ROZHODNUTÍ KOMISE
ze dne 31. ledna 2011
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Státem Izrael v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem K(2011) 332)
(Text s významem pro EHP)
(2011/61/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Právní řád Státu Izrael nemá psanou ústavu, avšak ústavní sílu dovodil Nejvyšší soud Státu Izrael u některých „základních zákonů“. Tyto „základní zákony“ doplňuje objemný soubor judikatury, jelikož se právní řád Izraele ve značném rozsahu řídí zásadami obyčejového práva. Právo na soukromí je zahrnuto v „základním zákonu o právu na lidskou důstojnost a svobodu“ v oddíle 7.
(6)
Právní normy upravující ochranu osobních údajů ve Státě Izrael vycházejí ve velké míře z norem stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně o ochraně soukromí 5741-1981, naposledy pozměněném v roce 2007 za účelem zavedení nových požadavků na zpracování osobních údajů a podrobné organizace orgánu dozoru.
(7)
Tyto právní předpisy v oblasti ochrany údajů dále doplňují vládní rozhodnutí provádějící zákon o ochraně soukromí 5741-1981 a o organizaci a fungování orgánu dozoru, která povětšinou vycházejí z doporučení formulovaných ve zprávě Komise pro přezkum právních předpisů týkajících se databází (Schoffmanova zpráva) pro ministerstvo spravedlnosti.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Právní normy v oblasti ochrany údajů platné ve Státě Izrael pokrývají všechny základní zásady nutné pro odpovídající úroveň ochrany pro fyzické osoby ve vztahu k zpracování osobních údajů automatizovanými databázemi. Kapitola 2 zákona o ochraně soukromí 5741-1981, která stanoví zásady zpracování osobních údajů, se nevztahuje na zpracování osobních údajů v databázích, které nejsou automatizované (manuální databáze).
(10)
Uplatňování právních norem ochrany osobních údajů zaručují správní a soudní prostředky nápravy a nezávislý dozor prováděný dozorčím orgánem, jímž je Izraelský úřad pro právo, informace a technologie (ILITA), který je nadán pravomocemi k provádění šetření a zásahů a je zcela nezávislý.
(11)
Izraelské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu izraelského práva a poskytly záruky ohledně provádění izraelských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Stát Izrael je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie do Státu Izrael nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Opačně, na mezinárodní předávání osobních údajů z EU do Státu Izrael, u kterého samo předávání a následné zpracování je prováděno výlučně neautomatizovanými prostředky, by se toto rozhodnutí nemělo vztahovat.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Závěry týkající se úrovně ochrany osobních údajů v tomto rozhodnutí odkazují na Stát Izrael vymezený podle mezinárodní práva. Další následné předávání příjemci mimo Stát Izrael vymezený podle mezinárodního práva by mělo být považováno za předávání osobních údajů do třetí země.
(15)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie, nebo o případy, kdy předávání není automatizované, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Ve svém kladném stanovisku pracovní skupina vyzvala izraelské úřady, aby přijaly další ustanovení, která rozšíří uplatňování izraelských právních předpisů na manuální databáze, výslovně uznají, že bude uplatňování zásada proporcionality na zpracování osobních údajů v soukromé sféře, a která budou vykládat výjimky při mezinárodním předávání tak, aby byl jejich výklad v souladu s požadavky stanovenými v jejím „pracovním dokumentu o jednotném výkladu čl. 26 odst. 1 směrnice 95/46/ES“ (2). Toto stanovisko bylo zohledněno při přípravě toho rozhodnutí (3).
(16)
Výbor zřízený podle čl. 31 odst. 1 směrnice 95/46/ES nepředložil stanovisko ve lhůtě stanovené jeho předsedou,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Izrael považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie, pokud jde o automatizované předávání osobních údajů z Evropské unie do Izraele nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael.
2. Orgánem dozoru Státu Izrael, který má pravomoc uplatňovat normy ochrany osobních údajů ve Státě Izrael, je Izraelský úřad pro právo, informace a technologie (ILITA) uvedený v příloze tohoto rozhodnutí.
Článek 2
1. Toto rozhodnutí se zabývá pouze úrovní ochrany zajišťované ve Státě Izrael vymezeném podle mezinárodního práva s cílem naplnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
2. Toto rozhodnutí se použije v souladu s mezinárodním právem. Rozhodnutím není dotčen status Golanských výšin, pásma Gazy a Západního břehu Jordánu, včetně východního Jeruzaléma podle mezinárodního práva.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci ve Státě Izrael s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný izraelský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany, pokud se lze důvodně domnívat, že příslušný orgán Státu Izrael včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené ve Státě Izrael a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského stát.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany ve Státě Izrael nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany ve Státě Izrael neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Státu Izrael a, bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany ve Státě Izrael odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem. Komise zejména sleduje zpracovávání osobních údajů v manuálních databázích.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho oznámení.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 31. ledna 2011.
KOMMISSIONENS BESLUT
av den 31 januari 2011
i enlighet med Europaparlamentets och rådets direktiv 95/46/EG om en adekvat skyddsnivå vid automatiserad behandling av personuppgifter i Staten Israel
[delgivet med nr K(2011) 332]
(Text av betydelse för EES)
(2011/61/EU)
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 25.6,
efter att ha hört Europeiska datatillsynsmannen, och
av följande skäl:
(1)
Enligt direktiv 95/46/EG ska medlemsstaterna föreskriva att överföring av personuppgifter till ett tredjeland endast får ske om ifrågavarande land garanterar en adekvat skyddsnivå och om de av medlemsstatens lagar, genom vilka andra bestämmelser i direktivet genomförs, efterlevs före överföringen.
(2)
Kommissionen kan konstatera om ett tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att några ytterligare garantier krävs.
(3)
Enligt direktiv 95/46/EG ska bedömningen av om skyddsnivån i ett tredjeland är adekvat ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter, varvid särskild hänsyn ska tas till vissa för överföringen relevanta aspekter som anges i artikel 25 i direktivet.
(4)
Då sättet att se på frågan om uppgiftsskydd varierar mellan olika tredjeländer bör bedömningen av om skyddsnivån är adekvat ske, och beslut som grundar sig på artikel 25.6 i direktiv 95/46/EG fattas och verkställas, utan godtycklig eller obefogad diskriminering i förhållande till tredjeland eller mellan de tredjeländer där liknande förhållanden råder samt på ett sätt som säkerställer att det inte uppstår några dolda handelshinder, varvid hänsyn bör tas till Europeiska unionens nuvarande internationella åtaganden.
(5)
Staten Israel har ingen skriven konstitution, men högsta domstolen i Staten Israel har tillerkänt vissa så kallade grundlagar konstitutionell status. Dessa grundlagar kompletteras av en omfattande rättspraxis eftersom det israeliska rättssystemet i stort följer principerna om common law (rättsregler som har utvecklats genom rättspraxis). Rätten till personlig integritet omfattas av avsnitt 7 i grundlagen om mänsklig värdighet och frihet (Human Dignity and Liberty).
(6)
De regler för skydd av personuppgifter som grundas på direktiv 95/46/EG regleras genom lagen om integritetsskydd (Privacy Protection Act 5741-1981, nedan kallad PPA) senast ändrad 2007 för att upprätta nya regler för behandling av personuppgifter och en detaljerad utformning av tillsynsmyndigheten.
(7)
Lagstiftningen om uppgiftsskydd kompletteras ytterligare av regeringsbeslut om genomförandet av PPA och om hur tillsynsmyndigheten ska vara uppbyggd, vilka i stort grundar sig på rekommendationer till justitieministeriet från kommittén som undersöker lagstiftning som gäller databaser (Schoffmanrapporten).
(8)
Bestämmelser om uppgiftsskydd ingår även i ett antal rättsakter som reglerar olika sektorer, t.ex. lagstiftning om finanssektorn, hälsoföreskrifter och offentliga register.
(9)
De bestämmelser om uppgiftsskydd som tillämpas i Staten Israel omfattar alla nödvändiga grundläggande principer för en adekvat skyddsnivå för fysiska personer i samband med behandlingen av personuppgifter i automatiserade databaser. De principer för behandlingen av personuppgifter som fastställs i kapitel 2 i PPA är inte tillämpliga på behandlingen av personuppgifter i manuella databaser.
(10)
Tillämpningen av dessa rättsliga uppgiftsskyddsnormer garanteras genom administrativa och rättsliga medel och genom oberoende tillsyn av en tillsynsmyndighet, Israeli Law, Information and Technology Authority (ILITA) som har befogenhet att utreda och ingripa och som arbetar helt oberoende.
(11)
Israeliska uppgiftsskyddsorgan har lämnat förklaringar och försäkringar i fråga om hur israelisk lagstiftning ska tolkas och har även försäkrat att landets uppgiftsskyddslagstiftning överensstämmer med denna tolkning. Föreliggande beslut beaktar dessa förklaringar och försäkringar och är alltså beroende av dem.
(12)
Staten Israel bör därför anses tillhandahålla ett tillräckligt skydd för personuppgifter enligt direktiv 95/46/EG med avseende på automatiserade internationella överföringar av personuppgifter från Europeiska unionen till Staten Israel, eller när överföringarna inte är automatiserade, då de omfattas av automatiserad behandling på Staten Israels territorium. Däremot bör detta beslut inte omfatta internationella överföringar av personuppgifter från EU till Staten Israel, där både själva överföringen och den senare behandlingen av uppgifter endast sker manuellt.
(13)
För att värna om öppenhet och möjligheten för behöriga myndigheter i medlemsstaterna att garantera skydd för enskilda med avseende på behandlingen av deras personuppgifter erfordras att det närmare anges under vilka särskilda omständigheter som det kan vara motiverat att tills vidare avbryta vissa uppgiftsöverföringar, oavsett om skyddsnivån befunnits vara adekvat.
(14)
De resultat om en adekvat skyddsnivå som avser detta beslut gäller Staten Israel såsom det definieras i internationell rätt. Vidare överföringar till en mottagare utanför Staten Israel såsom detta definieras i internationell rätt bör betraktas som överföringar av personuppgifter till ett tredjeland.
(15)
Den i enlighet med artikel 29 i direktiv 95/46/EG inrättade arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter har yttrat sig positivt angående nivån på personuppgiftsskyddet i samband med automatiserade internationella överföringar av personuppgifter från Europeiska unionen eller, då de inte är automatiserade, överföringar som omfattas av vidare automatiserad behandling i Staten Israel. I sitt positiva yttrande uppmuntrade arbetsgruppen de israeliska myndigheterna att anta ytterligare bestämmelser som utvidgar de israeliska bestämmelserna till att omfatta manuella databaser, som uttryckligen erkänner tillämpningen av proportionalitetsprincipen på behandlingen av personuppgifter i den privata sektorn och tolkar undantagen i samband med internationella överföringar av uppgifter i enlighet med de kriterier som fastställs i ”Arbetsdokument om en gemensam tolkning av artikel 26.1 i direktiv 95/46/EG” (2). Detta yttrande har beaktats i utarbetandet av detta beslut (3).
(16)
Kommittén som inrättades enligt artikel 31.1 i direktiv 95/46/EG yttrade sig inte inom den tidsfrist som hade fastställts av dess ordförande.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
1. För de ändamål som avses i artikel 25.2 i direktiv 95/46/EG, anses Staten Israel erbjuda en adekvat skyddsnivå för överföringen av personuppgifter i samband med automatiserade internationella överföringar av personuppgifter från Europeiska unionen, eller manuellt överförda personuppgifter som undergår vidare automatiserad behandling i Staten Israel.
2. Den behöriga tillsynsmyndigheten i Staten Israel som ansvarar för tillämpningen av de rättsliga uppgiftsskyddsnormerna är Israeli Law, Information and Technology Authority (ILITA) som det hänvisas till i bilagan till detta beslut.
Artikel 2
1. Detta beslut avser den skyddsnivå som tillhandahålls av Staten Israel, såsom det definieras i internationell rätt, i fråga om att uppfylla kraven i artikel 25.1 i direktiv 95/46/EG och påverkar inte andra villkor och begränsningar varigenom övriga bestämmelser i direktivet genomförs med avseende på behandlingen av personuppgifter i medlemsstaterna.
2. Detta beslut bör tillämpas i enlighet med internationell rätt. Det ska inte påverka status för Golanhöjderna, Gazaremsan och Västbanken, inklusive östra Jerusalem, enligt bestämmelserna i internationell rätt.
Artikel 3
1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av de nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sina gällande befogenheter och tills vidare avbryta uppgiftsöverföringar till en mottagare i Staten Israel för att skydda enskilda med avseende på behandlingen av deras personuppgifter om
a)
en behörig myndighet i Staten Israel har fastställt att mottagaren bryter mot tillämpliga skyddsregler eller
b)
sannolikheten är stor att skyddsreglerna inte efterlevs, det finns rimliga skäl att anta att behöriga myndigheter i Staten Israel inte vidtar eller kommer att vidta adekvata åtgärder i tid för att avgöra ärendet, fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under dessa omständigheter har vidtagit rimliga åtgärder för att underrätta den instans i Staten Israel som ansvarar för behandlingen om detta och givit denna tillfälle att yttra sig.
2. Överföringen ska återupptas så snart skyddsreglerna efterlevs och den behöriga myndigheten i den berörda medlemsstaten har underrättats om detta.
Artikel 4
1. Medlemsstaterna ska utan dröjsmål underrätta kommissionen om de åtgärder som vidtagits med stöd av artikel 3.
2. Medlemsstaterna och kommissionen ska underrätta varandra om fall där de åtgärder som vidtas av organ med ansvar för efterlevnaden av skyddsreglerna i Staten Israel leder till att reglerna inte efterlevs.
3. Om den information som insamlats enligt artikel 3 och punkterna 1 och 2 i denna artikel visar att någon av de myndigheter som ansvarar för att principerna genomförs i överensstämmelse med skyddsnormerna i Staten Israel inte fullgör denna uppgift på ett verkningsfullt sätt, ska kommissionen underrätta den behöriga myndigheten i Staten Israel om detta och vid behov framlägga förslag till bestämmelser i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG i syfte att upphäva eller tills vidare avbryta tillämpningen av detta beslut eller begränsa dess tillämpningsområde.
Artikel 5
Kommissionen ska övervaka tillämpningen av detta beslut och rapportera alla relevanta slutsatser till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG, vilket även inbegriper alla omständigheter som skulle kunna påverka konstaterandet i artikel 1 i detta beslut att det skydd som ges i Staten Israel är adekvat i den mening som avses i artikel 25 i direktiv 95/46/EG, och alla omständigheter som visar att detta beslut tillämpas på ett diskriminerande sätt. Den ska i synnerhet övervaka behandling av personuppgifter i manuella databaser.
Artikel 6
Medlemsstaterna ska vidta alla erforderliga åtgärder för att efterkomma detta beslut senast 3 månader efter det att beslutet har meddelats.
Artikel 7
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 31 januari 2011.