РЕШЕНИЕ НА КОМИСИЯТА
от 8 май 2008 година
за установяване съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета на нивото на адекватна защита на личните данни в Джърси
(нотифицирано под номер C(2008) 1746)
(текст от значение за ЕИП)
(2008/393/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след като се консултира с Работната група за защита на лицата по отношение на обработването на личните данни (2),
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че трансферът на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява подходящо равнище на защита и ако законодателствата на държавите-членки по прилагане на други разпоредби от директивата бъдат спазвани преди осъществяването на трансфера.
(2)
Комисията може да установи, че третата страна осигурява адекватно равнище на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква равнището на защита на данните да бъде преценявано с оглед на всички обстоятелства, свързани с извършването на трансфер на данни, или с оглед на определена категория трансфер на данни, като се отчитат редица елементи, свързани с трансфера и изброени в член 25, параграф 2 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните е необходимо да има оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде прието и изпълнявано по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни, в които или между които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Общността.
(5)
Департаментът Джърси е една от подчинените на Британската корона територии (той не е част от Обединеното кралство и не е колония), която се ползва с пълна независимост, с изключение на международните отношения и отбраната - области от компетентността на правителството на Обединеното кралство. Поради това департаментът Джърси следва да се смята за трета страна по смисъла на Директива 95/46/ЕО.
(6)
Считано от 1951 г. и съответно от 1987 г. ратифицирането на Европейската конвенция относно правата на човека и на Конвенцията на Съвета на Европа за защита на физическите лица при автоматизирана обработка на лични данни (конвенция № 108) от Обединеното кралство се отнася и за департамента Джърси.
(7)
Що се отнася до департамента Джърси, правните норми за защита на личните данни, основаващи се до голяма степен на стандартите, определени в Директива 95/46/ЕО, са били въведени чрез Data Protection (Jersey) Law (Закона за защита на данните (Джърси) от 1987 г., влязъл в сила на 11 ноември 1987 г., и чрез двата допълнителни нормативни акта от 2005 г. - the Data Protection (Amendment) (Jersey) Law и the Data Protection (Jersey) Law 2005 (Appointed Day) Act.
(8)
През 2005 г. беше приета и подзаконова нормативна уредба в изпълнение на Data Protection (Jersey) Law от 2005 г., установяваща специални правила относно достъпа на субектите на данни, обработването на чувствителни данни и уведомяването на органа по защита на данните (3).
(9)
Правните норми, приложими в Джърси, обхващат всички основни принципи, необходими за установяване на подходящо равнище на защита на физическите лица. Прилагането на тези норми е гарантирано със съдебни средства за защита, както и по силата на независимия надзор, осъществяван от властите, като комисаря по защита на данните, който има правомощия за разследване и намеса.
(10)
Следователно следва да се смята, че Джърси осигурява подходящо равнище на защита на личните данни, както е посочено в Директива 95/46/ЕО.
(11)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработката на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци данни може да бъде оправдано въпреки констатирането на адекватна защита.
(12)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
По смисъла на член 25, параграф 2 от Директива 95/46/ЕО се смята, че департаментът Джърси осигурява подходящо равнище на защита на личните данни, предавани от Общността.
Член 2
Настоящото решение се отнася до равнището на подходяща защита, осигурено в Джърси, за да се отговори на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не влияе по никакъв начин върху други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработката на лични данни в държавите-членки.
Член 3
1. Без да се засягат правомощията, които позволяват на компетентните органи на държавите-членки да вземат необходимите мерки за гарантиране спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, тези органи могат да упражняват правата, с които разполагат понастоящем, за да спират потоците от данни към получател на територията на Джърси с цел защита на физически лица по отношение на обработката на техните лични данни в следните случаи:
а)
когато компетентните органи на Джърси са установили, че получателят нарушава приложимите стандарти на защита; или
б)
когато има голяма вероятност стандартите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният орган в Джърси не взима или няма да вземе подходящите и навременни мерки за разрешаване на въпросния случай, продължаването на трансфера би могло да доведе до неизбежен риск от сериозно увреждане на засегнатите лица и при тези обстоятелства компетентните органи на държавата-членка са положили основателни усилия да предупредят отговарящите за обработката лица, установени в Джърси, и да им дадат възможност за отговор.
2. Спирането на трансфера се отменя веднага щом стандартите за защита са осигурени и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки информират незабавно Комисията за приетите на основание член 3 мерки.
2. Държавите-членки и Комисията се информират взаимно за случаите, при които действието на органите, отговорни за осигуряване на спазването на стандартите за защита в Джърси, не успее да осигури тяхното спазване.
3. Ако информацията, събирана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, натоварен със задачата да гарантира съблюдаването на стандартите за защита в Джърси, не изпълнява ефикасно своята задача, Комисията уведомява за това компетентния орган в Джърси и ако се налага, представя проект за мерките, които следва да бъдат предприети съгласно процедурата по член 31, параграф 2 от Директива 95/46/ЕО с оглед отмяната или преустановяване на действието на настоящото решение или ограничаване на неговия обхват.
Член 5
Комисията контролира изпълнението на настоящото решение и докладва съответните констатации на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяко доказателство, което би могло да има отражение върху констатацията по силата на член 1 от настоящото решение, че защитата в Джърси е подходяща по смисъла на член 25 от Директива 95/46/ЕО, както и всяко доказателство, че решението се прилага по дискриминационен начин.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението в срок четири месеца, считано от датата на уведомяването им.
Член 7
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 8 май 2008 година.