Serie Generale n. 44 del 23-2-2011
DECRETI E DELIBERE DI ALTRE AUTORITA'
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
DELIBERAZIONE 3 febbraio 2011
Autorizzazione al trasferimento di dati personali dal territorio dello Stato verso il Principato di Andorra. (Deliberazione n. 47). (11A02385) (GU Serie Generale n.44 del 23-02-2011)

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del Prof. Francesco Pizzetti,
presidente, del dott. Giuseppe Chiaravalloti, vice-presidente, del
dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del
dott. Daniele De Paoli, segretario generale;
Visto l'art. 25, paragrafi 1 e 2, della direttiva 95/46/CE del
Parlamento europeo e del Consiglio del 24 ottobre 1995 secondo cui i
dati personali possono essere trasferiti in un paese non appartenente
all'Unione europea qualora il paese terzo garantisca un livello di
protezione adeguato, secondo quanto previsto nel paragrafo 2 del
medesimo articolo;
Visto il paragrafo 6 del medesimo art. 25 secondo il quale la
Commissione europea può constatare che un paese terzo garantisce un
livello di protezione adeguato ai sensi del citato paragrafo 2, ai
fini della tutela della vita privata o dei diritti e delle libertà
fondamentali della persona;
Vista la decisione della Commissione europea del 19 ottobre 2010 n.
2010/625/UE (pubblicata nella Gazzetta Ufficiale delle Comunità
europee L277/27 del 21 ottobre 2010), con la quale si è ritenuto che
il Principato di Andorra garantisce un livello adeguato di protezione
dei dati personali trasferiti dall'Unione europea;
Considerato che gli Stati membri europei devono adottare le misure
necessarie per conformarsi alla decisione della Commissione, ai sensi
del citato art. 25, paragrafo 6 della direttiva;
Visto l'art. 44, comma 1, lett. b) del Codice in materia di
protezione dei dati personali (d.lg. n. 196/2003), secondo il quale
il trasferimento dei dati personali diretto verso paesi non
appartenenti all'Unione europea può avvenire quando sia autorizzato
dal Garante sulla base di adeguate garanzie per i diritti
dell'interessato individuate con le decisioni della Commissione
previste dagli artt. 25, paragrafo 6, e 26, paragrafo 4, della
direttiva 95/46/CE;
Considerata l'esigenza di adottare un provvedimento necessario per
l'applicazione della decisione della Commissione in conformità al
citato art. 44, comma 1, lett. b);
Ritenuto che le norme vigenti nel Principato di Andorra relative
alla protezione dei dati personali, in base alla valutazione svolta
dalla Commissione europea, prevedono garanzie per i diritti
dell'interessato che, in conformità al diritto comunitario, vanno
ritenute adeguate in base al citato art. 44, comma 1, lett. b);
Visto l'art. 3 della decisione in tema di controlli e provvedimenti
delle autorità di garanzia degli Stati membri sulla liceità e
correttezza dei trasferimenti, anche in relazione a quanto previsto
dall'art. 4 della direttiva 95/46/CE sul diritto nazionale
applicabile;
Ritenuta la necessità di assicurare ulteriore pubblicità alla
predetta decisione della Commissione europea disponendo la sua
pubblicazione nella Gazzetta Ufficiale della Repubblica italiana in
allegato alla presente autorizzazione;
Vista la documentazione d'ufficio;
Viste le osservazioni dell'Ufficio, formulate dal segretario
generale ai sensi dell'art. 15 del regolamento del Garante, n.
1/2000;
Relatore il prof. Francesco Pizzetti;

Tutto ciò premesso il garante:

1. fatta salva l'applicazione delle ulteriori disposizioni previste
dal Codice in materia di protezione dei dati personali, autorizza i
trasferimenti di dati personali dal territorio dello Stato verso il
Principato di Andorra, con effetto dal termine previsto dall'art. 6
della decisione della Commissione europea del 19 ottobre 2010 n.
2010/625/UE e in conformità alla decisione medesima;
2. si riserva, in conformità alla normativa comunitaria, al Codice
in materia di protezione dei dati personali e all'art. 3 della
decisione della Commissione, di svolgere i necessari controlli sulla
liceità e correttezza dei trasferimenti di dati e di adottare
eventuali provvedimenti di blocco o di divieto di trasferimento;
3. dispone la trasmissione del presente provvedimento e
dell'allegata decisione della Commissione all'Ufficio pubblicazione
leggi e decreti del Ministero della giustizia per la sua
pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 3 febbraio 2011

Il Presidente e relatore: Pizzetti


Il segretario generale: De Paoli

Allegato

DECISIONI

DECISIONE DELLA COMMISSIONE del 19 ottobre 2010

ai sensi della direttiva 95/46/CE del Parlamento europeo e del
Consiglio sull'adeguata protezione dei dati personali ad Andorra

[notificata con il numero C(2010) 7084]
(Testo rilevante ai fini del SEE)
(2010/625/UE)

LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio,
del 24 ottobre 1995, relativa alla tutela delle persone fisiche con
riguardo al trattamento dei dati personali, nonchè alla libera
circolazione di tali dati1 , in particolare l'articolo 25,
paragrafo 6,
--------
 1
GU L 281 del 23.11.1995, pag. 31.

sentito il Garante europeo della protezione dei dati,
considerando quanto segue:

(1) Ai sensi della direttiva 95/46/CE, gli Stati membri devono far
sì che il trasferimento di dati personali a un paese terzo abbia
luogo solo se il paese in questione garantisce adeguati livelli di
protezione e dopo aver accertato, prima del trasferimento, che siano
osservate le norme degli Stati membri che attuano altre disposizioni
della direttiva.

(2) La Commissione può constatare che un paese terzo garantisce
adeguati livelli di tutela. In tal caso, gli Stati membri possono
trasferirvi dati personali senza la necessità di ulteriori garanzie.

(3) Secondo la direttiva 95/46/CE il livello di protezione dei dati
va accertato alla luce di tutte le circostanze che accompagnano
l'operazione, o le operazioni, di trasferimento dei dati, dando
particolare rilievo agli elementi del trasferimento di cui
all'articolo 25 della direttiva.

(4) Data la diversità dei sistemi di protezione dei dati nei paesi
terzi, la valutazione dell'adeguatezza va effettuata, e ogni
decisione ai sensi dell'articolo 25, paragrafo 6, della direttiva
95/46/CE va presa e applicata, senza discriminazioni ingiustificate o
arbitrarie contro o tra paesi terzi in cui esistono condizioni simili
e senza creare ostacoli mascherati al libero scambio, nel rispetto
degli attuali impegni internazionali assunti dall'Unione europea.

(5) Andorra è uno Stato dotato di un sistema di coprincipato
parlamentare, in cui le funzioni dei coprincipi sono esercitate dal
presidente della Repubblica francese e dall'arcivescovo di Urgell.

(6) Il diritto alla riservatezza è sancito dall'articolo 14 della
costituzione del Principato di Andorra (Constituciò del Principat
d'Andorra), approvata dal referendum popolare del 14 marzo 1993.

(7) Ad Andorra, le norme giuridiche a tutela dei dati personali sono
ampiamente basate sulle disposizioni della direttiva 95/46/CE e sono
iscritte nella legge qualificata n. 15/2003 del 18 dicembre sulla
protezione dei dati personali (Llei qualificada de protecciò de
dades personals, LQPDP). Questa normativa in materia di protezione
dei dati personali è completata dal decreto del 1 o luglio 2004,
che adotta il registro pubblico degli archivi di dati personali, e
dal decreto del 9 giugno 2010, che adotta il regolamento
dell'Agenzia andorrana per la protezione dei dati. Quest'ultimo
strumento chiarisce diverse questioni sollevate, nel suo parere del
1 o dicembre 2009, dal gruppo di lavoro sulla tutela delle persone
con riguardo al trattamento dei dati personali, istituito
dall'articolo 29 della direttiva 95/46/CE2
--------
 2
Parere n. 7/2009 del 1 o dicembre 2009, disponibile sul sito
http://ec. europa.eu/justice home/fsj /privacy/docs/wpdocs/2009/wp 16
6 it.pdf

(8) Disposizioni relative alla protezione dei dati figurano anche in
numerosi strumenti giuridici che disciplinano diversi settori, quali
la legislazione del settore finanziario, la normativa sanitaria e i
registri pubblici.

(9) Andorra ha ratificato la Convenzione del Consiglio d'Europa sulla
protezione delle persone rispetto al trattamento automatizzato di
dati di carattere personale, del 28 gennaio 1981, e il Protocollo
addizionale alla Convenzione sulla protezione delle persone rispetto
al trattamento automatizzato dei dati a carattere personale,
concernente le autorità di controllo ed i flussi transfrontalieri,
dell'8 novembre 2001, nonchè la Convenzione del Consiglio d'Europa
per la salvaguardia dei diritti dell'uomo e delle libertà
fondamentali del 4 novembre 1950, in vigore ad Andorra dal 22 gennaio
1996, e il Patto internazionale relativo ai diritti civili e politici
del 16 dicembre 1966, in vigore ad Andorra dal 19 luglio 2006.

(10) Le norme giuridiche applicabili ad Andorra in materia di
protezione dei dati contengono tutti i principi di un adeguato
livello di tutela delle persone fisiche e prevedono eccezioni e
restrizioni al fine di salvaguardare importanti interessi pubblici.
L'applicazione di tali norme è garantita da mezzi di ricorso
amministrativi e giurisdizionali e dal controllo indipendente
esercitato dall'autorità di controllo, l'Agenzia andorrana per la
protezione dei dati, dotata di poteri d'indagine e d'intervento e che
opera in piena indipendenza.

(11) Le autorità andorrane competenti per la protezione dei dati
hanno fornito spiegazioni e garanzie relative all'interpretazione
della legislazione di Andorra e hanno assicurato che la legislazione
in materia di protezione dei dati è applicata conformemente a tale
interpretazione. La presente decisione tiene conto di tali
spiegazioni e garanzie, dalle quali di conseguenza dipende.

(12) Si ritiene pertanto che Andorra fornisca adeguati livelli di
protezione dei dati personali ai sensi della direttiva 95/46/CE.

(13) Per salvaguardare la trasparenza e la capacità delle competenti
autorità degli Stati membri di garantire la tutela delle persone
riguardo al trattamento dei dati personali di queste ultime, vanno
precisate le circostanze eccezionali che giustificano la sospensione
di particolari flussi di dati, nonostante l'esistenza di un'adeguata
tutela.

(14) Il gruppo per la tutela delle persone con riguardo al
trattamento dei dati personali, istituito in forza dell'articolo 29
della direttiva 95/46/CE, ha espresso un parere favorevole sul
livello di adeguatezza della protezione dei dati personali, di cui
si è tenuto conto nella stesura della presente decisione1 . In
tale parere, il gruppo ha incoraggiato le autorità andorrane a
portare avanti il processo di adozione di ulteriori disposizioni che
estendano l'applicazione della legislazione di Andorra alle
decisioni individuali automatizzate, che attualmente non sono
contemplate esplicitamente dalla legge qualificata di Andorra sulla
protezione dei dati personali.
--------
 1
Parere n. 7/2009 del 1 o dicembre 2009, disponibile sul sito
http://ec. europa.eu/justice home/fsj/privacy/docs/wpdocs/2009/wp 166
it.pdf

(15) Le misure previste dalla presente decisione sono conformi al
parere del comitato istituito ai sensi dell'articolo 31, paragrafo 1,
della direttiva 95/46/CE,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1

Per le finalità di cui all'articolo 25, paragrafo 2, della direttiva
95/46/CE, si ritiene che Andorra fornisca un adeguato livello di
protezione dei dati personali trasferiti dall'Unione europea.

Articolo 2

La presente decisione riguarda l'adeguatezza della protezione fornita
ad Andorra al fine di soddisfare i requisiti di cui all'articolo 25,
paragrafo 1, della direttiva 95/46/CE e non produce alcun effetto su
altre condizioni o restrizioni conseguenti all'attuazione di altre
disposizioni della direttiva riguardanti il trattamento dei dati
personali all'interno degli Stati membri.

Articolo 3

1. Fatti salvi i poteri di intervento al fine di garantire il
rispetto dei provvedimenti nazionali adottati in applicazione di
disposizioni diverse dall'articolo 25 della direttiva 95/46/CE, le
autorità competenti degli Stati membri hanno facoltà di sospendere
i trasferimenti di dati verso destinatari ad Andorra al fine di
tutelare i cittadini nell'ambito del trattamento dei loro dati
personali nei casi in cui:

a) un'autorità competente andorrana abbia constatato che il
destinatario non rispetta le norme applicabili relative alla
protezione; oppure
b) sia fortemente probabile una violazione delle norme di protezione;
vi siano motivi ragionevoli di ritenere che le autorità competenti
andorrane non adottino o non intendano adot­ tare misure adeguate e
tempestive per risolvere il caso in questione; la continuazione del
trasferimento dei dati comporti un rischio imminente di grave
pregiudizio per le persone interessate e le autorità competenti
degli Stati membri abbiano fatto il possibile, date le circostanze,
per avvertire il responsabile del trattamento ad Andorra e dargli la
possibilità di replicare.

2. La sospensione cessa non appena sia garantito il rispetto delle
norme di protezione e ne sia informata l'autorità competente dello
Stato membro interessato.

Articolo 4

1. Gli Stati membri informano immediatamente la Commissione
dell'adozione di provvedimenti ai sensi dell'articolo 3.

2. Gli Stati membri e la Commissione si informano reciprocamente dei
casi in cui l'azione degli organismi andorrani re­ sponsabili per il
rispetto delle norme di protezione non sia sufficiente a garantire
tale rispetto.

3. Ove risulti provato, dalle informazioni di cui all'articolo 3 e ai
paragrafi 1 e 2 del presente articolo, che gli organismi andorrani
incaricati di garantire il rispetto delle norme di protezione non
svolgono la loro funzione in modo efficace, la Commissione avverte le
autorità andorrane competenti e, se necessario, presenta progetti di
misure, con la procedura di cui all'articolo 31, paragrafo 2, della
direttiva 95/46/CE, al fine di abrogare o sospendere la presente
decisione o di limitarne il campo d'applicazione.

Articolo 5

La Commissione verifica l'applicazione della presente decisione e
comunica qualsiasi informazione utile al comitato istituito
dall'articolo 31 della direttiva 95/46/CE, in particolare ogni
elemento rilevante ai fini della valutazione di cui all'articolo 1
della presente decisione, circa l'adeguatezza della protezione ad
Andorra ai sensi dell'articolo 25 della direttiva 95/46/CE e ogni
elemento che dimostri che la presente decisione è applicata in modo
discriminatorio.

Articolo 6

Gli Stati membri adottano le misure necessarie per conformarsi alla
presente decisione entro il 1° gennaio 2011.

Articolo 7

Gli Stati membri sono destinatari della presente decisione.

Fatto a Bruxelles, il 19 ottobre 2010.


Per la Commissione
Viviane REDING
Vicepresidente