KOMISIJOS SPRENDIMAS
2008 m. gegužės 8 d.
dėl tinkamos asmens duomenų apsaugos Džersyje, priimtas remiantis Europos Parlamento ir Tarybos direktyva 95/46/EB
(pranešta dokumentu Nr. C(2008) 1746)
(Tekstas svarbus EEE)
(2008/393/EB)
EUROPOS BENDRIJŲ KOMISIJA,
atsižvelgdama į Europos bendrijos steigimo sutartį,
atsižvelgdama į 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (1), ypač į jos 25 straipsnio 6 dalį,
pasikonsultavusi su Asmenų apsaugos tvarkant asmens duomenis darbo grupe (2),
kadangi:
(1)
Kaip numatyta Direktyvoje 95/46/EB, valstybės narės privalo užtikrinti, kad asmens duomenys trečiajai šaliai gali būti perduoti tik tuo atveju, jeigu pastaroji užtikrina tinkamą apsaugos lygį ir jeigu iki perdavimo laikomasi kitas direktyvos nuostatas įgyvendinančių valstybių narių įstatymų.
(2)
Komisija gali padaryti išvadą, kad trečioji šalis užtikrina tinkamą apsaugos lygį. Tokiu atveju asmens duomenys gali būti perduodami iš valstybių narių nereikalaujant papildomų garantijų.
(3)
Remiantis Direktyva 95/46/EB, duomenų apsaugos lygis turėtų būti vertinamas atsižvelgiant į visas aplinkybes, susijusias su duomenų perdavimo operacija arba keliomis operacijomis, visų pirma atsižvelgiant į keletą su perdavimu susijusių elementų, nurodytų 25 straipsnio 2 dalyje.
(4)
Atsižvelgiant į tai, kad požiūris į duomenų apsaugą trečiosiose šalyse skirtingas, turėtų būti įvertintas apsaugos tinkamumas, o bet koks sprendimas, pagrįstas Direktyvos 95/46/EB 25 straipsnio 6 dalimi, turėtų būti priimtas ir vykdomas taip, kad trečiosios šalys, kuriose yra panašios sąlygos, nebūtų subjektyviai ar nepagrįstai diskriminuojamos arba kad trečiosios šalys nediskriminuotų viena kitos, kad juo nebūtų kuriamos paslėptos kliūtys prekybai ir kad būtų atsižvelgiama į Bendrijos prisiimtus tarptautinius įsipareigojimus.
(5)
Džersis (angl. Bailiwick of Jersey) yra viena iš Britanijos karūnos valdų (tai nėra nei Jungtinės Karalystės dalis, nei kolonija), kuri yra visiškai nepriklausoma, išskyrus tarptautinius santykius ir gynybą - už šias sritis atsakinga Jungtinės Karalystės Vyriausybė. Todėl Džersis turi būti laikomas trečiąja šalimi, kaip apibrėžta Direktyvoje 95/46/EB.
(6)
Jungtinės Karalystės ratifikuotos Europos žmogaus teisių konvencija ir Europos Tarybos Konvencija dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu (Konvencija Nr. 108) atitinkamai nuo 1951 ir 1987 m. taikomos ir Džersyje.
(7)
Kiek tai susiję su Džersiu, teisiniai asmens duomenų apsaugos standartai, iš esmės pagrįsti Direktyvoje 95/46/EB nustatytais standartais, numatyti 1987 m. Džersio duomenų apsaugos įstatyme (Data Protection (Jersey) Law 1987), kuris įsigaliojo 1987 m. lapkričio 11 d., ir dviejuose pagalbiniuose įstatymuose: 2005 m. pakeistame Džersio duomenų apsaugos įstatyme (Data Protection (Amendment) (Jersey) Law 2005) ir 2005 m. Džersio duomenų apsaugos įstatymo įsigaliojimo akte (Data Protection (Jersey) Law 2005 (Appointed Day) Act 2005).
(8)
Vadovaujantis Džersio duomenų apsaugos įstatymu 2005 m. priimti antrinės teisės aktai, nustatantys konkrečias taisykles, taikomas duomenų subjekto teisei susipažinti su duomenimis, ypatingų duomenų tvarkymui ir duomenų apsaugos institucijos informavimui (3).
(9)
Džersyje taikomi teisiniai standartai apima visus pagrindinius principus, kad būtų užtikrintas tinkamas fizinių asmenų apsaugos lygis. Šių standartų taikymas užtikrinamas teisminėmis priemonėmis ir nepriklausoma priežiūra, kurią vykdo tokios institucijos kaip duomenų apsaugos komisaras, kuriam suteikta teisė atlikti tyrimą ir įsikišti.
(10)
Todėl turėtų būti laikoma, kad Džersis suteikia tinkamo lygio asmens duomenų apsaugą, kaip nustatyta Direktyvoje 95/46/EB.
(11)
Siekiant skaidrumo ir norint apsaugoti valstybių narių kompetentingų valdžios institucijų galimybes užtikrinti asmenų apsaugą tvarkant jų asmens duomenis, svarbu tiksliai apibrėžti išimtines aplinkybes, kuriomis gali būti sustabdyti konkrečių duomenų srautai, nepaisant to, kad nustatyta, jog apsauga yra tinkama.
(12)
Šiame sprendime numatytos priemonės atitinka Direktyvos 95/46/EB 31 straipsnio 1 dalimi įsteigto komiteto nuomonę,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 straipsnis
Remiantis Direktyvos 95/46/EB 25 straipsnio 2 dalimi laikoma, kad Džersis suteikia tinkamo lygio iš Bendrijos perduodamų asmens duomenų apsaugą.
2 straipsnis
Šis sprendimas susijęs su duomenų apsaugos tinkamumu Džersyje laikantis Direktyvos 95/46/EB 25 straipsnio 1 dalies reikalavimų ir neturi poveikio kitoms sąlygoms ar apribojimams, kurie taikomi įgyvendinant kitas šios direktyvos nuostatas, susijusias su asmens duomenų valstybėse narėse tvarkymu.
3 straipsnis
1. Nepažeidžiant valstybių narių kompetentingų valdžios institucijų teisės imtis veiksmų siekiant užtikrinti, kad būtų laikomasi nacionalinių nuostatų, priimtų remiantis ne 25 straipsniu, bet kitomis Direktyvos 95/46/EB nuostatomis, šios institucijos gali pasinaudoti suteiktomis teisėmis sustabdyti duomenų srautus gavėjui Džersyje, kad apsaugotų asmenis tvarkant jų asmens duomenis, toliau nurodytais atvejais:
a)
jeigu kompetentinga Džersio valdžios institucija nustatė, kad gavėjas nesilaiko galiojančių apsaugos standartų, arba
b)
jeigu yra didelė tikimybė, kad nesilaikoma apsaugos standartų, jeigu yra pakankamas pagrindas manyti, kad kompetentinga Džersio valdžios institucija nesiima arba laiku nesiims atitinkamų veiksmų problemai išspręsti, jeigu toliau perduodant duomenis būtų sukurta neišvengiama didelės žalos rizika duomenų subjektams ir jeigu valstybių narių kompetentingos valdžios institucijos atsižvelgdamos į aplinkybes dėjo pakankamai pastangų, kad įspėtų už duomenų tvarkymą atsakingą šalį Džersyje ir suteiktų šiai šaliai galimybę reaguoti.
2. Duomenų perdavimas atnaujinamas, kai tik užtikrinami duomenų apsaugos standartai ir apie tai pranešama kompetentingoms atitinkamų valstybių narių valdžios institucijoms.
4 straipsnis
1. Priėmusios priemones pagal 3 straipsnį, valstybės narės apie tai nedelsdamos praneša Komisijai.
2. Valstybės narės ir Komisija vienos kitoms praneša apie atvejus, kai už duomenų apsaugos standartų laikymosi užtikrinimą Džersyje atsakingų įstaigų veiksmais tokio laikymosi užtikrinti nepavyksta.
3. Jei pagal 3 straipsnį ir pagal šio straipsnio 1 ir 2 dalis surinkta informacija suteikia įrodymų, kad kuri nors už apsaugos standartų laikymosi užtikrinimą Džersyje atsakinga įstaiga neveiksmingai atlieka savo funkcijas, Komisija informuoja kompetentingą Džersio valdžios instituciją ir prireikus pateikia priemonių projektą pagal Direktyvos 95/46/EB 31 straipsnio 2 dalyje nurodytą procedūrą, kad būtų panaikintas šis sprendimas arba sustabdytas jo taikymas, arba kad būtų apribota sprendimo taikymo sritis.
5 straipsnis
Komisija stebi, kaip vykdomas šis sprendimas, ir pateikia visus susijusius nustatytus faktus pagal Direktyvos 95/46/EB 31 straipsnį įkurtam komitetui, įskaitant bet kokius faktus, kurie galėtų turėti įtakos šio sprendimo 1 straipsnyje pateiktai išvadai, jog remiantis Direktyvos 95/46/EB 25 straipsniu apsauga Džersyje yra tinkama, taip pat bet kokius faktus, patvirtinančius, kad šis sprendimas vykdomas diskriminuojančiu būdu.
6 straipsnis
Per keturis mėnesius nuo pranešimo apie sprendimą dienos valstybės narės imasi visų priemonių, kurių reikia, kad būtų užtikrintas sprendimo laikymasis.
7 straipsnis
Šis sprendimas skirtas valstybėms narėms.
Priimta Briuselyje, 2008 m. gegužės 8 d.