ROZHODNUTÍ KOMISE
ze dne 19. října 2010
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů v Andorrském knížectví
(oznámeno pod číslem K(2010) 7084)
(Text s významem pro EHP)
(2010/625/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Andorra je stát se systémem parlamentního spoluknížectví, přičemž funkce spoluknížat zastávají prezident Francouzské republiky a španělský arcibiskup ze Seo de Urgel.
(6)
Právo na soukromí je zakotveno v článku 14 Ústavy Andorrského knížectví (Constitució del Principat d’Andorra) schválené všeobecným referendem ze dne 14. března 1993.
(7)
Právní předpisy upravující ochranu osobních údajů v Andorrském knížectví jsou ve velké míře založené na normách stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně č. 15/2003 ze dne 18. prosince o ochraně osobních údajů (Llei qualificada de protecció de dades personals, LQPDP). Tyto právní předpisy na ochranu údajů jsou dále doplněny nařízením ze dne 1. července 2004, které zřizuje veřejný rejstřík souborů osobních údajů, a nařízením ze dne 9. června 2010, které schvaluje předpisy andorrské agentury pro ochranu údajů. Druhý dokument upřesňuje mnoho otázek, které si pracovní skupina, zřízená podle čl. 29 směrnice 95/46/ES, kladla ve svém stanovisku ze dne 1. prosince 2009 (2) ohledně ochrany jednotlivců, pokud jde o zpracování osobních údajů.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Andorra ratifikovala Úmluvu Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat ze dne 28. ledna 1981, dodatkový protokol k Úmluvě o ochraně osob se zřetelem na automatizované zpracování osobních údajů, o orgánech dozoru a toku údajů přes hranice ze dne 8. listopadu 2001, dále Úmluvu o ochraně lidských práv a základních svobod Rady Evropy ze dne 4. listopadu 1950 (v Andorrském knížectví vstoupila v platnost 22. ledna 1996) a Pakt o občanských a politických právech ze dne 16. prosince 1966 (v Andorrském knížectví platný od 19. července 2006).
(10)
Právní normy pro ochranu osobních údajů platné v Andorrském knížectví upravují všechny základní zásady nezbytné pro zajištění odpovídající úrovně práv fyzických osob a zároveň stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Používání těchto právních norem pro ochranu osobních údajů je zaručeno prostřednictvím správních a soudních opravných prostředků a nezávislého dohledu, který provádí orgán dozoru (andorrská agentura pro ochranu údajů), jenž je pověřený vyšetřovacími pravomocemi a pravomocemi zasáhnout a jedná zcela nezávisle.
(11)
Andorrské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu andorrského práva a poskytly záruky ohledně provádění andorrských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Andorru je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (3). V uvedeném kladném stanovisku pracovní skupina podpořila andorrské orgány v probíhajícím procesu přijímání dalších ustanovení, která rozšíří uplatňování andorrských právních předpisů na automatizovaná individuální rozhodnutí, jelikož tento prvek není v současnosti výslovně uznán andorrským zákonem o ochraně osobních údajů.
(15)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Andorra považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
Článek 2
Toto rozhodnutí se vztahuje na odpovídající úroveň ochrany zajišťovanou v Andorrském knížectví s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Andorrském knížectví s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný orgán Andorry zjistí, že příjemce nedodržuje normy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany; pokud se lze důvodně domnívat, že příslušný orgán Andorry včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení sporné věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené v Andorrském knížectví a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými, zajištěním dodržování norem ochrany v Andorrském knížectví, nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Andorrském knížectví, neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Andorrského knížectví a bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Andorrském knížectví odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do 1. ledna 2011.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 19. října 2010.
DECISÃO DA COMISSÃO
de 19 de Outubro de 2010
nos termos da Directiva 95/46/CE do Parlamento Europeu e do Conselho relativa à adequação do nível de protecção de dados pessoais em Andorra
[notificada com o número C(2010) 7084]
(Texto relevante para efeitos do EEE)
(2010/625/UE)
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), nomeadamente o artigo 25.o, n.o 6,
Após consulta da Autoridade Europeia para a Protecção de Dados,
Considerando o seguinte:
(1)
Nos termos da Directiva 95/46/CE, os Estados-Membros devem garantir que a transferência de dados pessoais para um país terceiro só pode realizar-se se este país assegurar um nível de protecção adequado e a legislação dos Estados-Membros que transpõem outras disposições da directiva tiver sido respeitada antes de efectuada a transferência.
(2)
A Comissão pode determinar que um país terceiro garante um nível de protecção adequado. Nesse caso, podem ser transferidos dados pessoais a partir dos Estados-Membros sem necessidade de garantias adicionais.
(3)
Nos termos da Directiva 95/46/CE, a adequação do nível de protecção de dados deve ser apreciada em função de todas as circunstâncias que envolvem a operação ou o conjunto de operações de transferência de dados, atendendo particularmente a determinados elementos pertinentes para a transferência enumerados no artigo 25.o da referida directiva.
(4)
Uma vez que existem diferentes níveis de protecção consoante os países terceiros, a adequação deve ser apreciada e quaisquer decisões com base no artigo 25.o, n.o 6, da Directiva 95/46/CE devem ser tomadas e aplicadas de forma que não se verifique uma discriminação arbitrária ou injustificada contra ou entre países terceiros onde prevaleçam condições semelhantes, nem constitua um obstáculo dissimulado ao comércio, tendo em conta os actuais compromissos internacionais assumidos pela União Europeia.
(5)
Andorra é um Estado com um sistema de co-principado parlamentar, sendo os cargos de co-príncipes exercidos pelo presidente da República Francesa e pelo arcebispo de Urgel.
(6)
O direito ao respeito da privacidade está consagrado no artigo 14.o da Constituição do Principado de Andorra (Constitució del Principat d’Andorra), aprovada por referendo popular em 14 de Março de 1993.
(7)
As normas jurídicas relativas à protecção de dados pessoais em Andorra têm principalmente por base as normas previstas na Directiva 95/46/CE e estão estabelecidas na Lei n.o 15/2003, de 18 de Dezembro, relativa à protecção de dados pessoais (Llei qualificada de protecció de dades personals - LQPDP). Esta legislação em matéria de protecção de dados é completada pelo Decreto de 1 de Julho de 2004, que estabelece o Registo Público de Ficheiros de Dados Pessoais, e pelo Decreto de 9 de Junho de 2010, que aprova a regulamentação da Agência de Protecção de Dados de Andorra. Este último instrumento clarifica várias questões suscitadas pelo grupo de trabalho sobre a protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, instituído nos termos do artigo 29.o da Directiva 95/46/CE, no parecer que emitiu em 1 de Dezembro de 2009 (2).
(8)
As disposições relativas à protecção de dados também figuram em vários instrumentos jurídicos que regulam diferentes domínios, nomeadamente a legislação do sector financeiro, os regulamentos no domínio da saúde e os registos públicos.
(9)
Andorra ratificou a Convenção do Conselho da Europa, de 28 de Janeiro de 1981, para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, e o Protocolo Adicional à Convenção para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, respeitante às Autoridades de Controlo e aos Fluxos Transfronteiriços de Dados, de 8 de Novembro de 2001, bem como a Convenção do Conselho da Europa para a Protecção dos Direitos do Homem e das Liberdades Fundamentais, de 4 de Novembro de 1950, em vigor em Andorra desde 22 de Janeiro de 1996, e o Pacto Internacional sobre os Direitos Civis e Políticos, de 16 de Dezembro de 1966, em vigor em Andorra desde 19 de Julho de 2006.
(10)
As normas jurídicas relativas à protecção de dados aplicáveis em Andorra cobrem todos os princípios básicos necessários para assegurar um nível adequado de protecção das pessoas singulares e prevêem também excepções e limitações de modo a salvaguardar interesses públicos importantes. A aplicação dessas normas jurídicas relativas à protecção de dados é garantida pela possibilidade de recurso administrativo e judicial e pelo controlo independente exercido pela autoridade de supervisão, a Agência de Protecção de Dados de Andorra, dotada de poderes de investigação e intervenção e que actua com plena independência.
(11)
As autoridades de protecção de dados apresentaram explicações e deram garantias sobre o modo como a legislação de Andorra é interpretada, tendo assegurado que a legislação relativa à protecção de dados é aplicada de acordo com essa interpretação. A presente decisão tem em conta essas explicações e garantias e, consequentemente, está por elas condicionada.
(12)
Deve considerar-se, portanto, que Andorra assegura um nível adequado de protecção dos dados pessoais na acepção da Directiva 95/46/CE.
(13)
Com uma preocupação de transparência e para salvaguardar a capacidade de as autoridades competentes dos Estados-Membros assegurarem a protecção das pessoas no que diz respeito ao tratamento dos seus dados pessoais, é necessário precisar as circunstâncias excepcionais que poderão justificar a suspensão de transferências concretas de dados, apesar de verificado o nível de protecção adequado.
(14)
O grupo de trabalho sobre a protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, instituído nos termos do artigo 29.o da Directiva 95/46/CE, emitiu um parecer favorável sobre a adequação do nível de protecção dos dados pessoais, que foi tido em conta na preparação da presente decisão (3). No parecer favorável que emitiu, o grupo de trabalho incentivou as autoridades de Andorra a prosseguirem o processo em curso de adopção de novas disposições visando alargar a aplicação da legislação de Andorra às decisões individuais automatizadas, uma vez que neste momento tal não é expressamente reconhecido pela LQPDP relativa à protecção dos dados pessoais.
(15)
As medidas previstas pela presente decisão estão em conformidade com o parecer do Comité instituído pelo artigo 31.o, n.o 1, da Directiva 95/46/CE,
ADOPTOU A PRESENTE DECISÃO:
Artigo 1.o
Para efeitos do artigo 25.o, n.o 2, da Directiva 95/46/CE, considera-se que Andorra assegura um nível adequado de protecção dos dados pessoais transferidos a partir da União Europeia.
Artigo 2.o
A presente decisão diz respeito à adequação do nível de protecção assegurado em Andorra, tendo em vista o cumprimento do disposto no artigo 25.o, n.o 1, da Directiva 95/46/CE, e não afecta as condições ou restrições que transponham outras disposições da referida directiva, no que se refere ao tratamento de dados pessoais nos Estados-Membros.
Artigo 3.o
1. Sem prejuízo das competências que lhes permitem agir para assegurar o respeito das disposições nacionais adoptadas em conformidade com medidas diferentes das enunciadas no artigo 25.o da Directiva 95/46/CE, as autoridades competentes dos Estados-Membros podem exercer as actuais competências para suspender a transferência de dados para um destinatário em Andorra, por forma a assegurar a protecção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais, sempre que:
a)
Uma autoridade competente de Andorra verifique que o destinatário desrespeita as normas de protecção aplicáveis; ou
b)
Existam fortes probabilidades de as normas de protecção não estarem a ser cumpridas, existam motivos suficientes para crer que a autoridade competente de Andorra não toma ou não tomará as decisões adequadas na altura devida para resolver o caso em questão e a continuação da transferência dos dados possa representar um risco iminente de graves prejuízos para as pessoas em causa, embora as autoridades competentes nos Estados-Membros tenham envidado esforços razoáveis, dadas as circunstâncias, para facultar à organização responsável pelo tratamento estabelecida em Andorra a informação e oportunidade de resposta.
2. A suspensão cessará assim que o respeito das normas de protecção estiver assegurado e as autoridades competentes dos Estados-Membros em causa sejam disso informadas.
Artigo 4.o
1. Os Estados-Membros devem informar imediatamente a Comissão da adopção de medidas nos termos do artigo 3.o
2. Os Estados-Membros e a Comissão devem manter-se mutuamente informados relativamente aos casos em que os organismos responsáveis pelo cumprimento das normas de protecção em Andorra não garantam esse mesmo cumprimento.
3. Se a informação recolhida ao abrigo do artigo 3.o e dos n.os 1 e 2 do presente artigo revelar que os organismos responsáveis pelo cumprimento das normas de protecção em Andorra não desempenham eficazmente as suas funções, a Comissão deve informar a autoridade competente de Andorra e, se necessário, apresentar um projecto de medidas de acordo com o procedimento referido no artigo 31.o, n.o 2, da Directiva 95/46/CE, para revogar ou suspender a presente decisão ou limitar o seu âmbito de aplicação.
Artigo 5.o
A Comissão acompanhará a aplicação da presente decisão e informará o Comité instituído pelo artigo 31.o da Directiva 95/46/CE de todas as conclusões pertinentes, nomeadamente de todas as provas que possam afectar a avaliação da adequação do nível de protecção assegurado por Andorra relativamente ao disposto no artigo 1.o da presente decisão, nos termos do artigo 25.o da Directiva 95/46/CE, e de todas as provas de aplicação discriminatória da presente decisão.
Artigo 6.o
Os Estados-Membros tomam todas as medidas necessárias para dar cumprimento à presente decisão até 1 de Janeiro de 2011.
Artigo 7.o
Os Estados-Membros são os destinatários da presente decisão.
Feito em Bruxelas, em 19 de Outubro de 2010.