ROZHODNUTÍ KOMISE
ze dne 31. ledna 2011
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Státem Izrael v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem K(2011) 332)
(Text s významem pro EHP)
(2011/61/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Právní řád Státu Izrael nemá psanou ústavu, avšak ústavní sílu dovodil Nejvyšší soud Státu Izrael u některých „základních zákonů“. Tyto „základní zákony“ doplňuje objemný soubor judikatury, jelikož se právní řád Izraele ve značném rozsahu řídí zásadami obyčejového práva. Právo na soukromí je zahrnuto v „základním zákonu o právu na lidskou důstojnost a svobodu“ v oddíle 7.
(6)
Právní normy upravující ochranu osobních údajů ve Státě Izrael vycházejí ve velké míře z norem stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně o ochraně soukromí 5741-1981, naposledy pozměněném v roce 2007 za účelem zavedení nových požadavků na zpracování osobních údajů a podrobné organizace orgánu dozoru.
(7)
Tyto právní předpisy v oblasti ochrany údajů dále doplňují vládní rozhodnutí provádějící zákon o ochraně soukromí 5741-1981 a o organizaci a fungování orgánu dozoru, která povětšinou vycházejí z doporučení formulovaných ve zprávě Komise pro přezkum právních předpisů týkajících se databází (Schoffmanova zpráva) pro ministerstvo spravedlnosti.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Právní normy v oblasti ochrany údajů platné ve Státě Izrael pokrývají všechny základní zásady nutné pro odpovídající úroveň ochrany pro fyzické osoby ve vztahu k zpracování osobních údajů automatizovanými databázemi. Kapitola 2 zákona o ochraně soukromí 5741-1981, která stanoví zásady zpracování osobních údajů, se nevztahuje na zpracování osobních údajů v databázích, které nejsou automatizované (manuální databáze).
(10)
Uplatňování právních norem ochrany osobních údajů zaručují správní a soudní prostředky nápravy a nezávislý dozor prováděný dozorčím orgánem, jímž je Izraelský úřad pro právo, informace a technologie (ILITA), který je nadán pravomocemi k provádění šetření a zásahů a je zcela nezávislý.
(11)
Izraelské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu izraelského práva a poskytly záruky ohledně provádění izraelských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Stát Izrael je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie do Státu Izrael nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Opačně, na mezinárodní předávání osobních údajů z EU do Státu Izrael, u kterého samo předávání a následné zpracování je prováděno výlučně neautomatizovanými prostředky, by se toto rozhodnutí nemělo vztahovat.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Závěry týkající se úrovně ochrany osobních údajů v tomto rozhodnutí odkazují na Stát Izrael vymezený podle mezinárodní práva. Další následné předávání příjemci mimo Stát Izrael vymezený podle mezinárodního práva by mělo být považováno za předávání osobních údajů do třetí země.
(15)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie, nebo o případy, kdy předávání není automatizované, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Ve svém kladném stanovisku pracovní skupina vyzvala izraelské úřady, aby přijaly další ustanovení, která rozšíří uplatňování izraelských právních předpisů na manuální databáze, výslovně uznají, že bude uplatňování zásada proporcionality na zpracování osobních údajů v soukromé sféře, a která budou vykládat výjimky při mezinárodním předávání tak, aby byl jejich výklad v souladu s požadavky stanovenými v jejím „pracovním dokumentu o jednotném výkladu čl. 26 odst. 1 směrnice 95/46/ES“ (2). Toto stanovisko bylo zohledněno při přípravě toho rozhodnutí (3).
(16)
Výbor zřízený podle čl. 31 odst. 1 směrnice 95/46/ES nepředložil stanovisko ve lhůtě stanovené jeho předsedou,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Izrael považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie, pokud jde o automatizované předávání osobních údajů z Evropské unie do Izraele nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael.
2. Orgánem dozoru Státu Izrael, který má pravomoc uplatňovat normy ochrany osobních údajů ve Státě Izrael, je Izraelský úřad pro právo, informace a technologie (ILITA) uvedený v příloze tohoto rozhodnutí.
Článek 2
1. Toto rozhodnutí se zabývá pouze úrovní ochrany zajišťované ve Státě Izrael vymezeném podle mezinárodního práva s cílem naplnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
2. Toto rozhodnutí se použije v souladu s mezinárodním právem. Rozhodnutím není dotčen status Golanských výšin, pásma Gazy a Západního břehu Jordánu, včetně východního Jeruzaléma podle mezinárodního práva.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci ve Státě Izrael s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný izraelský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany, pokud se lze důvodně domnívat, že příslušný orgán Státu Izrael včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené ve Státě Izrael a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského stát.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany ve Státě Izrael nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany ve Státě Izrael neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Státu Izrael a, bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany ve Státě Izrael odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem. Komise zejména sleduje zpracovávání osobních údajů v manuálních databázích.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho oznámení.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 31. ledna 2011.
DECIZIA COMISIEI
din 31 ianuarie 2011
în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind nivelul de protecție adecvat asigurat de Statul Israel privind prelucrarea automată a datelor cu caracter personal
[notificată cu numărul C(2011) 332]
(Text cu relevanță pentru SEE)
(2011/61/UE)
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 25 alineatul (6),
După consultarea Autorității Europene pentru Protecția Datelor,
întrucât:
(1)
În temeiul Directivei 95/46/CE, statelor membre li se cere să ia măsuri astfel încât transferul datelor cu caracter personal către o țară terță să poată avea loc numai în cazul în care țara terță în cauză asigură un nivel adecvat de protecție și în cazul în care legile statelor membre care pun în aplicare alte dispoziții ale directivei sunt respectate înainte de transfer.
(2)
Comisia poate constata că o țară terță asigură un nivel adecvat de protecție. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără să fie nevoie de garanții suplimentare.
(3)
În temeiul Directivei 95/46/CE, nivelul de protecție a datelor trebuie evaluat ținând seama de toate împrejurările care au legătură cu o operațiune de transfer de date sau cu o serie de operațiuni de transfer de date și acordând o atenție specială mai multor elemente relevante pentru transfer, enumerate la articolul 25.
(4)
Având în vedere diferitele abordări privind protecția datelor din țările terțe, evaluarea caracterului adecvat trebuie efectuată și orice decizie în temeiul articolului 25 alineatul (6) din Directiva 95/46/CE trebuie adoptată și pusă în aplicare astfel încât să nu creeze discriminări arbitrare sau nejustificate față de țările terțe în care există condiții similare ori între acestea, și să nu se constituie o barieră mascată în calea comerțului, ținând seama de angajamentele internaționale actuale ale Uniunii Europene.
(5)
Sistemul juridic din Statul Israel nu dispune de o constituție scrisă, însă Curtea Supremă din Statul Israel a acordat un statut constituțional anumitor „legi de bază”. Această „legislație de bază” este completată de o jurisprudență extinsă, întrucât sistemul juridic israelian aderă în mare măsură la principiile dreptului comun. Dreptul la protecția vieții private este inclus în legislația de bază: „Demnitate umană și libertate”, în secțiunea 7.
(6)
Standardele legale pentru protecția datelor cu caracter personal în Statul Israel sunt bazate în mare parte pe standardele stabilite prin Directiva 95/46/CE și sunt prevăzute în Legea privind protecția vieții private 5741-1981, modificată ultima dată în 2007 pentru a stabili noi cerințe privind prelucrarea datelor cu caracter personal și organizarea detaliată a autorității de supraveghere.
(7)
Legislația în domeniul protecției datelor este completată, de asemenea, de decizii guvernamentale privind punerea în aplicare a Legii privind protecția vieții private 5741-1981 și organizarea și funcționarea autorității de supraveghere, bazată în mare parte pe recomandările formulate în raportul adresat Ministerului Justiției de către Comitetul de examinare a legislației în ceea ce privește bazele de date (raportul Schoffman).
(8)
Mai multe instrumente juridice care reglementează diferite sectoare, precum legislația din sectorul financiar, reglementările în domeniul sănătății și registrele publice, conțin, de asemenea, dispoziții privind protecția datelor.
(9)
Standardele juridice în materie de protecție a datelor aplicabile în Statul Israel includ toate principiile de bază necesare pentru a asigura un nivel adecvat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal din bazele de date automatizate. Capitolul 2 din Legea privind protecția datelor 5741-1981, care prevede principiile de prelucrare a datelor cu caracter personal, nu se aplică prelucrării datelor cu caracter personal din bazele de date neautomatizate (bazele de date manuale).
(10)
Aplicarea standardelor juridice în materie de protecție a datelor este garantată prin căi de atac de ordin administrativ și judiciar, precum și printr-un control independent exercitat de autoritatea de supraveghere, și anume de Autoritatea privind legislația, informația și tehnologia din Statul Israel (ILITA), care este învestită cu atribuții de investigație și intervenție și care acționează în deplină independență.
(11)
Autoritățile israeliene responsabile de protecția datelor au dat explicații și asigurări referitoare la modul în care trebuie interpretată legislația israeliană și au confirmat că legislația israeliană privind protecția datelor este pusă în aplicare conform acestei interpretări. Prezenta decizie ține seama de explicațiile și asigurările respective și este, prin urmare, condiționată de acestea.
(12)
Prin urmare, ar trebui să se considere că Statul Israel asigură un nivel adecvat de protecție a datelor cu caracter personal, astfel cum este prevăzut în Directiva 95/46/CE, în ceea ce privește transferurile internaționale automatizate de date cu caracter personal din Uniunea Europeană către Statul Israel sau transferurile neautomatizate supuse unor prelucrări automatizate în Statul Israel. Pe de altă parte, transferurile internaționale de date cu caracter personal din UE către Statul Israel, atunci când atât transferul în sine, cât și prelucrarea ulterioară a datelor se efectuează exclusiv prin mijloace neautomatizate, nu intră sub incidența prezentei decizii.
(13)
Pentru a asigura transparența și pentru a garanta capacitatea autorităților competente ale statelor membre de a asigura protecția persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal, trebuie specificate circumstanțele excepționale în care poate fi justificată suspendarea anumitor fluxuri specifice de date, fără a aduce atingere constatării unui nivel adecvat de protecție.
(14)
Constatările prezentei decizii privind nivelul adecvat de protecție se referă la Statul Israel, astfel cum este definit în conformitate cu dreptul internațional. Transferurile ulterioare către un destinatar din afara Statului Israel, astfel cum este definit în conformitate cu dreptul internațional, ar trebui considerate transferuri de date cu caracter personal către țări terțe.
(15)
Grupul de lucru pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, stabilit în temeiul articolului 29 din Directiva 95/46/CE, și-a dat avizul favorabil cu privire la nivelul adecvat de protecție a datelor cu caracter personal în ceea ce privește transferurile internaționale automatizate de astfel de date din Uniunea Europeană sau transferurile neautomatizate supuse unor prelucrări automate în Statul Israel. În avizul său favorabil, grupul de lucru a încurajat autoritățile israeliene să adopte noi dispoziții care să extindă aplicarea legislației israeliene la bazele de date manuale, care să recunoască în mod explicit aplicarea principiului proporționalității la prelucrarea datelor cu caracter personal în sectorul privat și care să interpreteze excepțiile pentru transferurile internaționale de date în conformitate cu criteriile prevăzute în documentul său de lucru privind interpretarea comună a articolului 26 alineatul (1) din Directiva 95/46/CE (2). Acest aviz a fost luat în considerare pentru pregătirea prezentei decizii (3).
(16)
Comitetul instituit în temeiul articolului 31 alineatul (1) din Directiva 95/46/CE nu a emis un aviz în termenul stabilit de președintele acestuia,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
(1) În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, se consideră că Statul Israel oferă un nivel adecvat de protecție a datelor cu caracter personal transferate din Uniunea Europeană în ceea ce privește transferurile internaționale automate de date cu caracter personal din Uniunea Europeană sau în cazul transferurilor neautomate, dacă aceste sunt supuse unor prelucrări automate în Statul Israel.
(2) Autoritatea israeliană competentă în materie de supraveghere a aplicării standardelor juridice privind protecția datelor în Statul Israel este „Autoritatea privind legislația, informația și tehnologia din Statul Israel (ILITA)”, menționată în anexa la prezenta decizie.
Articolul 2
(1) Prezenta decizie se referă exclusiv la nivelul adecvat de protecție oferit în Statul Israel, astfel cum este definit în conformitate cu dreptul internațional, în vederea îndeplinirii cerințelor de la articolul 25 alineatul (1) din Directiva 95/46/CE și nu aduce atingere altor condiții sau restricții care pun în aplicare alte dispoziții din directiva menționată anterior care se referă la prelucrarea datelor cu caracter personal în statele membre.
(2) Prezenta decizie se aplică în conformitate cu dreptul internațional. Aceasta nu aduce atingere statutului Înălțimilor Golan, Fâșiei Gaza și Cisiordaniei, inclusiv Ierusalimului de Est, astfel cum este definit în conformitate cu dreptul internațional.
Articolul 3
(1) Fără a aduce atingere atribuțiilor lor de a lua măsuri pentru a asigura respectarea dispozițiilor naționale adoptate în temeiul unor alte dispoziții decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita atribuțiile pentru a suspenda fluxurile de date către un destinatar din Statul Israel în vederea protejării persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ale acestora, în următoarele cazuri:
(a)
atunci când o autoritate israeliană competentă a stabilit că destinatarul încalcă standardele de protecție aplicabile; sau
(b)
atunci când este foarte probabil ca standardele de protecție să fie încălcate, există motive întemeiate să se creadă că autoritatea israeliană competentă nu ia sau nu va lua măsuri adecvate și în timp util pentru a rezolva cauza respectivă, continuarea transferului ar crea un pericol iminent de prejudiciere gravă a persoanelor în cauză, iar autoritățile competente din statul membru au depus eforturi rezonabile în aceste circumstanțe de a avertiza partea responsabilă de prelucrarea datelor din Statul Israel și i-au oferit posibilitatea de a răspunde.
(2) Suspendarea încetează de îndată ce sunt asigurate standardele de protecție, iar autorității competente din statele membre în cauză i se aduce la cunoștință acest lucru.
Articolul 4
(1) Statele membre informează fără întârziere Comisia cu privire la măsurile luate în temeiul articolului 3.
(2) Statele membre și Comisia se informează reciproc cu privire la cazurile în care măsurile luate de autoritățile israeliene răspunzătoare de respectarea standardelor de protecție nu asigură această respectare a standardelor.
(3) În cazul în care informațiile culese în temeiul articolului 3 și al alineatelor (1) și (2) din prezentul articol demonstrează că un organism însărcinat cu asigurarea respectării standardelor de protecție în Statul Israel nu își îndeplinește eficient rolul, Comisia informează autoritatea israeliană competentă și, în cazul în care este necesar, prezintă un proiect de măsuri în conformitate cu procedura prevăzută la articolul 31 alineatul (2) din Directiva 95/46/CE în vederea abrogării sau suspendării prezentei decizii ori a limitării domeniului de aplicare a acesteia.
Articolul 5
Comisia evaluează punerea în aplicare a prezentei decizii și raportează orice constatare pertinentă comitetului înființat în temeiul articolului 31 din Directiva 95/46/CE, incluzând orice dovadă care ar putea afecta constatarea de la articolul 1 din prezenta decizie conform căruia protecția datelor în Statul Israel este adecvată, în sensul articolului 25 din Directiva 95/46/CE, precum și orice dovadă din care rezultă că prezenta decizie este aplicată în mod discriminatoriu. Comisia va monitoriza, în special, prelucrarea datelor cu caracter personal în bazele de date manuale.
Articolul 6
Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii în termen de 3 luni de la data notificării acesteia.
Articolul 7
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 31 ianuarie 2011.