KOMMISSIONENS AFGØRELSE
af 31. januar 2011
i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om, hvorvidt staten Israel yder en tilstrækkelig beskyttelse af personoplysninger i forbindelse med automatisk behandling af personoplysninger
(meddelt under nummer K(2011) 332)
(EØS-relevant tekst)
(2011/61/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse, og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der videregives personoplysninger fra medlemsstaterne, uden at yderligere garantier er påkrævet.
(3)
Vurderingen af, om beskyttelsesniveauet for personoplysninger er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger og under hensyntagen til en række faktorer som anført i direktivets artikel 25, der er relevante for den pågældende videregivelse.
(4)
Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og vedtagelsen og gennemførelsen af afgørelser i henhold til artikel 25, stk. 6, i direktiv 95/46/EF skal på grund af tredjelandenes forskellige opfattelser af begrebet beskyttelse af personoplysninger foretages ud fra en række kriterier, der skal sikre, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor lignende forhold gør sig gældende, eller skabes skjulte handelshindringer under hensyntagen til Den Europæiske Unions nuværende internationale forpligtelser.
(5)
Staten Israels retssystem bygger ikke på nogen skriftlig forfatning, men staten Israels højesteret har givet visse »grundlæggende love« forfatningsstatus. Disse »grundlæggende love suppleres af en omfattende retspraksis, idet det israelske retssystem i vidt omfang bygger på »common law««-princippet. Retten til privatlivets fred er nedfældet i den grundlæggende lovs artikel 7 om menneskets værdighed og frihed.
(6)
Staten Israels retsregler for beskyttelse af personoplysninger, der i bredt omfang bygger på de retsregler, der er fastlagt i direktiv 95/45/EF, er fastsat i lov om beskyttelse af privatlivets fred 5741-1981, der senest er blevet ændret i 2007, idet der blev fastlagt nye krav til behandling af personoplysninger, og den detaljerede opbygning af tilsynsmyndighed blev fastsat.
(7)
Den pågældende databeskyttelseslovgivning er blevet yderligere suppleret med bekendtgørelsen om gennemførelse af lov om beskyttelse af privatlivets fred 5741-1981 og bekendtgørelsen om tilsynsmyndighedens oprettelse og funktionsmåde; de bygger i vid udstrækning på anbefalingerne i den rapport (Schoffman-rapporten), som blev udarbejdet for justitsministeriet af udvalget for undersøgelse af lovgivningen vedrørende databaser.
(8)
Der indgår også databeskyttelsesbestemmelser i en række retsforskrifter, der tjener til regulering af forskellige sektorer, såsom lovgivningen for finanssektoren, samt bestemmelserne for sundhedsområdet og offentlige registre.
(9)
De gældende retsregler om databeskyttelse i staten Israel dækker alle de grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer med hensyn til behandlingen af personoplysninger i automatiserede databaser. Kapitel 2 i lov om beskyttelse af privatlivets fred 5741-1981, hvori principperne for behandling af personoplysninger er fastlagt, gælder ikke for behandling af personoplysninger i ikke-automatiserede databaser (manuelle databaser).
(10)
Anvendelsen af retsreglerne om databeskyttelse er garanteret ved administrative og retlige midler og ved et uafhængigt tilsyn; dette varetages af tilsynsmyndigheden Israeli Law, Information and Technology Authority (ILITA), der er bemyndiget til at foretage undersøgelser og indgreb; myndigheden handler som uafhængig instans.
(11)
De israelske databeskyttelsesmyndigheder har afgivet forklaringer og forsikringer med hensyn til fortolkningen af den israelske lovgivning, og har meddelt, at de israelske bestemmelser om databeskyttelse anvendes i overensstemmelse med denne fortolkning. Nærværende afgørelse tager udgangspunkt i disse forklaringer og forsikringer og er derfor også betinget af disses overholdelse.
(12)
Staten Israel bør derfor anses som et land, der kan sikre et tilstrækkeligt højt databeskyttelsesniveau i henhold til direktiv 95/46/EF med hensyn til automatiske internationale overførsler af personoplysninger fra EU til staten Israel; dette gælder også i tilfælde af ikke-automatiske overførsler, når oplysningerne er genstand for videre automatisk behandling i staten Israel. Afgørelsen dækker derimod ikke internationale overførsler af personoplysninger fra EU til staten Israel, hvor nævnte overførsel og den efterfølgende behandling af oplysningerne udelukkende sker på ikke-automatisk måde.
(13)
Af hensyn til åbenheden og for at sikre medlemsstaternes ansvarlige myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger uanset konstateringen af, at beskyttelsen er tilstrækkelig.
(14)
I forbindelse med vurderingen af beskyttelsens tilstrækkelighed, der er omhandlet i denne afgørelse, henvises der til staten Israel som defineret i international ret. Yderligere videregivelse til en modtager uden for staten Israel som defineret i international ret bør betragtes som overførsel af personoplysninger til et tredjeland.
(15)
Arbejdsgruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet positiv udtalelse om, at beskyttelsesniveauet er tilstrækkeligt for så vidt angår automatiske internationale overførsler af personoplysninger fra EU; dette gælder også for så vidt angår ikke-automatiske overførsler af oplysninger, der er genstand for efterfølgende automatisk behandling i staten Israel. Arbejdsgruppen tilskynder i udtalelsen de israelske myndigheder til at vedtage yderligere bestemmelser med det formål at inddrage manuelle databaser i den israelske lovgivning, at fastslå eksplicit, at proportionalitetsprincippet finder anvendelse i forbindelse med behandling af personoplysninger i den private sektor, og at sikre, at undtagelserne i de internationale overførsler af oplysninger fortolkes i overensstemmelse med kriterierne i »Arbejdsdokument om en ensartet fortolkning af artikel 26, stk. 1, i direktiv 95/46/EF« (2). Ved udarbejdelsen af nærværende afgørelse (3) er der taget hensyn til nævnte udtalelse.
(16)
Det udvalg, der er nedsat ved artikel 31, stk. 1, i direktiv 95/46/EF, afgav ikke udtalelse inden for den frist, som formanden havde fastsat -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
1. For så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF, anses staten Israel for at være et land, der sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der videregives fra Den Europæiske Union, for så vidt angår automatiske internationale overførsler af personoplysninger fra EU til staten Israel; dette gælder også for så vidt angår ikke-automatiske overførsler af oplysninger, der er genstand for efterfølgende automatisk behandling i staten Israel.
2. Den tilsynsmyndighed, der i staten Israel har ansvaret for anvendelsen af retsreglerne om databeskyttelse i staten Israel, er »Israeli Law, Information and Technology Authority (ILITA)«, som der henvises til i bilaget til denne afgørelse.
Artikel 2
1. Denne afgørelse vedrører kun spørgsmålet om, hvorvidt staten Israel som defineret i international ret sikrer en tilstrækkelig beskyttelse med hensyn til opfyldelsen af kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og den berører ikke andre betingelser eller begrænsninger i forbindelse med gennemførelsen af andre bestemmelser i direktivet, der vedrører behandlingen af personoplysninger i medlemsstaterne.
2. Denne afgørelse anvendes i overensstemmelse med international ret. Afgørelsen berører ikke statussen for Golan-højderne, Gaza-striben og Vestbredden, herunder Østjerusalem, i henhold til international ret.
Artikel 3
1. De ansvarlige myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger til sikring af overholdelsen af nationale bestemmelser, der vedtages i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere overførsler af oplysninger til en modtager i staten Israel for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger,
a)
når en ansvarlig israelsk myndighed fastslår, at den pågældende modtager overtræder de gældende beskyttelsesprincipper, eller
b)
når der er væsentlig sandsynlighed for, at beskyttelsesnormerne overtrædes; når der er grund til at antage, at den ansvarlige israelske myndighed ikke tager eller ikke agter at tage passende og rettidige skridt for at bringe forholdet i orden; når en videre overførsel af personoplysninger vil kunne skabe overhængende risiko for alvorlig skade for de registrerede; og når de ansvarlige myndigheder i medlemsstaterne, forholdene taget i betragtning, på passende vis har søgt at underrette den person, der er ansvarlig for behandlingen af oplysningerne i staten Israel, og give vedkommende mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesprincipperne overholdes, og den ansvarlige myndighed i de berørte medlemsstater underrettes herom.
Artikel 4
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 3.
2. Medlemsstaterne og Kommissionen underretter hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af beskyttelsesnormerne i staten Israel, ikke sikrer overholdelsen heraf.
3. Fremgår det af de oplysninger, der indhentes i medfør af artikel 3, og stk. 1og 2 i denne artikel, at et organ, der har ansvaret for at sikre, at beskyttelsesnormerne i staten Israel overholdes, ikke varetager sin opgave korrekt, underretter Kommissionen den ansvarlige israelske myndighed herom og forelægger om nødvendigt et udkast til foranstaltninger på grundlag af proceduren i artikel 31, stk. 2, i direktiv 95/46/EF med henblik på at ophæve eller suspendere nærværende afgørelse eller begrænse dens anvendelsesområde.
Artikel 5
Kommissionen foretager en evaluering af anvendelsen af denne afgørelse og fremsender alt relevant materiale til det udvalg, der er nedsat i henhold til artikel 31 i direktiv 95/46/EF, herunder materiale, der kan påvirke den vurdering, der foretages i henhold til artikel 1 i denne afgørelse, om at beskyttelsen i staten Israel er tilstrækkelig i henhold til artikel 25 i direktiv 95/46/EF, samt materiale, der viser, at afgørelsen gennemføres på diskriminerende måde. Den fører navnlig tilsyn med behandlingen af personoplysninger i manuelle databaser.
Artikel 6
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne afgørelse senest tre måneder efter at have fået meddelelse herom.
Artikel 7
Denne afgørelse er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 31. januar 2011.
DECISIONE DELLA COMMISSIONE
del 31 gennaio 2011
ai sensi della direttiva 95/46/CE del Parlamento europeo e del Consiglio sull’adeguata protezione dei dati personali da parte dello Stato d’Israele in relazione al trattamento automatizzato di tali dati
[notificata con il numero C(2011) 332]
(Testo rilevante ai fini del SEE)
(2011/61/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l’articolo 25, paragrafo 6,
sentito il Garante europeo della protezione dei dati,
considerando quanto segue:
(1)
Ai sensi della direttiva 95/46/CE, gli Stati membri devono far sì che il trasferimento di dati personali a un paese terzo abbia luogo solo se il paese in questione garantisce adeguati livelli di protezione e dopo aver accertato, prima del trasferimento, che siano osservate le norme degli Stati membri che attuano altre disposizioni della direttiva.
(2)
La Commissione può constatare che un paese terzo garantisca adeguati livelli di tutela. In tal caso, gli Stati membri possono trasferirvi dati personali senza la necessità di ulteriori garanzie.
(3)
Secondo la direttiva 95/46/CE è necessario accertare il livello di protezione dei dati alla luce di tutte le circostanze che accompagnano l’operazione, o le operazioni, di trasferimento dei dati, dando particolare rilievo agli elementi del trasferimento di cui all’articolo 25 della direttiva.
(4)
Data la diversità degli approcci alla tutela dei dati nei paesi terzi, è opportuno effettuare la valutazione dell’adeguatezza nonché adottare e applicare ogni decisione ai sensi dell’articolo 25, paragrafo 6, della direttiva 95/46/CE senza discriminazioni ingiustificate o arbitrarie contro o tra paesi terzi in cui esistono condizioni simili e senza creare ostacoli mascherati al libero scambio, nel rispetto degli attuali impegni internazionali assunti dall’Unione europea.
(5)
Anche se l’ordinamento giuridico dello Stato d’Israele non dispone di una costituzione scritta, la Corte suprema dello Stato d’Israele ha attribuito rango costituzionale ad alcune «Leggi fondamentali». A queste si aggiunge un’ampia giurisprudenza, essendo il sistema giuridico di Israele in larga misura modellato sui principi di common law. Il diritto alla riservatezza è sancito alla sezione 7 della «Legge fondamentale sulla dignità umana e la libertà».
(6)
Nello Stato d’Israele, le norme giuridiche a tutela dei dati personali sono ampiamente basate sulle disposizioni della direttiva 95/46/CE e sono iscritte nella legge 5741-1981 sulla protezione della vita privata, modificata da ultimo nel 2007 al fine di stabilire nuovi criteri per il trattamento dei dati personali e predisporre l’organizzazione dettagliata dell’autorità di controllo.
(7)
Detta legislazione in materia di protezione dei dati è inoltre completata da decisioni governative concernenti l’attuazione della legge 5741-1981 sulla protezione della vita privata e l’organizzazione e il funzionamento dell’autorità di controllo, basate in gran parte su raccomandazioni formulate nella relazione del Comitato per l’esame della legislazione relativa alle banche dati al ministero della Giustizia (relazione Schoffman).
(8)
Disposizioni relative alla protezione dei dati figurano anche in numerosi strumenti giuridici che disciplinano diversi settori, quali la legislazione del settore finanziario, la normativa sanitaria e i registri pubblici.
(9)
Le norme giuridiche applicabili nello Stato d’Israele in materia di protezione dei dati contengono tutti i principi di un adeguato livello di tutela delle persone fisiche relativamente al trattamento dei dati personali nelle banche dati automatizzate. Il capo 2 della legge 5741-1981 sulla protezione della vita privata, in cui sono contenuti i principi che sottendono al trattamento dei dati personali, non si applica al trattamento di dati personali contenuti in banche dati non automatizzate (banche dati manuali).
(10)
L’applicazione di tali norme è garantita da mezzi di ricorso amministrativi e giurisdizionali e dal controllo indipendente esercitato dall’autorità di controllo, l’autorità israeliana in materia di diritto, informazione e tecnologia (ILITA), dotata di poteri d’indagine e d’intervento e che opera in piena indipendenza.
(11)
Le autorità israeliane competenti per la protezione dei dati hanno fornito spiegazioni e garanzie relative all’interpretazione della legislazione di Israele e hanno assicurato che la legislazione in materia di protezione dei dati è applicata conformemente a tale interpretazione. La presente decisione tiene conto di tali spiegazioni e garanzie, dalle quali di conseguenza dipende.
(12)
È pertanto opportuno considerare che lo Stato d’Israele fornisce adeguati livelli di protezione dei dati personali ai sensi della direttiva 95/46/CE relativamente ai trasferimenti internazionali automatizzati di dati personali dall’Unione europea verso lo Stato d’Israele e, in caso di trasferimenti non automatizzati, ai dati che siano sottoposti a ulteriore trattamento automatizzato nello Stato d’Israele. Per contro, la presente decisione non dovrebbe applicarsi ai trasferimenti internazionali di dati personali dall’UE nello Stato d’Israele qualora il trasferimento e il successivo trattamento dei dati siano effettuati esclusivamente tramite strumenti non automatizzati.
(13)
Per salvaguardare la trasparenza e la capacità delle competenti autorità degli Stati membri di garantire la tutela delle persone riguardo al trattamento dei dati personali di queste ultime, è necessario precisare le circostanze eccezionali che giustificano la sospensione di particolari flussi di dati, nonostante l’esistenza di un’adeguata tutela.
(14)
I riscontri relativi all’adeguatezza riguardanti la presente decisione si riferiscono allo Stato d’Israele, come definito ai sensi del diritto internazionale. I trasferimenti successivi verso un destinatario situato fuori dallo Stato d’Israele, come definito ai sensi del diritto internazionale, dovrebbero essere considerati trasferimenti di dati personali verso un paese terzo.
(15)
Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha espresso un parere favorevole sul livello di adeguatezza della protezione dei dati personali per quanto attiene alla protezione dei dati relativamente ai trasferimenti internazionali automatizzati di dati personali dall’Unione europea e, in caso di trasferimenti non automatizzati, ai dati che siano sottoposti a ulteriore trattamento automatizzato nello Stato d’Israele. In tale parere, il gruppo ha incoraggiato le autorità israeliane ad adottare ulteriori disposizioni che estendano l’applicazione della legislazione dello Stato d’Israele alle banche dati manuali, riconoscano espressamente l’applicazione del principio di proporzionalità al trattamento dei dati personali nel settore privato e interpretino le deroghe nell’ambito dei trasferimenti internazionali di dati conformemente ai criteri fissati nel «Documento di lavoro su un’interpretazione comune dell’articolo 26, paragrafo 1, della direttiva 95/46/CE» (2). Nella preparazione della presente decisione si è tenuto conto del parere del gruppo (3).
(16)
Il comitato istituito ai sensi dell’articolo 31, paragrafo 1, della direttiva 95/46/CE non ha formulato un parere entro il termine stabilito dal suo presidente,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
1. Per le finalità di cui all’articolo 25, paragrafo 2, della direttiva 95/46/CE, si ritiene che lo Stato d’Israele fornisca un adeguato livello di protezione dei dati personali trasferiti dall’Unione europea per quanto attiene ai trasferimenti internazionali automatizzati di dati personali dall’Unione europea e, in caso di trasferimenti non automatizzati, ai dati che siano sottoposti a ulteriore trattamento automatizzato nello Stato d’Israele.
2. L’autorità di controllo israeliana competente per l’applicazione delle norme in materia di protezione dei dati nello Stato d’Israele è la «Israeli Law, Information and Technology Authority (ILITA)» (autorità israeliana competente per il diritto, l’informazione e la tecnologia), di cui all’allegato della presente decisione.
Articolo 2
1. La presente decisione riguarda soltanto l’adeguatezza della protezione fornita nello Stato d’Israele, come definito ai sensi del diritto internazionale, al fine di soddisfare i requisiti di cui all’articolo 25, paragrafo 1, della direttiva 95/46/CE e non produce alcun effetto su altre condizioni o restrizioni conseguenti all’attuazione di altre disposizioni della direttiva riguardanti il trattamento dei dati personali all’interno degli Stati membri.
2. La presente decisione deve essere applicata conformemente al diritto internazionale. Essa non pregiudica lo status delle alture del Golan, della striscia di Gaza, della Cisgiordania e di Gerusalemme est, ai sensi del diritto internazionale.
Articolo 3
1. Fatti salvi i poteri di intervento al fine di garantire il rispetto dei provvedimenti nazionali adottati in applicazione di disposizioni diverse dall’articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri hanno facoltà di sospendere i trasferimenti di dati verso destinatari nello Stato d’Israele al fine di tutelare i cittadini nell’ambito del trattamento dei loro dati personali nei casi in cui:
a)
un’autorità competente israeliana abbia constatato che il destinatario non rispetta le norme applicabili relative alla protezione; oppure
b)
sia fortemente probabile una violazione delle norme di protezione; vi siano motivi ragionevoli di ritenere che le autorità competenti israeliane non adottino o non intendano adottare misure adeguate e tempestive per risolvere il caso in questione; la continuazione del trasferimento dei dati comporti un rischio imminente di grave pregiudizio per le persone interessate e le autorità competenti degli Stati membri abbiano fatto il possibile, date le circostanze, per avvertire il responsabile del trattamento nello Stato d’Israele e dargli la possibilità di replicare.
2. La sospensione cessa non appena sia garantito il rispetto delle norme di protezione e ne sia informata l’autorità competente dello Stato membro interessato.
Articolo 4
1. Gli Stati membri informano immediatamente la Commissione dell’adozione di provvedimenti ai sensi dell’articolo 3.
2. Gli Stati membri e la Commissione si informano reciprocamente dei casi in cui l’azione degli organismi israeliani responsabili per il rispetto delle norme di protezione non sia sufficiente a garantire tale rispetto.
3. Ove risulti provato, dalle informazioni di cui all’articolo 3 e ai paragrafi 1 e 2 del presente articolo, che gli organismi israeliani incaricati di garantire il rispetto delle norme di protezione non svolgono la loro funzione in modo efficace, la Commissione avverte le autorità israeliane competenti e, se necessario, presenta progetti di misure, con la procedura di cui all’articolo 31, paragrafo 2, della direttiva 95/46/CE, al fine di abrogare o sospendere la presente decisione o di limitarne il campo d’applicazione.
Articolo 5
La Commissione verifica l’applicazione della presente decisione e comunica qualsiasi informazione utile al comitato istituito dall’articolo 31 della direttiva 95/46/CE, in particolare ogni elemento rilevante ai fini della valutazione di cui all’articolo 1 della presente decisione, circa l’adeguatezza della protezione nello Stato d’Israele ai sensi dell’articolo 25 della direttiva 95/46/CE e ogni elemento che dimostri che la presente decisione è applicata in modo discriminatorio. Verifica in particolare il trattamento dei dati personali nelle banche dati manuali.
Articolo 6
Gli Stati membri adottano le misure necessarie per conformarsi alla presente decisione entro tre mesi dalla notifica della stessa.
Articolo 7
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 31 gennaio 2011.