Odločba Komisije

z dne 20. decembra 2001

na podlagi Direktive 95/46/ES Evropskega parlamenta in Sveta o ustreznem varstvu osebnih podatkov, ki ga zagotavlja kanadski Zakon o varstvu osebnih podatkov in elektronskih dokumentih

(notificirana pod dokumentarno številko K(2001) 4539)

(2002/2/ES)

KOMISIJA EVROPSKIH SKUPNOSTI JE –

ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti,

ob upoštevanju Direktive 95/46/ES Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov [1] ter zlasti člena 25(6) Direktive,

ob upoštevanju naslednjega:

(1) Na podlagi Direktive 95/46/ES morajo države članice zagotoviti, da se lahko prenos osebnih podatkov v tretjo državo izvede le, če zadevna tretja država zagotovi ustrezno raven varstva podatkov in če so predpisi držav članic o izvajanju drugih določb Direktive usklajeni pred prenosom.

(2) Komisija lahko ugotovi, da tretja država zagotavlja ustrezno raven varstva. V tem primeru se osebni podatki lahko prenesejo iz držav članic brez potrebnih dodatnih zagotovil.

(3) Na podlagi Direktive 95/46/ES naj se raven varstva podatkov oceni glede na vse okoliščine postopka prenosa podatkov ali niza postopkov prenosa podatkov in ob upoštevanju danih pogojev. Delovna skupina o varstvu posameznikov pri obdelavi osebnih podatkov, ustanovljena v skladu s členom 29 Direktive 95/46/ES, je izdala navodila za pripravo takih ocen [2].

(4) Z upoštevanjem različnih pristopov k varstvu podatkov v tretjih državah je treba izvesti presojo ustreznosti in vsako odločitev, ki temelji na členu 25(6) Direktive 95/46/ES, sprejeti in uveljaviti tako, da niti samovoljno ali neupravičeno ne povzroča diskriminacije do tretjih držav ali med njimi, kadar taki pogoji prevladujejo, niti ne predstavlja prikrite ovire za trgovino, ob upoštevanju obstoječih mednarodnih obveznosti Skupnosti.

(5) Kanadski Zakon o varstvu osebnih podatkov in elektronskih dokumentih (Personal Information and Electronic Documents Act) z dne 13. aprila 2000 [3] ("kanadski zakon") velja za organizacije zasebnega sektorja, ki zbirajo, uporabljajo ali posredujejo osebne informacije v okviru tržnih dejavnosti. Veljati začne v treh fazah:

Od 1. januarja 2001 velja kanadski zakon za osebne informacije, razen zdravstvenih osebnih informacij, ki jih organizacija, ki je zvezno delo, podjetje ali dejavnost, zbira, uporablja ali posreduje v okviru tržne dejavnosti. Te organizacije so ustanovljene v sektorjih, kot so letalske družbe, bančništvo, radiodifuzija, prevoz med provincami in telekomunikacije. Kanadski zakon velja tudi za vse organizacije, ki posredujejo osebne podatke za obravnavo zunaj province ali zunaj Kanade in za podatke o zaposlenih, ki se nanašajo na zaposlenega pri zveznem delu, podjetju ali dejavnosti.

Od 1. januarja 2002 bo kanadski zakon veljal za zdravstvene osebne podatke za organizacije in dejavnosti, ki so zajete že v prvi fazi.

Od 1. januarja 2004 bo kanadski zakon zajel vsako organizacijo, ki zbira, uporablja ali posreduje osebne podatke v okviru tržne dejavnosti, ne glede na to, ali je organizacija kot dejavnost urejena na zvezni ravni. Kanadski zakon ne velja za organizacije, za katere velja Zvezni zakon o zasebnosti (Federal Privacy Act) ali jih ureja javni sektor na ravni provinc, pa tudi ne za neprofitne organizacije in dobrodelne dejavnosti, razen če so tržnega značaja. Podobno ne zajema podatkov o zaposlitvi, uporabljenih v netržne namene, razen tistih v zvezi z zaposlenimi v zvezno urejenem zasebnem sektorju. Kanadski zvezni pooblaščenec za zasebnost (Federal Privacy Commissioner) lahko priskrbi dodatne informacije o takih primerih.

(6) Ob upoštevanju pravice provinc, da sprejemajo predpise s področij njihovih pristojnosti, Zakon predvideva, da se pri sprejemanju vsebinsko podobnih zakonov na ravni provinc, za organizacije ali dejavnosti, ki bodo tako urejene s predpisi o zasebnosti s strani provinc, lahko naredi izjema. Oddelek 26(2) Zakona o varstvu osebnih podatkov in elektronskih dokumentih daje zvezni vladi pooblastilo, da "če je prepričan, da zakonodaja province, ki je vsebinsko podobna temu delu, velja za organizacijo, kategorijo organizacij, dejavnost ali kategorijo dejavnosti, izvzame organizacijo, dejavnost ali kategorijo iz uporabe tega dela v zvezi z zbiranjem, uporabo ali posredovanjem osebnih podatkov, ki se pojavljajo v navedeni provinci". Governor in Council (Kanadska zvezna vlada) naredi izjeme pri vsebinsko podobni zakonodaji s pomočjo Order-in-Council.

(7) Če in kadar koli provinca sprejme predpis, ki je vsebinsko podoben, so organizacije, kategorije organizacij ali zajete dejavnosti izvzete iz uporabe zvezne zakonodaje za intraprovincialne transakcije; zvezna zakonodaja bo še naprej veljala za medprovincialna in mednarodna zbiranja, uporabe in posredovanja osebnih informacij, pa tudi za vse primere, ko province v celoti ali delno niso oblikovale vsebinsko podobnih predpisov.

(8) Kanada je formalno upoštevala Smernice OECD iz leta 1980 o varstvu zasebnosti in čezmejnem prenosu osebnih podatkov z dne 29. junija 1984. Kanada je bila med državami, ki so podprle smernice Združenih narodov v zvezi z računalniškimi zapisi osebnih podatkov, ki jih je 14. decembra 1990 sprejela Generalna skupščina.

(9) Kanadski zakon zajema vsa osnovna načela, potrebna za primerno raven varstva fizičnih oseb, tudi če so predvidene izjeme in omejitve za zavarovanje pomembnih javnih interesov in priznanje nekaterih informacij, ki obstajajo v javnosti. Uporaba teh standardov se zagotovi s pravnim sredstvom in neodvisnim nadzorom, ki ga izvajajo organi oblasti, kot je zvezni pooblaščenec za zasebnost, ki ima pooblastila za preiskavo in intervencijo. Poleg tega določbe kanadskega prava v zvezi s civilno odgovornostjo veljajo v primeru nezakonite obdelave, ki škodi zadevnim osebam.

(10) V interesu preglednosti in za zagotovitev zmožnosti pristojnih organov v državah članicah, da zagotovijo varstvo posameznikov pri obdelavi njihovih osebnih podatkov, je treba v tej odločbi določiti izjemne okoliščine, v katerih je lahko začasna ustavitev prenosa posebnih podatkov upravičena, ne glede na ugotovitev ustreznega varstva.

(11) Delovna skupina o varstvu posameznikov pri obdelavi osebnih podatkov, ustanovljena v skladu s členom 29 Direktive 95/46/ES, je dala mnenje o ravni varstva, predvideni v kanadskem zakonu, ki je bilo upoštevano pri pripravi te odločbe [4].

(12) Ukrepi, predvideni s to odločbo, so v skladu z mnenjem odbora, ustanovljenega v skladu s členom 31 Direktive 95/46/ES –

SPREJELA NASLEDNJO ODLOČBO:

Člen 1

Za namene člena 25(2) Direktive 95/46/ES za Kanado velja, da zagotavlja ustrezno raven varstva osebnih podatkov, ki se prenašajo iz Skupnosti k prejemnikom, za katere velja "Personal Information and Electronic Documents Act" ("kanadski zakon").

Člen 2

Ta odločba zadeva samo ustreznost varstva, ki ga v Kanadi zagotavlja kanadski zakon, da bi bile izpolnjene zahteve člena 25(1) Direktive 95/46/ES, in ne vpliva na druge pogoje ali omejitve, s katerimi se izvajajo druge določbe navedene direktive, ki se nanašajo na obdelavo osebnih podatkov v državah članicah.

Člen 3

1. Brez poseganja v njihova pooblastila za sprejemanje ukrepov za spoštovanje nacionalnih predpisov, sprejetih za zagotovitev skladnosti z določbami Direktive 95/46/ES, razen tistih iz člena 25, pristojni organi držav članic lahko izvajajo svoja obstoječa pooblastila in začasno ustavijo prenos podatkov do prejemnika v Kanadi, katerega dejavnosti sodijo na področje uporabe kanadskega zakona, s čimer se zavarujejo posamezniki pri obdelavi njihovih osebnih podatkov v primerih, kadar:

(a) je pristojni kanadski organ ugotovil, da prejemnik krši veljavne standarde varstva; ali

(b) obstaja velika verjetnost, da so standardi varstva kršeni; obstaja utemeljen sum, da pristojni kanadski organ ne ukrepa ali ne bo ukrepal ustrezno in pravočasno, da bi primer raziskal; nadaljnji prenos bi ustvaril neposredno tveganje z resno škodo za posameznika, na katerega se osebni podatki nanašajo, zato v takih okoliščinah pristojni organi v državi članici storijo vse potrebno, da obvestijo stranko, pristojno za obdelavo podatkov v Kanadi, ter ji dajo priložnost za odgovor.

Začasna ustavitev preneha takoj, ko so standardi varstva zagotovljeni in je zadevni pristojni organ v Skupnosti o tem obveščen.

2. Države članice Komisijo takoj obvestijo po sprejetju ukrepov na podlagi odstavka 1.

3. Države članice in Komisija obvestijo druga drugo tudi o primerih, kadar ukrepanje organov, odgovornih za zagotavljanje skladnosti s standardi varstva v Kanadi, ne zagotavlja več take skladnosti.

4. Če podatki, zbrani v skladu z odstavki 1, 2 in 3, dokazujejo, da kateri koli organ, ki je odgovoren za zagotavljanje skladnosti s standardi varstva v Kanadi, svoje vloge ne opravlja učinkovito, Komisija obvesti pristojni kanadski organ in po potrebi predloži osnutek ukrepov po postopku iz člena 31(2) Direktive 95/46/ES, s katerimi naj se ta odločba razveljavi ali začasno odloži njena uporaba ali omeji njeno področje uporabe.

Člen 4

1. Ta odločba se lahko kadar koli spremeni glede na izkušnje z njeno uporabo ali spremembami v kanadski zakonodaji, vključno z ukrepi, ki upoštevajo, da ima kanadska provinca vsebinsko podobno zakonodajo. Komisija oceni izvajanje te odločbe na podlagi razpoložljivih podatkov tri leta po njeni notifikaciji državam članicam in sporoči kakršne koli ustrezne ugotovitve odboru, ustanovljenemu v skladu s členom 31 Direktive 95/46/ES, vključno s kakršnimi koli dokazi, ki bi lahko vplivali na ugotovitev iz člena 1 te odločbe, da je varstvo v Kanadi ustrezno v smislu člena 25 Direktive 95/46/ES, in s kakršnimi koli dokazi, da se ta odločba izvaja diskriminatorno.

2. Komisija po potrebi predloži osnutek ukrepov po postopku iz člena 31(2) Direktive 95/46/ES.

Člen 5

Države članice sprejmejo vse ukrepe, potrebne za uskladitev s to odločbo, najpozneje v 90. dneh od dne, ko je bila notificirana državam članicam.

Člen 6

Ta odločba je naslovljena na države članice.

V Bruslju, 20. decembra 2001

Za Komisijo

Frederik Bolkestein

Član Komisije

[1] UL L 281, 23.11.1995, str. 31.

[2] WP 12: Prenosi osebnih podatkov v tretje države: uporaba členov 25 in 26 direktive Evropske unije o varstvu podatkov, ki jo je sprejela Delovna skupina 24. julija 1998, na voljo na http://europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/wpdocs_98.htm

[3] Elektronsko objavljene (na papirju in internetu) različice Akta so na voljo na http://www.parl.gc.ca/36/2/parlbus/chambus/house/bills/government/C-6/C-6_4/C-6_cover-E.html in http://www.parl.gc.ca/36/2/parlbus/chambus/house/bills/government/C-6/C-6_4/C-6_cover-F.html. Natisnjeni izvodi so na voljo pri Delovni komisiji in Vladni službi Kanade — Publishing, Ottawa, Kanada KIA 0S9.

[4] Mnenje 2/2001 o ustreznosti Kanadskega zakona o varstvu osebnih podatkov in elektronskih dokumentih – WP 39 z dne 26. januarja 2001 je na voljo na http://europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm

--------------------------------------------------