ROZHODNUTÍ KOMISE
ze dne 31. ledna 2011
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Státem Izrael v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem K(2011) 332)
(Text s významem pro EHP)
(2011/61/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Právní řád Státu Izrael nemá psanou ústavu, avšak ústavní sílu dovodil Nejvyšší soud Státu Izrael u některých „základních zákonů“. Tyto „základní zákony“ doplňuje objemný soubor judikatury, jelikož se právní řád Izraele ve značném rozsahu řídí zásadami obyčejového práva. Právo na soukromí je zahrnuto v „základním zákonu o právu na lidskou důstojnost a svobodu“ v oddíle 7.
(6)
Právní normy upravující ochranu osobních údajů ve Státě Izrael vycházejí ve velké míře z norem stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně o ochraně soukromí 5741-1981, naposledy pozměněném v roce 2007 za účelem zavedení nových požadavků na zpracování osobních údajů a podrobné organizace orgánu dozoru.
(7)
Tyto právní předpisy v oblasti ochrany údajů dále doplňují vládní rozhodnutí provádějící zákon o ochraně soukromí 5741-1981 a o organizaci a fungování orgánu dozoru, která povětšinou vycházejí z doporučení formulovaných ve zprávě Komise pro přezkum právních předpisů týkajících se databází (Schoffmanova zpráva) pro ministerstvo spravedlnosti.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Právní normy v oblasti ochrany údajů platné ve Státě Izrael pokrývají všechny základní zásady nutné pro odpovídající úroveň ochrany pro fyzické osoby ve vztahu k zpracování osobních údajů automatizovanými databázemi. Kapitola 2 zákona o ochraně soukromí 5741-1981, která stanoví zásady zpracování osobních údajů, se nevztahuje na zpracování osobních údajů v databázích, které nejsou automatizované (manuální databáze).
(10)
Uplatňování právních norem ochrany osobních údajů zaručují správní a soudní prostředky nápravy a nezávislý dozor prováděný dozorčím orgánem, jímž je Izraelský úřad pro právo, informace a technologie (ILITA), který je nadán pravomocemi k provádění šetření a zásahů a je zcela nezávislý.
(11)
Izraelské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu izraelského práva a poskytly záruky ohledně provádění izraelských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Stát Izrael je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie do Státu Izrael nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Opačně, na mezinárodní předávání osobních údajů z EU do Státu Izrael, u kterého samo předávání a následné zpracování je prováděno výlučně neautomatizovanými prostředky, by se toto rozhodnutí nemělo vztahovat.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Závěry týkající se úrovně ochrany osobních údajů v tomto rozhodnutí odkazují na Stát Izrael vymezený podle mezinárodní práva. Další následné předávání příjemci mimo Stát Izrael vymezený podle mezinárodního práva by mělo být považováno za předávání osobních údajů do třetí země.
(15)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie, nebo o případy, kdy předávání není automatizované, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Ve svém kladném stanovisku pracovní skupina vyzvala izraelské úřady, aby přijaly další ustanovení, která rozšíří uplatňování izraelských právních předpisů na manuální databáze, výslovně uznají, že bude uplatňování zásada proporcionality na zpracování osobních údajů v soukromé sféře, a která budou vykládat výjimky při mezinárodním předávání tak, aby byl jejich výklad v souladu s požadavky stanovenými v jejím „pracovním dokumentu o jednotném výkladu čl. 26 odst. 1 směrnice 95/46/ES“ (2). Toto stanovisko bylo zohledněno při přípravě toho rozhodnutí (3).
(16)
Výbor zřízený podle čl. 31 odst. 1 směrnice 95/46/ES nepředložil stanovisko ve lhůtě stanovené jeho předsedou,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Izrael považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie, pokud jde o automatizované předávání osobních údajů z Evropské unie do Izraele nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael.
2. Orgánem dozoru Státu Izrael, který má pravomoc uplatňovat normy ochrany osobních údajů ve Státě Izrael, je Izraelský úřad pro právo, informace a technologie (ILITA) uvedený v příloze tohoto rozhodnutí.
Článek 2
1. Toto rozhodnutí se zabývá pouze úrovní ochrany zajišťované ve Státě Izrael vymezeném podle mezinárodního práva s cílem naplnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
2. Toto rozhodnutí se použije v souladu s mezinárodním právem. Rozhodnutím není dotčen status Golanských výšin, pásma Gazy a Západního břehu Jordánu, včetně východního Jeruzaléma podle mezinárodního práva.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci ve Státě Izrael s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný izraelský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany, pokud se lze důvodně domnívat, že příslušný orgán Státu Izrael včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené ve Státě Izrael a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského stát.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany ve Státě Izrael nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany ve Státě Izrael neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Státu Izrael a, bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany ve Státě Izrael odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem. Komise zejména sleduje zpracovávání osobních údajů v manuálních databázích.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho oznámení.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 31. ledna 2011.
DECISIÓN DE LA COMISIÓN
de 31 de enero de 2011
de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, relativa a la protección adecuada de los datos personales por el Estado de Israel en lo que respecta al tratamiento automatizado de los datos personales
[notificada con el número C(2011) 332]
(Texto pertinente a efectos del EEE)
(2011/61/UE)
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1), y, en particular, su artículo 25, apartado 6,
Previa consulta al Supervisor Europeo de Protección de Datos,
Considerando lo siguiente:
(1)
De conformidad con la Directiva 95/46/CE, los Estados miembros solo permitirán la transferencia de datos personales a un tercer país si este garantiza un nivel de protección adecuado y se cumplen en él, con anterioridad a la transferencia, las disposiciones legales que los Estados miembros aprueben en aplicación de otros preceptos de dicha Directiva.
(2)
La Comisión puede dictaminar que un tercer país garantiza un nivel de protección adecuado. En tal caso, pueden transferirse datos personales desde los Estados miembros sin que sea necesaria ninguna garantía adicional.
(3)
De conformidad con la Directiva 95/46/CE, el nivel de protección de los datos debe evaluarse atendiendo a todas las circunstancias que concurran en la transferencia o conjunto de transferencias de datos y estudiando con especial atención una serie de elementos pertinentes para la transferencia, enumerados en el artículo 25 de dicha Directiva.
(4)
Ante los diferentes enfoques sobre la protección de datos adoptados en los terceros países, tanto la evaluación de la adecuación como la ejecución de las decisiones en virtud del artículo 25, apartado 6, de la Directiva 95/46/CE deben hacerse sin que originen, en igualdad de condiciones, una discriminación arbitraria o injustificada contra terceros países o entre ellos, ni constituyan una restricción comercial encubierta contraria a los compromisos internacionales de la Unión Europea.
(5)
El ordenamiento jurídico del Estado de Israel no tiene constitución escrita, pero el Tribunal Supremo del Estado de Israel ha conferido estatuto constitucional a determinadas «Leyes Fundamentales». Estas «Leyes Fundamentales» se complementan con un gran cuerpo de jurisprudencia, pues el ordenamiento jurídico israelí se adhiere en gran medida a los principios del Derecho común. El derecho a la intimidad está incluido en el artículo 7 de la «Ley Fundamental: Dignidad Humana y Libertad».
(6)
Las normas legales para la protección de los datos personales en el Estado de Israel se basan en gran parte en las normas establecidas en la Directiva 95/46/CE y figuran en la Ley 5741-1981 de protección de la intimidad, modificada por última vez en 2007 para establecer nuevos requisitos de tratamiento de los datos personales y la organización detallada de la autoridad de supervisión.
(7)
Esa legislación sobre protección de datos se complementa con las decisiones gubernamentales sobre la aplicación de la Ley 5741-1981 de protección de la intimidad y sobre la organización y el funcionamiento de la autoridad de supervisión, basadas en gran parte en recomendaciones formuladas en el informe al Ministerio de Justicia del Comité para el examen de la legislación relativa a las bases de datos (informe Schoffman).
(8)
Las disposiciones sobre protección de datos figuran también en varios instrumentos jurídicos que regulan diversos sectores, como la legislación del sector financiero, la normativa sobre salud y los registros públicos.
(9)
Las normas legales de protección de los datos aplicables en el Estado de Israel cubren todos los principios básicos necesarios para un nivel de protección adecuado de las personas físicas por lo que respecta al tratamiento de datos personales en las bases de datos automatizadas. El capítulo 2 de la Ley 5741-1981 de protección de la intimidad, que establece los principios para el tratamiento de datos personales, no se aplica al tratamiento de datos personales en las bases de datos no automatizadas (bases de datos manuales).
(10)
La aplicación de las normas legales de protección de datos está garantizada por recursos administrativos y judiciales y por una supervisión independiente a cargo de la autoridad de supervisión, la Israeli Law, Information and Technology Authority (Agencia Israelí responsable del Derecho, la Información y la Tecnología), (ILITA), dotada de poderes de investigación e intervención y que actúa con plena independencia.
(11)
Las autoridades de protección de datos de Israel han ofrecido explicaciones y garantías en cuanto a cómo debe interpretarse la legislación de Israel, y han ofrecido garantías de que la legislación de protección de datos israelí se aplica de conformidad con tal interpretación. La presente Decisión tiene en cuenta esas explicaciones y garantías, y está por tanto condicionada a ellas.
(12)
Por consiguiente, debe considerarse que el Estado de Israel ofrece un nivel de protección adecuado de los datos personales según lo dispuesto en la Directiva 95/46/CE por lo que se refiere a las transferencias internacionales automatizadas de datos personales de la Unión Europea al Estado de Israel o, cuando estas transferencias no están automatizadas, están sujetas a tratamiento automatizado adicional en el Estado de Israel. Por el contrario, no estarán cubiertas por la presente Decisión las transferencias internacionales de datos personales de la UE al Estado de Israel en las que la propia transferencia, así como el posterior tratamiento de datos, se efectúen exclusivamente a través de medios no automatizados.
(13)
Aunque se haya comprobado que el nivel de protección es adecuado, en aras de la transparencia y para proteger la capacidad de las autoridades pertinentes de los Estados miembros de garantizar la protección de las personas en lo que respecta al tratamiento de sus datos personales, resulta necesario especificar las circunstancias excepcionales que pudieran justificar la suspensión de flujos específicos de información.
(14)
La comprobación del nivel adecuado de protección de los datos relativa a la presente Decisión se refiere al Estado de Israel, de conformidad con el Derecho internacional. Las posteriores transferencias a receptores fuera del Estado de Israel, según lo definido de conformidad con el Derecho internacional, deberán considerarse transferencias de datos personales a un tercer país.
(15)
El Grupo de Trabajo de protección de las personas en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la Directiva 95/46/CE, ha emitido un dictamen favorable sobre el nivel de protección de los datos personales en relación con las transferencias internacionales de datos personales automatizadas procedentes de la Unión Europea o que, cuando no están automatizadas, están sujetas a tratamiento automatizado adicional en el Estado de Israel. En su dictamen favorable, el Grupo de Trabajo ha animado a las autoridades israelíes a adoptar otras disposiciones que amplíen la aplicación de la legislación israelí a las bases de datos manuales, que reconozcan expresamente la aplicación del principio de proporcionalidad al tratamiento de los datos personales en el sector privado y que interpreten las excepciones en las transferencias internacionales de datos de conformidad con los criterios establecidos en su «Documento de trabajo sobre una interpretación común del artículo 26, apartado 1, de la Directiva 95/46/CE» (2). Este dictamen se ha tenido en cuenta en la elaboración de la presente Decisión (3).
(16)
El Comité creado en virtud del artículo 31, apartado 1, de la Directiva 95/46/CE no emitió un dictamen en el plazo establecido por su Presidente.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
1. A efectos del artículo 25, apartado 2, de la Directiva 95/46/CE, se considera que el Estado de Israel garantiza un nivel adecuado de protección de los datos personales transferidos desde la Unión Europea por lo que respecta a las transferencias internacionales automatizadas de datos personales desde la Unión Europea o que, cuando no están automatizadas, están sujetas a un tratamiento automatizado adicional en el Estado de Israel.
2. La autoridad de supervisión del Estado de Israel competente en materia de aplicación de las normas legales de protección de datos en el Estado de Israel es la Israeli Law, Information and Technology Authority [Agencia Israelí responsable del Derecho, la Información y la Tecnología (ILITA)], mencionada en el anexo de la presente Decisión.
Artículo 2
1. La presente Decisión se refiere únicamente a la adecuación de la protección en el Estado de Israel, según lo definido de conformidad con el Derecho internacional, con arreglo a los requisitos del artículo 25, apartado 1, de la Directiva 95/46/CE, y no afecta a otras condiciones o restricciones que se impongan en aplicación de otras normas de la Directiva relativas al tratamiento de los datos personales en los Estados miembros.
2. La presente Decisión deberá aplicarse de conformidad con el Derecho internacional. Se entenderá sin perjuicio de la situación de los Altos del Golán, la Franja de Gaza y Cisjordania, incluido Jerusalén Este, en virtud del Derecho internacional.
Artículo 3
1. Sin perjuicio de sus facultades para emprender acciones que garanticen el cumplimiento de las normas nacionales adoptadas de conformidad con preceptos diferentes a los contemplados en el artículo 25 de la Directiva 95/46/CE, las autoridades competentes de los Estados miembros podrán ejercer su facultad de suspender los flujos de datos hacia un receptor del Estado de Israel, a fin de proteger a los particulares contra el tratamiento de sus datos personales, en los casos en que:
a)
la autoridad competente de Israel compruebe que el destinatario ha vulnerado las normas de protección aplicables, o
b)
existan grandes probabilidades de que se estén vulnerando las normas de protección, existan razones para creer que la autoridad competente de Israel no ha tomado o no tomará las medidas oportunas para resolver el caso en cuestión, se considere que la continuación de la transferencia podría crear un riesgo inminente de grave perjuicio a los afectados y las autoridades competentes del Estado miembro hayan hecho esfuerzos razonables en estas circunstancias para notificárselo a la entidad responsable del tratamiento en el Estado de Israel y proporcionarle la oportunidad de recurrir.
2. La suspensión cesará en cuanto esté garantizado el cumplimiento de las normas de protección y ello se haya notificado a las autoridades competentes de los Estados miembros concernidos.
Artículo 4
1. Los Estados miembros informarán inmediatamente a la Comisión de la adopción de las medidas basadas en el artículo 3.
2. Los Estados miembros y la Comisión se informarán recíprocamente de aquellos casos en que la actuación de los organismos responsables del cumplimiento de las normas de protección en el Estado de Israel no garantice dicho cumplimiento.
3. Si la información recogida con arreglo al artículo 3 y a los apartados 1 y 2 del presente artículo demuestra que alguno de los organismos responsables del cumplimiento de las normas de protección en el Estado de Israel no está ejerciendo su función eficazmente, la Comisión lo notificará a la autoridad competente de Israel y, si procede, presentará un proyecto de medidas con arreglo al procedimiento previsto en el artículo 31, apartado 2, de la Directiva 95/46/CE, a fin de anular o suspender la presente Decisión o limitar su ámbito de aplicación.
Artículo 5
La Comisión supervisará el funcionamiento de la presente Decisión e informará al Comité creado por el artículo 31 de la Directiva 95/46/CE de cualquier hecho pertinente y, en particular, de cualquier prueba que pueda afectar a la resolución del artículo 1 de la presente Decisión, relativa a que la protección en el Estado de Israel es adecuada a efectos del artículo 25 de la Directiva 95/46/CE, así como de cualquier prueba de que la presente Decisión se está aplicando de forma discriminatoria. En particular, supervisará el tratamiento de datos personales en las bases de datos manuales.
Artículo 6
Los Estados miembros adoptarán todas las medidas necesarias para cumplir la presente Decisión en el plazo de 3 meses a partir de su fecha de notificación.
Artículo 7
Los destinatarios de la presente Decisión serán los Estados miembros.
Hecho en Bruselas, el 31 de enero de 2011.