sätt som säkerställer att det inte uppstår några dolda handelshinder, varvid hänsyn bör tas till unionens nuvarande internationella åtaganden.
(5)
Nya Zeeland är en tidigare brittisk koloni som blev en självständig dominion 1907, men inte formellt bröt sina konstitutionella band med Förenade kungariket förrän 1947. Nya Zeeland är en enhetsstat och saknar författning i konventionell mening i form av ett grundläggande författningsdokument. Landet är en konstitutionell monarki och parlamentarisk demokrati enligt Westminstermodell, med Nya Zeelands drottning som statschef.
(6)
Nya Zeeland tillämpar principen om parlamentarisk suveränitet. Enligt vedertaget bruk finns det dock ett antal lagar som har särskild konstitutionell betydelse och betraktas som ”higher law” (överordnad lagstiftning). Med detta avses att de ingår i den konstitutionella kontexten eller bakgrunden genom att de ligger till grund för de offentliga förfarandena och antagandet av annan lagstiftning. Dessutom förväntas det att samförstånd ska råda mellan de olika politiska grupperingarna i händelse av ändring eller upphävande av denna lagstiftning. Flera av lagarna är relevanta för uppgiftsskyddet: lagen om grundläggande rättigheter (Bill Of Rights Act) av den 28 augusti 1990 (offentlig lag [Public Act] nr 109 från 1990), lagen om de mänskliga rättigheterna (Human Rights Act) av den 10 augusti 1993 (offentlig lag nr 82 från 1993) och lagen om skydd av privatlivet (Privacy Act) av den 17 maj 1993 (offentlig lag nr 28 från 1993). Den konstitutionella betydelsen av dessa lagar återspeglas i det vedertagna bruket att de måste beaktas när ny lagstiftning utarbetas eller föreslås.
(7)
De rättsliga normerna för skydd av personuppgifter i Nya Zeeland återfinns främst i lagen om skydd av privatlivet, ändrad genom Privacy (Cross-border Information) Ammendement Act av den 7 september 2010 (offentlig lag nr 113 från 2010). Den föregick direktiv 95/46/EG och är inte begränsad till automatiskt behandlade uppgifter eller strukturerade uppgifter i ett register, utan inbegriper all personlig information oavsett form. Den omfattar hela den offentliga och den privata sektorn, med ett fåtal särskilda undantag med hänvisning till allmänintresset, som man kan förvänta sig i ett demokratiskt samhälle.
(8)
Det finns ett antal olika regleringssystem i Nya Zeeland för att hantera frågor om skydd av privatlivet vad avser strategier, bestämmelser och vem som ansvarar för att ta emot klagomål. Vissa är lagstadgade, medan andra upprättas av självreglerande branschorgan, som bland annat reglerar medierna, direkt marknadsföring, icke begärda elektroniska meddelanden, marknadsundersökningar, hälsa och funktionshinder, bankverksamhet samt försäkringar och sparande.
(9)
Utöver den lagstiftning som har antagits av det nyzeeländska parlamentet finns det en ansenlig samling sedvanerätt med rötter i engelsk sedvanerätt, som ger uttryck för sedvanerättsliga principer och bestämmelser som är relevanta för uppgiftsskydd. Till de grundläggande sedvanerättsliga principerna hör principen att individens värdighet är av överordnad betydelse för lagstiftningen. Denna sedvanerättsliga princip är ett grundläggande inslag i den bakomliggande kontexten för det rättsliga beslutsfattandet generellt i Nya Zeeland. Den del av Nya Zeelands rättspraxis som bygger på sedvanerätt omfattar också ett antal andra aspekter av skydd av privatlivet, bland annat kränkning av den personliga integriteten, röjande av förtroende och tillfälligt skydd mot ärekränkning, orsakande av olägenheter, trakasserier, uppsåtligt spridande av lögner, vårdslöshet och annat.
(10)
De normer för uppgiftsskydd som är tillämpliga i Nya Zeeland omfattar alla de grundprinciper som är en förutsättning för en adekvat skyddsnivå när det gäller fysiska personer, och innehåller även undantag och begränsningar i syfte att skydda viktiga allmänna intressen. Dessa bestämmelser om uppgiftsskydd, inklusive undantag, följer principerna i direktiv 95/46/EG.
(11)
Tillämpningen av de rättsliga normerna för uppgiftsskydd garanteras av administrativa och rättsliga medel och av oberoende tillsyn från tillsynsmyndigheten, Privacy Commissioner, som har försetts med sådana befogenheter som anges i artikel 28 i direktiv 95/46/EG, och som agerar oberoende. Vidare kan en berörd part vända sig till domstol för att få ersättning för skada som orsakats genom olaglig behandling av personuppgifter.
(12)
Nya Zeeland bör därför anses tillhandahålla ett adekvat skydd för personuppgifter enligt direktiv 95/46/EG.
(13)
Detta beslut bör avse den skyddsnivå som Nya Zeeland kan erbjuda i syfte att uppfylla kraven i artikel 25.1 i direktiv 95/46/EG. Beslutet bör inte påverka andra villkor eller begränsningar som införts i enlighet med andra bestämmelser i direktivet med avseende på behandlingen av personuppgifter i medlemsstaterna.
(14)
För att värna om öppenhet och möjligheten för behöriga myndigheter i medlemsstaterna att garantera skydd för enskilda med avseende på behandlingen av deras personuppgifter erfordras att det närmare anges under vilka särskilda omständigheter som det kan vara motiverat att tills vidare avbryta vissa uppgiftsöverföringar, oavsett om skyddsnivån befunnits vara adekvat.
(15)
Den i enlighet med artikel 29 i direktiv 95/46/EG inrättade arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter har yttrat sig positivt angående nivån på personuppgiftsskyddet i Nya Zeeland (2), vilket har beaktats vid utarbetandet av föreliggande genomförandebeslut.
(16)
De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats enligt artikel 31.1 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
1. För tillämpningen av artikel 25.2 i direktiv 95/46/EG ska Nya Zeeland anses säkerställa en adekvat skyddsnivå för de personuppgifter som överförs från unionen.
2. Den tillsynsmyndighet som är behörig för tillämpningen av de rättsliga normerna för uppgiftsskydd i Nya Zeeland anges i bilagan till detta beslut.
Artikel 2
1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av de nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sina gällande befogenheter och tills vidare avbryta uppgiftsöverföringar till en mottagare i Nya Zeeland för att skydda enskilda med avseende på behandlingen av deras personuppgifter om
a)
en behörig myndighet i Nya Zeeland fastställt att mottagaren bryter mot tillämpliga skyddsregler, eller
b)
sannolikheten är stor att skyddsreglerna inte efterlevs, det finns rimliga skäl att anta att behöriga myndigheter i Nya Zeeland inte vidtar eller kommer att vidta adekvata åtgärder i tid för att avgöra ärendet, fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under dessa omständigheter har vidtagit rimliga åtgärder för att underrätta den instans i Nya Zeeland som ansvarar för behandlingen om detta och givit denna tillfälle att yttra sig.
2. Överföringen ska återupptas så snart skyddsreglerna efterlevs och den behöriga myndigheten i den berörda medlemsstaten har underrättats om detta.
Artikel 3
1. Medlemsstaterna ska utan dröjsmål underrätta kommissionen om de åtgärder som vidtagits med stöd av artikel 2.
2. Medlemsstaterna och kommissionen ska underrätta varandra om fall där de åtgärder som vidtas av organ med ansvar för efterlevnaden av skyddsreglerna i Nya Zeeland inte är tillräckliga för att säkerställa att reglerna efterlevs.
3. Om den information som insamlats enligt artikel 2.1 och punkterna 1 och 2 i denna artikel visar att någon av de myndigheter som ansvarar för att skyddsnormerna efterlevs i Nya Zeeland inte fullgör denna uppgift på ett effektivt sätt, ska kommissionen underrätta behöriga myndigheter i Nya Zeeland om detta och vid behov framlägga förslag till bestämmelser i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG i syfte att upphäva eller tills vidare avbryta tillämpningen av detta beslut eller begränsa dess tillämpningsområde.
Artikel 4
Kommissionen ska övervaka tillämpningen av detta beslut och rapportera alla relevanta slutsatser till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG, vilket även inbegriper alla omständigheter som skulle kunna påverka konstaterandet i artikel 1 i detta beslut att det skydd som ges i Nya Zeeland är adekvat i den mening som avses i artikel 25 i direktiv 95/46/EG, och alla omständigheter som visar att detta beslut tillämpas på ett diskriminerande sätt.
Artikel 5
Medlemsstaterna ska vidta alla erforderliga åtgärder för att efterkomma detta beslut till och med den 20 mars 2013.
Artikel 6
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 19 december 2012.