PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
DECISÃO DE EXECUÇÃO DA COMISSÃO
de 21 de agosto de 2012
nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho relativa à adequação do nível de proteção de dados pessoais pela República Oriental do Uruguai no que se refere ao tratamento automatizado de dados
[notificada com o número C(2012) 5704]
(Texto relevante para efeitos do EEE)
(2012/484/UE)
A COMISSÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), nomeadamente o artigo 25.o, n.o 6,
Após consulta da Autoridade Europeia para a Proteção de Dados (2),
Considerando o seguinte:
(1)
Nos termos da Diretiva 95/46/CE, os Estados-Membros devem garantir que a transferência de dados pessoais para um país terceiro só possa realizar-se se este país assegurar um nível de proteção adequado e se a legislação dos Estados-Membros que transpõe outras disposições da diretiva tiver sido respeitada antes de efetuada a transferência.
(2)
A Comissão pode determinar que um país terceiro garante um nível de proteção adequado. Neste caso, podem ser transferidos dados pessoais a partir dos Estados-Membros sem necessidade de garantias adicionais.
(3)
Nos termos da Diretiva 95/46/CE, a adequação do nível de proteção de dados deve ser apreciada em função de todas as circunstâncias que envolvem a operação ou o conjunto de operações de transferência de dados, atendendo particularmente a determinados elementos importantes da transferência enumerados no artigo 25.o da diretiva.
(4)
Uma vez que nos países terceiros vigoram níveis de proteção diferentes, a adequação deve ser apreciada e quaisquer decisões com base no artigo 25.o, n.o 6, da Diretiva 95/46/CE devem ser tomadas e aplicadas de forma que não se verifique uma discriminação arbitrária ou injustificada contra ou entre países terceiros em que prevaleçam condições semelhantes, nem constitua um obstáculo dissimulado ao comércio, tendo em conta os atuais compromissos internacionais assumidos pela União Europeia.
(5)
A Constituição da República Oriental do Uruguai, aprovada em 1967, não reconhece expressamente o direito ao respeito pela vida privada e à proteção dos dados pessoais. Contudo, a enumeração dos direitos fundamentais não constitui uma lista fechada, dado que o artigo 72.o da Constituição determina que a lista de direitos, obrigações e garantias previstos na Constituição não exclui outros que sejam inerentes à personalidade humana ou que derivem da forma republicana de governo. O artigo 1.o da Lei n.o 18.331 de proteção de dados pessoais e ação de habeas data, de 11 de agosto de 2008 (Ley n.o 18.331 de protección de datos personales y acción de habeas data) prevê expressamente que «o direito à proteção dos dados pessoais é inerente ao ser humano, pelo que se encontra abrangido pelo artigo 72.o da Constituição da República». O artigo 332.o da Constituição estabelece que a aplicação das suas disposições que reconhecem direitos individuais, bem como das que conferem direitos e impõem obrigações às autoridades públicas, não deve ser prejudicada pela ausência de legislação específica de regulamentação; a aplicação das referidas disposições deve basear-se, recorrendo ao princípios subjacentes a legislação semelhante, nos princípios gerais do direito e nas doutrinas geralmente aceites.
(6)
As normas de proteção dos dados pessoais da República Oriental do Uruguai baseiam-se em grande medida nas normas da Diretiva 95/46/CE e encontram-se estabelecidas na Lei n.o 18.331 de proteção dos dados pessoais e ação de habeas data (Ley n.o 18.331 de protección de datos personales y acción de habeas data), de 11 de agosto de 2008, que é aplicável tanto às pessoas singulares como às pessoas coletivas.
(7)
A referida lei é regulamentada pelo Decreto n.o 414/009, de 31 de agosto de 2009, aprovado no intuito de clarificar diversos elementos da lei e regular a organização, os poderes e o funcionamento da autoridade nacional de proteção de dados. O preâmbulo deste decreto indica que, quanto a esta questão, a ordem jurídica nacional deve ser adaptada ao regime jurídico comparável mais comummente aceite, sobretudo o estabelecido pelos países europeus através da Diretiva 95/46/CE.
(8)
Também existem disposições de proteção de dados em algumas leis especiais que criam e regulam bases de dados, nomeadamente leis que regulam determinados registos públicos (escrituras notariais, propriedade industrial e marcas, atos pessoais, direitos reais, atividade mineira ou informação financeira). A Lei n.o 18.311 aplica-se supletivamente às questões que não são especificamente regidas por esses diplomas específicos, nos termos do artigo 332.o da Constituição.
(9)
As normas de proteção de dados aplicáveis na República Oriental do Uruguai cobrem todos os princípios básicos necessários para assegurar um nível adequado de proteção das pessoas singulares e preveem também exceções e limitações de modo a salvaguardar interesses públicos importantes. Estas normas de proteção de dados e as exceções referidas refletem os princípios consagrados na Diretiva 95/46/CE.
(10)
A aplicação das normas de proteção de dados é garantida pela existência de vias de recurso administrativas e judiciais, em especial pela ação de habeas data, que permite à pessoa a quem se referem os dados intentar uma ação judicial contra o responsável pelo tratamento dos dados, a fim de exercer o direito de acesso, retificação e supressão, e por um controlo independente efetuado pela Unidade Reguladora e de Controlo de Dados Pessoais (Unidad Reguladora y de Control de Datos Personales - URCDP), que tem poderes de investigação, intervenção e sanção, seguindo o disposto no artigo 28.o da Diretiva 95/46/CE, e que atua de forma totalmente independente. Além disso, qualquer parte interessada pode recorrer aos tribunais para pedir uma indemnização por danos sofridos em consequência do tratamento ilícito dos seus dados pessoais.
(11)
As autoridades uruguaias de proteção de dados apresentaram explicações e deram garantias sobre o modo como a legislação uruguaia é interpretada, tendo assegurado que a legislação em matéria de proteção de dados é aplicada de acordo com essa interpretação. As autoridades de proteção de dados uruguaias explicaram nomeadamente que, nos termos do artigo 332.o da Constituição, a Lei n.o 18.331 é aplicável supletivamente às questões que não são especificamente reguladas nas leis especiais que criam e regem determinadas bases de dados. Explicaram ainda que, no que se refere às listas mencionadas no artigo 9.o, alínea c), da Lei n.o 18.331, que não exige o consentimento da pessoa a quem os dados dizem respeito para proceder ao tratamento, essa lei também é aplicável, nomeadamente os princípios da proporcionalidade e finalidade, os direitos das pessoas a quem os dados dizem respeito e a sujeição ao controlo da autoridade nacional de proteção de dados. No que se refere ao princípio da transparência, as autoridades uruguaias de proteção de dados comunicaram que a obrigação de prestar as informações necessárias às pessoas a quem os dados dizem respeito é aplicável em todas as situações. Relativamente ao direito de acesso, a autoridade de proteção de dados especificou que é suficiente que a pessoa em causa prove a sua identidade no momento em que apresentar o pedido. As autoridades uruguaias de proteção de dados especificaram ainda que as exceções relativas ao princípio das transferências internacionais, previstas no artigo 23.o, n.o 1, da Lei n.o 18.331, não podem ser interpretados com um âmbito mais vasto do que o previsto no artigo 26.o, n.o 1, da Diretiva 95/46/CE.
(12)
A presente decisão tem em conta as explicações e garantias dadas e baseia-se nelas.
(13)
A República Oriental do Uruguai é também signatária da Convenção Americana de Direitos Humanos (Pacto de São José da Costa Rica), de 22 de novembro de 1969, em vigor desde 18 de julho de 1978 (3). O artigo 11.o desta convenção prevê o direito à privacidade e o artigo 30.o estabelece que, nos termos da convenção, as eventuais restrições ao gozo ou exercício dos direitos nela reconhecidos só podem ser aplicadas nos termos de legislação aprovada por motivos de interesse geral e em conformidade com o objetivo para que foram previstas. Por outro lado, a República Oriental do Uruguai aceitou a competência do Tribunal Interamericano dos Direitos do Homem. Além disso, na 1118.a reunião dos Delegados dos Ministros do Conselho da Europa, de 6 de julho de 2011, a República Oriental do Uruguai foi convidada a assinar a Convenção para a proteção das pessoas relativamente ao tratamento automatizado de dados de caráter pessoal (STCE 108) e o seu Protocolo Adicional (STCE 118), na sequência de um parecer favorável do comité consultivo competente (4).
(14)
Deve considerar-se, portanto, que a República Oriental do Uruguai assegura um nível adequado de proteção dos dados pessoais, na aceção da Diretiva 95/46/CE.
(15)
A presente decisão deve incidir sobre a adequação da proteção prevista na República Oriental do Uruguai, com vista ao cumprimento dos requisitos previstos no artigo 25.o, n.o 1, da Diretiva 95/46/CE, e não deve abranger eventuais condições ou restrições de aplicação de outras disposições dessa diretiva relativas ao tratamento de dados pessoais nos Estados-Membros.
(16)
A bem da transparência e para salvaguardar a capacidade de as autoridades competentes dos Estados-Membros assegurarem a proteção das pessoas no que diz respeito ao tratamento dos seus dados pessoais, é necessário precisar as circunstâncias excecionais que poderão justificar a suspensão de transferências concretas de dados, apesar de verificado o nível de proteção adequado.
(17)
A Comissão deve controlar a aplicação da decisão e enviar, se for o caso, as informações relevantes ao Comité estabelecido pelo artigo 31.o da Diretiva 95/46/CE. Este controlo deve cobrir, entre outros, o regime aplicável na República Oriental do Uruguai às transferências no âmbito de tratados internacionais.
(18)
O Grupo de Trabalho sobre a proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, instituído nos termos do artigo 29.o da Diretiva 95/46/CE, emitiu um parecer favorável sobre a adequação do nível de proteção dos dados pessoais, que foi tido em conta na preparação da presente decisão (5).
(19)
As medidas previstas na presente decisão estão em conformidade com o parecer do comité instituído pelo artigo 31.o, n.o 1, da Diretiva 95/46/CE,
ADOTOU A PRESENTE DECISÃO:
Artigo 1.o
1. Para efeitos do artigo 25.o, n.o 2, da Diretiva 95/46/CE, considera-se que a República Oriental do Uruguai assegura um nível adequado de proteção dos dados pessoais transferidos a partir da União Europeia.
2. A autoridade da República Oriental do Uruguai competente para controlar a aplicação das normas de proteção de dados no país é indicada no anexo da presente decisão.
Artigo 2.o
1. Sem prejuízo das competências que lhes permitem agir para assegurar o cumprimento das disposições nacionais adotadas em conformidade com medidas diferentes das enunciadas no artigo 25.o da Diretiva 95/46/CE, as autoridades competentes dos Estados-Membros podem exercer as atuais competências para suspender a transferência de dados para um destinatário na República Oriental do Uruguai, por forma a assegurar a proteção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais, sempre que:
a)
Uma autoridade uruguaia competente verifique que o destinatário desrespeita as normas de proteção aplicáveis; ou
b)
Existam fortes probabilidades de as normas de proteção não estarem a ser cumpridas, existam motivos suficientes para crer que a autoridade uruguaia competente não toma ou não tomará as decisões adequadas na altura devida para resolver o caso em questão e a continuação da transferência dos dados possa representar um risco iminente de graves prejuízos para as pessoas em causa, embora as autoridades competentes nos Estados-Membros tenham envidado esforços razoáveis, dadas as circunstâncias, para facultar à organização responsável pelo tratamento estabelecida na República Oriental do Uruguai a informação e a oportunidade de resposta.
2. A suspensão cessará assim que o cumprimento das normas de proteção estiver assegurado e as autoridades competentes dos Estados-Membros em causa sejam disso informadas.
Artigo 3.o
1. Os Estados-Membros devem comunicar imediatamente à Comissão a adoção de medidas nos termos do artigo 2.o.
2. Os Estados-Membros e a Comissão devem ainda manter-se mutuamente informados relativamente aos casos em que os organismos responsáveis pelo cumprimento das normas de proteção de dados na República Oriental do Uruguai não garantam esse mesmo cumprimento.
3. Se as informações recolhidas ao abrigo do artigo 2.o e dos n.os 1 e 2 do presente artigo revelarem que os organismos responsáveis pelo cumprimento das normas de proteção de dados na República Oriental do Uruguai não desempenham eficazmente as suas funções, a Comissão deve informar a autoridade uruguaia competente e, se necessário, apresentar um projeto de medidas de acordo com o procedimento referido no artigo 31.o, n.o 2, da Diretiva 95/46/CE, para revogar ou suspender a presente decisão ou limitar o seu âmbito de aplicação.
Artigo 4.o
A Comissão acompanha a aplicação da presente decisão e informa o comité instituído pelo artigo 31.o da Diretiva 95/46/CE de todas as conclusões pertinentes, nomeadamente de todas as provas que possam comprometer a avaliação da adequação do nível de proteção assegurado pela República Oriental do Uruguai relativamente ao disposto no artigo 1.o da presente decisão, nos termos do artigo 25.o da Diretiva 95/46/CE, e de todas as provas de aplicação discriminatória da presente decisão.
Artigo 5.o
Os Estados-Membros devem tomar todas as medidas necessárias para dar cumprimento à presente decisão no prazo de 3 meses após a data da sua notificação.
Artigo 6.o
Os destinatários da presente diretiva são os Estados-Membros.
Feito em Bruxelas, em 21 de agosto de 2012.