32003D0821
L 308/27
JURNALUL OFÍCIAL AL UNIUNII EUROPENE
DECIZIA COMISIEI
din 21 noiembrie 2003
privind nivelul adecvat de protecție a datelor cu caracter personal în Guernsey
[notificată cu numărul C(2003) 4309]
(Text cu relevanță pentru SEE)
(2003/821/CE)
COMISIA COMUNITĂȚILOR EUROPENE,
având în vedere Tratatul de instituire a Comunității Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1) și, în special, articolul 25 alineatul (6) al acesteia,
după consultarea Grupului de lucru pentru protecția persoanelor fizice privind prelucrarea datelor cu caracter personal (2),
întrucât:
(1)
În temeiul Directivei 95/46/CE, statelor membre li se cere să ia măsuri astfel încât transferul datelor cu caracter personal către o țară terță să poată avea loc numai în cazul în care țara terță în cauză asigură un nivel adecvat de protecție și în cazul în care legile statelor membre care pun în aplicare alte dispoziții ale directivei sunt respectate înainte de transfer.
(2)
Comisia poate constata că o țară terță asigură un nivel adecvat de protecție. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără a mai fi necesare garanții suplimentare.
(3)
În temeiul Directivei 95/46/CE, nivelul de protecție a datelor ar trebui evaluat având în vedere toate circumstanțele în care se desfășoară o operațiune de transfer de date sau un set de operațiuni de transfer de date și acordând o atenție specială mai multor elemente relevante pentru transfer, menționate la articolul 25 alineatul (2).
(4)
Ținând seama de diferitele abordări ale protecției datelor în țări terțe, ar trebui efectuată evaluarea caracterului adecvat al acestei protecții și orice decizie întemeiată pe articolul 25 alineatul (6) din Directiva 95/46/CE ar trebui luată și pusă în aplicare astfel încât să nu producă discriminări arbitrare sau nejustificate împotriva țărilor terțe sau între țări terțe acolo unde există condiții similare și nici să nu constituie o barieră ascunsă în calea comerțului, ținând seama de angajamente internaționale actuale ale Comunității.
(5)
Domeniul Guernsey este un teritoriu dependent de Coroana Britanică (nefăcând parte din Regatul Unit și nefiind nici colonie) care se bucură de independență deplină, cu excepția relațiilor internaționale și a apărării, care sunt responsabilitatea Guvernului Regatului Unit. Prin urmare, domeniul Guernsey ar trebui considerat ca o țară terță în sensul directivei.
(6)
Cu începere din august 1987, ratificarea de către Regatul Unit a Convenției Consiliului Europei privind protecția persoanelor fizice în ceea ce privește prelucrarea automată a datelor cu caracter personal (Convenția nr. 108) a fost extinsă și asupra domeniului Guernsey.
(7)
În cazul domeniului Guernsey, normele juridice privind protecția datelor cu caracter personal bazate pe normele stabilite de Directiva 95/46/CE au fost introduse prin Data Protection (Bailwick of Guernsey) Law din 2001, care a intrat în vigoare la 1 august 2002.
(8)
De asemenea, în Guernsey au fost adoptate șaisprezece acte cu putere de legi (orders) în 2002, care stabilesc norme specifice privind probleme precum accesul, prelucrarea datelor sensibile și notificarea autorității de protecție a datelor. Aceste acte completează legea.
(9)
Normele juridice care se aplică în Guernsey includ toate principiile fundamentale necesare pentru un nivel de protecție adecvat pentru persoanele fizice. Aplicarea acestor norme este garantată prin căi de atac și prin controlul independent exercitat de autorități, precum Comisarul însărcinat cu protecția datelor învestit cu atribuțiile de investigație și intervenție.
(10)
Prin urmare, ar trebui să se considere că domeniul Guernsey asigură un nivel adecvat de protecție a datelor cu caracter personal, după cum este menționat de Directivei 95/46/CE.
(11)
În interesul transparenței și cu scopul salvgardării capacității autorităților competente din statele membre de a asigura protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, este necesară precizarea circumstanțelor excepționale care pot justifica suspendarea fluxurilor de date specifice, chiar atunci când nivelul de protecție asigurat a fost considerat adecvat.
(12)
Măsurile prevăzute de prezenta decizie sunt conforme cu avizul comitetului înființat în temeiul articolului 31 alineatul (1) din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, se consideră că domeniul Guernsey asigură un nivel adecvat de protecție a datelor cu caracter personal transferate din Comunitate.
Articolul 2
Prezenta decizie se referă la caracterul adecvat al protecției asigurate în Guernsey în vederea îndeplinirii cerințelor articolului 25 alineatul (1) din Directiva 95/46/CE și nu aduce atingere altor condiții sau restricții care pun în aplicare alte dispoziții din directiva menționată ce se referă la prelucrarea datelor cu caracter personal în statele membre.
Articolul 3
(1) Fără să aducă atingere atribuțiilor lor de a lua măsuri pentru asigurarea respectării dispozițiilor naționale adoptate în temeiul unor dispoziții, altele decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita atribuțiile pentru a suspenda fluxurile de date către un destinatar din Guernsey în vederea protejării persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ale acestora, în următoarele cazuri:
(a)
atunci când o autoritate competentă din Guernsey a stabilit că destinatarul încalcă standardele de protecție aplicabile sau
(b)
este foarte probabil ca standardele de protecție să fie încălcate; există motive întemeiate să se creadă că autoritatea competentă din Guernsey nu ia sau nu va lua măsuri adecvate și în timp util pentru a rezolva cauza respectivă; continuarea transferului ar crea un pericol iminent de prejudiciere gravă a persoanelor în cauză, iar autoritățile competente din statul membru au depus eforturi rezonabile în aceste circumstanțe de a avertiza partea responsabilă de prelucrare a datelor determinată în Guernsey și de a îi oferi posibilitatea de a răspunde.
(2) Suspendarea încetează de îndată ce sunt asigurate standardele de protecție și autoritatea competentă din statele membre în cauză este informată în consecință.
Articolul 4
(1) Statele membre informează de îndată Comisia atunci când sunt adoptate măsuri în temeiul articolului 3.
(2) Statele membre și Comisia se informează reciproc asupra cazurilor în care măsurile luate de organismele însărcinate cu asigurarea respectării standardelor de protecție în Guernsey nu garantează această respectare.
(3) În cazul în care informațiile strânse în temeiul articolului 3 și a alineatelor (1) și (2) din prezentul articol demonstrează că un organism însărcinat cu asigurarea respectării standardelor de protecție în Guernsey nu își îndeplinește eficient rolul, Comisia informează autoritatea competentă din Guernsey și, în cazul în care este necesar, prezintă un proiect de măsuri în conformitate cu procedura prevăzută la articolul 31 alineatul (2) din Directiva 95/46/CE în vederea abrogării sau suspendării prezentei decizii ori a limitării domeniului de aplicare al acesteia.
Articolul 5
Comisia evaluează punerea în aplicare a prezentei decizii și raportează orice constatare pertinentă comitetului înființat în temeiul articolului 31 din Directiva 95/46/CE, incluzând orice dovadă care ar putea afecta constatarea de la articolul 1 din prezenta decizie conform căruia protecția datelor în Guernsey este adecvată, în sensul articolului 25 din Directiva 95/46/CE, precum și orice dovadă din care rezultă că prezenta decizie este aplicată în mod discriminatoriu.
Articolul 6
Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii în termen de patru luni de la data notificării acesteia.
Articolul 7
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 21 noiembrie 2003.