РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
DECISÃO DE EXECUÇÃO DA COMISSÃO
de 21 de agosto de 2012
nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho relativa à adequação do nível de proteção de dados pessoais pela República Oriental do Uruguai no que se refere ao tratamento automatizado de dados
[notificada com o número C(2012) 5704]
(Texto relevante para efeitos do EEE)
(2012/484/UE)
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), nomeadamente o artigo 25.o, n.o 6,
Após consulta da Autoridade Europeia para a Proteção de Dados (2),
Considerando o seguinte:
(1)
Nos termos da Diretiva 95/46/CE, os Estados-Membros devem garantir que a transferência de dados pessoais para um país terceiro só possa realizar-se se este país assegurar um nível de proteção adequado e se a legislação dos Estados-Membros que transpõe outras disposições da diretiva tiver sido respeitada antes de efetuada a transferência.
(2)
A Comissão pode determinar que um país terceiro garante um nível de proteção adequado. Neste caso, podem ser transferidos dados pessoais a partir dos Estados-Membros sem necessidade de garantias adicionais.
(3)
Nos termos da Diretiva 95/46/CE, a adequação do nível de proteção de dados deve ser apreciada em função de todas as circunstâncias que envolvem a operação ou o conjunto de operações de transferência de dados, atendendo particularmente a determinados elementos importantes da transferência enumerados no artigo 25.o da diretiva.
(4)
Uma vez que nos países terceiros vigoram níveis de proteção diferentes, a adequação deve ser apreciada e quaisquer decisões com base no artigo 25.o, n.o 6, da Diretiva 95/46/CE devem ser tomadas e aplicadas de forma que não se verifique uma discriminação arbitrária ou injustificada contra ou entre países terceiros em que prevaleçam condições semelhantes, nem constitua um obstáculo dissimulado ao comércio, tendo em conta os atuais compromissos internacionais assumidos pela União Europeia.
(5)
A Constituição da República Oriental do Uruguai, aprovada em 1967, não reconhece expressamente o direito ao respeito pela vida privada e à proteção dos dados pessoais. Contudo, a enumeração dos direitos fundamentais não constitui uma lista fechada, dado que o artigo 72.o da Constituição determina que a lista de direitos, obrigações e garantias previstos na Constituição não exclui outros que sejam inerentes à personalidade humana ou que derivem da forma republicana de governo. O artigo 1.o da Lei n.o 18.331 de proteção de dados pessoais e ação de habeas data, de 11 de agosto de 2008 (Ley n.o 18.331 de protección de datos personales y acción de habeas data) prevê expressamente que «o direito à proteção dos dados pessoais é inerente ao ser humano, pelo que se encontra abrangido pelo artigo 72.o da Constituição da República». O artigo 332.o da Constituição estabelece que a aplicação das suas disposições que reconhecem direitos individuais, bem como das que conferem direitos e impõem obrigações às autoridades públicas, não deve ser prejudicada pela ausência de legislação específica de regulamentação; a aplicação das referidas disposições deve basear-se, recorrendo ao princípios subjacentes a legislação semelhante, nos princípios gerais do direito e nas doutrinas geralmente aceites.
(6)
As normas de proteção dos dados pessoais da República Oriental do Uruguai baseiam-se em grande medida nas normas da Diretiva 95/46/CE e encontram-se estabelecidas na Lei n.o 18.331 de proteção dos dados pessoais e ação de habeas data (Ley n.o 18.331 de protección de datos personales y acción de habeas data), de 11 de agosto de 2008, que é aplicável tanto às pessoas singulares como às pessoas coletivas.
(7)
A referida lei é regulamentada pelo Decreto n.o 414/009, de 31 de agosto de 2009, aprovado no intuito de clarificar diversos elementos da lei e regular a organização, os poderes e o funcionamento da autoridade nacional de proteção de dados. O preâmbulo deste decreto indica que, quanto a esta questão, a ordem jurídica nacional deve ser adaptada ao regime jurídico comparável mais comummente aceite, sobretudo o estabelecido pelos países europeus através da Diretiva 95/46/CE.
(8)
Também existem disposições de proteção de dados em algumas leis especiais que criam e regulam bases de dados, nomeadamente leis que regulam determinados registos públicos (escrituras notariais, propriedade industrial e marcas, atos pessoais, direitos reais, atividade mineira ou informação financeira). A Lei n.o 18.311 aplica-se supletivamente às questões que não são especificamente regidas por esses diplomas específicos, nos termos do artigo 332.o da Constituição.
(9)
As normas de proteção de dados aplicáveis na República Oriental do Uruguai cobrem todos os princípios básicos necessários para assegurar um nível adequado de proteção das pessoas singulares e preveem também exceções e limitações de modo a salvaguardar interesses públicos importantes. Estas normas de proteção de dados e as exceções referidas refletem os princípios consagrados na Diretiva 95/46/CE.
(10)
A aplicação das normas de proteção de dados é garantida pela existência de vias de recurso administrativas e judiciais, em especial pela ação de habeas data, que permite à pessoa a quem se referem os dados intentar uma ação judicial contra o responsável pelo tratamento dos dados, a fim de exercer o direito de acesso, retificação e supressão, e por um controlo independente efetuado pela Unidade Reguladora e de Controlo de Dados Pessoais (Unidad Reguladora y de Control de Datos Personales - URCDP), que tem poderes de investigação, intervenção e sanção, seguindo o disposto no artigo 28.o da Diretiva 95/46/CE, e que atua de forma totalmente independente. Além disso, qualquer parte interessada pode recorrer aos tribunais para pedir uma indemnização por danos sofridos em consequência do tratamento ilícito dos seus dados pessoais.
(11)
As autoridades uruguaias de proteção de dados apresentaram explicações e deram garantias sobre o modo como a legislação uruguaia é interpretada, tendo assegurado que a legislação em matéria de proteção de dados é aplicada de acordo com essa interpretação. As autoridades de proteção de dados uruguaias explicaram nomeadamente que, nos termos do artigo 332.o da Constituição, a Lei n.o 18.331 é aplicável supletivamente às questões que não são especificamente reguladas nas leis especiais que criam e regem determinadas bases de dados. Explicaram ainda que, no que se refere às listas mencionadas no artigo 9.o, alínea c), da Lei n.o 18.331, que não exige o consentimento da pessoa a quem os dados dizem respeito para proceder ao tratamento, essa lei também é aplicável, nomeadamente os princípios da proporcionalidade e finalidade, os direitos das pessoas a quem os dados dizem respeito e a sujeição ao controlo da autoridade nacional de proteção de dados. No que se refere ao princípio da transparência, as autoridades uruguaias de proteção de dados comunicaram que a obrigação de prestar as informações necessárias às pessoas a quem os dados dizem respeito é aplicável em todas as situações. Relativamente ao direito de acesso, a autoridade de proteção de dados especificou que é suficiente que a pessoa em causa prove a sua identidade no momento em que apresentar o pedido. As autoridades uruguaias de proteção de dados especificaram ainda que as exceções relativas ao princípio das transferências internacionais, previstas no artigo 23.o, n.o 1, da Lei n.o 18.331, não podem ser interpretados com um âmbito mais vasto do que o previsto no artigo 26.o, n.o 1, da Diretiva 95/46/CE.
(12)
A presente decisão tem em conta as explicações e garantias dadas e baseia-se nelas.
(13)
A República Oriental do Uruguai é também signatária da Convenção Americana de Direitos Humanos (Pacto de São José da Costa Rica), de 22 de novembro de 1969, em vigor desde 18 de julho de 1978 (3). O artigo 11.o desta convenção prevê o direito à privacidade e o artigo 30.o estabelece que, nos termos da convenção, as eventuais restrições ao gozo ou exercício dos direitos nela reconhecidos só podem ser aplicadas nos termos de legislação aprovada por motivos de interesse geral e em conformidade com o objetivo para que foram previstas. Por outro lado, a República Oriental do Uruguai aceitou a competência do Tribunal Interamericano dos Direitos do Homem. Além disso, na 1118.a reunião dos Delegados dos Ministros do Conselho da Europa, de 6 de julho de 2011, a República Oriental do Uruguai foi convidada a assinar a Convenção para a proteção das pessoas relativamente ao tratamento automatizado de dados de caráter pessoal (STCE 108) e o seu Protocolo Adicional (STCE 118), na sequência de um parecer favorável do comité consultivo competente (4).
(14)
Deve considerar-se, portanto, que a República Oriental do Uruguai assegura um nível adequado de proteção dos dados pessoais, na aceção da Diretiva 95/46/CE.
(15)
A presente decisão deve incidir sobre a adequação da proteção prevista na República Oriental do Uruguai, com vista ao cumprimento dos requisitos previstos no artigo 25.o, n.o 1, da Diretiva 95/46/CE, e não deve abranger eventuais condições ou restrições de aplicação de outras disposições dessa diretiva relativas ao tratamento de dados pessoais nos Estados-Membros.
(16)
A bem da transparência e para salvaguardar a capacidade de as autoridades competentes dos Estados-Membros assegurarem a proteção das pessoas no que diz respeito ao tratamento dos seus dados pessoais, é necessário precisar as circunstâncias excecionais que poderão justificar a suspensão de transferências concretas de dados, apesar de verificado o nível de proteção adequado.
(17)
A Comissão deve controlar a aplicação da decisão e enviar, se for o caso, as informações relevantes ao Comité estabelecido pelo artigo 31.o da Diretiva 95/46/CE. Este controlo deve cobrir, entre outros, o regime aplicável na República Oriental do Uruguai às transferências no âmbito de tratados internacionais.
(18)
O Grupo de Trabalho sobre a proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, instituído nos termos do artigo 29.o da Diretiva 95/46/CE, emitiu um parecer favorável sobre a adequação do nível de proteção dos dados pessoais, que foi tido em conta na preparação da presente decisão (5).
(19)
As medidas previstas na presente decisão estão em conformidade com o parecer do comité instituído pelo artigo 31.o, n.o 1, da Diretiva 95/46/CE,
ADOTOU A PRESENTE DECISÃO:
Artigo 1.o
1. Para efeitos do artigo 25.o, n.o 2, da Diretiva 95/46/CE, considera-se que a República Oriental do Uruguai assegura um nível adequado de proteção dos dados pessoais transferidos a partir da União Europeia.
2. A autoridade da República Oriental do Uruguai competente para controlar a aplicação das normas de proteção de dados no país é indicada no anexo da presente decisão.
Artigo 2.o
1. Sem prejuízo das competências que lhes permitem agir para assegurar o cumprimento das disposições nacionais adotadas em conformidade com medidas diferentes das enunciadas no artigo 25.o da Diretiva 95/46/CE, as autoridades competentes dos Estados-Membros podem exercer as atuais competências para suspender a transferência de dados para um destinatário na República Oriental do Uruguai, por forma a assegurar a proteção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais, sempre que:
a)
Uma autoridade uruguaia competente verifique que o destinatário desrespeita as normas de proteção aplicáveis; ou
b)
Existam fortes probabilidades de as normas de proteção não estarem a ser cumpridas, existam motivos suficientes para crer que a autoridade uruguaia competente não toma ou não tomará as decisões adequadas na altura devida para resolver o caso em questão e a continuação da transferência dos dados possa representar um risco iminente de graves prejuízos para as pessoas em causa, embora as autoridades competentes nos Estados-Membros tenham envidado esforços razoáveis, dadas as circunstâncias, para facultar à organização responsável pelo tratamento estabelecida na República Oriental do Uruguai a informação e a oportunidade de resposta.
2. A suspensão cessará assim que o cumprimento das normas de proteção estiver assegurado e as autoridades competentes dos Estados-Membros em causa sejam disso informadas.
Artigo 3.o
1. Os Estados-Membros devem comunicar imediatamente à Comissão a adoção de medidas nos termos do artigo 2.o.
2. Os Estados-Membros e a Comissão devem ainda manter-se mutuamente informados relativamente aos casos em que os organismos responsáveis pelo cumprimento das normas de proteção de dados na República Oriental do Uruguai não garantam esse mesmo cumprimento.
3. Se as informações recolhidas ao abrigo do artigo 2.o e dos n.os 1 e 2 do presente artigo revelarem que os organismos responsáveis pelo cumprimento das normas de proteção de dados na República Oriental do Uruguai não desempenham eficazmente as suas funções, a Comissão deve informar a autoridade uruguaia competente e, se necessário, apresentar um projeto de medidas de acordo com o procedimento referido no artigo 31.o, n.o 2, da Diretiva 95/46/CE, para revogar ou suspender a presente decisão ou limitar o seu âmbito de aplicação.
Artigo 4.o
A Comissão acompanha a aplicação da presente decisão e informa o comité instituído pelo artigo 31.o da Diretiva 95/46/CE de todas as conclusões pertinentes, nomeadamente de todas as provas que possam comprometer a avaliação da adequação do nível de proteção assegurado pela República Oriental do Uruguai relativamente ao disposto no artigo 1.o da presente decisão, nos termos do artigo 25.o da Diretiva 95/46/CE, e de todas as provas de aplicação discriminatória da presente decisão.
Artigo 5.o
Os Estados-Membros devem tomar todas as medidas necessárias para dar cumprimento à presente decisão no prazo de 3 meses após a data da sua notificação.
Artigo 6.o
Os destinatários da presente diretiva são os Estados-Membros.
Feito em Bruxelas, em 21 de agosto de 2012.