32003D0490
L 168/19
JURNALUL OFÍCIAL AL UNIUNII EUROPENE
DECIZIA COMISIEI
din 30 iunie 2003
de constatare, în conformitate cu Directiva 95/46/CE a Parlamentului European și a Consiliului, a nivelului adecvat de protecție a datelor cu caracter personal în Argentina
(Text cu relevanță pentru SEE)
(2003/490/CE)
COMISIA COMUNITĂȚILOR EUROPENE,
având în vedere Tratatul de instituire a Comunității Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 25 alineatul (6),
întrucât:
(1)
În conformitate cu Directiva 95/46/CE, statelor membre li se solicită să ia măsuri astfel încât transferul datelor cu caracter personal către o terță țară să poată avea loc numai în cazul în care țara respectivă asigură un nivel adecvat de protecție și în cazul în care, înainte de transfer, sunt respectate actele cu putere de lege ale statelor membre care pun în aplicare alte dispoziții ale prezentei directive.
(2)
Comisia poate constata că o terță țară asigură un nivel de protecție adecvat. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără a mai fi necesare garanții suplimentare.
(3)
În conformitate cu Directiva 95/46/CE, nivelul de protecție a datelor trebuie evaluat ținând seama de toate împrejurările care au legătură cu o operațiune de transfer de date sau un set de operațiuni de transfer de date și prin raportare la anumite condiții enumerate la articolul 25 alineatul (2) din directivă. Grupul de lucru pentru protecția persoanelor privind prelucrarea datelor cu caracter personal, înființat în conformitate cu articolul 29 din Directiva 95/46/CE, a furnizat indicații referitoare la efectuarea acestor evaluări (2).
(4)
Având în vedere diferitele abordări ale țărilor terțe privind protecția datelor, evaluarea caracterului adecvat trebuie realizată și orice decizie în temeiul articolului 25 alineatul (6) din Directiva 95/46/CE trebuie adoptată și pusă în aplicare astfel încât să nu creeze discriminări arbitrare sau nejustificate între țările terțe în care există condiții similare ori între țările terțe, nici să nu se constituie o barieră deghizată în calea comerțului, ținând seama de angajamentele internaționale actuale ale Comunității.
(5)
În ceea ce privește Argentina, normele juridice privind protecția datelor cu caracter personal sunt cuprinse în norme cu caracter general și norme sectoriale. Ambele categorii de norme produc efecte juridice imperative.
(6)
Normele generale sunt stabilite prin Constituție, prin Legea nr. 25 326 privind protecția datelor cu caracter personal și în Regulamentul aprobat prin Decretul nr. 1558/2001 (denumite în continuare „dreptul argentinian”).
(7)
Constituția argentiniană prevede dreptul la o acțiune judiciară specială în materie de protecția datelor cu caracter personal, denumită „habeas data” (dreptul oricărei persoane de a acea acces la actele care o privesc). Acesta este o subcategorie a procedurii înscrise în Constituție pentru protecția drepturilor constituționale și, prin urmare, ridică protecția datelor cu caracter personal la rang de drept fundamental. Articolul 43 alineatul (3) din Constituție prevede dreptul oricărei persoane la această acțiune (așa numita „habeas data”) prin care poate lua la cunoștință de curpinsul și de scopul tuturor datelor referitoare la propria persoană, cuprinse în băncile de date, în evidențele publice sau în cele private al căror scop este acela de a furniza informații. Acest articol prevede ca în cazul informațiilor false sau folosirii acestora în scopuri discriminatorii, persoana interesată poate să solicite ștergerea, corectarea, confidențialitatea sau actualizarea datelor incluse în evidențele de mai sus. Acest articolul nu aduce atingere secretului surselor de informare folosite de jurnaliști. Jurisprudența argentiniană recunoaște „habeas data” ca un drept fundamental și care se aplică direct.
(8)
Legea nr. 25.326 din 4 octombrie 2000 privind protecția datelor cu caracter personal (denumită în continuare „legea”) dezvoltă și extinde dispozițiile constituționale. Cuprinde dispoziții referitoare la principiile generale privind protecția datelor, la drepturile persoanelor interesate, la obligațiile responsabililor și ale utilizatorilor de date, la autoritatea de supraveghere sau organismul de control, la sancțiuni și la normele de procedură legate de „habeas data” ca acțiune judecătorească.
(9)
Regulamentul aprobat prin Decretul nr. 1558/2001 din 3 decembrie 2001 (în continuare denumit „regulamentul”) stabilește normele de aplicare a legii, completează dispozițiile și clarifică aspectele acesteia care pot face obiectul unor interpretări divergente.
(10)
Dreptul argentinian reglementează protecția datelor cu caracter personal înregistrate în fișiere, registre, bănci de date sau alte mijloace tehnice publice, precum și protecția datelor cu caracter personal înregistrate în fișiere, registre, bănci de date sau alte mijloace tehnice private, al căror scop este de a furniza informații. Sunt în cauză în special cele care depășesc limitele intereselor strict personale, precum și cele destinate cesiunii sau transferului de date cu caracter personal, indiferent în cazul în care circulația datelor sau a informațiilor se face oneros sau gratuit.
(11)
Anumite dispoziții ale legii se aplică uniform pe tot teritoriul Argentinei. Acestea cuprind dispoziții generale și dispoziții referitoare la principiile generale de protecție a datelor, la drepturile persoanelor interesate, la obligațiile responsabililor și ale utilizatorilor de fișiere, registre și bănci de date, la sancțiunile penale și la existența și la principalele norme ale acțiunii judecătorești de „habeas data” astfel cum este stabilită prin Constituție.
(12)
Alte dispoziții ale legii se aplică registrelor, fișierelor, bazelor sau băncilor de date care sunt interconectate prin rețele la nivel interjurisdicțional (adică „interprovincial”), intern sau internațional și care se consideră ca fiind sub jurisdicție federală. Acestea se referă la controlul exercitat de autoritatea de supraveghere, la sancțiunile impuse de aceasta, precum și la normele de procedură privind „habeas data”. Celelalte tipuri de registre, fișiere, baze de date sau bănci de date trebuie considerate ca fiind de jurisdicție provincială. Provinciile pot emite dispoziții juridice în această materie.
(13)
Dispoziții privind protecția datelor există, de asemenea, în mai multe instrumente juridice care reglementează diferite sectoare, cum sunt tranzacțiile cu cărți de credit, statisticile, operațiunile bancare sau domeniul sănătății.
(14)
Dreptul argentinian reunește toate principiile fundamentale necesare pentru a constata un nivel adecvat de protecție a persoanelor fizice, chiar îdacă, de asemenea, sunt prevăzute derogări și limitări pentru a proteja interesele publice importante. Aplicarea acestor norme este garantată printr-o acțiune judecătorească simplificată și rapidă, „habeas data”, precum și prin acțiunile judecătorești generale. Dreptul argentinian prevede crearea unui organism de control al protecției datelor personale, care are sarcina de a lua toate măsurile necesare în vederea respectării obiectivelor și a dispozițiilor legii și care este învestit cu prerogative de investigație și intervenție. În temeiul regulamentului, Direcția națională pentru protecția datelor cu caracter personal a fost desemnată ca organism de control. Dreptul argentinian prevede un anumit număr de sancțiuni disuasive și eficiente, atât de natură administrativă, cât și penală. În plus, în situația prelucrării ilegale a datelor care prejudiciază persoanele în cauză, se aplică dispozițiile dreptului argentinian privind răspunderea civilă (atât contractuală, cât și extracontractuală).
(15)
Guvernul argentinian a dat explicații și asigurări referitoare la modul în care trebuie interpretat dreptul argentinian și a confirmat că dispozițiile în materie de protecție a datelor sunt aplicate conform acestei interpretări. Prezenta decizie se bazează pe aceste explicații și asigurări și, prin urmare, depinde de ele. Prezenta decizie se bazează, în special, pe explicațiile și asigurările furnizate de autoritățile argentiniene asupra modului în care dreptul argentinian trebuie interpretată în ce privește definirea situațiilor care intră în domeniul de aplicare a dreptului argentinian în materie de protecție a datelor.
(16)
Prin urmare, este cazul să se considere că Argentina asigură un nivel adecvat de protecție a datelor cu caracter personal, așa cum este prevăzut prin Directiva 95/46/CE.
(17)
În interesul transparenței și cu scopul de a garanta capacitatea autorităților competente din statele membre de a asigura protecția persoanelor fizice privind prelucrarea datelor cu caracter personal, este necesar să se precizeze îmorejurările excepționale care pot justifica suspendarea unor fluxuri specifice de date cu toate că s-a constatat un nivel de protecție adecvat.
(18)
Grupul de lucru pentru protecția persoanelor fizice privind prelucrarea datelor cu caracter personal înființat în temeiul articolului 29 din Directiva 95/46/CE a emis un aviz privind nivelul de protecție asigurat datelor cu caracter personal de Argentina (3), de care s-a ținut seama la elaborarea prezentei decizii.
(19)
Măsurile prevăzute în prezenta decizie sunt în conformitate cu avizul comitetului înființat în temeiul articolului 31 din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, se consideră că Argentina asigură un nivel adecvat de protecție a datelor cu caracter personal transferate din Comunitate.
Articolul 2
Prezenta decizie se referă numai la caracterul adecvat al protecției asigurate în Argentina în vederea îndeplinirii cerințelor articolului 25 alineatul (1) din Directiva 95/46/CE și nu influențează alte condiții sau restricții în aplicarea altor dispoziții din această directivă, care se referă la prelucrarea datelor personale în statele membre.
Articolul 3
(1) Fără să aducă atingere capacității lor de a lua măsuri prin care să asigure respectarea dispozițiilor interne adoptate în conformitate cu alte dispoziții decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita capacitatea de a suspenda fluxurile de date către un destinatar stabilit în Argentina, pentru a proteja persoane fizice privind prelucrarea datelor lor personale, în situațiile în care:
(a)
o autoritate argentiniană competentă a constatat că destinatarul informațiilor încalcă normelor aplicabile în materie de protecție sau
(b)
este foarte probabil ca standardele de protecție să fie încălcate, există motive raționale să se considere că autoritatea argentiniană competentă nu ia sau nu va lua măsuri adecvate și în timp util pentru a rezolva cazul; continuarea transferului ar crea un risc iminent de prejudiciere gravă a persoanelor în cauză, iar autoritățile competente din statul membru au depus eforturi rezonabile în condițiile existente de a avertiza partea responsabilă cu prelucrarea datelor stabilită în Argentina și de a-i oferi posibilitatea de a răspunde.
Suspendarea încetează de îndată ce sunt asigurate standardele de protecție și autoritatea competentă din Comunitate este informată în consecință.
(2) Statele membre informează de îndată Comisia atunci când sunt adoptate măsuri în temeiul alineatului (1).
(3) Statele membre și Comisia se informează reciproc asupra cazurilor în care măsurile luate de autoritățile argentiniene răspunzătoare de respectarea standardelor de protecție nu își ating scopul.
(4) În cazul în care informațiile colectate conform dispozițiilor alineatelor (1), (2) și (3) demonstrează că vreunul dintre organismele răspunzătoare de asigurarea respectării standardelor de protecție în Argentina nu își îndeplinește eficient atribuțiile, Comisia informează autoritatea argentiniană competentă și, în cazul în care este necesar, prezintă un proiect de măsuri în conformitate cu procedura menționată la articolul 31 alineatul (2) din Directiva 95/46/CE în vederea abrogării sau a suspendării prezentei decizii ori a limitării sferei sale de aplicare.
Articolul 4
(1) Prezenta decizie poate fi modificată oricând pe baza experienței acumulate pe parcursul aplicării acesteia sau a modificărilor din legislația argentiniană, al punerii în aplicare sau al interpretării acesteia.
Comisia monitorizează modul de aplicare a prezentei decizii și raportează orice constatare relevantă comitetului înființat în temeiul articolului 31 din Directiva 95/46/CE, incluzând orice probă care ar putea afecta constatarea de la articolul 1 din prezenta decizie conform căreia în Argentina protecția datelor este adecvată în sensul articolului 25 din Directiva 95/46/CE, precum și orice dovadă din care rezultă că prezenta decizie este aplicată în mod discriminatoriu.
(2) În cazul în care este necesar, Comisia prezintă un proiect de măsuri în conformitate cu procedura menționată la articolul 31 alineatul (2) din Directiva 95/46/CE.
Articolul 5
Statele membre iau toate măsurile necesare pentru aducerea la îndeplinire a prezentei directive în termen de maximum 120 de zile de la data notificării statelor membre.
Articolul 6
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 30 iunie 2003.