KOMMISSIONENS AFGØRELSE
af 31. januar 2011
i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om, hvorvidt staten Israel yder en tilstrækkelig beskyttelse af personoplysninger i forbindelse med automatisk behandling af personoplysninger
(meddelt under nummer K(2011) 332)
(EØS-relevant tekst)
(2011/61/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse, og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der videregives personoplysninger fra medlemsstaterne, uden at yderligere garantier er påkrævet.
(3)
Vurderingen af, om beskyttelsesniveauet for personoplysninger er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger og under hensyntagen til en række faktorer som anført i direktivets artikel 25, der er relevante for den pågældende videregivelse.
(4)
Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og vedtagelsen og gennemførelsen af afgørelser i henhold til artikel 25, stk. 6, i direktiv 95/46/EF skal på grund af tredjelandenes forskellige opfattelser af begrebet beskyttelse af personoplysninger foretages ud fra en række kriterier, der skal sikre, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor lignende forhold gør sig gældende, eller skabes skjulte handelshindringer under hensyntagen til Den Europæiske Unions nuværende internationale forpligtelser.
(5)
Staten Israels retssystem bygger ikke på nogen skriftlig forfatning, men staten Israels højesteret har givet visse »grundlæggende love« forfatningsstatus. Disse »grundlæggende love suppleres af en omfattende retspraksis, idet det israelske retssystem i vidt omfang bygger på »common law««-princippet. Retten til privatlivets fred er nedfældet i den grundlæggende lovs artikel 7 om menneskets værdighed og frihed.
(6)
Staten Israels retsregler for beskyttelse af personoplysninger, der i bredt omfang bygger på de retsregler, der er fastlagt i direktiv 95/45/EF, er fastsat i lov om beskyttelse af privatlivets fred 5741-1981, der senest er blevet ændret i 2007, idet der blev fastlagt nye krav til behandling af personoplysninger, og den detaljerede opbygning af tilsynsmyndighed blev fastsat.
(7)
Den pågældende databeskyttelseslovgivning er blevet yderligere suppleret med bekendtgørelsen om gennemførelse af lov om beskyttelse af privatlivets fred 5741-1981 og bekendtgørelsen om tilsynsmyndighedens oprettelse og funktionsmåde; de bygger i vid udstrækning på anbefalingerne i den rapport (Schoffman-rapporten), som blev udarbejdet for justitsministeriet af udvalget for undersøgelse af lovgivningen vedrørende databaser.
(8)
Der indgår også databeskyttelsesbestemmelser i en række retsforskrifter, der tjener til regulering af forskellige sektorer, såsom lovgivningen for finanssektoren, samt bestemmelserne for sundhedsområdet og offentlige registre.
(9)
De gældende retsregler om databeskyttelse i staten Israel dækker alle de grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer med hensyn til behandlingen af personoplysninger i automatiserede databaser. Kapitel 2 i lov om beskyttelse af privatlivets fred 5741-1981, hvori principperne for behandling af personoplysninger er fastlagt, gælder ikke for behandling af personoplysninger i ikke-automatiserede databaser (manuelle databaser).
(10)
Anvendelsen af retsreglerne om databeskyttelse er garanteret ved administrative og retlige midler og ved et uafhængigt tilsyn; dette varetages af tilsynsmyndigheden Israeli Law, Information and Technology Authority (ILITA), der er bemyndiget til at foretage undersøgelser og indgreb; myndigheden handler som uafhængig instans.
(11)
De israelske databeskyttelsesmyndigheder har afgivet forklaringer og forsikringer med hensyn til fortolkningen af den israelske lovgivning, og har meddelt, at de israelske bestemmelser om databeskyttelse anvendes i overensstemmelse med denne fortolkning. Nærværende afgørelse tager udgangspunkt i disse forklaringer og forsikringer og er derfor også betinget af disses overholdelse.
(12)
Staten Israel bør derfor anses som et land, der kan sikre et tilstrækkeligt højt databeskyttelsesniveau i henhold til direktiv 95/46/EF med hensyn til automatiske internationale overførsler af personoplysninger fra EU til staten Israel; dette gælder også i tilfælde af ikke-automatiske overførsler, når oplysningerne er genstand for videre automatisk behandling i staten Israel. Afgørelsen dækker derimod ikke internationale overførsler af personoplysninger fra EU til staten Israel, hvor nævnte overførsel og den efterfølgende behandling af oplysningerne udelukkende sker på ikke-automatisk måde.
(13)
Af hensyn til åbenheden og for at sikre medlemsstaternes ansvarlige myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger uanset konstateringen af, at beskyttelsen er tilstrækkelig.
(14)
I forbindelse med vurderingen af beskyttelsens tilstrækkelighed, der er omhandlet i denne afgørelse, henvises der til staten Israel som defineret i international ret. Yderligere videregivelse til en modtager uden for staten Israel som defineret i international ret bør betragtes som overførsel af personoplysninger til et tredjeland.
(15)
Arbejdsgruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet positiv udtalelse om, at beskyttelsesniveauet er tilstrækkeligt for så vidt angår automatiske internationale overførsler af personoplysninger fra EU; dette gælder også for så vidt angår ikke-automatiske overførsler af oplysninger, der er genstand for efterfølgende automatisk behandling i staten Israel. Arbejdsgruppen tilskynder i udtalelsen de israelske myndigheder til at vedtage yderligere bestemmelser med det formål at inddrage manuelle databaser i den israelske lovgivning, at fastslå eksplicit, at proportionalitetsprincippet finder anvendelse i forbindelse med behandling af personoplysninger i den private sektor, og at sikre, at undtagelserne i de internationale overførsler af oplysninger fortolkes i overensstemmelse med kriterierne i »Arbejdsdokument om en ensartet fortolkning af artikel 26, stk. 1, i direktiv 95/46/EF« (2). Ved udarbejdelsen af nærværende afgørelse (3) er der taget hensyn til nævnte udtalelse.
(16)
Det udvalg, der er nedsat ved artikel 31, stk. 1, i direktiv 95/46/EF, afgav ikke udtalelse inden for den frist, som formanden havde fastsat -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
1. For så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF, anses staten Israel for at være et land, der sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der videregives fra Den Europæiske Union, for så vidt angår automatiske internationale overførsler af personoplysninger fra EU til staten Israel; dette gælder også for så vidt angår ikke-automatiske overførsler af oplysninger, der er genstand for efterfølgende automatisk behandling i staten Israel.
2. Den tilsynsmyndighed, der i staten Israel har ansvaret for anvendelsen af retsreglerne om databeskyttelse i staten Israel, er »Israeli Law, Information and Technology Authority (ILITA)«, som der henvises til i bilaget til denne afgørelse.
Artikel 2
1. Denne afgørelse vedrører kun spørgsmålet om, hvorvidt staten Israel som defineret i international ret sikrer en tilstrækkelig beskyttelse med hensyn til opfyldelsen af kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og den berører ikke andre betingelser eller begrænsninger i forbindelse med gennemførelsen af andre bestemmelser i direktivet, der vedrører behandlingen af personoplysninger i medlemsstaterne.
2. Denne afgørelse anvendes i overensstemmelse med international ret. Afgørelsen berører ikke statussen for Golan-højderne, Gaza-striben og Vestbredden, herunder Østjerusalem, i henhold til international ret.
Artikel 3
1. De ansvarlige myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger til sikring af overholdelsen af nationale bestemmelser, der vedtages i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere overførsler af oplysninger til en modtager i staten Israel for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger,
a)
når en ansvarlig israelsk myndighed fastslår, at den pågældende modtager overtræder de gældende beskyttelsesprincipper, eller
b)
når der er væsentlig sandsynlighed for, at beskyttelsesnormerne overtrædes; når der er grund til at antage, at den ansvarlige israelske myndighed ikke tager eller ikke agter at tage passende og rettidige skridt for at bringe forholdet i orden; når en videre overførsel af personoplysninger vil kunne skabe overhængende risiko for alvorlig skade for de registrerede; og når de ansvarlige myndigheder i medlemsstaterne, forholdene taget i betragtning, på passende vis har søgt at underrette den person, der er ansvarlig for behandlingen af oplysningerne i staten Israel, og give vedkommende mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesprincipperne overholdes, og den ansvarlige myndighed i de berørte medlemsstater underrettes herom.
Artikel 4
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 3.
2. Medlemsstaterne og Kommissionen underretter hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af beskyttelsesnormerne i staten Israel, ikke sikrer overholdelsen heraf.
3. Fremgår det af de oplysninger, der indhentes i medfør af artikel 3, og stk. 1og 2 i denne artikel, at et organ, der har ansvaret for at sikre, at beskyttelsesnormerne i staten Israel overholdes, ikke varetager sin opgave korrekt, underretter Kommissionen den ansvarlige israelske myndighed herom og forelægger om nødvendigt et udkast til foranstaltninger på grundlag af proceduren i artikel 31, stk. 2, i direktiv 95/46/EF med henblik på at ophæve eller suspendere nærværende afgørelse eller begrænse dens anvendelsesområde.
Artikel 5
Kommissionen foretager en evaluering af anvendelsen af denne afgørelse og fremsender alt relevant materiale til det udvalg, der er nedsat i henhold til artikel 31 i direktiv 95/46/EF, herunder materiale, der kan påvirke den vurdering, der foretages i henhold til artikel 1 i denne afgørelse, om at beskyttelsen i staten Israel er tilstrækkelig i henhold til artikel 25 i direktiv 95/46/EF, samt materiale, der viser, at afgørelsen gennemføres på diskriminerende måde. Den fører navnlig tilsyn med behandlingen af personoplysninger i manuelle databaser.
Artikel 6
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne afgørelse senest tre måneder efter at have fået meddelelse herom.
Artikel 7
Denne afgørelse er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 31. januar 2011.
32011D0061
L 027/39
SLUŽBENI LIST EUROPSKE UNIJE
ODLUKA KOMISIJE
od 31. siječnja 2011.
sukladno Direktivi 95/46/EZ Europskog parlamenta i Vijeća o odgovarajućoj zaštiti osobnih podataka u Državi Izrael s obzirom na automatiziranu obradu osobnih podataka
(priopćeno pod brojem dokumenta C(2011) 332)
(Tekst značajan za EGP)
(2011/61/EU)
EUROPSKA KOMISIJA,
uzimajući u obzir Ugovor o funkcioniranju Europske unije,
uzimajući u obzir Direktivu 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom prijenosu takvih podataka (1), a posebno njezin članak 25. stavak 6.,
nakon savjetovanja s Europskim nadzornikom za zaštitu podataka,
budući da:
(1)
Sukladno Direktivi 95/46/EZ, od država članica zahtijeva se da se prijenos osobnih podataka trećoj zemlji može izvršiti samo ako ta treća zemlja osigura odgovarajuću razinu zaštite i ako su zakoni država članica kojima se provode druge odredbe Direktive ispoštovani prije prijenosa.
(2)
Komisija može utvrditi da treća zemlja osigurava odgovarajuću razinu zaštite. U tom se slučaju osobni podaci smiju prenositi iz države članice bez potrebe za dodatnim jamstvima.
(3)
Sukladno Direktivi 95/46/EZ, razinu zaštite podataka treba procijeniti na temelju svih okolnosti vezanih za postupak prijenosa podataka ili skup postupaka za prijenos podataka te s obzirom na elemente koji su bitni za prijenos, a navedeni su u članku 25. Direktive.
(4)
S obzirom na različite pristupe zaštiti podataka u trećim zemljama, trebalo bi provesti procjenu primjerenosti i svaku odluku koja se temelji na članku 25. stavku 6. Direktive 95/46/EZ trebalo bi donijeti i provesti tako da ne bude proizvoljne ili neopravdane diskriminacije protiv trećih zemalja ili između njih ako u njima prevladavaju slični uvjeti, niti da se stvori prikrivena prepreka za trgovanje, uzimajući u obzir postojeće međunarodne obveze Europske unije.
(5)
Pravni sustav Države Izrael nema pisani ustav, nego određene „temeljne zakone” kojima je Vrhovni sud Države Izrael dodijelio ustavni status. Navedene „temeljne zakone” dopunjuje opsežna sudska praksa, budući da se izraelski pravni sustav u velikoj mjeri pridržava načela common law-a. Pravo na privatnost uključeno je odjeljak 7. „Temeljnoga zakona o ljudskom dostojanstvu i slobodi”.
(6)
Pravni standardi za zaštitu osobnih podataka u Državi Izrael u velikoj se mjeri temelje na standardima koji su utvrđeni Direktivom 95/46/EZ i Zakonom o zaštiti privatnosti 5741-1981, zadnje izmijenjen 2007. godine kako bi se uspostavili novi zahtjevi za obradu osobnih podataka i detaljna organizacija nadzornoga tijela.
(7)
Navedeno zakonodavstvo o zaštiti podataka dodatno nadopunjuju vladine odluke o provedbi Zakona o zaštiti privatnosti 5741-1981 te o organizaciji i radu nadzornoga tijela, koje se u velikoj mjeri temelje na preporukama koje je u Izvješću Ministarstvu pravosuđa dao Odbor za ispitivanje zakonodavstva koje se odnosi na baze podataka (Schoffmanovo izvješće).
(8)
Odredbe o zaštiti podataka također se nalaze u brojnim pravnim instrumentima koji uređuju različite sektore, kao što je zakonodavstvo za financijski sektor, zdravstvo i javne registre.
(9)
Pravni standardi za zaštitu podataka koje se primjenjuju u Državi Izrael obuhvaćaju sva temeljna načela potrebna za odgovarajuću razinu zaštite fizičkih osoba u odnosu na obradu osobnih podataka u automatiziranim bazama podataka. Poglavlje 2. Zakona o zaštiti privatnosti 5741-1981, koje utvrđuje načela za obradu osobnih podataka, ne primjenjuje se na obradu osobnih podataka u neautomatiziranim (ručnim) bazama podataka.
(10)
Primjenu pravnih standarda za zaštitu podataka jamče upravna i pravna sredstva te neovisni nadzor koji provodi nadzorno tijelo, Izraelsko tijelo za zakonodavstvo, informacije i tehnologiju (ILITA), koje je ovlašteno za istraživanje i intervenciju a koje djeluje potpuno neovisno.
(11)
Izraelska tijela za zaštitu podatka dala su objašnjenja i jamstva u vezi s tumačenjem izraelskog zakona te jamstva da se izraelsko zakonodavstvo vezano uz zaštitu podataka provodi u skladu s takvim tumačenjem. Ova Odluka uzima u obzir ta objašnjenja i jamstva i stoga o njima ovisi.
(12)
Državu Izrael stoga bi trebalo promatrati kao državu koja pruža odgovarajuću razinu zaštite osobnih podataka kako je navedeno u Direktivi 95/46/EZ u vezi s automatiziranim međunarodnim prijenosom osobnih podataka iz Europske unije u Državu Izrael, ili neautomatiziranim prijenosom kada se daljnja automatizirana obrada provodi u Državi Izrael. Ova Odluka ne obuhvaća međunarodni prijenos osobnih podataka iz EU-a u Državu Izrael ako se sam prijenos kao i naknadna obrada podataka izvode isključivo u neautomatiziranom obliku.
(13)
U interesu transparentnosti i s ciljem očuvanja sposobnosti nadležnih tijela u državama članicama da osiguraju zaštitu pojedinaca u odnosu na obradu njihovih osobnih podataka, potrebno je odrediti posebne okolnosti kad suspenzija prijenosa posebnih podataka može biti opravdana bez obzira na postojanje odgovarajuće zaštite.
(14)
Nalazi primjerenosti u vezi s ovom Odlukom odnose se na Državu Izrael, kako je utvrđeno u skladu s međunarodnim pravom. Daljnji prijenos primatelju izvan Države Izrael, kako je utvrđeno u skladu s međunarodnim pravom, trebalo bi smatrati prijenosom osobnih podataka u treću zemlju.
(15)
Radna skupina o zaštiti pojedinaca s obzirom na obradu osobnih podataka, koja je osnovana prema članku 29. Direktive 95/46/EZ, dala je povoljno mišljenje o razini zaštite osobnih podataka u odnosu na automatizirani međunarodni prijenos osobnih podataka iz Europske unije ili neautomatizirani prijenos kada se daljnja automatizirana obrada provodi u Državi Izrael. Radna skupina je u svom povoljnom mišljenju potaknula izraelska tijela na usvajanje daljnjih propisa koji bi primjenu izraelskog zakonodavstva proširili na ručne baze podataka koje izrijekom priznaju primjenu načela proporcionalnosti na obradu osobnih podataka u privatnom sektoru i koje izuzetke u međunarodnom prijenosu podataka tumače u skladu s kriterijima navedenima u njezinom „Radnom dokumentu o zajedničkom tumačenju članka 26. stavka 1. Direktive 95/46/EZ” (2). Ovo mišljenje uzeto je u obzir u pripremi ove Odluke (3).
(16)
Odbor osnovan na temelju članka 31. stavka 1. Direktive 95/46/EZ nije donio mišljenje u roku koji je propisao njegov predsjednik,
DONIJELA JE OVU ODLUKU:
Članak 1.
1. Za potrebe članka 25. stavka 2. Direktive 95/46/EZ, smatra se da Država Izrael pruža odgovarajuću razinu zaštite za osobne podatke prenesene iz Europske unije u odnosu na automatizirani međunarodni prijenos osobnih podataka iz Europske unije ili neautomatizirani prijenos kada se daljnja automatizirana obrada provodi u Državi Izrael.
2. Nadzorno tijelo Države Izrael nadležno za primjenu pravnih standarda o zaštiti podataka u Državi Izrael je „Izraelsko tijelo za zakonodavstvo, informacije i tehnologiju (ILITA)” iz Priloga ovoj Odluci.
Članak 2.
1. Ova se Odluka odnosi samo na primjerenost zaštite koju pruža Država Izrael, kako je utvrđeno u skladu s međunarodnim pravom, u svrhu udovoljavanja zahtjevima članka 25. stavka 1. Direktive 95/46/EZ i ne utječe na druge uvjete ili ograničenja u vezi s provedbom drugih odredaba navedene Direktive koji se odnose na obradu osobnih podataka u državama članicama.
2. Ova se Odluka primjenjuje u skladu s međunarodnim pravom. Ona ne dovodi u pitanje status Golanske visoravni, Pojasa Gaze ni Zapadne obale, uključujući Istočni Jeruzalem, na temelju uvjeta međunarodnog prava.
Članak 3.
1. Ne dovodeći u pitanje njihove ovlasti za poduzimanje mjera kojima bi se osiguralo poštovanje nacionalnih odredaba koje su usvojene sukladno ostalim odredbama Direktive 95/46/EZ osim onih iz članka 25., nadležna tijela država članica mogu izvršavati svoje postojeće ovlasti u smislu suspenzije protoka podataka primatelju u Državi Izrael kako bi se zaštitili pojedinci s obzirom na obradu njihovih osobnih podataka u sljedećim slučajevima:
(a)
ako nadležno izraelsko tijelo utvrdi da primatelj krši važeće standarde zaštite, ili
(b)
ako postoji značajna vjerojatnost da se krše standardi zaštite; ako postoje opravdani razlozi za vjerovanje da nadležno izraelsko tijelo ne poduzima ili neće poduzeti odgovarajuće i pravovremene mjere za rješavanje slučaja o kojemu je riječ; ako bi nastavak prijenosa stvorio neposredni rizik ozbiljne štete ispitanicima, a nadležna tijela u državi članici učinila su sve što su mogla u danim okolnostima kako bi obavijestila stranku odgovornu za obradu podataka u Državi Izrael i dala joj mogućnost za odgovor.
2. Suspenzija prestaje čim se osiguraju standardi zaštite te se o tome obavijesti nadležno tijelo dotičnih država članica.
Članak 4.
1. Države članice bez odlaganja obavješćuju Komisiju kad se usvoje mjere na temelju članka 3.
2. Države članice i Komisija međusobno se obavješćuju o slučajevima u kojima djelovanje tijela odgovornih za osiguravanje usklađenosti s normama zaštite u Državi Izrael ne uspije osigurati takvu usklađenost.
3. Ako informacije prikupljene u skladu s člankom 3. i stavcima 1. i 2. ovog članka dokazuju da tijelo odgovorno za osiguravanje usklađenosti sa standardima zaštite u Državi Izrael ne ispunjava svoju ulogu učinkovito, Komisija obavještava nadležna izraelska tijela te prema potrebi dostavlja nacrt mjera u skladu s postupkom iz članka 31. stavka 2. Direktive 95/46/EZ radi ukidanja ili suspendiranja ove Odluke ili ograničenja njezina područja primjene.
Članak 5.
Komisija nadzire provedbu ove Odluke te izvješćuje Odbor osnovan u skladu s člankom 31. Direktive 95/46/EZ o svim relevantnim nalazima, uključujući bilo koji dokaz koji bi mogao utjecati na nalaz iz članka 1. ove Odluke, da je zaštita u Državi Izrael primjerena u smislu članka 25. Direktive 95/46/EZ te bilo koji dokaz o tome da se ova Odluka provodi na diskriminirajući način. Ona osobito nadzire obradu osobnih podataka u ručnim bazama podataka.
Članak 6.
Države članice poduzimaju sve mjere potrebne za usklađivanje s ovom Odlukom u roku od tri mjeseca od datuma njezina priopćenja.
Članak 7.
Ova je Odluka upućena državama članicama.
Sastavljeno u Bruxellesu 31. siječnja 2011.