(notyfikowana jako dokument nr C(2000) 2304)(Tekst mający znaczenie dla EOG)
(2000/518/WE)
(Dz.U.UE L z dnia 25 sierpnia 2000 r.)
KOMISJA WSPÓLNOT EUROPEJSKICH,
uwzględniając Traktat ustanawiający Wspólnotę Europejską,
uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych 1 , w szczególności jej art. 25 ust. 6,
a także mając na uwadze, co następuje:
(1) Na mocy dyrektywy 95/46/WE Państwa Członkowskie są zobowiązane zapewnić, że przekazywanie danych osobowych do państwa trzeciego następuje wyłącznie wtedy, gdy zainteresowane państwo trzecie gwarantuje odpowiedni poziom ochrony oraz, jeśli przed przekazaniem danych, dostosowane zostaną prawa Państwa Członkowskiego wykonujące inne przepisy dyrektywy.
(2) Komisja może stwierdzić, że państwo trzecie gwarantuje właściwy poziom ochrony. W takim przypadku dane osobowe można przekazywać z Państw Członkowskich bez konieczności zapewniania dodatkowych gwarancji.
(3) Na mocy dyrektywy 95/46/WE poziom ochrony danych należy ocenić w świetle wszystkich okoliczności związanych z czynnościami przekazywania danych lub ciągiem czynności przekazywania danych oraz w odniesieniu do określonych warunków. Grupa Robocza ds. Ochrony Osób Prywatnych w odniesieniu do przetwarzania danych osobowych, ustanowiona na mocy tej dyrektywy, wydała wytyczne w sprawie dokonywania takich ocen 2 .
(4) W warunkach zróżnicowanego podejścia państw trzecich do ochrony danych należy przeprowadzić ocenę adekwatności, natomiast wszelkie decyzje podjęte w oparciu o art. 25 ust. 6 dyrektywy 95/46/WE należy wprowadzić w życie w sposób, który, w świetle aktualnych międzynarodowych zobowiązań Wspólnoty, ani arbitralnie, ani z nieusprawiedliwionych powodów, nie dyskryminuje państw trzecich ani nie prowadzi do dyskryminacji między państwami trzecimi, ani też żadnego z państw trzecich, w których obowiązujące prawa nie powodują ani nie stanowią ukrytej bariery na drodze wymiany handlowej.
(5) W odniesieniu do Konfederacji Szwajcarii normy prawne w zakresie ochrony danych osobowych mają wiążący skutek prawny zarówno na poziomie federalnym, jak i na poziomie kantonu.
(6) Konstytucja Federalna, zmieniona przez referendum z dnia 18 kwietnia 1999 r., wprowadzona w życie z dniem 1 stycznia 2000 r., gwarantuje każdej osobie prawo do poszanowania prywatności oraz do ochrony przed nieprawidłowym wykorzystywaniem danych osobowych jej dotyczących w szczególności. Na podstawie poprzedniej Konstytucji, która nie zawierała żadnego przepisu w tym zakresie, Sąd Federalny sformułował orzecznictwo ustanawiające zasady ogólne mające zastosowanie do przetwarzania danych osobowych, uwzględniając w szczególności jakość przetwarzanych danych, prawo dostępu do nich dla osób, których te dane dotyczą, oraz prawo tych osób do żądania wprowadzenia w nich zmian lub zniszczenia danych. Zasady te mają charakter wiążący, zarówno dla Federacji, jak i każdego kantonu.
(7) Szwajcarską ustawę o ochronie danych osobowych z dnia 19 czerwca 1992 r. wprowadzono w życie z dniem 1 lipca 1993 r. Przepisy wykonawcze dotyczące określonych przepisów ustawy, w szczególności, prawa dostępu do danych osobowych osób zainteresowanych, obowiązku powiadamiania niezależnego organu nadzorczego o przetwarzaniu oraz przekazywaniu danych do państwa obcego, ustanowiono na mocy zarządzenia Rady Federalnej. Ustawa ma zastosowanie do przetwarzania danych osobowych przez organy federalne oraz przez cały sektor prywatny, a także do przetwarzania wykonywanego przez organy kantonów na mocy prawa federalnego w przypadku, gdy takie przetwarzanie nie podlega przepisom kantonu w sprawie ochrony danych.
(8) Większość z kantonów przyjęło ustawodawstwo w sprawie ochrony danych osobowych w obszarach, w odniesieniu do których posiadają one odpowiednie kompetencje, w szczególności w odniesieniu do szpitali państwowych, placówek edukacyjnych, bezpośrednich organów podatkowych kantonu oraz policji. W pozostałych kantonach przetwarzanie danych osobowych podlega aktom wykonawczym lub zasadom orzecznictwa kantonalnego. Niezależnie od źródła oraz treści przepisów obowiązujących w kantonach, lub nawet, jeśli takie przepisy nie istnieją, kantony muszą stosować się do zasad konstytucyjnych. W obszarach swoich kompetencji władze kantonów mogą mieć obowiązek przekazania danych osobowych organom administracji państwowej w krajach sąsiadujących, głownie do celów wzajemnej pomocy zmierzającej do zagwarantowania istotnych interesów państwa lub, w przypadku szpitali państwowych, w celu ochrony nadrzędnych swobód osób zainteresowanych.
(9) W dniu 2 października 1997 r. Szwajcaria ratyfikowała Konwencję Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (Konwencja nr 108) 3 , której celem jest zwiększenie ochrony danych osobowych oraz zagwarantowanie swobodnego przepływu danych osobowych między umawiającymi się stronami, z zastrzeżeniem wszelkich wyjątków, które strony te mogą określić. Mimo że Konwencja nie ma bezpośredniego zastosowania, stanowi ona wykładnię zobowiązań międzynarodowych zarówno Federacji, jak i kantonów. Zobowiązania te dotyczą nie tylko podstawowych zasad ochrony danych osobowych, które każda z umawiających się stron musi wprowadzić w ramach swojego wewnętrznego prawodawstwa, ale także mechanizmów współpracy między umawiającymi się stronami. W szczególności właściwe władze szwajcarskie muszą dostarczyć władzom pozostałych stron umowy, które tego żądają, wszelkich informacji w sprawie prawa i praktyk administracyjnych dotyczących ochrony danych osobowych oraz informacji dotyczących wszelkich szczególnych przypadków automatycznego przetwarzania danych osobowych. Muszą one również udzielić pomocy każdej osobie mieszkającej za granicą w egzekwowaniu jej prawa do uzyskiwania informacji na temat przetwarzania danych, które jej dotyczą, jej prawa do dostępu do jej danych osobowych oraz do zwracania się z prośbą o wprowadzenie zmian lub usunięcie danych, a także prawa do korzystania z sądowych środków odwoławczych.
(10) Aby zagwarantować ochronę interesów publicznych, normy prawne mające zastosowanie w Szwajcarii obejmują wszystkie podstawowe zasady niezbędne do zapewnienia właściwego poziomu ochrony osobom fizycznym, nawet jeśli przewidziano również wyjątki oraz ograniczenia. Stosowanie tych norm jest gwarantowane przez sądowe środki odwoławcze oraz przez niezależną kontrolę przeprowadzaną przez takie organy, jak urząd Komisarza Federalnego, posiadający kompetencje w zakresie przeprowadzania śledztwa i podejmowania działań interwencyjnych. Ponadto przepisy ustawodawstwa szwajcarskiego dotyczącego odpowiedzialności cywilnej mają zastosowanie w przypadku nieuprawnionego przetwarzania szkodliwego dla osób zainteresowanych.
(11) W interesie przejrzystości i w celu zabezpieczenia zdolności właściwych organów w Państwach Członkowskich do zagwarantowania osobom prywatnym ochrony w zakresie przetwarzania ich danych osobowych konieczne jest określenie w niniejszej decyzji wyjątkowych okoliczności, w których uzasadnione może być zawieszenie przepływu danych szczególnych, niezależnie od uznania poziomu ochrony za właściwy.
(12) Grupa Robocza ds. Ochrony Osób Prywatnych w zakresie przetwarzania danych osobowych, ustanowiona na mocy art. 29 dyrektywy 95/46/WE, wydała opinie w sprawie poziomu ochrony stosowanego przez prawo szwajcarskie, uwzględnione w niniejszej decyzji 4 .
(13) Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu ustanowionego na podstawie art. 31 dyrektywy 95/46/WE,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
