РЕШЕНИЕ НА КОМИСИЯТА
от 31 януари 2011 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Държавата Израел във връзка с автоматизираното предаване на лични данни
(нотифицирано под номер C(2011) 332)
(текст от значение за ЕИП)
(2011/61/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след като се консултира с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни към трета държава може да се извършва само ако въпросната трета държава осигурява адекватно ниво на защита и ако законодателствата на държавите-членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватно ниво на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква нивото на защита на данните да бъде преценявано с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни, или на набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Правната система на Държавата Израел не се основава на писана конституция, макар че Върховният съд на Държавата Израел е предоставил конституционен статут на някои „основни закони“. Тези „основни закони“ се допълват от голяма по обем съдебна практика, тъй като израелската правна система се придържа в съществена степен към принципите на обичайното право. Правото на личен живот е включено в раздел 7 от т.нар. „Основен закон: човешко достойнство и свобода“.
(6)
Правните стандарти за защита на личните данни в Държавата Израел до голяма степен се основават върху стандартите, установени в Директива 95/46/ЕО, и са посочени в Закона за защита на неприкосновеността на личния живот 5741-1981, изменен за последен път през 2007 г., с цел да се установят нови изисквания за обработване на личните данни и да се утвърди подробна организация на надзорния орган.
(7)
Това законодателство за защита на данните се допълва още от правителствени решения относно прилагането на Закона за защита на неприкосновеността на личния живот 5741-1981 и относно организацията и функционирането на надзорния орган, които до голяма степен се основават на препоръките, формулирани в доклада до Министерството на правосъдието, изготвен от Комитета за преглед на законодателство, свързано с бази данни („доклад Шофман“).
(8)
Разпоредби за защита на данните се съдържат също и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормите в областта на здравеопазването и публичните регистри.
(9)
Правните стандарти за защита на данните, приложими в Държавата Израел, обхващат всички основни принципи, необходими за адекватно ниво на защита на физическите лица във връзка с обработването на лични данни в автоматизирани бази данни. Глава 2 от Закона за защита на неприкосновеността на личния живот 5741-1981, в която се определят принципите за обработване на личните данни, не се прилага за обработването на лични данни в неавтоматизирани бази данни (ръчни бази данни).
(10)
Прилагането на правните стандарти за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Израелския орган за законодателство, информация и технологии (ИОЗИТ), който разполага с правомощия за разследване и намеса и който действа напълно независимо.
(11)
Израелските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува израелското право, и също така дадоха уверения, че израелското законодателство за защита на данните се прилага в съответствие с това тълкуване. Настоящото решение се основава на тези обяснения и уверения и следователно е обусловено от тях.
(12)
Поради това следва да се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни съгласно Директива 95/46/ЕО по отношение на автоматизираното международно предаване на лични данни от Европейския съюз към Държавата Израел и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. От друга страна, международното предаване на лични данни от ЕС към Държавата Израел, при което самото предаване, както и последващата обработка на данните се осъществяват изключително чрез неавтоматизирани средства, не следва да бъде предмет на настоящото решение.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано, въпреки констатирането на адекватна защита.
(14)
Констатациите в настоящото решение относно адекватността на защитата на данните се отнасят до Държавата Израел, както е определена в съответствие с международното право. По-нататъшно последващо предаване на получател извън Държавата Израел, както е определена в съответствие с международното право, следва да се счита за предаване на лични данни на трета държава.
(15)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на адекватност на защитата на лични данни по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които те подлежат на допълнителна автоматизирана обработка в Държавата Израел. В своето благоприятно становище работната група окуражи израелските органи да приемат допълнителни разпоредби, които разширяват обхвата на прилагането на израелското законодателство, така че в него да се включат и ръчните бази данни, и които изрично признават прилагането на принципа на пропорционалност към обработването на лични данни в частния сектор и тълкуват изключенията при международното предаване на данни в съответствие с критериите, посочени в нейния Работен документ за общо тълкуване на член 26, параграф 1 от Директива 95/46/ЕО (2). Това становище беше взето предвид при изготвянето на настоящото решение (3).
(16)
Комитетът, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО, не изготви становище в срока, определен от неговия председател,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Държавата Израел осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз, по отношение на автоматизираното международно предаване на лични данни от Европейския съюз и в случаите на неавтоматизирано предаване, в които то подлежи на допълнителна автоматизирана обработка в Държавата Израел.
2. Компетентният надзорен орган в Държавата Израел относно прилагането на правните стандарти за защита на данните е Израелският орган за законодателство, информация и технологии (ИОЗИТ), посочен в приложението към настоящото решение.
Член 2
1. Настоящото решение се отнася единствено до нивото на адекватна защита, осигурено в Държавата Израел, както е определена в съответствие с международното право, за да се отговори на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не влияе по никакъв начин върху други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
2. Настоящото решение се прилага в съответствие с международното право. То не засяга статута на Голанските възвишения, Ивицата Газа и Западния бряг, включително Източен Ерусалим, съгласно разпоредбите на международното право.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правата, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Държавата Израел с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен израелски орган е установил, че получателят нарушава приложимите стандарти за защита; или
б)
когато е налице голяма вероятност да са нарушени стандартите на защита, има основателни причини да се смята, че компетентният израелски орган не взема или няма да вземе подходящите и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за засегнатите лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Държавата Израел, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират стандартите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки информират незабавно Комисията за мерките, приети на основание член 3.
2. Държавите-членки и Комисията се информират взаимно за случаите, при които действията, предприети от органите, отговорни за гарантиране на спазването на стандартите за защита в Държавата Израел, не успеят да гарантират тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира спазването на стандартите за защита в Държавата Израел, не изпълнява действително своята роля, Комисията уведомява за това компетентния израелски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава прилагането на настоящото решение и съобщава съответните констатации на комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което би могло да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Държавата Израел е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин. По-специално тя наблюдава обработването на лични данни в ръчни бази данни.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на неговото нотифициране.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 31 януари 2011 година.
A BIZOTTSÁG HATÁROZATA
(2011. január 31.)
a 95/46/EK európai parlamenti és tanácsi irányelv alapján a személyes adatok Izrael Állam által biztosított megfelelő védelméről a személyes adatok automatizált feldolgozása tekintetében
(az értesítés a C(2011) 332. számú dokumentummal történt)
(EGT-vonatkozású szöveg)
(2011/61/EU)
AZ EURÓPAI BIZOTTSÁG,
tekintettel az Európai Unió működéséről szóló szerződésre,
tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 25. cikke (6) bekezdésére,
az európai adatvédelmi biztossal folytatott konzultációt követően,
mivel:
(1)
A 95/46/EK irányelv értelmében a tagállamoknak biztosítaniuk kell, hogy a személyes adatoknak egy harmadik országba történő továbbítására csak abban az esetben kerülhessen sor, ha az érintett harmadik ország gondoskodik a megfelelő szintű adatvédelemről, és ha a tagállamoknak az irányelv egyéb rendelkezéseit végrehajtó jogszabályait az adatok továbbítása előtt betartják.
(2)
A Bizottság megállapíthatja, hogy egy harmadik ország megfelelő védelmi szintet biztosít. Ebben az esetben a személyes adatokat a tagállamokból továbbítani lehet anélkül, hogy további garanciákra lenne szükség.
(3)
A 95/46/EK irányelv alapján az adatvédelem szintjét az adattovábbítási művelettel vagy műveletsorozattal kapcsolatos valamennyi körülmény fényében, valamint számos, az adattovábbítás szempontjából fontos és a 95/46/EK irányelv 25. cikkében felsorolt feltétel különös figyelembevételével kell értékelni.
(4)
Tekintettel a harmadik országokban az adatvédelem terén alkalmazott módszerek különbségeire, a megfelelőség értékelését olyan módon kell elvégezni, valamint a 95/46/EK irányelv 25. cikkének (6) bekezdésén alapuló bármely határozatot olyan módon kell meghozni és végrehajtani, hogy az ne jelentsen önkényes vagy indokolatlan megkülönböztetést azon harmadik országokkal szemben vagy között, amelyekben hasonló feltételek állnak fent, és ne képezzenek rejtett kereskedelmi akadályt, tekintettel az Európai Unió jelenlegi nemzetközi kötelezettségeire is.
(5)
Izrael Állam jogrendszere nem rendelkezik írott alkotmánnyal, de egyes „alaptörvényeket” Izrael Állam Legfelsőbb Bírósága alkotmányi státusszal ruházott fel. Ezen alaptörvényeket gazdag ítélkezési gyakorlat egészíti ki, mivel az izraeli jogrendszer nagy mértékben támaszkodik a common law elveire. A magánélet tiszteletben tartásához való jogot az emberi méltóságról és szabadságról szóló alaptörvény erről szóló 7. szakasza szabályozza.
(6)
A személyes adatok védelmével kapcsolatos jogi normák Izrael Államban nagyrészt a 95/46/EK irányelvben meghatározott normákon alapulnak, és azokat a magánélet védelméről szóló 5741-1981 törvény tartalmazza, amelyet legutóbb 2007-ben módosítottak a személyes adatok feldolgozásával kapcsolatos új követelmények és a felügyeleti hatóság részletes szervezeti felépítésének meghatározása céljából.
(7)
Ezeket az adatvédelmi jogszabályokat kiegészítik továbbá a magánélet védelméről szóló 5741-1981 törvény végrehajtásáról és a felügyeleti hatóság szervezeti felépítéséről és működéséről szóló kormányhatározatok, amelyek nagyrészt az adatbázisokkal kapcsolatos jogszabályok vizsgálatáért felelős szakértői bizottság által az Igazságügyi Minisztérium számára benyújtott jelentésben (Schoffman-jelentés) megfogalmazott ajánlásokon alapulnak.
(8)
Adatvédelmi rendelkezéseket ezen túlmenően számos, az egyes ágazatok - például a pénzügyi ágazat, az egészségügy vagy a nyilvános adatbázisok - szabályozására szolgáló jogi eszköz tartalmaz.
(9)
Az Izrael Államban az adatvédelem tekintetében alkalmazandó jogi normák kiterjednek mindazon alapelvekre, amelyek a személyes adatok automatizált adatbázisokban történő feldolgozásával kapcsolatosan a természetes személyek megfelelő szintű védelméhez szükségesek. A magánélet védelméről szóló 5741-1981 törvény 2. fejezete, amely meghatározza a személyes adatok feldolgozásának elveit, nem alkalmazandó a személyes adatok nem automatizált (manuális) adatbázisokban történő feldolgozása esetében.
(10)
Az adatvédelmi jogi normák alkalmazását közigazgatási és bírósági jogorvoslaton, valamint a felügyelő hatóság - az izraeli Jogi, Információs és Technológiai Hatóság (ILITA) - által végzett független ellenőrzésen keresztül biztosítják, mely hatóság vizsgálati és beavatkozási hatáskörrel rendelkezik, és teljes mértékben függetlenül jár el.
(11)
Az izraeli adatvédelmi hatóságok magyarázatokat és biztosítékokat nyújtottak arra vonatkozóan, hogyan kell az izraeli jogot értelmezni, illetve biztosítékokat nyújtottak arra is, hogy az izraeli adatvédelmi előírásokat ezen értelmezéseknek megfelelően hajtják végre. Ez a határozat e magyarázatokra és biztosítékokra támaszkodik, és ezért ezektől függ.
(12)
Ezért úgy kell tekinteni, hogy Izrael Állam a személyes adatok védelmének megfelelő szintjét biztosítja a 95/46/EK irányelv értelmében a személyes adatoknak az Európai Unióból Izrael Államba történő automatizált nemzetközi továbbítása tekintetében vagy - amennyiben az adattovábbítás nem automatizált - az Izrael Állam területén történő további automatizált feldolgozás tekintetében. Ezzel szemben a személyes adatoknak az Európai Unióból Izrael Államba történő nemzetközi továbbítása, amennyiben maga az adattovábbítás, valamint az azt követő adatfeldolgozás kizárólag nem automatizált eszközökkel történik, nem tartozik e határozat hatálya alá.
(13)
Az átláthatóság és annak érdekében, hogy a tagállamok illetékes hatóságai képesek legyenek a személyes adatok feldolgozása során a személyek védelmének biztosítására, a megfelelő védelem elismerésének sérelme nélkül meg kell határozni azokat a különleges körülményeket, amelyek mellett bizonyos adatáramlás felfüggeszthető.
(14)
Az adatvédelem megfelelőségével kapcsolatos, e határozatban foglalt megállapítások a nemzetközi jognak megfelelően meghatározott Izrael Államra vonatkoznak. A nemzetközi jognak megfelelően meghatározott Izrael Államon kívüli címzettnek történő további adattovábbítást a személyes adatok harmadik országba történő továbbításának kell tekinteni.
(15)
A 95/46/EK irányelv 29. cikkével összhangban létrehozott, a személyes adatok feldolgozása tekintetében az egyének védelmével foglalkozó munkacsoport kedvező véleményt bocsátott ki az adatvédelmi rendszer megfelelőségéről a személyes adatoknak az Európai Unióból történő automatizált nemzetközi továbbítását illetően, vagy az olyan nem automatizált továbbításokat illetően, amelyek Izrael Állam területén valamilyen más automatizált feldolgozás tárgyát képezik. Kedvező véleményében a munkacsoport olyan kiegészítő intézkedések elfogadására ösztönözte az izraeli hatóságokat, amelyek kiterjesztik az izraeli jogszabályok alkalmazási körét a manuális adatbázisokra is, amelyek kifejezetten elismerik az arányosság elvének alkalmazását a személyes adatok magánszektorban történő feldolgozása során, valamint amelyek a nemzetközi adattovábbítással kapcsolatos mentességeket a 95/46/EK irányelv 26. cikke (1) bekezdésének közös értelmezéséről szóló munkadokumentumban (2) foglalt kritériumokkal összhangban értelmezik. A munkacsoport véleményét (3) a Bizottság figyelembe vette e határozat elkészítésénél.
(16)
A 95/46/EK irányelv 31. cikke (1) bekezdése szerint felállított bizottság az elnöke által kitűzött határidőn belül nem nyilvánított véleményt,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
(1) A 95/46/EK irányelv 25. cikke (2) bekezdésének alkalmazásában Izrael Államot úgy kell tekinteni, mint amely a személyes adatok védelmének megfelelő szintjét biztosítja a személyes adatoknak az Európai Unióból történő automatizált nemzetközi továbbítása tekintetében vagy - amennyiben az adattovábbítás nem automatizált - az Izrael Állam területén történő további automatizált feldolgozás tekintetében.
(2) Izrael Államban az adatvédelmi jogi normák alkalmazásáért felelős hatáskörrel rendelkező felügyelő hatóság az e határozat mellékletében megjelölt izraeli Jogi, Információs és Technológiai Hatóság.
2. cikk
(1) Ez a határozat csak abban a tekintetben vonatkozik a nemzetközi jognak megfelelően meghatározott Izrael Államban biztosított adatvédelem megfelelőségére, hogy az megfelel-e a 95/46/EK irányelv 25. cikke (1) bekezdése követelményeinek, és nem érinti az említett irányelv egyéb rendelkezéseit végrehajtó olyan egyéb feltételeket vagy korlátozásokat, amelyek a személyes adatok tagállamokon belüli feldolgozásával kapcsolatosak.
(2) E határozatot a nemzetközi joggal összhangban kell alkalmazni. E határozat nem érinti a Golán-fennsík, a Gázai övezet és Ciszjordánia - ideértve Kelet-Jeruzsálemet - nemzetközi jog szerinti státusát.
3. cikk
(1) A tagállamok illetékes hatóságai - a 95/46/EK irányelv 25. cikkétől eltérő rendelkezések alapján elfogadott nemzeti rendelkezések teljesítését szolgáló intézkedések megtételére vonatkozó hatásköreik sérelme nélkül - jelenleg is meglévő hatásköreiket gyakorolhatják az Izrael állambeli címzettek felé irányuló adatáramlás felfüggesztésére annak érdekében, hogy biztosítsák az egyének védelmét személyes adataik feldolgozása tekintetében olyan esetekben, amikor:
a)
a hatáskörrel rendelkező izraeli hatóság megállapította, hogy a címzett megszegi az adatvédelem alkalmazandó normáit; vagy
b)
nagy a valószínűsége annak, hogy az adatvédelemre vonatkozó normákat megsértik; alapos okkal feltételezhető, hogy a hatáskörrel rendelkező izraeli hatóság nem teszi meg vagy nem fogja megtenni a megfelelő és kellő időben történő lépéseket az adott eset rendezésére; fennáll a közvetlen veszélye annak, hogy a folytatódó adattovábbítás az érintettek érdekeinek komoly sérelmét okozná, és a tagállam illetékes hatóságai a körülményekhez képest ésszerű erőfeszítéseket tettek, hogy az adatfeldolgozásért felelős, Izrael Államban letelepedett felet értesítsék, és részére biztosítsák a válaszadás lehetőségét.
(2) A felfüggesztést meg kell szüntetni, amint az adatvédelemi normák biztosítottá válnak, és erről az érintett tagállamok illetékes hatóságát értesítették.
4. cikk
(1) A tagállamok haladéktalanul tájékoztatják a Bizottságot, ha a 3. cikk alapján intézkedéseket fogadnak el.
(2) A tagállamok és a Bizottság egymást is tájékoztatják azokról az esetekről, amikor az Izrael Államban az adatvédelem normái teljesítésének biztosításáért felelős szerveknek a normák teljesülését nem sikerül biztosítaniuk.
(3) Ha a 3. cikk, valamint e cikk (1) és (2) bekezdése alapján gyűjtött információk bizonyítékot szolgáltatnak arra nézve, hogy az adatvédelmi normák teljesülésének biztosításáért felelős bármely izraeli szerv nem tölti be hatékonyan e szerepét, a Bizottság tájékoztatja a hatáskörrel rendelkező Izrael állambeli hatóságot, és amennyiben szükséges, a 95/46/EK irányelv 31. cikkének (2) bekezdésében említett eljárásnak megfelelően intézkedéstervezetet nyújt be e határozat hatályon kívül helyezése vagy felfüggesztése, illetve hatályának korlátozása céljából.
5. cikk
A Bizottság figyelemmel kíséri e határozat működését, és beszámol a 95/46/EK irányelv 31. cikke alapján létrehozott bizottságnak minden vonatkozó megállapításról, beleértve bármilyen olyan tényt, amely hatással lehet az e határozat 1. cikkének azon megállapítására, miszerint a 95/46/EK irányelv 25. cikke értelmében Izrael Államban az adatvédelem szintje megfelelő, illetve bármely olyan tényt, amely azt bizonyítja, hogy ezt a határozatot diszkriminatív módon hajtják végre. A Bizottság különösen figyelemmel kíséri a személyes adatok manuális adatbázisokban történő feldolgozását.
6. cikk
A tagállamok a határozatról történő értesítést követő három hónapon belül megtesznek minden olyan intézkedést, amely annak alkalmazásához szükséges.
7. cikk
Ennek a határozatnak a tagállamok a címzettjei.
Kelt Brüsszelben, 2011. január 31-én.