KOMMISSIONENS AFGØRELSE
af 19. oktober 2010
om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Andorra i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF
(meddelt under nummer K(2010) 7084)
(EØS-relevant tekst)
(2010/625/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse, og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der videregives personoplysninger fra medlemsstaterne, uden at yderligere garantier er påkrævet.
(3)
Vurderingen af, om beskyttelsesniveauet for personoplysninger er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger og under hensyntagen til en række faktorer som anført i direktivets artikel 25, der er relevante for den pågældende videregivelse.
(4)
Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og vedtagelsen og gennemførelsen af enhver afgørelse i henhold til artikel 25, stk. 6, i direktiv 95/46/EF skal på grund af tredjelandenes forskellige opfattelser af begrebet beskyttelse af personoplysninger foretages ud fra en række kriterier, der skal sikre, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor lignende forhold gør sig gældende, eller skabes skjulte handelshindringer under hensyntagen til Den Europæiske Unions nuværende internationale forpligtelser.
(5)
Andorras politiske styreform er et parlamentarisk fyrstendømme, som styres af to medfyrster, hvoraf den ene er den franske præsident og den anden ærkebiskoppen af Urgell.
(6)
Privatlivets fred beskyttes ved artikel 14 i Fyrstendømmet Andorras forfatning (Constitució del Principat d'Andorra), som blev godkendt ved en folkeafstemning den 14. marts 1993.
(7)
Retsreglerne om beskyttelse af personoplysninger i Andorra bygger i hovedsagen på normerne i direktiv 95/46/EF og er nedfældet i organisk lov 15/2003 (llei qualificada de protecció de dades personals) af 18. december 2003 om beskyttelse af personoplysninger (LQPDP). Disse retsregler om databeskyttelse suppleres ved dekret af 1. juli 2004, hvorved der oprettes et offentligt register for optagelse af personoplysningsakter, og ved dekret af 9. juni 2010 om godkendelse af reglerne for det andorranske databeskyttelsesorgan. Takket være sidstnævnte instrument er der sket en afklaring af flere spørgsmål vedrørende beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, som den ved artikel 29 i direktiv 95/46/EF nedsatte gruppe rejste i sin udtalelse af 1. december 2009 (2).
(8)
Bestemmelserne om databeskyttelse er også indeholdt i en række retlige instrumenter, der regulerer forskellige sektorer, herunder finanssektoren, sundhedssektoren og offentlige registre.
(9)
Andorra har ratificeret Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med automatisk databehandling af personoplysninger, tillægsprotokollen af 8. november 2001 til konventionen om beskyttelse af det enkelte menneske i forbindelse med databehandling af personoplysninger, om tilsynsmyndigheder og grænseoverskridende dataudveksling, Europarådets konvention af 4. november 1950 til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, som har været i kraft i Andorra siden den 22. januar 1996, og konventionen af 16. december 1966 om borgerlige og politiske rettigheder, som har været i kraft i Andorra siden den 19. juli 2006.
(10)
Databeskyttelsesnormerne i henhold til loven i Andorra omfatter alle de grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, og de indeholder desuden en række undtagelser og begrænsninger med henblik på at beskytte vigtige offentlige interesser. Anvendelsen af disse databeskyttelsesnormer sikres gennem adgangen til domstolsprøvelse og administrative klagemuligheder og ved den uafhængige kontrol, der foretages af tilsynsmyndigheden, det andorranske databeskyttelsesorgan, som har både undersøgelses- og interventionsbeføjelser, og som fungerer i fuld uafhængighed.
(11)
De andorranske databeskyttelsesmyndigheder har givet forklaringer og forsikringer med hensyn til fortolkningen af den andorranske lovgivning og har forsikret, at de andorranske bestemmelser om databeskyttelse anvendes i overensstemmelse med denne fortolkning. Nærværende afgørelse tager udgangspunkt i disse forklaringer og forsikringer og tager derfor også forbehold for disse.
(12)
Andorra bør derfor anses for at være i stand til at sikre et tilstrækkeligt databeskyttelsesniveau i henhold til direktiv 95/46/EF.
(13)
Af hensyn til åbenheden og for at sikre medlemsstaternes kompetente myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger, selv om det er blevet fastslået, at beskyttelsen er tilstrækkelig.
(14)
Gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet positiv udtalelse om tilstrækkeligheden af beskyttelsesniveauet, som er taget i betragtning ved udarbejdelsen af denne afgørelse (3). I sin udtalelse har gruppen opfordret de andorranske myndigheder til løbende at vedtage yderligere bestemmelser, som kan bidrage til at udvide anvendelsen af den andorranske lovgivning til elektroniske individuelle afgørelser, da dette i øjeblikket ikke udtrykkeligt anerkendes i den andorranske organiske lov om beskyttelse af personoplysninger.
(15)
De i denne afgørelse fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31, stk. 1, i direktiv 95/46/EF -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
For så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF, anses Andorra for at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der videregives fra Den Europæiske Union.
Artikel 2
Denne afgørelse vedrører spørgsmålet om, hvorvidt Andorra sikrer tilstrækkelig beskyttelse med hensyn til opfyldelse af kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og den berører ikke andre betingelser eller begrænsninger i forbindelse med gennemførelsen af andre bestemmelser i direktivet, der vedrører behandlingen af personoplysninger i medlemsstaterne.
Artikel 3
1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overensstemmelse med nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere den fortsatte videregivelse af oplysninger til en modtager i Andorra for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger,
a)
når en kompetent myndighed i Andorra fastslår, at den pågældende modtager overtræder de gældende beskyttelsesnormer, eller
b)
når der er væsentlig sandsynlighed for, at beskyttelsesnormerne overtrædes, når der er grund til at antage, at den kompetente myndighed i Andorra ikke tager eller ikke agter at tage passende og rettidige skridt for at afgøre forholdet, når en fortsat videregivelse af personoplysninger vil kunne skabe overhængende risiko for alvorlig skade for de registrerede, og de kompetente myndigheder i medlemsstaterne forholdene taget i betragtning på passende vis har forsøgt at underrette den ansvarlige for behandlingen i Andorra og give vedkommende mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesnormerne overholdes, og den kompetente myndighed i de pågældende medlemsstater underrettes herom.
Artikel 4
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 3.
2. Medlemsstaterne og Kommissionen underretter hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af beskyttelsesnormerne i Andorra, ikke sikrer denne overholdelse.
3. Hvis det ifølge de oplysninger, der fremkommer i medfør af artikel 3 og artikel 4, stk. 1 og 2, kan godtgøres, at et organ, der har ansvaret for at sikre, at beskyttelsesnormerne i Andorra overholdes, ikke udfører sin opgave effektivt, underretter Kommissionen den kompetente myndighed i Andorra herom og forelægger om nødvendigt et udkast til foranstaltninger efter proceduren i artikel 31, stk. 2, i direktiv 95/46/EF med henblik på at ophæve eller suspendere denne afgørelse eller begrænse dens anvendelsesområde.
Artikel 5
Kommissionen foretager en evaluering af anvendelsen af denne afgørelse og fremsender enhver relevant konstatering til det udvalg, der er nedsat i henhold til artikel 31 i direktiv 95/46/EF, herunder ethvert forhold, der kan påvirke den vurdering, der foretages i henhold til artikel 1 i denne afgørelse, om, at beskyttelsen i Andorra er tilstrækkelig efter artikel 25 i direktiv 95/46/EF, og ethvert forhold, der viser, at afgørelsen gennemføres på diskriminerende måde.
Artikel 6
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne afgørelse senest den 1. januar 2011.
Artikel 7
Denne afgørelse er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 19. oktober 2010.
32010D0625
L 277/27
SLUŽBENI LIST EUROPSKE UNIJE
ODLUKA KOMISIJE
od 19. listopada 2010.
sukladno Direktivi 95/46/EZ Europskog parlamenta i Vijeća o odgovarajućoj zaštiti osobnih podataka u Andori
(priopćena pod brojem dokumenta C(2010) 7084)
(Tekst značajan za EGP)
(2010/625/EU)
EUROPSKA KOMISIJA,
uzimajući u obzir Ugovor o funkcioniranju Europske unije,
uzimajući u obzir Direktivu 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka (1), a posebno njezin članak 25. stavak 6.,
nakon savjetovanja s Europskim nadzornikom zaštite podataka,
budući da:
(1)
Sukladno Direktivi 95/46/EZ, države članice su dužne osigurati da se prijenos osobnih podataka u treću zemlju može ostvariti jedino ako dotična treća zemlja osigurava odgovarajuću razinu zaštite i ako se poštuju zakoni te države članice za provedbu ostalih odredaba Direktive prije prijenosa.
(2)
Komisija može utvrditi da treća zemlja osigurava odgovarajuću razinu zaštite. U tom slučaju, osobni podaci mogu se prenositi iz država članica bez potrebe dodatnih jamstava.
(3)
Sukladno Direktivi 95/46/EZ, razinu zaštite podataka treba procijeniti imajući u vidu sve okolnosti u vezi s postupkom prijenosa podataka ili skupom postupaka prijenosa podataka i imajući poseban obzir prema brojnim elementima važnim za prijenos, navedenim u njezinom članku 25.
(4)
S obzirom na različite pristupe zaštiti podataka u trećim zemljama, trebalo bi provesti procjenu primjerenosti i svaku odluku koja se temelji na članku 25. stavku 6. Direktive 95/46/EZ treba provesti tako da ne bude proizvoljne ili neopravdane diskriminacije protiv trećih zemalja ili među trećim zemljama gdje prevladavaju slični uvjeti, niti da se stvore prikrivene prepreke za trgovanje, uvažavajući trenutačne međunarodne obveze Europske unije.
(5)
Andora je država sa sustavom parlamentarne sukneževine, s predsjednikom Francuske Republike i urgelskim nadbiskupom kao sukneževima.
(6)
Pravo na privatnost sadržano je u članku 14. Ustava Kneževine Andore (Constitució del Principat d’Andorra), kako je odobreno općim referendumom 14. ožujka 1993.
(7)
Pravni propisi za zaštitu osobnih podataka u Andori se uvelike temelje na standardima iz Direktive 95/46/EZ te su propisani Organskim zakonom 15/2003 od 18. prosinca o zaštiti osobnih podataka (Llei qualificada de protecció de dades personals) (LQPDP). Ovo zakonodavstvo o zaštiti podataka je dodatno upotpunjeno Odlukom od 1. srpnja 2004. kojom se osniva Javni registar za upis osobnih podataka i Odlukom od 9. lipnja 2010. kojom se potvrđuju uredbe andorske Agencije za zaštitu podataka. Potonji instrument pojašnjava nekoliko pitanja koje je Radna skupina za zaštitu pojedinaca, osnovana člankom 29. Direktive 95/46/EZ, uputila na temu obrade osobnih podataka u svojemu Mišljenju od 1. prosinca 2009. (2)
(8)
Odredbe zaštite podataka su također sadržane u brojnim pravnim instrumentima koji reguliraju različite sektore, kao što su zakonodavstvo financijskog sektora, zdravstveni propisi i javni registri.
(9)
Andora je ratificirala Konvenciju Vijeća Europe za zaštitu pojedinaca u vezi s automatskom obradom osobnih podataka od 28. siječnja 1981. te Dodatni protokol Konvencije Vijeća Europe za zaštitu pojedinaca u vezi s automatskom obradom osobnih podataka, koji se odnosi na nadzorna tijela i prekogranični protok podataka od 8. studenoga 2001., kao i Konvenciju Vijeća Europe za zaštitu ljudskih prava i temeljnih sloboda od 4. studenoga 1950., u Andori na snazi od 22. siječnja 1996., te Međunarodni pakt o građanskim i političkim pravima od 16. prosinca 1966., na snazi u Andori od 19. srpnja 2006.
(10)
Pravni standardi zaštite podataka, koji se primjenjuju u Andori, obuhvaćaju sva temeljna načela potrebna za odgovarajuću razinu zaštite fizičkih osoba, čak i ako su utvrđene iznimke i ograničenja da bi se zaštitili bitni javni interesi. Primjena ovih pravnih standarda zaštite podataka je zajamčena administrativnim i pravosudnim lijekovima i neovisnim nadzorom koji provodi nadzorno tijelo, andorska Agencija za zaštitu podataka, koja je ovlaštena za istrage i intervencije i koja djeluje u potpunosti neovisno.
(11)
Andorska tijela za zaštitu podataka dala su objašnjenja i jamstva o interpretaciji andorskog zakona te jamstva da se andorsko zakonodavstvo o zašiti podataka provodi u skladu s tom interpretacijom. Ova Odluka uzima u obzir ta objašnjenja i jamstva te je stoga njima uvjetovana.
(12)
Andora se stoga mora smatrati za pružatelja odgovarajuće razine zaštite osobnih podataka iz Direktive 95/46/EZ.
(13)
U interesu transparentnosti i da bi se zaštitila sposobnost nadležnih tijela u državama članicama da osiguraju zaštitu pojedinaca s obzirom na obradu njihovih osobnih podataka, potrebno je navesti iznimne okolnosti u kojima obustava određenih protoka podataka može biti opravdana, bez obzira na pronalazak odgovarajuće zaštite.
(14)
Radna skupina za zaštitu pojedinaca s obzirom na obradu osobnih podataka koja je osnovana sukladno članku 29. Direktive 95/46/EZ dala je mišljenja o razini zaštite koju pruža švicarsko pravo, što je uzeto u obzir pri pripremi ove Odluke (3). U svom pozitivnom mišljenju Radna skupina je ohrabrila andorska tijela vlasti u tekućem procesu usvajanja daljnjih odredaba, koje će proširiti primjenu andorskog zakonodavstva na automatizirane zasebne odluke, budući da to trenutačno nije izričito prepoznato od strane andorskog Organskog zakona o zaštiti osobnih podataka.
(15)
Mjere navedene u ovoj Odluci u skladu su s mišljenjem Odbora osnovanog člankom 31. stavkim 1. Direktive 95/46/EZ,
DONIJELA JE OVU ODLUKU:
Članak 1.
Za potrebe članka 25. stavka 2. Direktive 95/46/EZ, Andora se smatra pružateljem odgovarajuće razine zaštite osobnih podataka prenesenih iz Europske unije.
Članak 2.
Ova se Odluka tiče samo primjerenosti zaštite koju pruža Andora u smislu ispunjavanja zahtjeva iz članka 25. stavka 1. Direktive 95/46/EZ i ne utječe na ostale uvjete ili ograničenja za provedbu ostalih odredaba Direktive koje se odnose na obradu osobnih podataka u državama članicama.
Članak 3.
1. Ne dovodeći u pitanje svoje ovlasti da poduzimaju mjere za osiguranje usklađenosti s nacionalnim odredbama usvojenima u skladu s odredbama koje nisu iz članka 25. Direktive 95/46/EZ, nadležna tijela država članica mogu koristiti svoje postojeće ovlasti da obustave protok podataka prema primatelju u Andori kako bi zaštitili pojedince s obzirom na obradu njihovih osobnih podataka u slučajevima ako:
(a)
je nadležno andorsko tijelo utvrdilo da primatelj krši odgovarajuće standarde zaštite; ili
(b)
ako postoji stvarna vjerojatnost da je došlo do povrede standarda zaštite, gdje postoje utemeljene osnove za vjerovati da nadležno andorsko tijelo ne poduzima ili neće poduzeti odgovarajuće i pravovremene korake kako bi riješilo dotični slučaj, ako bi nastavak prijenosa stvorio trenutnu opasnost od nastanka ozbiljne štete za vlasnike podataka i ako su nadležna tijela država članica poduzela razumne napore da u tim okolnostima obavijeste stranku odgovornu za obradu sa sjedištem u Andori i dala joj mogućnost da se očituje.
2. Obustava prestaje čim su osigurani standardi zaštite i čim je dotično nadležno tijelo u Zajednici o tome obaviješteno.
Članak 4.
1. Države članice moraju bez odgode obavijestiti Komisiju kada su mjere na temelju članka 3. usvojene.
2. Države članice i Komisija će obavijestiti jedni duge o slučajevima ako aktivnosti tijela odgovornih za osiguravanje usklađenosti sa standardima zaštite u Andori ne uspijevaju osigurati takvu usklađenost.
3. Ako informacije prikupljene prema članku 3. i prema stavcima 1. i 2. ovog članka pružaju dokaze da bilo koje tijelo odgovorno za osiguravanje usklađenosti sa standardima zaštite u Andori ne ispunjava svoju ulogu učinkovito, Komisija mora obavijestiti tijela nadležna andorska tijela i, ako je potrebno, predstaviti nacrt mjera u skladu s postupkom iz članka 31. stavka 2. Direktive 95/46/EZ s ciljem stavljanjem izvan snage ili suspenzije ove Odluke ili smanjenja njenog djelokruga.
Članak 5.
Komisija mora nadzirati funkcioniranja ove Odluke i prijaviti svaki relevantan zaključak Odboru osnovanom člankom 31. Direktive 95/46/EZ, uključujući bilo koji dokaz koji bi mogao utjecati na zaključak iz članka 1. ove Odluke da je zaštita u Andori odgovarajuća u smislu članka 25. Direktive 95/46/EZ i svaki dokaz da se ova Odluka provodi na diskriminatorni način.
Članak 6.
Države članice moraju poduzeti sve mjere potrebne za usklađivanje s Odlukom do 1. siječnja 2011.
Članak 7.
Ova je Odluka upućena svim državama članicama.
Sastavljeno u Bruxellesu 19. listopada 2010.