PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
DECYZJA WYKONAWCZA KOMISJI
z dnia 21 sierpnia 2012 r.
na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady, w sprawie odpowiedniej ochrony danych osobowych przez Wschodnią Republikę Urugwaju w odniesieniu do zautomatyzowanego przetwarzania danych osobowych
(notyfikowana jako dokument nr C(2012) 5704)
(Tekst mający znaczenie dla EOG)
(2012/484/UE)
KOMISJA EUROPEJSKA,
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,
uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (1), w szczególności jej art. 25 ust. 6,
po konsultacji z Europejskim Inspektorem Ochrony Danych (2),
a także mając na uwadze, co następuje:
(1)
Na mocy dyrektywy 95/46/WE państwa członkowskie są zobowiązane zapewnić, by przekazanie danych osobowych do państwa trzeciego miało miejsce tylko wtedy, gdy dany kraj trzeci zapewni odpowiedni poziom ochrony i gdy przed przekazaniem dopełni się wymogów zawartych w przepisach państw członkowskich wdrażających pozostałe przepisy dyrektywy.
(2)
Komisja może stwierdzić, że państwo trzecie gwarantuje odpowiedni poziom ochrony. W takim przypadku dane osobowe można przekazywać z państw członkowskich bez konieczności zapewniania dodatkowych gwarancji.
(3)
Na mocy dyrektywy 95/46/WE poziom ochrony danych osobowych powinien być oceniany w świetle wszystkich okoliczności dotyczących operacji przekazania danych lub zestawu takich operacji, ze szczególnym uwzględnieniem szeregu elementów mających znaczenie przy przekazywaniu, wyszczególnionych w art. 25 dyrektywy.
(4)
W warunkach zróżnicowanego podejścia państw trzecich do ochrony danych należy ocenić, czy ochrona danych jest odpowiednia, natomiast wszelkie decyzje oparte o art. 25 ust. 6 dyrektywy 95/46/WE należy podejmować i wprowadzać w życie w sposób, który w świetle aktualnych międzynarodowych zobowiązań Unii nie stanowi arbitralnej lub nieuzasadnionej dyskryminacji państw trzecich ani ich nierównego traktowania w podobnych przypadkach, ani też nie stanowi ukrytej bariery dla handlu, przy uwzględnieniu obecnych zobowiązań międzynarodowych Unii Europejskiej.
(5)
W konstytucji politycznej Wschodniej Republiki Urugwaju uchwalonej w 1967 r. nie uznano wyraźnie prawa do prywatności i ochrony danych osobowych. Jednakże katalog praw podstawowych nie jest zamknięty, ponieważ art. 72 konstytucji przewiduje, że wykaz praw, obowiązków i gwarancji w konstytucji nie wyklucza innych praw, obowiązków i gwarancji, które są właściwe osobie ludzkiej lub które wywodzą się z republikańskiej formy rządów. Artykuł 1 ustawy nr 18.331 o ochronie danych osobowych oraz czynnościach związanych z prawem „Habeas Data” z 11 sierpnia 2008 r. (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) wyraźnie stanowi, że „prawo do ochrony danych osobowych jest właściwe osobie ludzkiej i dlatego jest zawarte w art. 72 konstytucji Republiki”. Artykuł 332 konstytucji stanowi, że dla stosowania przepisów tej konstytucji, w których uznano prawa osób fizycznych, jak również przyznano prawa organom publicznym oraz nałożono na nie obowiązki, nie może stanowić przeszkody brak szczegółowych uregulowań. W przypadku ich braku sięga się do zasad stanowiących fundament podobnych przepisów, do ogólnych zasad prawnych i powszechnie akceptowanych doktryn.
(6)
Normy prawne dotyczące ochrony danych osobowych we Wschodniej Republice Urugwaju opierają się w przeważającej mierze na normach określonych w dyrektywie 95/46/WE i zostały ustanowione w ustawie nr 18.331 o ochronie danych osobowych oraz czynnościach związanych z prawem „Habeas Data” (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) z dnia 11 sierpnia 2008 r. Jej zakres obejmuje zarówno osoby fizyczne, jak i prawne.
(7)
Ustawę uzupełnia ponadto dekret nr 414/009 z dnia 31 sierpnia 2009 r. przyjęty w celu wyjaśnienia szeregu aspektów ustawy oraz ustanowienia szczegółowych regulacji dotyczących organizacji, kompetencji i funkcjonowania organu odpowiedzialnego za nadzorowanie ochrony danych. W preambule dekretu stwierdzono, że należy dostosować krajowy system prawny w tym zakresie do najbardziej akceptowanego porównywalnego systemu prawnego, zasadniczo do systemu ustanowionego przez państwa europejskie dyrektywą 95/46/WE.
(8)
Przepisy dotyczące ochrony danych zawarte są także w licznych aktach specjalnych tworzących i regulujących bazy danych, mianowicie aktach regulujących określone rejestry publiczne (dokumenty urzędowe, własność przemysłowa i znaki towarowe, akty osobiste, nieruchomości, górnictwo lub informacja kredytowa). Ustawa nr 18.331 ma dodatkowo zastosowanie do tych aktów w kwestiach, które nie zostały uregulowane tymi szczególnymi instrumentami prawnymi, na mocy art. 332 konstytucji.
(9)
Normy prawne dotyczące ochrony danych obowiązujące we Wschodniej Republice Urugwaju obejmują wszystkie podstawowe zasady konieczne do zapewnienia odpowiedniego poziomu ochrony osób fizycznych, określają jednak również wyjątki i ograniczenia w celu ochrony ważnych interesów publicznych. Te normy prawne i wyjątki w zakresie ochrony danych stanowią odzwierciedlenie zasad ustanowionych dyrektywą 95/46/WE.
(10)
Zastosowanie norm prawnych dotyczących ochrony danych jest gwarantowane przez organy administracyjne i sądowe, w szczególności przez czynności związane z prawem „habeas data”, które umożliwia osobom, których te dane dotyczą, pozwanie administratora danych do sądu w celu wyegzekwowania prawa do dostępu, poprawienia i usunięcia danych oraz poprzez niezależny nadzór realizowany przez organ nadzorczy, Jednostkę ds. Regulacji i Kontroli Danych Osobowych (Unidad Reguladora y de Control de Datos Personales - URCDP), wyposażoną w kompetencje do prowadzenia dochodzeń, podejmowania interwencji i karania, zgodnie z art. 28 dyrektywy 95/46/WE, i która działa całkowicie niezależnie. Ponadto zainteresowany podmiot uprawniony jest do wystąpienia do sądu o odszkodowanie za szkody poniesione w wyniku bezprawnego przetwarzania jego danych osobowych.
(11)
Organy ochrony danych w Urugwaju dostarczyły wyjaśnień oraz zapewnień odnośnie do wykładni urugwajskiego prawa oraz zapewniły, że przepisy z zakresu ochrony danych w Urugwaju są wprowadzane w życie zgodnie z taką wykładnią. Urugwajskie organy ochrony danych wyjaśniły w szczególności, że na mocy art. 332 konstytucji, ustawa nr 18.331 ma dodatkowo zastosowanie do aktów specjalnych, które tworzą i regulują szczególne bazy danych w odniesieniu do tych kwestii, które nie zostały uregulowane w tych specjalnych instrumentach prawnych. Wyjaśniły one również, że jeżeli chodzi o wykazy, o których mowa w art. 9 lit. C) ustawy nr 18.331, i które nie w wymagają zgody osoby, której dane dotyczą, na przetwarzanie, ustawa również ma zastosowanie, a mianowicie zasady proporcjonalności i celowości oraz prawa osób, których dane dotyczą, a także że podlegają one nadzorowi organu ochrony danych. W odniesieniu do zasady przejrzystości urugwajskie organy ochrony danych poinformowały, że obowiązek udzielenia osobie, której dane dotyczą, niezbędnych informacji ma zastosowanie we wszystkich przypadkach. W odniesieniu do prawa dostępu, organ ochrony danych wyjaśnił, że wystarczy, by osoba, której dane dotyczą, dowiodła swej tożsamości przy składaniu wniosku. Urugwajskie organy ochrony danych wyjaśniły, że wyjątki związane z zasadą dotyczącą transferów międzynarodowych ustanowioną w art. 23 ust. 1 ustawy nr 18.331 nie mogą być rozumiane jako mające szersze zastosowanie niż te przewidziane w art. 26 ust. 1 dyrektywy 95/46/WE.
(12)
Niniejsza decyzja uwzględnia te wyjaśnienia oraz zapewnienia i jest na nich oparta.
(13)
Wschodnia Republika Paragwaju jest również stroną Amerykańskiej konwencji praw człowieka („Pakt z San José de Costa Rica”) z dnia 22 listopada 1969 r., która weszła w życie w dniu 18 lipca 1978 r. (3). Artykuł 11 tej konwencji ustanawia prawa do prywatności, a art. 30 stwierdza, że ograniczenia, które na mocy tej konwencji mogą zostać wprowadzone w odniesieniu do korzystania z praw i wolności uznanych w konwencji mogą być stosowane jedynie zgodnie z ustawami przyjętymi w interesie ogólnym oraz zgodnie z celem, w jakim takie ograniczenia zostały ustanowione (art. 30). Ponadto Wschodnia Republika Paragwaju zaakceptowała jurysdykcję Międzyamerykańskiego Trybunału Praw Człowieka. Podczas 1118. posiedzenia Komitetu Delegatów Ministrów Rady Europy zorganizowanego w dniu 6 lipca 2011 r., po uzyskaniu pozytywnej opinii właściwego komitetu konsultacyjnego (4), delegaci zwrócili się do Wschodniej Republiki Urugwaju, by przystąpiła do Konwencji o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (ETS nr 108) oraz jej Protokołu dodatkowego (ETS nr 118).
(14)
Wschodnia Republika Urugwaju powinna zatem zostać uznana za państwo zapewniające odpowiedni poziom ochrony danych osobowych, o którym mowa w dyrektywie 95/46/WE.
(15)
Niniejsza decyzja powinna dotyczyć adekwatności ochrony zapewnianej we Wschodniej Republice Urugwaju w celu sprostania wymogom art. 25 ust. 1 dyrektywy 95/46/WE. Nie powinna ona wpływać na inne warunki ani ograniczenia, służące realizacji innych przepisów tej dyrektywy, które są elementem przetwarzania danych osobowych w państwach członkowskich.
(16)
W imię przejrzystości i do celów zabezpieczenia zdolności właściwych organów w państwach członkowskich do zagwarantowania osobom fizycznym ochrony w zakresie przetwarzania ich danych osobowych konieczne jest określenie wyjątkowych okoliczności, w których uzasadnione może być zawieszenie przepływu określonych danych, niezależnie od uznania poziomu ochrony za odpowiedni.
(17)
Komisja powinna monitorować funkcjonowanie decyzji i złożyć sprowadzanie z wszelkich istotnych ustaleń komitetowi ustanowionemu na mocy art. 31 dyrektywy 95/46/WE. Monitorowanie to powinno obejmować, między innymi, obowiązujący we Wschodniej Republice Urugwaju system mający zastosowanie do transferów w ramach traktatów międzynarodowych.
(18)
Grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych ustanowiona na mocy art. 29 dyrektywy 95/46/WE, dostarczyła pozytywną opinię w sprawie poziomu odpowiedniej ochrony w odniesieniu do danych osobowych, która została uwzględniona w trakcie przygotowania niniejszej decyzji (5).
(19)
Środki przewidziane w niniejszej decyzji są zgodne z opinią komitetu ustanowionego na mocy art. 31 ust. 1 dyrektywy 95/46/WE,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
Artykuł 1
1. Do celów art. 25 ust. 2 dyrektywy 95/46/WE Wschodnia Republika Urugwaju uznawana jest za państwo zapewniające odpowiedni poziom ochrony danych osobowych przekazywanych z Unii Europejskiej.
2. Właściwy organ nadzorczy Wschodniej Republiki Urugwaju na potrzeby stosowania norm prawnych w zakresie ochrony danych we Wschodniej Republice Urugwaju został określony w załączniku do niniejszej decyzji.
Artykuł 2
1. Bez uszczerbku dla ich kompetencji do podejmowania działań zmierzających do zagwarantowania zgodności z przepisami krajowymi przyjętymi zgodnie z przepisami innymi niż te zawarte w art. 25 dyrektywy 95/46/WE, właściwe władze w państwach członkowskich mogą wykorzystać swoje obecne kompetencje i zawiesić przepływ danych do odbiorców we Wschodniej Republice Urugwaju w celu ochrony osób fizycznych przy przetwarzaniu ich danych osobowych, w następujących przypadkach:
a)
właściwy organ urugwajski ustalił, że odbiorca narusza obowiązujące normy ochrony; lub
b)
istnieje duże prawdopodobieństwo, że normy ochrony są naruszane; istnieją uzasadnione podstawy, aby przypuszczać, że właściwy organ urugwajski nie podejmuje lub nie podejmie w odpowiednim terminie właściwych kroków zmierzających do rozstrzygnięcia danej sprawy; dalsze przekazywanie danych spowodowałoby bezpośrednie niebezpieczeństwo wyrządzenia poważnej szkody podmiotom danych, a właściwe organy w państwie członkowskim podjęły odpowiednie w danych okolicznościach czynności w celu dostarczenia stronie odpowiedzialnej za przetwarzanie danych we Wschodniej Republice Urugwaju powiadomienia o powyższym oraz umożliwienia jej udzielenia odpowiedzi.
2. Zawieszenie przepływu danych ustaje z chwilą, gdy zagwarantowane zostanie przestrzeganie norm ochrony, a właściwy organ w zainteresowanym państwie członkowskim zostanie o tym powiadomiony.
Artykuł 3
1. Państwa członkowskie bezzwłocznie zawiadamiają Komisję o przyjęciu środków na podstawie art. 2.
2. Państwa członkowskie oraz Komisja powiadamiają się wzajemnie o przypadkach, gdy działania organów odpowiedzialnych za zapewnianie zgodności z normami ochrony we Wschodniej Republice Urugwaju nie gwarantują takiej zgodności.
3. Jeśli informacje zebrane na mocy art. 2 i na mocy ust. 1 i 2 niniejszego artykułu potwierdzają, że jakikolwiek organ odpowiedzialny za zapewnienie zgodności z normami ochrony we Wschodniej Republice Urugwaju nie pełni skutecznie swojej roli, Komisja powiadamia o tym właściwy organ urugwajski i, w razie potrzeby, przedstawia projekt środków zgodnie z procedurą określoną w art. 31 ust. 2 dyrektywy 95/46/WE w celu uchylenia lub zawieszenia niniejszej decyzji lub ograniczenia jej zakresu stosowania.
Artykuł 4
Komisja monitoruje wprowadzanie w życie niniejszej decyzji i przekazuje wszelkie stosowne ustalenia komitetowi ustanowionemu na podstawie art. 31 dyrektywy 95/46/WE, w tym także wszelkie dowody, które mogłyby podważać założenie zawarte w art. 1 niniejszej decyzji, że ochrona danych we Wschodniej Republice Urugwaju jest odpowiednia w rozumieniu art. 25 dyrektywy 95/46/WE, lub które mogą wskazywać, że niniejsza decyzja jest wykonywana w sposób dyskryminacyjny.
Artykuł 5
Państwa członkowskie podejmują wszelkie niezbędne środki w celu zastosowania się do niniejszej decyzji w terminie trzech miesięcy od dnia jej notyfikacji.
Artykuł 6
Niniejsza decyzja skierowana jest do państw członkowskich.
Sporządzono w Brukseli dnia 21 sierpnia 2012 r.