PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
KOMISSION TÄYTÄNTÖÖNPANOPÄÄTÖS,
annettu 21 päivänä elokuuta 2012,
Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla Uruguayn itäisen tasavallan tarjoaman henkilötietojen suojan riittävyydestä automaattisessa henkilötietojen käsittelyssä
(tiedoksiannettu numerolla C(2012) 5704)
(ETA:n kannalta merkityksellinen teksti)
(2012/484/EU)
EUROOPAN KOMISSIO, joka
ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1) ja erityisesti sen 25 artiklan 6 kohdan,
on kuullut Euroopan tietosuojavaltuutettua (2),
sekä katsoo seuraavaa:
(1)
Direktiivin 95/46/EY mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä kolmannessa maassa turvataan tietosuojan riittävä taso ja jos direktiivin muiden säännösten täytäntöönpanemiseksi annettuja jäsenvaltioiden lakeja noudatetaan ennen tietojen siirtämistä.
(2)
Komissio voi todeta, että kolmas maa turvaa tietosuojan riittävän tason. Henkilötietoja voidaan tässä tapauksessa siirtää jäsenvaltioista ilman lisätakeita.
(3)
Direktiivin 95/46/EY mukaisesti tietosuojan taso olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta ja ottaen erityisesti huomioon eräät siirron kannalta olennaiset, direktiivin 25 artiklassa luetellut tekijät.
(4)
Koska kolmannet maat suhtautuvat eri tavoin tietosuojaan, tietosuojan riittävyyden arviointi olisi suoritettava ja kaikki direktiivin 95/46/EY 25 artiklan 6 kohtaan perustuvat päätökset olisi tehtävä ja pantava täytäntöön tavalla, joka ei syrji mielivaltaisesti tai epäoikeudenmukaisesti mitään kolmatta maata eikä tee eroa niiden välillä, jos niissä vallitsevat samanlaiset olosuhteet, eikä muodosta peiteltyä kaupan estettä, kun otetaan huomioon Euroopan unionin voimassa olevat kansainväliset sitoumukset.
(5)
Uruguayn itäisen tasavallan vuonna 1967 annetussa perustuslaissa ei erikseen säädetä oikeudesta yksityisyyteen ja henkilötietojen suojaan. Perusoikeuksien luettelo ei kuitenkaan ole lopullinen, sillä perustuslain 72 pykälän mukaan perustuslaissa luetellut oikeudet, velvollisuudet ja takeet eivät sulje pois muita ihmisen henkilöyteen liittyviä tai tasavaltaisesta hallintomuodosta johtuvia oikeuksia, velvollisuuksia ja takeita. Henkilötietojen suojasta ja habeas data -oikeussuojakeinosta 11 päivänä elokuuta 2008 annetun lain nro 18.331 (Ley No 18.331 de Protección de Datos Personales y Acción de ”Habeas Data”) 1 pykälässä säädetään nimenomaan, että ”ihmiselle kuuluu oikeus henkilötietojen suojaan, minkä vuoksi se sisältyy tasavallan perustuslain 72 pykälään”. Perustuslain 332 pykälän mukaan yksilöiden oikeuksia ja julkisten viranomaisten oikeuksia ja velvollisuuksia koskevien säännösten puuttuminen ei saa estää perustuslain vastaavien säännösten soveltamista, vaan kyseinen puute on korvattava soveltamalla vastaavien lakien perustaa, lainsäädännön periaatteita ja yleisesti hyväksyttyjä oppeja.
(6)
Henkilötietojen suojeluun liittyvät Uruguayn itäisen tasavallan oikeusnormit perustuvat suurelta osin direktiivissä 95/46/EY vahvistettuihin normeihin, ja ne sisältyvät henkilötietojen suojasta ja habeas data -oikeussuojakeinosta 11 päivänä elokuuta 2008 annettuun lakiin nro 18.331 (Ley No 18.331 de Protección de Datos Personales y Acción de ”Habeas Data”), joka kattaa luonnolliset ja oikeushenkilöt.
(7)
Lakia on täydennetty 31 päivänä elokuuta 2009 annetulla asetuksella nro 414/2009, jolla on pyritty selkeyttämään useita lakiin sisältyviä näkökohtia ja vahvistamaan yksityiskohtaisesti tietosuojaviranomaisen organisaatiota, valtuuksia ja toimintaa koskevat säännöt. Tämän asetuksen johdanto-osan mukaan näitä asioita koskevaa kansallista säädösjärjestelmää on tarkennettava vastaamaan hyväksytyintä vastaavaa säädösjärjestelmää, erityisesti Euroopan maissa direktiiviä 95/46/EY.
(8)
Tietosuojasäännöksiä sisältyy myös useisiin erityislakeihin, joilla luodaan ja säännellään tietokantoja, kuten eräitä julkisia rekistereitä (julkiset asiakirjat, teollisoikeus ja tavaramerkit, henkilökohtaiset asiakirjat, kiinteä omaisuus, kaivostoiminta tai luottotiedot) koskevat lait. Lakia nro 18.331 sovelletaan perustuslain 332 pykälän nojalla myös kyseisiin erityislakeihin niiden seikkojen osalta, joista ei säädetä kyseisissä laeissa.
(9)
Uruguayn itäisessä tasavallassa sovellettavat oikeudelliset tietosuojanormit kattavat kaikki perusperiaatteet, jotka tarvitaan antamaan luonnollisille henkilöille riittävä suoja, ja niissä säädetään myös poikkeuksista ja rajoituksista tärkeiden julkisten etujen suojelemiseksi. Nämä tietosuojanormit ja poikkeukset vastaavat direktiivissä 95/46/EY vahvistettuja periaatteita.
(10)
Kyseisten oikeudellisten tietosuojanormien soveltaminen taataan hallinnollisin ja oikeudellisin keinoin ja erityisesti habeas data -oikeussuojakeinolla, jonka nojalla rekisteröity voi viedä rekisterinpitäjän oikeuteen pannakseen täytäntöön oikeutensa saada tutustua tietoihin tai saada ne oikaistuksi tai poistetuksi, sekä valvontaviranomaisen eli henkilötietojen sääntely- ja valvontayksikön (Unidad Reguladora y de Control de Datos Personales, URCDP) suorittamalla riippumattomalla valvonnalla. Kyseisellä yksiköllä on direktiivin 95/46/EY 28 artiklan mukaiset tutkinta- ja toimintavaltuudet sekä valtuudet määrätä sanktioita, ja se toimii täysin riippumattomasti. Lisäksi kaikilla asianosaisilla on oikeus hakea oikeusteitse korvausta henkilötietojen laittoman käsittelyn aiheuttamista vahingoista.
(11)
Uruguayn tietosuojaviranomaiset ovat antaneet selvityksiä ja lausuntoja siitä, kuinka Uruguayn lainsäädäntöä on tulkittava, sekä vakuuttaneet, että Uruguayn tietosuojalainsäädäntö pannaan täytäntöön kyseisen tulkinnan mukaisesti. Uruguayn tietosuojaviranomaiset ovat erityisesti esittäneet, että perustuslain 332 pykälän mukaisesti lakia nro 18.331 sovelletaan myös erityislakeihin, joilla luodaan ja säännellään erityisiä tietokantoja, niiden seikkojen osalta, joista ei säädetä kyseisissä laeissa. Lisäksi viranomaiset ovat todenneet, että lain nro 18.331 9 C pykälässä tarkoitettuihin luetteloihin, joiden käsittelyyn ei tarvita rekisteröidyn suostumusta, sovelletaan myös tätä lakia ja erityisesti oikeasuhteisuuden periaatetta ja tietojen käyttötarkoitusta koskevaa periaatetta sekä rekisteröityjen oikeuksia ja sitä, että tietosuojaviranomainen valvoo kyseisiä luetteloita. Avoimuusperiaatteen osalta Uruguayn tietosuojaviranomaiset ovat ilmoittaneet, että velvollisuutta antaa rekisteröidylle tarvittavat tiedot sovelletaan kaikissa tapauksissa. Tiedonsaantioikeuden osalta tietosuojaviranomaiset ovat todenneet riittävän, että rekisteröity todistaa henkilöllisyytensä esittäessään pyyntönsä. Uruguayn tietosuojaviranomaiset ovat ilmoittaneet, että lain nro 18.331 23 pykälän 1 momentissa vahvistetut poikkeukset kansainvälisiä henkilötietojen siirtoja koskevaan periaatteeseen eivät ole soveltamisalaltaan direktiivin 95/46/EY 26 artiklan 1 kohtaa laajempia.
(12)
Tässä päätöksessä otetaan huomioon kyseiset selvitykset ja lausunnot ja se perustuu niihin.
(13)
Uruguayn itäinen tasavalta on 22 päivänä marraskuuta 1969 tehdyn ja 18 päivänä heinäkuuta 1978 voimaan tulleen Amerikan ihmisoikeussopimuksen sopimuspuoli. (3) Ihmisoikeussopimuksen 11 artiklassa vahvistetaan oikeus yksityisyyteen ja 30 artiklassa määrätään, että sopimuksessa tunnustettujen oikeuksien tai vapauksien käyttämiselle sopimuksen mukaan asetettavia rajoituksia voidaan soveltaa vain yleisen edun takia säädettyjen lakien mukaisesti sekä siinä tarkoituksessa, jota varten rajoitukset on asetettu (30 artikla). Uruguayn itäinen tasavalta on tunnustanut Amerikan ihmisoikeustuomioistuimen toimivallan. Euroopan neuvoston ministerivaltuutetut kehottivat 1118. kokouksessaan 6 päivänä heinäkuuta 2011 Uruguayn itäistä tasavaltaa liittymään yleissopimukseen yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä (ETS 108) sekä sen lisäpöytäkirjaan (ETS 118) asiaa käsittelevän neuvoa-antavan komitean myönteisen lausunnon jälkeen. (4)
(14)
Näin ollen on katsottava, että Uruguayn itäinen tasavalta tarjoaa direktiivissä 95/46/EY tarkoitetun henkilötietojen suojan riittävän tason.
(15)
Tämän päätöksen olisi koskettava Uruguayn itäisessä tasavallassa tarjotun tietosuojan riittävyyttä suhteessa direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimusten täyttymiseen. Sillä ei saisi olla vaikutusta direktiivin muiden, henkilötietojen käsittelyä jäsenvaltioissa koskevien säännösten täytäntöön panemiseksi vahvistettujen ehtojen tai rajoitusten soveltamiseen.
(16)
Avoimuuden lisäämiseksi sekä sen varmistamiseksi, että jäsenvaltioiden toimivaltaiset viranomaiset pystyvät takaamaan yksilöiden tietosuojan heidän henkilötietojaan käsiteltäessä, on tarpeen tarkentaa, minkälaisissa poikkeusolosuhteissa tiettyjen tiedonsiirtojen keskeyttäminen voi olla perusteltua siitä huolimatta, että tietosuojan taso on todettu riittäväksi.
(17)
Komissio seuraa tämän päätöksen soveltamista ja ilmoittaa direktiivin 95/46/EY 31 artiklan nojalla perustetulle komitealle kaikki asiaankuuluvat huomiot. Seurattaviin asioihin kuuluu muun muassa menettely, jota Uruguayn itäinen tasavalta soveltaa kansainvälisten sopimusten puitteissa tehtäviin henkilötietojen siirtoihin.
(18)
Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut henkilötietojen suojan tasosta myönteisen lausunnon, joka on otettu huomioon tämän päätöksen valmistelussa. (5)
(19)
Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklan 1 kohdalla perustetun komitean lausunnon mukaiset,
ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
1. Direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamiseksi katsotaan, että Uruguayn itäinen tasavalta takaa riittävän suojan Euroopan unionista siirrettäville henkilötiedoille.
2. Uruguayn itäisessä tasavallassa oikeudellisten tietosuojanormien soveltamisen osalta toimivaltainen Uruguayn itäisen tasavallan valvontaviranomainen mainitaan tämän päätöksen liitteessä.
2 artikla
1. Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä sen varmistamiseksi, että muita direktiivin 95/46/EY nojalla annettuja kansallisia säännöksiä kuin 25 artiklan nojalla annettuja säännöksiä noudatetaan, jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttääkseen Uruguayn itäisessä tasavallassa olevalle vastaanottajalle suunnatun tietojen siirron suojellakseen yksityishenkilöitä näiden henkilötietojen käsittelyn osalta tapauksissa, joissa
a)
toimivaltainen Uruguayn viranomainen on todennut, ettei vastaanottaja noudata sovellettavia tietosuojanormeja; tai
b)
on hyvin todennäköistä, ettei tietosuojanormeja noudateta, ja on perusteltua olettaa, ettei toimivaltainen Uruguayn viranomainen parhaillaan eikä jatkossa toteuta tarvittavia ja oikea-aikaisia toimenpiteitä asian ratkaisemiseksi, tiedonsiirron jatkaminen aiheuttaisi välittömän riskin, että rekisteröidyille aiheutuu vakavaa haittaa, ja jäsenvaltion toimivaltaiset viranomaiset ovat olosuhteisiin nähden kohtuullisessa määrin pyrkineet ilmoittamaan asiasta Uruguayn itäiseen tasavaltaan sijoittautuneelle tietojenkäsittelystä vastaavalle osapuolelle ja antamaan tälle tilaisuuden vastata.
2. Keskeytys lakkaa heti kun tietosuojanormien noudattaminen on varmistettu ja tästä on ilmoitettu asianomaisten jäsenvaltioiden toimivaltaisille viranomaisille.
3 artikla
1. Jäsenvaltioiden on ilmoitettava viipymättä komissiolle 2 artiklan nojalla toteutetuista toimenpiteistä.
2. Jäsenvaltiot ja komissio tiedottavat toisilleen tapauksista, joissa tietosuojanormien noudattamisesta Uruguayn itäisessä tasavallassa vastuussa olevat elimet eivät pysty varmistamaan normien noudattamista.
3. Jos 2 artiklan sekä tämän artiklan 1 ja 2 kohdan nojalla saadut tiedot osoittavat, että tietosuojanormien noudattamisesta Uruguayn itäisessä valtiossa vastuussa oleva elin ei tosiasiallisesti hoida tehtäväänsä, komissio tiedottaa asiasta Uruguayn toimivaltaiselle viranomaiselle ja tarvittaessa esittää direktiivin 95/46/EY 31 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti ehdotuksen toimenpiteistä, joiden tarkoituksena on peruuttaa tämä päätös tai lykätä sen soveltamista tai rajoittaa sen soveltamisalaa.
4 artikla
Komissio seuraa tämän päätöksen soveltamista ja ilmoittaa direktiivin 95/46/EY 31 artiklan nojalla perustetulle komitealle kaikki asiaankuuluvat huomiot, mukaan luettuina kaikki seikat, jotka voivat vaikuttaa tämän päätöksen 1 artiklassa esitettyyn toteamukseen, jonka mukaan Uruguayn itäinen tasavalta takaa direktiivin 95/46/EY 25 artiklassa tarkoitetun riittäväntasoisen tietosuojan, sekä mahdolliset todisteet päätöksen syrjivästä soveltamisesta.
5 artikla
Jäsenvaltioiden on toteutettava kaikki tämän päätöksen noudattamisen edellyttämät toimenpiteet viimeistään kolmen kuukauden kuluttua siitä, kun päätös on annettu tiedoksi.
6 artikla
Tämä päätös on osoitettu jäsenvaltioille.
Tehty Brysselissä 21 päivänä elokuuta 2012.