РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
KOMISIJAS ĪSTENOŠANAS LĒMUMS
(2012. gada 21. augusts)
par personas datu pietiekamu aizsardzību Urugvajas Austrumu Republikā attiecībā uz personas datu automatizētu apstrādi atbilstīgi Eiropas Parlamenta un Padomes Direktīvai 95/46/EK
(izziņots ar dokumenta numuru C(2012) 5704)
(Dokuments attiecas uz EEZ)
(2012/484/ES)
EIROPAS KOMISIJA,
ņemot vērā Līgumu par Eiropas Savienības darbību,
ņemot vērā Eiropas Parlamenta un Padomes 1995. gada 24. oktobra Direktīvu 95/46/EK par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (1) un jo īpaši tās 25. panta 6. punktu,
apspriedusies ar Eiropas Datu aizsardzības uzraudzītāju (2),
tā kā:
(1)
Atbilstīgi Direktīvai 95/46/EK dalībvalstīm būtu jāparedz tas, ka personas datus var nodot trešai valstij tikai tad, ja attiecīgā trešā valsts nodrošina pietiekamu aizsardzības līmeni un ja pirms nosūtīšanas ievēroti dalībvalstu tiesību akti, ar kuriem īsteno citus minētās direktīvas noteikumus.
(2)
Komisija var atzīt, ka trešā valsts nodrošina pietiekamu aizsardzības līmeni. Tādā gadījumā personas datus no dalībvalstīm var nosūtīt bez papildu garantijām.
(3)
Atbilstīgi Direktīvai 95/46/EK datu aizsardzības līmenis būtu jānovērtē, ņemot vērā visus apstākļus, kādos tiek veikta viena datu nosūtīšanas darbība vai vairākas datu nosūtīšanas darbības, un īpašu uzmanību pievēršot vairākiem elementiem, kas ir būtiski nosūtīšanai un kas uzskaitīti direktīvas 25. pantā.
(4)
Ņemot vērā trešo valstu dažādās pieejas datu aizsardzībai, būtu jāveic atbilstības novērtējums un ikviens lēmums, kurš pamatojas uz Direktīvas 95/46/EK 25. panta 6. punktu, būtu jāpieņem un jāizpilda tādā veidā, lai tas neradītu patvaļīgu vai neattaisnojamu diskrimināciju attiecībā uz tām trešām valstīm vai to trešo valstu starpā, kurās dominē līdzīgi apstākļi, kā arī neradītu slēptus tirdzniecības šķēršļus, ņemot vērā Eiropas Savienības pašreizējās starptautiskās saistības.
(5)
Urugvajas Austrumu Republikas 1967. gada Politiskajā Konstitūcijā nav skaidri atzītas tiesības uz privātumu un personas datu aizsardzību. Tomēr pamattiesību katalogs nav izsmeļošs saraksts, jo Konstitūcijas 72. pants paredz, ka Konstitūcijas izveidotais tiesību, saistību un garantiju uzskaitījums neizslēdz arī citas tiesības, saistības un garantijas, kuras ir neatņemamas cilvēka personības sastāvdaļas vai ko nosaka republikāniskā valsts pārvaldes forma. 2008. gada 11. augusta Likuma Nr. 18.331 par personas datu aizsardzību un “Habeas Data” procedūru (Ley No 18.331 de Protección de Datos Personales y Acción de “Habeas Data”) 1. pantā nepārprotami norādīts, ka “tiesības uz personas datu aizsardzību ir neatņemamas katra cilvēka tiesības, tādēļ tās ir iekļautas Republikas Konstitūcijas 72. pantā”. Turklāt Konstitūcijas 332. pantā teikts, ka šīs Konstitūcijas noteikumu piemērošanu, kuri atzīst personu tiesības, kā arī to noteikumu, kuri piešķir tiesības un uzliek pienākumus valsts iestādēm, nevajadzētu kavēt attiecīgu noteikumu trūkumam; to vietā būtu jāizmanto līdzīgu likumu pamatā esošos principus, vispārīgos tiesību principus un vispārpieņemtas doktrīnas.
(6)
Personas datu aizsardzības tiesību standarti Urugvajas Austrumu Republikā lielā mēra ir balstīti uz Direktīvā 95/46/EK noteiktajiem standartiem, un tie ir ietverti 2008. gada 11. augusta Likumā Nr. 18.331 par personas datu aizsardzību un “Habeas Data” procedūru (Ley No 18.331 de Protección de Datos Personales y Acción de “Habeas Data”). Tas ir piemērojams gan fiziskām, gan juridiskām personām.
(7)
Šo tiesību aktu turklāt papildina 2009. gada 31. augusta lēmums Nr. 414/009, kas pieņemts, lai precizētu vairākus minētā tiesību akta aspektus un paredzētu detalizētu datu uzraudzības iestādes struktūras, pilnvaru un darbības regulējumu. Šā lēmuma preambulā norādīts, ka ir ieteicams pielāgot valsts tiesību sistēmu šajā jomā vispieņemamākajam līdzīgajam tiesiskajam režīmam, galvenokārt tam, ko Eiropas valstis izveidojušas ar Direktīvu 95/46/EK.
(8)
Datu aizsardzības noteikumi ir ietverti arī vairākos speciālos aktos, ar ko izveido un reglamentē dažādas datubāzes, piemēram, aktos, kas reglamentē atsevišķus publiskos reģistrus (publisko aktu, rūpnieciskā īpašuma un preču zīmju, civilstāvokļa aktu, nekustamā īpašuma, ieguves un kredītinformācijas reģistrus). Saskaņā ar Konstitūcijas 332. pantu attiecībā uz jautājumiem, kas nav regulēti speciālajos tiesību aktos, papildus šiem speciālajiem aktiem ir piemērojams arī Likums Nr. 18.331.
(9)
Urugvajas Austrumu Republikā piemērojamie datu aizsardzības tiesiskie standarti ietver visus pamatprincipus, kas ir vajadzīgi, lai pienācīgā līmenī aizsargātu fiziskās personas, un paredz arī izņēmumus un ierobežojumus svarīgu sabiedrības interešu aizsardzībai. Šie datu aizsardzības tiesiskie principi un izņēmumi atbilst Direktīvas 95/46/EK principiem.
(10)
Datu aizsardzības tiesisko standartu piemērošanu garantē administratīvās un tiesiskās aizsardzības līdzekļi, jo īpaši “Habeas data” procedūra, kas ļauj datu subjektam vērsties tiesā pret datu pārzini, lai īstenotu savas tiesības uz piekļuvi datiem, datu labošanu un dzēšanu, un neatkarīga uzraudzība, ko veic uzraudzības iestāde - Personas datu pārvaldes un kontroles vienība (Unidad Reguladora y de Control de Datos Personales (URCDP)), kurai ir tiesības veikt izmeklēšanu, iejaukties lietā un piemērot sankcijas, kā tas ir paredzēts Direktīvas 95/46/EK 28. pantā, un kura rīkojas pilnīgi neatkarīgi. Turklāt jebkura ieinteresēta persona ir tiesīga pieprasīt kompensāciju par kaitējumu kā tiesiskās aizsardzības līdzekli gadījumos, kad kaitējums ir radies personas datu nelikumīgas apstrādes rezultātā.
(11)
Urugvajas datu aizsardzības iestādes ir iesniegušas paskaidrojumus un apliecinājumus attiecībā uz to, kā interpretējami Urugvajas tiesību akti, un ir iesniegušas apliecinājumus, ka Urugvajas datu aizsardzības tiesību akti ir īstenoti saskaņā ar šādu interpretāciju. Jo īpaši Urugvajas datu aizsardzības iestādes ir paskaidrojušas, ka saskaņā ar Konstitūcijas 332. pantu Likums Nr. 18.331 ir piemērojams papildus tiem speciālajiem aktiem, ar ko izveido un reglamentē īpašas datubāzes saistībā ar jautājumiem, kurus neregulē šie speciālie tiesību akti. Tās ir arī paskaidrojušas, ka attiecībā uz sarakstiem, kas minēti Likuma Nr. 18.331 9. panta C) punktā un kuriem nav nepieciešama datu subjekta piekrišana apstrādei, pats likums tomēr ir piemērojams un tas nozīmē, ka ir piemērojami samērīguma un galīguma principi, datu subjekta tiesības un uz tiem attiecas datu uzraudzības iestādes uzraudzība. Attiecībā uz caurskatāmības principu Urugvajas datu aizsardzības iestādes ir informējušas, ka pienākums sniegt datu subjektam nepieciešamo informāciju ir piemērojams visos gadījumos. Attiecībā uz piekļuves tiesībām datu aizsardzības iestādes ir paskaidrojušas, ka, izdarot pieprasījumu, pietiek ar to, ka datu subjekts pierāda savu identitāti. Urugvajas datu aizsardzības iestādes ir paskaidrojušas, ka izņēmumus attiecībā uz starptautisko pārsūtīšanu, kas paredzēti 23. panta 1. punktā Likumā Nr. 18.331, nebūtu jāsaprot tā, ka tiem būtu plašāka piemērošanas joma nekā Direktīvas 95/46/EK 26. panta 1. punktā paredzētajiem.
(12)
Šajā lēmumā ņemti vērā minētie paskaidrojumi un apliecinājumi, un tas pamatojas uz tiem.
(13)
Urugvajas Austrumu Republika ir 1969. gada 22. novembra Amerikas Cilvēktiesību Konvencijas dalībniece (Pact of San José de Costa Rica); Konvencija ir spēkā kopš 1978. gada 18. jūlija (3). Šīs konvencijas 11. pantā paredzētas tiesības uz privātumu un 30. pantā paredzēts, ka ierobežojumus, ko saskaņā ar konvenciju var piemērot konvencijā atzīto tiesību vai brīvību baudīšanai un izmantošanai, var paredzēt tikai saskaņā ar likumu, kas pieņemts sabiedrības interešu aizsardzībai, un tikai saskaņā ar mērķi, kuram šie ierobežojumi izveidoti. (30. pants). Turklāt Urugvajas Austrumu Republika ir atzinusi Amerikas Cilvēktiesību tiesas jurisdikciju. Turklāt Eiropas Padomes ministru vietnieku 1118. sanāksmē, kas norisinājās 2011. gada 6. jūlijā, pēc attiecīgās Konsultatīvās Komitejas pozitīvā atzinuma (4) vietnieki uzaicināja Urugvajas Austrumu Republiku pievienoties Konvencijai par indivīda aizsardzību attiecībā uz personas datu automātisko apstrādi (ETS Nr. 108) un tās Papildprotokolam (ETS Nr. 118).
(14)
Tādēļ būtu jāuzskata, ka Urugvajas Austrumu Republika nodrošina pietiekamu personas datu aizsardzības līmeni, kā minēts Direktīvā 95/46/EK.
(15)
Šim lēmumam būtu jāattiecas tikai uz aizsardzības pietiekamību, ko Urugvajas Austrumu Republika nodrošina, lai izpildītu Direktīvas 95/46/EK 25. panta 1. punkta prasības. Tam nebūtu jāskar citus nosacījumus vai ierobežojumus, kas saistīti ar citu šīs direktīvas noteikumu īstenošanu attiecībā uz personas datu apstrādi dalībvalstīs.
(16)
Pārredzamības labad un lai nodrošinātu dalībvalstu kompetento iestāžu spēju nodrošināt indivīdu aizsardzību attiecībā uz viņu personas datu apstrādi, ir nepieciešams noteikt izņēmuma apstākļus, kuros konkrētu datu plūsmu apturēšana var būt attaisnojama neatkarīgi no tā, ka konstatēta atbilstīga aizsardzība.
(17)
Komisijai būtu jāuzrauga Lēmuma darbība un jāziņo komitejai, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. pantu, par visiem attiecīgiem novērojumiem. Šādai uzraudzībai cita starpā būtu jāaptver arī Urugvajas Austrumu Republikas regulējums, ko piemēro pārsūtīšanai starptautisko nolīgumu ietvaros.
(18)
Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas ir izveidota ar Direktīvas 95/46/EK 29. pantu, ir sniegusi labvēlīgu atzinumu par personas datu aizsardzības līmeni, kurš ir ņemts vērā, sagatavojot šo lēmumu (5).
(19)
Šajā lēmumā paredzētie pasākumi atbilst atzinumam, ko sniegusi komiteja, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. panta 1. punktu,
IR PIEŅĒMUSI ŠO LĒMUMU.
1. pants
1. Direktīvas 95/46/EK 25. panta 2. punkta nolūkā tiek uzskatīts, ka Urugvajas Austrumu Republika nodrošina no Eiropas Savienības nosūtīto personas datu pietiekamu aizsardzības līmeni.
2. Urugvajas Austrumu Republikas kompetentā uzraudzības iestāde datu aizsardzības tiesisko standartu piemērošanai Urugvajas Austrumu Republikā ir norādīta šā lēmuma pielikumā.
2. pants
1. Neskarot dalībvalstu kompetento iestāžu pilnvaras rīkoties, lai nodrošinātu atbilstību valsts tiesību aktiem, kuri pieņemti atbilstīgi Direktīvas 95/46/EK noteikumiem, izņemot 25. pantu, šīs iestādes var īstenot savas pašreizējās pilnvaras, lai apturētu datu plūsmu pie saņēmēja Urugvajas Austrumu Republikā ar mērķi aizsargāt indivīdus attiecībā uz viņu personas datu apstrādi, ja:
a)
Urugvajas kompetentā iestāde ir noteikusi, ka saņēmējs neievēro piemērojamos aizsardzības standartus; vai
b)
pastāv reāla iespēja, ka aizsardzības standarti tiek pārkāpti, ir nopietns pamats uzskatīt, ka kompetentā Urugvajas Austrumu Republikas iestāde neveic vai neveiks atbilstīgus un savlaicīgus pasākumus, lai nokārtotu attiecīgo lietu, turpmāka pārraide varētu nodarīt nopietnu kaitējumu personām, kuru dati tiek pārraidīti, un dalībvalstu kompetentās iestādes šajos apstākļos ir pielikušas visas pūles, lai informētu par datu apstrādi atbildīgo pusi Urugvajas Austrumu Republikā un dotu tai iespēju attiecīgi reaģēt.
2. Apturēšanu atceļ, tiklīdz ir nodrošināti aizsardzības standarti un par to paziņots attiecīgo dalībvalstu kompetentajai iestādei.
3. pants
1. Ja, pamatojoties uz 2. pantu, pieņem pasākumus, dalībvalstis par to nekavējoties informē Komisiju.
2. Dalībvalstis un Komisija informē viena otru par gadījumiem, kad iestādes, kas Urugvajas Austrumu Republikā ir atbildīgas par aizsardzības standartu ievērošanu, nav panākušas šādu ievērošanu.
3. Ja saskaņā ar 2. pantu un šā panta 1. un 2. punktu apkopotā informācija sniedz pierādījumu, ka kāda no iestādēm, kas Urugvajas Austrumu Republikā ir atbildīga par aizsardzības standartu ievērošanu, savu uzdevumu nepilda efektīvi, Komisija par to informē Urugvajas kompetento iestādi un vajadzības gadījumā iesniedz pasākumu projektu saskaņā ar Direktīvas 95/46/EK 31. panta 2. punktā minēto procedūru, lai atceltu vai apturētu šo lēmumu vai ierobežotu tā darbības jomu.
4. pants
Komisija uzrauga šā lēmuma darbību un par visiem atbilstīgajiem atzinumiem ziņo Komitejai, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. pantu, tostarp par visiem pierādījumiem, kuri varētu ietekmēt šā lēmuma 1. pantā minēto atzinumu, ka Urugvajas Austrumu Republikā tiek veikta atbilstīga aizsardzība Direktīvas 95/46/EK 25. panta nozīmē, un par pierādījumiem, ka šo lēmumu īsteno diskriminējošā veidā.
5. pants
Dalībvalstis trīs mēnešu laikā pēc šā lēmuma paziņošanas veic pasākumus, kas vajadzīgi, lai izpildītu šā lēmuma prasības.
6. pants
Šis lēmums ir adresēts dalībvalstīm.
Briselē, 2012. gada 21. augustā