РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
ΕΚΤΕΛΕΣΤΙΚΉ ΑΠΌΦΑΣΗ ΤΗΣ ΕΠΙΤΡΟΠΉΣ
της 21ης Αυγούστου 2012
σχετικά με την επάρκεια, σύμφωνα με την οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της προστασίας των δεδομένων προσωπικού χαρακτήρα στην Ανατολική Δημοκρατία της Ουρουγουάης όσον αφορά την αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα
[κοινοποιηθείσα υπό τον αριθμό C(2012) 5704]
(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)
(2012/484/ΕΕ)
Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,
Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,
Έχοντας υπόψη την οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (1), και ιδίως το άρθρο 25 παράγραφος 6,
Έπειτα από διαβούλευση με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων (2),
Εκτιμώντας τα ακόλουθα:
(1)
Σύμφωνα με την οδηγία 95/46/ΕΚ, τα κράτη μέλη οφείλουν να προβλέπουν ότι η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα επιτρέπεται μόνον εφόσον η εν λόγω τρίτη χώρα εξασφαλίζει επαρκές επίπεδο προστασίας και εφόσον τηρούνται, πριν από τη διαβίβαση, οι νόμοι που έχουν θεσπίσει τα κράτη μέλη για την εφαρμογή άλλων διατάξεων της οδηγίας.
(2)
Η Επιτροπή μπορεί να αποφανθεί ότι μια τρίτη χώρα εξασφαλίζει επαρκές επίπεδο προστασίας. Στην περίπτωση αυτή, τα κράτη μέλη μπορούν να διαβιβάζουν δεδομένα προσωπικού χαρακτήρα χωρίς να απαιτούνται πρόσθετες εγγυήσεις.
(3)
Σύμφωνα με την οδηγία 95/46/ΕΚ, το επίπεδο προστασίας των δεδομένων θα πρέπει να σταθμίζεται λαμβανομένων υπόψη όλων των περιστάσεων που επηρεάζουν μια διαβίβαση ή κατηγορία διαβιβάσεων δεδομένων και εξετάζοντας ιδιαίτερα ορισμένα στοιχεία που είναι σημαντικά για τη διαβίβαση, τα οποία παρατίθενται στο άρθρο 25.
(4)
Δεδομένων των διαφορετικών προσεγγίσεων που ακολουθούνται όσον αφορά την προστασία των δεδομένων στις τρίτες χώρες, πρέπει η αξιολόγηση για την επάρκεια της προστασίας και η εφαρμογή κάθε απόφασης βάσει του άρθρου 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ να γίνονται με τρόπο που να μην δημιουργεί αυθαίρετες ή αδικαιολόγητες διακρίσεις εις βάρος ή μεταξύ τρίτων χωρών στις οποίες επικρατούν παρόμοιες συνθήκες ούτε να αποτελεί συγκαλυμμένο εμπόδιο για τις εμπορικές συναλλαγές, λαμβανομένων υπόψη των σημερινών διεθνών δεσμεύσεων της Ευρωπαϊκής Ένωσης.
(5)
Το σύνταγμα της Ανατολικής Δημοκρατίας της Ουρουγουάης, το οποίο θεσπίσθηκε το 1967, δεν αναγνωρίζει ρητά το δικαίωμα στην ιδιωτική ζωή και το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα. Εντούτοις, ο κατάλογος των θεμελιωδών δικαιωμάτων δεν αποτελεί κλειστό κατάλογο, δεδομένου ότι το άρθρο 72 του συντάγματος προβλέπει ότι η απαρίθμηση δικαιωμάτων, υποχρεώσεων και εγγυήσεων από το σύνταγμα δεν αποκλείει άλλα, τα οποία είναι εγγενή στην ανθρώπινη προσωπικότητα ή απορρέουν από τον δημοκρατικό τρόπο διακυβέρνησης. Το άρθρο 1 του νόμου αριθ. 18.331, της 11ης Αυγούστου 2008 για την προστασία των δεδομένων προσωπικού χαρακτήρα και για την προσφυγή «Habeas Data» (Ley No 18.331 de Protección de Datos Personales y Acción de «Habeas Data») ορίζει ρητά ότι «Το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα είναι εγγενές στην ανθρώπινη υπόσταση, επομένως περιλαμβάνεται στο άρθρο 72 του συντάγματος της Δημοκρατίας». Το άρθρο 332 του συντάγματος προβλέπει ότι η εφαρμογή των διατάξεων του συντάγματος που αναγνωρίζουν ατομικά δικαιώματα, καθώς και εκείνων που απονέμουν δικαιώματα και επιβάλλουν υποχρεώσεις σε δημόσιες αρχές, δεν πρέπει να παρεμποδίζεται από την έλλειψη ειδικών ρυθμίσεων· η έλλειψη αυτή θα καλύπτεται με την προσφυγή στις βασικές αρχές παρόμοιων νόμων, στις γενικές αρχές του δικαίου και στις γενικά αποδεκτές θεωρίες.
(6)
Οι νομικοί κανόνες για την προστασία των δεδομένων προσωπικού χαρακτήρα στην Ανατολική Δημοκρατία της Ουρουγουάης βασίζονται σε μεγάλο βαθμό στους κανόνες της οδηγίας 95/46/ΕΚ και περιλαμβάνονται στον νόμο αριθ. 18.331, της 11ης Αυγούστου 2008, σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα και την προσφυγή «Habeas Data» (Ley No 18.331 de Protección de Datos Personales y de Acción de «Habeas Data»). Οι κανόνες αυτοί καλύπτουν τα φυσικά και τα νομικά πρόσωπα.
(7)
Ο συγκεκριμένος νόμος συμπληρώνεται περαιτέρω από το διάταγμα αριθ. 414/009, της 31ης Αυγούστου 2009, το οποίο εκδόθηκε για να διευκρινίσει διάφορες πτυχές του νόμου και να ορίσει λεπτομερώς την οργάνωση, τις εξουσίες και τη λειτουργία της εποπτικής αρχής για την προστασία των δεδομένων. Το προοίμιο του διατάγματος αναφέρει ότι ενδείκνυται η προσαρμογή της εθνικής έννομης τάξης στο θέμα αυτό με το ευρύτερα αποδεκτό συγκρίσιμο νομικό καθεστώς, ουσιαστικά εκείνο που θέσπισαν οι ευρωπαϊκές χώρες μέσω της οδηγίας 95/46/ΕΚ.
(8)
Διατάξεις περί προστασίας των δεδομένων περιλαμβάνονται επίσης σε διάφορες ειδικές πράξεις που δημιουργούν και ρυθμίζουν βάσεις δεδομένων, ιδίως, πράξεις που ρυθμίζουν ορισμένα δημόσια μητρώα (δημόσια έγγραφα, βιομηχανική ιδιοκτησία, προσωπικά έγγραφα, πράξεις σχετικές με ακίνητα, εξορυκτικά δικαιώματα ή χρηματοπιστωτικά δεδομένα). Ο νόμος αριθ. 18.331 εφαρμόζεται συμπληρωματικά σε αυτές τις ειδικές πράξεις, σε σχέση με εκείνα τα ζητήματα που δεν καλύπτονται από αυτές, σύμφωνα με το άρθρο 332 του συντάγματος.
(9)
Οι νομικοί κανόνες για την προστασία των δεδομένων που ισχύουν στην Ανατολική Δημοκρατία της Ουρουγουάης περιλαμβάνουν όλες τις βασικές αρχές που απαιτούνται για να υπάρχει επαρκές επίπεδο προστασίας για τα φυσικά πρόσωπα και παράλληλα προβλέπουν εξαιρέσεις και περιορισμούς με σκοπό τη διασφάλιση σημαντικών δημοσίων συμφερόντων. Αυτοί οι νομικοί κανόνες για την προστασία των δεδομένων και οι εξαιρέσεις τους αντικατοπτρίζουν τις αρχές που ορίζονται από την οδηγία 95/46/ΕΚ
(10)
Η εφαρμογή των νομικών κανόνων για την προστασία των δεδομένων διασφαλίζεται με διοικητικά και ένδικα μέσα, ιδιαίτερα με την προσφυγή «habeas data», η οποία παρέχει τη δυνατότητα στο υποκείμενο των δεδομένων να παραπέμψει στη δικαιοσύνη τον υπεύθυνο της επεξεργασίας των δεδομένων προκειμένου να επιτύχει την εφαρμογή του δικαιώματός του πρόσβασης, διόρθωσης και διαγραφής, καθώς επίσης με τον ανεξάρτητο έλεγχο που ασκείται από την εποπτική αρχή, τη Μονάδα για τη ρύθμιση και τον έλεγχο των δεδομένων προσωπικού χαρακτήρα (Unidad Reguladora y de Control de Datos Personales (URCDP), η οποία διαθέτει εξουσίες έρευνας, παρέμβασης και κυρώσεων σύμφωνα με το άρθρο 28 της οδηγίας 95/46/ΕΚ και ασκεί τα καθήκοντά της με πλήρη ανεξαρτησία. Επιπλέον, κάθε ενδιαφερόμενος δικαιούται να απαιτήσει αποζημίωση για ζημία την οποία υπέστη λόγω της παράνομής επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τον αφορούν.
(11)
Οι ουρουγουανές αρχές προστασίας των δεδομένων έδωσαν επεξηγήσεις και διαβεβαιώσεις ως προς τον τρόπο ερμηνείας του δικαίου της χώρας και επίσης διαβεβαίωσαν ότι η εθνική νομοθεσία προστασίας των δεδομένων προσωπικού χαρακτήρα εφαρμόζεται σύμφωνα με αυτή την ερμηνεία. Οι ουρουγουανές αρχές προστασίας των δεδομένων εξήγησαν ειδικότερα ότι, βάσει του άρθρου 332 του συντάγματος, ο νόμος αριθ. 18.331 εφαρμόζεται συμπληρωματικά σε ειδικές πράξεις που δημιουργούν και ρυθμίζουν συγκεκριμένες βάσεις δεδομένων σε σχέση με ζητήματα που δεν καλύπτονται από αυτές τις ειδικές πράξεις. Διευκρίνισαν επίσης ότι, όσον αφορά τους καταλόγους δεδομένων που αναφέρονται στο άρθρο 9 παράγραφος Γ του νόμου αριθ. 18.331, των οποίων η επεξεργασία δεν προϋποθέτει την προηγούμενη συγκατάθεση του ενδιαφερομένου, εφαρμόζεται επίσης ο νόμος, κυρίως οι αρχές της αναλογικότητας και του δεδικασμένου και τα δικαιώματα των υποκειμένων των δεδομένων και ότι οι εν λόγω κατάλογοι υπόκεινται στον έλεγχο της αρχής προστασίας των δεδομένων. Όσον αφορά την αρχή της διαφάνειας, οι ουρουγουανές αρχές προστασίας των δεδομένων ενημέρωσαν ότι η υποχρέωση παροχής όλων των απαραίτητων πληροφοριών στο υποκείμενο των δεδομένων ισχύει σε όλες τις περιπτώσεις. Όσον αφορά το δικαίωμα πρόσβασης, η αρχή προστασίας των δεδομένων διευκρίνισε ότι, για την υποβολή αίτησης, αρκεί το υποκείμενο των δεδομένων να αποδείξει την ταυτότητά του. Οι ουρουγουανές αρχές προστασίας των δεδομένων διευκρίνισαν ότι οι εξαιρέσεις της αρχής που ισχύει για τις διεθνείς διαβιβάσεις, οι οποίες προβλέπονται στο άρθρο 23 παράγραφος 1 του νόμου αριθ. 18.331, δεν μπορούν να ερμηνευθούν ότι έχουν ευρύτερο πεδίο εφαρμογής από αυτό του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ.
(12)
Η παρούσα απόφαση λαμβάνει υπόψη τις εν λόγω επεξηγήσεις και διαβεβαιώσεις και επομένως βασίζεται σε αυτές.
(13)
Η Ανατολική Δημοκρατία της Ουρουγουάης αποτελεί εξάλλου συμβαλλόμενο μέρος της Αμερικανικής σύμβασης των Δικαιωμάτων του Ανθρώπου («PACT of San José de Costa Rica») που εγκρίθηκε στις 22 Νοεμβρίου 1969 και τέθηκε σε ισχύ στις 18 Ιουλίου 1978 (3). Το άρθρο 11 της σύμβασης ορίζει το δικαίωμα στην ιδιωτική ζωή και το άρθρο 30 ορίζει ότι οι περιορισμοί, οι οποίοι, σύμφωνα με την παρούσα σύμβαση, μπορούν να τεθούν στην απόλαυση ή την άσκηση των δικαιωμάτων και ελευθεριών που αναγνωρίζονται από τη σύμβαση, μπορούν να εφαρμοσθούν μόνο σύμφωνα με τους νόμους που θεσπίζονται για λόγους γενικού συμφέροντος και σύμφωνα με τον επιδιωκόμενο από αυτούς τους περιορισμούς στόχο (άρθρο 30). Εξάλλου, η Ανατολική Δημοκρατία της Ουρουγουάης έχει δεχθεί τη δικαιοδοσία του Διαμερικανικού Δικαστηρίου Ανθρωπίνων Δικαιωμάτων. Επιπλέον, κατά την 1118η συνεδρίαση της Επιτροπής των αντιπροσώπων των Υπουργών του Συμβουλίου της Ευρώπης, που πραγματοποιήθηκε στις 6 Ιουλίου 2011, οι αντιπρόσωποι των Υπουργών κάλεσαν την Ανατολική Δημοκρατία της Ουρουγουάης να προσχωρήσει στη σύμβαση για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία πληροφοριών προσωπικού χαρακτήρα (ΣΕΣ αριθ. 108) και στο πρόσθετο πρωτόκολλο της (ΣΕΣ αριθ. 118), μετά από ευνοϊκή γνώμη της σχετικής συμβουλευτικής επιτροπής. (4)
(14)
Κατά συνέπεια, η Ανατολική Δημοκρατία της Ουρουγουάης θα πρέπει να θεωρηθεί ότι παρέχει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα κατά την έννοια της οδηγίας 95/46/ΕΚ.
(15)
Η παρούσα απόφαση αφορά την επάρκεια της προστασίας που εξασφαλίζεται στην Ανατολική Δημοκρατία της Ουρουγουάης με σκοπό την ικανοποίηση των απαιτήσεων του άρθρου 25 παράγραφος 1 της οδηγίας 95/46/ΕΚ. Δεν θίγει άλλους όρους ή περιορισμούς για την εφαρμογή άλλων διατάξεων της εν λόγω οδηγίας που αφορούν την επεξεργασία δεδομένων προσωπικού χαρακτήρα εντός των κρατών μελών.
(16)
Προς όφελος της διαφάνειας και για να διασφαλισθεί η ικανότητα των αρμόδιων αρχών των κρατών μελών να εξασφαλίζουν την προστασία των φυσικών προσώπων όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τα αφορούν, είναι αναγκαίο να καθοριστούν οι εξαιρετικές περιστάσεις κατά τις οποίες μπορεί να δικαιολογηθεί η αναστολή συγκεκριμένων ροών δεδομένων, παρά τη διαπίστωση επαρκούς επιπέδου προστασίας.
(17)
Η Επιτροπή θα πρέπει να παρακολουθεί τη λειτουργία της απόφασης και να αναφέρει κάθε σχετικό πόρισμα στην επιτροπή που συστάθηκε δυνάμει του άρθρου 31 της οδηγίας 95/46/ΕΚ. Αυτή η παρακολούθηση θα πρέπει να καλύπτει, μεταξύ άλλων, το σύστημα της Ανατολικής Δημοκρατίας της Ουρουγουάης που ισχύει όσον αφορά τις διαβιβάσεις που γίνονται στο πλαίσιο διεθνών συνθηκών.
(18)
Η ομάδα εργασίας για την προστασία των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, που συστάθηκε βάσει του άρθρου 29 της οδηγίας 95/46/ΕΚ, εξέδωσε θετική γνώμη σχετικά με το επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα, η οποία ελήφθη υπόψη κατά την κατάρτιση της παρούσας απόφασης (5).
(19)
Τα μέτρα που προβλέπονται στην παρούσα απόφαση συνάδουν με τη γνώμη της επιτροπής που συστάθηκε δυνάμει του άρθρου 31 παράγραφος 1 της οδηγίας 95/46/ΕΚ,
ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
Άρθρο 1
1. Για τους σκοπούς του άρθρου 25 παράγραφος 2 της οδηγίας 95/46/ΕΚ, η Ανατολική Δημοκρατία της Ουρουγουάης θεωρείται ότι εξασφαλίζει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση.
2. Η εποπτική αρχή της Ανατολικής Δημοκρατίας της Ουρουγουάης που είναι αρμόδια για την εφαρμογή των νομικών κανόνων προστασίας των δεδομένων στην Ανατολική Δημοκρατία της Ουρουγουάης ορίζεται στο παράρτημα της παρούσας απόφασης.
Άρθρο 2
1. Με την επιφύλαξη της αρμοδιότητάς τους να λαμβάνουν μέτρα τα οποία θα διασφαλίζουν τη συμμόρφωση με τις εθνικές διατάξεις που εγκρίθηκαν σύμφωνα με διατάξεις άλλες από εκείνες του άρθρου 25 της οδηγίας 95/46/ΕΚ, οι αρμόδιες αρχές των κρατών μελών δύνανται να ασκούν τις εξουσίες που ήδη έχουν για να αναστέλλουν ροές δεδομένων προς παραλήπτη ευρισκόμενο στην Ανατολική Δημοκρατία της Ουρουγουάης, προκειμένου να προστατεύουν τα φυσικά πρόσωπα από την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τα αφορούν στις ακόλουθες περιπτώσεις:
α)
όταν αρμόδια ουρουγουανή αρχή διαπιστώσει ότι ο παραλήπτης παραβιάζει τους ισχύοντες κανόνες προστασίας· ή
β)
όταν υπάρχει βάσιμη πιθανότητα παραβίασης των ισχυόντων κανόνων προστασίας, εύλογη πεποίθηση ότι η αρμόδια ουρουγουανή αρχή δεν προβαίνει ή δεν πρόκειται να προβεί εγκαίρως στις ενδεικνυόμενες ενέργειες ώστε να διευθετήσει το επίμαχο ζήτημα, η συνέχιση της διαβίβασης ενδέχεται να προκαλέσει άμεσο κίνδυνο σοβαρής ζημίας στα πρόσωπα στα οποία αναφέρονται τα δεδομένα και οι αρμόδιες αρχές του κράτους μέλους έχουν, υπό τις επικρατούσες περιστάσεις, καταβάλει κάθε δυνατή προσπάθεια για να απευθύνουν προειδοποίηση στον εγκατεστημένο στην Ανατολική Δημοκρατία της Ουρουγουάης υπεύθυνο της επεξεργασίας και να του δώσουν τη δυνατότητα να αντιδράσει.
2. Η αναστολή της ροής των δεδομένων λήγει αμέσως μόλις εξασφαλιστεί η τήρηση των κανόνων προστασίας και ενημερωθεί σχετικά η αρμόδια αρχή των ενδιαφερομένων κρατών μελών.
Άρθρο 3
1. Τα κράτη μέλη ενημερώνουν πάραυτα την Επιτροπή στις περιπτώσεις στις οποίες λαμβάνονται μέτρα βάσει του άρθρου 2.
2. Τα κράτη μέλη και η Επιτροπή ενημερώνονται αμοιβαία για τις περιπτώσεις στις οποίες η δράση των φορέων που είναι αρμόδιοι για τη διασφάλιση της συμμόρφωσης προς τους κανόνες προστασίας στην Ανατολική Δημοκρατία της Ουρουγουάης δεν επαρκεί για να διασφαλίσει την εν λόγω συμμόρφωση.
3. Εάν από τις πληροφορίες που συλλέγονται βάσει του άρθρου 2 και βάσει των παραγράφων 1 και 2 του παρόντος άρθρου προκύπτει ότι κάποιος φορέας αρμόδιος για τη διασφάλιση της τήρησης των κανόνων προστασίας στην Ανατολική Δημοκρατία της Ουρουγουάης δεν εκπληρώνει αποτελεσματικά την αποστολή του, η Επιτροπή ενημερώνει σχετικά την αρμόδια ουρουγουανή αρχή και, εάν το κρίνει απαραίτητο, υποβάλλει σχέδιο μέτρων σύμφωνα με τη διαδικασία που προβλέπεται στο άρθρο 31 παράγραφος 2 της οδηγίας 95/46/ΕΚ, με σκοπό την κατάργηση ή την αναστολή της παρούσας απόφασης ή τον περιορισμό του πεδίου εφαρμογής της.
Άρθρο 4
Η Επιτροπή παρακολουθεί την εφαρμογή της παρούσας απόφασης και αναφέρει κάθε σχετικό πόρισμα στην επιτροπή που συστάθηκε δυνάμει του άρθρου 31 της οδηγίας 95/46/ΕΚ, συμπεριλαμβανομένου κάθε στοιχείου ικανού να επηρεάσει το πόρισμα του άρθρου 1 της παρούσας απόφασης, ότι η παρεχόμενη στην Ανατολική Δημοκρατία της Ουρουγουάης προστασία είναι επαρκής κατά την έννοια του άρθρου 25 της οδηγίας 95/46/ΕΚ, καθώς και κάθε στοιχείου που να καταδεικνύει ότι η απόφαση εφαρμόζεται κατά τρόπο συνεπαγόμενο διακρίσεις.
Άρθρο 5
Τα κράτη μέλη λαμβάνουν όλα τα αναγκαία μέτρα για να συμμορφωθούν με την παρούσα απόφαση εντός τριών μηνών από την ημερομηνία της κοινοποίησής της.
Άρθρο 6
Η παρούσα οδηγία απευθύνεται στα κράτη μέλη.
Βρυξέλλες, 21 Αυγούστου 2012.