РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
KOMISJONI RAKENDUSOTSUS,
21. august 2012,
isikuandmete piisava kaitse kohta Uruguay Idavabariigis seoses isikuandmete automaatse töötlemisega vastavalt Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ
(teatavaks tehtud numbri C(2012) 5704 all)
(EMPs kohaldatav tekst)
(2012/484/EL)
EUROOPA KOMISJON
võttes arvesse Euroopa Liidu toimimise lepingut,
võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, (1) eriti selle artikli 25 lõiget 6,
olles konsulteerinud Euroopa andmekaitseinspektoriga (2)
ning arvestades järgmist:
(1)
Direktiivi 95/46/EÜ kohaselt peavad liikmesriigid sätestama, et isikuandmeid võib kolmandale riigile edastada üksnes juhul, kui kõnealuses kolmandas riigis on tagatud andmekaitse piisav tase ning kui enne andmete edastamist järgitakse direktiivi muude sätete rakendamist käsitlevaid liikmesriikide õigusakte.
(2)
Komisjon võib järeldada, et kolmas riik tagab andmekaitse piisava taseme. Sel juhul võib liikmesriikidest isikuandmeid edastada ilma lisatagatisteta.
(3)
Vastavalt direktiivile 95/46/EÜ tuleb andmekaitse taseme hindamisel silmas pidada kõiki andmete edastamise toimingute või andmete edastamise toimingute kogumi asjaolusid ning pöörata erilist tähelepanu mitmele andmete edastamise seisukohalt olulistele ja direktiivi artiklis 25 loetletud tegurile.
(4)
Kuna kolmandad riigid suhtuvad andmekaitsesse erineval viisil, tuleks hinnata andmekaitse piisavust ning teha ja jõustada kõik direktiivi 95/46/EÜ artikli 25 lõikel 6 põhinevad otsused viisil, mis ei tekita meelevaldset või põhjendamatut diskrimineerimist selliste kolmandate riikide suhtes või vahel, kus valitsevad samasugused tingimused, või kaubanduse varjatud tõkestamist, võttes arvesse Euroopa Liidu kehtivaid rahvusvahelisi kohustusi.
(5)
Uruguay Idavabariigi põhiseaduses, mis võeti vastu 1967. aastal, ei tunnistata selgesõnaliselt õigust eraelu puutumatusele ja isikuandmete kaitsele. Ometi ei ole põhiõiguste loetelu lõplik, pidades silmas, et põhiseaduse artiklis 72 on sätestatud, et põhiseaduses loetletud õigused, kohustused ja tagatised ei välista teisi õigusi, kohustusi ja tagatisi, mis kuuluvad inimese põhiõiguste hulka või mis tulenevad valitsuse vabariiklikust korrast. 11. augusti 2008. aasta seaduses nr 18.331 isikuandmete kaitse ning õiguskaitsevahendi habeas data kohta (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) artiklis 1 on selgesõnaliselt sätestatud, et: „Õigus isikuandmete kaitsele kuulub inimese põhiõiguste hulka, mistõttu vabariigi põhiseaduse artikkel 72 hõlmab seda”. Põhiseaduse artiklis 332 on sätestatud, et põhiseaduse nende ettekirjutuste kohaldamist, millega tunnistatakse üksikisikute õigusi ning millega määratakse kindlaks avalike asutuste õigused ja kohustused, ei tohiks takistada asjakohaste eeskirjade puudumine, vaid pigem tuleks sel juhul tugineda aluseks olevatele sarnastele seadustele, õiguspõhimõtetele ja üldiselt heakskiidetud doktriinidele.
(6)
Isikuandmete kaitset käsitlevate õigusnormide aluseks Uruguay Idavabariigis on peamiselt direktiiviga 95/46/EÜ kehtestatud õigusnormid ja need on sätestatud 11. augusti 2008. aasta seaduses nr 18.331 isikuandmete kaitse ning õiguskaitsevahendi habeas data kohta (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”). Seadus hõlmab füüsilisi ja juriidilisi isikuid.
(7)
Seda seadust täiendab 31. augusti 2009. aasta dekreet nr 414/009, mis võeti vastu, et selgitada seaduse eri aspekte ja sätestada üksikasjalikult andmekaitse järelevalveasutuse ülesehitus, volitused ja töö. Dekreedi preambulis on välja toodud, et on asjakohane kohandada riigi õiguslikku süsteemi selles küsimuses vastavalt kõige aktsepteeritumale võrreldavale õiguslikule korrale, eelkõige sellisele, mis on kehtestatud Euroopa riikides direktiiviga 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta.
(8)
Andmekaitset käsitlevaid sätteid sisaldab ka hulk eriõigusakte, millega luuakse andmebaase ja reguleeritakse nende tööd, nimelt õigusaktid, mis reguleerivad teatavate avalike registrite tööd (avalikud dokumendid, tööstusomand ja kaubamärgid, eradokumendid, kinnisvara, kaevandamine, krediidiinfo). Seadust nr 18.331 kohaldatakse põhiseaduse artikli 332 kohaselt nende seaduste suhtes küsimustes, mida nimetatud eriõigusaktid ei hõlma.
(9)
Uruguay Idavabariigis kohaldatavad õigusnormid hõlmavad kõiki üldpõhimõtteid, mis on vajalikud füüsiliste isikute kaitse piisava taseme tagamiseks, kuid samal ajal sätestatakse tähtsate üldiste huvide kaitse eesmärgil ka teatavad erandid ja piirangud. Andmekaitse õigusnormid ja nende erandid kajastavad direktiivis 95/46/EÜ sätestatut.
(10)
Kõnealuste andmekaitse õigusnormide kohaldamine tagatakse haldus- ja õiguskaitsevahenditega, eelkõige habeas data õiguskaitsevahendiga, mis võimaldab andmesubjektil andmete töötleja kohtusse kaevata, et jõustada oma andmetele juurdepääsu, nende parandamise ja kustutamise õigust, ning sõltumatu järelevalve abil, mida teostab järelevalveasutusena isikuandmete reguleerimise ja kontrollimise üksus (Unidad Reguladora y de Control de Datos Personales (URCDP), millele on antud direktiivi 95/46/EÜ artikliga 28 uurimis- ja sekkumisvolitused ning mis tegutseb täiesti sõltumatult Lisaks on huvitatud isikutel õigus õiguslikule hüvitisele, mis katab isikule tema isikuandmete ebaseadusliku töötlemise tõttu tekkinud kahjud.
(11)
Uruguay andmekaitseasutus on esitanud selgitused ja kinnitused selle kohta, kuidas Uruguay õigust tuleks tõlgendada ning on kinnitanud, et Uruguay andmekaitse eeskirju rakendatakse sellise tõlgendamise kohaselt. Eelkõige on Uruguay andmekaitseasutused selgitanud, et vastavalt põhiseaduse artiklile 332, saab seadust nr 18.331 täiendavalt kohaldada õigusaktide suhtes, millega luuakse ja reguleeritakse eriandmebaase, seoses nende küsimustega, mida eriõigusvahendid ei reguleeri. Samuti on selgitatud, et seoses seaduse nr 18.331 artikli 9 punktis c osutatud loeteludega, mille puhul ei ole vaja andmesubjekti nõusolekut, on seadus kohaldatav, nimelt proportsionaalsuse ja lõplikkuse põhimõte, andmesubjekti õigused ja andmekaitseasutuse järelevalvekohustus. Seoses läbipaistvuse põhimõttega on Uruguay andmekaitseasutused teavitanud kohustusest anda andmesubjektile igal juhul vajalik teave. Seoses juurdepääsuõigusega on andmekaitseasutus selgitanud, et piisab sellest, kui andmesubjekt tõendab taotluse esitamisel oma isiku. Uruguay andmekaitseasutused on selgitanud, et erandid rahvusvaheliste isikuandmete edastamisest, mis on sätestatud seaduse nr 18.331 artikli 23 lõikes 1, ei ole mõistetavad direktiivi 95/46/EÜ artikli 26 lõike 1 laiema kohaldatavusena.
(12)
Käesolev otsus võtab arvesse nimetatud selgitusi ja kinnitusi ning põhineb seega neil.
(13)
Uruguay Idavabariik on 22. novembril 1969. aastal koostatud ja 18. juulil 1978 jõustunud inimõiguste Ameerika konventsiooni (3) (Pact of San José de Costa Rica) osaline. Konventsiooni artiklis 11 on sätestatud õigus eraelu puutumatusele ja artiklis 30 on sätestatud, et konventsiooni kohaselt seatavaid piiranguid konventsiooniga tunnustatud õigustele ja vabadustele tohib kohaldada vaid kooskõlas üldhuvi järgivate seaduste ja kooskõlas piirangute eesmärgiga (artikkel 30). Lisaks on Uruguay Idavabariik tunnustanud Ameerika inimõiguste kohtu pädevust. Lisaks kutsuti Euroopa Nõukogu ministrite komitee 6. juuli 2011. aasta 1118. kohtumisel Uruguay Idavabariiki üles liituma konventsiooniga (üksikisikute kaitse kohta isikuandmete automaattöötlusel) (ETS nr 108) ja selle lisaprotokolliga (ETS nr 118) pärast asjaomaselt nõuandekomiteelt saadud positiivset vastust (4).
(14)
Seetõttu tuleks isikuandmete kaitse Uruguay Idavabariigis lugeda piisavaks direktiivi 95/46/EÜ tähenduses.
(15)
Käesolev otsus peaks käsitlema isikuandmete kaitse piisavust Uruguay Idavabariigis direktiivi 95/46/EÜ artikli 25 lõikes 1 esitatud nõuetele vastamise seisukohast. See ei peaks mõjutama muid tingimusi või piiranguid selle direktiivi muude sätete rakendamisel, mis käsitlevad isikuandmete töötlemist liikmesriikides.
(16)
Selguse ja arusaadavuse huvides ning võimaldamaks liikmesriikide pädevatel ametiasutustel tagada üksikisikute kaitset nende isikuandmete töötlemisel, tuleb kindlaks määrata need erandlikud asjaolud, mille korral teatava andmevahetuse peatamine on põhjendatud, olenemata sellest, et andmekaitse tase on tunnistatud piisavaks.
(17)
Komisjon peaks jälgima käesoleva otsuse toimimist ja esitama direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele aruande kõigi järelduste kohta. Selline järelevalve peaks muu hulgas hõlmama Uruguay Idavabariigis kohaldatavat rahvusvaheliste lepingute raames toimuva andmete edastamise korda.
(18)
Direktiivi 95/46/EÜ artikli 29 alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on esitanud isikuandmete kaitse piisava taseme kohta pooldava arvamuse, mida on käesoleva rakendusotsuse (5) ettevalmistamisel arvesse võetud.
(19)
Käesoleva otsusega ettenähtud meetmed on kooskõlas direktiivi 95/46/EÜ artikli 31 lõike 1 alusel loodud komitee arvamusega,
ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
Artikkel 1
1. Direktiivi 95/46/EÜ artikli 25 lõike 2 kohaldamiseks loetakse Uruguay Idavabariik riigiks, kus on tagatud Euroopa Liidust edastatud isikuandmete kaitse piisav tase.
2. Uruguay Idavabariigi pädev järelevalveasutus seoses andmekaitse õigusnormide kohaldamisega Uruguay Idavabariigis on nimetatud käesoleva otsuse lisas.
Artikkel 2
1. Ilma et see piiraks liikmesriikide pädevate asutuste volitusi võtta meetmeid selleks, et tagada vastavus muudele sätetele kui direktiivi 95/46/EÜ artikli 25 kohaselt võetud siseriiklikele õigusnormidele, võivad nimetatud asutused kasutada olemasolevaid volitusi peatada andmete edastamine Uruguay Idavabariigis asuvale vastuvõtjale, et kaitsta üksikisikuid seoses nende isikuandmete töötlemisega järgmistel juhtudel:
a)
Uruguay pädev ametiasutus on kindlaks teinud, et vastuvõtja rikub kehtivaid kaitsenõudeid või
b)
kui on väga tõenäoline, et kaitsenõudeid rikutakse, on põhjust arvata, et Uruguay pädev ametiasutus ei võta ega kavatse võtta aegsasti asjakohaseid meetmeid kõnealuse olukorra lahendamiseks, andmeedastuse jätkamine võib kujutada andmesubjektide jaoks vältimatut tõsise kahju ohtu ning liikmesriikide pädevad ametiasutused on asjaolusid arvestades võtnud piisavaid meetmeid Uruguay Idavabariigis asuva töötlemise eest vastutava osapoole teavitamiseks ja andnud talle võimaluse vastata.
2. Peatamine lõpetatakse kohe, kui on tagatud kaitsenõuete järgimine ning asjaomase liikmesriigi pädevale ametiasutusele on sellest teatatud.
Artikkel 3
1. Liikmesriigid teatavad artikli 2 alusel võetud meetmetest viivitamata komisjonile.
2. Liikmesriigid ja komisjon teatavad üksteisele juhtudest, mil Uruguay Idavabariigis kaitsenõuete järgimise tagamise eest vastutavate organite tegevus ei ole taganud kaitsenõuete järgimist.
3. Kui artikli 2 ning selle lõigete 1 ja 2 kohaselt kogutud teave tõendab, et mõni Uruguay Idavabariigi kaitsenõuete järgimise tagamise eest vastutav ametiasutus ei täida oma ülesandeid tõhusalt, teavitab komisjon Uruguay pädevat ametiasutust ning esitab vajaduse korral direktiivi 95/46/EÜ artikli 31 lõikes 2 sätestatud korras eelnõud meetmete kohta, mille eesmärk on käesolev otsus kehtetuks tunnistada või peatada või piirata selle reguleerimisala.
Artikkel 4
Komisjon jälgib käesoleva otsuse toimimist ning esitab direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele aruande kõigi asjakohaste järelduste kohta, sealhulgas tõendid, mis võivad mõjutada käesoleva otsuse artiklis 1 esitatud järeldust, et Uruguay Idavabariigis pakutav kaitse on direktiivi 95/46/EÜ artikli 25 tähenduses piisav, ning tõendid selle kohta, et käesolevat otsust rakendatakse diskrimineerival viisil.
Artikkel 5
Liikmesriigid võtavad kõik käesoleva otsuse järgimiseks vajalikud meetmed [kolme kuu] jooksul alates otsuse teatavakstegemise kuupäevast.
Artikkel 6
Käesolev otsus on adresseeritud liikmesriikidele.
Brüssel, 21. august 2012