РЕШЕНИЕ НА КОМИСИЯТА
от 19 октомври 2010 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата на личните данни в Андора
(нотифицирано под номер C(2010) 7084)
(текст от значение за ЕИП)
(2010/625/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни на трета държава може да се извършва, само ако въпросната трета държава осигурява подходяща степен на защита и ако законодателствата на държавите-членки по прилагането на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватна степен на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с предаване на данни или с набор от операции по предаване на данни, като се отчитат редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде прието и изпълнявано по начин, който не води до произволна или неоснователна дискриминация по отношение на трети държави или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка пред търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Държавата Андора е парламентарно княжество, представлявано от двама съкнязе - президента на Френската република и епископа на Урхел.
(6)
Правото на личен живот е залегнало в член 14 от Конституцията на Княжество Андора (Constitució del Principat d’Andorra), одобрена с национален референдум на 14 март 1993 г.
(7)
Правните норми за защита на личните данни в Андора се основават до голяма степен на стандартите, установени в Директива 95/46/ЕО, и са залегнали в Квалифициран закон 15/2003 от 18 декември относно защитата на личните данни (Llei qualificada de protecció de dades personals) (LQPDP). Това законодателство за защита на данните допълват два указа - указ от 1 юли 2004 г. за създаване на публичния регистър за вписване на личните данни и указ от 9 юни 2010 г. за одобряване на правилниците на Агенцията по защита на данните на Андора. Вторият инструмент изяснява няколко въпроса, повдигнати от работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, в нейното становище от 1 декември 2009 г. (2)
(8)
Разпоредби за защита на данните се съдържат и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормативните разпоредби в областта на здравеопазването и публичните регистри.
(9)
Андора е ратифицирала Конвенцията на Съвета на Европа за защита на лицата при автоматизирана обработка на лични данни от 28 януари 1981 г. и допълнителния протокол към Конвенцията за защита на лицата при автоматизирана обработка на лични данни по отношение на надзорните органи и трансграничните потоци от данни от 8 ноември 2001 г., както и Конвенцията на Съвета на Европа за защита на правата на човека и основните свободи от 4 ноември 1950 г., която е в сила в Андора от 22 януари 1996 г., и Международния пакт за граждански и политически права от 16 декември 1966 г., който е в сила в Андора от 19 юли 2006 г.
(10)
Правните норми за защита на данните, приложими в Андора, обхващат всички основни принципи, необходими за осигуряване на адекватна степен на защита на физическите лица, като също така предвиждат възможността за изключения и ограничения, с цел да бъдат защитени важни обществени интереси. Прилагането на тези правни норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Агенцията по защита на данните на Андора, която разполага с правомощия за разследване и намеса и която действа напълно независимо.
(11)
Органите на Андора за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува правото на Андора, и също така потвърдиха, че законодателството за защита на данните на Андора се прилага в съответствие с това тълкуване. Настоящото решение отчита тези обяснения и уверения и следователно е обусловено от тях.
(12)
Следователно следва да се счита, че Андора осигурява адекватна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се посочат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано въпреки констатирането на адекватна защита.
(14)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (3). В своето благоприятно становище работната група насърчи органите на Андора да продължат текущия процес на приемане на допълнителни разпоредби, които ще разширят обхвата на прилагане на законодателството на Андора, така че в него да се включат автоматизираните индивидуални решения, тъй като това в момента не е изрично признато в квалифицирания закон за защита на личните данни на Андора.
(15)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Андора осигурява адекватна степен на защита на личните данни, предавани от Европейския съюз.
Член 2
Настоящото решение се отнася до адекватността на защитата, осигурена в Андора с оглед на изпълняване на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не засяга други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националните разпоредби, приети в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правомощията, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Андора с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Андора е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност да се нарушават нормите на защита, има основателни причини да се смята, че компетентният орган в Андора не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за съответните физически лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Андора, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират нормите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки уведомяват незабавно Комисията за приетите на основание член 3 мерки.
2. Държавите-членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за гарантиране на спазването на нормите за защита в Андора, не успеят да осигурят тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира съблюдаването на нормите за защита в Андора, не изпълнява действително своята роля, Комисията уведомява за това компетентния орган в Андора и, ако е необходимо, представя проект за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава действието на настоящото решение и съобщава съответните констатации на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяка явна информация, която би могла да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Андора е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка явна информация, че настоящото решение се прилага по дискриминационен начин.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението до 1 януари 2011 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 19 октомври 2010 година.
DECISÃO DA COMISSÃO
de 19 de Outubro de 2010
nos termos da Directiva 95/46/CE do Parlamento Europeu e do Conselho relativa à adequação do nível de protecção de dados pessoais em Andorra
[notificada com o número C(2010) 7084]
(Texto relevante para efeitos do EEE)
(2010/625/UE)
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), nomeadamente o artigo 25.o, n.o 6,
Após consulta da Autoridade Europeia para a Protecção de Dados,
Considerando o seguinte:
(1)
Nos termos da Directiva 95/46/CE, os Estados-Membros devem garantir que a transferência de dados pessoais para um país terceiro só pode realizar-se se este país assegurar um nível de protecção adequado e a legislação dos Estados-Membros que transpõem outras disposições da directiva tiver sido respeitada antes de efectuada a transferência.
(2)
A Comissão pode determinar que um país terceiro garante um nível de protecção adequado. Nesse caso, podem ser transferidos dados pessoais a partir dos Estados-Membros sem necessidade de garantias adicionais.
(3)
Nos termos da Directiva 95/46/CE, a adequação do nível de protecção de dados deve ser apreciada em função de todas as circunstâncias que envolvem a operação ou o conjunto de operações de transferência de dados, atendendo particularmente a determinados elementos pertinentes para a transferência enumerados no artigo 25.o da referida directiva.
(4)
Uma vez que existem diferentes níveis de protecção consoante os países terceiros, a adequação deve ser apreciada e quaisquer decisões com base no artigo 25.o, n.o 6, da Directiva 95/46/CE devem ser tomadas e aplicadas de forma que não se verifique uma discriminação arbitrária ou injustificada contra ou entre países terceiros onde prevaleçam condições semelhantes, nem constitua um obstáculo dissimulado ao comércio, tendo em conta os actuais compromissos internacionais assumidos pela União Europeia.
(5)
Andorra é um Estado com um sistema de co-principado parlamentar, sendo os cargos de co-príncipes exercidos pelo presidente da República Francesa e pelo arcebispo de Urgel.
(6)
O direito ao respeito da privacidade está consagrado no artigo 14.o da Constituição do Principado de Andorra (Constitució del Principat d’Andorra), aprovada por referendo popular em 14 de Março de 1993.
(7)
As normas jurídicas relativas à protecção de dados pessoais em Andorra têm principalmente por base as normas previstas na Directiva 95/46/CE e estão estabelecidas na Lei n.o 15/2003, de 18 de Dezembro, relativa à protecção de dados pessoais (Llei qualificada de protecció de dades personals - LQPDP). Esta legislação em matéria de protecção de dados é completada pelo Decreto de 1 de Julho de 2004, que estabelece o Registo Público de Ficheiros de Dados Pessoais, e pelo Decreto de 9 de Junho de 2010, que aprova a regulamentação da Agência de Protecção de Dados de Andorra. Este último instrumento clarifica várias questões suscitadas pelo grupo de trabalho sobre a protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, instituído nos termos do artigo 29.o da Directiva 95/46/CE, no parecer que emitiu em 1 de Dezembro de 2009 (2).
(8)
As disposições relativas à protecção de dados também figuram em vários instrumentos jurídicos que regulam diferentes domínios, nomeadamente a legislação do sector financeiro, os regulamentos no domínio da saúde e os registos públicos.
(9)
Andorra ratificou a Convenção do Conselho da Europa, de 28 de Janeiro de 1981, para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, e o Protocolo Adicional à Convenção para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, respeitante às Autoridades de Controlo e aos Fluxos Transfronteiriços de Dados, de 8 de Novembro de 2001, bem como a Convenção do Conselho da Europa para a Protecção dos Direitos do Homem e das Liberdades Fundamentais, de 4 de Novembro de 1950, em vigor em Andorra desde 22 de Janeiro de 1996, e o Pacto Internacional sobre os Direitos Civis e Políticos, de 16 de Dezembro de 1966, em vigor em Andorra desde 19 de Julho de 2006.
(10)
As normas jurídicas relativas à protecção de dados aplicáveis em Andorra cobrem todos os princípios básicos necessários para assegurar um nível adequado de protecção das pessoas singulares e prevêem também excepções e limitações de modo a salvaguardar interesses públicos importantes. A aplicação dessas normas jurídicas relativas à protecção de dados é garantida pela possibilidade de recurso administrativo e judicial e pelo controlo independente exercido pela autoridade de supervisão, a Agência de Protecção de Dados de Andorra, dotada de poderes de investigação e intervenção e que actua com plena independência.
(11)
As autoridades de protecção de dados apresentaram explicações e deram garantias sobre o modo como a legislação de Andorra é interpretada, tendo assegurado que a legislação relativa à protecção de dados é aplicada de acordo com essa interpretação. A presente decisão tem em conta essas explicações e garantias e, consequentemente, está por elas condicionada.
(12)
Deve considerar-se, portanto, que Andorra assegura um nível adequado de protecção dos dados pessoais na acepção da Directiva 95/46/CE.
(13)
Com uma preocupação de transparência e para salvaguardar a capacidade de as autoridades competentes dos Estados-Membros assegurarem a protecção das pessoas no que diz respeito ao tratamento dos seus dados pessoais, é necessário precisar as circunstâncias excepcionais que poderão justificar a suspensão de transferências concretas de dados, apesar de verificado o nível de protecção adequado.
(14)
O grupo de trabalho sobre a protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, instituído nos termos do artigo 29.o da Directiva 95/46/CE, emitiu um parecer favorável sobre a adequação do nível de protecção dos dados pessoais, que foi tido em conta na preparação da presente decisão (3). No parecer favorável que emitiu, o grupo de trabalho incentivou as autoridades de Andorra a prosseguirem o processo em curso de adopção de novas disposições visando alargar a aplicação da legislação de Andorra às decisões individuais automatizadas, uma vez que neste momento tal não é expressamente reconhecido pela LQPDP relativa à protecção dos dados pessoais.
(15)
As medidas previstas pela presente decisão estão em conformidade com o parecer do Comité instituído pelo artigo 31.o, n.o 1, da Directiva 95/46/CE,
ADOPTOU A PRESENTE DECISÃO:
Artigo 1.o
Para efeitos do artigo 25.o, n.o 2, da Directiva 95/46/CE, considera-se que Andorra assegura um nível adequado de protecção dos dados pessoais transferidos a partir da União Europeia.
Artigo 2.o
A presente decisão diz respeito à adequação do nível de protecção assegurado em Andorra, tendo em vista o cumprimento do disposto no artigo 25.o, n.o 1, da Directiva 95/46/CE, e não afecta as condições ou restrições que transponham outras disposições da referida directiva, no que se refere ao tratamento de dados pessoais nos Estados-Membros.
Artigo 3.o
1. Sem prejuízo das competências que lhes permitem agir para assegurar o respeito das disposições nacionais adoptadas em conformidade com medidas diferentes das enunciadas no artigo 25.o da Directiva 95/46/CE, as autoridades competentes dos Estados-Membros podem exercer as actuais competências para suspender a transferência de dados para um destinatário em Andorra, por forma a assegurar a protecção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais, sempre que:
a)
Uma autoridade competente de Andorra verifique que o destinatário desrespeita as normas de protecção aplicáveis; ou
b)
Existam fortes probabilidades de as normas de protecção não estarem a ser cumpridas, existam motivos suficientes para crer que a autoridade competente de Andorra não toma ou não tomará as decisões adequadas na altura devida para resolver o caso em questão e a continuação da transferência dos dados possa representar um risco iminente de graves prejuízos para as pessoas em causa, embora as autoridades competentes nos Estados-Membros tenham envidado esforços razoáveis, dadas as circunstâncias, para facultar à organização responsável pelo tratamento estabelecida em Andorra a informação e oportunidade de resposta.
2. A suspensão cessará assim que o respeito das normas de protecção estiver assegurado e as autoridades competentes dos Estados-Membros em causa sejam disso informadas.
Artigo 4.o
1. Os Estados-Membros devem informar imediatamente a Comissão da adopção de medidas nos termos do artigo 3.o
2. Os Estados-Membros e a Comissão devem manter-se mutuamente informados relativamente aos casos em que os organismos responsáveis pelo cumprimento das normas de protecção em Andorra não garantam esse mesmo cumprimento.
3. Se a informação recolhida ao abrigo do artigo 3.o e dos n.os 1 e 2 do presente artigo revelar que os organismos responsáveis pelo cumprimento das normas de protecção em Andorra não desempenham eficazmente as suas funções, a Comissão deve informar a autoridade competente de Andorra e, se necessário, apresentar um projecto de medidas de acordo com o procedimento referido no artigo 31.o, n.o 2, da Directiva 95/46/CE, para revogar ou suspender a presente decisão ou limitar o seu âmbito de aplicação.
Artigo 5.o
A Comissão acompanhará a aplicação da presente decisão e informará o Comité instituído pelo artigo 31.o da Directiva 95/46/CE de todas as conclusões pertinentes, nomeadamente de todas as provas que possam afectar a avaliação da adequação do nível de protecção assegurado por Andorra relativamente ao disposto no artigo 1.o da presente decisão, nos termos do artigo 25.o da Directiva 95/46/CE, e de todas as provas de aplicação discriminatória da presente decisão.
Artigo 6.o
Os Estados-Membros tomam todas as medidas necessárias para dar cumprimento à presente decisão até 1 de Janeiro de 2011.
Artigo 7.o
Os Estados-Membros são os destinatários da presente decisão.
Feito em Bruxelas, em 19 de Outubro de 2010.