BESLUIT VAN DE COMMISSIE
van 19 oktober 2010
overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad, over de passende bescherming van persoonsgegevens in Andorra
(Kennisgeving geschied onder nummer C(2010) 7084)
(Voor de EER relevante tekst)
(2010/625/EU)
DE EUROPESE COMMISSIE,
Gezien het Verdrag betreffende de werking van de Europese Unie,
Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), en met name artikel 25, lid 6,
Na raadpleging van de Europese Toezichthouder voor gegevensbescherming,
Overwegende hetgeen volgt:
(1)
Overeenkomstig Richtlijn 95/46/EG dienen de lidstaten te bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaten die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.
(2)
De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties vanuit de lidstaten worden doorgegeven.
(3)
Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt en wordt in het bijzonder rekening gehouden met een aantal elementen die van belang zijn voor de doorgifte en in artikel 25 van de richtlijn zijn opgenomen.
(4)
Gezien de verschillende benaderingen van gegevensbescherming in derde landen dient het beschermingsniveau te worden beoordeeld en dienen besluiten op grond van artikel 25, lid 6, van Richtlijn 95/46/EG te worden vastgesteld en uitgevoerd op een wijze die geen willekeurige of onterechte discriminatie inhoudt tegen of tussen derde landen waar gelijksoortige voorwaarden gelden, noch een verkapte handelsbelemmering, rekening houdend met de geldende internationale verbintenissen van de Europese Unie.
(5)
Andorra is een parlementair vorstendom, met de president van de Franse Republiek en de aartsbisschop van Urgell als gezamenlijke vorsten.
(6)
Het recht op bescherming van de persoonlijke levenssfeer is vastgelegd in artikel 14 van de grondwet van het vorstendom Andorra (Constitució del Principat d’Andorra), die op 14 maart 1993 bij referendum is goedgekeurd.
(7)
De rechtsregels voor de bescherming van persoonsgegevens in Andorra zijn grotendeels gebaseerd op de normen van Richtlijn 95/46/EG en zijn vastgelegd in de Gekwalificeerde Wet 15/2003 van 18 december over de bescherming van persoonsgegevens (Llei qualificada de protecció de dades personals - LQPDP). Deze gegevensbeschermingswet wordt aangevuld door het decreet van 1 juli 2004 tot instelling van het openbare register van bestanden met persoonsgegevens en het decreet van 9 juni 2010 houdende goedkeuring van het reglement van het Andorrese Agentschap voor gegevensbescherming. Laatstgenoemd decreet geeft een verduidelijking betreffende een aantal vraagstukken die de bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens aan de orde heeft gesteld in haar advies van 1 december 2009 (2).
(8)
Gegevensbeschermingsbepalingen zijn ook opgenomen in een aantal rechtsinstrumenten die van toepassing zijn op verschillende sectoren, zoals de financiële sector, de gezondheidszorg en openbare registers.
(9)
Het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens van 28 januari 1981 en het Aanvullend Protocol bij het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens inzake toezichthoudende autoriteiten en grensoverschrijdend verkeer van gegevens van 8 november 2001, het Verdrag van de Raad van Europa tot bescherming van de rechten van de mens en de fundamentele vrijheden van 4 november 1950, dat in Andorra sinds 22 januari 1996 van kracht is, en het Internationaal Verdrag inzake burgerrechten en politieke rechten van 16 december 1966, dat in Andorra sinds 19 juli 2006 van kracht is, zijn door Andorra geratificeerd.
(10)
De wettelijke normen voor gegevensbescherming in Andorra omvatten alle basisbeginselen die noodzakelijk zijn voor een passend beschermingsniveau voor natuurlijke personen en voorzien tevens in de nodige uitzonderingen en beperkingen voor de bescherming van zwaarwegende algemene belangen. De toepassing van deze normen wordt gewaarborgd door bestuurlijke en rechtsmiddelen en het onafhankelijke toezicht door de toezichthoudende autoriteit, het Agentschap voor gegevensbescherming, dat de bevoegdheid heeft om onderzoek te verrichten en in te grijpen en onafhankelijk optreedt.
(11)
De Andorrese autoriteiten voor gegevensbescherming hebben verduidelijkingen en waarborgen geboden inzake de interpretatie van de Andorrese wetgeving en de verzekering gegeven dat de Andorrese normen inzake gegevensbescherming overeenkomstig deze interpretatie worden uitgevoerd. Dit besluit neemt deze verduidelijkingen en waarborgen in aanmerking en stelt derhalve de naleving daarvan als voorwaarde.
(12)
Gezien het bovenstaande wordt aangenomen dat Andorra een passend beschermingsniveau voor persoonsgegevens waarborgt, als bedoeld in Richtlijn 95/46/EG.
(13)
In het belang van de transparantie en om de bevoegde autoriteiten in de lidstaten in staat te stellen de bescherming van personen in verband met de verwerking van hun persoonsgegevens te waarborgen, moet nader worden geregeld in welke buitengewone omstandigheden de doorgifte van gegevens kan worden opgeschort, ondanks dat een passend beschermingsniveau is vastgesteld.
(14)
De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft over het niveau van de bescherming van persoonsgegevens een gunstig advies uitgebracht, waarmee bij de opstelling van dit besluit rekening is gehouden (3). De Groep heeft er in haar gunstige advies bij de Andorrese autoriteiten op aangedrongen nadere bepalingen aan te nemen waarmee het toepassingsgebied van de Andorrese wetgeving wordt uitgebreid tot geautomatiseerde individuele besluiten, die momenteel door de gekwalificeerde wet over de bescherming van persoonsgegevens niet uitdrukkelijk worden erkend.
(15)
De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31, lid 1, van Richtlijn 95/46/EG ingestelde comité,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG wordt Andorra geacht een passend beschermingsniveau te waarborgen voor vanuit de Europese Unie doorgegeven persoonsgegevens.
Artikel 2
Dit besluit heeft betrekking op de gepastheid van de bescherming die in Andorra wordt geboden, teneinde aan de vereisten van artikel 25, lid 1, van Richtlijn 95/46/EG te voldoen, en laat andere voorwaarden of beperkingen tot uitvoering van andere bepalingen van die richtlijn die op de verwerking van persoonsgegevens in de lidstaten betrekking hebben, onverlet.
Artikel 3
1. In onderstaande gevallen kunnen de bevoegde autoriteiten in de lidstaten gebruikmaken van hun bestaande bevoegdheden om gegevensstromen naar een ontvanger in Andorra te onderbreken, teneinde personen ten aanzien van de verwerking van hun persoonsgegevens te beschermen, onverminderd de bevoegdheid van die autoriteiten om maatregelen te nemen voor de naleving van nationale bepalingen die zijn goedgekeurd ingevolge andere bepalingen dan artikel 25 van Richtlijn 95/46/EG:
a)
indien een bevoegde autoriteit in Andorra tot de conclusie is gekomen dat de ontvanger in strijd met de toepasselijke normen voor gegevensbescherming handelt, of
b)
indien het zeer waarschijnlijk is dat niet aan de normen voor gegevensbescherming wordt voldaan, er goede redenen zijn om aan te nemen dat de bevoegde autoriteit in Andorra niet tijdig passende maatregelen neemt of zal nemen om het probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade aan de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat gedaan hebben wat in de gegeven omstandigheden redelijkerwijs mogelijk is om de in Andorra gevestigde organisatie die voor de verwerking verantwoordelijk is in kennis te stellen en de gelegenheid te geven te reageren.
2. De opschortende maatregel blijft van kracht tot vaststaat dat de beschermingsnormen worden nageleefd en de bevoegde autoriteit van de betrokken lidstaat of lidstaten hiervan in kennis is gesteld.
Artikel 4
1. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van artikel 3 maatregelen worden genomen.
2. De lidstaten en de Commissie stellen elkaar op de hoogte van de gevallen waarin de instanties die in Andorra verantwoordelijk zijn voor de naleving van de beschermingsnormen niet in staat zijn deze naleving te garanderen.
3. Wanneer uit de overeenkomstig artikel 3 en de leden 1 en 2 van dit artikel verzamelde informatie mocht blijken dat een instantie die verantwoordelijk is voor de naleving van de beschermingsnormen in Andorra haar taak niet naar behoren vervult, stelt de Commissie de bevoegde autoriteit in Andorra hiervan in kennis en stelt zij zo nodig, in overeenstemming met de procedure van artikel 31, lid 2, van Richtlijn 95/46/EG, ontwerpmaatregelen voor om dit besluit in te trekken of op te schorten dan wel het toepassingsgebied ervan te beperken.
Artikel 5
De Commissie evalueert de werking van dit besluit en deelt alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee, met inbegrip van alle gegevens die van invloed kunnen zijn op de vaststelling in artikel 1 van dit besluit dat het beschermingsniveau in Andorra passend is in de zin van artikel 25 van Richtlijn 95/46/EG, alsmede, wanneer dit besluit op discriminerende wijze wordt uitgevoerd, alle gegevens waaruit dat blijkt.
Artikel 6
De lidstaten nemen alle nodig maatregelen om uiterlijk op 1 januari 2011 aan dit besluit te voldoen.
Artikel 7
Dit besluit is gericht tot de lidstaten.
Gedaan te Brussel, 19 oktober 2010.