РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
KOMISIJOS ĮGYVENDINIMO SPRENDIMAS
2012 m. rugpjūčio 21 d.
dėl Urugvajaus Rytų Respublikos užtikrinamos tinkamos asmens duomenų apsaugos automatizuoto asmens duomenų tvarkymo srityje pagal Europos Parlamento ir Tarybos direktyvą 95/46/EB
(pranešta dokumentu Nr. C(2012) 5704)
(Tekstas svarbus EEE)
(2012/484/ES)
EUROPOS KOMISIJA,
atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,
atsižvelgdama į 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (1), ypač į jos 25 straipsnio 6 dalį,
pasikonsultavusi su Europos duomenų apsaugos priežiūros pareigūnu (2),
kadangi:
(1)
remiantis Direktyva 95/46/EB, valstybės narės privalo užtikrinti, kad asmens duomenys trečiajai šaliai būtų perduodami tik tuo atveju, jei pastaroji užtikrina tinkamą apsaugos lygį ir jei iki perdavimo laikomasi valstybių narių įstatymų, kuriais įgyvendinamos kitos direktyvos nuostatos;
(2)
Komisija gali nustatyti, kad trečioji šalis užtikrina tinkamą apsaugos lygį. Tokiu atveju asmens duomenys gali būti perduodami iš valstybių narių be papildomų garantijų;
(3)
pagal Direktyvą 95/46/EB duomenų apsaugos lygis turėtų būti įvertintas atsižvelgiant į visas su duomenų perdavimo operacija ar operacijomis susijusias aplinkybes ir ypatingą dėmesį skiriant perdavimui svarbiems elementams, kurie išvardyti direktyvos 25 straipsnyje;
(4)
kadangi trečiųjų šalių duomenų apsaugos koncepcijos skiriasi, reikėtų įvertinti apsaugos tinkamumą, o bet koks Direktyvos 95/46/EB 25 straipsnio 6 dalimi pagrįstas sprendimas turėtų būti priimtas ir vykdomas taip, kad trečiosios šalys, kuriose yra panašios sąlygos, nebūtų savavališkai ar nepagrįstai diskriminuojamos arba kad trečiosios šalys nediskriminuotų viena kitos ir kad juo nebūtų kuriamos paslėptos prekybos kliūtys atsižvelgiant į Europos Sąjungos prisiimtus tarptautinius įsipareigojimus;
(5)
1967 m. priimtoje Urugvajaus Rytų Respublikos politinėje Konstitucijoje teisė į privatumą ir asmens duomenų apsaugą nėra aiškiai pripažinta. Tačiau pagrindinių teisių katalogas nėra baigtinis sąrašas, nes Konstitucijos 72 straipsnyje nustatyta, kad Konstitucijoje išvardytos teisės, pareigos ir garantijos gali būti papildytos naujomis teisėmis, pareigomis ir garantijomis, susijusiomis su žmogaus asmeniu arba kylančiomis iš Respublikinės valstybės valdymo formos. 2008 m. rugpjūčio 11 d. Įstatymo Nr. 18.331 dėl asmens duomenų apsaugos ir „habeas data“ ieškinio (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) 1 straipsnyje aiškiai nurodyta, kad „teisė į asmens duomenų apsaugą neatsiejamai susijusi su individu ir todėl nustatyta Respublikos Konstitucijos 72 straipsnyje“. Konstitucijos 332 straipsnyje numatyta, kad Konstitucijos nuostatos, kuriomis asmenims pripažįstamos, o valdžios institucijoms suteikiamos teisės ir nustatomos pareigos, taikomos net ir nesant specialaus reglamentavimo; tokiu atveju nuostatų taikymas grindžiamas panašiuose įstatymuose įtvirtintais principais, bendraisiais teisės principais ir visuotinai pripažinta teisės doktrina;
(6)
Urugvajaus Rytų Respublikoje asmens duomenų apsaugos teisės normos daugiausia grindžiamos Direktyvoje 95/46/EB nustatytomis normomis ir jos įtvirtintos 2008 m. rugpjūčio 11 d. Įstatyme Nr. 18.331 dėl asmens duomenų apsaugos ir „habeas data“ ieškinio (Ley No18.331 de Protección de Datos Personales y Acción de „Habeas Data“). Jos taikomos ir fiziniams, ir juridiniams asmenims;
(7)
šį įstatymą papildo 2009 m. rugpjūčio 31 d. Potvarkis Nr. 414/009, kuriuo paaiškinami tam tikri įstatymo aspektai ir išsamiai reglamentuojama duomenų apsaugos priežiūros institucijos struktūra, įgaliojimai ir veikimas. Potvarkio preambulėje nurodyta, kad šios srities nacionalinę teisės sistemą reikėtų suderinti su daugumoje šalių pripažinta teisinio reglamentavimo tvarka, iš esmės - su tvarka, kurią Europos šalys įvedė 95/46/EB;
(8)
be to, duomenų apsaugos nuostatos įtvirtintos ir specialiuosiuose teisės aktuose, kuriais sukuriamos ir reglamentuojamos duomenų bazės, t. y. teisės aktais, reglamentuojančiais tam tikrus viešuosius registrus (oficialių dokumentų, pramoninės nuosavybės ir prekių ženklų, civilinės būklės aktų, nekilnojamojo turto, kalnakasybos arba kreditorių duomenų teikimo). Pagal Konstitucijos 332 straipsnį Įstatymas Nr. 18.331 taikomas ir tiems klausimams, kurie nėra sureglamentuoti specialiaisiais teisės aktais;
(9)
Urugvajaus Rytų Respublikoje taikomose duomenų apsaugos teisės normose įtvirtinti visi pagrindiniai principai, būtini tinkamam fizinių asmenų apsaugos lygiui užtikrinti, ir nustatytos išimtys bei apribojimai svarbiems viešiesiems interesams apsaugoti. Šios duomenų apsaugos teisės normos ir išimtys atitinka Direktyvoje 95/46/EB nustatytus principus;
(10)
duomenų apsaugos teisės normų taikymas užtikrintas administracinėmis ir teisminėmis teisių gynimo priemonėmis, visų pirma „habeas data“ ieškiniu, suteikiančiu duomenų subjektui teisę paduoti duomenų valdytoją į teismą, siekiant įgyvendinti savo teisę susipažinti su duomenimis arba teisę reikalauti juos ištaisyti ir ištrinti, ir nepriklausoma priežiūra, kurią vykdo priežiūros institucija - Asmens duomenų reglamentavimo ir kontrolės tarnyba (Unidad Reguladora y de Control de Datos Personales (URCDP)) -, kuriai pagal Direktyvos 95/46/EB 28 straipsnį suteikti įgaliojimai atlikti tyrimus, imtis veiksmų ir skirti sankcijas ir kuri veikia visiškai nepriklausomai. Be to, kiekvienas suinteresuotas asmuo turi teisę kreiptis į teismą su reikalavimu atlyginti žalą, patirtą neteisėtai tvarkant jo asmens duomenis;
(11)
Urugvajaus duomenų apsaugos institucijos pateikė paaiškinimų ir garantijų dėl Urugvajaus įstatymų aiškinimo ir patikino, kad Urugvajaus duomenų apsaugos teisės aktai įgyvendinami vadovaujantis tokiu aiškinimu. Visų pirma, Urugvajaus duomenų apsaugos institucijos paaiškino, kad pagal Konstitucijos 332 straipsnį greta specialiųjų teisės aktų, kuriais sukurtos ir reglamentuojamos specialios duomenų bazės, Įstatymas Nr. 18.331 taikomas ir tuose specialiuosiuose teisės aktuose nesureglamentuotiems klausimams. Jos taip pat pažymėjo, kad, kiek tai susiję su Įstatymo Nr. 18.331 9 straipsnio C punkte nurodytais sąrašais, kurių tvarkymui nereikalingas duomenų subjekto sutikimas, taip pat taikomas įstatymas, ypač proporcingumo ir tikslingumo principas, ir duomenų subjektų teisės, o šių sąrašų priežiūrą atlieka duomenų apsaugos institucija. Dėl skaidrumo principo Urugvajaus duomenų apsaugos institucijos nurodė, kad duomenų subjektui visais atvejais privaloma suteikti reikalingą informaciją. Kiek tai susiję su teise susipažinti su duomenimis, duomenų apsaugos institucijos paaiškino, kad teikiant prašymą duomenų subjektui pakanka įrodyti savo tapatybę. Urugvajaus duomenų apsaugos institucijos nurodė, kad Įstatymo Nr. 18.331 23 straipsnio 1 dalyje nustatytos duomenų perdavimo trečiosioms šalims principo išimtys neturi būti aiškinamos kaip turinčios platesnę taikymo sritį nei Direktyvos 95/46/EB 26 straipsnio 1 dalis;
(12)
šiame sprendime atsižvelgiama į šiuos paaiškinimus ir garantijas ir jis jais grindžiamas;
(13)
Urugvajaus Rytų Respublika taip pat yra 1969 m. lapkričio 22 d. Amerikos žmogaus teisių konvencijos („PACT of San José de Costa Rica“), kuri įsigaliojo 1978 m. liepos 18 d. (3), narė. Šios konvencijos 11 straipsnyje įtvirtinta teisė į privatumą, o 30 straipsnyje nustatyta, kad šioje konvencijoje pripažįstamų teisių ir laisvių naudojimosi ir įgyvendinimo apribojimai pagal šią konvenciją gali būti taikomi tik kai tai numatyta bendrojo intereso gynimui priimtuose įstatymuose ir siekiant tikslo, kuriam tokie apribojimai buvo nustatyti (30 straipsnis). Be to, Urugvajaus Rytų Respublika pripažino Amerikos žmogaus teisių teismo jurisdikciją. Kompetentingam konsultaciniam komitetui pateikus teigiamą nuomonę, 2011 m. liepos 6 d. įvykusioje Europos Tarybos ministrų pavaduotojų 1118-oje sesijoje pavaduotojai pakvietė Urugvajaus Rytų Respubliką prisijungti prie Konvencijos dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu (ESS Nr. 108) ir jos Papildomo protokolo (ESS Nr. 118) (4);
(14)
todėl Urugvajaus Rytų Respubliką reikėtų laikyti užtikrinančia tinkamą asmens duomenų apsaugos lygį, kaip nurodyta Direktyvoje 95/46/EB;
(15)
šis sprendimas turėtų būti priimamas dėl apsaugos, kurią Urugvajaus Rytų Respublika užtikrina atsižvelgdama į Direktyvos 95/46/EB 25 straipsnio 1 dalies reikalavimus, lygio tinkamumo. Sprendimu neturėtų būti daromas poveikis kitoms sąlygoms ir kitiems apribojimams, kuriais įgyvendinamos kitos tos direktyvos nuostatos, susijusios su asmens duomenų tvarkymu valstybėse narėse;
(16)
siekiant skaidrumo ir norint garantuoti valstybių narių kompetentingų valdžios institucijų galimybes užtikrinti fizinių asmenų apsaugą tvarkant jų asmens duomenis, svarbu tiksliai apibrėžti išimtines aplinkybes, kuriomis gali būti sustabdyti tam tikrų duomenų srautai, nepaisant to, kad nustatyta, jog apsauga yra tinkama;
(17)
Komisija turėtų stebėti, kaip šis sprendimas įgyvendinamas, ir atitinkamas išvadas pateikti pagal Direktyvos 95/46/EB 31 straipsnį įsteigtam komitetui. Taip pat turėtų būti stebima, kaip Urugvajaus Rytų Respublikoje reglamentuojamas duomenų perdavimas pagal tarptautines sutartis;
(18)
Darbo grupė asmenų apsaugai tvarkant asmens duomenis, įsteigta pagal Direktyvos 95/46/EB 29 straipsnį, pateikė teigiamą nuomonę dėl asmens duomenų apsaugos lygio tinkamumo, ir į šią nuomonę atsižvelgta rengiant šį sprendimą (5);
(19)
šiame sprendime numatytos priemonės atitinka Direktyvos 95/46/EB 31 straipsnio 1 dalimi įsteigto komiteto nuomonę,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 straipsnis
1. Direktyvos 95/46/EB 25 straipsnio 2 dalies tikslais laikoma, kad Urugvajaus Rytų Respublika užtikrina tinkamą iš Europos Sąjungos perduodamų asmens duomenų apsaugos lygį.
2. Duomenų apsaugos teisės normų laikymąsi užtikrinti kompetentinga Urugvajaus Rytų Respublikos institucija, nurodyta šio sprendimo priede.
2 straipsnis
1. Nepažeisdamos savo įgaliojimų imtis veiksmų, kad būtų užtikrinta atitiktis nacionalinėms nuostatoms, priimtoms remiantis ne Direktyvos 95/46/EB 25 straipsniu, o kitomis nuostatomis, valstybių narių kompetentingos valdžios institucijos gali pasinaudoti suteiktais įgaliojimais sustabdyti duomenų srautus Urugvajaus Rytų Respublikos gavėjui, kad apsaugotų fizinius asmenis, kurių asmens duomenys tvarkomi, toliau nurodytais atvejais:
a)
jeigu kompetentinga Urugvajaus valdžios institucija nustatė, kad gavėjas nesilaiko taikytinų apsaugos normų, arba
b)
jeigu yra didelė tikimybė, kad nesilaikoma apsaugos normų, jeigu yra pagrįstų priežasčių manyti, kad kompetentinga Urugvajaus valdžios institucija laiku nesiima arba nesiims atitinkamų veiksmų klausimui išspręsti, jeigu toliau perduodant duomenis kiltų neišvengiama didelės žalos rizika duomenų subjektams ir jeigu valstybių narių kompetentingos valdžios institucijos, atsižvelgdamos į aplinkybes, dėjo pakankamai pastangų, kad įspėtų už duomenų tvarkymą Urugvajaus Rytų Respublikoje atsakingą subjektą ir suteiktų jam galimybę atsakyti.
2. Sustabdymas atšaukiamas, kai tik užtikrinamos duomenų apsaugos normos ir apie tai pranešama atitinkamų valstybių narių kompetentingoms valdžios institucijoms.
3 straipsnis
1. Priėmusios priemones pagal 2 straipsnį, valstybės narės apie tai nedelsdamos praneša Komisijai.
2. Valstybės narės ir Komisija vienos kitoms praneša apie atvejus, kai už duomenų apsaugos normų laikymosi užtikrinimą Urugvajaus Rytų Respublikoje atsakingos institucijos savo veiksmais tokio laikymosi neužtikrina.
3. Jei remiantis informacija, surinkta pagal 2 straipsnį ir šio straipsnio 1 ir 2 dalis, nustatoma, kad kuri nors už duomenų apsaugos normų laikymosi užtikrinimą Urugvajaus Rytų Respublikoje atsakinga institucija neveiksmingai vykdo savo įgaliojimus, Komisija praneša apie tai kompetentingai Urugvajaus valdžios institucijai ir prireikus pateikia priemonių projektus Direktyvos 95/46/EB 31 straipsnio 2 dalyje nurodyta tvarka, kad panaikintų šį sprendimą, sustabdytų jo galiojimą arba apribotų jo taikymo sritį.
4 straipsnis
Komisija stebi, kaip vykdomas šis sprendimas, ir pateikia visas būtinas išvadas pagal Direktyvos 95/46/EB 31 straipsnį įsteigtam komitetui, įskaitant visus įrodymus, kurie galėtų turėti įtakos šio sprendimo 1 straipsnyje nurodytai išvadai, kad apsauga Urugvajaus Rytų Respublikoje yra tinkama, kaip nurodyta Direktyvos 95/46/EB 25 straipsnyje, ir visus įrodymus, kad šis sprendimas yra įgyvendinamas diskriminuojamai.
5 straipsnis
Per 3 mėnesius nuo pranešimo apie sprendimą dienos valstybės narės imasi visų šiam sprendimui įgyvendinti būtinų priemonių.
6 straipsnis
Šis sprendimas skirtas valstybėms narėms.
Priimta Briuselyje 2012 m. rugpjūčio 21 d.