32003D0490

Entscheidung der Kommission

vom 30. Juni 2003

gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus in Argentinien

(Text von Bedeutung für den EWR)

(2003/490/EG)

DIE KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN -

gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft,

gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(1), insbesondere auf Artikel 25 Absatz 6,

in Erwägung nachstehender Gründe:

(1) Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die Rechtsvorschriften der Mitgliedstaaten zur Umsetzung anderer Bestimmungen der Richtlinie eingehalten werden, bevor die Übermittlung erfolgt.

(2) Die Kommission kann feststellen, dass ein Drittland einen angemessenen Datenschutz gewährleistet. In diesem Fall können die Mitgliedstaaten personenbezogene Daten übermitteln, ohne dass zusätzliche Garantien erforderlich sind.

(3) Nach der Richtlinie 95/46/EG sind bei der Bewertung des Datenschutzniveaus alle Umstände zu berücksichtigen, die bei der Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen, ferner eine Reihe sonstiger bei der Datenübermittlung wichtiger und in Artikel 25 Absatz 2 der Richtlinie aufgeführter Gegebenheiten. Die gemäß Artikel 29 der Richtlinie 95/46/EG eingesetzte Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten hat Leitlinien für die Erstellung solcher Beurteilungen veröffentlicht(2).

(4) Angesichts der unterschiedlichen Ansätze von Drittländern im Bereich des Datenschutzes sollten die Angemessenheitsbeurteilungen und etwaige Entscheidungen gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG und deren Durchsetzung in einer Form erfolgen, die einzelne Drittländer bzw. Drittländer, in denen gleiche Bedingungen vorherrschen untereinander, nicht willkürlich oder ungerechtfertigt diskriminiert; darüber hinaus sollten sie unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Gemeinschaft kein verstecktes Handelshemmnis darstellen.

(5) In Argentinien sind die Rechtsnormen zum Schutz personenbezogener Daten in allgemeinen und sektorspezifischen Rechtsvorschriften festgehalten. Beide sind rechtsverbindlich.

(6) Die allgemeinen Rechtsvorschriften finden sich in der Verfassung, in dem Gesetz Nr. 25.326 zum Schutz personenbezogener Daten und in der Verordnung, die mit dem Erlass Nr. 1558/2001 angenommen wurde (im Folgenden als "argentinisches Recht" bezeichnet).

(7) Die argentinische Verfassung enthält mit der so genannten "habeas data"-Klausel einen besonderen Rechtsbehelf für den Schutz personenbezogener Daten. Hierbei handelt es sich um eine Unterkategorie des in der Verfassung verankerten Verfahrens zum Schutz der verfassungsmäßigen Rechte, womit der Schutz personenbezogener Daten in den Rang eines Grundrechtes erhoben wird. Gemäß Artikel 43 Absatz 3 der argentinischen Verfassung hat jede Person das Recht, diese "habeas data" Klausel in Anspruch zu nehmen, um Kenntnis über alle sie betreffenden Daten und deren Zweck zu erlangen, die in öffentlichen Archiven oder Datenbanken, oder in privaten Archiven oder Datenbanken zu Auskunftszwecken gespeichert sind. Gemäß diesem Artikel kann die betroffene Person bei Unrichtigkeit oder diskriminierender Verwendung der Daten verlangen, dass die in den vorgenannten Archiven gespeicherten Daten gelöscht, berichtigt, geheim gehalten oder auf den aktuellen Stand gebracht werden. Die Bestimmungen für die Geheimhaltung journalistischer Informationsquellen werden durch diesen Artikel nicht berührt. Die argentinische Rechtsprechung erkennt den "habeas data"-Rechtsbehelf als unmittelbar geltendes Grundrecht an.

(8) Das Gesetz zum Schutz personenbezogener Daten Nr. 25.326 vom 4. Oktober 2000 (im Folgenden als "das Gesetz" bezeichnet) legt die Bestimmungen der Verfassung aus und entwickelt sie weiter. Es enthält Bestimmungen zu allgemeinen Datenschutzgrundsätzen, ferner die Rechte der betroffenen Personen, die Pflichten der für die Verarbeitung von Daten Verantwortlichen, der Datennutzer, der Aufsichtsbehörde oder der Kontrollstelle, die entsprechenden Sanktionen sowie die Verfahrensvorschriften in Bezug auf den "habeas data"-Rechtsbehelf.

(9) Die mit dem Erlass Nr. 1558/2001 vom 3. Dezember 2001 angenommene Verordnung (im Folgenden als "die Verordnung" bezeichnet) enthält Vorschriften für die Verabschiedung des Gesetzes; sie ergänzt die Bestimmungen des Gesetzes und erläutert auslegungsbedürftige Formulierungen.

(10) Das argentinische Recht schützt personenbezogene Daten, die in öffentlichen Datenarchiven, Registern, Datenbanken oder anderen technischen Medien gespeichert sind; ferner personenbezogene Daten, die in privaten Datenarchiven, Registern, Datenbanken oder anderen technischen Medien gespeichert sind und zu Auskunftszwecken geführt werden. Dies umfasst auch solche, die über die rein persönliche Nutzung hinausgehen, und solche, die für die Übertragung oder Übermittlung personenbezogener Daten bestimmt sind, unabhängig davon, ob die Verbreitung der erzeugten Daten oder Informationen gegen Bezahlung oder kostenlos erfolgt.

(11) Einige Bestimmungen des Gesetzes gelten in ganz Argentinien einheitlich. Dazu zählen allgemeine Bestimmungen sowie allgemeine Datenschutzgrundsätze, Rechte der Betroffenen, Verpflichtungen der für die Verarbeitung Verantwortlichen und der Nutzer von Datenarchiven, Registern und Datenbanken, strafrechtliche Sanktionen sowie die Grundzüge des "habeas data"-Rechtsbehelfs, wie er in der Verfassung verankert ist.

(12) Andere Bestimmungen des Gesetzes gelten für Register, Datenarchive oder Datenbanken, die interjustiziell (gemeint ist "provinzübergreifend"), national oder international vernetzt sind und in die Zuständigkeit der Justiz des Bundes fallen. Sie betreffen die Kontrolle durch die Aufsichtsbehörde, Sanktionen, die von der Aufsichtsbehörde verhängt werden, sowie die Verfahrensvorschriften in Bezug auf den "habeas data"-Rechtsbehelf. Andere Arten von Registern, Datenarchiven oder Datenbanken fallen in die Zuständigkeit der Justiz der Provinzen. Die Provinzen können hierfür eigene Rechtsvorschriften erlassen.

(13) Datenschutzrechtliche Bestimmungen sind darüber hinaus in einer Reihe von Rechtsinstrumenten zur Regulierung einzelner Sektoren enthalten, z. B. Kreditkartentransaktionen, Statistiken, Banken oder Gesundheitswesen.

(14) Das argentinische Recht berücksichtigt alle Grundsätze für einen angemessenen Schutz natürlicher Personen, auch wenn es zur Wahrung wichtiger öffentlicher Interessen Ausnahmen und Einschränkungen vorsieht. Die Anwendung dieser Grundsätze wird durch einen besonderen, vereinfachten und schnell anwendbaren Rechtsbehelf zum Schutz personenbezogener Daten sichergestellt, nämlich den so genannten "habeas data"-Rechtsbehelf, der neben den Rechtsbehelfen allgemeiner Art besteht. Das Gesetz sieht die Einsetzung einer Kontrollstelle für den Datenschutz vor, die alle Maßnahmen zu ergreifen hat, die zur Verwirklichung der Ziele und zur Einhaltung der Bestimmungen des Gesetzes notwendig sind, und die mit Untersuchungs- und Eingriffsbefugnissen ausgestattet ist. Als Kontrollstelle wurde gemäß der Verordnung die Nationale Direktion für den Schutz personenbezogener Daten eingesetzt. Das argentinische Recht sieht außerdem wirksame, abschreckende Sanktionen administrativer und strafrechtlicher Art vor. Im Übrigen sind die Bestimmungen des argentinischen Rechts über die zivilrechtliche Haftung (sowohl vertraglicher als auch außervertraglicher Art) anwendbar, wenn den betroffenen Personen durch unerlaubte Verarbeitung ein Schaden entsteht.

(15) Die argentinische Regierung hat Erläuterungen und Zusicherungen im Hinblick darauf gegeben, wie das argentinische Recht auszulegen ist; sie hat darüber hinaus zugesichert, dass die argentinischen Datenschutzvorschriften gemäß dieser Auslegung umgesetzt werden. Diese Entscheidung stützt sich auf die diesbezüglichen Erläuterungen und Zusicherungen und ist somit von ihnen abhängig. Insbesondere stützt sich diese Entscheidung auf die Erläuterungen und Zusicherungen der argentinischen Behörden bezüglich der Auslegung des argentinischen Rechts in der Frage, welche Fälle vom argentinischen Datenschutzrecht erfasst werden.

(16) Deshalb sollte Argentinien als Land angesehen werden, das ein angemessenes Schutzniveau für personenbezogene Daten gemäß der Richtlinie 95/46/EG bietet.

(17) Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz von Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.

(18) Die Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die nach Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine Stellungnahme über das Niveau des Schutzes personenbezogener Daten in Argentinien abgegeben(3); diese Stellungnahme wurde bei der Erarbeitung der vorliegenden Entscheidung berücksichtigt.

(19) Die in dieser Entscheidung vorgesehenen Maßnahmen stehen im Einklang mit der Stellungnahme des Ausschusses, der gemäß Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzt wurde -

HAT FOLGENDE ENTSCHEIDUNG ERLASSEN:

Artikel 1

Für die Zwecke von Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird Argentinien als ein Land angesehen, das ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der Gemeinschaft bietet.

Artikel 2

Diese Entscheidung betrifft ausschließlich die Angemessenheit des Schutzes, den das Gesetz in Argentinien im Hinblick auf die Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG gewährleistet; andere zur Umsetzung sonstiger Vorschriften der Richtlinie festgelegte Bestimmungen und Einschränkungen hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten bleiben davon unberührt.

Artikel 3

(1) Unbeschadet ihrer Handlungsbefugnis zum Zwecke der Einhaltung einzelstaatlicher Vorschriften, die gemäß anderen Bestimmungen als denen des Artikels 25 der Richtlinie 95/46/EG angenommen wurden, können die zuständigen Behörden in den Mitgliedstaaten von ihrem Recht Gebrauch machen, zum Schutz von Privatpersonen bei der Verarbeitung ihrer personenbezogenen Daten die Datenübermittlung an einen Empfänger in Argentinien auszusetzen, wenn

a) eine zuständige argentinische Behörde feststellt, dass der Datenempfänger die geltenden Datenschutzvorschriften nicht einhält, oder

b) eine hohe Wahrscheinlichkeit besteht, dass die Schutzvorschriften verletzt werden; wenn Grund zur Annahme besteht, dass die zuständige argentinische Behörde nicht rechtzeitig angemessene Maßnahmen ergreift bzw. ergreifen wird, um den betreffenden Fall zu lösen; wenn die Fortsetzung der Datenübermittlung den betroffenen Personen unmittelbar einen schweren Schaden zuzufügen droht und die zuständigen Behörden in den Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die für die Verarbeitung in Argentinien zuständige Stelle zu benachrichtigen und ihr Gelegenheit zur Stellungnahme gegeben haben.

Die Aussetzung ist zu beenden, sobald sichergestellt ist, dass die Vorschriften befolgt werden und die zuständige Behörde in der Gemeinschaft davon in Kenntnis gesetzt ist.

(2) Die Mitgliedstaaten informieren die Kommission unverzüglich, wenn Maßnahmen gemäß Absatz 1 ergriffen wurden.

(3) Die Mitgliedstaaten und die Kommission benachrichtigen einander über Fälle, bei denen die Maßnahmen der für die Einhaltung der Vorschriften in Argentinien verantwortlichen Einrichtungen nicht ausreichen, um die Einhaltung zu gewährleisten.

(4) Ergeben die nach den Absätzen 1, 2 und 3 gewonnenen Erkenntnisse, dass eine für die Einhaltung der Vorschriften in Argentinien verantwortliche Einrichtung ihre Aufgabe nicht wirksam erfuellt, so benachrichtigt die Kommission die zuständige argentinische Behörde und schlägt, wenn nötig, Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren vor, die auf eine Aufhebung oder Aussetzung dieser Entscheidung oder eine Beschränkung ihres Geltungsbereichs gerichtet sind.

Artikel 4

(1) Diese Entscheidung kann jederzeit im Lichte der Erfahrungen mit ihrer Anwendung geändert werden; dasselbe gilt, wenn sich etwas an den argentinischen Rechtsvorschriften oder ihrer Umsetzung und Auslegung ändert.

Die Kommission überwacht das Funktionieren dieser Entscheidung und unterrichtet den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse; dazu zählen auch Erkenntnisse, die sich auf die Beurteilung in Artikel 1 dieser Entscheidung auswirken könnten, wonach Argentinien ein angemessenes Schutzniveau im Sinne von Artikel 25 der Richtlinie 95/46/EG bietet, ferner Erkenntnisse, die darauf hindeuten, dass diese Entscheidung in diskriminierender Weise angewandt wird.

(2) Die Kommission schlägt erforderlichenfalls Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren vor.

Artikel 5

Die Mitgliedstaaten ergreifen binnen einhundertzwanzig Tagen, nachdem sie von der Veröffentlichung diese Entscheidung in Kenntnis gesetzt worden sind, alle für ihre Umsetzung erforderlichen Maßnahmen.

Artikel 6

Diese Entscheidung ist an alle Mitgliedstaaten gerichtet.

Brüssel, den 30. Juni 2003

Für die Kommission

Frederik Bolkestein

Mitglied der Kommission

(1) ABl. L 281 vom 23.11.1995, S. 31.

(2) Arbeitsunterlage 12/98 der Datenschutzgruppe vom 24. Juli 1998: "Übermittlungen personenbezogener Daten an Drittländer: Anwendung von Artikel 25 und 26 der Datenschutzrichtlinie der EU" (GD MARKT D/5025/98), siehe Website Europa der Europäischen Kommission:

http://europa.eu.int/comm/ internal_market/de/dataprot/wpdocs/ wpdocs_98.htm

(3) Stellungnahme 4/2002 zum Niveau des Schutzes personenbezogener Daten in Argentinien - WP 63 vom 3. Oktober 2002,

http://europa.eu.int/comm/ internal_market/de/dataprot/wpdocs/ index.htm.