ROZHODNUTÍ KOMISE
ze dne 19. října 2010
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů v Andorrském knížectví
(oznámeno pod číslem K(2010) 7084)
(Text s významem pro EHP)
(2010/625/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Andorra je stát se systémem parlamentního spoluknížectví, přičemž funkce spoluknížat zastávají prezident Francouzské republiky a španělský arcibiskup ze Seo de Urgel.
(6)
Právo na soukromí je zakotveno v článku 14 Ústavy Andorrského knížectví (Constitució del Principat d’Andorra) schválené všeobecným referendem ze dne 14. března 1993.
(7)
Právní předpisy upravující ochranu osobních údajů v Andorrském knížectví jsou ve velké míře založené na normách stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně č. 15/2003 ze dne 18. prosince o ochraně osobních údajů (Llei qualificada de protecció de dades personals, LQPDP). Tyto právní předpisy na ochranu údajů jsou dále doplněny nařízením ze dne 1. července 2004, které zřizuje veřejný rejstřík souborů osobních údajů, a nařízením ze dne 9. června 2010, které schvaluje předpisy andorrské agentury pro ochranu údajů. Druhý dokument upřesňuje mnoho otázek, které si pracovní skupina, zřízená podle čl. 29 směrnice 95/46/ES, kladla ve svém stanovisku ze dne 1. prosince 2009 (2) ohledně ochrany jednotlivců, pokud jde o zpracování osobních údajů.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Andorra ratifikovala Úmluvu Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat ze dne 28. ledna 1981, dodatkový protokol k Úmluvě o ochraně osob se zřetelem na automatizované zpracování osobních údajů, o orgánech dozoru a toku údajů přes hranice ze dne 8. listopadu 2001, dále Úmluvu o ochraně lidských práv a základních svobod Rady Evropy ze dne 4. listopadu 1950 (v Andorrském knížectví vstoupila v platnost 22. ledna 1996) a Pakt o občanských a politických právech ze dne 16. prosince 1966 (v Andorrském knížectví platný od 19. července 2006).
(10)
Právní normy pro ochranu osobních údajů platné v Andorrském knížectví upravují všechny základní zásady nezbytné pro zajištění odpovídající úrovně práv fyzických osob a zároveň stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Používání těchto právních norem pro ochranu osobních údajů je zaručeno prostřednictvím správních a soudních opravných prostředků a nezávislého dohledu, který provádí orgán dozoru (andorrská agentura pro ochranu údajů), jenž je pověřený vyšetřovacími pravomocemi a pravomocemi zasáhnout a jedná zcela nezávisle.
(11)
Andorrské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu andorrského práva a poskytly záruky ohledně provádění andorrských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Andorru je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (3). V uvedeném kladném stanovisku pracovní skupina podpořila andorrské orgány v probíhajícím procesu přijímání dalších ustanovení, která rozšíří uplatňování andorrských právních předpisů na automatizovaná individuální rozhodnutí, jelikož tento prvek není v současnosti výslovně uznán andorrským zákonem o ochraně osobních údajů.
(15)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Andorra považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
Článek 2
Toto rozhodnutí se vztahuje na odpovídající úroveň ochrany zajišťovanou v Andorrském knížectví s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Andorrském knížectví s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný orgán Andorry zjistí, že příjemce nedodržuje normy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany; pokud se lze důvodně domnívat, že příslušný orgán Andorry včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení sporné věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené v Andorrském knížectví a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými, zajištěním dodržování norem ochrany v Andorrském knížectví, nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Andorrském knížectví, neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Andorrského knížectví a bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Andorrském knížectví odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do 1. ledna 2011.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 19. října 2010.
BESCHLUSS DER KOMMISSION
vom 19. Oktober 2010
gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus in Andorra
(Bekannt gegeben unter Aktenzeichen K(2010) 7084)
(Text von Bedeutung für den EWR)
(2010/625/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
nach Anhörung des Europäischen Datenschutzbeauftragten,
in Erwägung nachstehender Gründe:
(1)
Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die Rechtsvorschriften der Mitgliedstaaten zur Umsetzung anderer Bestimmungen der Richtlinie eingehalten werden, bevor die Übermittlung erfolgt.
(2)
Die Kommission kann feststellen, dass ein Drittland ein angemessenes Datenschutzniveau gewährleistet. In diesem Fall können personenbezogene Daten aus den Mitgliedstaaten übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Gemäß der Richtlinie 95/46/EG sind bei der Beurteilung des Datenschutzniveaus alle Umstände, die bei der Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen, insbesondere eine Reihe bei der Datenübermittlung relevanter und in Artikel 25 der Richtlinie aufgeführter Aspekte, zu berücksichtigen.
(4)
Angesichts der unterschiedlichen Ansätze von Drittländern im Bereich des Datenschutzes sollten die Beurteilung der Angemessenheit sowie etwaige Beschlüsse gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG und deren Durchsetzung in einer Form erfolgen, die gegen Drittländer bzw. unter Drittländern, in denen gleiche Bedingungen herrschen, nicht willkürlich oder ungerechtfertigt diskriminierend wirkt und unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Europäischen Union kein verstecktes Handelshemmnis darstellt.
(5)
Der Staat Andorra ist ein parlamentarisches Co-Fürstentum; Co-Fürsten sind der Präsident der Französischen Republik und der Bischof von Urgell.
(6)
Das Recht auf Privatsphäre ist in Artikel 14 der Verfassung des Fürstentums Andorra (Constitució del Principat d’Andorra) verankert, die durch eine Volksabstimmung am 14. März 1993 angenommen wurde.
(7)
Die Rechtsvorschriften zum Schutz personenbezogener Daten in Andorra stützen sich weitgehend auf die in der Richtlinie 95/46/EG vorgegebenen Normen und sind im qualifizierten Gesetz 15/2003 vom 18. Dezember über den Schutz personenbezogener Daten (Llei qualificada de protecció de dades personals - LQPDP) niedergelegt. Ergänzt werden die Datenschutzvorschriften durch den Erlass vom 1. Juli 2004 zur Einrichtung des Öffentlichen Registers zur Erfassung von Dateien mit personenbezogenen Daten und durch den Erlass vom 9. Juni 2010 zur Genehmigung der Verordnungen der andorranischen Datenschutzagentur. In dem letztgenannten Erlass wurden einige Fragen geklärt, die die durch Artikel 29 der Richtlinie 95/46/EG eingesetzte Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten in ihrer Stellungnahme vom 1. Dezember 2009 (2) aufgeworfen hatte.
(8)
Datenschutzrechtliche Bestimmungen sind darüber hinaus in einer Reihe von Rechtsinstrumenten zur Regulierung einzelner Sektoren enthalten, zum Beispiel in den Rechtsvorschriften für den Finanzsektor, das Gesundheitswesen und die öffentlichen Register.
(9)
Andorra hat das Übereinkommen des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 28. Januar 1981 und das Zusatzprotokoll zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Kontrollstellen und grenzüberschreitendem Datenverkehr vom 8. November 2001 sowie die Konvention zum Schutze der Menschenrechte und Grundfreiheiten des Europarates vom 4. November 1950, in Andorra seit dem 22. Januar 1996 in Kraft, und den Internationalen Pakt über bürgerliche und politische Rechte vom 16. Dezember 1966, in Andorra seit dem 19. Juli 2006 in Kraft, ratifiziert.
(10)
Die in Andorra für den Datenschutz geltenden Rechtsnormen enthalten sämtliche Grundsätze, deren Einhaltung für einen angemessenen Schutz natürlicher Personen erforderlich ist; außerdem sehen sie zur Wahrung wichtiger öffentlicher Interessen Ausnahmen und Einschränkungen vor. Um die Anwendung dieser Datenschutznormen zu garantieren, stehen administrative und gerichtliche Rechtsbehelfe zur Verfügung, und die mit Untersuchungs- und Eingriffskompetenzen ausgestattete und in völliger Unabhängigkeit handelnde andorranische Datenschutzagentur gewährleistet eine unabhängige Überwachung.
(11)
Die andorranischen Datenschutzbehörden haben Erläuterungen und Zusicherungen im Hinblick darauf gegeben, wie das andorranische Recht auszulegen ist; sie haben darüber hinaus zugesichert, dass die andorranischen Datenschutzvorschriften gemäß dieser Auslegung umgesetzt werden. Der vorliegende Beschluss trägt diesen Erläuterungen und Zusicherungen Rechnung und stützt sich darauf.
(12)
Daher ist Andorra als Land anzusehen, das ein angemessenes Schutzniveau für personenbezogene Daten im Sinne der Richtlinie 95/46/EG bietet.
(13)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(14)
Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine befürwortende Stellungnahme zur Angemessenheit des Schutzes personenbezogener Daten abgegeben; diese Stellungnahme wurde bei der Ausarbeitung des vorliegenden Beschlusses berücksichtigt (3). In ihrer befürwortenden Stellungnahme hat die Gruppe die andorranischen Behörden ermutigt, das laufende Verfahren zur Annahme weiterer Bestimmungen, die die Anwendung der andorranischen Rechtsvorschriften auf automatisierte Einzelentscheidungen ausdehnen werden, voranzutreiben, da dies derzeit in dem andorranischen qualifizierten Gesetz über den Schutz personenbezogener Daten nicht ausdrücklich festgelegt ist.
(15)
Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des Ausschusses, der durch Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Für die Zwecke von Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird Andorra als Land angesehen, das ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der Europäischen Union bietet.
Artikel 2
Dieser Beschluss betrifft die Angemessenheit des Schutzes, den Andorra bietet, um den Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG zu genügen; andere Bedingungen oder Einschränkungen zur Umsetzung sonstiger Bestimmungen der Richtlinie hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten bleiben davon unberührt.
Artikel 3
(1) Die zuständigen Behörden der Mitgliedstaaten können unbeschadet ihrer Handlungsbefugnis zum Zwecke der Einhaltung einzelstaatlicher Vorschriften, die gemäß anderen Bestimmungen als denen des Artikels 25 der Richtlinie 95/46/EG erlassen wurden, von ihrem Recht Gebrauch machen, die Datenübermittlung an einen Empfänger in Andorra zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten auszusetzen, wenn
a)
eine zuständige Behörde Andorras feststellt, dass der Datenempfänger die geltenden Datenschutzvorschriften nicht einhält, oder
b)
eine hohe Wahrscheinlichkeit besteht, dass die Schutzvorschriften verletzt werden, Grund zur Annahme besteht, dass die zuständige Behörde in Andorra nicht rechtzeitig geeignete Maßnahmen ergreift bzw. ergreifen wird, um den betreffenden Fall zu regeln, die Fortsetzung der Datenübermittlung den betroffenen Personen unmittelbar einen schweren Schaden zuzufügen droht und die zuständigen Behörden der Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die für die Datenverarbeitung verantwortliche Stelle in Andorra zu benachrichtigen und ihr Gelegenheit zur Stellungnahme zu geben.
(2) Die Aussetzung ist zu beenden, sobald sichergestellt ist, dass die Vorschriften eingehalten werden und die zuständigen Behörden der betroffenen Mitgliedstaaten davon in Kenntnis gesetzt sind.
Artikel 4
(1) Die Mitgliedstaaten unterrichten die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 3 ergriffen werden.
(2) Die Mitgliedstaaten und die Kommission unterrichten einander über Fälle, in denen die Maßnahmen der für die Einhaltung der Vorschriften in Andorra verantwortlichen Einrichtungen nicht ausreichen, um ein angemessenes Schutzniveau zu gewährleisten.
(3) Ergeben die nach Artikel 3 und nach Artikel 4 Absätze 1 und 2 gewonnenen Erkenntnisse, dass eine für die Einhaltung der Vorschriften in Andorra verantwortliche Einrichtung ihre Aufgabe nicht wirksam erfüllt, so unterrichtet die Kommission die zuständige andorranische Behörde und schlägt erforderlichenfalls Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren zur Aufhebung oder Aussetzung dieses Beschlusses oder zur Beschränkung seines Geltungsbereichs vor.
Artikel 5
Die Kommission überwacht die Durchführung dieses Beschlusses und unterrichtet den durch Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse; dazu zählen auch Erkenntnisse, die sich auf die Feststellung in Artikel 1 dieses Beschlusses auswirken könnten, wonach Andorra ein angemessenes Schutzniveau im Sinne von Artikel 25 der Richtlinie 95/46/EG bietet, oder die darauf hindeuten, dass dieser Beschluss in diskriminierender Weise angewandt wird.
Artikel 6
Die Mitgliedstaaten ergreifen die erforderlichen Maßnahmen, um dem Beschluss bis 1. Januar 2011 nachzukommen.
Artikel 7
Dieser Beschluss ist an die Mitgliedstaaten gerichtet.
Brüssel, den 19. Oktober 2010