РЕШЕНИЕ НА КОМИСИЯТА
от 19 октомври 2010 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата на личните данни в Андора
(нотифицирано под номер C(2010) 7084)
(текст от значение за ЕИП)
(2010/625/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни на трета държава може да се извършва, само ако въпросната трета държава осигурява подходяща степен на защита и ако законодателствата на държавите-членки по прилагането на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватна степен на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с предаване на данни или с набор от операции по предаване на данни, като се отчитат редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде прието и изпълнявано по начин, който не води до произволна или неоснователна дискриминация по отношение на трети държави или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка пред търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Държавата Андора е парламентарно княжество, представлявано от двама съкнязе - президента на Френската република и епископа на Урхел.
(6)
Правото на личен живот е залегнало в член 14 от Конституцията на Княжество Андора (Constitució del Principat d’Andorra), одобрена с национален референдум на 14 март 1993 г.
(7)
Правните норми за защита на личните данни в Андора се основават до голяма степен на стандартите, установени в Директива 95/46/ЕО, и са залегнали в Квалифициран закон 15/2003 от 18 декември относно защитата на личните данни (Llei qualificada de protecció de dades personals) (LQPDP). Това законодателство за защита на данните допълват два указа - указ от 1 юли 2004 г. за създаване на публичния регистър за вписване на личните данни и указ от 9 юни 2010 г. за одобряване на правилниците на Агенцията по защита на данните на Андора. Вторият инструмент изяснява няколко въпроса, повдигнати от работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, в нейното становище от 1 декември 2009 г. (2)
(8)
Разпоредби за защита на данните се съдържат и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормативните разпоредби в областта на здравеопазването и публичните регистри.
(9)
Андора е ратифицирала Конвенцията на Съвета на Европа за защита на лицата при автоматизирана обработка на лични данни от 28 януари 1981 г. и допълнителния протокол към Конвенцията за защита на лицата при автоматизирана обработка на лични данни по отношение на надзорните органи и трансграничните потоци от данни от 8 ноември 2001 г., както и Конвенцията на Съвета на Европа за защита на правата на човека и основните свободи от 4 ноември 1950 г., която е в сила в Андора от 22 януари 1996 г., и Международния пакт за граждански и политически права от 16 декември 1966 г., който е в сила в Андора от 19 юли 2006 г.
(10)
Правните норми за защита на данните, приложими в Андора, обхващат всички основни принципи, необходими за осигуряване на адекватна степен на защита на физическите лица, като също така предвиждат възможността за изключения и ограничения, с цел да бъдат защитени важни обществени интереси. Прилагането на тези правни норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Агенцията по защита на данните на Андора, която разполага с правомощия за разследване и намеса и която действа напълно независимо.
(11)
Органите на Андора за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува правото на Андора, и също така потвърдиха, че законодателството за защита на данните на Андора се прилага в съответствие с това тълкуване. Настоящото решение отчита тези обяснения и уверения и следователно е обусловено от тях.
(12)
Следователно следва да се счита, че Андора осигурява адекватна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се посочат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано въпреки констатирането на адекватна защита.
(14)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (3). В своето благоприятно становище работната група насърчи органите на Андора да продължат текущия процес на приемане на допълнителни разпоредби, които ще разширят обхвата на прилагане на законодателството на Андора, така че в него да се включат автоматизираните индивидуални решения, тъй като това в момента не е изрично признато в квалифицирания закон за защита на личните данни на Андора.
(15)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Андора осигурява адекватна степен на защита на личните данни, предавани от Европейския съюз.
Член 2
Настоящото решение се отнася до адекватността на защитата, осигурена в Андора с оглед на изпълняване на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не засяга други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националните разпоредби, приети в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правомощията, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Андора с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Андора е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност да се нарушават нормите на защита, има основателни причини да се смята, че компетентният орган в Андора не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за съответните физически лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Андора, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират нормите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки уведомяват незабавно Комисията за приетите на основание член 3 мерки.
2. Държавите-членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за гарантиране на спазването на нормите за защита в Андора, не успеят да осигурят тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира съблюдаването на нормите за защита в Андора, не изпълнява действително своята роля, Комисията уведомява за това компетентния орган в Андора и, ако е необходимо, представя проект за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава действието на настоящото решение и съобщава съответните констатации на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяка явна информация, която би могла да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Андора е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка явна информация, че настоящото решение се прилага по дискриминационен начин.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението до 1 януари 2011 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 19 октомври 2010 година.
KOMISIJAS LĒMUMS
(2010. gada 19. oktobris)
par personas datu pienācīgu aizsardzību Andorā atbilstīgi Eiropas Parlamenta un Padomes Direktīvai 95/46/EK
(izziņots ar dokumenta numuru C(2010) 7084)
(Dokuments attiecas uz EEZ)
(2010/625/ES)
EIROPAS KOMISIJA,
ņemot vērā Līgumu par Eiropas Savienības darbību,
ņemot vērā Eiropas Parlamenta un Padomes 1995. gada 24. oktobra Direktīvu 95/46/EK par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (1) un jo īpaši tās 25. panta 6. punktu,
apspriedusies ar Eiropas Datu aizsardzības uzraudzītāju,
tā kā:
(1)
Atbilstīgi Direktīvai 95/46/EK dalībvalstīm jāparedz tas, ka personas datus var nodot trešai valstij tikai tad, ja attiecīgā trešā valsts nodrošina pienācīgu aizsardzības līmeni un ja pirms nosūtīšanas ievēroti dalībvalstu tiesību akti, ar kuriem īsteno citus minētās direktīvas noteikumus.
(2)
Komisija var atzīt, ka trešā valsts nodrošina atbilstīgu aizsardzības līmeni. Tādā gadījumā personas datus no dalībvalstīm var nosūtīt bez papildu garantijām.
(3)
Atbilstīgi Direktīvai 95/46/EK datu aizsardzības līmenis ir jānovērtē, ņemot vērā visus apstākļus, kādos tiek veikta viena datu nosūtīšanas darbība vai vairākas datu nosūtīšanas darbības, un īpašu uzmanību pievēršot vairākiem elementiem, kas ir būtiski nosūtīšanai un kas uzskaitīti direktīvas 25. pantā.
(4)
Ņemot vērā trešo valstu dažādās pieejas datu aizsardzībai, jāveic atbilstības novērtējums un ikviens lēmums, kurš pamatojas uz Direktīvas 95/46/EK 25. panta 6. punktu, jāpieņem un jāizpilda tādā veidā, lai tas neradītu patvaļīgu vai neattaisnojamu diskrimināciju attiecībā uz tām trešām valstīm vai to trešo valstu starpā, kurās dominē līdzīgi apstākļi, kā arī neradītu slēptus tirdzniecības šķēršļus, ņemot vērā Eiropas Savienības pašreizējās starptautiskās saistības.
(5)
Andora ir valsts, kuras politiskā sistēma ir parlamentārs kopprotektorāts, kurā kopvaldnieku statuss ir Francijas Republikas prezidentam un Urgelas (Urgell) arhibīskapam.
(6)
Tiesības uz privāto dzīvi ir ietvertas Andoras Firstistes konstitūcijas (Constitució del Principat d’Andorra) 14. pantā, ko apstiprināja tautas referendumā 1993. gada 14. martā.
(7)
Andorā personas datu aizsardzības tiesību normas lielā mērā ir balstītas uz Direktīvā 95/46/EK noteiktajiem standartiem, kas iekļautas 18. decembra Kvalificētajā likumā Nr. 15/2003 par personas datu aizsardzību (Llei qualificada de protecció de dades personals) (LQPDP). Šos personas datu aizsardzības normatīvos aktus papildina 2004. gada 1. jūlija dekrēts, ar ko izveido Personas datus saturošu datņu valsts reģistru, un 2010. gada 9. jūnija dekrēts, ar ko apstiprina Andoras Datu aizsardzības aģentūras noteikumus. Otrais minētais instruments izskaidro vairākus jautājumus, ko savā 2009. gada 1. decembra atzinumā uzdevusi Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas izveidota saskaņā ar Direktīvas 95/46/EK 29. pantu (2).
(8)
Datu aizsardzības noteikumi ir ietverti arī vairākos juridiskos aktos, kas reglamentē dažādas nozares, piemēram, finanšu nozares tiesību aktos, veselības noteikumos un publiskos reģistros.
(9)
Andora ir ratificējusi Eiropas Padomes 1981. gada 28. janvāra Konvenciju par personu aizsardzību attiecībā uz personas datu automātisku apstrādi un 2001. gada 8. novembra Papildprotokolu Konvencijā par personu aizsardzību attiecībā uz personas datu automātisko apstrādi, kas attiecas uz uzraudzības iestādēm un datu pārrobežu plūsmu, kā arī 1950. gada 4. novembra Eiropas Padomes Cilvēktiesību un pamatbrīvību aizsardzības konvenciju (Andorā spēkā no 1996. gada 22. janvāra) un 1966. gada 16. decembra Starptautisko paktu par pilsoniskajām un politiskajām tiesībām (Andorā spēkā no 2006. gada 19. jūlija).
(10)
Andorā piemērojamie datu aizsardzības tiesiskie standarti attiecas uz visiem pamatprincipiem, kas vajadzīgi pienācīgam fizisko personu privātuma aizsardzības līmenim, kā arī paredz izņēmumus un ierobežojumus, lai nodrošinātu sabiedrībai svarīgas intereses. Šo personas datu aizsardzības tiesisko standartu piemērošanu garantē ar administratīvās un tiesiskās aizsardzības līdzekļiem un neatkarīgu uzraudzību, ko veic uzraudzības iestāde - Andoras datu aizsardzības aģentūra, kurai ir tiesības veikt izmeklēšanu un iejaukties lietā un kura rīkojas pilnīgi neatkarīgi.
(11)
Andoras datu aizsardzības iestādes ir iesniegušas paskaidrojumus un apliecinājumus attiecībā uz to, kā interpretējami Andoras tiesību akti, un ir iesniegusi apliecinājumus, ka Andoras datu aizsardzības noteikumi ir īstenoti saskaņā ar šādu interpretāciju. Šis lēmums ņem vērā minētos paskaidrojumus un apliecinājumus, tādēļ tas ir atkarīgs no tiem.
(12)
Tādēļ jāuzskata, ka Andora nodrošina pienācīgu personas datu aizsardzības līmeni, kā minēts Direktīvā 95/46/EK.
(13)
Pārredzamības labad un lai nodrošinātu dalībvalstu kompetento iestāžu spēju nodrošināt indivīdu aizsardzību attiecībā uz viņu personas datu apstrādi, jānosaka izņēmuma apstākļi, kuros konkrētu datu plūsmu apturēšana var būt attaisnojama neatkarīgi no tā, ka konstatēta atbilstīga aizsardzība.
(14)
Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas ir izveidota ar Direktīvas 95/46/EK 29. pantu, ir sniegusi labvēlīgu atzinumu par personas datu aizsardzības līmeni, kurš ir ņemts vērā, sagatavojot šo lēmumu (3). Šajā labvēlīgajā atzinumā Darba grupa ir aicinājusi Andoras iestādes, pieņemot jaunus tiesību aktus, kas paplašinās Andoras tiesību aktu piemērošanu automatizētiem individuāliem lēmumiem, jo pašlaik tas nav skaidri noteikts Andoras Kvalificētā likumā par personas datu aizsardzību.
(15)
Šajā lēmumā paredzētie pasākumi atbilst atzinumam, ko sniegusi komiteja, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. panta 1. punktu,
IR PIEŅĒMUSI ŠO LĒMUMU.
1. pants
Direktīvas 95/46/EK 25. panta 2. punkta nolūkā tiek uzskatīts, ka Andora nodrošina no Eiropas Savienības nosūtīto personas datu pienācīgu aizsardzības līmeni.
2. pants
Šis lēmums attiecas tikai uz aizsardzības atbilstību, ko Andora nodrošina, lai izpildītu Direktīvas 95/46/EK 25. panta 1. punkta prasības, un tas neietekmē citu minētās direktīvas noteikumu īstenošanai paredzētos nosacījumus vai ierobežojumus, kuri attiecas uz personas datu apstrādi dalībvalstīs.
3. pants
1. Neskarot dalībvalstu kompetento iestāžu pilnvaras rīkoties, lai nodrošinātu atbilstību valsts tiesību aktiem, kuri pieņemti atbilstīgi Direktīvas 95/46/EK noteikumiem, izņemot 25. pantu, šīs iestādes var īstenot savas pašreizējās pilnvaras, lai apturētu datu plūsmu pie saņēmēja Andorā, ar mērķi aizsargāt indivīdus attiecībā uz viņu personas datu apstrādi, ja:
a)
Andoras kompetentā iestāde ir noteikusi, ka saņēmējs neievēro piemērojamos aizsardzības standartus; vai
b)
ja pastāv reāla iespēja, ka aizsardzības standarti tiek pārkāpti, ir nopietns pamats uzskatīt, ka kompetentā Andoras iestāde neveic vai neveiks atbilstīgus un savlaicīgus pasākumus, lai nokārtotu attiecīgo lietu, turpmāka pārraide varētu nodarīt nopietnu kaitējumu personām, kuru dati tiek pārraidīti, un dalībvalstu kompetentās iestādes šajos apstākļos ir pielikušas visas pūles, lai informētu par datu apstrādi atbildīgo pusi Andorā un dotu tai iespēju attiecīgi reaģēt.
2. Apturēšanu atceļ, tiklīdz ir nodrošināti aizsardzības standarti un par to paziņots attiecīgo dalībvalstu kompetentajai iestādei.
4. pants
1. Ja, pamatojoties uz 3. pantu, pieņem pasākumus, dalībvalstis par to nekavējoties informē Komisiju.
2. Dalībvalstis un Komisija informē viena otru par gadījumiem, kad iestādes, kas Andorā ir atbildīgas par aizsardzības standartu ievērošanu, nav panākušas šādu ievērošanu.
3. Ja saskaņā ar 3. pantu un šā panta 1. un 2. punktu apkopotā informācija sniedz pierādījumu, ka kāda no iestādēm, kas Andorā ir atbildīga par aizsardzības standartu ievērošanu, savu uzdevumu nepilda efektīvi, Komisija par to informē Andoras kompetento iestādi un vajadzības gadījumā iesniedz pasākumu projektu saskaņā ar Direktīvas 95/46/EK 31. panta 2. punktā minēto procedūru, lai atceltu vai apturētu šo lēmumu vai ierobežotu tā darbības jomu.
5. pants
Komisija uzrauga šā lēmuma darbību un par visiem atbilstīgajiem atzinumiem ziņo Komitejai, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. pantu, tostarp par visiem pierādījumiem, kuri varētu ietekmēt šā lēmuma 1. pantā minēto atzinumu, ka Andorā tiek veikta atbilstīga aizsardzība Direktīvas 95/46/EK 25. panta nozīmē, un par pierādījumiem, ka šo lēmumu īsteno diskriminējošā veidā.
6. pants
Dalībvalstis līdz 2011. gada 1. janvārim veic pasākumus, kas vajadzīgi, lai izpildītu šā lēmuma prasības.
7. pants
Šis lēmums ir adresēts dalībvalstīm.
Briselē, 2010. gada 19. oktobrī