РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 19 декември 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Нова Зеландия
(нотифицирано под номер C(2012) 9557)
(текст от значение за ЕИП)
(2013/65/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни на трета страна може да се извършва само ако въпросната трета страна гарантира достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди предаването.
(2)
Комисията може да установи, че третата страна гарантира достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с операцията по предаване на данни или набора от операции по предаване на данни, като се обръща специално внимание на определени елементи, посочени в директивата, които са свързани с предаването.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо извършването на оценката за адекватност и приемането и изпълнението на всяко решение, основаващо се на Директива 95/46/ЕО, да стават по начин, който не води до произволна или необоснована дискриминация по отношение на или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Съюза.
(5)
Нова Зеландия е бивша британска колония. Тя става независим доминион през 1907 г., но до 1947 г. конституционните ѝ връзки с Великобритания официално не са прекъснати. Нова Зеландия е унитарна държава и няма писана конституция в общоприетия смисъл на утвърден конститутивен документ. Тя е конституционна монархия и парламентарна демокрация по уестминстърския модел, като неин държавен глава е кралицата на Нова Зеландия.
(6)
В страната се прилага принципът на парламентарния суверенитет. По традиция обаче съществуват известен брой закони с особено конституционно значение, които се считат за „върховно законодателство“ (higher law). Това означава, че те са част от конституционната основа или среда и оказват влияние върху практиките на държавните органи и приемането на останалото законодателство. Освен това за изменението или отменянето на въпросното законодателство е необходим общ политически консенсус. Няколко такива закона - Хартата за правата (Bill of Rights Act) от 28 август 1990 г. (общ закон (Public Act) № 109 от 1990 г.), Законът за правата на човека (Human Rights Act) от 10 август 1993 г. (общ закон (Public Act) № 82 от 1993 г.) и Законът за правото на неприкосновеност на личния живот (Privacy Act) от 17 май 1993 г. (общ закон (Public Act) № 28 от 1993 г.) - са свързани със защитата на данните. Конституционното значение на това законодателство проличава от традицията, според която то трябва да бъде взето предвид при изготвянето или предлагането на ново законодателство.
(7)
Правните норми за защитата на личните данни в Нова Зеландия са установени предимно в Закона за правото на неприкосновеност на личния живот, изменен със Закона за изменение на Закона за правото на неприкосновеност на личния живот (трансгранично информиране) (Privacy (Cross-border Information) Amendment Act) от 7 септември 2010 г. (общ закон (Public Act) № 113 от 2010 г.). Този по-ранен от Директива 95/46/ЕО закон не се ограничава до автоматизирано обработваните данни или съдържащите се във файл структурирани данни, а обхваща цялата лична информация, независимо от нейното естество или форма. Той се прилага спрямо публичния и частния сектор в тяхната цялост, с няколко специфични изключения от обществен интерес, каквито може да се очакват в едно демократично общество.
(8)
В Нова Зеландия съществуват няколко правни уредби, посветени на въпросите относно правото на неприкосновеност на личния живот, от гледна точка на политика, разпоредби или юрисдикции, компетентни да разглеждат оплаквания. Някои от тях са регламентирани в законодателството, докато други зависят от саморегулиращи се професионални образувания, като например в областта на медиите, директния маркетинг, нежеланите електронни съобщения, пазарните проучвания, здравословното състояние и уврежданията, банковото и застрахователното дело и спестяванията.
(9)
В допълнение към законодателството, приемано от парламента на Нова Зеландия, съществува и внушителен корпус от правила на обичайното право, които произтичат от английското обичайно право и в който са обхванати релевантни за защитата на данните принципи и разпоредби на обичайното право. Сред основните принципи на обичайното право е принципът, че достойнството на личността е от първостепенно значение за правото. Този принцип на обичайното право е ключов елемент от общия контекст при постановяването на съдебните решения в Нова Зеландия. От съдебната практика на тази страна, основаваща се на обичайното право, също могат да се изведат редица други аспекти на неприкосновеността на личния живот, сред които са накърняването на неприкосновеността на личния живот, злоупотребата с доверие и инцидентната защита в случай на клевета, нарушаване на обществения ред, тормоз, злонамерена лъжа, небрежност и други.
(10)
Правните норми за защита на данните, приложими в Нова Зеландия, обхващат всички основни принципи, необходими за осигуряването на достатъчна степен на защита на физическите лица, като в тях се предвиждат и изключения и ограничения с цел защитата на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(11)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор, осъществяван от надзорен орган - Комисаря по въпросите на неприкосновеността на личния живот, който разполага с подобни на предвидените в член 28 от Директива 95/46/ЕО правомощия и който действа като независим орган. Освен това всяка заинтересована страна може да търси защита по съдебен ред за обезщетяване на вреди, възникнали в резултат на незаконно обработване на личните ѝ данни.
(12)
Поради това следва да се счита, че Нова Зеландия осигурява достатъчна степен на защита на личните данни съгласно предвиденото в Директива 95/46/ЕО.
(13)
Настоящото решение следва да се отнася до достатъчния характер на степента на защита, предоставяна в Нова Зеландия, с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не трябва да засяга други условия или ограничения за прилагането на други разпоредби от директивата, отнасящи се до обработването на лични данни в държавите членки.
(14)
В интерес на прозрачността, а и за да се обезпечи възможността компетентните органи в държавите членки да осигурят защитата на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде счетено за основателно въпреки констатацията за наличие на достатъчна степен на защита.
(15)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, даде положително становище относно степента на защита в Нова Зеландия по отношение на личните данни (2). Това становище бе взето предвид при подготовката на настоящото решение за изпълнение.
(16)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Нова Зеландия осигурява достатъчна степен на защита на личните данни, предавани от Съюза.
2. Компетентният надзорен орган за прилагането на правните норми за защита на данните в Нова Зеландия е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията им да предприемат действия за гарантиране на спазването на националното законодателство, прието на основание на разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правомощията, с които разполагат, за да спрат потоците от данни към получател в Нова Зеландия с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Нова Зеландия е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е много вероятно, че нормите за защита се нарушават, има основателни причини да се смята, че компетентният орган в Нова Зеландия не взема или няма да вземе подходящи и навременни мерки за разрешаване на случая, продължаването на предаването на данни би довело до неизбежен риск от сериозно увреждане на субектите на данни и при дадените обстоятелства компетентните органи на държавата членка са положили достатъчни усилия да предупредят отговарящия за обработването, който е установен в Нова Зеландия, и да му дадат възможност за отговор.
2. Спирането престава да действа веднага щом бъде осигурено спазването на нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията за мерките, приети на основание член 2.
2. Държавите членки и Комисията се информират взаимно за случаите, при които действията на органите, отговорни за гарантиране на спазването на нормите за защита в Нова Зеландия, не са достатъчни за осигуряване на такова спазване.
3. Ако информация, събрана съгласно член 2, параграф 1 и параграфи 1 и 2 от настоящия член, показва, че даден орган, натоварен със задачата да гарантира спазването на нормите за защита в Нова Зеландия, не изпълнява ефикасно функциите си, Комисията уведомява компетентния орган в Нова Зеландия и, ако е необходимо, представя проект за мерки съгласно процедурата по член 31, параграф 2 от Директива 95/46/ЕО с оглед отменяне или спиране на действието на настоящото решение или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава прилагането на настоящото решение и съобщава съответните констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО, включително всяка информация, която би могла да има отражение върху съдържащата се в член 1 от настоящото решение констатация, че защитата в Нова Зеландия е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка информация, че решението се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с настоящото решение до 20 март 2013 г.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 19 декември 2012 година.
DECISÃO DE EXECUÇÃO DA COMISSÃO
de 19 de dezembro de 2012
nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho relativa à adequação do nível de proteção de dados pessoais pela Nova Zelândia
[notificada com o número C(2012) 9557]
(Texto relevante para efeitos do EEE)
(2013/65/UE)
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), nomeadamente o artigo 25.o, n.o 6,
Após consulta da Autoridade Europeia para a Proteção de Dados,
Considerando o seguinte:
(1)
Nos termos da Diretiva 95/46/CE, os Estados-Membros devem garantir que a transferência de dados pessoais para um país terceiro só possa realizar-se se este país assegurar um nível de proteção adequado e se a legislação dos Estados-Membros que transpõe outras disposições da diretiva tiver sido respeitada antes de efetuada a transferência.
(2)
A Comissão pode determinar que um país terceiro garante um nível de proteção adequado. Neste caso, podem ser transferidos dados pessoais a partir dos Estados-Membros sem necessidade de garantias adicionais.
(3)
Nos termos da Diretiva 95/46/CE, a adequação do nível de proteção de dados deve ser apreciada em função de todas as circunstâncias que envolvem a operação ou o conjunto de operações de transferência de dados, atendendo particularmente a determinados elementos pertinentes para a transferência.
(4)
Uma vez que nos países terceiros vigoram níveis de proteção diferentes, a adequação deve ser apreciada e quaisquer decisões com base na Diretiva 95/46/CE devem ser tomadas e aplicadas de forma que não se verifique uma discriminação arbitrária ou injustificada contra ou entre países terceiros em que prevaleçam condições semelhantes, nem constitua um obstáculo dissimulado ao comércio, tendo em conta os atuais compromissos internacionais assumidos pela União.
(5)
A Nova Zelândia é uma antiga colónia britânica. Tornou-se um domínio independente em 1907, mas só em 1947 rompeu oficialmente os seus laços constitucionais com a Grã-Bretanha. A Nova Zelândia é um Estado unitário e possui uma Constituição escrita na aceção convencional de um documento constitutivo codificado. O país é uma monarquia constitucional e uma democracia parlamentar segundo o modelo de Westminster, e tem a Rainha da Nova Zelândia como chefe de Estado. A Nova Zelândia assenta no princípio da soberania parlamentar.
(6)
No entanto, por convenção, alguns textos legislativos revestem-se de uma importância especial, sendo considerados como disposições jurídicas superiores (higher law). Tal significa que fazem parte do contexto, ou do nível, constitucional, influenciando as práticas dos poderes públicos e a adoção de outras leis. Além disso, para alterar ou derrogar estas normas é necessário um consenso entre as forças políticas. Algumas destas leis - a Lei da Carta dos Direitos dos Cidadãos (Bill of Rights Act), de 28 de agosto de 1990 (Lei n.o 109 de 1990), a Lei dos Direitos do Homem (Human Rights Act), de 10 de agosto de 1993 (Lei n.o 82 de 1993), e a Lei sobre a proteção da vida privada (Privacy Act), de 17 de maio de 1993 (Lei n.o 28 de 1993) - são importantes para a proteção dos dados. A importância constitucional destas disposições legislativas traduz-se na convenção de tomá-las em consideração no momento de elaborar ou de propor novas leis.
(7)
As normas jurídicas sobre a proteção dos dados pessoais na Nova Zelândia são principalmente as estabelecidas pela Lei sobre a proteção da vida privada, com a redação que lhe foi dada pela Lei de alteração da Lei sobre a proteção da vida privada (Informação transfronteiriça) de 7 de setembro de 2010 (Lei n.o 113 de 2010). Este texto, anterior à Diretiva 95/46/CE, não se limita aos dados tratados automaticamente nem aos dados estruturados contidos num ficheiro, mas abrange o conjunto das informações pessoais, independentemente da sua natureza ou forma. É aplicável a todo o setor público e privado, estando previstas algumas exceções relacionadas com o interesse público, habituais numa sociedade democrática.
(8)
Existem na Nova Zelândia vários quadros normativos que permitem tratar as questões de vida privada em termos de política, de regras ou de recursos jurisdicionais. Algumas são de caráter normativo, enquanto outras são organismos de auto regulação setorial, nomeadamente a regulação dos meios de comunicação social, da comercialização direta, das mensagens eletrónicas não solicitadas, da investigação de mercado, da saúde e da invalidez, da banca, dos seguros e da poupança.
(9)
Para além da legislação promulgada pelo Parlamento da Nova Zelândia, existe um número considerável de normas jurídicas que deriva do direito comum inglês, que consagra regras e princípios de proteção dos dados. Um dos princípios fundamentais do direito comum é o princípio de que a dignidade do indivíduo constitui o interesse primordial da lei. Este princípio de direito comum está subjacente às decisões judiciais tomadas na Nova Zelândia. A jurisprudência da Nova Zelândia baseada no direito comum trata igualmente outros aspetos da vida privada, nomeadamente a invasão da privacidade, a quebra de confiança e a proteção acessória nos contextos de difamação, perturbação do uso e gozo de bens imóveis ou do exercício de direitos sobre os mesmos, assédio, declarações falsas dolosas, negligência e outros.
(10)
As normas jurídicas relativas à proteção de dados aplicáveis na Nova Zelândia cobrem todos os princípios básicos necessários para assegurar um nível adequado de proteção das pessoas singulares e preveem também exceções e limitações de modo a salvaguardar interesses públicos importantes. Estas normas jurídicas de proteção de dados e as exceções referidas refletem os princípios consagrados na Diretiva 95/46/CE.
(11)
A aplicação das normas jurídicas relativas à proteção de dados é garantida pela possibilidade de recurso administrativo e judicial e pela supervisão independente exercida pela autoridade de controlo, pelo comissário para a privacidade, ao qual foram atribuídas as competências estabelecidas no artigo 28.o da Diretiva 95/46/CE e que atua com plena independência. Além disso, qualquer parte interessada pode recorrer aos tribunais para pedir uma indemnização por danos sofridos em consequência do tratamento ilícito dos seus dados pessoais.
(12)
Deve assim considerar-se que a Nova Zelândia assegura um nível adequado de proteção dos dados pessoais, nos termos da Diretiva 95/46/CE.
(13)
A presente decisão diz respeito ao nível de proteção assegurado pela Nova Zelândia com vista ao preenchimento dos requisitos estabelecidos no artigo 25.o, n.o 1, da Diretiva 95/46/CE. Não deverá afetar outras condições ou restrições de aplicação de outras disposições da Diretiva relativas ao tratamento de dados pessoais nos Estados-Membros.
(14)
A bem da transparência e para salvaguardar a capacidade de as autoridades competentes dos Estados-Membros assegurarem a proteção das pessoas no que diz respeito ao tratamento dos seus dados pessoais, é necessário precisar as circunstâncias excecionais que poderão justificar a suspensão de transferências concretas de dados, apesar de verificado o nível de proteção adequado.
(15)
O grupo de trabalho sobre a proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, instituído nos termos do artigo 29.o da Diretiva 95/46/CE, emitiu um parecer favorável sobre a adequação do nível de proteção dos dados pessoais na Nova Zelândia (2), que foi tido em conta na preparação da presente decisão de execução.
(16)
As medidas previstas na presente decisão estão em conformidade com o parecer do comité instituído pelo artigo 31.o, n.o 1, da Diretiva 95/46/CE,
ADOTOU A PRESENTE DECISÃO:
Artigo 1.o
1. Para efeitos do artigo 25.o, n.o 2, da Diretiva 95/46/CE, considera-se que a Nova Zelândia assegura um nível adequado de proteção dos dados pessoais transferidos a partir da União.
2. A autoridade de supervisão competente para a aplicação das normas jurídicas em matéria de proteção de dados na Nova Zelândia é indicada no anexo da presente decisão.
Artigo 2.o
1. Sem prejuízo das competências que lhes permitem agir para assegurar o respeito pelas disposições nacionais adotadas em conformidade com medidas diferentes das enunciadas no artigo 25.o da Diretiva 95/46/CE, as autoridades competentes dos Estados-Membros podem exercer as atuais competências para suspender a transferência de dados para um destinatário na Nova Zelândia, por forma a assegurar a proteção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais, sempre que:
a)
Uma autoridade competente da Nova Zelândia verifique que o destinatário desrespeita as normas de proteção aplicáveis; ou
b)
Existam fortes probabilidades de as normas de proteção não estarem a ser cumpridas, existam motivos suficientes para crer que a autoridade competente da Nova Zelândia não toma ou não tomará as decisões adequadas na altura devida para resolver o caso em questão e a continuação da transferência dos dados possa representar um risco iminente de graves prejuízos para as pessoas em causa, embora as autoridades competentes nos Estados-Membros tenham envidado esforços razoáveis, dadas as circunstâncias, para facultar à organização responsável pelo tratamento estabelecida na Nova Zelândia a informação e oportunidade de resposta.
2. A suspensão cessará assim que o cumprimento das normas de proteção estiver assegurado e as autoridades competentes dos Estados-Membros em causa sejam disso informadas.
Artigo 3.o
1. Os Estados-Membros devem comunicar imediatamente à Comissão a adoção de medidas nos termos do artigo 2.o.
2. Os Estados-Membros e a Comissão devem manter-se mutuamente informados relativamente aos casos em que os organismos responsáveis pelo cumprimento das normas de proteção na Nova Zelândia não garantam esse mesmo cumprimento.
3. Se a informação recolhida ao abrigo do n.o 1 do artigo 2.o e dos n.os 1 e 2 do presente artigo revelar que os organismos responsáveis pelo cumprimento das normas de proteção na Nova Zelândia não desempenham eficazmente as suas funções, a Comissão deve informar a autoridade competente da Nova Zelândia e, se necessário, apresentar um projeto de medidas, de acordo com o procedimento referido no n.o 2 do artigo 31.o da Diretiva 95/46/CE, para revogar ou suspender a presente decisão ou limitar o seu âmbito de aplicação.
Artigo 4.o
A Comissão acompanhará a aplicação da presente decisão e informará o Comité instituído pelo artigo 31.o da Diretiva 95/46/CE de todas as conclusões pertinentes, nomeadamente de todas as provas que possam afetar a avaliação da adequação do nível de proteção assegurado pela Nova Zelândia relativamente ao disposto no artigo 1.o da presente decisão, nos termos do artigo 25.o da Diretiva 95/46/CE, e de todas as provas de aplicação discriminatória da presente decisão.
Artigo 5.o
Os Estados-Membros tomam todas as medidas necessárias para dar cumprimento à presente decisão até 20 de março de 2013.
Artigo 6.o
Os Estados-Membros são os destinatários da presente decisão.
Feito em Bruxelas, em 19 de dezembro de 2012.