РЕШЕНИЕ НА КОМИСИЯТА
от 19 октомври 2010 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата на личните данни в Андора
(нотифицирано под номер C(2010) 7084)
(текст от значение за ЕИП)
(2010/625/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни на трета държава може да се извършва, само ако въпросната трета държава осигурява подходяща степен на защита и ако законодателствата на държавите-членки по прилагането на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватна степен на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с предаване на данни или с набор от операции по предаване на данни, като се отчитат редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде прието и изпълнявано по начин, който не води до произволна или неоснователна дискриминация по отношение на трети държави или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка пред търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Държавата Андора е парламентарно княжество, представлявано от двама съкнязе - президента на Френската република и епископа на Урхел.
(6)
Правото на личен живот е залегнало в член 14 от Конституцията на Княжество Андора (Constitució del Principat d’Andorra), одобрена с национален референдум на 14 март 1993 г.
(7)
Правните норми за защита на личните данни в Андора се основават до голяма степен на стандартите, установени в Директива 95/46/ЕО, и са залегнали в Квалифициран закон 15/2003 от 18 декември относно защитата на личните данни (Llei qualificada de protecció de dades personals) (LQPDP). Това законодателство за защита на данните допълват два указа - указ от 1 юли 2004 г. за създаване на публичния регистър за вписване на личните данни и указ от 9 юни 2010 г. за одобряване на правилниците на Агенцията по защита на данните на Андора. Вторият инструмент изяснява няколко въпроса, повдигнати от работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, в нейното становище от 1 декември 2009 г. (2)
(8)
Разпоредби за защита на данните се съдържат и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормативните разпоредби в областта на здравеопазването и публичните регистри.
(9)
Андора е ратифицирала Конвенцията на Съвета на Европа за защита на лицата при автоматизирана обработка на лични данни от 28 януари 1981 г. и допълнителния протокол към Конвенцията за защита на лицата при автоматизирана обработка на лични данни по отношение на надзорните органи и трансграничните потоци от данни от 8 ноември 2001 г., както и Конвенцията на Съвета на Европа за защита на правата на човека и основните свободи от 4 ноември 1950 г., която е в сила в Андора от 22 януари 1996 г., и Международния пакт за граждански и политически права от 16 декември 1966 г., който е в сила в Андора от 19 юли 2006 г.
(10)
Правните норми за защита на данните, приложими в Андора, обхващат всички основни принципи, необходими за осигуряване на адекватна степен на защита на физическите лица, като също така предвиждат възможността за изключения и ограничения, с цел да бъдат защитени важни обществени интереси. Прилагането на тези правни норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Агенцията по защита на данните на Андора, която разполага с правомощия за разследване и намеса и която действа напълно независимо.
(11)
Органите на Андора за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува правото на Андора, и също така потвърдиха, че законодателството за защита на данните на Андора се прилага в съответствие с това тълкуване. Настоящото решение отчита тези обяснения и уверения и следователно е обусловено от тях.
(12)
Следователно следва да се счита, че Андора осигурява адекватна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се посочат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано въпреки констатирането на адекватна защита.
(14)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (3). В своето благоприятно становище работната група насърчи органите на Андора да продължат текущия процес на приемане на допълнителни разпоредби, които ще разширят обхвата на прилагане на законодателството на Андора, така че в него да се включат автоматизираните индивидуални решения, тъй като това в момента не е изрично признато в квалифицирания закон за защита на личните данни на Андора.
(15)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Андора осигурява адекватна степен на защита на личните данни, предавани от Европейския съюз.
Член 2
Настоящото решение се отнася до адекватността на защитата, осигурена в Андора с оглед на изпълняване на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не засяга други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националните разпоредби, приети в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правомощията, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Андора с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Андора е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност да се нарушават нормите на защита, има основателни причини да се смята, че компетентният орган в Андора не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за съответните физически лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Андора, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират нормите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки уведомяват незабавно Комисията за приетите на основание член 3 мерки.
2. Държавите-членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за гарантиране на спазването на нормите за защита в Андора, не успеят да осигурят тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира съблюдаването на нормите за защита в Андора, не изпълнява действително своята роля, Комисията уведомява за това компетентния орган в Андора и, ако е необходимо, представя проект за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава действието на настоящото решение и съобщава съответните констатации на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяка явна информация, която би могла да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Андора е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка явна информация, че настоящото решение се прилага по дискриминационен начин.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението до 1 януари 2011 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 19 октомври 2010 година.
ROZHODNUTIE KOMISIE
z 19. októbra 2010
podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranej ochrane osobných údajov v Andorre
[oznámené pod číslom K(2010) 7084]
(Text s významom pre EHP)
(2010/625/EÚ)
EURÓPSKA KOMISIA,
so zreteľom na Zmluvu o fungovaní Európskej únie,
so zreteľom na smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a o voľnom pohybe týchto údajov (1), a najmä na jej článok 25 ods. 6,
po porade s Európskym dozorným úradníkom pre ochranu údajov,
keďže:
(1)
Podľa smernice 95/46/ES sú členské štáty povinné zabezpečiť, aby sa osobné údaje mohli poskytnúť tretej krajine len vtedy, ak príslušná tretia krajina zabezpečí primeraný stupeň ochrany a ak sa pred poskytnutím údajov dodržia zákony členských štátov, ktorými sa vykonávajú iné ustanovenia uvedenej smernice.
(2)
Komisia môže rozhodnúť, že tretia krajina zabezpečuje primeranú úroveň ochrany. V takom prípade môžu členské štáty prenášať osobné údaje bez potreby dodatočných záruk.
(3)
Podľa smernice 95/46/ES by sa úroveň ochrany údajov mala hodnotiť na základe všetkých okolností, ktoré sprevádzajú operáciu prenosu údajov alebo súbor operácií prenosu údajov, a osobitná pozornosť by sa mala venovať viacerým prvkom relevantným pre prenos uvedeným v jej článku 25.
(4)
Vzhľadom na rozdielny prístup k ochrane údajov v tretích krajinách by sa hodnotenie primeranosti a prijatie a presadzovanie akéhokoľvek rozhodnutia na základe článku 25 ods. 6 smernice 95/46/ES mali vykonať tak, aby nedochádzalo k svojvoľnej alebo neodôvodnenej diskriminácii tretích krajín alebo medzi tretími krajinami, v ktorých existujú podobné podmienky, ani k vytváraniu skrytej prekážky pre obchod vzhľadom na súčasné medzinárodné záväzky Európskej únie.
(5)
Andorra je štátom so systémom parlamentnej demokracie, v ktorom sú spoluvládcami prezident Francúzskej republiky a arcibiskup z Urgell.
(6)
Právo na súkromie je zakotvené v článku 14 Ústavy Andorrského kniežatstva (Constitució del Principat d’Andorra), ktorá bola schválená v ľudovom referende 14. marca 1993.
(7)
Právne predpisy na ochranu osobných údajov v Andorre vychádzajú prevažne z noriem stanovených v smernici 95/46/ES a sú ustanovené v kvalifikovanom zákone č. 15/2003 z 18. decembra o ochrane osobných údajov (Llei qualificada de protecció de dades personals) (ďalej len „LQPDP“). Tento právny predpis o ochrane osobných údajov je ďalej doplnený dekrétom z 1. júla 2004, ktorým sa zriaďuje Verejný register pre evidenciu súborov s osobnými údajmi, a dekrétom z 9. júna 2010, ktorým sa schvaľujú predpisy Andorrskej agentúry na ochranu údajov. Druhý z dekrétov objasňuje niekoľko otázok, ktoré vo svojom stanovisku z 1. decembra 2009 (2) predložila pracovná skupina pre ochranu osôb so zreteľom na spracovanie osobných údajov zriadená článkom 29 smernice 95/46/ES.
(8)
Ustanovenia o ochrane údajov sú obsiahnuté aj v mnohých právnych nástrojoch upravujúcich rozličné sektory, napríklad v právnych predpisoch týkajúcich sa finančného sektora, v predpisoch týkajúcich sa zdravotníctva a vo verejných registroch.
(9)
Andorra ratifikovala Dohovor Rady Európy o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov z 28. januára 1981, dodatkový protokol Dohovoru o ochrane jednotlivcov pri automatizovanom spracúvaní osobných údajov týkajúcom sa dozorných orgánov a cezhraničného toku údajov z 8. novembra 2001, ako aj Dohovor Rady Európy o ochrane ľudských práv a základných slobôd zo 4. novembra 1950, ktorý v Andorre platí od 22. januára 1996, a Dohovor o občianskych a politických právach zo 16. decembra 1966, ktorý v Andorre platí od 19. júla 2006.
(10)
Právne normy na ochranu údajov uplatniteľné v Andorre zahŕňajú všetky základné zásady potrebné na dosiahnutie primeranej úrovne ochrany fyzických osôb a stanovujú aj výnimky a obmedzenia na zabezpečenie významných verejných záujmov. Uplatňovanie týchto právnych noriem ochrany údajov je zaručené správnymi a súdnymi opravnými prostriedkami a nezávislým dohľadom vykonávaným dozorným orgánom, Andorrskou agentúrou pre ochranu údajov, ktorá má právomoc prešetrovať a zasahovať a ktorá koná úplne nezávisle.
(11)
Andorrské orgány pre ochranu údajov poskytli vysvetlenia a uistenia, ako sa má vykladať andorrské právo, a poskytli uistenia, že andorrské právne predpisy o ochrane údajov sa vykonávajú v súlade s týmto výkladom. Toto rozhodnutie berie do úvahy tieto vysvetlenia a uistenia, a preto je nimi podmienené.
(12)
Andorra by sa preto mala považovať za krajinu, ktorá poskytuje primeranú úroveň ochrany osobných údajov, ako je uvedené v smernici 95/46/ES.
(13)
V záujme transparentnosti a aby sa zaručila schopnosť príslušných orgánov členských štátov zabezpečiť ochranu jednotlivcov v súvislosti so spracovaním ich osobných údajov, je nevyhnutné definovať výnimočné okolnosti, na základe ktorých môže byť pozastavenie toku určitých údajov opodstatnené, bez ohľadu na existenciu primeranej ochrany.
(14)
Pracovná skupina pre ochranu jednotlivcov ohľadne spracovania osobných údajov zriadená podľa článku 29 smernice 95/46/ES vyjadrila priaznivé stanovisko k úrovni primeranosti ochrany osobných údajov, ktoré bolo zohľadnené pri príprave tohto rozhodnutia (3). Pracovná skupina vo svojom priaznivom stanovisku podporila andorrské orgány v prebiehajúcom procese prijímania ďalších ustanovení, ktorými sa rozšíri uplatňovanie andorrských právnych predpisov o automatizované individuálne rozhodnutia, keďže tieto nie sú v súčasnosti výslovne uznané andorrským kvalifikovaným zákonom o ochrane osobných údajov.
(15)
Opatrenia stanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru zriadeného podľa článku 31 ods. 1 smernice 95/46/ES,
PRIJALA TOTO ROZHODNUTIE:
Článok 1
Na účely článku 25 ods. 2 smernice 95/46/ES sa Andorra považuje za krajinu, ktorá poskytuje primeranú úroveň ochrany osobných údajov prenášaných z Európskej únie.
Článok 2
Toto rozhodnutie sa týka primeranosti ochrany poskytovanej v Andorre s cieľom splniť požiadavky uvedené v článku 25 ods. 1 smernice 95/46/ES a netýka sa iných podmienok ani obmedzení súvisiacich s vykonávaním ostatných ustanovení tejto smernice, ktoré sa týkajú spracovania osobných údajov v členských štátoch.
Článok 3
1. Bez toho, aby boli dotknuté právomoci prijímať opatrenia na zabezpečenie dodržiavania vnútroštátnych ustanovení prijatých podľa iných ustanovení, ako sú ustanovenia článku 25 smernice 95/46/ES, príslušné orgány členských štátov môžu vykonávať svoje súčasné právomoci pozastaviť tok údajov smerom k príjemcovi v Andorre, aby tak ochránili jednotlivcov ohľadne spracovania ich osobných údajov v týchto prípadoch:
a)
ak príslušný orgán v Andorre zistil, že príjemca nedodržiava uplatniteľné normy ochrany, alebo
b)
ak je vysoká pravdepodobnosť, že normy na ochranu sa porušujú, ak existuje dôvodné podozrenie, že príslušný orgán v Andorre nevykonáva alebo nevykoná vhodné a včasné kroky na vyriešenie tohto prípadu, ak by pokračovanie v prenose vytvorilo bezprostredné riziko vážneho poškodenia dotknutých osôb a príslušné orgány v členských štátoch vynaložili za daných okolností primerané úsilie, aby o tomto upovedomili stranu v Andorre zodpovednú za spracovanie a poskytli jej možnosť reagovať.
2. Pozastavenie sa skončí hneď, ako sa zabezpečí dodržiavanie noriem na ochranu a je o tom upovedomený príslušný orgán dotknutého členského štátu.
Článok 4
1. Ak členské štáty prijmú opatrenia podľa článku 3, bezodkladne o tom informujú Komisiu.
2. Členské štáty a Komisia sa navzájom informujú o prípadoch, v ktorých konanie orgánov zodpovedných za zabezpečenie dodržiavania noriem na ochranu v Andorre nedokáže zaručiť takýto súlad.
3. Ak informácie zhromaždené podľa článku 3 a podľa odsekov 1 a 2 tohto článku poskytujú dôkaz o tom, že ktorýkoľvek orgán zodpovedný za zabezpečenie dodržiavania noriem na ochranu v Andorre si neplní svoju úlohu účinne, Komisia informuje príslušný orgán v Andorre a ak je to potrebné, predloží návrh opatrení v súlade s postupom uvedeným v článku 31 ods. 2 smernice 95/46/ES s cieľom zrušiť alebo pozastaviť alebo obmedziť rozsah pôsobnosti tohto rozhodnutia.
Článok 5
Komisia monitoruje fungovanie tohto rozhodnutia a oznamuje všetky relevantné zistenia výboru zriadenému podľa článku 31 smernice 95/46/ES vrátane akéhokoľvek dôkazu, ktorý by mohol ovplyvniť zistenie uvedené v článku 1 tohto rozhodnutia, že ochrana v Andorre je primeraná v zmysle článku 25 smernice 95/46/ES, a akéhokoľvek dôkazu o tom, že toto rozhodnutie sa vykonáva diskriminačným spôsobom.
Článok 6
Členské štáty prijmú všetky potrebné opatrenia na dosiahnutie súladu s týmto rozhodnutím do 1. januára 2011.
Článok 7
Toto rozhodnutie je určené členským štátom.
V Bruseli 19. októbra 2010