21.10.2010   

IT

Gazzetta ufficiale dell'Unione europea

L 277/27

(1)

Ai sensi della direttiva 95/46/CE, gli Stati membri devono far sì che il trasferimento di dati personali a un paese terzo abbia luogo solo se il paese in questione garantisce adeguati livelli di protezione e dopo aver accertato, prima del trasferimento, che siano osservate le norme degli Stati membri che attuano altre disposizioni della direttiva.

(2)

La Commissione può constatare che un paese terzo garantisce adeguati livelli di tutela. In tal caso, gli Stati membri possono trasferirvi dati personali senza la necessità di ulteriori garanzie.

(3)

Secondo la direttiva 95/46/CE il livello di protezione dei dati va accertato alla luce di tutte le circostanze che accompagnano l’operazione, o le operazioni, di trasferimento dei dati, dando particolare rilievo agli elementi del trasferimento di cui all’articolo 25 della direttiva.

(4)

Data la diversità dei sistemi di protezione dei dati nei paesi terzi, la valutazione dell’adeguatezza va effettuata, e ogni decisione ai sensi dell’articolo 25, paragrafo 6, della direttiva 95/46/CE va presa e applicata, senza discriminazioni ingiustificate o arbitrarie contro o tra paesi terzi in cui esistono condizioni simili e senza creare ostacoli mascherati al libero scambio, nel rispetto degli attuali impegni internazionali assunti dall’Unione europea.

(5)

Andorra è uno Stato dotato di un sistema di coprincipato parlamentare, in cui le funzioni dei coprincipi sono esercitate dal presidente della Repubblica francese e dall’arcivescovo di Urgell.

(6)

Il diritto alla riservatezza è sancito dall’articolo 14 della costituzione del Principato di Andorra (Constitució del Principat d’Andorra), approvata dal referendum popolare del 14 marzo 1993.

(7)

Ad Andorra, le norme giuridiche a tutela dei dati personali sono ampiamente basate sulle disposizioni della direttiva 95/46/CE e sono iscritte nella legge qualificata n. 15/2003 del 18 dicembre sulla protezione dei dati personali (Llei qualificada de protecció de dades personals, LQPDP). Questa normativa in materia di protezione dei dati personali è completata dal decreto del 1o luglio 2004, che adotta il registro pubblico degli archivi di dati personali, e dal decreto del 9 giugno 2010, che adotta il regolamento dell’Agenzia andorrana per la protezione dei dati. Quest’ultimo strumento chiarisce diverse questioni sollevate, nel suo parere del 1o dicembre 2009, dal gruppo di lavoro sulla tutela delle persone con riguardo al trattamento dei dati personali, istituito dall’articolo 29 della direttiva 95/46/CE (2).

(8)

Disposizioni relative alla protezione dei dati figurano anche in numerosi strumenti giuridici che disciplinano diversi settori, quali la legislazione del settore finanziario, la normativa sanitaria e i registri pubblici.

(9)

Andorra ha ratificato la Convenzione del Consiglio d’Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, del 28 gennaio 1981, e il Protocollo addizionale alla Convenzione sulla protezione delle persone rispetto al trattamento automatizzato dei dati a carattere personale, concernente le autorità di controllo ed i flussi transfrontalieri, dell’8 novembre 2001, nonché la Convenzione del Consiglio d’Europa per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali del 4 novembre 1950, in vigore ad Andorra dal 22 gennaio 1996, e il Patto internazionale relativo ai diritti civili e politici del 16 dicembre 1966, in vigore ad Andorra dal 19 luglio 2006.

(10)

Le norme giuridiche applicabili ad Andorra in materia di protezione dei dati contengono tutti i principi di un adeguato livello di tutela delle persone fisiche e prevedono eccezioni e restrizioni al fine di salvaguardare importanti interessi pubblici. L’applicazione di tali norme è garantita da mezzi di ricorso amministrativi e giurisdizionali e dal controllo indipendente esercitato dall’autorità di controllo, l’Agenzia andorrana per la protezione dei dati, dotata di poteri d’indagine e d’intervento e che opera in piena indipendenza.

(11)

Le autorità andorrane competenti per la protezione dei dati hanno fornito spiegazioni e garanzie relative all’interpretazione della legislazione di Andorra e hanno assicurato che la legislazione in materia di protezione dei dati è applicata conformemente a tale interpretazione. La presente decisione tiene conto di tali spiegazioni e garanzie, dalle quali di conseguenza dipende.

(12)

Si ritiene pertanto che Andorra fornisca adeguati livelli di protezione dei dati personali ai sensi della direttiva 95/46/CE.

(13)

Per salvaguardare la trasparenza e la capacità delle competenti autorità degli Stati membri di garantire la tutela delle persone riguardo al trattamento dei dati personali di queste ultime, vanno precisate le circostanze eccezionali che giustificano la sospensione di particolari flussi di dati, nonostante l’esistenza di un’adeguata tutela.

(14)

Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha espresso un parere favorevole sul livello di adeguatezza della protezione dei dati personali, di cui si è tenuto conto nella stesura della presente decisione (3). In tale parere, il gruppo ha incoraggiato le autorità andorrane a portare avanti il processo di adozione di ulteriori disposizioni che estendano l’applicazione della legislazione di Andorra alle decisioni individuali automatizzate, che attualmente non sono contemplate esplicitamente dalla legge qualificata di Andorra sulla protezione dei dati personali.

(15)

Le misure previste dalla presente decisione sono conformi al parere del comitato istituito ai sensi dell’articolo 31, paragrafo 1, della direttiva 95/46/CE,

a)

un’autorità competente andorrana abbia constatato che il destinatario non rispetta le norme applicabili relative alla protezione; oppure

b)

sia fortemente probabile una violazione delle norme di protezione; vi siano motivi ragionevoli di ritenere che le autorità competenti andorrane non adottino o non intendano adottare misure adeguate e tempestive per risolvere il caso in questione; la continuazione del trasferimento dei dati comporti un rischio imminente di grave pregiudizio per le persone interessate e le autorità competenti degli Stati membri abbiano fatto il possibile, date le circostanze, per avvertire il responsabile del trattamento ad Andorra e dargli la possibilità di replicare.