BESCHLUSS DER KOMMISSION
vom 19. Oktober 2010
gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus in Andorra
(Bekannt gegeben unter Aktenzeichen K(2010) 7084)
(Text von Bedeutung für den EWR)
(2010/625/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
nach Anhörung des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die Rechtsvorschriften der Mitgliedstaaten zur Umsetzung anderer Bestimmungen der Richtlinie eingehalten werden, bevor die Übermittlung erfolgt.
(2)
Die Kommission kann feststellen, dass ein Drittland ein angemessenes Datenschutzniveau gewährleistet. In diesem Fall können personenbezogene Daten aus den Mitgliedstaaten übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Gemäß der Richtlinie 95/46/EG sind bei der Beurteilung des Datenschutzniveaus alle Umstände, die bei der Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen, insbesondere eine Reihe bei der Datenübermittlung relevanter und in Artikel 25 der Richtlinie aufgeführter Aspekte, zu berücksichtigen.
(4)
Angesichts der unterschiedlichen Ansätze von Drittländern im Bereich des Datenschutzes sollten die Beurteilung der Angemessenheit sowie etwaige Beschlüsse gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG und deren Durchsetzung in einer Form erfolgen, die gegen Drittländer bzw. unter Drittländern, in denen gleiche Bedingungen herrschen, nicht willkürlich oder ungerechtfertigt diskriminierend wirkt und unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Europäischen Union kein verstecktes Handelshemmnis darstellt.
(5)
Der Staat Andorra ist ein parlamentarisches Co-Fürstentum; Co-Fürsten sind der Präsident der Französischen Republik und der Bischof von Urgell.
(6)
Das Recht auf Privatsphäre ist in Artikel 14 der Verfassung des Fürstentums Andorra (Constitució del Principat d’Andorra) verankert, die durch eine Volksabstimmung am 14. März 1993 angenommen wurde.
(7)
Die Rechtsvorschriften zum Schutz personenbezogener Daten in Andorra stützen sich weitgehend auf die in der Richtlinie 95/46/EG vorgegebenen Normen und sind im qualifizierten Gesetz 15/2003 vom 18. Dezember über den Schutz personenbezogener Daten (Llei qualificada de protecció de dades personals - LQPDP) niedergelegt. Ergänzt werden die Datenschutzvorschriften durch den Erlass vom 1. Juli 2004 zur Einrichtung des Öffentlichen Registers zur Erfassung von Dateien mit personenbezogenen Daten und durch den Erlass vom 9. Juni 2010 zur Genehmigung der Verordnungen der andorranischen Datenschutzagentur. In dem letztgenannten Erlass wurden einige Fragen geklärt, die die durch Artikel 29 der Richtlinie 95/46/EG eingesetzte Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten in ihrer Stellungnahme vom 1. Dezember 2009 (2) aufgeworfen hatte.
(8)
Datenschutzrechtliche Bestimmungen sind darüber hinaus in einer Reihe von Rechtsinstrumenten zur Regulierung einzelner Sektoren enthalten, zum Beispiel in den Rechtsvorschriften für den Finanzsektor, das Gesundheitswesen und die öffentlichen Register.
(9)
Andorra hat das Übereinkommen des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 28. Januar 1981 und das Zusatzprotokoll zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Kontrollstellen und grenzüberschreitendem Datenverkehr vom 8. November 2001 sowie die Konvention zum Schutze der Menschenrechte und Grundfreiheiten des Europarates vom 4. November 1950, in Andorra seit dem 22. Januar 1996 in Kraft, und den Internationalen Pakt über bürgerliche und politische Rechte vom 16. Dezember 1966, in Andorra seit dem 19. Juli 2006 in Kraft, ratifiziert.
(10)
Die in Andorra für den Datenschutz geltenden Rechtsnormen enthalten sämtliche Grundsätze, deren Einhaltung für einen angemessenen Schutz natürlicher Personen erforderlich ist; außerdem sehen sie zur Wahrung wichtiger öffentlicher Interessen Ausnahmen und Einschränkungen vor. Um die Anwendung dieser Datenschutznormen zu garantieren, stehen administrative und gerichtliche Rechtsbehelfe zur Verfügung, und die mit Untersuchungs- und Eingriffskompetenzen ausgestattete und in völliger Unabhängigkeit handelnde andorranische Datenschutzagentur gewährleistet eine unabhängige Überwachung.
(11)
Die andorranischen Datenschutzbehörden haben Erläuterungen und Zusicherungen im Hinblick darauf gegeben, wie das andorranische Recht auszulegen ist; sie haben darüber hinaus zugesichert, dass die andorranischen Datenschutzvorschriften gemäß dieser Auslegung umgesetzt werden. Der vorliegende Beschluss trägt diesen Erläuterungen und Zusicherungen Rechnung und stützt sich darauf.
(12)
Daher ist Andorra als Land anzusehen, das ein angemessenes Schutzniveau für personenbezogene Daten im Sinne der Richtlinie 95/46/EG bietet.
(13)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(14)
Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine befürwortende Stellungnahme zur Angemessenheit des Schutzes personenbezogener Daten abgegeben; diese Stellungnahme wurde bei der Ausarbeitung des vorliegenden Beschlusses berücksichtigt (3). In ihrer befürwortenden Stellungnahme hat die Gruppe die andorranischen Behörden ermutigt, das laufende Verfahren zur Annahme weiterer Bestimmungen, die die Anwendung der andorranischen Rechtsvorschriften auf automatisierte Einzelentscheidungen ausdehnen werden, voranzutreiben, da dies derzeit in dem andorranischen qualifizierten Gesetz über den Schutz personenbezogener Daten nicht ausdrücklich festgelegt ist.
(15)
Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des Ausschusses, der durch Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Für die Zwecke von Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird Andorra als Land angesehen, das ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der Europäischen Union bietet.
Artikel 2
Dieser Beschluss betrifft die Angemessenheit des Schutzes, den Andorra bietet, um den Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG zu genügen; andere Bedingungen oder Einschränkungen zur Umsetzung sonstiger Bestimmungen der Richtlinie hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten bleiben davon unberührt.
Artikel 3
(1) Die zuständigen Behörden der Mitgliedstaaten können unbeschadet ihrer Handlungsbefugnis zum Zwecke der Einhaltung einzelstaatlicher Vorschriften, die gemäß anderen Bestimmungen als denen des Artikels 25 der Richtlinie 95/46/EG erlassen wurden, von ihrem Recht Gebrauch machen, die Datenübermittlung an einen Empfänger in Andorra zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten auszusetzen, wenn
a)
eine zuständige Behörde Andorras feststellt, dass der Datenempfänger die geltenden Datenschutzvorschriften nicht einhält, oder
b)
eine hohe Wahrscheinlichkeit besteht, dass die Schutzvorschriften verletzt werden, Grund zur Annahme besteht, dass die zuständige Behörde in Andorra nicht rechtzeitig geeignete Maßnahmen ergreift bzw. ergreifen wird, um den betreffenden Fall zu regeln, die Fortsetzung der Datenübermittlung den betroffenen Personen unmittelbar einen schweren Schaden zuzufügen droht und die zuständigen Behörden der Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die für die Datenverarbeitung verantwortliche Stelle in Andorra zu benachrichtigen und ihr Gelegenheit zur Stellungnahme zu geben.
(2) Die Aussetzung ist zu beenden, sobald sichergestellt ist, dass die Vorschriften eingehalten werden und die zuständigen Behörden der betroffenen Mitgliedstaaten davon in Kenntnis gesetzt sind.
Artikel 4
(1) Die Mitgliedstaaten unterrichten die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 3 ergriffen werden.
(2) Die Mitgliedstaaten und die Kommission unterrichten einander über Fälle, in denen die Maßnahmen der für die Einhaltung der Vorschriften in Andorra verantwortlichen Einrichtungen nicht ausreichen, um ein angemessenes Schutzniveau zu gewährleisten.
(3) Ergeben die nach Artikel 3 und nach Artikel 4 Absätze 1 und 2 gewonnenen Erkenntnisse, dass eine für die Einhaltung der Vorschriften in Andorra verantwortliche Einrichtung ihre Aufgabe nicht wirksam erfüllt, so unterrichtet die Kommission die zuständige andorranische Behörde und schlägt erforderlichenfalls Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren zur Aufhebung oder Aussetzung dieses Beschlusses oder zur Beschränkung seines Geltungsbereichs vor.
Artikel 5
Die Kommission überwacht die Durchführung dieses Beschlusses und unterrichtet den durch Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse; dazu zählen auch Erkenntnisse, die sich auf die Feststellung in Artikel 1 dieses Beschlusses auswirken könnten, wonach Andorra ein angemessenes Schutzniveau im Sinne von Artikel 25 der Richtlinie 95/46/EG bietet, oder die darauf hindeuten, dass dieser Beschluss in diskriminierender Weise angewandt wird.
Artikel 6
Die Mitgliedstaaten ergreifen die erforderlichen Maßnahmen, um dem Beschluss bis 1. Januar 2011 nachzukommen.
Artikel 7
Dieser Beschluss ist an die Mitgliedstaaten gerichtet.
Brüssel, den 19. Oktober 2010
DECIZIA COMISIEI
din 19 octombrie 2010
în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind nivelul adecvat de protecție a datelor cu caracter personal în Andorra
[notificată cu numărul C(2010) 7084]
(Text cu relevanță pentru SEE)
(2010/625/UE)
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 25 alineatul (6),
după consultarea Autorității Europene pentru Protecția Datelor,
întrucât:
(1)
În temeiul Directivei 95/46/CE, statelor membre li se cere să ia măsuri astfel încât transferul datelor cu caracter personal către o țară terță să poată avea loc numai în cazul în care țara terță în cauză asigură un nivel adecvat de protecție și în cazul în care legile statelor membre care pun în aplicare alte dispoziții ale directivei sunt respectate înainte de transfer.
(2)
Comisia poate să constate că o țară terță asigură un nivel adecvat de protecție. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără să fie nevoie de garanții suplimentare.
(3)
În temeiul Directivei 95/46/CE, nivelul de protecție a datelor trebuie evaluat ținând seama de toate împrejurările care au legătură cu o operațiune de transfer de date sau cu o serie de operațiuni de transfer de date și acordând o atenție specială mai multor elemente relevante pentru transfer, enumerate la articolul 25.
(4)
Având în vedere diferitele abordări ale țărilor terțe privind protecția datelor, este necesară evaluarea caracterului adecvat și orice decizie în temeiul articolului 25 alineatul (6) din Directiva 95/46/CE trebuie adoptată și pusă în aplicare astfel încât să nu creeze discriminări arbitrare sau nejustificate ale țărilor terțe sau între țările terțe în care există condiții similare, nici să nu se constituie un obstacol disimulat în calea comerțului, ținând seama de angajamentele internaționale actuale ale Uniunii Europene.
(5)
Andorra este un stat care dispune de un sistem de coprincipat parlamentar în care președintele Republicii Franceze și arhiepiscopul de Urgell au calitatea de coprincipi.
(6)
Dreptul la viață privată este consacrat la articolul 14 din Constituția Principatului Andorra (Constitució del Principat d’Andorra), astfel cum a fost aprobată prin referendum popular la 14 martie 1993.
(7)
Normele juridice privind protecția datelor cu caracter personal în Andorra se bazează în mare parte pe standardele stabilite în Directiva 95/46/CE și sunt prevăzute în Legea calificată 15/2003 din 18 decembrie privind protecția datelor cu caracter personal (Llei qualificada de protecció de dades personals) (LQPDP). Această legislație privind protecția datelor este completată de Decretul din 1 iulie 2004 de instituire a registrului public pentru înscrierea fișierelor de date cu caracter personal și de Decretul din 9 iunie 2010 de aprobare a reglementărilor Agenției pentru Protecția Datelor din Andorra. Cel de al doilea instrument clarifică mai multe probleme identificate de Grupul de lucru privind protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, constituit în temeiul articolului 29 din Directiva 95/46/CE, în avizul adoptat de acesta la 1 decembrie 2009 (2).
(8)
Mai multe instrumente juridice care reglementează diferite sectoare, precum legislația din sectorul financiar, reglementările în domeniul sănătății și registrele publice, conțin, de asemenea, dispoziții privind protecția datelor.
(9)
Andorra a ratificat Convenția Consiliului Europei privind protecția persoanelor fizice în ceea ce privește prelucrarea automată a datelor cu caracter personal din 28 ianuarie 1981 și Protocolul adițional la Convenția privind protecția persoanelor fizice în ceea ce privește prelucrarea automată a datelor cu caracter personal cu privire la autoritățile de control și fluxul transfrontalier al datelor din 8 noiembrie 2001, precum și Convenția Consiliului Europei pentru apărarea drepturilor omului și a libertăților fundamentale din 4 noiembrie 1950, care este în vigoare în Andorra din 22 ianuarie 1996, și Pactul privind drepturile civile și politice din 16 decembrie 1966, care este în vigoare în Andorra din 19 iulie 2006.
(10)
Standardele juridice în materie de protecție a datelor aplicabile în Andorra includ toate principiile de bază necesare pentru a asigura un nivel adecvat de protecție a datelor și prevăd, de asemenea, excepții și limitări menite să protejeze interesele publice importante. Aplicarea acestor standarde juridice în materie de protecție a datelor este garantată prin căi de atac de ordin administrativ și judiciar, precum și printr-un control independent exercitat de autoritatea de supraveghere, și anume de Agenția pentru Protecția Datelor din Andorra, care este învestită cu atribuții de investigație și intervenție și care acționează în deplină independență.
(11)
Autoritățile responsabile de protecția datelor din Andorra au dat explicații și asigurări referitoare la modul în care trebuie interpretată legislația din Andorra și au confirmat că legislația privind protecția datelor din Andorra este pusă în aplicare conform acestei interpretări. Prezenta decizie ține seama de explicațiile și asigurările respective și este, prin urmare, condiționată de acestea.
(12)
Prin urmare, ar trebui să se considere că Andorra asigură un nivel adecvat de protecție a datelor cu caracter personal, astfel cum este prevăzut în Directiva 95/46/CE.
(13)
Pentru a asigura transparența și pentru a garanta capacitatea autorităților competente ale statelor membre de a asigura protecția persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal, trebuie specificate circumstanțele excepționale în care poate fi justificată suspendarea anumitor fluxuri specifice de date, fără a aduce atingere constatării nivelului adecvat de protecție.
(14)
Grupul de lucru privind protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, constituit în temeiul articolului 29 din Directiva 95/46/CE, a elaborat un aviz favorabil cu privire la nivelul adecvat de protecție a datelor cu caracter personal, aviz care a fost luat în considerare în pregătirea prezentei decizii (3). În avizul său favorabil, grupul de lucru a încurajat autoritățile din Andorra să continue procesul în curs care vizează adoptarea unor dispoziții suplimentare care vor extinde domeniul de aplicare al legislației din Andorra la deciziile individuale bazate pe prelucrare automată, deoarece acest aspect nu este deocamdată recunoscut în mod expres de Legea calificată din Andorra privind protecția datelor cu caracter personal.
(15)
Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului instituit în temeiul articolului 31 alineatul (1) din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, se consideră că Andorra asigură un nivel adecvat de protecție a datelor cu caracter personal transferate din Uniunea Europeană.
Articolul 2
Prezenta decizie se referă la caracterul adecvat al protecției asigurate în Andorra în vederea îndeplinirii cerințelor de la articolul 25 alineatul (1) din Directiva 95/46/CE și nu aduce atingere altor condiții sau restricții care pun în aplicare alte dispoziții din directiva menționată anterior, referitoare la prelucrarea datelor cu caracter personal în statele membre.
Articolul 3
(1) Fără a aduce atingere atribuțiilor lor de a lua măsuri pentru a asigura respectarea dispozițiilor naționale adoptate în temeiul unor alte dispoziții decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita atribuțiile pentru a suspenda fluxurile de date către un destinatar din Andorra în vederea protejării persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ale acestora, în următoarele cazuri:
(a)
atunci când o autoritate competentă din Andorra a stabilit că destinatarul încalcă standardele de protecție aplicabile; sau
(b)
atunci când există motive întemeiate să se creadă că autoritatea competentă din Andorra nu ia sau nu va lua măsuri adecvate în timp util pentru a soluționa cazul respectiv, când continuarea transferului ar crea un risc iminent de prejudiciere gravă a persoanelor în cauză și când autoritățile competente din statul membru au depus eforturi rezonabile în aceste circumstanțe pentru a avertiza partea responsabilă de prelucrarea datelor din Andorra și a îi oferi posibilitatea de a răspunde.
(2) Suspendarea încetează de îndată ce sunt asigurate standardele de protecție, iar autorității competente din statele membre în cauză i se aduce la cunoștință acest lucru.
Articolul 4
(1) Statele membre informează fără întârziere Comisia cu privire la măsurile luate în temeiul articolului 3.
(2) Statele membre și Comisia se informează reciproc asupra cazurilor în care măsurile luate de autoritățile din Andorra, răspunzătoare de respectarea standardelor de protecție, nu își ating scopul.
(3) În cazul în care informațiile culese în temeiul articolului 3 și al alineatelor (1) și (2) de la prezentul articol demonstrează că un organism însărcinat cu asigurarea respectării standardelor de protecție în Andorra nu își îndeplinește eficient rolul, Comisia informează autoritatea competentă din Andorra și, în cazul în care este necesar, prezintă un proiect de măsuri în conformitate cu procedura prevăzută la articolul 31 alineatul (2) din Directiva 95/46/CE, în vederea abrogării sau suspendării prezentei decizii ori a limitării domeniului de aplicare al acesteia.
Articolul 5
Comisia monitorizează punerea în aplicare a prezentei decizii și raportează orice constatare pertinentă comitetului înființat în temeiul articolului 31 din Directiva 95/46/CE, incluzând orice dovadă care ar putea afecta constatarea de la articolul 1 din prezenta decizie conform căruia protecția datelor în Andorra este adecvată, în sensul articolului 25 din Directiva 95/46/CE, precum și orice dovadă din care rezultă că prezenta decizie este aplicată în mod discriminatoriu.
Articolul 6
Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii până la 1 ianuarie 2011.
Articolul 7
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 19 octombrie 2010.