DECIZIA COMISIEI
din 8 mai 2008
în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind nivelul de protecție adecvat a datelor cu caracter personal în Jersey
[notificată cu numărul C(2008) 1746]
(Text cu relevanță pentru SEE)
(2008/393/CE)
COMISIA COMUNITĂȚILOR EUROPENE,
având în vedere Tratatul de instituire a Comunității Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 25 alineatul (6),
după consultarea Grupului de lucru pentru protecția persoanelor fizice privind prelucrarea datelor cu caracter personal (2),
întrucât:
(1)
În temeiul Directivei 95/46/CE, statelor membre li se cere să ia măsuri astfel încât transferul datelor cu caracter personal către o țară terță să poată avea loc numai în cazul în care țara terță în cauză asigură un nivel de protecție adecvat și în cazul în care legile statelor membre care pun în aplicare alte dispoziții ale directivei sunt respectate înainte de transfer.
(2)
Comisia poate constata că o țară terță asigură un nivel de protecție adecvat. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără a mai fi necesară nici o garanție suplimentară.
(3)
În conformitate cu Directiva 95/46/CE, nivelul de protecție a datelor trebuie evaluat ținând seama de toate împrejurările care au legătură cu o operațiune de transfer de date sau un set de operațiuni de transfer de date și prin raportare la anumite condiții enumerate la articolul 25 alineatul (2) din directivă.
(4)
Având în vedere diferitele abordări ale țărilor terțe privind protecția datelor, evaluarea caracterului adecvat trebuie realizată și orice decizie în temeiul articolului 25 alineatul (6) din Directiva 95/46/CE trebuie adoptată și pusă în aplicare astfel încât să nu creeze discriminări arbitrare sau nejustificate între țările terțe în care există condiții similare ori între țările terțe, nici să nu se constituie o barieră deghizată în calea comerțului, ținând seama de angajamentele internaționale actuale ale Comunității.
(5)
Domeniul Jersey este un teritoriu dependent de Coroana Britanică (nefăcând parte din Regatul Unit și nefiind nici colonie) care se bucură de independență deplină, cu excepția relațiilor internaționale și a apărării, care sunt responsabilitatea Guvernului Regatului Unit. Prin urmare, domeniul Jersey ar trebui considerat ca o țară terță în sensul Directivei 95/46/CE.
(6)
Cu începere din 1951 și, respectiv, din 1987, ratificarea de către Regatul Unit a Convenției Europene a Drepturilor Omului și a Convenției Consiliului Europei privind protecția persoanelor fizice în ceea ce privește prelucrarea automată a datelor cu caracter personal (Convenția nr. 108) a fost extinsă și asupra domeniului Jersey.
(7)
În ceea ce privește domeniul Jersey, standardele juridice privind protecția datelor cu caracter personal, în mare parte bazate pe standardele enunțate în Directiva 95/46/CE, au fost prevăzute în Data Protection (Jersey) Law 1987 [Legea privind protecția datelor (Jersey) din 1987], care a intrat în vigoare la 11 noiembrie 1987 și alte două legi complementare, Data Protection (Amendment) (Jersey) Law 2005 [Legea privind protecția datelor (Jersey) din 2005 (Amendament)] și Data Protection (Jersey) Law 2005 (Appointed Day) Act 2005 [actul de intrare în vigoare a Legii privind protecția datelor (Jersey) din 2005].
(8)
De asemenea, în 2005, a fost adoptată legislația secundară în temeiul legii privind protecția datelor (Jersey), care stabilește standarde specifice privind aspecte precum accesul, prelucrarea datelor sensibile și notificarea autorității de protecție a datelor (3).
(9)
Standardele juridice care se aplică în Jersey includ toate principiile fundamentale necesare pentru un nivel de protecție adecvat pentru persoanele fizice. Aplicarea acestor standarde este garantată prin căi de atac și prin controlul independent exercitat de autorități, și anume de către comisarul însărcinat cu protecția datelor, care este învestit cu atribuții de investigație și intervenție.
(10)
Prin urmare, ar trebui să se considere că domeniul Jersey asigură un nivel de protecție adecvat a datelor cu caracter personal, astfel cum este prevăzut în Directiva 95/46/CE.
(11)
În interesul transparenței și pentru a garanta capacitatea autorităților competente din statele membre de a asigura protecția persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal, este necesar să se specifice împrejurările excepționale în care se poate justifica suspendarea fluxurilor specifice de date, independent de constatarea nivelului de protecție adecvat.
(12)
Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului înființat în temeiul articolului 31 alineatul (1) din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, se consideră că domeniul Jersey asigură un nivel de protecție adecvat a datelor cu caracter personal transferate din Comunitate.
Articolul 2
Prezenta decizie se referă la caracterul adecvat al protecției asigurate în Jersey în vederea îndeplinirii cerințelor de la articolul 25 alineatul (1) din Directiva 95/46/CE și nu aduce atingere altor condiții sau restricții care pun în aplicare alte dispoziții din directiva menționată anterior care se referă la prelucrarea datelor cu caracter personal în statele membre.
Articolul 3
(1) Fără să aducă atingere atribuțiilor lor de a lua măsuri pentru a asigura respectarea dispozițiilor naționale adoptate în temeiul unor dispoziții, altele decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita atribuțiile pentru a suspenda fluxurile de date către un destinatar din Jersey în vederea protejării persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ale acestora, în următoarele cazuri:
(a)
atunci când o autoritate competentă din Jersey a stabilit că destinatarul încalcă standardele de protecție aplicabile; sau
(b)
atunci când există o mare probabilitate ca standardele de protecție să fie încălcate; când există motive întemeiate să se creadă că autoritatea competentă din Jersey nu ia sau nu va lua măsuri adecvate în timp util pentru a rezolva cauza respectivă; când continuarea transferului ar crea un pericol iminent de prejudiciere gravă a persoanelor în cauză, iar autoritățile competente din statul membru au depus eforturi rezonabile în aceste circumstanțe pentru a avertiza partea responsabilă cu prelucrarea datelor stabilită în Jersey și de a îi oferi posibilitatea de a răspunde.
(2) Suspendarea încetează de îndată ce sunt asigurate standardele de protecție și autoritatea competentă din statele membre în cauză este informată în consecință.
Articolul 4
(1) Statele membre informează de îndată Comisia atunci când sunt adoptate măsuri în temeiul articolului 3.
(2) Statele membre și Comisia se informează reciproc asupra cazurilor în care măsurile luate de organismele însărcinate cu asigurarea respectării standardelor de protecție în Jersey nu garantează această respectare.
(3) În cazul în care informațiile culese în temeiul articolului 3 și al alineatelor (1) și (2) din prezentul articol demonstrează că un organism însărcinat cu asigurarea respectării standardelor de protecție în Jersey nu își îndeplinește eficient rolul, Comisia informează autoritatea competentă din Jersey și, în cazul în care este necesar, prezintă un proiect de măsuri în conformitate cu procedura prevăzută la articolul 31 alineatul (2) din Directiva 95/46/CE în vederea abrogării sau a suspendării prezentei decizii ori a limitării domeniului de aplicare al acesteia.
Articolul 5
Comisia evaluează punerea în aplicare a prezentei decizii și raportează orice constatare pertinentă comitetului înființat în temeiul articolului 31 din Directiva 95/46/CE, incluzând orice dovadă care ar putea afecta constatarea de la articolul 1 din prezenta decizie conform căruia protecția datelor în Jersey este adecvată, în sensul articolului 25 din Directiva 95/46/CE, precum și orice dovadă din care rezultă că prezenta decizie este aplicată în mod discriminatoriu.
Articolul 6
Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii în termen de patru luni de la data notificării acesteia.
Articolul 7
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 8 mai 2008.