РЕШЕНИЕ НА КОМИСИЯТА
от 31 януари 2011 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Държавата Израел във връзка с автоматизираното предаване на лични данни
(нотифицирано под номер C(2011) 332)
(текст от значение за ЕИП)
(2011/61/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след като се консултира с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни към трета държава може да се извършва само ако въпросната трета държава осигурява адекватно ниво на защита и ако законодателствата на държавите-членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватно ниво на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква нивото на защита на данните да бъде преценявано с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни, или на набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Правната система на Държавата Израел не се основава на писана конституция, макар че Върховният съд на Държавата Израел е предоставил конституционен статут на някои „основни закони“. Тези „основни закони“ се допълват от голяма по обем съдебна практика, тъй като израелската правна система се придържа в съществена степен към принципите на обичайното право. Правото на личен живот е включено в раздел 7 от т.нар. „Основен закон: човешко достойнство и свобода“.
(6)
Правните стандарти за защита на личните данни в Държавата Израел до голяма степен се основават върху стандартите, установени в Директива 95/46/ЕО, и са посочени в Закона за защита на неприкосновеността на личния живот 5741-1981, изменен за последен път през 2007 г., с цел да се установят нови изисквания за обработване на личните данни и да се утвърди подробна организация на надзорния орган.
(7)
Това законодателство за защита на данните се допълва още от правителствени решения относно прилагането на Закона за защита на неприкосновеността на личния живот 5741-1981 и относно организацията и функционирането на надзорния орган, които до голяма степен се основават на препоръките, формулирани в доклада до Министерството на правосъдието, изготвен от Комитета за преглед на законодателство, свързано с бази данни („доклад Шофман“).
(8)
Разпоредби за защита на данните се съдържат също и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормите в областта на здравеопазването и публичните регистри.
(9)
Правните стандарти за защита на данните, приложими в Държавата Израел, обхващат всички основни принципи, необходими за адекватно ниво на защита на физическите лица във връзка с обработването на лични данни в автоматизирани бази данни. Глава 2 от Закона за защита на неприкосновеността на личния живот 5741-1981, в която се определят принципите за обработване на личните данни, не се прилага за обработването на лични данни в неавтоматизирани бази данни (ръчни бази данни).
(10)
Прилагането на правните стандарти за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Израелския орган за законодателство, информация и технологии (ИОЗИТ), който разполага с правомощия за разследване и намеса и който действа напълно независимо.
(11)
Израелските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува израелското право, и също така дадоха уверения, че израелското законодателство за защита на данните се прилага в съответствие с това тълкуване. Настоящото решение се основава на тези обяснения и уверения и следователно е обусловено от тях.
(12)
Поради това следва да се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни съгласно Директива 95/46/ЕО по отношение на автоматизираното международно предаване на лични данни от Европейския съюз към Държавата Израел и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. От друга страна, международното предаване на лични данни от ЕС към Държавата Израел, при което самото предаване, както и последващата обработка на данните се осъществяват изключително чрез неавтоматизирани средства, не следва да бъде предмет на настоящото решение.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано, въпреки констатирането на адекватна защита.
(14)
Констатациите в настоящото решение относно адекватността на защитата на данните се отнасят до Държавата Израел, както е определена в съответствие с международното право. По-нататъшно последващо предаване на получател извън Държавата Израел, както е определена в съответствие с международното право, следва да се счита за предаване на лични данни на трета държава.
(15)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на адекватност на защитата на лични данни по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. В своето благоприятно становище работната група окуражи израелските органи да приемат допълнителни разпоредби, които разширяват обхвата на прилагането на израелското законодателство, така че в него да се включат и ръчните бази данни, и които изрично признават прилагането на принципа на пропорционалност към обработването на лични данни в частния сектор и тълкуват изключенията при международното предаване на данни в съответствие с критериите, посочени в нейния Работен документ за общо тълкуване на член 26, параграф 1 от Директива 95/46/ЕО (2). Това становище беше взето предвид при изготвянето на настоящото решение (3).
(16)
Комитетът, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО, не изготви становище в срока, определен от неговия председател,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз, по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които то подлежи на допълнителна автоматизирана обработка в Държавата Израел.
2. Компетентният надзорен орган в Държавата Израел относно прилагането на правните стандарти за защита на данните е Израелският орган за законодателство, информация и технологии (ИОЗИТ), посочен в приложението към настоящото решение.
Член 2
1. Настоящото решение се отнася единствено до нивото на адекватна защита, осигурено в Държавата Израел, както е определена в съответствие с международното право, за да се отговори на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не влияе по никакъв начин върху други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
2. Настоящото решение се прилага в съответствие с международното право. То не засяга статута на Голанските възвишения, Ивицата Газа и Западния бряг, включително Източен Ерусалим, съгласно разпоредбите на международното право.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правата, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Държавата Израел с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен израелски орган е установил, че получателят нарушава приложимите стандарти за защита; или
б)
когато е налице голяма вероятност да са нарушени стандартите на защита, има основателни причини да се смята, че компетентният израелски орган не взема или няма да вземе подходящите и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за засегнатите лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Държавата Израел, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират стандартите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки информират незабавно Комисията за мерките, приети на основание член 3.
2. Държавите-членки и Комисията се информират взаимно за случаите, при които действията, предприети от органите, отговорни за гарантиране на спазването на стандартите за защита в Държавата Израел, не успеят да гарантират тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира спазването на стандартите за защита в Държавата Израел, не изпълнява действително своята роля, Комисията уведомява за това компетентния израелски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава прилагането на настоящото решение и съобщава съответните констатации на комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което би могло да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Държавата Израел е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин. По-специално тя наблюдава обработването на лични данни в ръчни бази данни.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на неговото нотифициране.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 31 януари 2011 година.
KOMISIJAS LĒMUMS
(2011. gada 31. janvāris)
par personas datu pienācīgu aizsardzību Izraēlā atbilstīgi Eiropas Parlamenta un Padomes Direktīvai 95/46/EK attiecībā uz personas datu automatizētu apstrādi
(izziņots ar dokumenta numuru C(2011) 332)
(Dokuments attiecas uz EEZ)
(2011/61/ES)
EIROPAS KOMISIJA,
ņemot vērā Līgumu par Eiropas Savienības darbību,
ņemot vērā Eiropas Parlamenta un Padomes 1995. gada 24. oktobra Direktīvu 95/46/EK par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (1) un jo īpaši tās 25. panta 6. punktu,
apspriedusies ar Eiropas Datu aizsardzības uzraudzītāju,
tā kā:
(1)
Atbilstīgi Direktīvai 95/46/EK dalībvalstīm jāparedz tas, ka personas datus var nodot trešai valstij tikai tad, ja attiecīgā trešā valsts nodrošina pienācīgu aizsardzības līmeni un ja pirms nosūtīšanas ievēroti dalībvalstu tiesību akti, ar kuriem īsteno citus minētās direktīvas noteikumus.
(2)
Komisija var atzīt, ka trešā valsts nodrošina atbilstīgu aizsardzības līmeni. Tādā gadījumā personas datus no dalībvalstīm var nosūtīt bez papildu garantijām.
(3)
Atbilstīgi Direktīvai 95/46/EK datu aizsardzības līmenis ir jānovērtē, ņemot vērā visus apstākļus, kādos tiek veikta viena datu nosūtīšanas darbība vai vairākas datu nosūtīšanas darbības, un īpašu uzmanību pievēršot vairākiem elementiem, kas ir būtiski nosūtīšanai un kas uzskaitīti direktīvas 25. pantā.
(4)
Ņemot vērā trešo valstu dažādās pieejas datu aizsardzībai, jāveic atbilstības novērtējums un ikviens lēmums, kas ir balstīts uz Direktīvas 95/46/EK 25. panta 6. punktu, jāpieņem un jāizpilda tādā veidā, lai tas neradītu patvaļīgu vai neattaisnojamu diskrimināciju attiecībā uz tām trešām valstīm vai to trešo valstu starpā, kurās dominē līdzīgi apstākļi, kā arī neradītu slēptus tirdzniecības šķēršļus, ņemot vērā Eiropas Savienības pašreizējās starptautiskās saistības.
(5)
Izraēlas Valsts tiesību sistēmā nav rakstītas konstitūcijas, bet valsts konstitucionālo iekārtu regulē noteikti Izraēlas Austākās tiesas “pamatlikumi”. Šos “pamatlikumus” papildina liels daudzums judikatūras, jo Izraēlas tiesību sistēma lielā mērā ir balstīta uz vispārējām tiesībām. Tiesības uz privāto dzīvi ir iekļautas pamatlikuma “Cilvēka cieņa un brīvība” 7. daļā.
(6)
Personas datu aizsardzības tiesību standarti Izraēlas Valstī lielā mēra ir balstīti uz Direktīvā 95/46/EK noteiktajiem standartiem, un tie ir ietverti Privātās dzīves aizsardzības likumā 5741-1981, kas pēdējoreiz grozīts 2007. gadā, lai noteiktu jaunas personas datu apstrādes prasības un uzraudzības iestādes detalizētu struktūru.
(7)
Šos datu aizsardzības tiesību aktus papildināja valdības lēmumi par Privātās dzīves aizsardzības likumu 5741-1981 un par uzraudzības iestādes struktūru un darbību, kas lielā mērā balstās uz ieteikumiem, kas formulēti ziņojumā Tieslietu ministrijai, ko sagatavojusi Komiteja datubāzu tiesību aktu pārbaudes jautājumos (tā sauktais Schoffman ziņojums).
(8)
Datu aizsardzības noteikumi ir ietverti arī vairākos juridiskos aktos, kas reglamentē dažādas nozares, piemēram, finanšu nozares tiesību aktos, veselības noteikumos un publiskos reģistros.
(9)
Izraēlas Valstī piemērojamie datu aizsardzības tiesiskie standarti attiecas uz visiem pamatprincipiem, kas vajadzīgi pienācīgam fizisko personu privātuma aizsardzības līmenim, attiecībā uz personas datu apstrādi automatizētajās datubāzēs. Privātās dzīves aizsardzības likuma 5741-1981 2. daļu, kas nosaka personas datu apstrādes principus, nepiemēro personas datu apstrādi neautomatizētās datubāzēs (manuālajās datubāzēs).
(10)
Datu aizsardzības tiesisko standartu piemērošanu garantē administratīvās un tiesiskās aizsardzības līdzekļi un neatkarīga uzraudzība, ko veic uzraudzības iestāde - Izraēlas Tiesību, informācijas un tehnoloģiju iestāde (“ITITI”), kurai ir tiesības veikt izmeklēšanu un iejaukties lietā un kura rīkojas pilnīgi neatkarīgi.
(11)
Izraēlas datu aizsardzības iestādes ir iesniegušas paskaidrojumus un apliecinājumus attiecībā uz to, kā interpretējami Izraēlas tiesību akti, un ir iesniegušas apliecinājumus, ka Izraēlas datu aizsardzības noteikumi ir īstenoti saskaņā ar šādu interpretāciju. Šis lēmums ņem vērā minētos paskaidrojumus un apliecinājumus, tādēļ tas ir atkarīgs no tiem.
(12)
Tādēļ var uzskatīt, ka attiecībā uz automatizētu starptautisko datu pārsūtīšanu no Eiropas Savienības uz Izraēlas Valsti vai tādu datu pārsūtīšanu, kurus nepārsūta automatizēti, bet vēlāk automatizēti apstrādā Izraēlas Valsts teritorijā, Izraēlas Valsts nodrošina pietiekamu aizsardzības līmeni atbilstoši Direktīvai 95/46/EK. Turpretim starptautisko datu pārsūtīšanai no ES uz Izraēlas Valsti, kurā pati pārsūtīšana un arī vēlākā datu apstrāde tiek veikta tikai neautomatizētā veidā, nevajadzētu piemērot šo lēmumu.
(13)
Pārredzamības labad un lai nodrošinātu dalībvalstu kompetento iestāžu spēju nodrošināt indivīdu aizsardzību attiecībā uz viņu personas datu apstrādi, jānosaka izņēmuma apstākļi, kuros konkrētu datu plūsmu apturēšana var būt attaisnojama neatkarīgi no tā, ka konstatēta atbilstīga aizsardzība.
(14)
Atbilstības atzinumi par šo lēmumu attiecas uz Izraēlas Valsti, kā tas ir noteikts saskaņā ar starptautiskiem tiesību aktiem. Tālāku datu nodošanu saņēmējam ārpus Izraēlas Valsts, kā tas ir noteikts saskaņā ar starptautiskiem tiesību aktiem, vajadzētu uzskatīt par personas datu nodošanu trešai valstij.
(15)
Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas ir izveidota ar Direktīvas 95/46/EK 29. pantu, ir sniegusi labvēlīgu atzinumu par personas datu aizsardzības līmeni attiecībā uz automatizētu starptautisko datu pārsūtīšanu no Eiropas Savienības uz Izraēlu vai tādu datu pārsūtīšanu, kurus nepārsūta automatizēti, bet vēlāk automatizēti apstrādā Izraēlas teritorijā. Šajā labvēlīgajā atzinumā darba grupa ir aicinājusi Izraēlas iestādes pieņemt jaunus tiesību aktus, kas paplašinās Izraēlas tiesību aktu piemērošanu manuālajām datubāzēm, kas skaidri atzīst proporcionalitātes principa piemērošanu personas datu apstrādei privātajā sektorā un kas interpretē izņēmumus starptautisko datu pārsūtīšanā, kā noteikts saskaņā ar “Darba dokumentu par Direktīvas 95/46/EK 26. panta 1. punkta vienotu interpretāciju” (2). Šis atzinums ir ņemts vērā šā lēmuma sagatavošanā (3).
(16)
Komiteja, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. panta 1. punktu, priekšsēdētāja noteiktajā termiņā atzinumu nesniedza,
IR PIEŅĒMUSI ŠO LĒMUMU.
1. pants
1. Direktīvas 95/46/EK 25. panta 2. punkta nolūkā tiek uzskatīts, ka Izraēlas Valsts nodrošina no Eiropas Savienības nosūtīto personas datu pienācīgu aizsardzības līmeni attiecībā uz automatizētu starptautisko datu pārsūtīšanu no Eiropas Savienības uz Izraēlu vai tādu datu pārsūtīšanu, kurus nepārsūta automatizēti, bet vēlāk automatizēti apstrādā Izraēlas Valsts teritorijā.
2. Kompetentā Izraēlas Valsts uzraudzības iestāde, kas piemēro datu aizsardzības tiesiskos standartus Izraēlas Valstī, ir Izraēlas Tiesību, informācijas un tehnoloģiju iestāde (ITITI), kas norādīta šā lēmuma pielikumā.
2. pants
1. Šis lēmums attiecas tikai uz aizsardzības atbilstību, ko saskaņā ar starptautiskiem tiesību aktiem Izraēlas Valsts nodrošina, lai izpildītu Direktīvas 95/46/EK 25. panta 1. punkta prasības, un tas neietekmē citus minētās direktīvas noteikumu īstenošanai paredzētos nosacījumus vai ierobežojumus, kuri attiecas uz personas datu apstrādi dalībvalstīs.
2. Šis lēmums ir piemērojams, ņemot vērā starptautiskās tiesības. Ievērojot starptautiskās tiesības, tas neskar Golānas augstieņu, Gazas joslas, Rietumkrasta, ieskaitot Austrumjeruzālemi, statusu.
3. pants
1. Neskarot dalībvalstu kompetento iestāžu pilnvaras rīkoties, lai nodrošinātu atbilstību valsts tiesību aktiem, kuri pieņemti atbilstīgi Direktīvas 95/46/EK noteikumiem, izņemot 25. pantu, šīs iestādes var īstenot savas pašreizējās pilnvaras, lai apturētu datu plūsmu pie saņēmēja Izraēlas Valstī, ar mērķi aizsargāt indivīdus attiecībā uz viņu personas datu apstrādi, ja:
a)
Izraēlas kompetentā iestāde ir noteikusi, ka saņēmējs neievēro piemērojamos aizsardzības standartus; vai
b)
pastāv reāla iespēja, ka aizsardzības standarti tiek pārkāpti, ir nopietns pamats uzskatīt, ka kompetentā Izraēlas Valsts iestāde neveic vai neveiks atbilstīgus un savlaicīgus pasākumus, lai nokārtotu attiecīgo lietu, turpmāka pārraide varētu nodarīt nopietnu kaitējumu personām, kuru dati tiek pārraidīti, un dalībvalstu kompetentās iestādes šajos apstākļos ir pielikušas visas pūles, lai informētu par datu apstrādi atbildīgo pusi Izraēlā un dotu tai iespēju attiecīgi reaģēt.
2. Apturēšanu atceļ, tiklīdz ir nodrošināti aizsardzības standarti un par to paziņots attiecīgo dalībvalstu kompetentajai iestādei.
4. pants
1. Ja, pamatojoties uz 3. pantu, pieņem pasākumus, dalībvalstis par to nekavējoties informē Komisiju.
2. Dalībvalstis un Komisija informē viena otru par gadījumiem, kad iestādes, kas Izraēlas Valstī ir atbildīgas par aizsardzības standartu ievērošanu, nav panākušas šādu ievērošanu.
3. Ja saskaņā ar 3. pantu un šā panta 1. un 2. punktu apkopotā informācija sniedz pierādījumu, ka kāda no iestādēm, kas Izraēlas Valstī ir atbildīga par aizsardzības standartu ievērošanu, savu uzdevumu nepilda efektīvi, Komisija par to informē Izraēlas kompetento iestādi un vajadzības gadījumā iesniedz pasākumu projektu saskaņā ar Direktīvas 95/46/EK 31. panta 2. punktā minēto procedūru, lai atceltu vai apturētu šo lēmumu vai ierobežotu tā darbības jomu.
5. pants
Komisija uzrauga šā lēmuma darbību un par visiem atbilstīgajiem atzinumiem ziņo Komitejai, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. pantu, tostarp par visiem pierādījumiem, kuri varētu ietekmēt šā lēmuma 1. pantā minēto atzinumu, ka Izraēlas Valstī tiek veikta atbilstīga aizsardzība Direktīvas 95/46/EK 25. panta nozīmē, un par pierādījumiem, ka šo lēmumu īsteno diskriminējošā veidā. Tā īpaši uzrauga personas datu apstrādi manuālajās datubāzēs.
6. pants
Dalībvalstis trīs mēnešu laikā pēc šā lēmuma paziņošanas veic pasākumus, kas vajadzīgi, lai izpildītu šā lēmuma prasības.
7. pants
Šis lēmums ir adresēts dalībvalstīm.
Briselē, 2011. gada 31. janvārī