РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
KOMISSION TÄYTÄNTÖÖNPANOPÄÄTÖS,
annettu 21 päivänä elokuuta 2012,
Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla Uruguayn itäisen tasavallan tarjoaman henkilötietojen suojan riittävyydestä automaattisessa henkilötietojen käsittelyssä
(tiedoksiannettu numerolla C(2012) 5704)
(ETA:n kannalta merkityksellinen teksti)
(2012/484/EU)
EUROOPAN KOMISSIO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1) ja erityisesti sen 25 artiklan 6 kohdan,
on kuullut Euroopan tietosuojavaltuutettua (2),
sekä katsoo seuraavaa:
(1)
Direktiivin 95/46/EY mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä kolmannessa maassa turvataan tietosuojan riittävä taso ja jos direktiivin muiden säännösten täytäntöönpanemiseksi annettuja jäsenvaltioiden lakeja noudatetaan ennen tietojen siirtämistä.
(2)
Komissio voi todeta, että kolmas maa turvaa tietosuojan riittävän tason. Henkilötietoja voidaan tässä tapauksessa siirtää jäsenvaltioista ilman lisätakeita.
(3)
Direktiivin 95/46/EY mukaisesti tietosuojan taso olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta ja ottaen erityisesti huomioon eräät siirron kannalta olennaiset, direktiivin 25 artiklassa luetellut tekijät.
(4)
Koska kolmannet maat suhtautuvat eri tavoin tietosuojaan, tietosuojan riittävyyden arviointi olisi suoritettava ja kaikki direktiivin 95/46/EY 25 artiklan 6 kohtaan perustuvat päätökset olisi tehtävä ja pantava täytäntöön tavalla, joka ei syrji mielivaltaisesti tai epäoikeudenmukaisesti mitään kolmatta maata eikä tee eroa niiden välillä, jos niissä vallitsevat samanlaiset olosuhteet, eikä muodosta peiteltyä kaupan estettä, kun otetaan huomioon Euroopan unionin voimassa olevat kansainväliset sitoumukset.
(5)
Uruguayn itäisen tasavallan vuonna 1967 annetussa perustuslaissa ei erikseen säädetä oikeudesta yksityisyyteen ja henkilötietojen suojaan. Perusoikeuksien luettelo ei kuitenkaan ole lopullinen, sillä perustuslain 72 pykälän mukaan perustuslaissa luetellut oikeudet, velvollisuudet ja takeet eivät sulje pois muita ihmisen henkilöyteen liittyviä tai tasavaltaisesta hallintomuodosta johtuvia oikeuksia, velvollisuuksia ja takeita. Henkilötietojen suojasta ja habeas data -oikeussuojakeinosta 11 päivänä elokuuta 2008 annetun lain nro 18.331 (Ley No 18.331 de Protección de Datos Personales y Acción de ”Habeas Data”) 1 pykälässä säädetään nimenomaan, että ”ihmiselle kuuluu oikeus henkilötietojen suojaan, minkä vuoksi se sisältyy tasavallan perustuslain 72 pykälään”. Perustuslain 332 pykälän mukaan yksilöiden oikeuksia ja julkisten viranomaisten oikeuksia ja velvollisuuksia koskevien säännösten puuttuminen ei saa estää perustuslain vastaavien säännösten soveltamista, vaan kyseinen puute on korvattava soveltamalla vastaavien lakien perustaa, lainsäädännön periaatteita ja yleisesti hyväksyttyjä oppeja.
(6)
Henkilötietojen suojeluun liittyvät Uruguayn itäisen tasavallan oikeusnormit perustuvat suurelta osin direktiivissä 95/46/EY vahvistettuihin normeihin, ja ne sisältyvät henkilötietojen suojasta ja habeas data -oikeussuojakeinosta 11 päivänä elokuuta 2008 annettuun lakiin nro 18.331 (Ley No 18.331 de Protección de Datos Personales y Acción de ”Habeas Data”), joka kattaa luonnolliset ja oikeushenkilöt.
(7)
Lakia on täydennetty 31 päivänä elokuuta 2009 annetulla asetuksella nro 414/2009, jolla on pyritty selkeyttämään useita lakiin sisältyviä näkökohtia ja vahvistamaan yksityiskohtaisesti tietosuojaviranomaisen organisaatiota, valtuuksia ja toimintaa koskevat säännöt. Tämän asetuksen johdanto-osan mukaan näitä asioita koskevaa kansallista säädösjärjestelmää on tarkennettava vastaamaan hyväksytyintä vastaavaa säädösjärjestelmää, erityisesti Euroopan maissa direktiiviä 95/46/EY.
(8)
Tietosuojasäännöksiä sisältyy myös useisiin erityislakeihin, joilla luodaan ja säännellään tietokantoja, kuten eräitä julkisia rekistereitä (julkiset asiakirjat, teollisoikeus ja tavaramerkit, henkilökohtaiset asiakirjat, kiinteä omaisuus, kaivostoiminta tai luottotiedot) koskevat lait. Lakia nro 18.331 sovelletaan perustuslain 332 pykälän nojalla myös kyseisiin erityislakeihin niiden seikkojen osalta, joista ei säädetä kyseisissä laeissa.
(9)
Uruguayn itäisessä tasavallassa sovellettavat oikeudelliset tietosuojanormit kattavat kaikki perusperiaatteet, jotka tarvitaan antamaan luonnollisille henkilöille riittävä suoja, ja niissä säädetään myös poikkeuksista ja rajoituksista tärkeiden julkisten etujen suojelemiseksi. Nämä tietosuojanormit ja poikkeukset vastaavat direktiivissä 95/46/EY vahvistettuja periaatteita.
(10)
Kyseisten oikeudellisten tietosuojanormien soveltaminen taataan hallinnollisin ja oikeudellisin keinoin ja erityisesti habeas data -oikeussuojakeinolla, jonka nojalla rekisteröity voi viedä rekisterinpitäjän oikeuteen pannakseen täytäntöön oikeutensa saada tutustua tietoihin tai saada ne oikaistuksi tai poistetuksi, sekä valvontaviranomaisen eli henkilötietojen sääntely- ja valvontayksikön (Unidad Reguladora y de Control de Datos Personales, URCDP) suorittamalla riippumattomalla valvonnalla. Kyseisellä yksiköllä on direktiivin 95/46/EY 28 artiklan mukaiset tutkinta- ja toimintavaltuudet sekä valtuudet määrätä sanktioita, ja se toimii täysin riippumattomasti. Lisäksi kaikilla asianosaisilla on oikeus hakea oikeusteitse korvausta henkilötietojen laittoman käsittelyn aiheuttamista vahingoista.
(11)
Uruguayn tietosuojaviranomaiset ovat antaneet selvityksiä ja lausuntoja siitä, kuinka Uruguayn lainsäädäntöä on tulkittava, sekä vakuuttaneet, että Uruguayn tietosuojalainsäädäntö pannaan täytäntöön kyseisen tulkinnan mukaisesti. Uruguayn tietosuojaviranomaiset ovat erityisesti esittäneet, että perustuslain 332 pykälän mukaisesti lakia nro 18.331 sovelletaan myös erityislakeihin, joilla luodaan ja säännellään erityisiä tietokantoja, niiden seikkojen osalta, joista ei säädetä kyseisissä laeissa. Lisäksi viranomaiset ovat todenneet, että lain nro 18.331 9 C pykälässä tarkoitettuihin luetteloihin, joiden käsittelyyn ei tarvita rekisteröidyn suostumusta, sovelletaan myös tätä lakia ja erityisesti oikeasuhteisuuden periaatetta ja tietojen käyttötarkoitusta koskevaa periaatetta sekä rekisteröityjen oikeuksia ja sitä, että tietosuojaviranomainen valvoo kyseisiä luetteloita. Avoimuusperiaatteen osalta Uruguayn tietosuojaviranomaiset ovat ilmoittaneet, että velvollisuutta antaa rekisteröidylle tarvittavat tiedot sovelletaan kaikissa tapauksissa. Tiedonsaantioikeuden osalta tietosuojaviranomaiset ovat todenneet riittävän, että rekisteröity todistaa henkilöllisyytensä esittäessään pyyntönsä. Uruguayn tietosuojaviranomaiset ovat ilmoittaneet, että lain nro 18.331 23 pykälän 1 momentissa vahvistetut poikkeukset kansainvälisiä henkilötietojen siirtoja koskevaan periaatteeseen eivät ole soveltamisalaltaan direktiivin 95/46/EY 26 artiklan 1 kohtaa laajempia.
(12)
Tässä päätöksessä otetaan huomioon kyseiset selvitykset ja lausunnot ja se perustuu niihin.
(13)
Uruguayn itäinen tasavalta on 22 päivänä marraskuuta 1969 tehdyn ja 18 päivänä heinäkuuta 1978 voimaan tulleen Amerikan ihmisoikeussopimuksen sopimuspuoli. (3) Ihmisoikeussopimuksen 11 artiklassa vahvistetaan oikeus yksityisyyteen ja 30 artiklassa määrätään, että sopimuksessa tunnustettujen oikeuksien tai vapauksien käyttämiselle sopimuksen mukaan asetettavia rajoituksia voidaan soveltaa vain yleisen edun takia säädettyjen lakien mukaisesti sekä siinä tarkoituksessa, jota varten rajoitukset on asetettu (30 artikla). Uruguayn itäinen tasavalta on tunnustanut Amerikan ihmisoikeustuomioistuimen toimivallan. Euroopan neuvoston ministerivaltuutetut kehottivat 1118. kokouksessaan 6 päivänä heinäkuuta 2011 Uruguayn itäistä tasavaltaa liittymään yleissopimukseen yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä (ETS 108) sekä sen lisäpöytäkirjaan (ETS 118) asiaa käsittelevän neuvoa-antavan komitean myönteisen lausunnon jälkeen. (4)
(14)
Näin ollen on katsottava, että Uruguayn itäinen tasavalta tarjoaa direktiivissä 95/46/EY tarkoitetun henkilötietojen suojan riittävän tason.
(15)
Tämän päätöksen olisi koskettava Uruguayn itäisessä tasavallassa tarjotun tietosuojan riittävyyttä suhteessa direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimusten täyttymiseen. Sillä ei saisi olla vaikutusta direktiivin muiden, henkilötietojen käsittelyä jäsenvaltioissa koskevien säännösten täytäntöön panemiseksi vahvistettujen ehtojen tai rajoitusten soveltamiseen.
(16)
Avoimuuden lisäämiseksi sekä sen varmistamiseksi, että jäsenvaltioiden toimivaltaiset viranomaiset pystyvät takaamaan yksilöiden tietosuojan heidän henkilötietojaan käsiteltäessä, on tarpeen tarkentaa, minkälaisissa poikkeusolosuhteissa tiettyjen tiedonsiirtojen keskeyttäminen voi olla perusteltua siitä huolimatta, että tietosuojan taso on todettu riittäväksi.
(17)
Komissio seuraa tämän päätöksen soveltamista ja ilmoittaa direktiivin 95/46/EY 31 artiklan nojalla perustetulle komitealle kaikki asiaankuuluvat huomiot. Seurattaviin asioihin kuuluu muun muassa menettely, jota Uruguayn itäinen tasavalta soveltaa kansainvälisten sopimusten puitteissa tehtäviin henkilötietojen siirtoihin.
(18)
Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut henkilötietojen suojan tasosta myönteisen lausunnon, joka on otettu huomioon tämän päätöksen valmistelussa. (5)
(19)
Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklan 1 kohdalla perustetun komitean lausunnon mukaiset,
ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
1. Direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamiseksi katsotaan, että Uruguayn itäinen tasavalta takaa riittävän suojan Euroopan unionista siirrettäville henkilötiedoille.
2. Uruguayn itäisessä tasavallassa oikeudellisten tietosuojanormien soveltamisen osalta toimivaltainen Uruguayn itäisen tasavallan valvontaviranomainen mainitaan tämän päätöksen liitteessä.
2 artikla
1. Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä sen varmistamiseksi, että muita direktiivin 95/46/EY nojalla annettuja kansallisia säännöksiä kuin 25 artiklan nojalla annettuja säännöksiä noudatetaan, jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttääkseen Uruguayn itäisessä tasavallassa olevalle vastaanottajalle suunnatun tietojen siirron suojellakseen yksityishenkilöitä näiden henkilötietojen käsittelyn osalta tapauksissa, joissa
a)
toimivaltainen Uruguayn viranomainen on todennut, ettei vastaanottaja noudata sovellettavia tietosuojanormeja; tai
b)
on hyvin todennäköistä, ettei tietosuojanormeja noudateta, ja on perusteltua olettaa, ettei toimivaltainen Uruguayn viranomainen parhaillaan eikä jatkossa toteuta tarvittavia ja oikea-aikaisia toimenpiteitä asian ratkaisemiseksi, tiedonsiirron jatkaminen aiheuttaisi välittömän riskin, että rekisteröidyille aiheutuu vakavaa haittaa, ja jäsenvaltion toimivaltaiset viranomaiset ovat olosuhteisiin nähden kohtuullisessa määrin pyrkineet ilmoittamaan asiasta Uruguayn itäiseen tasavaltaan sijoittautuneelle tietojenkäsittelystä vastaavalle osapuolelle ja antamaan tälle tilaisuuden vastata.
2. Keskeytys lakkaa heti kun tietosuojanormien noudattaminen on varmistettu ja tästä on ilmoitettu asianomaisten jäsenvaltioiden toimivaltaisille viranomaisille.
3 artikla
1. Jäsenvaltioiden on ilmoitettava viipymättä komissiolle 2 artiklan nojalla toteutetuista toimenpiteistä.
2. Jäsenvaltiot ja komissio tiedottavat toisilleen tapauksista, joissa tietosuojanormien noudattamisesta Uruguayn itäisessä tasavallassa vastuussa olevat elimet eivät pysty varmistamaan normien noudattamista.
3. Jos 2 artiklan sekä tämän artiklan 1 ja 2 kohdan nojalla saadut tiedot osoittavat, että tietosuojanormien noudattamisesta Uruguayn itäisessä valtiossa vastuussa oleva elin ei tosiasiallisesti hoida tehtäväänsä, komissio tiedottaa asiasta Uruguayn toimivaltaiselle viranomaiselle ja tarvittaessa esittää direktiivin 95/46/EY 31 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti ehdotuksen toimenpiteistä, joiden tarkoituksena on peruuttaa tämä päätös tai lykätä sen soveltamista tai rajoittaa sen soveltamisalaa.
4 artikla
Komissio seuraa tämän päätöksen soveltamista ja ilmoittaa direktiivin 95/46/EY 31 artiklan nojalla perustetulle komitealle kaikki asiaankuuluvat huomiot, mukaan luettuina kaikki seikat, jotka voivat vaikuttaa tämän päätöksen 1 artiklassa esitettyyn toteamukseen, jonka mukaan Uruguayn itäinen tasavalta takaa direktiivin 95/46/EY 25 artiklassa tarkoitetun riittäväntasoisen tietosuojan, sekä mahdolliset todisteet päätöksen syrjivästä soveltamisesta.
5 artikla
Jäsenvaltioiden on toteutettava kaikki tämän päätöksen noudattamisen edellyttämät toimenpiteet viimeistään kolmen kuukauden kuluttua siitä, kun päätös on annettu tiedoksi.
6 artikla
Tämä päätös on osoitettu jäsenvaltioille.
Tehty Brysselissä 21 päivänä elokuuta 2012.