РЕШЕНИЕ НА КОМИСИЯТА
от 19 октомври 2010 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата на личните данни в Андора
(нотифицирано под номер C(2010) 7084)
(текст от значение за ЕИП)
(2010/625/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните,
като има предвид, че:
(1)
Директива 95/46/ЕО изисква от държавите-членки да предвидят, че предаването на лични данни на трета държава може да се извършва, само ако въпросната трета държава осигурява подходяща степен на защита и ако законодателствата на държавите-членки по прилагането на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата държава осигурява адекватна степен на защита. В такъв случай държавите-членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с предаване на данни или с набор от операции по предаване на данни, като се отчитат редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите държави по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде прието и изпълнявано по начин, който не води до произволна или неоснователна дискриминация по отношение на трети държави или между трети държави, в които съществуват сходни условия, нито представлява скрита пречка пред търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
Държавата Андора е парламентарно княжество, представлявано от двама съкнязе - президента на Френската република и епископа на Урхел.
(6)
Правото на личен живот е залегнало в член 14 от Конституцията на Княжество Андора (Constitució del Principat d’Andorra), одобрена с национален референдум на 14 март 1993 г.
(7)
Правните норми за защита на личните данни в Андора се основават до голяма степен на стандартите, установени в Директива 95/46/ЕО, и са залегнали в Квалифициран закон 15/2003 от 18 декември относно защитата на личните данни (Llei qualificada de protecció de dades personals) (LQPDP). Това законодателство за защита на данните допълват два указа - указ от 1 юли 2004 г. за създаване на публичния регистър за вписване на личните данни и указ от 9 юни 2010 г. за одобряване на правилниците на Агенцията по защита на данните на Андора. Вторият инструмент изяснява няколко въпроса, повдигнати от работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, в нейното становище от 1 декември 2009 г. (2)
(8)
Разпоредби за защита на данните се съдържат и в редица правни инструменти, които регулират различни сектори, като например законодателството във финансовия сектор, нормативните разпоредби в областта на здравеопазването и публичните регистри.
(9)
Андора е ратифицирала Конвенцията на Съвета на Европа за защита на лицата при автоматизирана обработка на лични данни от 28 януари 1981 г. и допълнителния протокол към Конвенцията за защита на лицата при автоматизирана обработка на лични данни по отношение на надзорните органи и трансграничните потоци от данни от 8 ноември 2001 г., както и Конвенцията на Съвета на Европа за защита на правата на човека и основните свободи от 4 ноември 1950 г., която е в сила в Андора от 22 януари 1996 г., и Международния пакт за граждански и политически права от 16 декември 1966 г., който е в сила в Андора от 19 юли 2006 г.
(10)
Правните норми за защита на данните, приложими в Андора, обхващат всички основни принципи, необходими за осигуряване на адекватна степен на защита на физическите лица, като също така предвиждат възможността за изключения и ограничения, с цел да бъдат защитени важни обществени интереси. Прилагането на тези правни норми за защита на данните се гарантира чрез административни и съдебни средства за защита и чрез независим надзор от надзорен орган - Агенцията по защита на данните на Андора, която разполага с правомощия за разследване и намеса и която действа напълно независимо.
(11)
Органите на Андора за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува правото на Андора, и също така потвърдиха, че законодателството за защита на данните на Андора се прилага в съответствие с това тълкуване. Настоящото решение отчита тези обяснения и уверения и следователно е обусловено от тях.
(12)
Следователно следва да се счита, че Андора осигурява адекватна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(13)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите-членки да осигурят защита на гражданите по отношение на обработването на техните лични данни, е необходимо да се посочат извънредните обстоятелства, при които преустановяването на определени потоци от данни може да бъде оправдано въпреки констатирането на адекватна защита.
(14)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи благоприятно становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (3). В своето благоприятно становище работната група насърчи органите на Андора да продължат текущия процес на приемане на допълнителни разпоредби, които ще разширят обхвата на прилагане на законодателството на Андора, така че в него да се включат автоматизираните индивидуални решения, тъй като това в момента не е изрично признато в квалифицирания закон за защита на личните данни на Андора.
(15)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Андора осигурява адекватна степен на защита на личните данни, предавани от Европейския съюз.
Член 2
Настоящото решение се отнася до адекватността на защитата, осигурена в Андора с оглед на изпълняване на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не засяга други условия или ограничения за прилагане на други разпоредби на директивата, свързани с обработването на лични данни в държавите-членки.
Член 3
1. Без да се засягат правомощията, които им позволяват да вземат необходимите мерки за гарантиране на спазването на националните разпоредби, приети в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правомощията, с които разполагат понастоящем, за да преустановят потоците от данни към получател на територията на Андора с цел защита на лицата по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен орган на Андора е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност да се нарушават нормите на защита, има основателни причини да се смята, че компетентният орган в Андора не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозни вреди за съответните физически лица и при тези обстоятелства компетентните органи на държавата-членка са положили разумни усилия да предупредят отговарящите за обработването, установени в Андора, и да им дадат възможност за отговор.
2. Преустановяването се отменя веднага щом се гарантират нормите за защита и компетентният орган в съответните държави-членки е уведомен за това.
Член 4
1. Държавите-членки уведомяват незабавно Комисията за приетите на основание член 3 мерки.
2. Държавите-членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за гарантиране на спазването на нормите за защита в Андора, не успеят да осигурят тяхното спазване.
3. Ако информацията, събрана по силата на член 3 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да гарантира съблюдаването на нормите за защита в Андора, не изпълнява действително своята роля, Комисията уведомява за това компетентния орган в Андора и, ако е необходимо, представя проект за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО с оглед на отмяната или преустановяването на действието на настоящото решение или ограничаването на неговия обхват.
Член 5
Комисията наблюдава действието на настоящото решение и съобщава съответните констатации на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО, включително всяка явна информация, която би могла да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Андора е адекватна по смисъла на член 25 от Директива 95/46/ЕО, както и всяка явна информация, че настоящото решение се прилага по дискриминационен начин.
Член 6
Държавите-членки предприемат всички необходими мерки, за да се съобразят с решението до 1 януари 2011 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 19 октомври 2010 година.
A BIZOTTSÁG HATÁROZATA
(2010. október 19.)
a 95/46/EK európai parlamenti és tanácsi irányelv alapján a személyes adatok Andorrában biztosított megfelelő védelméről
(az értesítés a C(2010) 7084. számú dokumentummal történt)
(EGT-vonatkozású szöveg)
(2010/625/EU)
AZ EURÓPAI BIZOTTSÁG,
tekintettel az Európai Unió működéséről szóló szerződésre,
tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 25. cikke (6) bekezdésére,
az európai adatvédelmi biztossal folytatott konzultációt követően,
mivel:
(1)
A 95/46/EK irányelv értelmében a tagállamoknak biztosítaniuk kell, hogy a személyes adatoknak egy harmadik országba történő továbbítására csak abban az esetben kerülhessen sor, ha az érintett harmadik ország gondoskodik a megfelelő szintű adatvédelemről, és ha a tagállamoknak az irányelv egyéb rendelkezéseit végrehajtó jogszabályait az adatok továbbítása előtt betartják.
(2)
A Bizottság megállapíthatja, hogy egy harmadik ország megfelelő védelmi szintet biztosít. Ebben az esetben a személyes adatokat a tagállamokból továbbítani lehet anélkül, hogy további garanciákra lenne szükség.
(3)
A 95/46/EK irányelv alapján az adatvédelem szintjét az adattovábbítási művelettel vagy műveletsorozattal kapcsolatos valamennyi körülmény fényében, valamint számos, az adattovábbítás szempontjából fontos és a 95/46/EK irányelv 25. cikkében felsorolt feltétel különös figyelembevételével kell értékelni.
(4)
Tekintettel a harmadik országokban az adatvédelem terén alkalmazott módszerek különbségeire, a megfelelőség értékelését olyan módon kell elvégezni, valamint a 95/46/EK irányelv 25. cikkének (6) bekezdésén alapuló bármely határozatot olyan módon kell meghozni és végrehajtani, hogy az ne jelentsen önkényes vagy indokolatlan megkülönböztetést azon harmadik országokkal szemben vagy harmadik országok között, amelyekben hasonló feltételek állnak fent, és ne képezzen rejtett kereskedelmi akadályt, tekintettel az Európai Unió jelenlegi nemzetközi kötelezettségeire is.
(5)
Andorra államformája parlamentáris társfejedelemség: a társfejedelmi hivatalt a Francia Köztársaság elnöke és Urgell püspöke tölti be.
(6)
A magánélethez való jogot az Andorrai Hercegség 1993. március 14-én, népszavazással jóváhagyott alkotmányának (Constitució del Principat d’Andorra) 14. cikke erősíti meg.
(7)
A személyes adatok védelméről rendelkező jogi szabályok, amelyek jórészt a 95/46/EK irányelvben megállapított normákon alapulnak, a 2003. december 18-i 15/2003 minősített törvényben (Llei qualificada de protecció de dades personals; a továbbiakban: az adatvédelmi törvény) kerültek megállapításra. Az adatvédelmi törvényt a Személyesadat-nyilvántartás létrehozásáról szóló, 2004. július 1-jei rendelet és az Andorrai Adatvédelmi Hivatal létrehozásáról szóló, 2010. június 9-i rendelet egészíti ki. Utóbbi számos olyan kérdést tisztáz, amelyet az egyéneknek a személyes adatok feldolgozása tekintetében való védelmével foglalkozó, a 95/46/EK irányelv 29. cikke alapján létrehozott munkacsoport vetett fel 2009. december 1-jei véleményében (2).
(8)
Adatvédelmi rendelkezéseket ezen túlmenően számos, az egyes ágazatok, pl. a pénzügyi ágazat, az egészségügy vagy a nyilvános adatbázisok szabályozására szolgáló jogi eszköz tartalmaz.
(9)
Andorra megerősítette az Európa Tanács 1981. január 28-án kelt, az egyéneknek a személyes adatok gépi feldolgozása során való védelméről szóló egyezményét, az egyezmény 2001. november 8-án kelt, a felügyelő hatóságokról és a személyes adatok országhatárokat átlépő áramlásáról szóló kiegészítő jegyzőkönyvét, az Európa Tanács 1950. november 4-én kelt, az emberi jogok és alapvető szabadságok védelméről szóló egyezményét, amely Andorrában 1996. január 22. óta hatályos, valamint az 1966. december 16-i kelt Polgári és Politikai Jogok Nemzetközi Egységokmányát, amely Andorrában 2006. július 19. óta hatályos.
(10)
Az Andorrában alkalmazandó jogi adatvédelmi normák mindazokat az elveket tartalmazzák, amelyek a természetes személyek megfelelő szintű védelméhez szükségesek, és rendelkeznek a fontos közérdek védelmét szolgáló kivételekről és korlátozásokról is. Ezen adatvédelmi normák alkalmazását közigazgatási és bírósági jogorvoslaton, valamint a felügyelő hatóság - az Andorrai Adatvédelmi Hivatal - által végzett független ellenőrzésen keresztül biztosítják, mely hatóság vizsgálati és beavatkozási hatáskörrel rendelkezik, és teljes mértékben függetlenül jár el.
(11)
Az andorrai adatvédelmi hatóságok magyarázatokat és biztosítékokat nyújtottak arra vonatkozóan, hogyan kell az andorrai jogot értelmezni, illetve biztosítékokat nyújtottak arról is, hogy az andorrai adatvédelmi előírásokat ezen értelmezéseknek megfelelően hajtják végre. Ez a határozat az erre vonatkozó magyarázatokra és biztosítékokra támaszkodik, és ezért ezektől függ.
(12)
Ezért Andorrát úgy kell tekintetni, mint amely a 95/46/EK irányelvnek megfelelően biztosítja a személyes adatok megfelelő szintű védelmét.
(13)
Az átláthatóság és annak érdekében, hogy a tagállamok illetékes hatóságai képesek legyenek a személyes adatok feldolgozása során a személyek védelmének biztosítására, a megfelelő védelem elismerésének sérelme nélkül meg kell határozni azokat a különleges körülményeket, amelyek mellett bizonyos adatáramlás felfüggeszthető.
(14)
A személyes adatok feldolgozása vonatkozásában az egyének védelmével foglalkozó, a 95/46/EK irányelv 29. cikke alapján létrehozott munkacsoport kedvező véleményt adott ki a személyes adatok védelmének megfelelő szintjéről, mely véleményt e határozat előkészítése során a Bizottság figyelembe vette (3). Kedvező véleményében a munkacsoport arra ösztönözte az andorrai hatóságokat, hogy folytassák azokat a megkezdett jogalkotási folyamatokat, amelyek az andorrai adatvédelmi jogszabályok hatályát az automatizált egyedi döntésekre is kiterjesztik, mivel ezt jelenleg nem ismeri el kifejezetten az adatvédelmi törvény.
(15)
Az e határozatban előírt intézkedések összhangban állnak a 95/46/EK irányelv 31. cikke (1) bekezdése szerint felállított bizottság véleményével,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
A 95/46/EK irányelv 25. cikkének (2) bekezdése alkalmazásában Andorrát olyan országnak kell tekinteni, amely az Európai Unióból továbbított személyes adatok szempontjából megfelelő szintű védelmet biztosít.
2. cikk
Ez a határozat csak abban a tekintetben vonatkozik az Andorrában biztosított védelem megfelelő szintjére, hogy az megfelel-e a 95/46/EK irányelv 25. cikke (1) bekezdése követelményeinek, és nem érinti az említett irányelv egyéb rendelkezéseit végrehajtó olyan egyéb feltételeket vagy korlátozásokat, amelyek a tagállamokon belüli személyesadat-feldolgozással kapcsolatosak.
3. cikk
(1) Annak érdekében, hogy biztosítsák az egyének védelmét személyes adataik feldolgozása tekintetében, a tagállamok illetékes hatóságai - a 95/46/EK irányelv 25. cikkétől eltérő rendelkezések alapján elfogadott nemzeti rendelkezések teljesítését szolgáló intézkedések megtételére vonatkozó hatásköreik sérelme nélkül - az andorrai címzettek felé irányuló adatáramlás felfüggesztését lehetővé tevő, jelenleg is meglévő hatásköreiket gyakorolhatják azokban az esetekben, amikor:
a)
a hatáskörrel rendelkező andorrai hatóság megállapította, hogy a címzett megszegi az adatvédelem alkalmazandó normáit; vagy
b)
nagy a valószínűsége annak, hogy az adatvédelemre vonatkozó normákat megsértik; alapos okkal feltételezhető, hogy a hatáskörrel rendelkező andorrai hatóság nem teszi meg vagy nem fogja megtenni a megfelelő és kellő időben történő lépéseket az adott eset rendezésére; fennáll a közvetlen veszélye annak, hogy a folytatódó adattovábbítás az érintettek érdekeinek komoly sérelmét okozná, és a tagállam illetékes hatóságai a körülményekhez képest ésszerű erőfeszítéseket tettek, hogy az adatfeldolgozásért felelős, Andorrában letelepedett felet értesítsék, és részére biztosítsák a válaszadás lehetőségét.
(2) A felfüggesztést meg kell szüntetni, amint az adatvédelmi normák biztosítottá válnak, és erről az érintett tagállamok illetékes hatóságát értesítették.
4. cikk
(1) A tagállamok haladéktalanul tájékoztatják a Bizottságot, ha a 3. cikk alapján intézkedéseket fogadnak el.
(2) A tagállamok és a Bizottság tájékoztatják egymást azokról az esetekről, amikor az adatvédelem normái teljesítésének biztosításáért felelős andorrai szerveknek a normák teljesülését nem sikerül biztosítaniuk.
(3) Ha a 3. cikk, valamint e cikk (1) és (2) bekezdése alapján gyűjtött adatok bizonyítékot szolgáltatnak arra nézve, hogy adatvédelmi normák teljesülésének biztosításáért felelős, bármely andorrai szerv nem tölti be hatékonyan e szerepét, a Bizottság tájékoztatja a hatáskörrel rendelkező andorrai hatóságot, és amennyiben szükséges, a 95/46/EK irányelv 31. cikkének (2) bekezdésében említett eljárással összhangban, e határozat hatályon kívül helyezése vagy felfüggesztése, illetve hatályának korlátozása céljából intézkedéstervezetet nyújt be.
5. cikk
A Bizottság figyelemmel kíséri e határozat alkalmazását, és beszámol a 95/46/EK irányelv 31. cikke alapján létrehozott bizottságnak minden vonatkozó megállapításról, beleértve bármilyen olyan tényt, amely hatással lehet e határozat 1. cikkének azon megállapítására, hogy a 95/46/EK irányelv 25. cikke értelmében Andorrában az adatvédelem szintje megfelelő, illetve bármely olyan tényt, amely azt bizonyítja, hogy ezt a határozatot diszkriminatív módon hajtják végre.
6. cikk
A tagállamok 2011. január 1-jéig megtesznek minden, a határozat alkalmazásához szükséges intézkedést.
7. cikk
Ennek a határozatnak a tagállamok a címzettjei.
Kelt Brüsszelben, 2010. október 19-én.