ROZHODNUTÍ KOMISE
ze dne 19. října 2010
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů v Andorrském knížectví
(oznámeno pod číslem K(2010) 7084)
(Text s významem pro EHP)
(2010/625/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Andorra je stát se systémem parlamentního spoluknížectví, přičemž funkce spoluknížat zastávají prezident Francouzské republiky a španělský arcibiskup ze Seo de Urgel.
(6)
Právo na soukromí je zakotveno v článku 14 Ústavy Andorrského knížectví (Constitució del Principat d’Andorra) schválené všeobecným referendem ze dne 14. března 1993.
(7)
Právní předpisy upravující ochranu osobních údajů v Andorrském knížectví jsou ve velké míře založené na normách stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně č. 15/2003 ze dne 18. prosince o ochraně osobních údajů (Llei qualificada de protecció de dades personals, LQPDP). Tyto právní předpisy na ochranu údajů jsou dále doplněny nařízením ze dne 1. července 2004, které zřizuje veřejný rejstřík souborů osobních údajů, a nařízením ze dne 9. června 2010, které schvaluje předpisy andorrské agentury pro ochranu údajů. Druhý dokument upřesňuje mnoho otázek, které si pracovní skupina, zřízená podle čl. 29 směrnice 95/46/ES, kladla ve svém stanovisku ze dne 1. prosince 2009 (2) ohledně ochrany jednotlivců, pokud jde o zpracování osobních údajů.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Andorra ratifikovala Úmluvu Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat ze dne 28. ledna 1981, dodatkový protokol k Úmluvě o ochraně osob se zřetelem na automatizované zpracování osobních údajů, o orgánech dozoru a toku údajů přes hranice ze dne 8. listopadu 2001, dále Úmluvu o ochraně lidských práv a základních svobod Rady Evropy ze dne 4. listopadu 1950 (v Andorrském knížectví vstoupila v platnost 22. ledna 1996) a Pakt o občanských a politických právech ze dne 16. prosince 1966 (v Andorrském knížectví platný od 19. července 2006).
(10)
Právní normy pro ochranu osobních údajů platné v Andorrském knížectví upravují všechny základní zásady nezbytné pro zajištění odpovídající úrovně práv fyzických osob a zároveň stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Používání těchto právních norem pro ochranu osobních údajů je zaručeno prostřednictvím správních a soudních opravných prostředků a nezávislého dohledu, který provádí orgán dozoru (andorrská agentura pro ochranu údajů), jenž je pověřený vyšetřovacími pravomocemi a pravomocemi zasáhnout a jedná zcela nezávisle.
(11)
Andorrské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu andorrského práva a poskytly záruky ohledně provádění andorrských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Andorru je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (3). V uvedeném kladném stanovisku pracovní skupina podpořila andorrské orgány v probíhajícím procesu přijímání dalších ustanovení, která rozšíří uplatňování andorrských právních předpisů na automatizovaná individuální rozhodnutí, jelikož tento prvek není v současnosti výslovně uznán andorrským zákonem o ochraně osobních údajů.
(15)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Andorra považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
Článek 2
Toto rozhodnutí se vztahuje na odpovídající úroveň ochrany zajišťovanou v Andorrském knížectví s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Andorrském knížectví s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný orgán Andorry zjistí, že příjemce nedodržuje normy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany; pokud se lze důvodně domnívat, že příslušný orgán Andorry včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení sporné věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené v Andorrském knížectví a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými, zajištěním dodržování norem ochrany v Andorrském knížectví, nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Andorrském knížectví, neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Andorrského knížectví a bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Andorrském knížectví odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do 1. ledna 2011.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 19. října 2010.
ROZHODNUTIE KOMISIE
z 19. októbra 2010
podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranej ochrane osobných údajov v Andorre
[oznámené pod číslom K(2010) 7084]
(Text s významom pre EHP)
(2010/625/EÚ)
EURÓPSKA KOMISIA,
so zreteľom na Zmluvu o fungovaní Európskej únie,
so zreteľom na smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a o voľnom pohybe týchto údajov (1), a najmä na jej článok 25 ods. 6,
po porade s Európskym dozorným úradníkom pre ochranu údajov,
keďže:
(1)
Podľa smernice 95/46/ES sú členské štáty povinné zabezpečiť, aby sa osobné údaje mohli poskytnúť tretej krajine len vtedy, ak príslušná tretia krajina zabezpečí primeraný stupeň ochrany a ak sa pred poskytnutím údajov dodržia zákony členských štátov, ktorými sa vykonávajú iné ustanovenia uvedenej smernice.
(2)
Komisia môže rozhodnúť, že tretia krajina zabezpečuje primeranú úroveň ochrany. V takom prípade môžu členské štáty prenášať osobné údaje bez potreby dodatočných záruk.
(3)
Podľa smernice 95/46/ES by sa úroveň ochrany údajov mala hodnotiť na základe všetkých okolností, ktoré sprevádzajú operáciu prenosu údajov alebo súbor operácií prenosu údajov, a osobitná pozornosť by sa mala venovať viacerým prvkom relevantným pre prenos uvedeným v jej článku 25.
(4)
Vzhľadom na rozdielny prístup k ochrane údajov v tretích krajinách by sa hodnotenie primeranosti a prijatie a presadzovanie akéhokoľvek rozhodnutia na základe článku 25 ods. 6 smernice 95/46/ES mali vykonať tak, aby nedochádzalo k svojvoľnej alebo neodôvodnenej diskriminácii tretích krajín alebo medzi tretími krajinami, v ktorých existujú podobné podmienky, ani k vytváraniu skrytej prekážky pre obchod vzhľadom na súčasné medzinárodné záväzky Európskej únie.
(5)
Andorra je štátom so systémom parlamentnej demokracie, v ktorom sú spoluvládcami prezident Francúzskej republiky a arcibiskup z Urgell.
(6)
Právo na súkromie je zakotvené v článku 14 Ústavy Andorrského kniežatstva (Constitució del Principat d’Andorra), ktorá bola schválená v ľudovom referende 14. marca 1993.
(7)
Právne predpisy na ochranu osobných údajov v Andorre vychádzajú prevažne z noriem stanovených v smernici 95/46/ES a sú ustanovené v kvalifikovanom zákone č. 15/2003 z 18. decembra o ochrane osobných údajov (Llei qualificada de protecció de dades personals) (ďalej len „LQPDP“). Tento právny predpis o ochrane osobných údajov je ďalej doplnený dekrétom z 1. júla 2004, ktorým sa zriaďuje Verejný register pre evidenciu súborov s osobnými údajmi, a dekrétom z 9. júna 2010, ktorým sa schvaľujú predpisy Andorrskej agentúry na ochranu údajov. Druhý z dekrétov objasňuje niekoľko otázok, ktoré vo svojom stanovisku z 1. decembra 2009 (2) predložila pracovná skupina pre ochranu osôb so zreteľom na spracovanie osobných údajov zriadená článkom 29 smernice 95/46/ES.
(8)
Ustanovenia o ochrane údajov sú obsiahnuté aj v mnohých právnych nástrojoch upravujúcich rozličné sektory, napríklad v právnych predpisoch týkajúcich sa finančného sektora, v predpisoch týkajúcich sa zdravotníctva a vo verejných registroch.
(9)
Andorra ratifikovala Dohovor Rady Európy o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov z 28. januára 1981, dodatkový protokol Dohovoru o ochrane jednotlivcov pri automatizovanom spracúvaní osobných údajov týkajúcom sa dozorných orgánov a cezhraničného toku údajov z 8. novembra 2001, ako aj Dohovor Rady Európy o ochrane ľudských práv a základných slobôd zo 4. novembra 1950, ktorý v Andorre platí od 22. januára 1996, a Dohovor o občianskych a politických právach zo 16. decembra 1966, ktorý v Andorre platí od 19. júla 2006.
(10)
Právne normy na ochranu údajov uplatniteľné v Andorre zahŕňajú všetky základné zásady potrebné na dosiahnutie primeranej úrovne ochrany fyzických osôb a stanovujú aj výnimky a obmedzenia na zabezpečenie významných verejných záujmov. Uplatňovanie týchto právnych noriem ochrany údajov je zaručené správnymi a súdnymi opravnými prostriedkami a nezávislým dohľadom vykonávaným dozorným orgánom, Andorrskou agentúrou pre ochranu údajov, ktorá má právomoc prešetrovať a zasahovať a ktorá koná úplne nezávisle.
(11)
Andorrské orgány pre ochranu údajov poskytli vysvetlenia a uistenia, ako sa má vykladať andorrské právo, a poskytli uistenia, že andorrské právne predpisy o ochrane údajov sa vykonávajú v súlade s týmto výkladom. Toto rozhodnutie berie do úvahy tieto vysvetlenia a uistenia, a preto je nimi podmienené.
(12)
Andorra by sa preto mala považovať za krajinu, ktorá poskytuje primeranú úroveň ochrany osobných údajov, ako je uvedené v smernici 95/46/ES.
(13)
V záujme transparentnosti a aby sa zaručila schopnosť príslušných orgánov členských štátov zabezpečiť ochranu jednotlivcov v súvislosti so spracovaním ich osobných údajov, je nevyhnutné definovať výnimočné okolnosti, na základe ktorých môže byť pozastavenie toku určitých údajov opodstatnené, bez ohľadu na existenciu primeranej ochrany.
(14)
Pracovná skupina pre ochranu jednotlivcov ohľadne spracovania osobných údajov zriadená podľa článku 29 smernice 95/46/ES vyjadrila priaznivé stanovisko k úrovni primeranosti ochrany osobných údajov, ktoré bolo zohľadnené pri príprave tohto rozhodnutia (3). Pracovná skupina vo svojom priaznivom stanovisku podporila andorrské orgány v prebiehajúcom procese prijímania ďalších ustanovení, ktorými sa rozšíri uplatňovanie andorrských právnych predpisov o automatizované individuálne rozhodnutia, keďže tieto nie sú v súčasnosti výslovne uznané andorrským kvalifikovaným zákonom o ochrane osobných údajov.
(15)
Opatrenia stanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru zriadeného podľa článku 31 ods. 1 smernice 95/46/ES,
PRIJALA TOTO ROZHODNUTIE:
Článok 1
Na účely článku 25 ods. 2 smernice 95/46/ES sa Andorra považuje za krajinu, ktorá poskytuje primeranú úroveň ochrany osobných údajov prenášaných z Európskej únie.
Článok 2
Toto rozhodnutie sa týka primeranosti ochrany poskytovanej v Andorre s cieľom splniť požiadavky uvedené v článku 25 ods. 1 smernice 95/46/ES a netýka sa iných podmienok ani obmedzení súvisiacich s vykonávaním ostatných ustanovení tejto smernice, ktoré sa týkajú spracovania osobných údajov v členských štátoch.
Článok 3
1. Bez toho, aby boli dotknuté právomoci prijímať opatrenia na zabezpečenie dodržiavania vnútroštátnych ustanovení prijatých podľa iných ustanovení, ako sú ustanovenia článku 25 smernice 95/46/ES, príslušné orgány členských štátov môžu vykonávať svoje súčasné právomoci pozastaviť tok údajov smerom k príjemcovi v Andorre, aby tak ochránili jednotlivcov ohľadne spracovania ich osobných údajov v týchto prípadoch:
a)
ak príslušný orgán v Andorre zistil, že príjemca nedodržiava uplatniteľné normy ochrany, alebo
b)
ak je vysoká pravdepodobnosť, že normy na ochranu sa porušujú, ak existuje dôvodné podozrenie, že príslušný orgán v Andorre nevykonáva alebo nevykoná vhodné a včasné kroky na vyriešenie tohto prípadu, ak by pokračovanie v prenose vytvorilo bezprostredné riziko vážneho poškodenia dotknutých osôb a príslušné orgány v členských štátoch vynaložili za daných okolností primerané úsilie, aby o tomto upovedomili stranu v Andorre zodpovednú za spracovanie a poskytli jej možnosť reagovať.
2. Pozastavenie sa skončí hneď, ako sa zabezpečí dodržiavanie noriem na ochranu a je o tom upovedomený príslušný orgán dotknutého členského štátu.
Článok 4
1. Ak členské štáty prijmú opatrenia podľa článku 3, bezodkladne o tom informujú Komisiu.
2. Členské štáty a Komisia sa navzájom informujú o prípadoch, v ktorých konanie orgánov zodpovedných za zabezpečenie dodržiavania noriem na ochranu v Andorre nedokáže zaručiť takýto súlad.
3. Ak informácie zhromaždené podľa článku 3 a podľa odsekov 1 a 2 tohto článku poskytujú dôkaz o tom, že ktorýkoľvek orgán zodpovedný za zabezpečenie dodržiavania noriem na ochranu v Andorre si neplní svoju úlohu účinne, Komisia informuje príslušný orgán v Andorre a ak je to potrebné, predloží návrh opatrení v súlade s postupom uvedeným v článku 31 ods. 2 smernice 95/46/ES s cieľom zrušiť alebo pozastaviť alebo obmedziť rozsah pôsobnosti tohto rozhodnutia.
Článok 5
Komisia monitoruje fungovanie tohto rozhodnutia a oznamuje všetky relevantné zistenia výboru zriadenému podľa článku 31 smernice 95/46/ES vrátane akéhokoľvek dôkazu, ktorý by mohol ovplyvniť zistenie uvedené v článku 1 tohto rozhodnutia, že ochrana v Andorre je primeraná v zmysle článku 25 smernice 95/46/ES, a akéhokoľvek dôkazu o tom, že toto rozhodnutie sa vykonáva diskriminačným spôsobom.
Článok 6
Členské štáty prijmú všetky potrebné opatrenia na dosiahnutie súladu s týmto rozhodnutím do 1. januára 2011.
Článok 7
Toto rozhodnutie je určené členským štátom.
V Bruseli 19. októbra 2010