РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 19 декември 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Нова Зеландия
(нотифицирано под номер C(2012) 9557)
(текст от значение за ЕИП)
(2013/65/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни на трета страна може да се извършва само ако въпросната трета страна гарантира достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди предаването.
(2)
Комисията може да установи, че третата страна гарантира достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с операцията по предаване на данни или набора от операции по предаване на данни, като се обръща специално внимание на определени елементи, посочени в директивата, които са свързани с предаването.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо извършването на оценката за адекватност и приемането и изпълнението на всяко решение, основаващо се на Директива 95/46/ЕО, да стават по начин, който не води до произволна или необоснована дискриминация по отношение на или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Съюза.
(5)
Нова Зеландия е бивша британска колония. Тя става независим доминион през 1907 г., но до 1947 г. конституционните ѝ връзки с Великобритания официално не са прекъснати. Нова Зеландия е унитарна държава и няма писана конституция в общоприетия смисъл на утвърден конститутивен документ. Тя е конституционна монархия и парламентарна демокрация по уестминстърския модел, като неин държавен глава е кралицата на Нова Зеландия.
(6)
В страната се прилага принципът на парламентарния суверенитет. По традиция обаче съществуват известен брой закони с особено конституционно значение, които се считат за „върховно законодателство“ (higher law). Това означава, че те са част от конституционната основа или среда и оказват влияние върху практиките на държавните органи и приемането на останалото законодателство. Освен това за изменението или отменянето на въпросното законодателство е необходим общ политически консенсус. Няколко такива закона - Хартата за правата (Bill of Rights Act) от 28 август 1990 г. (общ закон (Public Act) № 109 от 1990 г.), Законът за правата на човека (Human Rights Act) от 10 август 1993 г. (общ закон (Public Act) № 82 от 1993 г.) и Законът за правото на неприкосновеност на личния живот (Privacy Act) от 17 май 1993 г. (общ закон (Public Act) № 28 от 1993 г.) - са свързани със защитата на данните. Конституционното значение на това законодателство проличава от традицията, според която то трябва да бъде взето предвид при изготвянето или предлагането на ново законодателство.
(7)
Правните норми за защитата на личните данни в Нова Зеландия са установени предимно в Закона за правото на неприкосновеност на личния живот, изменен със Закона за изменение на Закона за правото на неприкосновеност на личния живот (трансгранично информиране) (Privacy (Cross-border Information) Amendment Act) от 7 септември 2010 г. (общ закон (Public Act) № 113 от 2010 г.). Този по-ранен от Директива 95/46/ЕО закон не се ограничава до автоматизирано обработваните данни или съдържащите се във файл структурирани данни, а обхваща цялата лична информация, независимо от нейното естество или форма. Той се прилага спрямо публичния и частния сектор в тяхната цялост, с няколко специфични изключения от обществен интерес, каквито може да се очакват в едно демократично общество.
(8)
В Нова Зеландия съществуват няколко правни уредби, посветени на въпросите относно правото на неприкосновеност на личния живот, от гледна точка на политика, разпоредби или юрисдикции, компетентни да разглеждат оплаквания. Някои от тях са регламентирани в законодателството, докато други зависят от саморегулиращи се професионални образувания, като например в областта на медиите, директния маркетинг, нежеланите електронни съобщения, пазарните проучвания, здравословното състояние и уврежданията, банковото и застрахователното дело и спестяванията.
(9)
В допълнение към законодателството, приемано от парламента на Нова Зеландия, съществува и внушителен корпус от правила на обичайното право, които произтичат от английското обичайно право и в който са обхванати релевантни за защитата на данните принципи и разпоредби на обичайното право. Сред основните принципи на обичайното право е принципът, че достойнството на личността е от първостепенно значение за правото. Този принцип на обичайното право е ключов елемент от общия контекст при постановяването на съдебните решения в Нова Зеландия. От съдебната практика на тази страна, основаваща се на обичайното право, също могат да се изведат редица други аспекти на неприкосновеността на личния живот, сред които са накърняването на неприкосновеността на личния живот, злоупотребата с доверие и инцидентната защита в случай на клевета, нарушаване на обществения ред, тормоз, злонамерена лъжа, небрежност и други.
(10)
Правните норми за защита на данните, приложими в Нова Зеландия, обхващат всички основни принципи, необходими за осигуряването на достатъчна степен на защита на физическите лица, като в тях се предвиждат и изключения и ограничения с цел защитата на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(11)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор, осъществяван от надзорен орган - Комисаря по въпросите на неприкосновеността на личния живот, който разполага с подобни на предвидените в член 28 от Директива 95/46/ЕО правомощия и който действа като независим орган. Освен това всяка заинтересована страна може да търси защита по съдебен ред за обезщетяване на вреди, възникнали в резултат на незаконно обработване на личните ѝ данни.
(12)
Поради това следва да се счита, че Нова Зеландия осигурява достатъчна степен на защита на личните данни съгласно предвиденото в Директива 95/46/ЕО.
(13)
Настоящото решение следва да се отнася до достатъчния характер на степента на защита, предоставяна в Нова Зеландия, с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не трябва да засяга други условия или ограничения за прилагането на други разпоредби от директивата, отнасящи се до обработването на лични данни в държавите членки.
(14)
В интерес на прозрачността, а и за да се обезпечи възможността компетентните органи в държавите членки да осигурят защитата на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде счетено за основателно въпреки констатацията за наличие на достатъчна степен на защита.
(15)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, даде положително становище относно степента на защита в Нова Зеландия по отношение на личните данни (2). Това становище бе взето предвид при подготовката на настоящото решение за изпълнение.
(16)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Нова Зеландия осигурява достатъчна степен на защита на личните данни, предавани от Съюза.
2. Компетентният надзорен орган за прилагането на правните норми за защита на данните в Нова Зеландия е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията им да предприемат действия за гарантиране на спазването на националното законодателство, прието на основание на разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правомощията, с които разполагат, за да спрат потоците от данни към получател в Нова Зеландия с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Нова Зеландия е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е много вероятно, че нормите за защита се нарушават, има основателни причини да се смята, че компетентният орган в Нова Зеландия не взема или няма да вземе подходящи и навременни мерки за разрешаване на случая, продължаването на предаването на данни би довело до неизбежен риск от сериозно увреждане на субектите на данни и при дадените обстоятелства компетентните органи на държавата членка са положили достатъчни усилия да предупредят отговарящия за обработването, който е установен в Нова Зеландия, и да му дадат възможност за отговор.
2. Спирането престава да действа веднага щом бъде осигурено спазването на нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията за мерките, приети на основание член 2.
2. Държавите членки и Комисията се информират взаимно за случаите, при които действията на органите, отговорни за гарантиране на спазването на нормите за защита в Нова Зеландия, не са достатъчни за осигуряване на такова спазване.
3. Ако информация, събрана съгласно член 2, параграф 1 и параграфи 1 и 2 от настоящия член, показва, че даден орган, натоварен със задачата да гарантира спазването на нормите за защита в Нова Зеландия, не изпълнява ефикасно функциите си, Комисията уведомява компетентния орган в Нова Зеландия и, ако е необходимо, представя проект за мерки съгласно процедурата по член 31, параграф 2 от Директива 95/46/ЕО с оглед отменяне или спиране на действието на настоящото решение или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава прилагането на настоящото решение и съобщава съответните констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО, включително всяка информация, която би могла да има отражение върху съдържащата се в член 1 от настоящото решение констатация, че защитата в Нова Зеландия е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка информация, че решението се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с настоящото решение до 20 март 2013 г.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 19 декември 2012 година.
VYKONÁVACIE ROZHODNUTIE KOMISIE
z 19. decembra 2012
podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranej ochrane osobných údajov Novým Zélandom
[oznámené pod číslom C(2012) 9557]
(Text s významom pre EHP)
(2013/65/EÚ)
EURÓPSKA KOMISIA,
so zreteľom na Zmluvu o fungovaní Európskej únie,
so zreteľom na smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (1), a najmä na jej článok 25 ods. 6,
po konzultácii s európskym dozorným úradníkom pre ochranu údajov,
keďže:
(1)
Podľa smernice 95/46/ES sú členské štáty povinné zabezpečiť, aby sa osobné údaje mohli poskytnúť tretej krajine len vtedy, ak príslušná tretia krajina zabezpečí primeranú úroveň ochrany a ak sú pred poskytnutím údajov dodržané právne predpisy členských štátov, ktorými sa vykonávajú iné ustanovenia uvedenej smernice.
(2)
Komisia môže konštatovať, že tretia krajina zabezpečuje primeranú úroveň ochrany. V takom prípade môžu členské štáty prenášať osobné údaje bez potreby dodatočných záruk.
(3)
Podľa smernice 95/46/ES by sa úroveň ochrany údajov mala hodnotiť na základe všetkých okolností, ktoré sprevádzajú operáciu prenosu údajov alebo súbor operácií prenosu údajov, a osobitná pozornosť by sa mala venovať niektorým uvedeným prvkom relevantným pre prenos.
(4)
Vzhľadom na rozdielny prístup k ochrane údajov v tretích krajinách by sa hodnotenie primeranosti a prijatie a presadzovanie akéhokoľvek rozhodnutia na základe smernice 95/46/ES mali vykonať tak, aby nedochádzalo k svojvoľnej alebo neodôvodnenej diskriminácii tretích krajín alebo medzi tretími krajinami, v ktorých existujú podobné podmienky, ani k vytváraniu skrytej prekážky obchodu vzhľadom na súčasné medzinárodné záväzky Európskej únie.
(5)
Nový Zéland je bývalá britská kolónia. Stal sa nezávislým územím v roku 1907, ale formálne svoje ústavné prepojenie s Veľkou Britániou zrušil až v roku 1947. Nový Zéland je unitárny štát, ktorý nemá písanú ústavu v konvenčnom zmysle zavedeného ústavného dokumentu. Štátnym zriadením je konštitučná monarchia a parlamentná demokracia na základe westminsterského modelu, pričom hlavou štátu je kráľovná Nového Zélandu.
(6)
Krajina funguje na princípe parlamentnej zvrchovanosti. Napriek tomu na základe konvencie existuje viacero zákonov, ktoré sú mimoriadne dôležité a sú považované za „vyššie právo”. To znamená, že predstavujú časť ústavného poriadku alebo usporiadania a ovplyvňujú činnosť vlády a prijímanie ďalších zákonov V prípade zmeny a doplnenia alebo zrušenia týchto zákonov sa očakáva konsenzus naprieč celým politickým spektrom. Viacero týchto zákonov - Listina práv z 28. augusta 1990 (Zákon č. 109 z roku 1990, Zákon o ľudských právach z 10. augusta1993 (Zákon č. 82 z roku 1993) a Zákon o ochrane súkromia zo 17. mája 1993 (Zákon č. 28 z roku 1993) - súvisí s ochranou údajov. Ústavný význam týchto zákonov sa prejavuje v konvencii, že musia byť zohľadnené pri tvorbe alebo navrhovaní nových zákonov.
(7)
Právne zásady pre ochranu osobných údajov na Novom Zélande sú primárne ustanovené v Zákone o ochrane súkromia, ktorý bol zmenený a doplnený pozmeňujúcim Zákonom o cezhraničných informáciách zo 7. septembra 2010 (Zákon č. 113 z roku 2010). Vznikol skôr ako smernica 95/46/ES a neobmedzuje sa na automaticky spracované údaje alebo štruktúrované údaje v evidenčnom systéme, ale vzťahuje sa na všetky osobné údaje v akejkoľvek podobe alebo forme. Vzťahuje sa na celý verejný a súkromný sektor s niekoľkými osobitnými výnimkami vo verejnom záujme, ktoré je v demokratickej spoločnosti možné očakávať.
(8)
Otázky súkromia v súvislosti s politikou, pravidlami alebo jurisdikciou na Novom Zélande upravuje viacero regulačných rámcov. Niektoré sú upravené zákonmi, kým iné sú samoregulačnými subjektmi v rámci priemyselných odvetví vrátane regulácie médií, priameho marketingu, nevyžiadaných elektronických správ, prieskumu trhu, zdravia a postihnutí, bankovníctva, poisťovníctva a sporenia.
(9)
Okrem právnych predpisov schválených novozélandským parlamentom existuje v krajine rozsiahle zvykové právo, ktoré má pôvod v anglickom zvykovom práve, v ktorom sú zakotvené zásady zvykového práva a pravidlá súvisiace s ochranou údajov. Medzi základné zásady zvykového práva patrí, že dôstojnosť človeka je najvyšším záujmom práva. Táto zásada zvykového práva je kľúčovým prvkom východísk, z ktorých súdy na Novom Zélande všeobecne čerpajú dôvody pre svoje rozhodnutia. Judikatúra na Novom Zélande, ktorá vychádza zo zvykového práva okrem toho obsahuje mnoho iných aspektov súkromia vrátane narušenia súkromia, porušenia dôvery a doplnkovej ochrany v súvislosti s ohováraním, urážkou na cti, obťažovaním, urážlivým klamstvom, nedbalosťou a inými.
(10)
Právne normy na ochranu údajov uplatňované na Novom Zélande zahŕňajú všetky základné zásady potrebné na dosiahnutie primeranej úrovne ochrany fyzických osôb a stanovujú aj výnimky a obmedzenia na zabezpečenie významných verejných záujmov. V týchto právnych normách na ochranu údajov a výnimkách sa zohľadňujú zásady stanovené v smernici 95/46/ES.
(11)
Uplatňovanie týchto právnych noriem ochrany údajov je zaručené správnymi a súdnymi opravnými prostriedkami a nezávislým dohľadom vykonávaným dozorným orgánom, komisárom pre súkromie, ktorý má právomoci rovnakého druhu ako sú ustanovené v článku 28 smernice 95/46/ES, a ktorý koná úplne nezávisle. Akákoľvek zainteresovaná strana má okrem toho právo vymáhať súdnou cestou náhradu škody, ktorú utrpela v dôsledku protiprávneho spracovania jej osobných údajov.
(12)
Nový Zéland by sa preto mal považovať za krajinu, ktorá poskytuje primeranú úroveň ochrany osobných údajov, ako je uvedené v smernici 95/46/ES.
(13)
Toto rozhodnutie sa týka primeranosti ochrany poskytovanej na Novom Zélande so zreteľom na splnenie požiadaviek článku 25 ods. 1 smernice 95/46/ES. Nemalo by mať vplyv na podmienky alebo obmedzenia, ktorými sa vykonávajú iné ustanovenia uvedenej smernice, ktoré sa vzťahujú na spracovanie osobných údajov v členských štátoch.
(14)
V záujme transparentnosti a s cieľom zaručiť schopnosť príslušných orgánov v členských štátoch zabezpečiť ochranu jednotlivcov v súvislosti so spracovaním ich osobných údajov je nevyhnutné vymedziť výnimočné okolnosti, za ktorých môže byť pozastavenie toku určitých údajov opodstatnené, a to bez ohľadu na existenciu primeranej ochrany.
(15)
Pracovná skupina pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov zriadená podľa článku 29 smernice 95/46/ES vydala kladné stanovisko k úrovni primeranosti ochrany osobných údajov na Novom Zélande (2), ktoré bolo zohľadnené pri príprave tohto vykonávacieho rozhodnutia.
(16)
Opatrenia stanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru zriadeného podľa článku 31 ods. 1 smernice 95/46/ES,
PRIJALA TOTO ROZHODNUTIE:
Článok 1
1. Na účely článku 25 ods. 2 smernice 95/46/ES sa Nový Zéland považuje za krajinu, ktorá poskytuje primeranú úroveň ochrany osobných údajov prenášaných z Európskej únie.
2. Príslušný dozorný orgán pre uplatňovanie zásad ochrany právnych údajov na Novom Zélande je uvedený v prílohe k tomuto rozhodnutiu.
Článok 2
1. Bez toho, aby boli dotknuté právomoci prijímať opatrenia na zabezpečenie dodržiavania vnútroštátnych predpisov prijatých podľa iných ustanovení, ako sú ustanovenia článku 25 smernice 95/46/ES, príslušné orgány členských štátov môžu vykonávať svoje súčasné právomoci pozastaviť tok údajov smerom k príjemcovi na Novom Zélande s cieľom chrániť fyzické osoby v súvislosti so spracovaním ich osobných údajov v týchto prípadoch:
a)
ak príslušný orgán na Novom Zélande zistil, že príjemca nedodržiava uplatniteľné normy ochrany, alebo
b)
ak je pravdepodobné, že normy ochrany sa porušujú, ak existujú dostatočné dôvody na podozrenie, že príslušný orgán na Novom Zélande nevykonáva alebo nevykoná príslušné včasné kroky na vyriešenie tohto prípadu, ak by pokračovanie v prenose vytvorilo bezprostredné riziko spôsobenia vážnej ujmy dotknutým osobám a príslušné orgány v členských štátoch vyvinuli za daných okolností primerané úsilie, aby o tom upovedomili stranu zodpovednú za spracovanie na Novom Zélande a poskytli jej možnosť reagovať.
2. Pozastavenie sa ukončí hneď, ako sa zabezpečí dodržiavanie noriem ochrany a je o tom upovedomený príslušný orgán dotknutého členského štátu.
Článok 3
1. Ak členské štáty prijmú opatrenia podľa článku 2, bezodkladne o tom informujú Komisiu.
2. Členské štáty a Komisia sa navzájom informujú o prípadoch, v ktorých opatrenia prijaté orgánmi zodpovednými za zabezpečenie dodržiavania noriem ochrany na Novom Zélande nedokáže zaručiť takýto súlad.
3. Ak informácie zhromaždené podľa článku 2 ods. 1 a podľa odsekov 1 a 2 tohto článku poskytujú dôkaz o tom, že niektorý orgán zodpovedný za zabezpečenie dodržiavania noriem ochrany na Novom Zélande neplní účinne svoju úlohu, Komisia informuje príslušný orgán na Novom Zélande a ak je to potrebné, predloží návrh opatrení v súlade s postupom uvedeným v článku 31 ods. 2 smernice 95/46/ES s cieľom zrušiť, pozastaviť alebo obmedziť rozsah pôsobnosti tohto rozhodnutia.
Článok 4
Komisia monitoruje fungovanie tohto rozhodnutia a oznamuje všetky relevantné zistenia výboru zriadenému podľa článku 31 smernice 95/46/ES vrátane akéhokoľvek dôkazu, ktorý by mohol ovplyvniť zistenie uvedené v článku 1 tohto rozhodnutia, že ochrana na Novom Zélande je primeraná v zmysle článku 25 smernice 95/46/ES, a akéhokoľvek dôkazu o tom, že toto rozhodnutie sa vykonáva diskriminačným spôsobom.
Článok 5
Členské štáty prijmú všetky potrebné opatrenia na dosiahnutie súladu s týmto rozhodnutím do 20. marca 2013.
Článok 6
Toto rozhodnutie je určené členským štátom.
V Bruseli 19. decembra 2012