РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
UITVOERINGSBESLUIT VAN DE COMMISSIE
van 21 augustus 2012
overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad, over de passende bescherming van persoonsgegevens door de Republiek ten oosten van de Uruguay wat de geautomatiseerde verwerking van persoonsgegevens betreft
(Kennisgeving geschied onder nummer C(2012) 5704)
(Voor de EER relevante tekst)
(2012/484/EU)
DE EUROPESE COMMISSIE,
Gezien het Verdrag betreffende de werking van de Europese Unie,
Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), en met name artikel 25, lid 6,
Na raadpleging van de Europese Toezichthouder voor gegevensbescherming (2),
Overwegende hetgeen volgt:
(1)
Overeenkomstig Richtlijn 95/46/EG dienen de lidstaten te bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaten die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.
(2)
De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties vanuit de lidstaten worden doorgegeven.
(3)
Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt en dient in het bijzonder rekening te worden gehouden met een aantal elementen die van belang zijn voor de doorgifte en die in artikel 25 van de richtlijn zijn opgenomen.
(4)
Gezien de verschillende benaderingen van gegevensbescherming in derde landen dient het beschermingsniveau te worden beoordeeld en dienen besluiten op grond van artikel 25, lid 6, van Richtlijn 95/46/EG te worden vastgesteld en uitgevoerd op een wijze die geen willekeurige of onterechte discriminatie inhoudt tegen of tussen derde landen waar gelijksoortige voorwaarden gelden, noch een verkapte handelsbelemmering, rekening houdend met de geldende internationale verbintenissen van de Europese Unie.
(5)
In de grondwet van de Republiek ten oosten van de Uruguay, die sinds 1967 van kracht is, wordt het recht op bescherming van de persoonlijke levenssfeer en persoonsgegevens niet uitdrukkelijk erkend. De lijst van grondrechten is echter niet limitatief, aangezien overeenkomstig artikel 72 de vermelding van rechten, verplichtingen en garanties in de grondwet geen uitsluiting betekent van andere die inherent zijn aan de menselijke persoonlijkheid of die voortvloeien uit de republikeinse staatsvorm. In artikel 1 van Wet nr. 18.331 inzake de bescherming van persoonsgegevens en de habeas data-actie van 11 augustus 2008 staat uitdrukkelijk dat het recht op bescherming van persoonsgegevens inherent is aan de mens en derhalve onder artikel 72 van de grondwet van de Republiek valt. Volgens artikel 332 van de grondwet mag het ontbreken van specifieke regelgeving geen afbreuk doen aan de toepassing van de grondwettelijke bepalingen inzake de rechten van natuurlijke personen en betreffende de rechten en plichten van de autoriteiten; voor de toepassing dient te worden teruggegrepen op de onderliggende beginselen van soortgelijke wetten, de algemene rechtsbeginselen en algemeen aanvaarde uitgangspunten.
(6)
De rechtsnormen voor de bescherming van persoonsgegevens in de Republiek ten oosten van de Uruguay zijn grotendeels gebaseerd op de in Richtlijn 95/46/EG vervatte normen en zijn vastgelegd in Wet nr. 18.331 inzake de bescherming van persoonsgegevens en de habeas data-actie (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) van 11 augustus 2008. Deze wet geldt voor natuurlijke personen en rechtspersonen.
(7)
Deze wet wordt aangevuld door Besluit nr. 414/009 van 31 augustus 2009, dat is vastgesteld om de wet op verschillende punten te verduidelijken en de organisatie, bevoegdheden en werking van de toezichthoudende autoriteit voor gegevensbescherming nader te regelen. In de preambule van dit besluit wordt gesteld dat het wenselijk is de nationale rechtsorde op dit punt aan te passen aan de meest algemeen aanvaarde vergelijkbare wettelijke regeling, namelijk die welke door de Europese landen is ingesteld bij Richtlijn 95/46/EG.
(8)
Voorts zijn er gegevensbeschermingsbepalingen opgenomen in een aantal bijzondere wetten waarbij gegevensbanken worden opgezet en gereguleerd, namelijk wetten betreffende openbare registers (openbare akten, industriële eigendom en handelsmerken, persoonlijke akten, onroerend goed, mijnbouw of kredietregistratie). Overeenkomstig artikel 332 van de grondwet geldt Wet nr. 18.331 aanvullend voor zaken die niet onder specifieke wetgeving vallen.
(9)
De rechtsnormen voor de bescherming van persoonsgegevens in de Republiek ten oosten van de Uruguay omvatten alle basisbeginselen die noodzakelijk zijn voor een passend beschermingsniveau voor natuurlijke personen en voorzien tevens in de nodige uitzonderingen en beperkingen voor de bescherming van zwaarwegende algemene belangen. Deze rechtsnormen voor gegevensbescherming en de uitzonderingen weerspiegelen de beginselen vervat in Richtlijn 95/46/EG.
(10)
De toepassing van de rechtsnormen voor gegevensbescherming wordt gewaarborgd door bestuurlijke en rechtsmiddelen, in het bijzonder door de habeas data-maatregel, op grond waarvan een betrokkene de voor de verwerking verantwoordelijke voor het gerecht kan dagen om zijn recht van toegang, rectificatie en verwijdering af te dwingen, en door onafhankelijk toezicht door de toezichthoudende autoriteit, de Eenheid voor toezicht en controle op persoonsgegevens (Unidad Reguladora y de Control de Datos Personales, URCDP), die in overeenstemming met artikel 28 van Richtlijn 95/46/EG bevoegd is om onderzoek te verrichten, in te grijpen en sancties te treffen en die volledig onafhankelijk optreedt. Bovendien heeft iedere belanghebbende het recht om bij een rechterlijke instantie beroep in te stellen teneinde schadevergoeding te verkrijgen voor onrechtmatige verwerking van zijn persoonsgegevens.
(11)
De Uruguayaanse autoriteiten voor gegevensbescherming hebben verduidelijkingen en waarborgen inzake de interpretatie van de Uruguayaanse wetgeving verschaft en de verzekering gegeven dat de Uruguayaanse normen inzake gegevensbescherming overeenkomstig deze interpretatie worden uitgevoerd. De Uruguayaanse gegevensbeschermingsautoriteiten hebben met name uitgelegd dat Wet nr. 18.331 overeenkomstig artikel 332 van de grondwet aanvullend geldt voor zaken die niet onder specifieke wetgeving vallen waarbij gegevensbanken worden opgezet en gereguleerd. Voorts hebben zij uitgelegd dat de wet ook geldt voor de lijsten van artikel 9C van Wet nr. 18.331, betreffende verwerking waarvoor geen toestemming van de betrokkene nodig is; hierbij gaat het om de beginselen van evenredigheid en doelbinding, de rechten van betrokkenen en het toezicht hierop door de gegevensbeschermingsautoriteit. Wat het transparantiebeginsel betreft, hebben de Uruguayaanse gegevensbeschermingsautoriteiten laten weten dat de verplichting om de betrokkene de nodige informatie te verstrekken in alle gevallen geldt. Wat het recht van toegang betreft, heeft de gegevensbeschermingsautoriteit uitgelegd dat een betrokkene voor het indienen van een verzoek alleen het bewijs hoeft te leveren van zijn identiteit. De Uruguayaanse gegevensbeschermingsautoriteiten hebben verklaard dat de uitzonderingen in verband met het beginsel van internationale doorgiften die zijn vastgelegd in artikel 23, lid 1, van Wet nr. 18.331 niet kunnen aldus kunnen worden opgevat dat zij breder van toepassing zijn dan die van artikel 26, lid 1, van Richtlijn 95/46/EG.
(12)
Deze verduidelijkingen en waarborgen zijn in aanmerking genomen bij het opstellen van dit besluit en zij liggen eraan ten grondslag.
(13)
De Republiek ten oosten van de Uruguay is ook partij bij het Amerikaans Verdrag inzake de rechten van de mens (Verdrag van San José) van 22 november 1969, dat van kracht is sinds 18 juli 1978 (3). In artikel 11 van dat verdrag is het recht op bescherming van de persoonlijke levenssfeer vastgelegd, terwijl artikel 30 bepaalt welke beperkingen die krachtens het verdrag kunnen worden gesteld aan het genieten of uitoefenen van de bij het verdrag erkende rechten of vrijheden alleen kunnen worden toegepast als zulks in overeenstemming is met wetten die om redenen van algemeen belang zijn vastgesteld en met het doel waarvoor dergelijke beperkingen zijn vastgesteld (artikel 30). Bovendien heeft de Republiek ten oosten van de Uruguay de bevoegdheid van het Interamerikaanse Hof voor de rechten van de mens aanvaard. Verder hebben de afgevaardigden van de ministers van de Raad van Europa op hun 1118e vergadering, van 6 juli 2011, de Republiek ten oosten van de Uruguay uitgenodigd om toe te treden tot het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (ETS nr. 108) en het aanvullende protocol daarbij (ETS nr. 118) na een gunstig advies van het betrokken raadgevend comité (4).
(14)
Gezien het bovenstaande dient te worden aangenomen dat de Republiek ten oosten van de Uruguay een passend beschermingsniveau voor persoonsgegevens waarborgt, als bedoeld in Richtlijn 95/46/EG.
(15)
Dit besluit dient betrekking te hebben op de vraag of de bescherming die in de Republiek ten oosten van de Uruguay wordt geboden, passend is in de zin van artikel 25, lid 1, van Richtlijn 95/46/EG. Het besluit dient andere voorwaarden of beperkingen die tot uitvoering van andere bepalingen van die richtlijn strekken en betrekking hebben op de verwerking van persoonsgegevens in de lidstaten, onverlet te laten.
(16)
In het belang van de transparantie en om de bevoegde autoriteiten in de lidstaten in staat te stellen de bescherming van personen in verband met de verwerking van hun persoonsgegevens te waarborgen, moet nader worden geregeld in welke buitengewone omstandigheden de doorgifte van gegevens toch kan worden opgeschort, ook al is een passend beschermingsniveau vastgesteld.
(17)
De Commissie dient de werking van dit besluit te evalueren en alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee te delen. Deze evaluatie dient onder meer betrekking te hebben op de regeling van de Republiek ten oosten van de Uruguay voor doorgiften in het kader van internationale verdragen.
(18)
De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft over het niveau van de bescherming van persoonsgegevens een gunstig advies uitgebracht, waarmee bij de opstelling van dit besluit rekening is gehouden (5).
(19)
De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31, lid 1, van Richtlijn 95/46/EG ingestelde comité,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
1. Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG wordt de Republiek ten oosten van de Uruguay geacht een passend beschermingsniveau te waarborgen voor vanuit de Europese Unie doorgegeven persoonsgegevens.
2. De bevoegde autoriteit van de Republiek ten oosten van de Uruguay voor de toepassing van de wettelijke normen inzake gegevensbescherming in de Republiek ten oosten van de Uruguay wordt genoemd in de bijlage bij dit besluit.
Artikel 2
1. In onderstaande gevallen kunnen de bevoegde autoriteiten in de lidstaten gebruikmaken van hun bestaande bevoegdheden om gegevensstromen naar een ontvanger in de Republiek ten oosten van de Uruguay te onderbreken, teneinde personen ten aanzien van de verwerking van hun persoonsgegevens te beschermen, onverminderd de bevoegdheid van die autoriteiten om maatregelen te nemen voor de naleving van nationale bepalingen die zijn goedgekeurd ingevolge andere bepalingen dan artikel 25 van Richtlijn 95/46/EG:
a)
indien een bevoegde Uruguayaanse autoriteit tot de conclusie is gekomen dat de ontvanger in strijd met de toepasselijke normen voor gegevensbescherming handelt, of
b)
indien het zeer waarschijnlijk is dat niet aan de normen voor gegevensbescherming wordt voldaan, er goede redenen zijn om aan te nemen dat de bevoegde Uruguayaanse autoriteit niet tijdig passende maatregelen neemt of zal nemen om het probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade aan de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat gedaan hebben wat in de gegeven omstandigheden redelijkerwijs mogelijk is om de in de Republiek ten oosten van de Uruguay gevestigde organisatie die voor de verwerking verantwoordelijk is in kennis te stellen en de gelegenheid te geven te reageren.
2. De opschortende maatregel blijft van kracht tot vaststaat dat de beschermingsnormen worden nageleefd en de bevoegde autoriteit van de betrokken lidstaat of lidstaten hiervan in kennis is gesteld.
Artikel 3
1. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van artikel 2 maatregelen worden genomen.
2. De lidstaten en de Commissie stellen elkaar in kennis van de gevallen waarin de instanties die in de Republiek ten oosten van de Uruguay verantwoordelijk zijn voor de naleving van de beschermingsnormen niet in staat zijn deze naleving te garanderen.
3. Wanneer uit de overeenkomstig artikel 2 en de leden 1 en 2 van dit artikel verzamelde informatie mocht blijken dat een instantie die verantwoordelijk is voor de naleving van de beschermingsnormen in de Republiek ten oosten van de Uruguay haar taak niet naar behoren vervult, stelt de Commissie de bevoegde Uruguayaanse autoriteit hiervan in kennis en stelt zij zo nodig, volgens de procedure van artikel 31, lid 2, van Richtlijn 95/46/EG, ontwerpmaatregelen voor om dit besluit in te trekken of op te schorten dan wel het toepassingsgebied ervan te beperken.
Artikel 4
De Commissie evalueert de werking van dit besluit en deelt alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee, met inbegrip van alle gegevens die van invloed kunnen zijn op de vaststelling in artikel 1 van dit besluit dat het beschermingsniveau in de Republiek ten oosten van de Uruguay passend is in de zin van artikel 25 van Richtlijn 95/46/EG, alsmede, wanneer dit besluit op discriminerende wijze wordt uitgevoerd, alle gegevens waaruit dat blijkt.
Artikel 5
De lidstaten nemen alle nodige maatregelen om aan dit besluit te voldoen binnen drie maanden na de kennisgeving ervan.
Artikel 6
Dit besluit is gericht tot de lidstaten.
Gedaan te Brussel, 21 augustus 2012.