25.11.2003 Euroopan unionin virallinen lehti L 308/27 KOMISSION PÄÄTÖS, tehty 21 päivänä marraskuuta 2003, henkilötietojen suojan riittävästä tasosta Guernseyssä (tiedoksiannettu numerolla K(2003) 4309) (ETA:n kannalta merkityksellinen teksti) (2003/821/EY) EUROOPAN YHTEISÖJEN KOMISSIO, joka ottaa huomioon Euroopan yhteisön perustamissopimuksen, ottaa huomioon yksilöiden suojelusta henkilötietojen käsitte- lyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (') ja erityisesti sen 25 artiklan 6 kohdan, on kuullut yksilöiden suojelua henkilötietojen käsittelyssä tutkivaa työryhmää (?), sekä katsoo seuraavaa: (1) Direktiivin —95/46/EY —mukaan — jäsenvaltioiden —on säädettävä —siitä, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä kolmannessa maassa turvataan tietosuojan riittävä taso ja jos direk- tiivin muiden säännösten täytäntöönpanemiseksi annet- tuja jäsenvaltioiden lakeja noudatetaan ennen tietojen siirtämistä. Komissio voi todeta, että kolmas maa turvaa tietosuojan riittävän tason. Henkilötietoja voidaan tässä tapauksessa siirtää jäsenvaltioista ilman lisätakeita. Direktiivin 95/46/EY mukaisesti tietosuojan taso olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien — olosuhteiden = osalta ja ottaen erityisesti huomioon eräät siirron kannalta olennaiset direktiivin 25 artiklan 2 kohdassa luetellut tekijät. Koska kolmannet maat suhtautuvat eri tavoin tietosuo- jaan, tietosuojan riittävyyden arviointi olisi suoritettava ja kaikki direktiivin 95/46/EY 25 artiklan 6 kohtaan perustuvat päätökset olisi tehtävä ja pantava täytäntöön tavalla, joka ei mielivaltaisesti tai epäoikeudenmukaisesti syrji mitään kolmatta maata tai tee eroa niiden välillä, jos niissä vallitsevat samanlaiset olosuhteet, tai muodosta peiteltyä kaupan estettä, kun otetaan huomioon yhteisön nykyiset kansainväliset sitoumukset. Guernseyn =hallintoalue (Bailiwick of Guernsey) on Englannin alusmaa (se ei ole osa Yhdistynyttä kuningas- kuntaa eikä liioin siirtomaa), joka nauttii täyttä itsenäi- () EYVL L 281, 23.11.1995, s. 31. (?) Työryhmän 13. kesäkuuta 2003 hyväksymä lausunto 5/2003 henkilötietojen suojan tasosta Guernseyssä, saatavana osoitteesta: http://europa.eu.int/comm/finternal market/privacy/workingroup/ wp2003/wpdocs03 en.htm. (11) syyttä, lukuun ottamatta kansainvälisiä suhteita ja puolustusta, jotka ovat Yhdistyneen kuningaskunnan hallituksen vastuulla. Guernseytä olisi pidettävä direktii- vissä tarkoitettuna kolmantena maana. Yhdistynyt  kuningaskunta on ratifioinut Euroopan neuvoston — yleissopimuksen — yksilöiden — suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä (Yleis- sopimus n:o 108), ja elokuusta 1987 alkaen ratifiointi ulotettiin koskemaan Guernseytä. Guernseyn henkilötietojen suojaa koskevat direktiivin 95/46/EY — normeihin — perustuvat — oikeusnormit on annettu Guernseyn tietosuojalaissa Data Protection (Baili- wick of Guernsey) Law 2001, joka tuli voimaan 1 päivänä elokuuta 2002. Guernseyssä on vuonna 2002 annettu lisäksi 16 säädöstä (orders), jotka koskevat tietojen saantia, arkaluontoisten tietojen käsittelyä ja tietosuojaviranomaiselle ilmoitta- mista käsittäviä aiheita. Näillä säädöksillä täydennetään lakia. Guernseyssä sovellettaviin oikeusnormeihin sisältyvät kaikki perusperiaatteet, joita tarvitaan sen toteamiseksi, että luonnollisten henkilöiden suojelun taso on riittävä. Normien soveltaminen on taattu muutoksenhakukeinoin ja riippumattomalla valvonnalla, jota suorittavat viran- omaiset, kuten tietosuojavaltuutettu, joilla on valtuudet tutkia asioita ja puuttua niihin. Näin ollen on katsottava, että Guernsey tarjoaa direktii- vissä 95/46/EY säädetyn henkilötietojen suojan riittävän tason. Avoimuuden takaamiseksi sekä sen varmistamiseksi, että jäsenvaltioiden — toimivaltaiset — viranomaiset — pystyvät takaamaan rekisteröidyille tietosuojan näiden henkilötie- tojen käsittelyn osalta, on tarpeen nimetä ne poikkeus- olosuhteet, joissa tiettyjen tiedonsiirtojen keskeyttäminen voi olla perusteltua siitä huolimatta, että tietosuojan taso on todettu riittäväksi.