Decyzja Komisji

z dnia 26 lipca 2000 r.

na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady w sprawie właściwej ochrony danych osobowych w Szwajcarii

(notyfikowana jako dokument nr C(2000) 2304)

(Tekst mający znaczenie dla EOG)

(2000/518/WE)

KOMISJA WSPÓLNOT EUROPEJSKICH,

uwzględniając Traktat ustanawiający Wspólnotę Europejską,

uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych [1], w szczególności jej art. 25 ust. 6,

a także mając na uwadze, co następuje:

(1) Na mocy dyrektywy 95/46/WE Państwa Członkowskie są zobowiązane zapewnić, że przekazywanie danych osobowych do państwa trzeciego następuje wyłącznie wtedy, gdy zainteresowane państwo trzecie gwarantuje odpowiedni poziom ochrony oraz, jeśli przed przekazaniem danych, dostosowane zostaną prawa Państwa Członkowskiego wykonujące inne przepisy dyrektywy.

(2) Komisja może stwierdzić, że państwo trzecie gwarantuje właściwy poziom ochrony. W takim przypadku dane osobowe można przekazywać z Państw Członkowskich bez konieczności zapewniania dodatkowych gwarancji.

(3) Na mocy dyrektywy 95/46/WE poziom ochrony danych należy ocenić w świetle wszystkich okoliczności związanych z czynnościami przekazywania danych lub ciągiem czynności przekazywania danych oraz w odniesieniu do określonych warunków. Grupa Robocza ds. Ochrony Osób Prywatnych w odniesieniu do przetwarzania danych osobowych, ustanowiona na mocy tej dyrektywy, wydała wytyczne w sprawie dokonywania takich ocen [2].

(4) W warunkach zróżnicowanego podejścia państw trzecich do ochrony danych należy przeprowadzić ocenę adekwatności, natomiast wszelkie decyzje podjęte w oparciu o art. 25 ust. 6 dyrektywy 95/46/WE należy wprowadzić w życie w sposób, który, w świetle aktualnych międzynarodowych zobowiązań Wspólnoty, ani arbitralnie, ani z nieusprawiedliwionych powodów, nie dyskryminuje państw trzecich ani nie prowadzi do dyskryminacji między państwami trzecimi, ani też żadnego z państw trzecich, w których obowiązujące prawa nie powodują ani nie stanowią ukrytej bariery na drodze wymiany handlowej.

(5) W odniesieniu do Konfederacji Szwajcarii normy prawne w zakresie ochrony danych osobowych mają wiążący skutek prawny zarówno na poziomie federalnym, jak i na poziomie kantonu.

(6) Konstytucja Federalna, zmieniona przez referendum z dnia 18 kwietnia 1999 r., wprowadzona w życie z dniem 1 stycznia 2000 r., gwarantuje każdej osobie prawo do poszanowania prywatności oraz do ochrony przed nieprawidłowym wykorzystywaniem danych osobowych jej dotyczących w szczególności. Na podstawie poprzedniej Konstytucji, która nie zawierała żadnego przepisu w tym zakresie, Sąd Federalny sformułował orzecznictwo ustanawiające zasady ogólne mające zastosowanie do przetwarzania danych osobowych, uwzględniając w szczególności jakość przetwarzanych danych, prawo dostępu do nich dla osób, których te dane dotyczą, oraz prawo tych osób do żądania wprowadzenia w nich zmian lub zniszczenia danych. Zasady te mają charakter wiążący, zarówno dla Federacji, jak i każdego kantonu.

(7) Szwajcarską ustawę o ochronie danych osobowych z dnia 19 czerwca 1992 r. wprowadzono w życie z dniem 1 lipca 1993 r. Przepisy wykonawcze dotyczące określonych przepisów ustawy, w szczególności, prawa dostępu do danych osobowych osób zainteresowanych, obowiązku powiadamiania niezależnego organu nadzorczego o przetwarzaniu oraz przekazywaniu danych do państwa obcego, ustanowiono na mocy zarządzenia Rady Federalnej. Ustawa ma zastosowanie do przetwarzania danych osobowych przez organy federalne oraz przez cały sektor prywatny, a także do przetwarzania wykonywanego przez organy kantonów na mocy prawa federalnego w przypadku, gdy takie przetwarzanie nie podlega przepisom kantonu w sprawie ochrony danych.

(8) Większość z kantonów przyjęło ustawodawstwo w sprawie ochrony danych osobowych w obszarach, w odniesieniu do których posiadają one odpowiednie kompetencje, w szczególności w odniesieniu do szpitali państwowych, placówek edukacyjnych, bezpośrednich organów podatkowych kantonu oraz policji. W pozostałych kantonach przetwarzanie danych osobowych podlega aktom wykonawczym lub zasadom orzecznictwa kantonalnego. Niezależnie od źródła oraz treści przepisów obowiązujących w kantonach, lub nawet, jeśli takie przepisy nie istnieją, kantony muszą stosować się do zasad konstytucyjnych. W obszarach swoich kompetencji władze kantonów mogą mieć obowiązek przekazania danych osobowych organom administracji państwowej w krajach sąsiadujących, głownie do celów wzajemnej pomocy zmierzającej do zagwarantowania istotnych interesów państwa lub, w przypadku szpitali państwowych, w celu ochrony nadrzędnych swobód osób zainteresowanych.

(9) W dniu 2 października 1997 r. Szwajcaria ratyfikowała Konwencję Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (Konwencja nr 108) [3], której celem jest zwiększenie ochrony danych osobowych oraz zagwarantowanie swobodnego przepływu danych osobowych między umawiającymi się stronami, z zastrzeżeniem wszelkich wyjątków, które strony te mogą określić. Mimo że Konwencja nie ma bezpośredniego zastosowania, stanowi ona wykładnię zobowiązań międzynarodowych zarówno Federacji, jak i kantonów. Zobowiązania te dotyczą nie tylko podstawowych zasad ochrony danych osobowych, które każda z umawiających się stron musi wprowadzić w ramach swojego wewnętrznego prawodawstwa, ale także mechanizmów współpracy między umawiającymi się stronami. W szczególności właściwe władze szwajcarskie muszą dostarczyć władzom pozostałych stron umowy, które tego żądają, wszelkich informacji w sprawie prawa i praktyk administracyjnych dotyczących ochrony danych osobowych oraz informacji dotyczących wszelkich szczególnych przypadków automatycznego przetwarzania danych osobowych. Muszą one również udzielić pomocy każdej osobie mieszkającej za granicą w egzekwowaniu jej prawa do uzyskiwania informacji na temat przetwarzania danych, które jej dotyczą, jej prawa do dostępu do jej danych osobowych oraz do zwracania się z prośbą o wprowadzenie zmian lub usunięcie danych, a także prawa do korzystania z sądowych środków odwoławczych.

(10) Aby zagwarantować ochronę interesów publicznych, normy prawne mające zastosowanie w Szwajcarii obejmują wszystkie podstawowe zasady niezbędne do zapewnienia właściwego poziomu ochrony osobom fizycznym, nawet jeśli przewidziano również wyjątki oraz ograniczenia. Stosowanie tych norm jest gwarantowane przez sądowe środki odwoławcze oraz przez niezależną kontrolę przeprowadzaną przez takie organy, jak urząd Komisarza Federalnego, posiadający kompetencje w zakresie przeprowadzania śledztwa i podejmowania działań interwencyjnych. Ponadto przepisy ustawodawstwa szwajcarskiego dotyczącego odpowiedzialności cywilnej mają zastosowanie w przypadku nieuprawnionego przetwarzania szkodliwego dla osób zainteresowanych.

(11) W interesie przejrzystości i w celu zabezpieczenia zdolności właściwych organów w Państwach Członkowskich do zagwarantowania osobom prywatnym ochrony w zakresie przetwarzania ich danych osobowych konieczne jest określenie w niniejszej decyzji wyjątkowych okoliczności, w których uzasadnione może być zawieszenie przepływu danych szczególnych, niezależnie od uznania poziomu ochrony za właściwy.

(12) Grupa Robocza ds. Ochrony Osób Prywatnych w zakresie przetwarzania danych osobowych, ustanowiona na mocy art. 29 dyrektywy 95/46/WE, wydała opinie w sprawie poziomu ochrony stosowanego przez prawo szwajcarskie, uwzględnione w niniejszej decyzji [4].

(13) Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu ustanowionego na podstawie art. 31 dyrektywy 95/46/WE,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Do celów art. 25 ust. 2 dyrektywy 95/46/WE, w odniesieniu do wszystkich działań wchodzących w zakres niniejszej dyrektywy, uznaje się, iż Szwajcaria zapewnia właściwy poziom ochrony danych osobowych przekazywanych ze Wspólnoty.

Artykuł 2

Niniejsza decyzja dotyczy wyłącznie właściwości ochrony w Szwajcarii, z punktu widzenia spełniania wymogów art. 25 ust. 1 dyrektywy 95/46/WE i nie dotyczy pozostałych warunków ani ograniczeń w wykonywaniu innych przepisów niniejszej dyrektywy dotyczących przetwarzania danych osobowych w Państwach Członkowskich.

Artykuł 3

1. Bez uszczerbku dla ich kompetencji do podejmowania działań zmierzających do zagwarantowania zgodności z przepisami krajowymi przyjętymi zgodnie z przepisami innymi niż zawarte w art. 25 dyrektywy 95/46/WE właściwe władze w Państwach Członkowskich mogą wykonywać obecne uprawnienia do zawieszenia przepływu danych do ich odbiorców w Szwajcarii w celu ochrony osób prywatnych w odniesieniu do przetwarzania ich danych osobowych w przypadku, gdy:

a) właściwy organ szwajcarski ustalił, że odbiorca narusza obowiązujące normy ochrony; lub

b) istnieje wysokie prawdopodobieństwo, że normy ochrony są naruszane; istnieją uzasadnione podstawy, aby domniemywać, iż właściwy organ szwajcarski nie podejmuje lub nie podejmie właściwych i natychmiastowych kroków zmierzających do rozstrzygnięcia sprawy; dalsze przekazywanie danych spowodowałoby realne niebezpieczeństwo wyrządzenia szkody osobom, których dotyczą dane osobowe, a właściwe organy w Państwie Członkowskim podjęły odpowiednie w tych okolicznościach wysiłki w celu dostarczenia stronie odpowiedzialnej za przetwarzanie ustanowione w Szwajcarii powiadomienia o powyższym oraz umożliwienia jej udzielenia odpowiedzi.

Zawieszenie przepływu danych ustaje z chwilą, gdy normy ochrony zostają zapewnione, a właściwy zainteresowany organ we Wspólnocie zostaje o tym powiadomiony.

2. Państwa Członkowskie niezwłocznie powiadomią Komisję o przyjęciu środków na podstawie ust. 1.

3. Państwa Członkowskie oraz Komisja powiadomią się wzajemnie o przypadkach, gdy działania organów odpowiedzialnych za zapewnianie zgodności z normami ochrony w Szwajcarii nie gwarantują takiej zgodności.

4. Jeśli informacje zebrane w oparciu o ust. 1, 2 i 3 dowodzą, iż żaden organ odpowiedzialny za zapewnienie zgodności z normami ochrony w Szwajcarii nie pełni skutecznie swojej roli, Komisja powiadomi o tym właściwy organ szwajcarski i, jeśli to konieczne, przedstawi projekt środków zgodnych z procedurą ustanowioną na mocy art. 31 dyrektywy 95/46/WE w odniesieniu do uchylenia lub zawieszania niniejszej decyzji lub ograniczania jej zakresu.

Artykuł 4

1. Niniejsza decyzja może zostać zmieniona w dowolnym momencie w świetle doświadczenia w zakresie jej funkcjonowania lub w wyniku zmian w ustawodawstwie szwajcarskim.

Komisja oceni funkcjonowanie niniejszej decyzji w oparciu o dostępne informacje, trzy lata po jej notyfikowaniu Państwom Członkowskim, oraz przekaże wszelkie stosowne wnioski komitetowi ustanowionemu na podstawie art. 31 dyrektywy 95/46/WE, w tym także wszelkie dowody, które mogłyby wpłynąć na zapisy zawarte w art. 1 niniejszej decyzji stwierdzające, że ochrona danych w Szwajcarii jest odpowiednia w rozumieniu art. 25 dyrektywy 95/46/WE, oraz które mogą wykazać, że niniejsza decyzja jest stosowana w sposób dyskryminacyjny.

2. Komisja, w razie potrzeby, przedstawi projekt środków zgodnych z procedurą ustanowioną na mocy art. 31 dyrektywy 95/46/WE.

Artykuł 5

Państwa Członkowskie podejmą wszelkie wysiłki niezbędne do wykonania niniejszej decyzji najpóźniej przed upływem okresu 90 dni od dnia jej notyfikacji Państwom Członkowskim.

Artykuł 6

Niniejsza decyzja skierowana jest do Państw Członkowskich.

Sporządzono w Brukseli, dnia 26 lipca 2000 r.

W imieniu Komisji

Frederik Bolkestein

Członek Komisji

[1] Dz.U. L 281 z 23.11.1995, str. 31.

[2] Opinia 12/98, przyjęta przez Komisję w dniu 24.7.1998: "Przekazywanie danych osobowych do państw trzecich. Stosowanie artykułu 25 i 26 dyrektywy UE w sprawie ochrony danych" (DG MARKT D/5025/98), dostępna na stronie internetowej Europa prowadzonej przez Komisję Europejską: http://europa.eu.int/comm/ internal_market/en/media/dataprot/wpdocs/ index.htm.

[3] Dostępna na stronie internetowej: http://conventions.coe.int/treaty/EN/cadreintro.htm.

[4] Opinia 5/99 przyjęta przez Komisję dnia 7 czerwca 1999 (DG MARKT 5054/99), dostępna na stronie internetowej Europa podanej w przypisie 2.

--------------------------------------------------