BESCHLUSS DER KOMMISSION
vom 19. Oktober 2010
gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus in Andorra
(Bekannt gegeben unter Aktenzeichen K(2010) 7084)
(Text von Bedeutung für den EWR)
(2010/625/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
nach Anhörung des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die Rechtsvorschriften der Mitgliedstaaten zur Umsetzung anderer Bestimmungen der Richtlinie eingehalten werden, bevor die Übermittlung erfolgt.
(2)
Die Kommission kann feststellen, dass ein Drittland ein angemessenes Datenschutzniveau gewährleistet. In diesem Fall können personenbezogene Daten aus den Mitgliedstaaten übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Gemäß der Richtlinie 95/46/EG sind bei der Beurteilung des Datenschutzniveaus alle Umstände, die bei der Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen, insbesondere eine Reihe bei der Datenübermittlung relevanter und in Artikel 25 der Richtlinie aufgeführter Aspekte, zu berücksichtigen.
(4)
Angesichts der unterschiedlichen Ansätze von Drittländern im Bereich des Datenschutzes sollten die Beurteilung der Angemessenheit sowie etwaige Beschlüsse gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG und deren Durchsetzung in einer Form erfolgen, die gegen Drittländer bzw. unter Drittländern, in denen gleiche Bedingungen herrschen, nicht willkürlich oder ungerechtfertigt diskriminierend wirkt und unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Europäischen Union kein verstecktes Handelshemmnis darstellt.
(5)
Der Staat Andorra ist ein parlamentarisches Co-Fürstentum; Co-Fürsten sind der Präsident der Französischen Republik und der Bischof von Urgell.
(6)
Das Recht auf Privatsphäre ist in Artikel 14 der Verfassung des Fürstentums Andorra (Constitució del Principat d’Andorra) verankert, die durch eine Volksabstimmung am 14. März 1993 angenommen wurde.
(7)
Die Rechtsvorschriften zum Schutz personenbezogener Daten in Andorra stützen sich weitgehend auf die in der Richtlinie 95/46/EG vorgegebenen Normen und sind im qualifizierten Gesetz 15/2003 vom 18. Dezember über den Schutz personenbezogener Daten (Llei qualificada de protecció de dades personals - LQPDP) niedergelegt. Ergänzt werden die Datenschutzvorschriften durch den Erlass vom 1. Juli 2004 zur Einrichtung des Öffentlichen Registers zur Erfassung von Dateien mit personenbezogenen Daten und durch den Erlass vom 9. Juni 2010 zur Genehmigung der Verordnungen der andorranischen Datenschutzagentur. In dem letztgenannten Erlass wurden einige Fragen geklärt, die die durch Artikel 29 der Richtlinie 95/46/EG eingesetzte Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten in ihrer Stellungnahme vom 1. Dezember 2009 (2) aufgeworfen hatte.
(8)
Datenschutzrechtliche Bestimmungen sind darüber hinaus in einer Reihe von Rechtsinstrumenten zur Regulierung einzelner Sektoren enthalten, zum Beispiel in den Rechtsvorschriften für den Finanzsektor, das Gesundheitswesen und die öffentlichen Register.
(9)
Andorra hat das Übereinkommen des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 28. Januar 1981 und das Zusatzprotokoll zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Kontrollstellen und grenzüberschreitendem Datenverkehr vom 8. November 2001 sowie die Konvention zum Schutze der Menschenrechte und Grundfreiheiten des Europarates vom 4. November 1950, in Andorra seit dem 22. Januar 1996 in Kraft, und den Internationalen Pakt über bürgerliche und politische Rechte vom 16. Dezember 1966, in Andorra seit dem 19. Juli 2006 in Kraft, ratifiziert.
(10)
Die in Andorra für den Datenschutz geltenden Rechtsnormen enthalten sämtliche Grundsätze, deren Einhaltung für einen angemessenen Schutz natürlicher Personen erforderlich ist; außerdem sehen sie zur Wahrung wichtiger öffentlicher Interessen Ausnahmen und Einschränkungen vor. Um die Anwendung dieser Datenschutznormen zu garantieren, stehen administrative und gerichtliche Rechtsbehelfe zur Verfügung, und die mit Untersuchungs- und Eingriffskompetenzen ausgestattete und in völliger Unabhängigkeit handelnde andorranische Datenschutzagentur gewährleistet eine unabhängige Überwachung.
(11)
Die andorranischen Datenschutzbehörden haben Erläuterungen und Zusicherungen im Hinblick darauf gegeben, wie das andorranische Recht auszulegen ist; sie haben darüber hinaus zugesichert, dass die andorranischen Datenschutzvorschriften gemäß dieser Auslegung umgesetzt werden. Der vorliegende Beschluss trägt diesen Erläuterungen und Zusicherungen Rechnung und stützt sich darauf.
(12)
Daher ist Andorra als Land anzusehen, das ein angemessenes Schutzniveau für personenbezogene Daten im Sinne der Richtlinie 95/46/EG bietet.
(13)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(14)
Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine befürwortende Stellungnahme zur Angemessenheit des Schutzes personenbezogener Daten abgegeben; diese Stellungnahme wurde bei der Ausarbeitung des vorliegenden Beschlusses berücksichtigt (3). In ihrer befürwortenden Stellungnahme hat die Gruppe die andorranischen Behörden ermutigt, das laufende Verfahren zur Annahme weiterer Bestimmungen, die die Anwendung der andorranischen Rechtsvorschriften auf automatisierte Einzelentscheidungen ausdehnen werden, voranzutreiben, da dies derzeit in dem andorranischen qualifizierten Gesetz über den Schutz personenbezogener Daten nicht ausdrücklich festgelegt ist.
(15)
Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des Ausschusses, der durch Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Für die Zwecke von Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird Andorra als Land angesehen, das ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der Europäischen Union bietet.
Artikel 2
Dieser Beschluss betrifft die Angemessenheit des Schutzes, den Andorra bietet, um den Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG zu genügen; andere Bedingungen oder Einschränkungen zur Umsetzung sonstiger Bestimmungen der Richtlinie hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten bleiben davon unberührt.
Artikel 3
(1) Die zuständigen Behörden der Mitgliedstaaten können unbeschadet ihrer Handlungsbefugnis zum Zwecke der Einhaltung einzelstaatlicher Vorschriften, die gemäß anderen Bestimmungen als denen des Artikels 25 der Richtlinie 95/46/EG erlassen wurden, von ihrem Recht Gebrauch machen, die Datenübermittlung an einen Empfänger in Andorra zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten auszusetzen, wenn
a)
eine zuständige Behörde Andorras feststellt, dass der Datenempfänger die geltenden Datenschutzvorschriften nicht einhält, oder
b)
eine hohe Wahrscheinlichkeit besteht, dass die Schutzvorschriften verletzt werden, Grund zur Annahme besteht, dass die zuständige Behörde in Andorra nicht rechtzeitig geeignete Maßnahmen ergreift bzw. ergreifen wird, um den betreffenden Fall zu regeln, die Fortsetzung der Datenübermittlung den betroffenen Personen unmittelbar einen schweren Schaden zuzufügen droht und die zuständigen Behörden der Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die für die Datenverarbeitung verantwortliche Stelle in Andorra zu benachrichtigen und ihr Gelegenheit zur Stellungnahme zu geben.
(2) Die Aussetzung ist zu beenden, sobald sichergestellt ist, dass die Vorschriften eingehalten werden und die zuständigen Behörden der betroffenen Mitgliedstaaten davon in Kenntnis gesetzt sind.
Artikel 4
(1) Die Mitgliedstaaten unterrichten die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 3 ergriffen werden.
(2) Die Mitgliedstaaten und die Kommission unterrichten einander über Fälle, in denen die Maßnahmen der für die Einhaltung der Vorschriften in Andorra verantwortlichen Einrichtungen nicht ausreichen, um ein angemessenes Schutzniveau zu gewährleisten.
(3) Ergeben die nach Artikel 3 und nach Artikel 4 Absätze 1 und 2 gewonnenen Erkenntnisse, dass eine für die Einhaltung der Vorschriften in Andorra verantwortliche Einrichtung ihre Aufgabe nicht wirksam erfüllt, so unterrichtet die Kommission die zuständige andorranische Behörde und schlägt erforderlichenfalls Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren zur Aufhebung oder Aussetzung dieses Beschlusses oder zur Beschränkung seines Geltungsbereichs vor.
Artikel 5
Die Kommission überwacht die Durchführung dieses Beschlusses und unterrichtet den durch Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse; dazu zählen auch Erkenntnisse, die sich auf die Feststellung in Artikel 1 dieses Beschlusses auswirken könnten, wonach Andorra ein angemessenes Schutzniveau im Sinne von Artikel 25 der Richtlinie 95/46/EG bietet, oder die darauf hindeuten, dass dieser Beschluss in diskriminierender Weise angewandt wird.
Artikel 6
Die Mitgliedstaaten ergreifen die erforderlichen Maßnahmen, um dem Beschluss bis 1. Januar 2011 nachzukommen.
Artikel 7
Dieser Beschluss ist an die Mitgliedstaaten gerichtet.
Brüssel, den 19. Oktober 2010
DECISIONE DELLA COMMISSIONE
del 19 ottobre 2010
ai sensi della direttiva 95/46/CE del Parlamento europeo e del Consiglio sull’adeguata protezione dei dati personali ad Andorra
[notificata con il numero C(2010) 7084]
(Testo rilevante ai fini del SEE)
(2010/625/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l’articolo 25, paragrafo 6,
sentito il Garante europeo della protezione dei dati,
considerando quanto segue:
(1)
Ai sensi della direttiva 95/46/CE, gli Stati membri devono far sì che il trasferimento di dati personali a un paese terzo abbia luogo solo se il paese in questione garantisce adeguati livelli di protezione e dopo aver accertato, prima del trasferimento, che siano osservate le norme degli Stati membri che attuano altre disposizioni della direttiva.
(2)
La Commissione può constatare che un paese terzo garantisce adeguati livelli di tutela. In tal caso, gli Stati membri possono trasferirvi dati personali senza la necessità di ulteriori garanzie.
(3)
Secondo la direttiva 95/46/CE il livello di protezione dei dati va accertato alla luce di tutte le circostanze che accompagnano l’operazione, o le operazioni, di trasferimento dei dati, dando particolare rilievo agli elementi del trasferimento di cui all’articolo 25 della direttiva.
(4)
Data la diversità dei sistemi di protezione dei dati nei paesi terzi, la valutazione dell’adeguatezza va effettuata, e ogni decisione ai sensi dell’articolo 25, paragrafo 6, della direttiva 95/46/CE va presa e applicata, senza discriminazioni ingiustificate o arbitrarie contro o tra paesi terzi in cui esistono condizioni simili e senza creare ostacoli mascherati al libero scambio, nel rispetto degli attuali impegni internazionali assunti dall’Unione europea.
(5)
Andorra è uno Stato dotato di un sistema di coprincipato parlamentare, in cui le funzioni dei coprincipi sono esercitate dal presidente della Repubblica francese e dall’arcivescovo di Urgell.
(6)
Il diritto alla riservatezza è sancito dall’articolo 14 della costituzione del Principato di Andorra (Constitució del Principat d’Andorra), approvata dal referendum popolare del 14 marzo 1993.
(7)
Ad Andorra, le norme giuridiche a tutela dei dati personali sono ampiamente basate sulle disposizioni della direttiva 95/46/CE e sono iscritte nella legge qualificata n. 15/2003 del 18 dicembre sulla protezione dei dati personali (Llei qualificada de protecció de dades personals, LQPDP). Questa normativa in materia di protezione dei dati personali è completata dal decreto del 1o luglio 2004, che adotta il registro pubblico degli archivi di dati personali, e dal decreto del 9 giugno 2010, che adotta il regolamento dell’Agenzia andorrana per la protezione dei dati. Quest’ultimo strumento chiarisce diverse questioni sollevate, nel suo parere del 1o dicembre 2009, dal gruppo di lavoro sulla tutela delle persone con riguardo al trattamento dei dati personali, istituito dall’articolo 29 della direttiva 95/46/CE (2).
(8)
Disposizioni relative alla protezione dei dati figurano anche in numerosi strumenti giuridici che disciplinano diversi settori, quali la legislazione del settore finanziario, la normativa sanitaria e i registri pubblici.
(9)
Andorra ha ratificato la Convenzione del Consiglio d’Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, del 28 gennaio 1981, e il Protocollo addizionale alla Convenzione sulla protezione delle persone rispetto al trattamento automatizzato dei dati a carattere personale, concernente le autorità di controllo ed i flussi transfrontalieri, dell’8 novembre 2001, nonché la Convenzione del Consiglio d’Europa per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali del 4 novembre 1950, in vigore ad Andorra dal 22 gennaio 1996, e il Patto internazionale relativo ai diritti civili e politici del 16 dicembre 1966, in vigore ad Andorra dal 19 luglio 2006.
(10)
Le norme giuridiche applicabili ad Andorra in materia di protezione dei dati contengono tutti i principi di un adeguato livello di tutela delle persone fisiche e prevedono eccezioni e restrizioni al fine di salvaguardare importanti interessi pubblici. L’applicazione di tali norme è garantita da mezzi di ricorso amministrativi e giurisdizionali e dal controllo indipendente esercitato dall’autorità di controllo, l’Agenzia andorrana per la protezione dei dati, dotata di poteri d’indagine e d’intervento e che opera in piena indipendenza.
(11)
Le autorità andorrane competenti per la protezione dei dati hanno fornito spiegazioni e garanzie relative all’interpretazione della legislazione di Andorra e hanno assicurato che la legislazione in materia di protezione dei dati è applicata conformemente a tale interpretazione. La presente decisione tiene conto di tali spiegazioni e garanzie, dalle quali di conseguenza dipende.
(12)
Si ritiene pertanto che Andorra fornisca adeguati livelli di protezione dei dati personali ai sensi della direttiva 95/46/CE.
(13)
Per salvaguardare la trasparenza e la capacità delle competenti autorità degli Stati membri di garantire la tutela delle persone riguardo al trattamento dei dati personali di queste ultime, vanno precisate le circostanze eccezionali che giustificano la sospensione di particolari flussi di dati, nonostante l’esistenza di un’adeguata tutela.
(14)
Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha espresso un parere favorevole sul livello di adeguatezza della protezione dei dati personali, di cui si è tenuto conto nella stesura della presente decisione (3). In tale parere, il gruppo ha incoraggiato le autorità andorrane a portare avanti il processo di adozione di ulteriori disposizioni che estendano l’applicazione della legislazione di Andorra alle decisioni individuali automatizzate, che attualmente non sono contemplate esplicitamente dalla legge qualificata di Andorra sulla protezione dei dati personali.
(15)
Le misure previste dalla presente decisione sono conformi al parere del comitato istituito ai sensi dell’articolo 31, paragrafo 1, della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Per le finalità di cui all’articolo 25, paragrafo 2, della direttiva 95/46/CE, si ritiene che Andorra fornisca un adeguato livello di protezione dei dati personali trasferiti dall’Unione europea.
Articolo 2
La presente decisione riguarda l’adeguatezza della protezione fornita ad Andorra al fine di soddisfare i requisiti di cui all’articolo 25, paragrafo 1, della direttiva 95/46/CE e non produce alcun effetto su altre condizioni o restrizioni conseguenti all’attuazione di altre disposizioni della direttiva riguardanti il trattamento dei dati personali all’interno degli Stati membri.
Articolo 3
1. Fatti salvi i poteri di intervento al fine di garantire il rispetto dei provvedimenti nazionali adottati in applicazione di disposizioni diverse dall’articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri hanno facoltà di sospendere i trasferimenti di dati verso destinatari ad Andorra al fine di tutelare i cittadini nell’ambito del trattamento dei loro dati personali nei casi in cui:
a)
un’autorità competente andorrana abbia constatato che il destinatario non rispetta le norme applicabili relative alla protezione; oppure
b)
sia fortemente probabile una violazione delle norme di protezione; vi siano motivi ragionevoli di ritenere che le autorità competenti andorrane non adottino o non intendano adottare misure adeguate e tempestive per risolvere il caso in questione; la continuazione del trasferimento dei dati comporti un rischio imminente di grave pregiudizio per le persone interessate e le autorità competenti degli Stati membri abbiano fatto il possibile, date le circostanze, per avvertire il responsabile del trattamento ad Andorra e dargli la possibilità di replicare.
2. La sospensione cessa non appena sia garantito il rispetto delle norme di protezione e ne sia informata l’autorità competente dello Stato membro interessato.
Articolo 4
1. Gli Stati membri informano immediatamente la Commissione dell’adozione di provvedimenti ai sensi dell’articolo 3.
2. Gli Stati membri e la Commissione si informano reciprocamente dei casi in cui l’azione degli organismi andorrani responsabili per il rispetto delle norme di protezione non sia sufficiente a garantire tale rispetto.
3. Ove risulti provato, dalle informazioni di cui all’articolo 3 e ai paragrafi 1 e 2 del presente articolo, che gli organismi andorrani incaricati di garantire il rispetto delle norme di protezione non svolgono la loro funzione in modo efficace, la Commissione avverte le autorità andorrane competenti e, se necessario, presenta progetti di misure, con la procedura di cui all’articolo 31, paragrafo 2, della direttiva 95/46/CE, al fine di abrogare o sospendere la presente decisione o di limitarne il campo d’applicazione.
Articolo 5
La Commissione verifica l’applicazione della presente decisione e comunica qualsiasi informazione utile al comitato istituito dall’articolo 31 della direttiva 95/46/CE, in particolare ogni elemento rilevante ai fini della valutazione di cui all’articolo 1 della presente decisione, circa l’adeguatezza della protezione ad Andorra ai sensi dell’articolo 25 della direttiva 95/46/CE e ogni elemento che dimostri che la presente decisione è applicata in modo discriminatorio.
Articolo 6
Gli Stati membri adottano le misure necessarie per conformarsi alla presente decisione entro il 1o gennaio 2011.
Articolo 7
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 19 ottobre 2010.