KOMMISSIONENS AFGØRELSE
af 19. oktober 2010
om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Andorra i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF
(meddelt under nummer K(2010) 7084)
(EØS-relevant tekst)
(2010/625/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse, og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der videregives personoplysninger fra medlemsstaterne, uden at yderligere garantier er påkrævet.
(3)
Vurderingen af, om beskyttelsesniveauet for personoplysninger er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger og under hensyntagen til en række faktorer som anført i direktivets artikel 25, der er relevante for den pågældende videregivelse.
(4)
Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og vedtagelsen og gennemførelsen af enhver afgørelse i henhold til artikel 25, stk. 6, i direktiv 95/46/EF skal på grund af tredjelandenes forskellige opfattelser af begrebet beskyttelse af personoplysninger foretages ud fra en række kriterier, der skal sikre, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor lignende forhold gør sig gældende, eller skabes skjulte handelshindringer under hensyntagen til Den Europæiske Unions nuværende internationale forpligtelser.
(5)
Andorras politiske styreform er et parlamentarisk fyrstendømme, som styres af to medfyrster, hvoraf den ene er den franske præsident og den anden ærkebiskoppen af Urgell.
(6)
Privatlivets fred beskyttes ved artikel 14 i Fyrstendømmet Andorras forfatning (Constitució del Principat d'Andorra), som blev godkendt ved en folkeafstemning den 14. marts 1993.
(7)
Retsreglerne om beskyttelse af personoplysninger i Andorra bygger i hovedsagen på normerne i direktiv 95/46/EF og er nedfældet i organisk lov 15/2003 (llei qualificada de protecció de dades personals) af 18. december 2003 om beskyttelse af personoplysninger (LQPDP). Disse retsregler om databeskyttelse suppleres ved dekret af 1. juli 2004, hvorved der oprettes et offentligt register for optagelse af personoplysningsakter, og ved dekret af 9. juni 2010 om godkendelse af reglerne for det andorranske databeskyttelsesorgan. Takket være sidstnævnte instrument er der sket en afklaring af flere spørgsmål vedrørende beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, som den ved artikel 29 i direktiv 95/46/EF nedsatte gruppe rejste i sin udtalelse af 1. december 2009 (2).
(8)
Bestemmelserne om databeskyttelse er også indeholdt i en række retlige instrumenter, der regulerer forskellige sektorer, herunder finanssektoren, sundhedssektoren og offentlige registre.
(9)
Andorra har ratificeret Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med automatisk databehandling af personoplysninger, tillægsprotokollen af 8. november 2001 til konventionen om beskyttelse af det enkelte menneske i forbindelse med databehandling af personoplysninger, om tilsynsmyndigheder og grænseoverskridende dataudveksling, Europarådets konvention af 4. november 1950 til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, som har været i kraft i Andorra siden den 22. januar 1996, og konventionen af 16. december 1966 om borgerlige og politiske rettigheder, som har været i kraft i Andorra siden den 19. juli 2006.
(10)
Databeskyttelsesnormerne i henhold til loven i Andorra omfatter alle de grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, og de indeholder desuden en række undtagelser og begrænsninger med henblik på at beskytte vigtige offentlige interesser. Anvendelsen af disse databeskyttelsesnormer sikres gennem adgangen til domstolsprøvelse og administrative klagemuligheder og ved den uafhængige kontrol, der foretages af tilsynsmyndigheden, det andorranske databeskyttelsesorgan, som har både undersøgelses- og interventionsbeføjelser, og som fungerer i fuld uafhængighed.
(11)
De andorranske databeskyttelsesmyndigheder har givet forklaringer og forsikringer med hensyn til fortolkningen af den andorranske lovgivning og har forsikret, at de andorranske bestemmelser om databeskyttelse anvendes i overensstemmelse med denne fortolkning. Nærværende afgørelse tager udgangspunkt i disse forklaringer og forsikringer og tager derfor også forbehold for disse.
(12)
Andorra bør derfor anses for at være i stand til at sikre et tilstrækkeligt databeskyttelsesniveau i henhold til direktiv 95/46/EF.
(13)
Af hensyn til åbenheden og for at sikre medlemsstaternes kompetente myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger, selv om det er blevet fastslået, at beskyttelsen er tilstrækkelig.
(14)
Gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet positiv udtalelse om tilstrækkeligheden af beskyttelsesniveauet, som er taget i betragtning ved udarbejdelsen af denne afgørelse (3). I sin udtalelse har gruppen opfordret de andorranske myndigheder til løbende at vedtage yderligere bestemmelser, som kan bidrage til at udvide anvendelsen af den andorranske lovgivning til elektroniske individuelle afgørelser, da dette i øjeblikket ikke udtrykkeligt anerkendes i den andorranske organiske lov om beskyttelse af personoplysninger.
(15)
De i denne afgørelse fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31, stk. 1, i direktiv 95/46/EF -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
For så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF, anses Andorra for at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der videregives fra Den Europæiske Union.
Artikel 2
Denne afgørelse vedrører spørgsmålet om, hvorvidt Andorra sikrer tilstrækkelig beskyttelse med hensyn til opfyldelse af kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og den berører ikke andre betingelser eller begrænsninger i forbindelse med gennemførelsen af andre bestemmelser i direktivet, der vedrører behandlingen af personoplysninger i medlemsstaterne.
Artikel 3
1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overensstemmelse med nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere den fortsatte videregivelse af oplysninger til en modtager i Andorra for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger,
a)
når en kompetent myndighed i Andorra fastslår, at den pågældende modtager overtræder de gældende beskyttelsesnormer, eller
b)
når der er væsentlig sandsynlighed for, at beskyttelsesnormerne overtrædes, når der er grund til at antage, at den kompetente myndighed i Andorra ikke tager eller ikke agter at tage passende og rettidige skridt for at afgøre forholdet, når en fortsat videregivelse af personoplysninger vil kunne skabe overhængende risiko for alvorlig skade for de registrerede, og de kompetente myndigheder i medlemsstaterne forholdene taget i betragtning på passende vis har forsøgt at underrette den ansvarlige for behandlingen i Andorra og give vedkommende mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesnormerne overholdes, og den kompetente myndighed i de pågældende medlemsstater underrettes herom.
Artikel 4
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 3.
2. Medlemsstaterne og Kommissionen underretter hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af beskyttelsesnormerne i Andorra, ikke sikrer denne overholdelse.
3. Hvis det ifølge de oplysninger, der fremkommer i medfør af artikel 3 og artikel 4, stk. 1 og 2, kan godtgøres, at et organ, der har ansvaret for at sikre, at beskyttelsesnormerne i Andorra overholdes, ikke udfører sin opgave effektivt, underretter Kommissionen den kompetente myndighed i Andorra herom og forelægger om nødvendigt et udkast til foranstaltninger efter proceduren i artikel 31, stk. 2, i direktiv 95/46/EF med henblik på at ophæve eller suspendere denne afgørelse eller begrænse dens anvendelsesområde.
Artikel 5
Kommissionen foretager en evaluering af anvendelsen af denne afgørelse og fremsender enhver relevant konstatering til det udvalg, der er nedsat i henhold til artikel 31 i direktiv 95/46/EF, herunder ethvert forhold, der kan påvirke den vurdering, der foretages i henhold til artikel 1 i denne afgørelse, om, at beskyttelsen i Andorra er tilstrækkelig efter artikel 25 i direktiv 95/46/EF, og ethvert forhold, der viser, at afgørelsen gennemføres på diskriminerende måde.
Artikel 6
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne afgørelse senest den 1. januar 2011.
Artikel 7
Denne afgørelse er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 19. oktober 2010.
DECISIONE DELLA COMMISSIONE
del 19 ottobre 2010
ai sensi della direttiva 95/46/CE del Parlamento europeo e del Consiglio sull’adeguata protezione dei dati personali ad Andorra
[notificata con il numero C(2010) 7084]
(Testo rilevante ai fini del SEE)
(2010/625/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l’articolo 25, paragrafo 6,
sentito il Garante europeo della protezione dei dati,
considerando quanto segue:
(1)
Ai sensi della direttiva 95/46/CE, gli Stati membri devono far sì che il trasferimento di dati personali a un paese terzo abbia luogo solo se il paese in questione garantisce adeguati livelli di protezione e dopo aver accertato, prima del trasferimento, che siano osservate le norme degli Stati membri che attuano altre disposizioni della direttiva.
(2)
La Commissione può constatare che un paese terzo garantisce adeguati livelli di tutela. In tal caso, gli Stati membri possono trasferirvi dati personali senza la necessità di ulteriori garanzie.
(3)
Secondo la direttiva 95/46/CE il livello di protezione dei dati va accertato alla luce di tutte le circostanze che accompagnano l’operazione, o le operazioni, di trasferimento dei dati, dando particolare rilievo agli elementi del trasferimento di cui all’articolo 25 della direttiva.
(4)
Data la diversità dei sistemi di protezione dei dati nei paesi terzi, la valutazione dell’adeguatezza va effettuata, e ogni decisione ai sensi dell’articolo 25, paragrafo 6, della direttiva 95/46/CE va presa e applicata, senza discriminazioni ingiustificate o arbitrarie contro o tra paesi terzi in cui esistono condizioni simili e senza creare ostacoli mascherati al libero scambio, nel rispetto degli attuali impegni internazionali assunti dall’Unione europea.
(5)
Andorra è uno Stato dotato di un sistema di coprincipato parlamentare, in cui le funzioni dei coprincipi sono esercitate dal presidente della Repubblica francese e dall’arcivescovo di Urgell.
(6)
Il diritto alla riservatezza è sancito dall’articolo 14 della costituzione del Principato di Andorra (Constitució del Principat d’Andorra), approvata dal referendum popolare del 14 marzo 1993.
(7)
Ad Andorra, le norme giuridiche a tutela dei dati personali sono ampiamente basate sulle disposizioni della direttiva 95/46/CE e sono iscritte nella legge qualificata n. 15/2003 del 18 dicembre sulla protezione dei dati personali (Llei qualificada de protecció de dades personals, LQPDP). Questa normativa in materia di protezione dei dati personali è completata dal decreto del 1o luglio 2004, che adotta il registro pubblico degli archivi di dati personali, e dal decreto del 9 giugno 2010, che adotta il regolamento dell’Agenzia andorrana per la protezione dei dati. Quest’ultimo strumento chiarisce diverse questioni sollevate, nel suo parere del 1o dicembre 2009, dal gruppo di lavoro sulla tutela delle persone con riguardo al trattamento dei dati personali, istituito dall’articolo 29 della direttiva 95/46/CE (2).
(8)
Disposizioni relative alla protezione dei dati figurano anche in numerosi strumenti giuridici che disciplinano diversi settori, quali la legislazione del settore finanziario, la normativa sanitaria e i registri pubblici.
(9)
Andorra ha ratificato la Convenzione del Consiglio d’Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, del 28 gennaio 1981, e il Protocollo addizionale alla Convenzione sulla protezione delle persone rispetto al trattamento automatizzato dei dati a carattere personale, concernente le autorità di controllo ed i flussi transfrontalieri, dell’8 novembre 2001, nonché la Convenzione del Consiglio d’Europa per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali del 4 novembre 1950, in vigore ad Andorra dal 22 gennaio 1996, e il Patto internazionale relativo ai diritti civili e politici del 16 dicembre 1966, in vigore ad Andorra dal 19 luglio 2006.
(10)
Le norme giuridiche applicabili ad Andorra in materia di protezione dei dati contengono tutti i principi di un adeguato livello di tutela delle persone fisiche e prevedono eccezioni e restrizioni al fine di salvaguardare importanti interessi pubblici. L’applicazione di tali norme è garantita da mezzi di ricorso amministrativi e giurisdizionali e dal controllo indipendente esercitato dall’autorità di controllo, l’Agenzia andorrana per la protezione dei dati, dotata di poteri d’indagine e d’intervento e che opera in piena indipendenza.
(11)
Le autorità andorrane competenti per la protezione dei dati hanno fornito spiegazioni e garanzie relative all’interpretazione della legislazione di Andorra e hanno assicurato che la legislazione in materia di protezione dei dati è applicata conformemente a tale interpretazione. La presente decisione tiene conto di tali spiegazioni e garanzie, dalle quali di conseguenza dipende.
(12)
Si ritiene pertanto che Andorra fornisca adeguati livelli di protezione dei dati personali ai sensi della direttiva 95/46/CE.
(13)
Per salvaguardare la trasparenza e la capacità delle competenti autorità degli Stati membri di garantire la tutela delle persone riguardo al trattamento dei dati personali di queste ultime, vanno precisate le circostanze eccezionali che giustificano la sospensione di particolari flussi di dati, nonostante l’esistenza di un’adeguata tutela.
(14)
Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha espresso un parere favorevole sul livello di adeguatezza della protezione dei dati personali, di cui si è tenuto conto nella stesura della presente decisione (3). In tale parere, il gruppo ha incoraggiato le autorità andorrane a portare avanti il processo di adozione di ulteriori disposizioni che estendano l’applicazione della legislazione di Andorra alle decisioni individuali automatizzate, che attualmente non sono contemplate esplicitamente dalla legge qualificata di Andorra sulla protezione dei dati personali.
(15)
Le misure previste dalla presente decisione sono conformi al parere del comitato istituito ai sensi dell’articolo 31, paragrafo 1, della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Per le finalità di cui all’articolo 25, paragrafo 2, della direttiva 95/46/CE, si ritiene che Andorra fornisca un adeguato livello di protezione dei dati personali trasferiti dall’Unione europea.
Articolo 2
La presente decisione riguarda l’adeguatezza della protezione fornita ad Andorra al fine di soddisfare i requisiti di cui all’articolo 25, paragrafo 1, della direttiva 95/46/CE e non produce alcun effetto su altre condizioni o restrizioni conseguenti all’attuazione di altre disposizioni della direttiva riguardanti il trattamento dei dati personali all’interno degli Stati membri.
Articolo 3
1. Fatti salvi i poteri di intervento al fine di garantire il rispetto dei provvedimenti nazionali adottati in applicazione di disposizioni diverse dall’articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri hanno facoltà di sospendere i trasferimenti di dati verso destinatari ad Andorra al fine di tutelare i cittadini nell’ambito del trattamento dei loro dati personali nei casi in cui:
a)
un’autorità competente andorrana abbia constatato che il destinatario non rispetta le norme applicabili relative alla protezione; oppure
b)
sia fortemente probabile una violazione delle norme di protezione; vi siano motivi ragionevoli di ritenere che le autorità competenti andorrane non adottino o non intendano adottare misure adeguate e tempestive per risolvere il caso in questione; la continuazione del trasferimento dei dati comporti un rischio imminente di grave pregiudizio per le persone interessate e le autorità competenti degli Stati membri abbiano fatto il possibile, date le circostanze, per avvertire il responsabile del trattamento ad Andorra e dargli la possibilità di replicare.
2. La sospensione cessa non appena sia garantito il rispetto delle norme di protezione e ne sia informata l’autorità competente dello Stato membro interessato.
Articolo 4
1. Gli Stati membri informano immediatamente la Commissione dell’adozione di provvedimenti ai sensi dell’articolo 3.
2. Gli Stati membri e la Commissione si informano reciprocamente dei casi in cui l’azione degli organismi andorrani responsabili per il rispetto delle norme di protezione non sia sufficiente a garantire tale rispetto.
3. Ove risulti provato, dalle informazioni di cui all’articolo 3 e ai paragrafi 1 e 2 del presente articolo, che gli organismi andorrani incaricati di garantire il rispetto delle norme di protezione non svolgono la loro funzione in modo efficace, la Commissione avverte le autorità andorrane competenti e, se necessario, presenta progetti di misure, con la procedura di cui all’articolo 31, paragrafo 2, della direttiva 95/46/CE, al fine di abrogare o sospendere la presente decisione o di limitarne il campo d’applicazione.
Articolo 5
La Commissione verifica l’applicazione della presente decisione e comunica qualsiasi informazione utile al comitato istituito dall’articolo 31 della direttiva 95/46/CE, in particolare ogni elemento rilevante ai fini della valutazione di cui all’articolo 1 della presente decisione, circa l’adeguatezza della protezione ad Andorra ai sensi dell’articolo 25 della direttiva 95/46/CE e ogni elemento che dimostri che la presente decisione è applicata in modo discriminatorio.
Articolo 6
Gli Stati membri adottano le misure necessarie per conformarsi alla presente decisione entro il 1o gennaio 2011.
Articolo 7
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 19 ottobre 2010.