KOMMISSIONENS AFGØRELSE
af 19. oktober 2010
om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Andorra i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF
(meddelt under nummer K(2010) 7084)
(EØS-relevant tekst)
(2010/625/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse, og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der videregives personoplysninger fra medlemsstaterne, uden at yderligere garantier er påkrævet.
(3)
Vurderingen af, om beskyttelsesniveauet for personoplysninger er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger og under hensyntagen til en række faktorer som anført i direktivets artikel 25, der er relevante for den pågældende videregivelse.
(4)
Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og vedtagelsen og gennemførelsen af enhver afgørelse i henhold til artikel 25, stk. 6, i direktiv 95/46/EF skal på grund af tredjelandenes forskellige opfattelser af begrebet beskyttelse af personoplysninger foretages ud fra en række kriterier, der skal sikre, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor lignende forhold gør sig gældende, eller skabes skjulte handelshindringer under hensyntagen til Den Europæiske Unions nuværende internationale forpligtelser.
(5)
Andorras politiske styreform er et parlamentarisk fyrstendømme, som styres af to medfyrster, hvoraf den ene er den franske præsident og den anden ærkebiskoppen af Urgell.
(6)
Privatlivets fred beskyttes ved artikel 14 i Fyrstendømmet Andorras forfatning (Constitució del Principat d'Andorra), som blev godkendt ved en folkeafstemning den 14. marts 1993.
(7)
Retsreglerne om beskyttelse af personoplysninger i Andorra bygger i hovedsagen på normerne i direktiv 95/46/EF og er nedfældet i organisk lov 15/2003 (llei qualificada de protecció de dades personals) af 18. december 2003 om beskyttelse af personoplysninger (LQPDP). Disse retsregler om databeskyttelse suppleres ved dekret af 1. juli 2004, hvorved der oprettes et offentligt register for optagelse af personoplysningsakter, og ved dekret af 9. juni 2010 om godkendelse af reglerne for det andorranske databeskyttelsesorgan. Takket være sidstnævnte instrument er der sket en afklaring af flere spørgsmål vedrørende beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, som den ved artikel 29 i direktiv 95/46/EF nedsatte gruppe rejste i sin udtalelse af 1. december 2009 (2).
(8)
Bestemmelserne om databeskyttelse er også indeholdt i en række retlige instrumenter, der regulerer forskellige sektorer, herunder finanssektoren, sundhedssektoren og offentlige registre.
(9)
Andorra har ratificeret Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med automatisk databehandling af personoplysninger, tillægsprotokollen af 8. november 2001 til konventionen om beskyttelse af det enkelte menneske i forbindelse med databehandling af personoplysninger, om tilsynsmyndigheder og grænseoverskridende dataudveksling, Europarådets konvention af 4. november 1950 til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, som har været i kraft i Andorra siden den 22. januar 1996, og konventionen af 16. december 1966 om borgerlige og politiske rettigheder, som har været i kraft i Andorra siden den 19. juli 2006.
(10)
Databeskyttelsesnormerne i henhold til loven i Andorra omfatter alle de grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, og de indeholder desuden en række undtagelser og begrænsninger med henblik på at beskytte vigtige offentlige interesser. Anvendelsen af disse databeskyttelsesnormer sikres gennem adgangen til domstolsprøvelse og administrative klagemuligheder og ved den uafhængige kontrol, der foretages af tilsynsmyndigheden, det andorranske databeskyttelsesorgan, som har både undersøgelses- og interventionsbeføjelser, og som fungerer i fuld uafhængighed.
(11)
De andorranske databeskyttelsesmyndigheder har givet forklaringer og forsikringer med hensyn til fortolkningen af den andorranske lovgivning og har forsikret, at de andorranske bestemmelser om databeskyttelse anvendes i overensstemmelse med denne fortolkning. Nærværende afgørelse tager udgangspunkt i disse forklaringer og forsikringer og tager derfor også forbehold for disse.
(12)
Andorra bør derfor anses for at være i stand til at sikre et tilstrækkeligt databeskyttelsesniveau i henhold til direktiv 95/46/EF.
(13)
Af hensyn til åbenheden og for at sikre medlemsstaternes kompetente myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger, selv om det er blevet fastslået, at beskyttelsen er tilstrækkelig.
(14)
Gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet positiv udtalelse om tilstrækkeligheden af beskyttelsesniveauet, som er taget i betragtning ved udarbejdelsen af denne afgørelse (3). I sin udtalelse har gruppen opfordret de andorranske myndigheder til løbende at vedtage yderligere bestemmelser, som kan bidrage til at udvide anvendelsen af den andorranske lovgivning til elektroniske individuelle afgørelser, da dette i øjeblikket ikke udtrykkeligt anerkendes i den andorranske organiske lov om beskyttelse af personoplysninger.
(15)
De i denne afgørelse fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31, stk. 1, i direktiv 95/46/EF -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
For så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF, anses Andorra for at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der videregives fra Den Europæiske Union.
Artikel 2
Denne afgørelse vedrører spørgsmålet om, hvorvidt Andorra sikrer tilstrækkelig beskyttelse med hensyn til opfyldelse af kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og den berører ikke andre betingelser eller begrænsninger i forbindelse med gennemførelsen af andre bestemmelser i direktivet, der vedrører behandlingen af personoplysninger i medlemsstaterne.
Artikel 3
1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overensstemmelse med nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere den fortsatte videregivelse af oplysninger til en modtager i Andorra for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger,
a)
når en kompetent myndighed i Andorra fastslår, at den pågældende modtager overtræder de gældende beskyttelsesnormer, eller
b)
når der er væsentlig sandsynlighed for, at beskyttelsesnormerne overtrædes, når der er grund til at antage, at den kompetente myndighed i Andorra ikke tager eller ikke agter at tage passende og rettidige skridt for at afgøre forholdet, når en fortsat videregivelse af personoplysninger vil kunne skabe overhængende risiko for alvorlig skade for de registrerede, og de kompetente myndigheder i medlemsstaterne forholdene taget i betragtning på passende vis har forsøgt at underrette den ansvarlige for behandlingen i Andorra og give vedkommende mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesnormerne overholdes, og den kompetente myndighed i de pågældende medlemsstater underrettes herom.
Artikel 4
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 3.
2. Medlemsstaterne og Kommissionen underretter hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af beskyttelsesnormerne i Andorra, ikke sikrer denne overholdelse.
3. Hvis det ifølge de oplysninger, der fremkommer i medfør af artikel 3 og artikel 4, stk. 1 og 2, kan godtgøres, at et organ, der har ansvaret for at sikre, at beskyttelsesnormerne i Andorra overholdes, ikke udfører sin opgave effektivt, underretter Kommissionen den kompetente myndighed i Andorra herom og forelægger om nødvendigt et udkast til foranstaltninger efter proceduren i artikel 31, stk. 2, i direktiv 95/46/EF med henblik på at ophæve eller suspendere denne afgørelse eller begrænse dens anvendelsesområde.
Artikel 5
Kommissionen foretager en evaluering af anvendelsen af denne afgørelse og fremsender enhver relevant konstatering til det udvalg, der er nedsat i henhold til artikel 31 i direktiv 95/46/EF, herunder ethvert forhold, der kan påvirke den vurdering, der foretages i henhold til artikel 1 i denne afgørelse, om, at beskyttelsen i Andorra er tilstrækkelig efter artikel 25 i direktiv 95/46/EF, og ethvert forhold, der viser, at afgørelsen gennemføres på diskriminerende måde.
Artikel 6
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne afgørelse senest den 1. januar 2011.
Artikel 7
Denne afgørelse er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 19. oktober 2010.
A BIZOTTSÁG HATÁROZATA
(2010. október 19.)
a 95/46/EK európai parlamenti és tanácsi irányelv alapján a személyes adatok Andorrában biztosított megfelelő védelméről
(az értesítés a C(2010) 7084. számú dokumentummal történt)
(EGT-vonatkozású szöveg)
(2010/625/EU)
AZ EURÓPAI BIZOTTSÁG,
tekintettel az Európai Unió működéséről szóló szerződésre,
tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 25. cikke (6) bekezdésére,
az európai adatvédelmi biztossal folytatott konzultációt követően,
mivel:
(1)
A 95/46/EK irányelv értelmében a tagállamoknak biztosítaniuk kell, hogy a személyes adatoknak egy harmadik országba történő továbbítására csak abban az esetben kerülhessen sor, ha az érintett harmadik ország gondoskodik a megfelelő szintű adatvédelemről, és ha a tagállamoknak az irányelv egyéb rendelkezéseit végrehajtó jogszabályait az adatok továbbítása előtt betartják.
(2)
A Bizottság megállapíthatja, hogy egy harmadik ország megfelelő védelmi szintet biztosít. Ebben az esetben a személyes adatokat a tagállamokból továbbítani lehet anélkül, hogy további garanciákra lenne szükség.
(3)
A 95/46/EK irányelv alapján az adatvédelem szintjét az adattovábbítási művelettel vagy műveletsorozattal kapcsolatos valamennyi körülmény fényében, valamint számos, az adattovábbítás szempontjából fontos és a 95/46/EK irányelv 25. cikkében felsorolt feltétel különös figyelembevételével kell értékelni.
(4)
Tekintettel a harmadik országokban az adatvédelem terén alkalmazott módszerek különbségeire, a megfelelőség értékelését olyan módon kell elvégezni, valamint a 95/46/EK irányelv 25. cikkének (6) bekezdésén alapuló bármely határozatot olyan módon kell meghozni és végrehajtani, hogy az ne jelentsen önkényes vagy indokolatlan megkülönböztetést azon harmadik országokkal szemben vagy harmadik országok között, amelyekben hasonló feltételek állnak fent, és ne képezzen rejtett kereskedelmi akadályt, tekintettel az Európai Unió jelenlegi nemzetközi kötelezettségeire is.
(5)
Andorra államformája parlamentáris társfejedelemség: a társfejedelmi hivatalt a Francia Köztársaság elnöke és Urgell püspöke tölti be.
(6)
A magánélethez való jogot az Andorrai Hercegség 1993. március 14-én, népszavazással jóváhagyott alkotmányának (Constitució del Principat d’Andorra) 14. cikke erősíti meg.
(7)
A személyes adatok védelméről rendelkező jogi szabályok, amelyek jórészt a 95/46/EK irányelvben megállapított normákon alapulnak, a 2003. december 18-i 15/2003 minősített törvényben (Llei qualificada de protecció de dades personals; a továbbiakban: az adatvédelmi törvény) kerültek megállapításra. Az adatvédelmi törvényt a Személyesadat-nyilvántartás létrehozásáról szóló, 2004. július 1-jei rendelet és az Andorrai Adatvédelmi Hivatal létrehozásáról szóló, 2010. június 9-i rendelet egészíti ki. Utóbbi számos olyan kérdést tisztáz, amelyet az egyéneknek a személyes adatok feldolgozása tekintetében való védelmével foglalkozó, a 95/46/EK irányelv 29. cikke alapján létrehozott munkacsoport vetett fel 2009. december 1-jei véleményében (2).
(8)
Adatvédelmi rendelkezéseket ezen túlmenően számos, az egyes ágazatok, pl. a pénzügyi ágazat, az egészségügy vagy a nyilvános adatbázisok szabályozására szolgáló jogi eszköz tartalmaz.
(9)
Andorra megerősítette az Európa Tanács 1981. január 28-án kelt, az egyéneknek a személyes adatok gépi feldolgozása során való védelméről szóló egyezményét, az egyezmény 2001. november 8-án kelt, a felügyelő hatóságokról és a személyes adatok országhatárokat átlépő áramlásáról szóló kiegészítő jegyzőkönyvét, az Európa Tanács 1950. november 4-én kelt, az emberi jogok és alapvető szabadságok védelméről szóló egyezményét, amely Andorrában 1996. január 22. óta hatályos, valamint az 1966. december 16-i kelt Polgári és Politikai Jogok Nemzetközi Egységokmányát, amely Andorrában 2006. július 19. óta hatályos.
(10)
Az Andorrában alkalmazandó jogi adatvédelmi normák mindazokat az elveket tartalmazzák, amelyek a természetes személyek megfelelő szintű védelméhez szükségesek, és rendelkeznek a fontos közérdek védelmét szolgáló kivételekről és korlátozásokról is. Ezen adatvédelmi normák alkalmazását közigazgatási és bírósági jogorvoslaton, valamint a felügyelő hatóság - az Andorrai Adatvédelmi Hivatal - által végzett független ellenőrzésen keresztül biztosítják, mely hatóság vizsgálati és beavatkozási hatáskörrel rendelkezik, és teljes mértékben függetlenül jár el.
(11)
Az andorrai adatvédelmi hatóságok magyarázatokat és biztosítékokat nyújtottak arra vonatkozóan, hogyan kell az andorrai jogot értelmezni, illetve biztosítékokat nyújtottak arról is, hogy az andorrai adatvédelmi előírásokat ezen értelmezéseknek megfelelően hajtják végre. Ez a határozat az erre vonatkozó magyarázatokra és biztosítékokra támaszkodik, és ezért ezektől függ.
(12)
Ezért Andorrát úgy kell tekintetni, mint amely a 95/46/EK irányelvnek megfelelően biztosítja a személyes adatok megfelelő szintű védelmét.
(13)
Az átláthatóság és annak érdekében, hogy a tagállamok illetékes hatóságai képesek legyenek a személyes adatok feldolgozása során a személyek védelmének biztosítására, a megfelelő védelem elismerésének sérelme nélkül meg kell határozni azokat a különleges körülményeket, amelyek mellett bizonyos adatáramlás felfüggeszthető.
(14)
A személyes adatok feldolgozása vonatkozásában az egyének védelmével foglalkozó, a 95/46/EK irányelv 29. cikke alapján létrehozott munkacsoport kedvező véleményt adott ki a személyes adatok védelmének megfelelő szintjéről, mely véleményt e határozat előkészítése során a Bizottság figyelembe vette (3). Kedvező véleményében a munkacsoport arra ösztönözte az andorrai hatóságokat, hogy folytassák azokat a megkezdett jogalkotási folyamatokat, amelyek az andorrai adatvédelmi jogszabályok hatályát az automatizált egyedi döntésekre is kiterjesztik, mivel ezt jelenleg nem ismeri el kifejezetten az adatvédelmi törvény.
(15)
Az e határozatban előírt intézkedések összhangban állnak a 95/46/EK irányelv 31. cikke (1) bekezdése szerint felállított bizottság véleményével,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
A 95/46/EK irányelv 25. cikkének (2) bekezdése alkalmazásában Andorrát olyan országnak kell tekinteni, amely az Európai Unióból továbbított személyes adatok szempontjából megfelelő szintű védelmet biztosít.
2. cikk
Ez a határozat csak abban a tekintetben vonatkozik az Andorrában biztosított védelem megfelelő szintjére, hogy az megfelel-e a 95/46/EK irányelv 25. cikke (1) bekezdése követelményeinek, és nem érinti az említett irányelv egyéb rendelkezéseit végrehajtó olyan egyéb feltételeket vagy korlátozásokat, amelyek a tagállamokon belüli személyesadat-feldolgozással kapcsolatosak.
3. cikk
(1) Annak érdekében, hogy biztosítsák az egyének védelmét személyes adataik feldolgozása tekintetében, a tagállamok illetékes hatóságai - a 95/46/EK irányelv 25. cikkétől eltérő rendelkezések alapján elfogadott nemzeti rendelkezések teljesítését szolgáló intézkedések megtételére vonatkozó hatásköreik sérelme nélkül - az andorrai címzettek felé irányuló adatáramlás felfüggesztését lehetővé tevő, jelenleg is meglévő hatásköreiket gyakorolhatják azokban az esetekben, amikor:
a)
a hatáskörrel rendelkező andorrai hatóság megállapította, hogy a címzett megszegi az adatvédelem alkalmazandó normáit; vagy
b)
nagy a valószínűsége annak, hogy az adatvédelemre vonatkozó normákat megsértik; alapos okkal feltételezhető, hogy a hatáskörrel rendelkező andorrai hatóság nem teszi meg vagy nem fogja megtenni a megfelelő és kellő időben történő lépéseket az adott eset rendezésére; fennáll a közvetlen veszélye annak, hogy a folytatódó adattovábbítás az érintettek érdekeinek komoly sérelmét okozná, és a tagállam illetékes hatóságai a körülményekhez képest ésszerű erőfeszítéseket tettek, hogy az adatfeldolgozásért felelős, Andorrában letelepedett felet értesítsék, és részére biztosítsák a válaszadás lehetőségét.
(2) A felfüggesztést meg kell szüntetni, amint az adatvédelmi normák biztosítottá válnak, és erről az érintett tagállamok illetékes hatóságát értesítették.
4. cikk
(1) A tagállamok haladéktalanul tájékoztatják a Bizottságot, ha a 3. cikk alapján intézkedéseket fogadnak el.
(2) A tagállamok és a Bizottság tájékoztatják egymást azokról az esetekről, amikor az adatvédelem normái teljesítésének biztosításáért felelős andorrai szerveknek a normák teljesülését nem sikerül biztosítaniuk.
(3) Ha a 3. cikk, valamint e cikk (1) és (2) bekezdése alapján gyűjtött adatok bizonyítékot szolgáltatnak arra nézve, hogy adatvédelmi normák teljesülésének biztosításáért felelős, bármely andorrai szerv nem tölti be hatékonyan e szerepét, a Bizottság tájékoztatja a hatáskörrel rendelkező andorrai hatóságot, és amennyiben szükséges, a 95/46/EK irányelv 31. cikkének (2) bekezdésében említett eljárással összhangban, e határozat hatályon kívül helyezése vagy felfüggesztése, illetve hatályának korlátozása céljából intézkedéstervezetet nyújt be.
5. cikk
A Bizottság figyelemmel kíséri e határozat alkalmazását, és beszámol a 95/46/EK irányelv 31. cikke alapján létrehozott bizottságnak minden vonatkozó megállapításról, beleértve bármilyen olyan tényt, amely hatással lehet e határozat 1. cikkének azon megállapítására, hogy a 95/46/EK irányelv 25. cikke értelmében Andorrában az adatvédelem szintje megfelelő, illetve bármely olyan tényt, amely azt bizonyítja, hogy ezt a határozatot diszkriminatív módon hajtják végre.
6. cikk
A tagállamok 2011. január 1-jéig megtesznek minden, a határozat alkalmazásához szükséges intézkedést.
7. cikk
Ennek a határozatnak a tagállamok a címzettjei.
Kelt Brüsszelben, 2010. október 19-én.