РЕШЕНИЕ НА КОМИСИЯТА
от 31 януари 2011 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Държавата Израел във връзка с автоматизираното предаване на лични данни
(нотифицирано под номер C(2011) 332)
(текст от значение за ЕИП)
(2011/61/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след като се консултира с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни към трета държава може да се извършва само ако въпросната трета държава осигурява адекватно ниво на защита и ако законодателствата на държавите-членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватно ниво на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква нивото на защита на данните да бъде преценявано с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни, или на набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Правната система на Държавата Израел не се основава на писана конституция, макар че Върховният съд на Държавата Израел е предоставил конституционен статут на някои „основни закони“. Тези „основни закони“ се допълват от голяма по обем съдебна практика, тъй като израелската правна система се придържа в съществена степен към принципите на обичайното право. Правото на личен живот е включено в раздел 7 от т.нар. „Основен закон: човешко достойнство и свобода“.
(6)
Правните стандарти за защита на личните данни в Държавата Израел до голяма степен се основават върху стандартите, установени в Директива 95/46/ЕО, и са посочени в Закона за защита на неприкосновеността на личния живот 5741-1981, изменен за последен път през 2007 г., с цел да се установят нови изисквания за обработване на личните данни и да се утвърди подробна организация на надзорния орган.
(7)
Това законодателство за защита на данните се допълва още от правителствени решения относно прилагането на Закона за защита на неприкосновеността на личния живот 5741-1981 и относно организацията и функционирането на надзорния орган, които до голяма степен се основават на препоръките, формулирани в доклада до Министерството на правосъдието, изготвен от Комитета за преглед на законодателство, свързано с бази данни („доклад Шофман“).
(8)
Разпоредби за защита на данните се съдържат също и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормите в областта на здравеопазването и публичните регистри.
(9)
Правните стандарти за защита на данните, приложими в Държавата Израел, обхващат всички основни принципи, необходими за адекватно ниво на защита на физическите лица във връзка с обработването на лични данни в автоматизирани бази данни. Глава 2 от Закона за защита на неприкосновеността на личния живот 5741-1981, в която се определят принципите за обработване на личните данни, не се прилага за обработването на лични данни в неавтоматизирани бази данни (ръчни бази данни).
(10)
Прилагането на правните стандарти за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Израелския орган за законодателство, информация и технологии (ИОЗИТ), който разполага с правомощия за разследване и намеса и който действа напълно независимо.
(11)
Израелските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува израелското право, и също така дадоха уверения, че израелското законодателство за защита на данните се прилага в съответствие с това тълкуване. Настоящото решение се основава на тези обяснения и уверения и следователно е обусловено от тях.
(12)
Поради това следва да се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни съгласно Директива 95/46/ЕО по отношение на автоматизираното международно предаване на лични данни от Европейския съюз към Държавата Израел и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. От друга страна, международното предаване на лични данни от ЕС към Държавата Израел, при което самото предаване, както и последващата обработка на данните се осъществяват изключително чрез неавтоматизирани средства, не следва да бъде предмет на настоящото решение.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано, въпреки констатирането на адекватна защита.
(14)
Констатациите в настоящото решение относно адекватността на защитата на данните се отнасят до Държавата Израел, както е определена в съответствие с международното право. По-нататъшно последващо предаване на получател извън Държавата Израел, както е определена в съответствие с международното право, следва да се счита за предаване на лични данни на трета държава.
(15)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на адекватност на защитата на лични данни по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. В своето благоприятно становище работната група окуражи израелските органи да приемат допълнителни разпоредби, които разширяват обхвата на прилагането на израелското законодателство, така че в него да се включат и ръчните бази данни, и които изрично признават прилагането на принципа на пропорционалност към обработването на лични данни в частния сектор и тълкуват изключенията при международното предаване на данни в съответствие с критериите, посочени в нейния Работен документ за общо тълкуване на член 26, параграф 1 от Директива 95/46/ЕО (2). Това становище беше взето предвид при изготвянето на настоящото решение (3).
(16)
Комитетът, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО, не изготви становище в срока, определен от неговия председател,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз, по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които то подлежи на допълнителна автоматизирана обработка в Държавата Израел.
2. Компетентният надзорен орган в Държавата Израел относно прилагането на правните стандарти за защита на данните е Израелският орган за законодателство, информация и технологии (ИОЗИТ), посочен в приложението към настоящото решение.
Член 2
1. Настоящото решение се отнася единствено до нивото на адекватна защита, осигурено в Държавата Израел, както е определена в съответствие с международното право, за да се отговори на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не влияе по никакъв начин върху други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
2. Настоящото решение се прилага в съответствие с международното право. То не засяга статута на Голанските възвишения, Ивицата Газа и Западния бряг, включително Източен Ерусалим, съгласно разпоредбите на международното право.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правата, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Държавата Израел с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен израелски орган е установил, че получателят нарушава приложимите стандарти за защита; или
б)
когато е налице голяма вероятност да са нарушени стандартите на защита, има основателни причини да се смята, че компетентният израелски орган не взема или няма да вземе подходящите и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за засегнатите лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Държавата Израел, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират стандартите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки информират незабавно Комисията за мерките, приети на основание член 3.
2. Държавите-членки и Комисията се информират взаимно за случаите, при които действията, предприети от органите, отговорни за гарантиране на спазването на стандартите за защита в Държавата Израел, не успеят да гарантират тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира спазването на стандартите за защита в Държавата Израел, не изпълнява действително своята роля, Комисията уведомява за това компетентния израелски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава прилагането на настоящото решение и съобщава съответните констатации на комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което би могло да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Държавата Израел е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин. По-специално тя наблюдава обработването на лични данни в ръчни бази данни.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на неговото нотифициране.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 31 януари 2011 година.
SKLEP KOMISIJE
z dne 31. januarja 2011
o ustreznem varstvu osebnih podatkov, ki ga zagotavlja Država Izrael pri avtomatizirani obdelavi osebnih podatkov, v skladu z Direktivo Evropskega parlamenta in Sveta 95/46/ES
(notificirano pod dokumentarno številko C(2011) 332)
(Besedilo velja za EGP)
(2011/61/EU)
EVROPSKA KOMISIJA JE -
ob upoštevanju Pogodbe o delovanju Evropske unije,
ob upoštevanju Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1) ter zlasti člena 25(6) Direktive,
po posvetovanju z evropskim nadzornikom za varstvo podatkov,
ob upoštevanju naslednjega:
(1)
V skladu z Direktivo 95/46/ES morajo države članice zagotoviti, da se prenos osebnih podatkov v tretjo državo lahko izvede le, če zadevna tretja država zagotovi ustrezno raven varstva in če se pred prenosom upoštevajo predpisi držav članic, ki izvajajo druge določbe Direktive.
(2)
Komisija lahko ugotovi, da tretja država zagotavlja ustrezno raven varstva. V tem primeru se lahko osebni podatki prenesejo iz držav članic, ne da bi bila potrebna dodatna jamstva.
(3)
V skladu z Direktivo 95/46/ES je treba raven varstva podatkov oceniti glede na vse okoliščine, ki so povezane s postopkom prenosa podatkov ali nizom postopkov prenosa podatkov, pri čemer je treba skrbno pretehtati vrsto elementov, ki so pomembni za prenos in našteti v členu 25 Direktive.
(4)
Glede na različne pristope k varstvu podatkov v tretjih državah bi bilo treba oceniti ustreznost, morebitno odločitev na podlagi člena 25(6) Direktive 95/46/ES pa bi bilo treba sprejeti in uveljaviti na tak način, da ne pride do samovoljne ali neupravičene diskriminacije do tretjih držav ali med tretjimi državami, v katerih prevladujejo podobne okoliščine, in da ne pride do prikrite trgovinske ovire, ob upoštevanju obstoječih mednarodnih obveznosti Evropske unije.
(5)
Izraelski pravni sistem nima pisane ustave, ima pa „temeljne zakone“, ki jim je Vrhovno sodišče Države Izrael podelilo ustavni značaj. Navedene „temeljne zakone“ dopolnjuje obsežna sodna praksa, saj izraelski pravni sistem v veliki meri temelji na načelih občega prava. Pravico do zasebnosti ureja člen 7 „temeljnega zakona o človekovem dostojanstvu in svobodi“.
(6)
Pravni standardi varstva osebnih podatkov v Državi Izrael temeljijo v glavnem na standardih iz Direktive 95/46/ES, določeni pa so v Zakonu o varstvu zasebnosti št. 5741 iz leta 1981, ki je bil nazadnje spremenjen leta 2007 z namenom določiti nove zahteve za obdelavo osebnih podatkov in podrobno organizacijo nadzornega organa.
(7)
Navedeno zakonodajo o varstvu podatkov nadalje dopolnjujejo vladni sklepi o izvajanju Zakona o varstvu zasebnosti št. 5741 iz leta 1981 ter o organizaciji in delovanju nadzornega organa, ki temeljijo predvsem na priporočilih, ki jih je v poročilu ministrstvu za pravosodje izrazil odbor za pregled zakonodaje v zvezi s podatkovnimi zbirkami (Schoffmanovo poročilo).
(8)
Določbe o varstvu podatkov prav tako vsebujejo številni pravni akti, ki urejajo različne sektorje, kot so zakonodaja o finančnem sektorju, zdravstvu in javnih registrih.
(9)
Pravni standardi varstva podatkov, ki se uporabljajo v Državi Izrael, zajemajo vsa temeljna načela, potrebna za ustrezno raven varstva za fizične osebe v zvezi z obdelavo osebnih podatkov v avtomatiziranih podatkovnih zbirkah. Poglavje 2 Zakona o varstvu zasebnosti št. 5741 iz leta 1981, v katerem so določena načela za obdelavo osebnih podatkov, ne velja za obdelavo osebnih podatkov v neavtomatiziranih podatkovnih zbirkah (ročne podatkovne zbirke).
(10)
Uporaba pravnih standardov varstva podatkov je zagotovljena z upravnim in sodnim varstvom ter neodvisnim nadzorom, ki ga izvaja nadzorni organ, to je izraelski organ za zakonodajo, informacije in tehnologijo (ILITA), ki je pooblaščen za preiskavo in ukrepanje ter deluje popolnoma neodvisno.
(11)
Izraelski organi za varstvo podatkov so priskrbeli razlage in zagotovila glede načina razlage izraelskih predpisov ter podali zagotovila, da se izraelska zakonodaja o varstvu podatkov izvaja v skladu s tako razlago. Ta sklep upošteva te razlage in zagotovila ter je zato pogojen z njimi.
(12)
Za Državo Izrael bi se torej moralo šteti, da zagotavlja ustrezno raven varstva osebnih podatkov iz Direktive 95/46/ES v zvezi z avtomatiziranimi mednarodnimi prenosi osebnih podatkov iz Evropske unije v Državo Izrael ali neavtomatiziranimi prenosi, pri katerih se v Državi Izrael izvaja nadaljnja avtomatizirana obdelava. Nasprotno pa ta sklep ne bi smel veljati za mednarodne prenose osebnih podatkov iz EU v Državo Izrael, pri katerih se tako prenos kot tudi poznejša obdelava podatkov izvajata izključno z neavtomatskimi sredstvi.
(13)
Zaradi preglednosti in da se zaščiti zmožnost pristojnih organov držav članic, da zagotovijo varstvo posameznikov v zvezi z obdelavo njihovih osebnih podatkov, je treba določiti izjemne okoliščine, v katerih se lahko upraviči začasna ustavitev prenosa nekaterih podatkov, ne glede na ugotovljeno ustrezno varstvo.
(14)
Ugotovitve o ustreznosti v zvezi s tem sklepom se nanašajo na Državo Izrael v skladu z opredelitvijo mednarodnega prava. Nadaljnji prenosi prejemniku zunaj Države Izrael v skladu z opredelitvijo mednarodnega prava se štejejo za prenose osebnih podatkov tretji državi.
(15)
Delovna skupina za varstvo posameznikov pri obdelavi osebnih podatkov, ustanovljena na podlagi člena 29 Direktive 95/46/ES, je dala pozitivno mnenje o ravni ustreznosti glede varstva osebnih podatkov v zvezi z avtomatiziranimi mednarodnimi prenosi osebnih podatkov iz Evropske unije ali neavtomatiziranimi prenosi, pri katerih se v Državi Izrael izvaja nadaljnja avtomatizirana obdelava. Delovna skupina je v svojem pozitivnem mnenju spodbudila izraelske organe k sprejetju dodatnih predpisov, ki bodo uporabo izraelske zakonodaje razširili na ročne podatkovne zbirke, uporabo načela sorazmernosti izrecno priznali pri obdelavi osebnih podatkov v zasebnem sektorju in izjeme pri mednarodnih prenosih podatkov razlagali v skladu z merili iz Delovnega dokumenta o skupni razlagi člena 26(1) Direktive 95/46/ES (2). To mnenje je bilo upoštevano pri pripravi tega sklepa (3).
(16)
Odbor, ustanovljen na podlagi člena 31(1) Direktive 95/46/ES, ni predložil mnenja v roku, ki ga je določil njegov predsednik -
SPREJELA NASLEDNJI SKLEP:
Člen 1
1. Za namene člena 25(2) Direktive 95/46/ES se šteje, da Država Izrael zagotavlja ustrezno raven varstva osebnih podatkov, prenesenih iz Evropske unije, v zvezi z avtomatiziranimi mednarodnimi prenosi osebnih podatkov iz Evropske unije ali neavtomatiziranimi prenosi, pri katerih se v Državi Izrael izvaja nadaljnja avtomatizirana obdelava.
2. Pristojni nadzorni organ za področje uporabe pravnih standardov varstva podatkov v Državi Izrael je „Israeli Law, Information and Technology Authority (ILITA)“ (izraelski organ za zakonodajo, informacije in tehnologijo), naveden v Prilogi k temu sklepu.
Člen 2
1. Ta sklep zadeva le ustreznost varstva, zagotovljenega v Državi Izrael v skladu z opredelitvijo mednarodnega prava z namenom izpolniti zahteve člena 25(1) Direktive 95/46/ES in ne vpliva na druge pogoje ali omejitve, s katerimi se izvajajo druge določbe navedene direktive, ki se nanašajo na obdelavo osebnih podatkov v državah članicah.
2. Ta sklep se uporablja v skladu z mednarodnim pravom. Ne vpliva na status Golanske planote, območja Gaze in Zahodnega brega, vključno z vzhodnim Jeruzalemom, v skladu z opredelitvijo mednarodnega prava.
Člen 3
1. Brez vpliva na pooblastila za ukrepanje za zagotavljanje skladnosti z nacionalnimi predpisi, sprejetimi v skladu z določbami, razen s tistimi iz člena 25 Direktive 95/46/ES, lahko pristojni organi v državah članicah izvajajo svoja obstoječa pooblastila, da začasno ustavijo prenos podatkov prejemniku v Državi Izrael z namenom zavarovanja posameznikov v zvezi z obdelavo njihovih osebnih podatkov v naslednjih primerih:
(a)
če pristojni izraelski organ ugotovi, da prejemnik krši veljavne standarde varstva; ali
(b)
če obstaja precejšnja verjetnost, da so standardi varstva kršeni, če obstajajo utemeljeni razlogi za prepričanje, da pristojni izraelski organ ne ukrepa ali ne bo ukrepal primerno in pravočasno, da bi rešil zadevno vprašanje, če bi neprekinjeni prenos povzročil neposredno tveganje hudega škodovanja osebam, na katere se podatki nanašajo, in če so si pristojni organi v državi članici v teh okoliščinah ustrezno prizadevali obvestiti organ s sedežem v Državi Izrael, pristojen za obdelavo, ter mu dati priložnost za odziv.
2. Začasna ustavitev prenosa podatkov preneha takoj, ko so zagotovljeni standardi varstva in so o tem uradno obveščeni pristojni organi zadevnih držav članic.
Člen 4
1. Države članice obvestijo Komisijo takoj, ko so sprejeti ukrepi na podlagi člena 3.
2. Države članice in Komisija se medsebojno obvestijo o primerih, kadar ukrepi organov, odgovornih za zagotavljanje skladnosti s standardi varstva v Državi Izrael, ne zagotavljajo take skladnosti.
3. Če informacije, zbrane v skladu s členom 3 ter odstavkoma 1 in 2 tega člena, dokazujejo, da organ, odgovoren za zagotavljanje skladnosti s standardi varstva v Državi Izrael, svoje vloge ne izpolnjuje učinkovito, Komisija obvesti pristojni izraelski organ in po potrebi predloži osnutke ukrepov v skladu s postopkom iz člena 31(2) Direktive 95/46/ES z namenom razveljavitve ali začasnega prenehanja izvajanja tega sklepa ali omejitve njegovega področja uporabe.
Člen 5
Komisija spremlja učinkovanje tega sklepa in odboru, ustanovljenemu v skladu s členom 31 Direktive 95/46/ES, poroča o morebitnih zadevnih ugotovitvah, vključno s kakršnimi koli dokazi, ki bi lahko vplivali na ugotovitev iz člena 1 tega sklepa, da je varstvo v Državi Izrael ustrezno v smislu člena 25 Direktive 95/46/ES, in morebitnimi dokazi, da se ta sklep izvaja na diskriminatoren način. Zlasti spremlja obdelavo osebnih podatkov v ročnih podatkovnih zbirkah.
Člen 6
Države članice sprejmejo vse ukrepe, potrebne za uskladitev s tem sklepom, v treh mesecih od datuma njegove notifikacije.
Člen 7
Ta sklep je naslovljen na države članice.
V Bruslju, 31. januarja 2011