Decyzja 2003/490/WE na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady w sprawie właściwej ochrony danych osobowych w Argentynie

DECYZJA KOMISJI

z dnia 30 czerwca 2003 r.

na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady w sprawie właściwej ochrony danych osobowych w Argentynie

(Tekst mający znaczenie dla EOG)

(2003/490/WE)

(Dz.U.UE L z dnia 5 lipca 2003 r.)

KOMISJA WSPÓLNOT EUROPEJSKICH,

uwzględniając Traktat ustanawiający Wspólnotę Europejską,

uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych ¹ , w szczególności jej art. 25 ust. 6,

a także mając na uwadze, co następuje:

(1) Na mocy dyrektywy 95/46/WE Państwa Członkowskie są zobowiązane zapewnić, by przekazanie danych osobowych do państwa trzeciego miało miejsce tylko wtedy, gdy dane państwo trzecie zapewni właściwy poziom ochrony i gdy przed dokonaniem przekazania zastosuje się do prawa Państwa Członkowskiego wykonującego inne przepisy dyrektywy.

(2) Komisja może stwierdzić, że państwo trzecie zapewnia odpowiedni poziom ochrony. W takim przypadku dane osobowe można przekazywać z Państw Członkowskich bez konieczności zapewniania dodatkowych gwarancji.

(3) W zastosowaniu dyrektywy 95/46/WE poziom ochrony danych powinien być oceniany w świetle wszystkich okoliczności związanych z działaniami odnoszącymi się do przekazania danych albo zespołu działań odnoszących się do przekazania danych oraz szczególnie uwzględniona ilość elementów odnoszących się do przekazania oraz wymienionych w jego art. 25 ust. 2. Grupa robocza ds. ochrony osób fizycznych w odniesieniu do przetwarzania danych osobowych, ustanowiona na mocy art. 29 dyrektywy 95/46/WE, wydała poradnik w sprawie dokonywania takich ocen ² .

(4) W warunkach zróżnicowanego podejścia w państwach trzecich do ochrony danych należy przeprowadzić ocenę adekwatności, natomiast wszelkie decyzje podjęte w oparciu o art. 25 ust. 6 dyrektywy 95/46/WE należy wprowadzić w życie w sposób, który, w świetle aktualnych międzynarodowych zobowiązań Wspólnoty, ani arbitralnie, ani z nieusprawiedliwionych powodów, nie dyskryminuje państw trzecich ani nie prowadzi do dyskryminacji między państwami trzecimi, ani też żadnego z państw trzecich, w których obowiązujące prawa nie powodują ani nie stanowią ukrytej bariery na drodze wymiany handlowej.

(5) W odniesieniu do Argentyny normy prawne w sprawie ochrony danych osobowych zostały przewidziane w zasadach ogólnych oraz szczególnych w odniesieniu do danych sektorów. Zarówno jedne, jak i drugie zasady mają wiążący skutek prawny.

(6) Ogólne zasady zostały ustanowione w konstytucji, ustawie o ochronie danych osobowych nr 25.326 oraz rozporządzeniu przyjętym dekretem nr 1558/2001 (zwanej dalej "Ustawą argentyńską").

(7) Argentyńska konstytucja przewiduje szczególne zaskarżenie w odniesieniu do ochrony danych osobowych, znane jako "habeas data". Jest to podkategoria procedury zawartej w Konstytucji w odniesieniu do ochrony praw konstytucyjnych i dlatego ustanawia ochronę danych osobowych prawem podstawowym. Zgodnie z art. 43.3 konstytucji każda osoba jest uprawniona, zgodnie z zasadą "habeas data", do zaznajomienia się i celu wszystkich danych odnoszących się do niego lub do niej, zawartych w zbiorach publicznych lub bankach danych, lub zbiorach prywatnych, których celem jest dostarczanie zbiorów. Zgodnie z tym artykułem w przypadku zafałszowania informacji lub użycia ich w celach dyskryminacyjnych, osoba będzie mogła zażądać usunięcia, poprawienia, poufności lub uaktualnienia danych zawartych w wyżej wymienionych zbiorach. Ten artykuł nie będzie miał skutku w odniesieniu do poufności źródeł informacji dziennikarskich. Argentyńskie orzeczenia uznały "habeas data" za podstawowe i bezpośrednio stosowane prawo.

(8) Ustawa o ochronie danych osobowych nr 25.326 z dnia 4 października 2000 r. (zwana dalej "ustawą") rozwija i rozszerza postanowienia konstytucji. Ustawa ta zawiera przepisy odnoszące się do ogólnych zasad ochrony danych, prawa osób podlegających ustawie, obowiązki kontrolerów danych oraz użytkowników danych, organu nadzorczego lub kontrolującego, sankcje oraz zasady stosowania "habeas data" jako środka zaskarżenia.

(9) Rozporządzenie, potwierdzone przez dekret nr 1558/2001 z dnia 3 grudnia 2001 r. (zwane dalej "rozporządzeniem"), ustanawia zasady wydania ustawy, uzupełnia jej przepisy, oraz wyjaśnia punkty ustawy, na podstawie których można przyjąć różniące się jej wykładnie.

(10) Ustawa argentyńska obejmuje ochronę danych osobowych zarejestrowanych w zbiorach danych, rejestrach, bankach danych oraz innych środkach technicznych, które są prywatne, a których celem jest dostarczanie sprawozdań. Obejmuje to te, które wykraczają poza użytkowanie wyłącznie osobiste, oraz te, które są przeznaczone do oceny lub przekazania danych osobowych, bez względu na to, czy obrót danymi lub wytworzonymi informacjami ma być przeznaczony do pobierania opłat czy wolny od opłat.

(11) Niektóre przepisy tej ustawy stosuje się jednolicie w Argentynie. Obejmują one przepisy ogólne oraz przepisy dotyczące ogólnych zasad ochrony danych, praw osób podlegających ustawie, obowiązki kontrolerów danych oraz użytkowników zbiorów danych, rejestrów oraz banków danych, sankcji karnych oraz główne cechy zaskarżenia "habeas data" określone w konstytucji.

(12) Inne przepisy ustawy stosuje się do rejestrów, zbiorów danych, baz danych lub banków danych, które są powiązane ze sobą poprzez sieci na poziomach międzyjurysdykcyjnym (to znaczy "międzyprowincjonalnym"), krajowym lub międzynarodowym oraz które uważa się za podlegające jurysdykcji federalnej. Przepisy te dotyczą kontroli wykonywanej przez organ nadzorczy, sankcje wywołane przez organ nadzorczy oraz regulamin dotyczący zaskarżenia "habeas data". Inne rodzaje rejestrów, zbiorów danych, baz danych lub banków danych powinno być uważane za objęte jurysdykcją prowincjonalną. Prowincje mogą wydawać przepisy prawa dotyczące tych spraw.

(13) Przepisy o ochronie danych znajdują się także w szeregu instrumentów prawnych regulujących różne sektory, takich jak transakcje przy użyciu kart kredytowych, statystyki, bankowość lub zdrowie.

(14) Ustawa argentyńska obejmuje wszystkie zasady niezbędne w odniesieniu do odpowiedniego poziomu bezpieczeństwa osób fizycznych, nawet jeżeli wyjątki i ograniczenia są przewidziane w celu ochrony ważnych interesów publicznych. Stosowanie tych norm jest gwarantowane przez szczególne, uproszczone oraz pilne zaskarżenie w odniesieniu do ochrony danych osobowych, znane jako "habeas data", zgodnie z powszechnymi prawnymi środkami zaradczymi. Ustawa przewiduje ustanowienie organu kontrolującego ochronę danych, odpowiedzialnego za podejmowanie wszelkich działań niezbędnych w celu zapewnienia zgodności z celami i przepisami ustawy oraz wyposażonego w kompetencje śledcze i interwencyjne. W zastosowaniu rozporządzenia utworzona została jako organ kontrolny Krajowa Dyrekcja Ochrony Danych Osobowych. Argentyńska ustawa przewiduje skuteczne sankcje odstraszające zarówno o charakterze administracyjnym, jak i karnym. Ponadto przepisy ustawy argentyńskiej dotyczące odpowiedzialności cywilnej (zarówno umownej, jak i pozaumownej) stosuje się w przypadku bezprawnego przetwarzania, które jest szkodliwe w odniesieniu do osób zainteresowanych.

(15) Rząd argentyński dostarcza wyjaśnień oraz zapewnień odnośnie do wykładni ustawy argentyńskiej oraz zapewnił, że argentyńskie zasady ochrony danych są wprowadzane w życie zgodnie z taką wykładnią. Niniejsza decyzja oparta jest na tych wyjaśnieniach oraz zapewnieniach i dlatego od nich zależy. W szczególności niniejsza decyzja opiera się na wyjaśnieniach oraz zapewnieniach przedstawionych przez władze argentyńskie co do wykładni ustawy argentyńskiej w odniesieniu do tego, które sytuacje wchodzą w zakres ustawy argentyńskiej o ochronie danych.

(16) Argentyna powinna więc być traktowana jako państwo zapewniające odpowiedni poziom bezpieczeństwa w odniesieniu do danych osobowych, określonych w dyrektywie 95/46/WE.

(17) W interesie przejrzystości i w celu zabezpieczenia zdolności właściwych organów w Państwach Członkowskich do zagwarantowania osobom fizycznym ochrony w zakresie przetwarzania ich danych osobowych niezbędne jest określenie w niniejszej decyzji wyjątkowych okoliczności, w których uzasadnione może być zawieszenie przepływu danych szczególnych, niezależnie od uznania poziomu ochrony za właściwy.

(18) Grupa robocza ds. ochrony osób fizycznych w odniesieniu do przetwarzania danych osobowych, utworzona na podstawie art. 29 dyrektywy 95/46/WE dostarczyła opinii w sprawie poziomu ochrony danych osobowych w Argentynie ³ , która została uwzględniona przy sporządzaniu niniejszej decyzji.

(19) Środki przewidziane w niniejszej decyzji są zgodne z opinią komitetu ustanowionego na podstawie art. 31 ust. 1 dyrektywy 95/46/WE,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Do celów art. 25 ust. 2 dyrektywy 95/46/WE Argentyna jest traktowana jako państwo zapewniające odpowiedni poziom bezpieczeństwa w odniesieniu do danych osobowych przekazywanych ze Wspólnoty.

Artykuł  2

Niniejsza decyzja dotyczy wyłącznie właściwości ochrony w Argentynie, z punktu widzenia spełniania wymagań art. 25 ust. 1 dyrektywy 95/46/WE i nie dotyczy pozostałych warunków ani ograniczeń w wykonywaniu innych przepisów niniejszej dyrektywy dotyczących przetwarzania danych osobowych w Państwach Członkowskich.

Artykuł  3 ⁴

 

W przypadku gdy właściwe organy w państwach członkowskich wykonują swoje uprawnienia na podstawie art. 28 ust. 3 dyrektywy 95/46/WE, co prowadzi do zawieszenia lub ostatecznego zakazu przepływu danych do Argentyny w celu ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych, dane państwo członkowskie bezzwłocznie informuje o tym Komisję, która przekazuje tę informację pozostałym państwom członkowskim.

Artykuł  3a ⁵

 

1. Komisja na bieżąco monitoruje zmiany w argentyńskim porządku prawnym, które mogłyby wpłynąć na funkcjonowanie niniejszej decyzji, w tym zmiany dotyczące dostępu organów publicznych do danych osobowych, aby ocenić, czy Argentyna nadal zapewnia odpowiedni stopień ochrony danych osobowych.

2. Państwa członkowskie i Komisja informują się nawzajem o przypadkach, w których działania organów odpowiedzialnych za zapewnianie zgodności z normami ochrony w Argentynie nie gwarantują takiej zgodności.

3. Państwa członkowskie i Komisja informują się nawzajem o wszelkich przesłankach wskazujących, że ingerencje argentyńskich organów publicznych, które odpowiadają za bezpieczeństwo narodowe, egzekwowanie prawa lub realizację innych celów interesu publicznego, w prawo osób fizycznych do ochrony ich danych osobowych wykraczają poza to, co jest ściśle niezbędne, lub że nie zapewniono żadnej skutecznej ochrony prawnej przed takimi ingerencjami.

4. Jeżeli dowody wskazują, że odpowiedni poziom ochrony nie jest już zapewniony, w tym w sytuacjach, o których mowa w ust. 2 i 3 niniejszego artykułu, Komisja powiadamia właściwy organ argentyński oraz, w razie konieczności, przedstawia projekt środków zgodnie z procedurą, o której mowa w art. 31 ust. 2 dyrektywy 95/46/WE, w celu uchylenia, zawieszenia lub ograniczenia zakresu niniejszej decyzji.

Artykuł  4

1. Niniejsza decyzja może zostać zmieniona w dowolnym momencie w świetle uzyskanego doświadczenia o jej funkcjonowaniu lub zmianach w ustawodawstwie argentyńskim, jego wprowadzeniu w życie lub wykładni.

Komisja dokonuje oceny wprowadzenia w życie niniejszej decyzji oraz składa sprawozdania o odnośnych zebranych informacjach komitetowi ustanowionemu na mocy art. 31 dyrektywy 95/46/WE, zawierające wszelkie informacje, które mogą wpływać na ocenę dokonaną w art. 1 niniejszej decyzji, odnośnie do odpowiedniego poziomu ochrony zapewnionego w Argentynie w rozumieniu art. 25 dyrektywy 95/46/WE oraz wszelkie informacje wskazujące, że niniejsza decyzja jest stosowana w sposób dyskryminujący.

2. Komisja, w razie potrzeby, przedstawia projekt środków zgodnie z procedurą określoną w art. 31 ust. 2 dyrektywy 95/46/WE.

Artykuł  5

Państwa Członkowskie podejmują wszelkie niezbędne środki, by dostosować się do niniejszej decyzji najpóźniej do końca okresu 120 dni od daty jej notyfikacji Państwom Członkowskim.

Artykuł  6

Niniejsza decyzja skierowana jest do Państw Członkowskich.

Sporządzono w Brukseli, dnia 30 czerwca 2003 r.

	W imieniu Komisji
	Frederik BOLKESTEIN
	Członek Komisji

http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wpdocs_98.htm.

http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wpdocs/index.htm.

1 Dz.U. L 281 z 23.11.1995, str. 31.

2 Opinia 12/98, przyjęta przez grupę roboczą w dniu 24 lipca 1998 r.: Przekazywanie danych osobowych do państw trzecich: w zastosowaniu art. 25 i 26 dyrektywy o ochronie danych (DG MARKT D/5025/98), dostępnej na, stronie internetowej Komisji Europejskiej "Europa":

3 Opinia 4/2002 w sprawie poziomu ochrony danych osobowych w Argentynie - WP 63 z dnia 3 października 2002 r. jest dostępna na:

4 Art. 3 zmieniony przez art. 3 pkt 1 decyzji nr (UE) 2016/2295 z dnia 16 grudnia 2016 r. (Dz.U.UE.L.2016.344.83) zmieniającej nin. decyzję z dniem notyfikacji.

5 Art. 3a dodany przez art. 3 pkt 2 decyzji nr (UE) 2016/2295 z dnia 16 grudnia 2016 r. (Dz.U.UE.L.2016.344.83) zmieniającej nin. decyzję z dniem notyfikacji.

• Identyfikator: Dz.U.UE.L.2003.168.19
• Rodzaj: Decyzja
• Tytuł: Decyzja 2003/490/WE na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady w sprawie właściwej ochrony danych osobowych w Argentynie
• Data aktu: 30/06/2003
• Data ogłoszenia: 05/07/2003
• Data wejścia w życie: 01/05/2004, 05/07/2003