РЕШЕНИЕ НА КОМИСИЯТА
от 19 октомври 2010 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата на личните данни в Андора
(нотифицирано под номер C(2010) 7084)
(текст от значение за ЕИП)
(2010/625/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни на трета държава може да се извършва, само ако въпросната трета държава осигурява подходяща степен на защита и ако законодателствата на държавите-членки по прилагането на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватна степен на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с предаване на данни или с набор от операции по предаване на данни, като се отчитат редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде прието и изпълнявано по начин, който не води до произволна или неоснователна дискриминация по отношение на трети държави или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка пред търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Държавата Андора е парламентарно княжество, представлявано от двама съкнязе - президента на Френската република и епископа на Урхел.
(6)
Правото на личен живот е залегнало в член 14 от Конституцията на Княжество Андора (Constitució del Principat d’Andorra), одобрена с национален референдум на 14 март 1993 г.
(7)
Правните норми за защита на личните данни в Андора се основават до голяма степен на стандартите, установени в Директива 95/46/ЕО, и са залегнали в Квалифициран закон 15/2003 от 18 декември относно защитата на личните данни (Llei qualificada de protecció de dades personals) (LQPDP). Това законодателство за защита на данните допълват два указа - указ от 1 юли 2004 г. за създаване на публичния регистър за вписване на личните данни и указ от 9 юни 2010 г. за одобряване на правилниците на Агенцията по защита на данните на Андора. Вторият инструмент изяснява няколко въпроса, повдигнати от работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, в нейното становище от 1 декември 2009 г. (2)
(8)
Разпоредби за защита на данните се съдържат и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормативните разпоредби в областта на здравеопазването и публичните регистри.
(9)
Андора е ратифицирала Конвенцията на Съвета на Европа за защита на лицата при автоматизирана обработка на лични данни от 28 януари 1981 г. и допълнителния протокол към Конвенцията за защита на лицата при автоматизирана обработка на лични данни по отношение на надзорните органи и трансграничните потоци от данни от 8 ноември 2001 г., както и Конвенцията на Съвета на Европа за защита на правата на човека и основните свободи от 4 ноември 1950 г., която е в сила в Андора от 22 януари 1996 г., и Международния пакт за граждански и политически права от 16 декември 1966 г., който е в сила в Андора от 19 юли 2006 г.
(10)
Правните норми за защита на данните, приложими в Андора, обхващат всички основни принципи, необходими за осигуряване на адекватна степен на защита на физическите лица, като също така предвиждат възможността за изключения и ограничения, с цел да бъдат защитени важни обществени интереси. Прилагането на тези правни норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Агенцията по защита на данните на Андора, която разполага с правомощия за разследване и намеса и която действа напълно независимо.
(11)
Органите на Андора за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува правото на Андора, и също така потвърдиха, че законодателството за защита на данните на Андора се прилага в съответствие с това тълкуване. Настоящото решение отчита тези обяснения и уверения и следователно е обусловено от тях.
(12)
Следователно следва да се счита, че Андора осигурява адекватна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се посочат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано въпреки констатирането на адекватна защита.
(14)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (3). В своето благоприятно становище работната група насърчи органите на Андора да продължат текущия процес на приемане на допълнителни разпоредби, които ще разширят обхвата на прилагане на законодателството на Андора, така че в него да се включат автоматизираните индивидуални решения, тъй като това в момента не е изрично признато в квалифицирания закон за защита на личните данни на Андора.
(15)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Андора осигурява адекватна степен на защита на личните данни, предавани от Европейския съюз.
Член 2
Настоящото решение се отнася до адекватността на защитата, осигурена в Андора с оглед на изпълняване на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не засяга други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националните разпоредби, приети в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правомощията, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Андора с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Андора е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност да се нарушават нормите на защита, има основателни причини да се смята, че компетентният орган в Андора не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за съответните физически лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Андора, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират нормите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки уведомяват незабавно Комисията за приетите на основание член 3 мерки.
2. Държавите-членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за гарантиране на спазването на нормите за защита в Андора, не успеят да осигурят тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира съблюдаването на нормите за защита в Андора, не изпълнява действително своята роля, Комисията уведомява за това компетентния орган в Андора и, ако е необходимо, представя проект за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава действието на настоящото решение и съобщава съответните констатации на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяка явна информация, която би могла да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Андора е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка явна информация, че настоящото решение се прилага по дискриминационен начин.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението до 1 януари 2011 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 19 октомври 2010 година.
SKLEP KOMISIJE
z dne 19. oktobra 2010
v skladu z Direktivo Evropskega parlamenta in Sveta 95/46/ES o ustreznem varstvu osebnih podatkov v Andori
(notificirano pod dokumentarno številko C(2010) 7084)
(Besedilo velja za EGP)
(2010/625/EU)
EVROPSKA KOMISIJA JE -
ob upoštevanju Pogodbe o delovanju Evropske unije,
ob upoštevanju Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1) ter zlasti člena 25(6) Direktive,
po posvetovanju z evropskim nadzornikom za varstvo podatkov,
ob upoštevanju naslednjega:
(1)
V skladu z Direktivo 95/46/ES morajo države članice zagotoviti, da se prenos osebnih podatkov v tretjo državo lahko izvede le, če zadevna tretja država zagotovi ustrezno raven varstva in če se pred prenosom upoštevajo zakoni držav članic, ki izvajajo druge določbe Direktive.
(2)
Komisija lahko ugotovi, da tretja država zagotavlja ustrezno raven varstva. V tem primeru se lahko osebni podatki prenesejo iz držav članic, ne da bi bila potrebna dodatna jamstva.
(3)
V skladu z Direktivo 95/46/ES je treba raven varstva podatkov oceniti glede na vse okoliščine, ki so povezane s postopkom prenosa podatkov ali nizom postopkov prenosa podatkov, pri čemer je treba skrbno pretehtati vrsto elementov, ki so pomembni za prenos in našteti v členu 25 Direktive.
(4)
Glede na različne pristope k varstvu podatkov v tretjih državah je treba izvesti oceno ustreznosti in vsako odločitev, sprejeto na podlagi člena 25(6) Direktive 95/46/ES, je treba sprejeti in uveljaviti tako, da ne bo samovoljno ali neupravičeno povzročala diskriminacije do tretjih držav ali med njimi, kadar prevladujejo enaki pogoji, in tudi ne predstavljala prikrite trgovinske ovire, ob upoštevanju sedanjih mednarodnih zavez Skupnosti.
(5)
Andora je država s sistemom parlamentarne sokneževine, pri čemer si sokneštvo delita predsednik Francoske republike in urgelski nadškof.
(6)
Pravica do zasebnosti je zapisana v členu 14 Ustave Kneževine Andora (Constitució del Principat d’Andorra), kakor je bila odobrena s splošnim referendumom 14. marca 1993.
(7)
Pravni predpisi za varovanje osebnih podatkov v Andori temeljijo v glavnem na standardih iz Direktive 95/46/ES in so določeni v Organskem zakonu 15/2003 z dne 18. decembra o varstvu osebnih podatkov (Llei qualificada de protecció de dades personals) (v nadaljnjem besedilu: Organski zakon). To zakonodajo o varstvu podatkov nadalje dopolnjujeta odlok z dne 1. julija 2004 o vzpostavitvi javnega registra za vpis osebnih podatkov in odlok z dne 9. junija 2010, ki potrjuje uredbe andorske Agencije za varstvo podatkov. Slednji instrument pojasnjuje več vprašanj, ki jih je zastavila delovna skupina za varstvo posameznikov pri obdelavi osebnih podatkov, ustanovljena v skladu s členom 29 Direktive 95/46/ES in svojim mnenjem z dne 1. decembra 2009 (2).
(8)
Določbe o varstvu podatkov prav tako vsebujejo številni pravni instrumenti, ki urejajo različne sektorje, kot so zakonodaja o finančnem sektorju, zdravstvene uredbe in javni registri.
(9)
Andora je ratificirala Konvencijo Sveta Evrope o varstvu posameznikov glede na avtomatsko obdelavo osebnih podatkov z dne 28. januarja 1981 in Dodatni protokol h Konvenciji Sveta Evrope o varstvu posameznikov glede na avtomatsko obdelavo osebnih podatkov v zvezi z nadzornimi organi in čezmejnim prenosom podatkov z dne 8. novembra 2001, kot tudi Konvencijo Sveta Evrope o varstvu človekovih pravic in temeljnih svoboščin z dne 4. novembra 1950, ki v Andori velja od 22. januarja 1996, ter Pakt o državljanskih in političnih pravicah z dne 16. decembra 1966, ki v Andori velja od 19. julija 2006.
(10)
Zakonski standardi o varstvu podatkov, ki se uporabljajo v Andori, zajemajo vsa osnovna načela, potrebna za ustrezno raven varstva za fizične osebe, določajo pa tudi izjeme in omejitve, da bi se zaščitili pomembni javni interesi. Uporabo teh zakonskih standardov varstva podatkov zagotavljajo upravni in zakonodajni postopki ter neodvisen nadzor, ki ga izvaja nadzorni organ, to je andorska Agencija za varstvo podatkov, ki je pooblaščena za preiskave in intervencijo ter deluje popolnoma neodvisno.
(11)
Andorski organi za varstvo podatkov so priskrbeli razlage in zagotovila, kako naj se andorski zakon razlaga, ter podali zagotovila, da se andorska zakonodaja glede varstva podatkov izvaja v skladu s tako razlago. Ta sklep upošteva te razlage in zagotovila ter je zato pogojen z njimi.
(12)
Za Andoro bi se moralo torej šteti, da zagotavlja primerno raven varstva osebnih podatkov iz Direktive 95/46/ES.
(13)
Zaradi preglednosti in da se zaščiti zmožnost pristojnih organov držav članic, da zagotovijo varstvo posameznikov v zvezi z obdelavo njihovih osebnih podatkov, je treba določiti izjemne okoliščine, v katerih se lahko upraviči začasna ustavitev prenosa nekaterih podatkov, ne glede na ugotovljeno ustrezno varstvo.
(14)
Delovna skupina za varstvo posameznikov pri obdelavi osebnih podatkov, ustanovljena v skladu s členom 29 Direktive 95/46/ES, je dala pozitivno mnenje o ravni ustreznosti glede varstva osebnih podatkov, ki je bilo upoštevano pri pripravi tega sklepa (3). Delovna skupina je v svojem pozitivnem mnenju spodbudila andorske organe k nenehnemu procesu sprejemanja nadaljnjih določb, ki bodo andorsko zakonodajo razširile na avtomatizirane posamezne odločitve, kar zdaj ni izrecno priznano z andorskim Organskim zakonom o varstvu osebnih podatkov.
(15)
Ukrepi, predvideni s tem sklepom, so v skladu z mnenjem odbora, ustanovljenega na podlagi člena 31(1) Direktive 95/46/ES -
SPREJELA NASLEDNJI SKLEP:
Člen 1
Za namene člena 25(2) Direktive 95/46/ES se za Andoro šteje, da zagotavlja ustrezno raven varstva osebnih podatkov, prenesenih iz Evropske unije.
Člen 2
Ta sklep zadeva primernost varstva, zagotovljenega v Andori, z namenom izpolnjevanja zahtev iz člena 25(1) Direktive 95/46/ES in ne vpliva na druge pogoje ali omejitve, s katerimi se izvajajo druge določbe navedene direktive, ki se nanašajo na obdelavo osebnih podatkov v državah članicah.
Člen 3
1. Brez vpliva na pooblastila za ukrepanje za zagotavljanje skladnosti z nacionalnimi predpisi, sprejetimi v skladu z določbami, razen s tistimi iz člena 25 Direktive 95/46/ES, lahko pristojni organi v državah članicah izvajajo svoja obstoječa pooblastila, da začasno ustavijo prenos podatkov prejemniku v Andori z namenom zavarovanja posameznikov v zvezi z obdelavo njihovih osebnih podatkov v naslednjih primerih:
(a)
če pristojni organ v Andori ugotovi, da prejemnik krši veljavne standarde varstva, ali
(b)
če obstaja precejšnja verjetnost, da so standardi varstva kršeni, če obstajajo utemeljeni razlogi za prepričanje, da pristojni organ v Andori ne ukrepa ali ne bo ukrepal primerno in pravočasno, da bi rešil zadevno vprašanje, če bi nadaljevanje prenosa povzročilo neposredno tveganje hudega škodovanja osebam, na katere se podatki nanašajo, in če so si pristojni organi v državi članici v teh okoliščinah ustrezno prizadevali obvestiti izvajalca, pristojnega za obdelavo in s sedežem v Andori, in mu dati priložnost za odziv.
2. Začasna ustavitev preneha takoj, ko so zagotovljeni standardi varstva in so o tem obveščeni pristojni organi zadevnih držav članic.
Člen 4
1. Države članice obvestijo Komisijo takoj, ko so sprejeti ukrepi na podlagi člena 3.
2. Države članice in Komisija se medsebojno obvestijo o primerih, kadar ukrepi organov, odgovornih za zagotavljanje skladnosti s standardi varstva v Andori, ne zagotavljajo take skladnosti.
3. Če informacije, zbrane v smislu člena 3 in odstavkov 1 in 2 tega člena, dokazujejo, da organ, odgovoren za zagotavljanje skladnosti s standardi varstva v Andori, svoje vloge ne izpolnjuje učinkovito, Komisija o tem obvesti pristojni organ v Andori in po potrebi predloži osnutke ukrepov v skladu s postopkom iz člena 31(2) Direktive 95/46/ES z namenom razveljavitve ali začasnega zadržanja izvajanja tega sklepa ali omejitve njegovega področja uporabe.
Člen 5
Komisija spremlja učinkovanje tega sklepa in odboru, ustanovljenemu v skladu s členom 31 Direktive 95/46/ES, poroča o vseh ustreznih ugotovitvah, vključno z vsemi dokazi, ki bi lahko vplivali na ugotovitev iz člena 1 tega sklepa, da je varstvo v Andori ustrezno v smislu člena 25 Direktive 95/46/ES, in vsemi dokazi, da se ta sklep izvaja na diskriminatoren način.
Člen 6
Države članice sprejmejo vse ukrepe, potrebne za uskladitev s tem sklepom, do 1. januarja 2011.
Člen 7
Ta sklep je naslovljen na države članice.
V Bruslju, 19. oktobra 2010