Rozhodnutí Komise

ze dne 20. prosince 2001

podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů, kterou poskytuje kanadský zákon o ochraně osobních informací a elektronických dokumentech (Personal Information Protection and Electronic Documents Act)

(oznámeno pod číslem K(2001) 4539)

(2002/2/ES)

KOMISE EVROPSKÝCH SPOLEČENSTVÍ,

s ohledem na Smlouvu o založení Evropského společenství,

s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 25 odst. 6 uvedené směrnice,

vzhledem k těmto důvodům:

(1) V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.

(2) Komise může dospět ke zjištění, že třetí země zajišťuje odpovídající úroveň ochrany údajů. V tomto případě lze osobní údaje z členských států předávat, aniž by bylo nezbytné poskytnutí dalších ochranných opatření.

(3) V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů a s ohledem na dané podmínky. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená podle článku 29 směrnice 95/46/ES vydala pokyny k tomuto hodnocení [2].

(4) S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající povahy této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářely skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Společenství.

(5) Kanadský zákon o ochraně osobních informací a elektronických dokumentech (Personal Information Protection and Electronic Documents Act) (dále jen "kanadský zákon") ze dne 13. dubna 2000 [3] se uplatňuje na organizace v soukromém sektoru, které v rámci obchodní činnosti shromažďují, používají nebo zpřístupňují osobní údaje. Tento zákon vstupuje v platnost ve třech etapách:

Od 1. ledna 2001 se uplatňuje kanadský zákon na osobní informace vyjma osobních informací zdravotní povahy, které v rámci své obchodní činnosti shromažďují, používají nebo zpřístupňují organizace, které jsou federálním podnikem. Tyto organizace se nacházejí v odvětvích jako aerolinie, bankovnictví, rozhlasové a televizní vysílání, doprava mezi provinciemi a telekomunikace. Kanadský zákon se rovněž uplatňuje na všechny organizace, které sdělují osobní informace za úplatu příjemcům mimo provincii nebo mimo Kanadu a na údaje o zaměstnancích, které se vztahují na zaměstnance federálního podniku.

Od 1. ledna 2002 se kanadský zákon uplatňuje na osobní informace zdravotní povahy pro organizace a činnosti již zahrnuté v první etapě.

Od 1. ledna 2004 se použitelnost kanadského zákona rozšíří na veškeré organizace, které shromažďují, používají nebo sdělují osobní informace v rámci obchodní činnosti, bez ohledu na to, zda je organizace federálně regulovaným podnikem. Kanadský zákon se neuplatňuje na organizace, na něž se uplatňuje federální zákon na ochranu soukromí (Federal Privacy Act) nebo které podléhají na úrovni provincií regulaci veřejného sektoru, ani na neziskové organizace a charitativní činnosti, nejedná-li se o činnosti komerční povahy. Podobně nezahrnuje údaje o zaměstnancích, používané k nekomerčním účelům, vyjma údajů o zaměstnancích ve federálně regulovaném soukromém sektoru. Další informace o těchto případech může poskytovat kanadský federální zmocněnec pro ochranu soukromí (Federal Privacy Commissioner).

(6) Pro zachování práva provincií vydávat zákony ve svých oblastech soudní pravomoci zákon stanoví, že v případě, že provincie vydá v podstatě stejný zákon, lze udělit výjimku organizacím nebo pro činnosti, které pak podléhají právním předpisům provincie. Čl. 26 odst. 2 zákona o ochraně osobních informací a elektronických dokumentech poskytuje federální vládě pravomoc, že "dojde-li k závěru, že právní předpisy provincie, které jsou v podstatě shodné s touto částí zákona, se uplatňují na organizace, kategorie organizací, činnosti nebo kategorie činností, může vyjmout organizaci, činnost nebo kategorii z uplatňování této části zákona, pokud jde o shromažďování, využívání nebo sdělování osobních informací, které se uskutečňuje v této provincii". Guvernér v Radě (kanadská federální vláda) učiní výjimky v případě v podstatě shodných právních předpisů prostřednictvím nařízení Rady (Order-in-Council).

(7) Pokud provincie přijme právní předpisy, která jsou v podstatě shodné, jsou organizace, kategorie organizací nebo činnosti zahrnuté v těchto právních předpisech vyňaty z uplatňování federálního práva pro transakce v rámci provincie; federální právo se nadále uplatňuje na veškeré shromažďování, využívání a zpřístupňování osobních informací mezi provinciemi a na mezinárodní úrovni, jakož i ve všech případech, kdy provincie nepřijaly právní předpisy, které jsou zcela nebo částečně shodné.

(8) Kanada se dne 29. června 1984 formálně zavázala k dodržování směrnic OECD pro ochranu soukromí a přeshraniční toky osobních údajů. Kanada patřila k zemím, které podporovaly směrnice Spojených národů o automatizovaných souborech s osobními údaji, které přijalo Valné shromáždění dne 14. prosince 1990.

(9) Kanadský zákon obsahuje všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob, i když rovněž stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů a uznání některých informací ve veřejné oblasti. Uplatnění těchto standardů je zaručeno možností využít soudní řešení sporů a nezávislým dozorem vykonávaným orgány, jako je federální zmocněnec pro ochranu soukromí, vybavený pravomocemi k provádění šetření a zásahů. Kromě toho se v případě neoprávněného zpracování údajů, které poškozuje dotyčné osoby, uplatňují ustanovení kanadského zákona o občanskoprávní odpovědnosti.

(10) V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést v tomto rozhodnutí výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.

(11) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená podle článku 29 směrnice 95/46/ES vydala stanovisko k úrovni ochrany zajišťované kanadským zákonem, ke kterému se přihlédlo při přípravě tohoto rozhodnutí [4].

(12) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,

PŘIJALA TOTO ROZHODNUTÍ:

Článek 1

Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Kanada považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných ze Společenství příjemcům podléhajícím zákonu o ochraně osobních informací a elektronických dokumentech (Personal Information Protection and Electronic Documents Act) (dále jen "kanadský zákon").

Článek 2

Toto rozhodnutí se vztahuje výlučně na odpovídající úroveň ochrany zajišťovanou v Kanadě kanadským zákonem s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se uplatňování ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.

Článek 3

1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byla dodržována vnitrostátní ustanovení přijatá na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby zastavily předávání údajů příjemci v Kanadě, jehož činnosti spadají do oblasti působnosti kanadského zákona, s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:

a) pokud příslušný kanadský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo

b) pokud je velmi pravděpodobné, že nebyly dodržovány standardy týkající se ochrany; pokud se lze důvodně domnívat, že příslušný kanadský orgán včas nepřijal nebo nepřijme opatření nezbytná pro vyřešení sporné věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené v Kanadě a poskytly jí příležitost zaujmout stanovisko.

Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování standardů ochrany a jakmile je o jejich plnění informován příslušný orgán ve Společenství.

2. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle odstavce 1.

3. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním toho, aby byly dodržovány standardy ochrany v Kanadě, nejsou dostatečná.

4. Pokud informace shromážděné podle odstavců 1, 2 a 3 prokážou, že kterýkoli subjekt pověřený zajištěním toho, aby byly dodržovány standardy ochrany v Kanadě, neplní účinně svou úlohu, uvědomí o tom Komise příslušný kanadský orgán a bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho působnost.

Článek 4

1. Toto rozhodnutí lze kdykoli upravit s ohledem na zkušenosti s jeho uplatňováním nebo na změny kanadských právních předpisů, včetně opatření týkajících se zjištění toho, že kanadská provincie má v podstatě shodné právní předpisy. Komise zhodnotí provádění tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům a jakékoli relevantní poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, a zejména jakékoli důkazy, které by mohly mít vliv na hodnocení, prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Kanadě odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakékoli důkazy, že se toto rozhodnutí uplatňuje diskriminačním způsobem.

2. Komise předloží, je-li to nezbytné, návrhy opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES.

Článek 5

Členské státy přijmou všechna opatření nezbytná pro dosažení souladu s tímto rozhodnutím nejpozději do devadesáti dnů ode dne jeho oznámení členským státům.

Článek 6

Toto rozhodnutí je určeno členským státům.

V Bruselu dne 20. prosince 2001.

Za Komisi

Frederik Bolkestein

člen Komise

[1] Úř. věst. L 281, 23.11.1995, s. 31.

[2] WP 12: Předávání osobních údajů do třetích zemí: Uplatňování článků 25 a 26 směrnice EU o ochraně údajů, přijaté pracovní skupinou dne 24. července 1998, dostupné na http://europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/wpdocs_98.htm

[3] Elektronické verze zákona jsou k dispozici na: http://www.parl.gc.ca/36/2/parlbus/chambus/house/bills/government/C-6/C-6_4/C-6_cover-E.html a http://www.parl.gc.ca/36/2/parlbus/chambus/house/bills/government/C-6/C-6_4/C-6_cover-F.html. Tištěné verze jsou k dispozici u Public Works and Government Services Canada – Publishing, Ottawa, Kanada K1A 0S9.

[4] Stanovisko 2/2001 o přiměřenosti kanadského zákona o ochraně osobních informací a elektronických dokumentech – WP 39 ze dne 26. ledna 2001, k dispozici na http://europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm.

--------------------------------------------------