РЕШЕНИЕ НА КОМИСИЯТА
от 31 януари 2011 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Държавата Израел във връзка с автоматизираното предаване на лични данни
(нотифицирано под номер C(2011) 332)
(текст от значение за ЕИП)
(2011/61/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след като се консултира с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни към трета държава може да се извършва само ако въпросната трета държава осигурява адекватно ниво на защита и ако законодателствата на държавите-членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватно ниво на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква нивото на защита на данните да бъде преценявано с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни, или на набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Правната система на Държавата Израел не се основава на писана конституция, макар че Върховният съд на Държавата Израел е предоставил конституционен статут на някои „основни закони“. Тези „основни закони“ се допълват от голяма по обем съдебна практика, тъй като израелската правна система се придържа в съществена степен към принципите на обичайното право. Правото на личен живот е включено в раздел 7 от т.нар. „Основен закон: човешко достойнство и свобода“.
(6)
Правните стандарти за защита на личните данни в Държавата Израел до голяма степен се основават върху стандартите, установени в Директива 95/46/ЕО, и са посочени в Закона за защита на неприкосновеността на личния живот 5741-1981, изменен за последен път през 2007 г., с цел да се установят нови изисквания за обработване на личните данни и да се утвърди подробна организация на надзорния орган.
(7)
Това законодателство за защита на данните се допълва още от правителствени решения относно прилагането на Закона за защита на неприкосновеността на личния живот 5741-1981 и относно организацията и функционирането на надзорния орган, които до голяма степен се основават на препоръките, формулирани в доклада до Министерството на правосъдието, изготвен от Комитета за преглед на законодателство, свързано с бази данни („доклад Шофман“).
(8)
Разпоредби за защита на данните се съдържат също и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормите в областта на здравеопазването и публичните регистри.
(9)
Правните стандарти за защита на данните, приложими в Държавата Израел, обхващат всички основни принципи, необходими за адекватно ниво на защита на физическите лица във връзка с обработването на лични данни в автоматизирани бази данни. Глава 2 от Закона за защита на неприкосновеността на личния живот 5741-1981, в която се определят принципите за обработване на личните данни, не се прилага за обработването на лични данни в неавтоматизирани бази данни (ръчни бази данни).
(10)
Прилагането на правните стандарти за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Израелския орган за законодателство, информация и технологии (ИОЗИТ), който разполага с правомощия за разследване и намеса и който действа напълно независимо.
(11)
Израелските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува израелското право, и също така дадоха уверения, че израелското законодателство за защита на данните се прилага в съответствие с това тълкуване. Настоящото решение се основава на тези обяснения и уверения и следователно е обусловено от тях.
(12)
Поради това следва да се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни съгласно Директива 95/46/ЕО по отношение на автоматизираното международно предаване на лични данни от Европейския съюз към Държавата Израел и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. От друга страна, международното предаване на лични данни от ЕС към Държавата Израел, при което самото предаване, както и последващата обработка на данните се осъществяват изключително чрез неавтоматизирани средства, не следва да бъде предмет на настоящото решение.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано, въпреки констатирането на адекватна защита.
(14)
Констатациите в настоящото решение относно адекватността на защитата на данните се отнасят до Държавата Израел, както е определена в съответствие с международното право. По-нататъшно последващо предаване на получател извън Държавата Израел, както е определена в съответствие с международното право, следва да се счита за предаване на лични данни на трета държава.
(15)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на адекватност на защитата на лични данни по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. В своето благоприятно становище работната група окуражи израелските органи да приемат допълнителни разпоредби, които разширяват обхвата на прилагането на израелското законодателство, така че в него да се включат и ръчните бази данни, и които изрично признават прилагането на принципа на пропорционалност към обработването на лични данни в частния сектор и тълкуват изключенията при международното предаване на данни в съответствие с критериите, посочени в нейния Работен документ за общо тълкуване на член 26, параграф 1 от Директива 95/46/ЕО (2). Това становище беше взето предвид при изготвянето на настоящото решение (3).
(16)
Комитетът, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО, не изготви становище в срока, определен от неговия председател,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз, по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които то подлежи на допълнителна автоматизирана обработка в Държавата Израел.
2. Компетентният надзорен орган в Държавата Израел относно прилагането на правните стандарти за защита на данните е Израелският орган за законодателство, информация и технологии (ИОЗИТ), посочен в приложението към настоящото решение.
Член 2
1. Настоящото решение се отнася единствено до нивото на адекватна защита, осигурено в Държавата Израел, както е определена в съответствие с международното право, за да се отговори на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не влияе по никакъв начин върху други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
2. Настоящото решение се прилага в съответствие с международното право. То не засяга статута на Голанските възвишения, Ивицата Газа и Западния бряг, включително Източен Ерусалим, съгласно разпоредбите на международното право.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правата, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Държавата Израел с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен израелски орган е установил, че получателят нарушава приложимите стандарти за защита; или
б)
когато е налице голяма вероятност да са нарушени стандартите на защита, има основателни причини да се смята, че компетентният израелски орган не взема или няма да вземе подходящите и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за засегнатите лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Държавата Израел, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират стандартите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки информират незабавно Комисията за мерките, приети на основание член 3.
2. Държавите-членки и Комисията се информират взаимно за случаите, при които действията, предприети от органите, отговорни за гарантиране на спазването на стандартите за защита в Държавата Израел, не успеят да гарантират тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира спазването на стандартите за защита в Държавата Израел, не изпълнява действително своята роля, Комисията уведомява за това компетентния израелски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава прилагането на настоящото решение и съобщава съответните констатации на комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което би могло да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Държавата Израел е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин. По-специално тя наблюдава обработването на лични данни в ръчни бази данни.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на неговото нотифициране.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 31 януари 2011 година.
KOMMISSIONENS BESLUT
av den 31 januari 2011
i enlighet med Europaparlamentets och rådets direktiv 95/46/EG om en adekvat skyddsnivå vid automatiserad behandling av personuppgifter i Staten Israel
[delgivet med nr K(2011) 332]
(Text av betydelse för EES)
(2011/61/EU)
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 25.6,
efter att ha hört Europeiska datatillsynsmannen, och
av följande skäl:
(1)
Enligt direktiv 95/46/EG ska medlemsstaterna föreskriva att överföring av personuppgifter till ett tredjeland endast får ske om ifrågavarande land garanterar en adekvat skyddsnivå och om de av medlemsstatens lagar, genom vilka andra bestämmelser i direktivet genomförs, efterlevs före överföringen.
(2)
Kommissionen kan konstatera om ett tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att några ytterligare garantier krävs.
(3)
Enligt direktiv 95/46/EG ska bedömningen av om skyddsnivån i ett tredjeland är adekvat ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter, varvid särskild hänsyn ska tas till vissa för överföringen relevanta aspekter som anges i artikel 25 i direktivet.
(4)
Då sättet att se på frågan om uppgiftsskydd varierar mellan olika tredjeländer bör bedömningen av om skyddsnivån är adekvat ske, och beslut som grundar sig på artikel 25.6 i direktiv 95/46/EG fattas och verkställas, utan godtycklig eller obefogad diskriminering i förhållande till tredjeland eller mellan de tredjeländer där liknande förhållanden råder samt på ett sätt som säkerställer att det inte uppstår några dolda handelshinder, varvid hänsyn bör tas till Europeiska unionens nuvarande internationella åtaganden.
(5)
Staten Israel har ingen skriven konstitution, men högsta domstolen i Staten Israel har tillerkänt vissa så kallade grundlagar konstitutionell status. Dessa grundlagar kompletteras av en omfattande rättspraxis eftersom det israeliska rättssystemet i stort följer principerna om common law (rättsregler som har utvecklats genom rättspraxis). Rätten till personlig integritet omfattas av avsnitt 7 i grundlagen om mänsklig värdighet och frihet (Human Dignity and Liberty).
(6)
De regler för skydd av personuppgifter som grundas på direktiv 95/46/EG regleras genom lagen om integritetsskydd (Privacy Protection Act 5741-1981, nedan kallad PPA) senast ändrad 2007 för att upprätta nya regler för behandling av personuppgifter och en detaljerad utformning av tillsynsmyndigheten.
(7)
Lagstiftningen om uppgiftsskydd kompletteras ytterligare av regeringsbeslut om genomförandet av PPA och om hur tillsynsmyndigheten ska vara uppbyggd, vilka i stort grundar sig på rekommendationer till justitieministeriet från kommittén som undersöker lagstiftning som gäller databaser (Schoffmanrapporten).
(8)
Bestämmelser om uppgiftsskydd ingår även i ett antal rättsakter som reglerar olika sektorer, t.ex. lagstiftning om finanssektorn, hälsoföreskrifter och offentliga register.
(9)
De bestämmelser om uppgiftsskydd som tillämpas i Staten Israel omfattar alla nödvändiga grundläggande principer för en adekvat skyddsnivå för fysiska personer i samband med behandlingen av personuppgifter i automatiserade databaser. De principer för behandlingen av personuppgifter som fastställs i kapitel 2 i PPA är inte tillämpliga på behandlingen av personuppgifter i manuella databaser.
(10)
Tillämpningen av dessa rättsliga uppgiftsskyddsnormer garanteras genom administrativa och rättsliga medel och genom oberoende tillsyn av en tillsynsmyndighet, Israeli Law, Information and Technology Authority (ILITA) som har befogenhet att utreda och ingripa och som arbetar helt oberoende.
(11)
Israeliska uppgiftsskyddsorgan har lämnat förklaringar och försäkringar i fråga om hur israelisk lagstiftning ska tolkas och har även försäkrat att landets uppgiftsskyddslagstiftning överensstämmer med denna tolkning. Föreliggande beslut beaktar dessa förklaringar och försäkringar och är alltså beroende av dem.
(12)
Staten Israel bör därför anses tillhandahålla ett tillräckligt skydd för personuppgifter enligt direktiv 95/46/EG med avseende på automatiserade internationella överföringar av personuppgifter från Europeiska unionen till Staten Israel, eller när överföringarna inte är automatiserade, då de omfattas av automatiserad behandling på Staten Israels territorium. Däremot bör detta beslut inte omfatta internationella överföringar av personuppgifter från EU till Staten Israel, där både själva överföringen och den senare behandlingen av uppgifter endast sker manuellt.
(13)
För att värna om öppenhet och möjligheten för behöriga myndigheter i medlemsstaterna att garantera skydd för enskilda med avseende på behandlingen av deras personuppgifter erfordras att det närmare anges under vilka särskilda omständigheter som det kan vara motiverat att tills vidare avbryta vissa uppgiftsöverföringar, oavsett om skyddsnivån befunnits vara adekvat.
(14)
De resultat om en adekvat skyddsnivå som avser detta beslut gäller Staten Israel såsom det definieras i internationell rätt. Vidare överföringar till en mottagare utanför Staten Israel såsom detta definieras i internationell rätt bör betraktas som överföringar av personuppgifter till ett tredjeland.
(15)
Den i enlighet med artikel 29 i direktiv 95/46/EG inrättade arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter har yttrat sig positivt angående nivån på personuppgiftsskyddet i samband med automatiserade internationella överföringar av personuppgifter från Europeiska unionen eller, då de inte är automatiserade, överföringar som omfattas av vidare automatiserad behandling i Staten Israel. I sitt positiva yttrande uppmuntrade arbetsgruppen de israeliska myndigheterna att anta ytterligare bestämmelser som utvidgar de israeliska bestämmelserna till att omfatta manuella databaser, som uttryckligen erkänner tillämpningen av proportionalitetsprincipen på behandlingen av personuppgifter i den privata sektorn och tolkar undantagen i samband med internationella överföringar av uppgifter i enlighet med de kriterier som fastställs i ”Arbetsdokument om en gemensam tolkning av artikel 26.1 i direktiv 95/46/EG” (2). Detta yttrande har beaktats i utarbetandet av detta beslut (3).
(16)
Kommittén som inrättades enligt artikel 31.1 i direktiv 95/46/EG yttrade sig inte inom den tidsfrist som hade fastställts av dess ordförande.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
1. För de ändamål som avses i artikel 25.2 i direktiv 95/46/EG, anses Staten Israel erbjuda en adekvat skyddsnivå för överföringen av personuppgifter i samband med automatiserade internationella överföringar av personuppgifter från Europeiska unionen, eller manuellt överförda personuppgifter som undergår vidare automatiserad behandling i Staten Israel.
2. Den behöriga tillsynsmyndigheten i Staten Israel som ansvarar för tillämpningen av de rättsliga uppgiftsskyddsnormerna är Israeli Law, Information and Technology Authority (ILITA) som det hänvisas till i bilagan till detta beslut.
Artikel 2
1. Detta beslut avser den skyddsnivå som tillhandahålls av Staten Israel, såsom det definieras i internationell rätt, i fråga om att uppfylla kraven i artikel 25.1 i direktiv 95/46/EG och påverkar inte andra villkor och begränsningar varigenom övriga bestämmelser i direktivet genomförs med avseende på behandlingen av personuppgifter i medlemsstaterna.
2. Detta beslut bör tillämpas i enlighet med internationell rätt. Det ska inte påverka status för Golanhöjderna, Gazaremsan och Västbanken, inklusive östra Jerusalem, enligt bestämmelserna i internationell rätt.
Artikel 3
1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av de nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sina gällande befogenheter och tills vidare avbryta uppgiftsöverföringar till en mottagare i Staten Israel för att skydda enskilda med avseende på behandlingen av deras personuppgifter om
a)
en behörig myndighet i Staten Israel har fastställt att mottagaren bryter mot tillämpliga skyddsregler eller
b)
sannolikheten är stor att skyddsreglerna inte efterlevs, det finns rimliga skäl att anta att behöriga myndigheter i Staten Israel inte vidtar eller kommer att vidta adekvata åtgärder i tid för att avgöra ärendet, fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under dessa omständigheter har vidtagit rimliga åtgärder för att underrätta den instans i Staten Israel som ansvarar för behandlingen om detta och givit denna tillfälle att yttra sig.
2. Överföringen ska återupptas så snart skyddsreglerna efterlevs och den behöriga myndigheten i den berörda medlemsstaten har underrättats om detta.
Artikel 4
1. Medlemsstaterna ska utan dröjsmål underrätta kommissionen om de åtgärder som vidtagits med stöd av artikel 3.
2. Medlemsstaterna och kommissionen ska underrätta varandra om fall där de åtgärder som vidtas av organ med ansvar för efterlevnaden av skyddsreglerna i Staten Israel leder till att reglerna inte efterlevs.
3. Om den information som insamlats enligt artikel 3 och punkterna 1 och 2 i denna artikel visar att någon av de myndigheter som ansvarar för att principerna genomförs i överensstämmelse med skyddsnormerna i Staten Israel inte fullgör denna uppgift på ett verkningsfullt sätt, ska kommissionen underrätta den behöriga myndigheten i Staten Israel om detta och vid behov framlägga förslag till bestämmelser i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG i syfte att upphäva eller tills vidare avbryta tillämpningen av detta beslut eller begränsa dess tillämpningsområde.
Artikel 5
Kommissionen ska övervaka tillämpningen av detta beslut och rapportera alla relevanta slutsatser till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG, vilket även inbegriper alla omständigheter som skulle kunna påverka konstaterandet i artikel 1 i detta beslut att det skydd som ges i Staten Israel är adekvat i den mening som avses i artikel 25 i direktiv 95/46/EG, och alla omständigheter som visar att detta beslut tillämpas på ett diskriminerande sätt. Den ska i synnerhet övervaka behandling av personuppgifter i manuella databaser.
Artikel 6
Medlemsstaterna ska vidta alla erforderliga åtgärder för att efterkomma detta beslut senast 3 månader efter det att beslutet har meddelats.
Artikel 7
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 31 januari 2011.