ROZHODNUTÍ KOMISE
ze dne 31. ledna 2011
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Státem Izrael v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem K(2011) 332)
(Text s významem pro EHP)
(2011/61/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Právní řád Státu Izrael nemá psanou ústavu, avšak ústavní sílu dovodil Nejvyšší soud Státu Izrael u některých „základních zákonů“. Tyto „základní zákony“ doplňuje objemný soubor judikatury, jelikož se právní řád Izraele ve značném rozsahu řídí zásadami obyčejového práva. Právo na soukromí je zahrnuto v „základním zákonu o právu na lidskou důstojnost a svobodu“ v oddíle 7.
(6)
Právní normy upravující ochranu osobních údajů ve Státě Izrael vycházejí ve velké míře z norem stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně o ochraně soukromí 5741-1981, naposledy pozměněném v roce 2007 za účelem zavedení nových požadavků na zpracování osobních údajů a podrobné organizace orgánu dozoru.
(7)
Tyto právní předpisy v oblasti ochrany údajů dále doplňují vládní rozhodnutí provádějící zákon o ochraně soukromí 5741-1981 a o organizaci a fungování orgánu dozoru, která povětšinou vycházejí z doporučení formulovaných ve zprávě Komise pro přezkum právních předpisů týkajících se databází (Schoffmanova zpráva) pro ministerstvo spravedlnosti.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Právní normy v oblasti ochrany údajů platné ve Státě Izrael pokrývají všechny základní zásady nutné pro odpovídající úroveň ochrany pro fyzické osoby ve vztahu k zpracování osobních údajů automatizovanými databázemi. Kapitola 2 zákona o ochraně soukromí 5741-1981, která stanoví zásady zpracování osobních údajů, se nevztahuje na zpracování osobních údajů v databázích, které nejsou automatizované (manuální databáze).
(10)
Uplatňování právních norem ochrany osobních údajů zaručují správní a soudní prostředky nápravy a nezávislý dozor prováděný dozorčím orgánem, jímž je Izraelský úřad pro právo, informace a technologie (ILITA), který je nadán pravomocemi k provádění šetření a zásahů a je zcela nezávislý.
(11)
Izraelské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu izraelského práva a poskytly záruky ohledně provádění izraelských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Stát Izrael je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie do Státu Izrael nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Opačně, na mezinárodní předávání osobních údajů z EU do Státu Izrael, u kterého samo předávání a následné zpracování je prováděno výlučně neautomatizovanými prostředky, by se toto rozhodnutí nemělo vztahovat.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Závěry týkající se úrovně ochrany osobních údajů v tomto rozhodnutí odkazují na Stát Izrael vymezený podle mezinárodní práva. Další následné předávání příjemci mimo Stát Izrael vymezený podle mezinárodního práva by mělo být považováno za předávání osobních údajů do třetí země.
(15)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, pokud jde o automatizované mezinárodní předávání osobních údajů z Evropské unie, nebo o případy, kdy předávání není automatizované, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael. Ve svém kladném stanovisku pracovní skupina vyzvala izraelské úřady, aby přijaly další ustanovení, která rozšíří uplatňování izraelských právních předpisů na manuální databáze, výslovně uznají, že bude uplatňování zásada proporcionality na zpracování osobních údajů v soukromé sféře, a která budou vykládat výjimky při mezinárodním předávání tak, aby byl jejich výklad v souladu s požadavky stanovenými v jejím „pracovním dokumentu o jednotném výkladu čl. 26 odst. 1 směrnice 95/46/ES“ (2). Toto stanovisko bylo zohledněno při přípravě toho rozhodnutí (3).
(16)
Výbor zřízený podle čl. 31 odst. 1 směrnice 95/46/ES nepředložil stanovisko ve lhůtě stanovené jeho předsedou,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Izrael považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie, pokud jde o automatizované předávání osobních údajů z Evropské unie do Izraele nebo o případy, kdy toto předávání není automatizováno, avšak tyto údaje jsou předmětem dalšího automatizovaného zpracování ve Státě Izrael.
2. Orgánem dozoru Státu Izrael, který má pravomoc uplatňovat normy ochrany osobních údajů ve Státě Izrael, je Izraelský úřad pro právo, informace a technologie (ILITA) uvedený v příloze tohoto rozhodnutí.
Článek 2
1. Toto rozhodnutí se zabývá pouze úrovní ochrany zajišťované ve Státě Izrael vymezeném podle mezinárodního práva s cílem naplnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
2. Toto rozhodnutí se použije v souladu s mezinárodním právem. Rozhodnutím není dotčen status Golanských výšin, pásma Gazy a Západního břehu Jordánu, včetně východního Jeruzaléma podle mezinárodního práva.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci ve Státě Izrael s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný izraelský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany, pokud se lze důvodně domnívat, že příslušný orgán Státu Izrael včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené ve Státě Izrael a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského stát.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany ve Státě Izrael nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany ve Státě Izrael neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Státu Izrael a, bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany ve Státě Izrael odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem. Komise zejména sleduje zpracovávání osobních údajů v manuálních databázích.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho oznámení.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 31. ledna 2011.
KOMISJONI OTSUS,
31. jaanuar 2011,
isikuandmete piisava kaitse kohta Iisraeli Riigis seoses isikuandmete automaatse töötlemisega vastavalt Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ
(teatavaks tehtud numbri K(2011) 332 all)
(EMPs kohaldatav tekst)
(2011/61/EL)
EUROOPA KOMISJON,
võttes arvesse Euroopa Liidu toimimise lepingut,
võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, (1) eriti selle artikli 25 lõiget 6,
olles konsulteerinud Euroopa andmekaitseinspektoriga
ning arvestades järgmist:
(1)
Direktiivi 95/46/EÜ kohaselt peavad liikmesriigid sätestama, et isikuandmeid võib kolmandale riigile edastada üksnes juhul, kui kõnealuses kolmandas riigis on tagatud andmekaitse piisav tase ning kui enne andmete edastamist järgitakse direktiivi muude sätete rakendamist käsitlevaid liikmesriikide õigusakte.
(2)
Komisjon võib järeldada, et kolmas riik tagab andmekaitse piisava taseme. Sel juhul võib liikmesriikidest isikuandmeid edastada ilma lisatagatisteta.
(3)
Vastavalt direktiivile 95/46/EÜ tuleb andmekaitse taseme hindamisel silmas pidada kõiki andmete edastamise toimingute või andmete edastamise toimingute kogumi asjaolusid ning pöörata erilist tähelepanu mitmele andmete edastamise seisukohalt olulistele ja direktiivi artiklis 25 loetletud tegurile.
(4)
Kuna kolmandad riigid suhtuvad andmekaitsesse erineval viisil, tuleks hinnata andmekaitse piisavust ning teha ja jõustada kõik direktiivi 95/46/EÜ artikli 25 lõikel 6 põhinevad otsused viisil, mis ei tekita meelevaldset või põhjendamatut diskrimineerimist selliste kolmandate riikide suhtes või vahel, kus valitsevad samasugused tingimused, või kaubanduse varjatud tõkestamist, võttes arvesse Euroopa Liidu kehtivaid rahvusvahelisi kohustusi.
(5)
Iisraeli õigussüsteemis puudub kirjutatud põhiseadus, kuid Iisraeli Riigikohus on andnud teatavatele alusseadustele põhiseadusliku staatuse. Kõnealuseid alusseadusi täiendab ulatuslik kohtupraktika, kuna Iisraeli õigussüsteem põhineb suures osas tavaõiguse põhimõtetel. Õigus eraelu puutumatusele on osa inimväärikust ja vabadust käsitleva alusseaduse artiklist 7.
(6)
Isikuandmete kaitset käsitlevate õigusnormide aluseks Iisraelis on peamiselt direktiiviga 95/46/EÜ kehtestatud õigusnormid, need on sätestatud eraelu puutumatuse kaitset käsitlevas seaduses 5741-1981, mida on viimati muudetud 2007. aastal, kui kehtestati uued isikuandmete töötlemist käsitlevad nõuded ning reglementeeriti üksikasjalikult järelevalveasutuse struktuur.
(7)
Andmekaitset käsitlevaid õigusakte täiendavad ka valitsuse otsused eraelu puutumatuse kaitset käsitleva seaduse 5741-1981 rakendamise kohta ning järelevalveasutuse struktuuri ja toimimise kohta, mille aluseks on suures osas andmebaase käsitlevate õigusaktide kontrollimiseks loodud komitee aruandes („Schoffmani aruanne”) justiitsministeeriumile esitatud soovitused.
(8)
Andmekaitset käsitlevaid sätteid sisaldavad ka hulk õigusakte, mis reguleerivad erinevaid sektoreid, näiteks finantssektori õigusaktid, tervishoiualased eeskirjad ja riiklikke registreid käsitlevad õigusaktid.
(9)
Iisraelis kohaldatavad andmekaitse õigusnormid hõlmavad kõiki üldpõhimõtteid, mis on vajalikud füüsiliste isikute kaitseks piisaval tasemel seoses isikuandmete töötlemisega automatiseeritud andmebaasides. Eraelu puutumatuse kaitset käsitleva seaduse 5741-1981 2. peatükki, milles sätestatakse isikuandmete töötlemise põhimõtted, ei kohaldata isikuandmete töötlemise suhtes automatiseerimata andmebaasides (manuaalsed andmebaasid).
(10)
Kõnealuste andmekaitse õigusnormide kohaldamine tagatakse halduslike ja õiguskaitsevahenditega ning sõltumatu järelevalve abil, mida teostab järelevalveasutusena Iisraeli õigus-, teabe- ja tehnoloogiaamet (ILITA), millele on antud uurimis- ja sekkumisvolitused ning mis tegutseb täiesti sõltumatult.
(11)
Iisraeli andmekaitseasutus on esitanud selgitused ja kinnitused selle kohta, kuidas Iisraeli õigust tuleks tõlgendada ning on kinnitanud, et Iisraeli andmekaitse eeskirju rakendatakse sellise tõlgendamise kohaselt. Käesolev otsus võtab arvesse nimetatud selgitusi ja kinnitusi ning sõltub seega neist.
(12)
Seetõttu tuleks isikuandmete kaitse Iisraelis lugeda piisavaks direktiivi 95/46/EÜ tähenduses selles osas, mis käsitleb automatiseeritud rahvusvahelist isikuandmete edastamist Euroopa Liidust Iisraeli, või juhul, kui see ei ole automatiseeritud, nende automatiseeritud töötlemist Iisraeli territooriumil. Kõnealust otsust ei peaks aga kohaldatama rahvusvahelise isikuandmete edastamise suhtes Euroopa Liidust Iisraeli, mille puhul edastamine ja sellele järgnev andmete töötlemine toimub ainult automatiseerimata vahendite abil.
(13)
Selguse ja arusaadavuse huvides ning võimaldamaks liikmesriikide pädevatel ametiasutustel tagada üksikisikute kaitset nende isikuandmete töötlemisel, tuleb kindlaks määrata need erandlikud asjaolud, mille korral teatava andmevahetuse peatamine on põhjendatud, olenemata sellest, et andmekaitse tase on tunnistatud piisavaks.
(14)
Käesoleva otsusega seotud andmekaitse taseme hindamise tulemused hõlmavad Iisraeli vastavalt rahvusvahelises õiguses määratletule. Andmete edasine edastamine Iisraelist väljapoole tuleks vastavalt rahvusvahelises õiguses määratletule lugeda isikuandmete edastamiseks kolmandale riigile.
(15)
Direktiivi 95/46/EÜ artikli 29 alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on esitanud isikuandmete kaitse piisava taseme kohta pooldava arvamuse selles osas, mis käsitleb automatiseeritud rahvusvahelist isikuandmete edastamist Euroopa Liidust Iisraeli, või juhul kui see ei ole automatiseeritud, nende automatiseeritud töötlemist Iisraeli territooriumil. Töörühm kutsus oma pooldavas arvamuses Iisraeli ametiasutusi üles jätkama selliste õigusaktide vastuvõtmist, millega laiendatakse Iisraeli õigusaktide kohaldamisala nii, et need hõlmaksid manuaalseid andmebaase ja milles sätestatakse sõnaselgelt proportsionaalsuse põhimõtte kohaldamine isikuandmete töötlemise suhtes erasektoris ning tõlgendatakse rahvusvahelist andmeedastust käsitlevaid erandeid vastavalt töörühma koostatud töödokumendis direktiivi 95/46/EÜ artikli 26 lõike 1 ühise tõlgendamise kohta sätestatud kriteeriumitele (2). Nimetatud arvamust (3) on käesoleva direktiivi sätetes arvesse võetud.
(16)
Direktiivi 95/46/EÜ artikli 31 lõike 1 alusel loodud komitee ei esitanud oma arvamust selle esimehe kehtestatud tähtaja jooksul,
ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
Artikkel 1
1. Direktiivi 95/46/EÜ artikli 25 lõike 2 kohaldamiseks loetakse Iisrael riigiks, kus on tagatud Euroopa Liidust edastatud isikuandmete kaitse piisav tase selles osas, mis käsitleb automatiseeritud rahvusvahelist isikuandmete edastamist Euroopa Liidust Iisraeli või juhul kui see ei ole automatiseeritud, nende automatiseeritud töötlemist Iisraeli territooriumil.
2. Andmekaitse õigusnormide kohaldamise eest vastutav Iisraeli pädev järelevalveasutus on käesoleva otsuse lisas osutatud Iisraeli õigus-, teabe- ja tehnoloogiaamet (edaspidi „ILITA”).
Artikkel 2
1. Käesolev otsus käsitleb ainult Iisraeli andmekaitse piisavust vastavalt rahvusvahelises õiguses määratletule kooskõlas direktiivi 95/46/EÜ artikli 25 lõike 1 nõuetega ning see ei mõjuta muid tingimusi või piiranguid, millega rakendatakse kõnealuse direktiivi muid sätteid, mis käsitlevad isikuandmete töötlemist liikmesriikides.
2. Käesolev otsus käsitleb Iisraeli Riigi andmekaitse piisavust ning seda kohaldatakse kooskõlas rahvusvahelise õigusega. Sellega ei piirata rahvusvahelise õiguse mõttes Golani kõrgendike, Gaza sektori ja Läänekalda (koos Ida-Jeruusalemmaga) staatust.
Artikkel 3
1. Ilma et see piiraks liikmesriikide pädevate asutuste volitusi võtta meetmeid selleks, et tagada vastavus muudele sätetele kui direktiivi 95/46/EÜ artikli 25 kohaselt võetud siseriiklikele õigusnormidele, võivad nimetatud asutused kasutada olemasolevaid volitusi peatada andmete edastamine Iisraelis asuvale vastuvõtjale, et kaitsta üksikisikuid seoses nende isikuandmete töötlemisega järgmistel juhtudel:
a)
Iisraeli pädev ametiasutus on kindlaks teinud, et vastuvõtja rikub kehtivaid kaitsenõudeid või
b)
on väga tõenäoline, et kaitsenõudeid rikutakse; on põhjust arvata, et Iisraeli pädev ametiasutus ei võta ega kavatse võtta aegsasti asjakohaseid meetmeid kõnealuse olukorra lahendamiseks; andmeedastuse jätkamine võib kujutada andmesubjektide jaoks vältimatut tõsise kahju ohtu ning liikmesriikide pädevad ametiasutused on asjaolusid arvestades võtnud piisavaid meetmeid Iisraelis asuva töötlemise eest vastutava osapoole teavitamiseks ja andnud talle võimaluse vastata.
2. Peatamine lõpetatakse kohe, kui on tagatud kaitsenõuete järgimine ning asjaomase liikmesriigi pädevale ametiasutusele on sellest teatatud.
Artikkel 4
1. Liikmesriigid teatavad lõike 3 alusel võetud meetmetest viivitamata komisjonile.
2. Liikmesriigid ja komisjon teatavad üksteisele juhtudest, mil Iisraelis kaitsenõuete järgimise tagamise eest vastutavate organite tegevus ei ole taganud kaitsenõuete järgimist.
3. Kui artikli 3 ning selle lõigete 1 ja 2 kohaselt kogutud teave tõendab, et mõni Iisraeli kaitsenõuete järgimise tagamise eest vastutav ametiasutus ei täida oma ülesandeid tõhusalt, teavitab komisjon Iisraeli pädevat ametiasutust ning esitab vajaduse korral direktiivi 95/46/EÜ artikli 31 lõikes 2 sätestatud korras eelnõud meetmete kohta, mille eesmärk on käesolev otsus kehtetuks tunnistada või peatada või piirata selle reguleerimisala.
Artikkel 5
Komisjon jälgib käesoleva otsuse toimimist ning esitab direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele aruande kõigi asjakohaste järelduste kohta, sealhulgas tõendid, mis võivad mõjutada käesoleva otsuse artiklis 1 esitatud järeldust, et Iisraelis pakutav kaitse on direktiivi 95/46/EÜ artikli 25 tähenduses piisav, ning tõendid selle kohta, et käesolevat otsust rakendatakse diskrimineerival viisil. Eelkõige jälgib komisjon isikuandmete töötlemist manuaalsetes andmebaasides.
Artikkel 6
Liikmesriigid võtavad kõik käesoleva otsuse järgimiseks vajalikud meetmed kolme kuu jooksul alates otsuse teatavakstegemise kuupäevast.
Artikkel 7
Käesolev otsus on adresseeritud liikmesriikidele.
Brüssel, 31. jaanuar 2011