РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
DECISIONE DI ESECUZIONE DELLA COMMISSIONE
del 21 agosto 2012
ai sensi della direttiva 95/46/CE del Parlamento europeo e del Consiglio sull’adeguata protezione dei dati personali da parte della Repubblica orientale dell’Uruguay in relazione al trattamento automatizzato di tali dati
[notificata con il numero C(2012) 5704]
(Testo rilevante ai fini del SEE)
(2012/484/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l’articolo 25, paragrafo 6,
sentito il Garante europeo della protezione dei dati (2),
considerando quanto segue:
(1)
Ai sensi della direttiva 95/46/CE gli Stati membri devono far sì che il trasferimento di dati personali a un paese terzo abbia luogo solo se il paese in questione garantisce adeguati livelli di tutela e dopo aver accertato, prima del trasferimento, che siano soddisfatte le norme degli Stati membri che attuano altre disposizioni della direttiva.
(2)
La Commissione può constatare che un paese terzo garantisca adeguati livelli di tutela. In tal caso, gli Stati membri possono trasferirvi dati personali senza la necessità di ulteriori garanzie.
(3)
Secondo la direttiva 95/46/CE è necessario accertare il livello di protezione dei dati alla luce di tutte le circostanze che accompagnano l’operazione, o una serie di operazioni, di trasferimento dei dati, dando particolare rilievo agli elementi del trasferimento di cui all’articolo 25 della direttiva.
(4)
Data la diversità dei sistemi di protezione dei dati nei paesi terzi, la valutazione dell’adeguatezza va effettuata, e ogni decisione ai sensi dell’articolo 25, paragrafo 6 della direttiva 95/46/CE va presa e applicata, senza discriminazioni ingiustificate o arbitrarie contro o tra paesi terzi in cui esistono condizioni simili e senza creare ostacoli mascherati al libero scambio, nel rispetto degli attuali impegni internazionali assunti dall’Unione europea.
(5)
La Costituzione politica della Repubblica orientale dell’Uruguay, adottata nel 1967, non riconosce esplicitamente i diritti alla tutela della vita privata e dei dati personali. Tuttavia, l’elenco dei diritti fondamentali non è considerato esaustivo, poiché l’articolo 72 della Costituzione dispone che l’elencazione di diritti, obblighi e garanzie ivi contenuta non ne esclude altri che siano inerenti alla persona umana o derivino dalla forma repubblicana di governo. L’articolo 1 della legge n. 18.331 relativa alla protezione dei dati personali e all’azione «Habeas Data» dell’11 agosto 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de «Habeas Data») dispone espressamente che «il diritto alla tutela dei dati personali è inerente alla persona umana ed è pertanto incluso nell’articolo 72 della Costituzione della Repubblica». L’articolo 332 della Costituzione prevede che l’applicazione delle disposizioni ivi contenute che riconoscono diritti individuali, così come di quelle che conferiscono diritti e impongono obblighi alle autorità pubbliche, non deve essere pregiudicata dalla mancanza di una normativa specifica; al contrario, deve basarsi, mediante il ricorso ai principi che sottostanno a leggi analoghe, sui principi generali del diritto e della dottrina generalmente accettata.
(6)
Le norme giuridiche in materia di protezione dei dati personali nella Repubblica orientale dell’Uruguay si basano in larga misura sulle norme minime stabilite dalla direttiva 95/46/CE e sono contenute nella legge n. 18.331 relativa alla protezione dei dati personali e all’azione «Habeas Data» (Ley No 18.331 de Protección de Datos Personales y Acción de «Habeas Data»), dell’11 agosto 2008, che trova applicazione sia alle persone fisiche che alle persone giuridiche.
(7)
A complemento di tale legge è stato adottato il decreto n. 414/009, del 31 agosto 2009, al fine di chiarire diversi aspetti della legge e di definire la regolamentazione dettagliata relativa all’organizzazione, ai poteri e al funzionamento dell’autorità di controllo della protezione dei dati. Il preambolo del decreto stabilisce che è opportuno allineare il regime giuridico nazionale di questo settore al regime giuridico simile più accettato, essenzialmente quello definito dai paesi europei mediante la direttiva 95/46/CE.
(8)
Norme sulla protezione dei dati si trovano anche in una serie di leggi speciali che istituiscono e disciplinano le banche dati, segnatamente leggi che regolamentano taluni registri pubblici (atti pubblici, diritti di proprietà industriale e marchi, atti privati, beni immobili, attività minerarie o banche dati sull’esposizione debitoria). Ai sensi dell’articolo 332 della Costituzione, la legge n. 18.331 si applica anche a questi atti relativamente a quanto non sia disciplinato da dette norme giuridiche specifiche.
(9)
Le norme giuridiche applicabili nella Repubblica orientale dell’Uruguay in materia di protezione dei dati contengono tutti i principi di un adeguato livello di tutela delle persone fisiche e prevedono altresì eccezioni e restrizioni al fine di salvaguardare importanti interessi pubblici. Tali norme giuridiche in materia di protezione dei dati personali e le relative eccezioni riflettono i principi contenuti nella direttiva 95/46/CE.
(10)
L’applicazione delle norme giuridiche in materia di protezione dei dati è garantita da mezzi di impugnazione di natura amministrativa e giudiziaria, in particolare dall’azione «Habeas Data» che consente all’interessato di agire in giudizio contro il responsabile del trattamento per esercitare i propri diritti di accesso, di rettifica e di cancellazione. L’applicazione è garantita altresì dal controllo indipendente assicurato dall’autorità a ciò preposta, l’Unità per la regolamentazione ed il controllo dei dati personali (Unidad Reguladora y de Control de Datos Personales - URCDP), a cui sono conferiti poteri d’indagine, intervento e sanzione conformemente all’articolo 28 della direttiva 95/46/CE e che agisce in totale indipendenza. Inoltre, chiunque vi abbia interesse può adire le vie legali per ottenere il risarcimento del danno subito in conseguenza del trattamento illegale dei propri dati personali.
(11)
Le autorità uruguayane competenti per la protezione dei dati hanno fornito spiegazioni e garanzie relative all’interpretazione del diritto della Repubblica orientale dell’Uruguay e hanno assicurato che la legislazione in materia di protezione dei dati è applicata conformemente a tale interpretazione. In particolare, dette autorità hanno spiegato che, ai sensi dell’articolo 332 della Costituzione, la legge 18.331 trova applicazione anche a leggi speciali che istituiscono e disciplinano specifiche banche dati, con riferimento a questioni che non sono regolate da dette leggi speciali. Le autorità hanno altresì chiarito che la legge si applica anche agli elenchi di cui all’articolo 9 C) della legge n. 18.331 per i quali non è richiesto il consenso dell’interessato per procedere al trattamento; segnatamente, trovano applicazione i principi di proporzionalità e finalità, i diritti degli interessati e il controllo da parte dell’autorità competenti per la protezione dei dati personali. Riguardo al principio di trasparenza, le autorità uruguayane competenti per la protezione dei dati personali hanno reso noto che trova applicazione in tutti i casi l’obbligo di fornire agli interessati le informazioni necessarie. Riguardo al diritto di accesso, l’autorità ha spiegato che è sufficiente per l’interessato provare la propria identità nel momento in cui inoltra una richiesta. Le stesse autorità hanno altresì chiarito che le eccezioni al principio dei trasferimenti internazionali previste dall’articolo 23, paragrafo 1, della legge n. 18.331, non possono intendersi di applicazione più ampia di quanto disponga l’articolo 26, paragrafo 1, della direttiva 95/46/CE.
(12)
La presente decisione tiene conto di tali chiarimenti e su di essi è fondata.
(13)
La Repubblica orientale dell’Uruguay è altresì parte alla Convenzione americana sui diritti dell’uomo (Pact of San José de Costa Rica) del 22 novembre 1969, entrata in vigore il 18 luglio 1978 (3). L’articolo 11 di detta Convenzione sancisce il diritto alla vita privata, mentre l’articolo 30 prevede che le restrizioni applicabili, ai sensi della Convenzione, al godimento o all’esercizio dei diritti o delle libertà dalla stessa sancite, non possano esserlo se non nel rispetto delle leggi adottate per motivi di interesse generale e conformemente allo scopo per il quale tali restrizioni sono state introdotte (articolo 30). Inoltre, la Repubblica orientale dell’Uruguay ha accettato la giurisdizione della Corte interamericana dei diritti dell’uomo. Peraltro, alla loro 1118o riunione tenutasi il 6 luglio 2011, i viceministri del Consiglio d’Europa, a seguito del parere favorevole espresso dal pertinente comitato consultivo, hanno invitato la Repubblica orientale dell’Uruguay ad aderire alla Convenzione per la tutela delle persone rispetto al trattamento dei dati personali (ETS n. 108) nonché al suo protocollo aggiuntivo (ETS n. 118) (4).
(14)
Si ritiene pertanto che la Repubblica orientale dell’Uruguay fornisca adeguati livelli di tutela dei dati personali ai sensi della direttiva 95/46/CE.
(15)
La presente decisione si riferisce all’adeguatezza della protezione garantita nella Repubblica orientale dell’Uruguay ai fini dei requisiti di cui all’articolo 25, paragrafo 1, della direttiva 95/46/CE. Essa non pregiudica altre condizioni o restrizioni che attuino altre disposizioni di detta direttiva attinenti al trattamento di dati personali negli Stati membri.
(16)
Per salvaguardare la trasparenza e la capacità delle competenti autorità degli Stati membri di garantire la tutela delle persone riguardo al trattamento dei dati personali, è necessario precisare le circostanze eccezionali che giustificano la sospensione di particolari flussi di dati, nonostante l’esistenza di un’adeguata tutela.
(17)
È necessario che la Commissione vigili sul funzionamento della decisione e riferisca eventuali riscontri pertinenti al comitato istituito ai sensi dell’articolo 31 della direttiva 95/46/CE. Tale controllo deve includere, tra l’altro, il regime della Repubblica orientale dell’Uruguay applicabile a trasferimenti nel quadro di trattati internazionali.
(18)
Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha espresso un parere favorevole sul livello di adeguatezza della protezione dei dati personali, di cui si è tenuto conto nella stesura della presente decisione (5).
(19)
Le misure previste dalla presente decisione sono conformi al parere del comitato istituito ai sensi dell’articolo 31, paragrafo 1, della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
1. Per le finalità di cui all’articolo 25, paragrafo 2, della direttiva 95/46/CE, si ritiene che la Repubblica orientale dell’Uruguay fornisca un adeguato livello di protezione dei dati personali trasferiti dall’Unione europea.
2. L’autorità di controllo della Repubblica orientale dell’Uruguay competente per l’applicazione nella stessa Repubblica delle norme giuridiche in materia di protezione dei dati è indicata nell’allegato alla presente decisione.
Articolo 2
1. Fatti salvi i poteri di intervento al fine di garantire il rispetto dei provvedimenti nazionali adottati in applicazione di disposizioni diverse dall’articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri hanno facoltà di sospendere i trasferimenti di dati verso destinatari nella Repubblica orientale dell’Uruguay al fine di tutelare i cittadini nell’ambito del trattamento dei loro dati personali nei casi in cui:
a)
un’autorità competente uruguayana abbia constatato che il destinatario non rispetta le norme applicabili relative alla protezione; oppure
b)
se è molto probabile che le norme di protezione siano infrante; se esistono fondati motivi per credere che l’autorità uruguayana competente non prenda o non prenderà provvedimenti adeguati e tempestivi per comporre il caso in questione; se il persistere del trasferimento dà luogo a rischi imminenti di danno grave agli interessati e in tale circostanza le autorità competenti nello Stato membro hanno compiuto ragionevoli sforzi per avvisare i responsabili del trattamento nella Repubblica orientale dell’Uruguay e dar loro l’opportunità di rispondere.
2. La sospensione cessa non appena sia garantito il rispetto delle norme di protezione e ne sia informata l’autorità competente dello Stato membro interessato.
Articolo 3
1. Gli Stati membri informano immediatamente la Commissione dell’adozione di provvedimenti ai sensi dell’articolo 2.
2. Gli Stati membri e la Commissione si informano reciprocamente dei casi in cui l’azione degli organismi uruguayani responsabili per il rispetto delle norme di protezione non sia sufficiente a garantire tale rispetto.
3. Ove risulti provato, dalle informazioni di cui all’articolo 2 e ai paragrafi 1 e 2 del presente articolo, che gli organismi della Repubblica orientale dell’Uruguay incaricati di garantire il rispetto delle norme di protezione non svolgono la loro funzione in modo efficace, la Commissione avverte le autorità uruguayane competenti e, se necessario, presenta progetti di misure, secondo la procedura di cui all’articolo 31, paragrafo 2, della direttiva 95/46/CE, al fine di abrogare o sospendere la presente decisione o di limitarne il campo d’applicazione.
Articolo 4
La Commissione verifica l’applicazione della presente decisione e comunica qualsiasi informazione utile al comitato istituito dall’articolo 31 della direttiva 95/46/CE, in particolare ogni elemento rilevante ai fini della valutazione di cui all’articolo 1 della presente decisione, circa l’adeguatezza della protezione nella Repubblica orientale dell’Uruguay ai sensi dell’articolo 25 della direttiva 95/46/CE e ogni elemento che dimostri che la presente decisione è applicata in modo discriminatorio.
Articolo 5
Gli Stati membri adottano le misure necessarie per conformarsi alla presente decisione entro tre mesi dalla notifica della stessa.
Articolo 6
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 21 agosto 2012