KOMMISSIONENS AFGØRELSE
af 19. oktober 2010
om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Andorra i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF
(meddelt under nummer K(2010) 7084)
(EØS-relevant tekst)
(2010/625/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse, og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der videregives personoplysninger fra medlemsstaterne, uden at yderligere garantier er påkrævet.
(3)
Vurderingen af, om beskyttelsesniveauet for personoplysninger er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger og under hensyntagen til en række faktorer som anført i direktivets artikel 25, der er relevante for den pågældende videregivelse.
(4)
Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og vedtagelsen og gennemførelsen af enhver afgørelse i henhold til artikel 25, stk. 6, i direktiv 95/46/EF skal på grund af tredjelandenes forskellige opfattelser af begrebet beskyttelse af personoplysninger foretages ud fra en række kriterier, der skal sikre, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor lignende forhold gør sig gældende, eller skabes skjulte handelshindringer under hensyntagen til Den Europæiske Unions nuværende internationale forpligtelser.
(5)
Andorras politiske styreform er et parlamentarisk fyrstendømme, som styres af to medfyrster, hvoraf den ene er den franske præsident og den anden ærkebiskoppen af Urgell.
(6)
Privatlivets fred beskyttes ved artikel 14 i Fyrstendømmet Andorras forfatning (Constitució del Principat d'Andorra), som blev godkendt ved en folkeafstemning den 14. marts 1993.
(7)
Retsreglerne om beskyttelse af personoplysninger i Andorra bygger i hovedsagen på normerne i direktiv 95/46/EF og er nedfældet i organisk lov 15/2003 (llei qualificada de protecció de dades personals) af 18. december 2003 om beskyttelse af personoplysninger (LQPDP). Disse retsregler om databeskyttelse suppleres ved dekret af 1. juli 2004, hvorved der oprettes et offentligt register for optagelse af personoplysningsakter, og ved dekret af 9. juni 2010 om godkendelse af reglerne for det andorranske databeskyttelsesorgan. Takket være sidstnævnte instrument er der sket en afklaring af flere spørgsmål vedrørende beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, som den ved artikel 29 i direktiv 95/46/EF nedsatte gruppe rejste i sin udtalelse af 1. december 2009 (2).
(8)
Bestemmelserne om databeskyttelse er også indeholdt i en række retlige instrumenter, der regulerer forskellige sektorer, herunder finanssektoren, sundhedssektoren og offentlige registre.
(9)
Andorra har ratificeret Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med automatisk databehandling af personoplysninger, tillægsprotokollen af 8. november 2001 til konventionen om beskyttelse af det enkelte menneske i forbindelse med databehandling af personoplysninger, om tilsynsmyndigheder og grænseoverskridende dataudveksling, Europarådets konvention af 4. november 1950 til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, som har været i kraft i Andorra siden den 22. januar 1996, og konventionen af 16. december 1966 om borgerlige og politiske rettigheder, som har været i kraft i Andorra siden den 19. juli 2006.
(10)
Databeskyttelsesnormerne i henhold til loven i Andorra omfatter alle de grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, og de indeholder desuden en række undtagelser og begrænsninger med henblik på at beskytte vigtige offentlige interesser. Anvendelsen af disse databeskyttelsesnormer sikres gennem adgangen til domstolsprøvelse og administrative klagemuligheder og ved den uafhængige kontrol, der foretages af tilsynsmyndigheden, det andorranske databeskyttelsesorgan, som har både undersøgelses- og interventionsbeføjelser, og som fungerer i fuld uafhængighed.
(11)
De andorranske databeskyttelsesmyndigheder har givet forklaringer og forsikringer med hensyn til fortolkningen af den andorranske lovgivning og har forsikret, at de andorranske bestemmelser om databeskyttelse anvendes i overensstemmelse med denne fortolkning. Nærværende afgørelse tager udgangspunkt i disse forklaringer og forsikringer og tager derfor også forbehold for disse.
(12)
Andorra bør derfor anses for at være i stand til at sikre et tilstrækkeligt databeskyttelsesniveau i henhold til direktiv 95/46/EF.
(13)
Af hensyn til åbenheden og for at sikre medlemsstaternes kompetente myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger, selv om det er blevet fastslået, at beskyttelsen er tilstrækkelig.
(14)
Gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet positiv udtalelse om tilstrækkeligheden af beskyttelsesniveauet, som er taget i betragtning ved udarbejdelsen af denne afgørelse (3). I sin udtalelse har gruppen opfordret de andorranske myndigheder til løbende at vedtage yderligere bestemmelser, som kan bidrage til at udvide anvendelsen af den andorranske lovgivning til elektroniske individuelle afgørelser, da dette i øjeblikket ikke udtrykkeligt anerkendes i den andorranske organiske lov om beskyttelse af personoplysninger.
(15)
De i denne afgørelse fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31, stk. 1, i direktiv 95/46/EF -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
For så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF, anses Andorra for at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der videregives fra Den Europæiske Union.
Artikel 2
Denne afgørelse vedrører spørgsmålet om, hvorvidt Andorra sikrer tilstrækkelig beskyttelse med hensyn til opfyldelse af kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og den berører ikke andre betingelser eller begrænsninger i forbindelse med gennemførelsen af andre bestemmelser i direktivet, der vedrører behandlingen af personoplysninger i medlemsstaterne.
Artikel 3
1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overensstemmelse med nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere den fortsatte videregivelse af oplysninger til en modtager i Andorra for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger,
a)
når en kompetent myndighed i Andorra fastslår, at den pågældende modtager overtræder de gældende beskyttelsesnormer, eller
b)
når der er væsentlig sandsynlighed for, at beskyttelsesnormerne overtrædes, når der er grund til at antage, at den kompetente myndighed i Andorra ikke tager eller ikke agter at tage passende og rettidige skridt for at afgøre forholdet, når en fortsat videregivelse af personoplysninger vil kunne skabe overhængende risiko for alvorlig skade for de registrerede, og de kompetente myndigheder i medlemsstaterne forholdene taget i betragtning på passende vis har forsøgt at underrette den ansvarlige for behandlingen i Andorra og give vedkommende mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesnormerne overholdes, og den kompetente myndighed i de pågældende medlemsstater underrettes herom.
Artikel 4
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 3.
2. Medlemsstaterne og Kommissionen underretter hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af beskyttelsesnormerne i Andorra, ikke sikrer denne overholdelse.
3. Hvis det ifølge de oplysninger, der fremkommer i medfør af artikel 3 og artikel 4, stk. 1 og 2, kan godtgøres, at et organ, der har ansvaret for at sikre, at beskyttelsesnormerne i Andorra overholdes, ikke udfører sin opgave effektivt, underretter Kommissionen den kompetente myndighed i Andorra herom og forelægger om nødvendigt et udkast til foranstaltninger efter proceduren i artikel 31, stk. 2, i direktiv 95/46/EF med henblik på at ophæve eller suspendere denne afgørelse eller begrænse dens anvendelsesområde.
Artikel 5
Kommissionen foretager en evaluering af anvendelsen af denne afgørelse og fremsender enhver relevant konstatering til det udvalg, der er nedsat i henhold til artikel 31 i direktiv 95/46/EF, herunder ethvert forhold, der kan påvirke den vurdering, der foretages i henhold til artikel 1 i denne afgørelse, om, at beskyttelsen i Andorra er tilstrækkelig efter artikel 25 i direktiv 95/46/EF, og ethvert forhold, der viser, at afgørelsen gennemføres på diskriminerende måde.
Artikel 6
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne afgørelse senest den 1. januar 2011.
Artikel 7
Denne afgørelse er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 19. oktober 2010.
BESCHLUSS DER KOMMISSION
vom 19. Oktober 2010
gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus in Andorra
(Bekannt gegeben unter Aktenzeichen K(2010) 7084)
(Text von Bedeutung für den EWR)
(2010/625/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
nach Anhörung des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die Rechtsvorschriften der Mitgliedstaaten zur Umsetzung anderer Bestimmungen der Richtlinie eingehalten werden, bevor die Übermittlung erfolgt.
(2)
Die Kommission kann feststellen, dass ein Drittland ein angemessenes Datenschutzniveau gewährleistet. In diesem Fall können personenbezogene Daten aus den Mitgliedstaaten übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Gemäß der Richtlinie 95/46/EG sind bei der Beurteilung des Datenschutzniveaus alle Umstände, die bei der Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen, insbesondere eine Reihe bei der Datenübermittlung relevanter und in Artikel 25 der Richtlinie aufgeführter Aspekte, zu berücksichtigen.
(4)
Angesichts der unterschiedlichen Ansätze von Drittländern im Bereich des Datenschutzes sollten die Beurteilung der Angemessenheit sowie etwaige Beschlüsse gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG und deren Durchsetzung in einer Form erfolgen, die gegen Drittländer bzw. unter Drittländern, in denen gleiche Bedingungen herrschen, nicht willkürlich oder ungerechtfertigt diskriminierend wirkt und unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Europäischen Union kein verstecktes Handelshemmnis darstellt.
(5)
Der Staat Andorra ist ein parlamentarisches Co-Fürstentum; Co-Fürsten sind der Präsident der Französischen Republik und der Bischof von Urgell.
(6)
Das Recht auf Privatsphäre ist in Artikel 14 der Verfassung des Fürstentums Andorra (Constitució del Principat d’Andorra) verankert, die durch eine Volksabstimmung am 14. März 1993 angenommen wurde.
(7)
Die Rechtsvorschriften zum Schutz personenbezogener Daten in Andorra stützen sich weitgehend auf die in der Richtlinie 95/46/EG vorgegebenen Normen und sind im qualifizierten Gesetz 15/2003 vom 18. Dezember über den Schutz personenbezogener Daten (Llei qualificada de protecció de dades personals - LQPDP) niedergelegt. Ergänzt werden die Datenschutzvorschriften durch den Erlass vom 1. Juli 2004 zur Einrichtung des Öffentlichen Registers zur Erfassung von Dateien mit personenbezogenen Daten und durch den Erlass vom 9. Juni 2010 zur Genehmigung der Verordnungen der andorranischen Datenschutzagentur. In dem letztgenannten Erlass wurden einige Fragen geklärt, die die durch Artikel 29 der Richtlinie 95/46/EG eingesetzte Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten in ihrer Stellungnahme vom 1. Dezember 2009 (2) aufgeworfen hatte.
(8)
Datenschutzrechtliche Bestimmungen sind darüber hinaus in einer Reihe von Rechtsinstrumenten zur Regulierung einzelner Sektoren enthalten, zum Beispiel in den Rechtsvorschriften für den Finanzsektor, das Gesundheitswesen und die öffentlichen Register.
(9)
Andorra hat das Übereinkommen des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 28. Januar 1981 und das Zusatzprotokoll zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Kontrollstellen und grenzüberschreitendem Datenverkehr vom 8. November 2001 sowie die Konvention zum Schutze der Menschenrechte und Grundfreiheiten des Europarates vom 4. November 1950, in Andorra seit dem 22. Januar 1996 in Kraft, und den Internationalen Pakt über bürgerliche und politische Rechte vom 16. Dezember 1966, in Andorra seit dem 19. Juli 2006 in Kraft, ratifiziert.
(10)
Die in Andorra für den Datenschutz geltenden Rechtsnormen enthalten sämtliche Grundsätze, deren Einhaltung für einen angemessenen Schutz natürlicher Personen erforderlich ist; außerdem sehen sie zur Wahrung wichtiger öffentlicher Interessen Ausnahmen und Einschränkungen vor. Um die Anwendung dieser Datenschutznormen zu garantieren, stehen administrative und gerichtliche Rechtsbehelfe zur Verfügung, und die mit Untersuchungs- und Eingriffskompetenzen ausgestattete und in völliger Unabhängigkeit handelnde andorranische Datenschutzagentur gewährleistet eine unabhängige Überwachung.
(11)
Die andorranischen Datenschutzbehörden haben Erläuterungen und Zusicherungen im Hinblick darauf gegeben, wie das andorranische Recht auszulegen ist; sie haben darüber hinaus zugesichert, dass die andorranischen Datenschutzvorschriften gemäß dieser Auslegung umgesetzt werden. Der vorliegende Beschluss trägt diesen Erläuterungen und Zusicherungen Rechnung und stützt sich darauf.
(12)
Daher ist Andorra als Land anzusehen, das ein angemessenes Schutzniveau für personenbezogene Daten im Sinne der Richtlinie 95/46/EG bietet.
(13)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(14)
Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine befürwortende Stellungnahme zur Angemessenheit des Schutzes personenbezogener Daten abgegeben; diese Stellungnahme wurde bei der Ausarbeitung des vorliegenden Beschlusses berücksichtigt (3). In ihrer befürwortenden Stellungnahme hat die Gruppe die andorranischen Behörden ermutigt, das laufende Verfahren zur Annahme weiterer Bestimmungen, die die Anwendung der andorranischen Rechtsvorschriften auf automatisierte Einzelentscheidungen ausdehnen werden, voranzutreiben, da dies derzeit in dem andorranischen qualifizierten Gesetz über den Schutz personenbezogener Daten nicht ausdrücklich festgelegt ist.
(15)
Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des Ausschusses, der durch Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Für die Zwecke von Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird Andorra als Land angesehen, das ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der Europäischen Union bietet.
Artikel 2
Dieser Beschluss betrifft die Angemessenheit des Schutzes, den Andorra bietet, um den Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG zu genügen; andere Bedingungen oder Einschränkungen zur Umsetzung sonstiger Bestimmungen der Richtlinie hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten bleiben davon unberührt.
Artikel 3
(1) Die zuständigen Behörden der Mitgliedstaaten können unbeschadet ihrer Handlungsbefugnis zum Zwecke der Einhaltung einzelstaatlicher Vorschriften, die gemäß anderen Bestimmungen als denen des Artikels 25 der Richtlinie 95/46/EG erlassen wurden, von ihrem Recht Gebrauch machen, die Datenübermittlung an einen Empfänger in Andorra zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten auszusetzen, wenn
a)
eine zuständige Behörde Andorras feststellt, dass der Datenempfänger die geltenden Datenschutzvorschriften nicht einhält, oder
b)
eine hohe Wahrscheinlichkeit besteht, dass die Schutzvorschriften verletzt werden, Grund zur Annahme besteht, dass die zuständige Behörde in Andorra nicht rechtzeitig geeignete Maßnahmen ergreift bzw. ergreifen wird, um den betreffenden Fall zu regeln, die Fortsetzung der Datenübermittlung den betroffenen Personen unmittelbar einen schweren Schaden zuzufügen droht und die zuständigen Behörden der Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die für die Datenverarbeitung verantwortliche Stelle in Andorra zu benachrichtigen und ihr Gelegenheit zur Stellungnahme zu geben.
(2) Die Aussetzung ist zu beenden, sobald sichergestellt ist, dass die Vorschriften eingehalten werden und die zuständigen Behörden der betroffenen Mitgliedstaaten davon in Kenntnis gesetzt sind.
Artikel 4
(1) Die Mitgliedstaaten unterrichten die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 3 ergriffen werden.
(2) Die Mitgliedstaaten und die Kommission unterrichten einander über Fälle, in denen die Maßnahmen der für die Einhaltung der Vorschriften in Andorra verantwortlichen Einrichtungen nicht ausreichen, um ein angemessenes Schutzniveau zu gewährleisten.
(3) Ergeben die nach Artikel 3 und nach Artikel 4 Absätze 1 und 2 gewonnenen Erkenntnisse, dass eine für die Einhaltung der Vorschriften in Andorra verantwortliche Einrichtung ihre Aufgabe nicht wirksam erfüllt, so unterrichtet die Kommission die zuständige andorranische Behörde und schlägt erforderlichenfalls Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren zur Aufhebung oder Aussetzung dieses Beschlusses oder zur Beschränkung seines Geltungsbereichs vor.
Artikel 5
Die Kommission überwacht die Durchführung dieses Beschlusses und unterrichtet den durch Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse; dazu zählen auch Erkenntnisse, die sich auf die Feststellung in Artikel 1 dieses Beschlusses auswirken könnten, wonach Andorra ein angemessenes Schutzniveau im Sinne von Artikel 25 der Richtlinie 95/46/EG bietet, oder die darauf hindeuten, dass dieser Beschluss in diskriminierender Weise angewandt wird.
Artikel 6
Die Mitgliedstaaten ergreifen die erforderlichen Maßnahmen, um dem Beschluss bis 1. Januar 2011 nachzukommen.
Artikel 7
Dieser Beschluss ist an die Mitgliedstaaten gerichtet.
Brüssel, den 19. Oktober 2010