(notyfikowana jako dokument nr C(2001) 4539)(2002/2/WE)
(Dz.U.UE L z dnia 4 stycznia 2002 r.)
KOMISJA WSPÓLNOT EUROPEJSKICH,
uwzględniając Traktat ustanawiający Wspólnotę Europejską,
uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych 1 , w szczególności jej art. 25 ust. 6,
a także mając na uwadze, co następuje:
(1) Na mocy dyrektywy 95/46/WE Państwa Członkowskie są zobowiązane do zabezpieczenia, aby przekazanie danych osobowych do państwa trzeciego mogło odbywać się tylko w sytuacji, gdy dane państwo trzecie zapewnia odpowiedni poziom ochrony i jeżeli przepisy prawne Państw Członkowskich wprowadzające pozostałe przepisy dyrektywy są zastosowane przed przekazaniem danych.
(2) Komisja może określić, że państwo trzecie zapewnia właściwy poziom ochrony. W takim przypadku dane osobowe mogą być przekazywane z Państw Członkowskich bez potrzeby dodatkowych gwarancji.
(3) Na mocy dyrektywy 95/46/WE poziom ochrony danych powinien być oceniany w świetle okoliczności towarzyszących operacji przekazywania danych lub zestawu operacji przekazywania danych oraz w odniesieniu do danych warunków. Grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, ustanowiona na mocy art. 29 dyrektywy 95/46/WE, wydała wytyczne w sprawie wykonywania takich ocen 2 .
(4) Mając na uwadze różne podejście do ochrony danych w państwach trzecich, należy przeprowadzić właściwą ocenę i podjąć decyzję na podstawie art. 25 ust. 6 dyrektywy 95/46/WE oraz zastosować ją w sposób, który nie powoduje arbitralnej lub nieuzasadnionej dyskryminacji państw trzecich ani żadnego z nich tam, gdzie przeważają podobne warunki ochrony, ani nie tworzy ukrytych barier rynkowych, przy jednoczesnym uwzględnieniu obecnych zobowiązań międzynarodowych Wspólnoty.
(5) Ustawa kanadyjska o ochronie informacji osobowych i dokumentów elektronicznych ("ustawa kanadyjska") z dnia 13 kwietnia 2000 r. 3 stosuje się do organizacji sektora prywatnego, które zbierają, wykorzystują lub ujawniają informacje osobowe w trakcie działalności komercyjnej. Wchodzi ona w życie w trzech etapach:
Począwszy od dnia 1 stycznia 2001 r., ustawa kanadyjska stosuje się do informacji osobowych, poza informacjami osobowymi o zdrowiu, które organizacja, będąca instytucją federalną, przedsiębiorstwem lub firmą, zbiera, wykorzystuje lub ujawnia w trakcie działalności komercyjnej. Organizacje te znajdują się w sektorach takich, jak linie lotnicze, bankowość, nadawcy radiowi i telewizyjni, transport międzyregionalny i telekomunikacja. Ustawę kanadyjską stosuje się również do wszystkich organizacji, które przekazują informacje osobowe do wykorzystania poza granicami prowincji lub Kanady oraz do informacji osobowych odnoszących się do pracowników instytucji federalnych, przedsiębiorstw lub firm.
Począwszy od dnia 1 stycznia 2002 r., ustawę kanadyjską stosuje się do informacji osobowych o zdrowiu w przypadku organizacji i przedsiębiorstw objętych pierwszym etapem.
Począwszy od dnia 1 stycznia 2004 r., ustawa kanadyjska obejmuje każdą organizację, która zbiera, wykorzystuje lub ujawnia informacje osobowe w trakcie działalności komercyjnej, niezależnie od tego, czy działa ona na prawie federalnym czy nie. Ustawa kanadyjska nie stosuje się do organizacji, do których stosuje się ustawę federalną o ochronie prywatności, lub które są regulowane przez sektor publiczny na poziomie prowincji, ani do organizacji typu non-profit i prowadzących działalność charytatywną, pod warunkiem że nie ma ona charakteru komercyjnego. Podobnie nie obejmuje danych pracowniczych w sektorze prywatnym działającym na prawie federalnym. Kanadyjski Federalny Komisarz ds. Ochrony Prywatności może w takich przypadkach dostarczyć dodatkowych informacji.
(6) W celu respektowania prawa prowincji do działań legislacyjnych w ich obszarach jurysdykcji, ustawa przewiduje, że przy uchwaleniu zasadniczo podobnych aktów prawnych prowincji wyłączone mogą być organizacje lub przedsiębiorstwa objęte ustawodawstwem prowincji o prywatności. Sekcja 26 ust. 2 ustawy kanadyjskiej o ochronie informacji osobowych i dokumentów elektronicznych daje pełnomocnictwo rządowi federalnemu "do włączenia organizacji, działalności grupy ze stosowania niniejszej części w odniesieniu do zbierania, wykorzystywania lub ujawniania informacji osobowych w obrębie prowincji, które są zasadniczo podobne do niniejszej części, stosują się do organizacji, grupy organizacji, działalności lub grupy działalności". Przewodniczący Rady (kanadyjski rząd federalny) dokonuje wyłączenia dla zasadniczo podobnych aktów prawnych poprzez instrukcje wewnętrzne Rady.
(7) W przypadku gdy prowincja przyjmuje prawo podobne do federalnego, wówczas organizacje, grupy organizacji lub działalności są wyłączane ze stosowania prawa federalnego dla transakcji między prowincjami; prawo federalne nadal stosuje się do zbierania, wykorzystywania lub ujawniania informacji osobowych na szczeblu międzynarodowym i z prowincji, z jak również we wszystkich przypadkach gdy prowincje nie utworzyły zasadniczo podobnych przepisów prawnych w całości lub części.
(8) Kanada formalnie przystąpiła do Wytycznych OECD z 1980 r. w sprawie ochrony prywatności i transgranicznych przepływów danych osobowych z dnia 29 czerwca 1984 r. Kanada była jednym z państw, które poparły wytyczne Organizacji Narodów Zjednoczonych w sprawie skomputeryzowanych archiwów danych osobowych, przyjętych przez Zgromadzenie Ogólne dnia 14 grudnia 1990 r.
(9) Ustawa kanadyjska obejmuje podstawowe zasady niezbędne do zapewnienia właściwego poziomu ochrony dla osób fizycznych, nawet jeśli przewiduje wyjątki i ograniczenia w celu zabezpieczenia ważnych interesów publicznych oraz uznaje, że niektóre informacje należą do domeny publicznej. Stosowanie tych norm gwarantowane jest poprzez sądowe postępowanie odwoławcze oraz niezależny nadzór władz, takich jak Komisarz Federalny ds. Ochrony Prywatności, wyposażony w kompetencje do ścigania i interwencji. Poza tym przepisy prawa kanadyjskiego dotyczące odpowiedzialności cywilnej stosują się w przypadku nieuprawnionego przetwarzania, działającego na szkodę ludzi, których dotyczy.
(10) Dla przejrzystości i w celu zabezpieczenia zdolności właściwych władz w Państwach Członkowskich do zapewnienia ochrony osób fizycznych w zakresie przetwarzania ich danych osobowych, niezbędne jest określenie w niniejszej decyzji sytuacji wyjątkowych, w których usprawiedliwione jest zawieszenie ściśle określonych przepływów danych, niemniej szukając środków do właściwej ich ochrony.
(11) Grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych ustanowiona na mocy art. 29 dyrektywy 95/46/WE, dostarczyła opinię w sprawie poziomu ochrony przewidzianej ustawą kanadyjską, która została uwzględniona w przygotowaniu niniejszej decyzji 4 .
(12) Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu ustanowionego na mocy art. 31 dyrektywy 95/46/WE,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
