ROZHODNUTÍ KOMISE
ze dne 31. ledna 2011
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Státem Izrael v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem K(2011) 332)
(Text s významem pro EHP)
(2011/61/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Právní řád Státu Izrael nemá psanou ústavu, avšak ústavní sílu dovodil Nejvyšší soud Státu Izrael u některých „základních zákonů“. Tyto „základní zákony“ doplňuje objemný soubor judikatury, jelikož se právní řád Izraele ve značném rozsahu řídí zásadami obyčejového práva. Právo na soukromí je zahrnuto v „základním zákonu o právu na lidskou důstojnost a svobodu“ v oddíle 7.
(6)
Právní normy upravující ochranu osobních údajů ve Státě Izrael vycházejí ve velké míře z norem stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně o ochraně soukromí 5741-1981, naposledy pozměněném v roce 2007 za účelem zavedení nových požadavků na zpracování osobních údajů a podrobné organizace orgánu dozoru.
(7)
Tyto právní předpisy v oblasti ochrany údajů dále doplňují vládní rozhodnutí provádějící zákon o ochraně soukromí 5741-1981 a o organizaci a fungování orgánu dozoru, která povětšinou vycházejí z doporučení formulovaných ve zprávě Komise pro přezkum právních předpisů týkajících se databází (Schoffmanova zpráva) pro ministerstvo spravedlnosti.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Právní normy v oblasti ochrany údajů platné ve Státě Izrael pokrývají všechny základní zásady nutné pro odpovídající úroveň ochrany pro fyzické osoby ve vztahu k zpracování osobních údajů automatizovanými databázemi. Kapitola 2 zákona o ochraně soukromí 5741-1981, která stanoví zásady zpracování osobních údajů, se nevztahuje na zpracování osobních údajů v databázích, které nejsou automatizované (manuální databáze).
(10)
Uplatňování právních norem ochrany osobních údajů zaručují správní a soudní prostředky nápravy a nezávislý dozor prováděný dozorčím orgánem, jímž je Izraelský úřad pro právo, informace a technologie (ILITA), který je nadán pravomocemi k provádění šetření a zásahů a je zcela nezávislý.
(11)
Izraelské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu izraelského práva a poskytly záruky ohledně provádění izraelských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Stát Izrael je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie do Státu Izrael nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Opačně, na mezinárodní předávání osobních údajů z EU do Státu Izrael, u kterého samo předávání a následné zpracování je prováděno výlučně neautomatizovanými prostředky, by se toto rozhodnutí nemělo vztahovat.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Závěry týkající se úrovně ochrany osobních údajů v tomto rozhodnutí odkazují na Stát Izrael vymezený podle mezinárodní práva. Další následné předávání příjemci mimo Stát Izrael vymezený podle mezinárodního práva by mělo být považováno za předávání osobních údajů do třetí země.
(15)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie, nebo o případy, kdy předávání není automatizované, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Ve svém kladném stanovisku pracovní skupina vyzvala izraelské úřady, aby přijaly další ustanovení, která rozšíří uplatňování izraelských právních předpisů na manuální databáze, výslovně uznají, že bude uplatňování zásada proporcionality na zpracování osobních údajů v soukromé sféře, a která budou vykládat výjimky při mezinárodním předávání tak, aby byl jejich výklad v souladu s požadavky stanovenými v jejím „pracovním dokumentu o jednotném výkladu čl. 26 odst. 1 směrnice 95/46/ES“ (2). Toto stanovisko bylo zohledněno při přípravě toho rozhodnutí (3).
(16)
Výbor zřízený podle čl. 31 odst. 1 směrnice 95/46/ES nepředložil stanovisko ve lhůtě stanovené jeho předsedou,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Izrael považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie, pokud jde o automatizované předávání osobních údajů z Evropské unie do Izraele nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael.
2. Orgánem dozoru Státu Izrael, který má pravomoc uplatňovat normy ochrany osobních údajů ve Státě Izrael, je Izraelský úřad pro právo, informace a technologie (ILITA) uvedený v příloze tohoto rozhodnutí.
Článek 2
1. Toto rozhodnutí se zabývá pouze úrovní ochrany zajišťované ve Státě Izrael vymezeném podle mezinárodního práva s cílem naplnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
2. Toto rozhodnutí se použije v souladu s mezinárodním právem. Rozhodnutím není dotčen status Golanských výšin, pásma Gazy a Západního břehu Jordánu, včetně východního Jeruzaléma podle mezinárodního práva.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci ve Státě Izrael s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný izraelský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany, pokud se lze důvodně domnívat, že příslušný orgán Státu Izrael včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené ve Státě Izrael a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského stát.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany ve Státě Izrael nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany ve Státě Izrael neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Státu Izrael a, bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany ve Státě Izrael odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem. Komise zejména sleduje zpracovávání osobních údajů v manuálních databázích.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho oznámení.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 31. ledna 2011.
SKLEP KOMISIJE
z dne 31. januarja 2011
o ustreznem varstvu osebnih podatkov, ki ga zagotavlja Država Izrael pri avtomatizirani obdelavi osebnih podatkov, v skladu z Direktivo Evropskega parlamenta in Sveta 95/46/ES
(notificirano pod dokumentarno številko C(2011) 332)
(Besedilo velja za EGP)
(2011/61/EU)
EVROPSKA KOMISIJA JE -
ob upoštevanju Pogodbe o delovanju Evropske unije,
ob upoštevanju Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1) ter zlasti člena 25(6) Direktive,
po posvetovanju z evropskim nadzornikom za varstvo podatkov,
ob upoštevanju naslednjega:
(1)
V skladu z Direktivo 95/46/ES morajo države članice zagotoviti, da se prenos osebnih podatkov v tretjo državo lahko izvede le, če zadevna tretja država zagotovi ustrezno raven varstva in če se pred prenosom upoštevajo predpisi držav članic, ki izvajajo druge določbe Direktive.
(2)
Komisija lahko ugotovi, da tretja država zagotavlja ustrezno raven varstva. V tem primeru se lahko osebni podatki prenesejo iz držav članic, ne da bi bila potrebna dodatna jamstva.
(3)
V skladu z Direktivo 95/46/ES je treba raven varstva podatkov oceniti glede na vse okoliščine, ki so povezane s postopkom prenosa podatkov ali nizom postopkov prenosa podatkov, pri čemer je treba skrbno pretehtati vrsto elementov, ki so pomembni za prenos in našteti v členu 25 Direktive.
(4)
Glede na različne pristope k varstvu podatkov v tretjih državah bi bilo treba oceniti ustreznost, morebitno odločitev na podlagi člena 25(6) Direktive 95/46/ES pa bi bilo treba sprejeti in uveljaviti na tak način, da ne pride do samovoljne ali neupravičene diskriminacije do tretjih držav ali med tretjimi državami, v katerih prevladujejo podobne okoliščine, in da ne pride do prikrite trgovinske ovire, ob upoštevanju obstoječih mednarodnih obveznosti Evropske unije.
(5)
Izraelski pravni sistem nima pisane ustave, ima pa „temeljne zakone“, ki jim je Vrhovno sodišče Države Izrael podelilo ustavni značaj. Navedene „temeljne zakone“ dopolnjuje obsežna sodna praksa, saj izraelski pravni sistem v veliki meri temelji na načelih občega prava. Pravico do zasebnosti ureja člen 7 „temeljnega zakona o človekovem dostojanstvu in svobodi“.
(6)
Pravni standardi varstva osebnih podatkov v Državi Izrael temeljijo v glavnem na standardih iz Direktive 95/46/ES, določeni pa so v Zakonu o varstvu zasebnosti št. 5741 iz leta 1981, ki je bil nazadnje spremenjen leta 2007 z namenom določiti nove zahteve za obdelavo osebnih podatkov in podrobno organizacijo nadzornega organa.
(7)
Navedeno zakonodajo o varstvu podatkov nadalje dopolnjujejo vladni sklepi o izvajanju Zakona o varstvu zasebnosti št. 5741 iz leta 1981 ter o organizaciji in delovanju nadzornega organa, ki temeljijo predvsem na priporočilih, ki jih je v poročilu ministrstvu za pravosodje izrazil odbor za pregled zakonodaje v zvezi s podatkovnimi zbirkami (Schoffmanovo poročilo).
(8)
Določbe o varstvu podatkov prav tako vsebujejo številni pravni akti, ki urejajo različne sektorje, kot so zakonodaja o finančnem sektorju, zdravstvu in javnih registrih.
(9)
Pravni standardi varstva podatkov, ki se uporabljajo v Državi Izrael, zajemajo vsa temeljna načela, potrebna za ustrezno raven varstva za fizične osebe v zvezi z obdelavo osebnih podatkov v avtomatiziranih podatkovnih zbirkah. Poglavje 2 Zakona o varstvu zasebnosti št. 5741 iz leta 1981, v katerem so določena načela za obdelavo osebnih podatkov, ne velja za obdelavo osebnih podatkov v neavtomatiziranih podatkovnih zbirkah (ročne podatkovne zbirke).
(10)
Uporaba pravnih standardov varstva podatkov je zagotovljena z upravnim in sodnim varstvom ter neodvisnim nadzorom, ki ga izvaja nadzorni organ, to je izraelski organ za zakonodajo, informacije in tehnologijo (ILITA), ki je pooblaščen za preiskavo in ukrepanje ter deluje popolnoma neodvisno.
(11)
Izraelski organi za varstvo podatkov so priskrbeli razlage in zagotovila glede načina razlage izraelskih predpisov ter podali zagotovila, da se izraelska zakonodaja o varstvu podatkov izvaja v skladu s tako razlago. Ta sklep upošteva te razlage in zagotovila ter je zato pogojen z njimi.
(12)
Za Državo Izrael bi se torej moralo šteti, da zagotavlja ustrezno raven varstva osebnih podatkov iz Direktive 95/46/ES v zvezi z avtomatiziranimi mednarodnimi prenosi osebnih podatkov iz Evropske unije v Državo Izrael ali neavtomatiziranimi prenosi, pri katerih se v Državi Izrael izvaja nadaljnja avtomatizirana obdelava. Nasprotno pa ta sklep ne bi smel veljati za mednarodne prenose osebnih podatkov iz EU v Državo Izrael, pri katerih se tako prenos kot tudi poznejša obdelava podatkov izvajata izključno z neavtomatskimi sredstvi.
(13)
Zaradi preglednosti in da se zaščiti zmožnost pristojnih organov držav članic, da zagotovijo varstvo posameznikov v zvezi z obdelavo njihovih osebnih podatkov, je treba določiti izjemne okoliščine, v katerih se lahko upraviči začasna ustavitev prenosa nekaterih podatkov, ne glede na ugotovljeno ustrezno varstvo.
(14)
Ugotovitve o ustreznosti v zvezi s tem sklepom se nanašajo na Državo Izrael v skladu z opredelitvijo mednarodnega prava. Nadaljnji prenosi prejemniku zunaj Države Izrael v skladu z opredelitvijo mednarodnega prava se štejejo za prenose osebnih podatkov tretji državi.
(15)
Delovna skupina za varstvo posameznikov pri obdelavi osebnih podatkov, ustanovljena na podlagi člena 29 Direktive 95/46/ES, je dala pozitivno mnenje o ravni ustreznosti glede varstva osebnih podatkov v zvezi z avtomatiziranimi mednarodnimi prenosi osebnih podatkov iz Evropske unije ali neavtomatiziranimi prenosi, pri katerih se v Državi Izrael izvaja nadaljnja avtomatizirana obdelava. Delovna skupina je v svojem pozitivnem mnenju spodbudila izraelske organe k sprejetju dodatnih predpisov, ki bodo uporabo izraelske zakonodaje razširili na ročne podatkovne zbirke, uporabo načela sorazmernosti izrecno priznali pri obdelavi osebnih podatkov v zasebnem sektorju in izjeme pri mednarodnih prenosih podatkov razlagali v skladu z merili iz Delovnega dokumenta o skupni razlagi člena 26(1) Direktive 95/46/ES (2). To mnenje je bilo upoštevano pri pripravi tega sklepa (3).
(16)
Odbor, ustanovljen na podlagi člena 31(1) Direktive 95/46/ES, ni predložil mnenja v roku, ki ga je določil njegov predsednik -
SPREJELA NASLEDNJI SKLEP:
Člen 1
1. Za namene člena 25(2) Direktive 95/46/ES se šteje, da Država Izrael zagotavlja ustrezno raven varstva osebnih podatkov, prenesenih iz Evropske unije, v zvezi z avtomatiziranimi mednarodnimi prenosi osebnih podatkov iz Evropske unije ali neavtomatiziranimi prenosi, pri katerih se v Državi Izrael izvaja nadaljnja avtomatizirana obdelava.
2. Pristojni nadzorni organ za področje uporabe pravnih standardov varstva podatkov v Državi Izrael je „Israeli Law, Information and Technology Authority (ILITA)“ (izraelski organ za zakonodajo, informacije in tehnologijo), naveden v Prilogi k temu sklepu.
Člen 2
1. Ta sklep zadeva le ustreznost varstva, zagotovljenega v Državi Izrael v skladu z opredelitvijo mednarodnega prava z namenom izpolniti zahteve člena 25(1) Direktive 95/46/ES in ne vpliva na druge pogoje ali omejitve, s katerimi se izvajajo druge določbe navedene direktive, ki se nanašajo na obdelavo osebnih podatkov v državah članicah.
2. Ta sklep se uporablja v skladu z mednarodnim pravom. Ne vpliva na status Golanske planote, območja Gaze in Zahodnega brega, vključno z vzhodnim Jeruzalemom, v skladu z opredelitvijo mednarodnega prava.
Člen 3
1. Brez vpliva na pooblastila za ukrepanje za zagotavljanje skladnosti z nacionalnimi predpisi, sprejetimi v skladu z določbami, razen s tistimi iz člena 25 Direktive 95/46/ES, lahko pristojni organi v državah članicah izvajajo svoja obstoječa pooblastila, da začasno ustavijo prenos podatkov prejemniku v Državi Izrael z namenom zavarovanja posameznikov v zvezi z obdelavo njihovih osebnih podatkov v naslednjih primerih:
(a)
če pristojni izraelski organ ugotovi, da prejemnik krši veljavne standarde varstva; ali
(b)
če obstaja precejšnja verjetnost, da so standardi varstva kršeni, če obstajajo utemeljeni razlogi za prepričanje, da pristojni izraelski organ ne ukrepa ali ne bo ukrepal primerno in pravočasno, da bi rešil zadevno vprašanje, če bi neprekinjeni prenos povzročil neposredno tveganje hudega škodovanja osebam, na katere se podatki nanašajo, in če so si pristojni organi v državi članici v teh okoliščinah ustrezno prizadevali obvestiti organ s sedežem v Državi Izrael, pristojen za obdelavo, ter mu dati priložnost za odziv.
2. Začasna ustavitev prenosa podatkov preneha takoj, ko so zagotovljeni standardi varstva in so o tem uradno obveščeni pristojni organi zadevnih držav članic.
Člen 4
1. Države članice obvestijo Komisijo takoj, ko so sprejeti ukrepi na podlagi člena 3.
2. Države članice in Komisija se medsebojno obvestijo o primerih, kadar ukrepi organov, odgovornih za zagotavljanje skladnosti s standardi varstva v Državi Izrael, ne zagotavljajo take skladnosti.
3. Če informacije, zbrane v skladu s členom 3 ter odstavkoma 1 in 2 tega člena, dokazujejo, da organ, odgovoren za zagotavljanje skladnosti s standardi varstva v Državi Izrael, svoje vloge ne izpolnjuje učinkovito, Komisija obvesti pristojni izraelski organ in po potrebi predloži osnutke ukrepov v skladu s postopkom iz člena 31(2) Direktive 95/46/ES z namenom razveljavitve ali začasnega prenehanja izvajanja tega sklepa ali omejitve njegovega področja uporabe.
Člen 5
Komisija spremlja učinkovanje tega sklepa in odboru, ustanovljenemu v skladu s členom 31 Direktive 95/46/ES, poroča o morebitnih zadevnih ugotovitvah, vključno s kakršnimi koli dokazi, ki bi lahko vplivali na ugotovitev iz člena 1 tega sklepa, da je varstvo v Državi Izrael ustrezno v smislu člena 25 Direktive 95/46/ES, in morebitnimi dokazi, da se ta sklep izvaja na diskriminatoren način. Zlasti spremlja obdelavo osebnih podatkov v ročnih podatkovnih zbirkah.
Člen 6
Države članice sprejmejo vse ukrepe, potrebne za uskladitev s tem sklepom, v treh mesecih od datuma njegove notifikacije.
Člen 7
Ta sklep je naslovljen na države članice.
V Bruslju, 31. januarja 2011