PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 19. prosince 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů na Novém Zélandu
(oznámeno pod číslem C(2012) 9557)
(Text s významem pro EHP)
(2013/65/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na určité zvláštní podmínky týkající se předávání.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by způsob, jakým je posuzována odpovídající úroveň této ochrany a jakým jsou na základě směrnice 95/46/ES přijímána a prosazována rozhodnutí, neměl být svévolný ani bezdůvodně diskriminační vůči třetím zemím, nebo mezi třetími zeměmi, kde jsou obdobné podmínky, a aby nevytvářel skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Nový Zéland je bývalá britská kolonie. Postavení nezávislého dominia získal v roce 1907, avšak své formální ústavní svazky s Velkou Británií přetrhl až v roce 1947. Nový Zéland je unitárním státem a nemá psanou ústavu ve smyslu nejvyššího základního zákona státu. Země je konstituční monarchií a parlamentní demokracií westminsterského modelu, kde hlavou státu je královna Nového Zélandu.
(6)
Nový Zéland ctí zásadu suverenity parlamentu. Podle konvence tam však platí řada zákonů, které mají zvláštní ústavní význam a pohlíží se na ně jako na „vyšší zákony“. To znamená, že tvoří součást ústavního pořádku neboli rámce a formují činnost vlády a přijímání dalších zákonů. V případě změny nebo rušení těchto zákonů se kromě toho předpokládá konsenzus napříč politickým spektrem. Některé tyto zákony - „Bill Of Rights Act“ ze dne 28. srpna 1990 (Public Act No 109 z roku 1990), „Human Rights Act“ ze dne 10. srpna 1993 (Public Act No 82 z roku 1993) a „Privacy Act“ ze dne 17. května 1993 (Public Act No 28 z roku 1993) - se vztahují k ochraně údajů. Ústavní význam těchto zákonů se odráží ve všeobecném konsenzu, že musí být zohledněny při tvorbě a předkládání nových zákonů.
(7)
Právní normy pro ochranu osobních údajů na Novém Zélandu jsou primárně stanoveny v zákoně na ochranu soukromí „Privacy Act“ ve znění „Privacy (Cross-border Information) Amendment Act“ ze dne 7. září 2010 (Public Act No 113 z roku 2010). Tento zákon je starší než směrnice 95/46/ES a neomezuje se jen na automaticky zpracovávané údaje či strukturované údaje v evidenčním systému (rejstříku), nýbrž upravuje veškeré osobní informace v libovolné podobě. Vztahuje se na celý veřejný a soukromý sektor až na několik málo zvláštních výjimek ve veřejném zájmu, které lze v demokratické společnosti očekávat.
(8)
Otázkami soukromí se na Novém Zélandu zabývá mnoho regulačních rámců z hlediska politiky, pravidel, nebo příslušnosti soudů k řešení stížností. Některé mají formu zákonů, ale jiné jsou samoregulační odvětvové normy, včetně regulace sdělovacích prostředků, přímého marketingu, nevyžádaných elektronických zpráv, průzkumu trhu, oblasti zdraví a invalidity, bankovnictví, pojištění a spoření.
(9)
Kromě právních předpisů přijatých novozélandským parlamentem platí v zemi rozsáhlý soubor zvykového práva, jehož kořeny pocházejí z anglického zvykového práva, kde jsou zakotveny zásady a pravidla zvykového práva týkající se ochrany údajů. K základním zásadám zvykového práva patří zásada, že nejvyšším zájmem práva je důstojnost člověka. Tato zásada zvykového práva představuje klíčový prvek východisek a souvislostí, z nichž soudy na Novém Zélandu obecně čerpají důvody pro svá rozhodnutí. Novozélandská judikatura vycházející ze zvykového práva zná též řadu dalších stránek ochrany soukromí, včetně zasahování do soukromí, porušení důvěry a doplňkové ochrany v souvislosti s pomluvou, obtěžováním, nactiutrhační lží, nedbalostí a jinými delikty.
(10)
Právní normy o ochraně údajů uplatňované na Novém Zélandu obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a do výjimek z nich se promítají zásady stanovené ve směrnici 95/46/ES.
(11)
Uplatňování právních norem o ochraně osobních údajů zaručují správní a soudní prostředky nápravy a nezávislý dozor prováděný dozorčím orgánem, komisařem pro ochranu soukromí, který je nadán pravomocemi uvedenými v článku 28 směrnice 95/46/ES a je nezávislý. Kterákoli zainteresovaná strana má navíc právo domáhat se soudní cestou náhrady škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(12)
Nový Zéland je tudíž třeba považovat za zemi, která zajišťuje odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(13)
Toto rozhodnutí by se mělo týkat odpovídající úrovně ochrany osobních údajů zajištěné na Novém Zélandu s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice a které se týkají zpracování osobních údajů v členských státech.
(14)
V zájmu transparentnosti a k dosažení toho, aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(15)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů na Novém Zélandu, k němuž bylo přihlédnuto při přípravě tohoto prováděcího rozhodnutí (2).
(16)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Nový Zéland považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. Dozorčí orgán příslušný k uplatňování právních norem ochrany osobních údajů na Novém Zélandu je uveden v příloze tohoto rozhodnutí.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření k zajištění dodržování vnitrostátních předpisů přijatých na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci za účelem pozastavení předávání údajů příjemci na Novém Zélandu s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný orgán na Novém Zélandu zjistí, že příjemce nedodržuje použitelné normy ochrany osobních údajů, nebo
b)
pokud je velmi pravděpodobné, že nejsou dodržovány normy týkající se ochrany osobních údajů a pokud se lze důvodně domnívat, že příslušný novozélandský orgán včas nepřijímá nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci, pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené na Novém Zélandu a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajišťováním souladu s normami ochrany na Novém Zélandu nejsou dostatečná.
3. Pokud informace shromážděné podle čl. 2 odst. 1 a podle odstavců 1 a 2 tohoto článku prokáží, že některý subjekt pověřený zajišťováním souladu s normami ochrany na Novém Zélandu neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Nového Zélandu a, bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit jeho účinnost nebo omezit jeho působnost.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a relevantní poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně důkazů, které by mohly mít vliv na hodnocení podle článku 1 tohoto rozhodnutí, tj. že ochrana na Novém Zélandu je odpovídající ve smyslu článku 25 směrnice 95/46/ES, a včetně důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do 20. března 2013.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 19. prosince 2012.
UITVOERINGSBESLUIT VAN DE COMMISSIE
van 19 december 2012
overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad, over de passende bescherming van persoonsgegevens in Nieuw-Zeeland
(Kennisgeving geschied onder nummer C(2012) 9557)
(Voor de EER relevante tekst)
(2013/65/EU)
DE EUROPESE COMMISSIE,
Gezien het Verdrag betreffende de werking van de Europese Unie,
Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), en met name artikel 25, lid 6,
Na raadpleging van de Europese Toezichthouder voor gegevensbescherming,
Overwegende hetgeen volgt:
(1)
Overeenkomstig Richtlijn 95/46/EG dienen de lidstaten te bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaten die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.
(2)
De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties vanuit de lidstaten worden doorgegeven.
(3)
Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn en dient in het bijzonder rekening te worden gehouden met bepaalde gespecificeerde elementen die voor de doorgifte relevant zijn.
(4)
Gezien de verschillende benaderingen van gegevensbescherming in derde landen dient het beschermingsniveau te worden beoordeeld en dienen besluiten op grond van Richtlijn 95/46/EG te worden vastgesteld en uitgevoerd op een wijze die geen willekeurige of onterechte discriminatie inhoudt tegen of tussen derde landen waar gelijksoortige voorwaarden gelden, noch een verkapte handelsbelemmering, rekening houdend met de geldende internationale verbintenissen van de Europese Unie.
(5)
Nieuw-Zeeland is een voormalige Britse kolonie. Het werd in 1907 een onafhankelijk Dominion, maar verbrak pas in 1947 formeel de grondwettelijke banden met het Verenigd Koninkrijk. Nieuw-Zeeland is een eenheidsstaat, die geen geschreven grondwet heeft in de conventionele betekenis van een vastgelegd constitutief instrument. Het land is een constitutionele monarchie en een parlementaire democratie naar het Westminster-model, met de Koningin van Nieuw-Zeeland als staatshoofd.
(6)
Nieuw-Zeeland fungeert volgens het beginsel van parlementaire soevereiniteit. Een aantal wetten wordt bij conventie als van bijzonder constitutioneel belang gezien en als „hoger recht” aangemerkt, in die zin dat zij deel uitmaken van de constitutionele achtergrond of omgeving, doordat zij als grondslag dienen voor het optreden van de overheid en de vaststelling van andere wetgeving. Bovendien wordt bij wijziging of intrekking van deze wetgeving verwacht dat er een consensus is over het gehele politieke spectrum. Een aantal van deze wetten - de Bill of Rights Act van 28 augustus 1990 (Public Act nr. 109 van 1990), de Human Rights Act van 10 augustus 1993 (Public Act nr. 82 van 1993) en de Privacy Act van 17 mei 1993 (Public Act nr. 28 van 1993) - is met betrekking tot gegevensbescherming relevant. Het constitutionele belang van deze wetgeving blijkt uit de conventie dat ermee rekening moet worden gehouden bij het ontwikkelen of voorstellen van nieuwe wetgeving.
(7)
De rechtsnormen voor de bescherming van persoonsgegevens in Nieuw-Zeeland zijn voornamelijk vervat in de Privacy Act, als gewijzigd bij de Privacy (Cross-border Information) Amendment Act van 7 september 2010 (Public Act nr. 113 van 2010). Deze wet is ouder dan Richtlijn 95/46/EG en is niet beperkt tot geautomatiseerd verwerkte gegevens of gestructureerde gegevens die in een bestand zijn opgenomen, maar bestrijkt alle persoonsgegevens, ongeacht de vorm ervan. De wet bestrijkt de openbare en de particuliere sector in hun geheel, met enkele met het algemeen belang samenhangende specifieke uitzonderingen, zoals men die in een democratische samenleving kan verwachten.
(8)
Met betrekking tot de bevoegdheden op het gebied van het beleid, de voorschriften en de afhandeling van klachten kent Nieuw-Zeeland op privacygebied een aantal regelgevingskaders. Enkele zijn van wettelijke aard, terwijl andere worden uitgevoerd door zelfregulerende instanties van de bedrijfstak; dit betreft de mediaregelgeving, direct marketing, ongevraagde elektronische berichten, marktonderzoek, gezondheid en handicaps, bank- en verzekeringswezen en spaargeld.
(9)
Naast de door het Nieuw-Zeelandse parlement vastgestelde wetgeving bestaat er een aanzienlijk aantal common-lawrechtsregels, die hun oorsprong hebben in het Engelse common law en waarin de voor gegevensbescherming relevante beginselen en voorschriften van het common-lawstelsel zijn opgenomen. Een van de basisbeginselen van het common law is het beginsel dat de waardigheid van de persoon vanuit het standpunt van het recht van het allerhoogste belang is. Dit common-lawbeginsel is een belangrijk aspect van de context van de rechtsvorming in Nieuw-Zeeland in het algemeen. De Nieuw-Zeelandse op common law gebaseerde jurisprudentie bestrijkt ook een aantal andere aspecten van de privacy, zoals inbreuken op de privacy, vertrouwensbreuk en bijkomende bescherming in de context van laster, overlast, intimidatie, leugens met kwaad opzet, nalatigheid, enzovoort.
(10)
De wettelijke normen voor gegevensbescherming in Nieuw-Zeeland omvatten alle basisbeginselen die noodzakelijk zijn voor een passend beschermingsniveau voor natuurlijke personen en voorzien tevens in de nodige uitzonderingen en beperkingen voor de bescherming van zwaarwegende algemene belangen. Deze wettelijke normen inzake gegevensbescherming en de uitzonderingen daarop zijn in overeenstemming met de beginselen die in Richtlijn 95/46/EG zijn vastgelegd.
(11)
De toepassing van de rechtsnormen voor gegevensbescherming wordt gewaarborgd door bestuurlijke en rechtsmiddelen en het onafhankelijke toezicht door de toezichthoudende autoriteit, de Privacy Commissioner, die bevoegdheden heeft die overeenstemmen met de in artikel 28 van Richtlijn 95/46/EG genoemde, en onafhankelijk optreedt. Elke belanghebbende is bovendien gerechtigd in rechte vergoeding te vorderen voor schade die hij geleden heeft ten gevolge van onwettige verwerking van zijn persoonsgegevens.
(12)
Gezien het bovenstaande moet ervan worden uitgegaan dat Nieuw-Zeeland een passend beschermingsniveau voor persoonsgegevens waarborgt, als bedoeld in Richtlijn 95/46/EG.
(13)
Dit besluit betreft het passende karakter van de bescherming die Nieuw-Zeeland biedt, beoordeeld aan de hand van de vereisten van artikel 25, lid 1, van Richtlijn 95/46/EG. Het laat andere voorwaarden of beperkingen tot uitvoering van andere bepalingen van die richtlijn die op de verwerking van persoonsgegevens in de lidstaten betrekking hebben, onverlet.
(14)
In het belang van de transparantie en om de bevoegde autoriteiten in de lidstaten in staat te stellen de bescherming van personen in verband met de verwerking van hun persoonsgegevens te waarborgen, moet nader worden geregeld in welke buitengewone omstandigheden de doorgifte van gegevens kan worden opgeschort, ondanks dat een passend beschermingsniveau is vastgesteld.
(15)
De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft over het niveau van de bescherming van persoonsgegevens in Nieuw-Zeeland een gunstig advies uitgebracht (2), waarmee bij de opstelling van dit uitvoeringsbesluit rekening is gehouden.
(16)
De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31, lid 1, van Richtlijn 95/46/EG ingestelde comité,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
1. Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG wordt Nieuw-Zeeland geacht een passend beschermingsniveau te waarborgen voor vanuit de Unie doorgegeven persoonsgegevens.
2. De bevoegde toezichthoudende autoriteit voor de toepassing van de rechtsnormen inzake gegevensbescherming in Nieuw-Zeeland wordt in de bijlage bij dit besluit vermeld.
Artikel 2
1. Onverminderd de bevoegdheid van de autoriteiten in de lidstaten om maatregelen te nemen voor de naleving van nationale bepalingen die zijn goedgekeurd ingevolge andere bepalingen dan artikel 25 van Richtlijn 95/46/EG, kunnen die autoriteiten gebruikmaken van hun bestaande bevoegdheden om gegevensstromen naar een ontvanger in Nieuw-Zeeland op te schorten, teneinde personen ten aanzien van de verwerking van hun persoonsgegevens te beschermen in gevallen waarin:
a)
een bevoegde autoriteit in Nieuw-Zeeland heeft vastgesteld dat de ontvanger in strijd met de toepasselijke normen voor gegevensbescherming handelt, of
b)
het zeer waarschijnlijk is dat niet aan de normen voor gegevensbescherming wordt voldaan, er goede redenen zijn om aan te nemen dat de bevoegde autoriteit in Nieuw-Zeeland niet tijdig passende maatregelen neemt of zal nemen om het probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade aan de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat gedaan hebben wat in de gegeven omstandigheden redelijkerwijs mogelijk is om de in Nieuw-Zeeland gevestigde organisatie die voor de verwerking verantwoordelijk is, in kennis te stellen en de gelegenheid te geven te reageren.
2. De opschortingsmaatregel blijft van kracht tot vaststaat dat de beschermingsnormen worden nageleefd en de bevoegde autoriteit van de betrokken lidstaat of lidstaten hiervan in kennis is gesteld.
Artikel 3
1. De lidstaten stellen de Commissie onverwijld in kennis wanneer maatregelen worden genomen op grond van artikel 2.
2. De lidstaten en de Commissie brengen elkaar op de hoogte van de gevallen waarin de instanties die in Nieuw-Zeeland verantwoordelijk zijn voor de naleving van de beschermingsnormen, niet in staat zijn deze naleving te garanderen.
3. Wanneer uit de overeenkomstig artikel 2 en de leden 1 en 2 van dit artikel verzamelde informatie mocht blijken dat een instantie die verantwoordelijk is voor de naleving van de beschermingsnormen in Nieuw-Zeeland haar taak niet naar behoren vervult, stelt de Commissie de bevoegde autoriteit in Nieuw-Zeeland hiervan in kennis en stelt zij zo nodig, volgens de procedure van artikel 31, lid 2, van Richtlijn 95/46/EG, ontwerpmaatregelen voor om dit besluit in te trekken of op te schorten dan wel de werkingssfeer ervan te beperken.
Artikel 4
De Commissie houdt de werking van dit besluit in het oog en deelt alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee, met inbegrip van alle gegevens die van invloed kunnen zijn op de vaststelling in artikel 1 van dit besluit dat het beschermingsniveau in Nieuw-Zeeland passend is in de zin van artikel 25 van Richtlijn 95/46/EG, alsmede, wanneer dit besluit op discriminerende wijze wordt uitgevoerd, alle gegevens waaruit dat blijkt.
Artikel 5
De lidstaten nemen alle nodige maatregelen om uiterlijk op 20 maart 2013 aan dit besluit te voldoen.
Artikel 6
Dit besluit is gericht tot de lidstaten.
Gedaan te Brussel, 19 december 2012.