РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 19 декември 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Нова Зеландия
(нотифицирано под номер C(2012) 9557)
(текст от значение за ЕИП)
(2013/65/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни на трета страна може да се извършва само ако въпросната трета страна гарантира достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди предаването.
(2)
Комисията може да установи, че третата страна гарантира достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с операцията по предаване на данни или набора от операции по предаване на данни, като се обръща специално внимание на определени елементи, посочени в директивата, които са свързани с предаването.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо извършването на оценката за адекватност и приемането и изпълнението на всяко решение, основаващо се на Директива 95/46/ЕО, да стават по начин, който не води до произволна или необоснована дискриминация по отношение на или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Съюза.
(5)
Нова Зеландия е бивша британска колония. Тя става независим доминион през 1907 г., но до 1947 г. конституционните ѝ връзки с Великобритания официално не са прекъснати. Нова Зеландия е унитарна държава и няма писана конституция в общоприетия смисъл на утвърден конститутивен документ. Тя е конституционна монархия и парламентарна демокрация по уестминстърския модел, като неин държавен глава е кралицата на Нова Зеландия.
(6)
В страната се прилага принципът на парламентарния суверенитет. По традиция обаче съществуват известен брой закони с особено конституционно значение, които се считат за „върховно законодателство“ (higher law). Това означава, че те са част от конституционната основа или среда и оказват влияние върху практиките на държавните органи и приемането на останалото законодателство. Освен това за изменението или отменянето на въпросното законодателство е необходим общ политически консенсус. Няколко такива закона - Хартата за правата (Bill of Rights Act) от 28 август 1990 г. (общ закон (Public Act) № 109 от 1990 г.), Законът за правата на човека (Human Rights Act) от 10 август 1993 г. (общ закон (Public Act) № 82 от 1993 г.) и Законът за правото на неприкосновеност на личния живот (Privacy Act) от 17 май 1993 г. (общ закон (Public Act) № 28 от 1993 г.) - са свързани със защитата на данните. Конституционното значение на това законодателство проличава от традицията, според която то трябва да бъде взето предвид при изготвянето или предлагането на ново законодателство.
(7)
Правните норми за защитата на личните данни в Нова Зеландия са установени предимно в Закона за правото на неприкосновеност на личния живот, изменен със Закона за изменение на Закона за правото на неприкосновеност на личния живот (трансгранично информиране) (Privacy (Cross-border Information) Amendment Act) от 7 септември 2010 г. (общ закон (Public Act) № 113 от 2010 г.). Този по-ранен от Директива 95/46/ЕО закон не се ограничава до автоматизирано обработваните данни или съдържащите се във файл структурирани данни, а обхваща цялата лична информация, независимо от нейното естество или форма. Той се прилага спрямо публичния и частния сектор в тяхната цялост, с няколко специфични изключения от обществен интерес, каквито може да се очакват в едно демократично общество.
(8)
В Нова Зеландия съществуват няколко правни уредби, посветени на въпросите относно правото на неприкосновеност на личния живот, от гледна точка на политика, разпоредби или юрисдикции, компетентни да разглеждат оплаквания. Някои от тях са регламентирани в законодателството, докато други зависят от саморегулиращи се професионални образувания, като например в областта на медиите, директния маркетинг, нежеланите електронни съобщения, пазарните проучвания, здравословното състояние и уврежданията, банковото и застрахователното дело и спестяванията.
(9)
В допълнение към законодателството, приемано от парламента на Нова Зеландия, съществува и внушителен корпус от правила на обичайното право, които произтичат от английското обичайно право и в който са обхванати релевантни за защитата на данните принципи и разпоредби на обичайното право. Сред основните принципи на обичайното право е принципът, че достойнството на личността е от първостепенно значение за правото. Този принцип на обичайното право е ключов елемент от общия контекст при постановяването на съдебните решения в Нова Зеландия. От съдебната практика на тази страна, основаваща се на обичайното право, също могат да се изведат редица други аспекти на неприкосновеността на личния живот, сред които са накърняването на неприкосновеността на личния живот, злоупотребата с доверие и инцидентната защита в случай на клевета, нарушаване на обществения ред, тормоз, злонамерена лъжа, небрежност и други.
(10)
Правните норми за защита на данните, приложими в Нова Зеландия, обхващат всички основни принципи, необходими за осигуряването на достатъчна степен на защита на физическите лица, като в тях се предвиждат и изключения и ограничения с цел защитата на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(11)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор, осъществяван от надзорен орган - Комисаря по въпросите на неприкосновеността на личния живот, който разполага с подобни на предвидените в член 28 от Директива 95/46/ЕО правомощия и който действа като независим орган. Освен това всяка заинтересована страна може да търси защита по съдебен ред за обезщетяване на вреди, възникнали в резултат на незаконно обработване на личните ѝ данни.
(12)
Поради това следва да се счита, че Нова Зеландия осигурява достатъчна степен на защита на личните данни съгласно предвиденото в Директива 95/46/ЕО.
(13)
Настоящото решение следва да се отнася до достатъчния характер на степента на защита, предоставяна в Нова Зеландия, с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не трябва да засяга други условия или ограничения за прилагането на други разпоредби от директивата, отнасящи се до обработването на лични данни в държавите членки.
(14)
В интерес на прозрачността, а и за да се обезпечи възможността компетентните органи в държавите членки да осигурят защитата на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде счетено за основателно въпреки констатацията за наличие на достатъчна степен на защита.
(15)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, даде положително становище относно степента на защита в Нова Зеландия по отношение на личните данни (2). Това становище бе взето предвид при подготовката на настоящото решение за изпълнение.
(16)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Нова Зеландия осигурява достатъчна степен на защита на личните данни, предавани от Съюза.
2. Компетентният надзорен орган за прилагането на правните норми за защита на данните в Нова Зеландия е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията им да предприемат действия за гарантиране на спазването на националното законодателство, прието на основание на разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правомощията, с които разполагат, за да спрат потоците от данни към получател в Нова Зеландия с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Нова Зеландия е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е много вероятно, че нормите за защита се нарушават, има основателни причини да се смята, че компетентният орган в Нова Зеландия не взема или няма да вземе подходящи и навременни мерки за разрешаване на случая, продължаването на предаването на данни би довело до неизбежен риск от сериозно увреждане на субектите на данни и при дадените обстоятелства компетентните органи на държавата членка са положили достатъчни усилия да предупредят отговарящия за обработването, който е установен в Нова Зеландия, и да му дадат възможност за отговор.
2. Спирането престава да действа веднага щом бъде осигурено спазването на нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията за мерките, приети на основание член 2.
2. Държавите членки и Комисията се информират взаимно за случаите, при които действията на органите, отговорни за гарантиране на спазването на нормите за защита в Нова Зеландия, не са достатъчни за осигуряване на такова спазване.
3. Ако информация, събрана съгласно член 2, параграф 1 и параграфи 1 и 2 от настоящия член, показва, че даден орган, натоварен със задачата да гарантира спазването на нормите за защита в Нова Зеландия, не изпълнява ефикасно функциите си, Комисията уведомява компетентния орган в Нова Зеландия и, ако е необходимо, представя проект за мерки съгласно процедурата по член 31, параграф 2 от Директива 95/46/ЕО с оглед отменяне или спиране на действието на настоящото решение или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава прилагането на настоящото решение и съобщава съответните констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО, включително всяка информация, която би могла да има отражение върху съдържащата се в член 1 от настоящото решение констатация, че защитата в Нова Зеландия е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка информация, че решението се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с настоящото решение до 20 март 2013 г.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 19 декември 2012 година.
KOMMISSIONENS GENOMFÖRANDEBESLUT
av den 19 december 2012
i enlighet med Europaparlamentets och rådets direktiv 95/46/EG om ett adekvat skydd av personuppgifter i Nya Zeeland
[delgivet med nr C(2012) 9557]
(Text av betydelse för EES)
(2013/65/EU)
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 25.6,
efter att ha hört Europeiska datatillsynsmannen, och
av följande skäl:
(1)
Enligt direktiv 95/46/EG ska medlemsstaterna föreskriva att överföring av personuppgifter till tredjeland endast får ske om landet i fråga garanterar en adekvat skyddsnivå och om medlemsstatens lagar, genom vilka andra bestämmelser i direktivet genomförs, efterlevs före överföringen.
(2)
Kommissionen kan fastställa att ett tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att några ytterligare garantier krävs.
(3)
Enligt direktiv 95/46/EG ska bedömningen av nivån på uppgiftsskyddet ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter, varvid man särskilt ska beakta vissa för överföringen relevanta aspekter.
(4)
Då sättet att se på frågan om uppgiftsskydd varierar mellan olika tredjeländer bör bedömningen av om skyddsnivån är adekvat genomföras, och beslut som grundar sig på direktiv 95/46/EG fattas och verkställas, utan godtycklig eller obefogad diskriminering i förhållande till tredjeland eller mellan de tredjeländer där liknande förhållanden råder samt på ett sätt som säkerställer att det inte uppstår några dolda handelshinder, varvid hänsyn bör tas till unionens nuvarande internationella åtaganden.
(5)
Nya Zeeland är en tidigare brittisk koloni som blev en självständig dominion 1907, men inte formellt bröt sina konstitutionella band med Förenade kungariket förrän 1947. Nya Zeeland är en enhetsstat och saknar författning i konventionell mening i form av ett grundläggande författningsdokument. Landet är en konstitutionell monarki och parlamentarisk demokrati enligt Westminstermodell, med Nya Zeelands drottning som statschef.
(6)
Nya Zeeland tillämpar principen om parlamentarisk suveränitet. Enligt vedertaget bruk finns det dock ett antal lagar som har särskild konstitutionell betydelse och betraktas som ”higher law” (överordnad lagstiftning). Med detta avses att de ingår i den konstitutionella kontexten eller bakgrunden genom att de ligger till grund för de offentliga förfarandena och antagandet av annan lagstiftning. Dessutom förväntas det att samförstånd ska råda mellan de olika politiska grupperingarna i händelse av ändring eller upphävande av denna lagstiftning. Flera av lagarna är relevanta för uppgiftsskyddet: lagen om grundläggande rättigheter (Bill Of Rights Act) av den 28 augusti 1990 (offentlig lag [Public Act] nr 109 från 1990), lagen om de mänskliga rättigheterna (Human Rights Act) av den 10 augusti 1993 (offentlig lag nr 82 från 1993) och lagen om skydd av privatlivet (Privacy Act) av den 17 maj 1993 (offentlig lag nr 28 från 1993). Den konstitutionella betydelsen av dessa lagar återspeglas i det vedertagna bruket att de måste beaktas när ny lagstiftning utarbetas eller föreslås.
(7)
De rättsliga normerna för skydd av personuppgifter i Nya Zeeland återfinns främst i lagen om skydd av privatlivet, ändrad genom Privacy (Cross-border Information) Ammendement Act av den 7 september 2010 (offentlig lag nr 113 från 2010). Den föregick direktiv 95/46/EG och är inte begränsad till automatiskt behandlade uppgifter eller strukturerade uppgifter i ett register, utan inbegriper all personlig information oavsett form. Den omfattar hela den offentliga och den privata sektorn, med ett fåtal särskilda undantag med hänvisning till allmänintresset, som man kan förvänta sig i ett demokratiskt samhälle.
(8)
Det finns ett antal olika regleringssystem i Nya Zeeland för att hantera frågor om skydd av privatlivet vad avser strategier, bestämmelser och vem som ansvarar för att ta emot klagomål. Vissa är lagstadgade, medan andra upprättas av självreglerande branschorgan, som bland annat reglerar medierna, direkt marknadsföring, icke begärda elektroniska meddelanden, marknadsundersökningar, hälsa och funktionshinder, bankverksamhet samt försäkringar och sparande.
(9)
Utöver den lagstiftning som har antagits av det nyzeeländska parlamentet finns det en ansenlig samling sedvanerätt med rötter i engelsk sedvanerätt, som ger uttryck för sedvanerättsliga principer och bestämmelser som är relevanta för uppgiftsskydd. Till de grundläggande sedvanerättsliga principerna hör principen att individens värdighet är av överordnad betydelse för lagstiftningen. Denna sedvanerättsliga princip är ett grundläggande inslag i den bakomliggande kontexten för det rättsliga beslutsfattandet generellt i Nya Zeeland. Den del av Nya Zeelands rättspraxis som bygger på sedvanerätt omfattar också ett antal andra aspekter av skydd av privatlivet, bland annat kränkning av den personliga integriteten, röjande av förtroende och tillfälligt skydd mot ärekränkning, orsakande av olägenheter, trakasserier, uppsåtligt spridande av lögner, vårdslöshet och annat.
(10)
De normer för uppgiftsskydd som är tillämpliga i Nya Zeeland omfattar alla de grundprinciper som är en förutsättning för en adekvat skyddsnivå när det gäller fysiska personer, och innehåller även undantag och begränsningar i syfte att skydda viktiga allmänna intressen. Dessa bestämmelser om uppgiftsskydd, inklusive undantag, följer principerna i direktiv 95/46/EG.
(11)
Tillämpningen av de rättsliga normerna för uppgiftsskydd garanteras av administrativa och rättsliga medel och av oberoende tillsyn från tillsynsmyndigheten, Privacy Commissioner, som har försetts med sådana befogenheter som anges i artikel 28 i direktiv 95/46/EG, och som agerar oberoende. Vidare kan en berörd part vända sig till domstol för att få ersättning för skada som orsakats genom olaglig behandling av personuppgifter.
(12)
Nya Zeeland bör därför anses tillhandahålla ett adekvat skydd för personuppgifter enligt direktiv 95/46/EG.
(13)
Detta beslut bör avse den skyddsnivå som Nya Zeeland kan erbjuda i syfte att uppfylla kraven i artikel 25.1 i direktiv 95/46/EG. Beslutet bör inte påverka andra villkor eller begränsningar som införts i enlighet med andra bestämmelser i direktivet med avseende på behandlingen av personuppgifter i medlemsstaterna.
(14)
För att värna om öppenhet och möjligheten för behöriga myndigheter i medlemsstaterna att garantera skydd för enskilda med avseende på behandlingen av deras personuppgifter erfordras att det närmare anges under vilka särskilda omständigheter som det kan vara motiverat att tills vidare avbryta vissa uppgiftsöverföringar, oavsett om skyddsnivån befunnits vara adekvat.
(15)
Den i enlighet med artikel 29 i direktiv 95/46/EG inrättade arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter har yttrat sig positivt angående nivån på personuppgiftsskyddet i Nya Zeeland (2), vilket har beaktats vid utarbetandet av föreliggande genomförandebeslut.
(16)
De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats enligt artikel 31.1 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
1. För tillämpningen av artikel 25.2 i direktiv 95/46/EG ska Nya Zeeland anses säkerställa en adekvat skyddsnivå för de personuppgifter som överförs från unionen.
2. Den tillsynsmyndighet som är behörig för tillämpningen av de rättsliga normerna för uppgiftsskydd i Nya Zeeland anges i bilagan till detta beslut.
Artikel 2
1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av de nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sina gällande befogenheter och tills vidare avbryta uppgiftsöverföringar till en mottagare i Nya Zeeland för att skydda enskilda med avseende på behandlingen av deras personuppgifter om
a)
en behörig myndighet i Nya Zeeland fastställt att mottagaren bryter mot tillämpliga skyddsregler, eller
b)
sannolikheten är stor att skyddsreglerna inte efterlevs, det finns rimliga skäl att anta att behöriga myndigheter i Nya Zeeland inte vidtar eller kommer att vidta adekvata åtgärder i tid för att avgöra ärendet, fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under dessa omständigheter har vidtagit rimliga åtgärder för att underrätta den instans i Nya Zeeland som ansvarar för behandlingen om detta och givit denna tillfälle att yttra sig.
2. Överföringen ska återupptas så snart skyddsreglerna efterlevs och den behöriga myndigheten i den berörda medlemsstaten har underrättats om detta.
Artikel 3
1. Medlemsstaterna ska utan dröjsmål underrätta kommissionen om de åtgärder som vidtagits med stöd av artikel 2.
2. Medlemsstaterna och kommissionen ska underrätta varandra om fall där de åtgärder som vidtas av organ med ansvar för efterlevnaden av skyddsreglerna i Nya Zeeland inte är tillräckliga för att säkerställa att reglerna efterlevs.
3. Om den information som insamlats enligt artikel 2.1 och punkterna 1 och 2 i denna artikel visar att någon av de myndigheter som ansvarar för att skyddsnormerna efterlevs i Nya Zeeland inte fullgör denna uppgift på ett effektivt sätt, ska kommissionen underrätta behöriga myndigheter i Nya Zeeland om detta och vid behov framlägga förslag till bestämmelser i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG i syfte att upphäva eller tills vidare avbryta tillämpningen av detta beslut eller begränsa dess tillämpningsområde.
Artikel 4
Kommissionen ska övervaka tillämpningen av detta beslut och rapportera alla relevanta slutsatser till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG, vilket även inbegriper alla omständigheter som skulle kunna påverka konstaterandet i artikel 1 i detta beslut att det skydd som ges i Nya Zeeland är adekvat i den mening som avses i artikel 25 i direktiv 95/46/EG, och alla omständigheter som visar att detta beslut tillämpas på ett diskriminerande sätt.
Artikel 5
Medlemsstaterna ska vidta alla erforderliga åtgärder för att efterkomma detta beslut till och med den 20 mars 2013.
Artikel 6
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 19 december 2012.