ΕΚΤΕΛΕΣΤΙΚΉ ΑΠΌΦΑΣΗ ΤΗΣ ΕΠΙΤΡΟΠΉΣ
της 21ης Αυγούστου 2012
σχετικά με την επάρκεια, σύμφωνα με την οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της προστασίας των δεδομένων προσωπικού χαρακτήρα στην Ανατολική Δημοκρατία της Ουρουγουάης όσον αφορά την αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα
[κοινοποιηθείσα υπό τον αριθμό C(2012) 5704]
(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)
(2012/484/ΕΕ)
Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,
Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,
Έχοντας υπόψη την οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (1), και ιδίως το άρθρο 25 παράγραφος 6,
Έπειτα από διαβούλευση με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων (2),
Εκτιμώντας τα ακόλουθα:
(1)
Σύμφωνα με την οδηγία 95/46/ΕΚ, τα κράτη μέλη οφείλουν να προβλέπουν ότι η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα επιτρέπεται μόνον εφόσον η εν λόγω τρίτη χώρα εξασφαλίζει επαρκές επίπεδο προστασίας και εφόσον τηρούνται, πριν από τη διαβίβαση, οι νόμοι που έχουν θεσπίσει τα κράτη μέλη για την εφαρμογή άλλων διατάξεων της οδηγίας.
(2)
Η Επιτροπή μπορεί να αποφανθεί ότι μια τρίτη χώρα εξασφαλίζει επαρκές επίπεδο προστασίας. Στην περίπτωση αυτή, τα κράτη μέλη μπορούν να διαβιβάζουν δεδομένα προσωπικού χαρακτήρα χωρίς να απαιτούνται πρόσθετες εγγυήσεις.
(3)
Σύμφωνα με την οδηγία 95/46/ΕΚ, το επίπεδο προστασίας των δεδομένων θα πρέπει να σταθμίζεται λαμβανομένων υπόψη όλων των περιστάσεων που επηρεάζουν μια διαβίβαση ή κατηγορία διαβιβάσεων δεδομένων και εξετάζοντας ιδιαίτερα ορισμένα στοιχεία που είναι σημαντικά για τη διαβίβαση, τα οποία παρατίθενται στο άρθρο 25.
(4)
Δεδομένων των διαφορετικών προσεγγίσεων που ακολουθούνται όσον αφορά την προστασία των δεδομένων στις τρίτες χώρες, πρέπει η αξιολόγηση για την επάρκεια της προστασίας και η εφαρμογή κάθε απόφασης βάσει του άρθρου 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ να γίνονται με τρόπο που να μην δημιουργεί αυθαίρετες ή αδικαιολόγητες διακρίσεις εις βάρος ή μεταξύ τρίτων χωρών στις οποίες επικρατούν παρόμοιες συνθήκες ούτε να αποτελεί συγκαλυμμένο εμπόδιο για τις εμπορικές συναλλαγές, λαμβανομένων υπόψη των σημερινών διεθνών δεσμεύσεων της Ευρωπαϊκής Ένωσης.
(5)
Το σύνταγμα της Ανατολικής Δημοκρατίας της Ουρουγουάης, το οποίο θεσπίσθηκε το 1967, δεν αναγνωρίζει ρητά το δικαίωμα στην ιδιωτική ζωή και το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα. Εντούτοις, ο κατάλογος των θεμελιωδών δικαιωμάτων δεν αποτελεί κλειστό κατάλογο, δεδομένου ότι το άρθρο 72 του συντάγματος προβλέπει ότι η απαρίθμηση δικαιωμάτων, υποχρεώσεων και εγγυήσεων από το σύνταγμα δεν αποκλείει άλλα, τα οποία είναι εγγενή στην ανθρώπινη προσωπικότητα ή απορρέουν από τον δημοκρατικό τρόπο διακυβέρνησης. Το άρθρο 1 του νόμου αριθ. 18.331, της 11ης Αυγούστου 2008 για την προστασία των δεδομένων προσωπικού χαρακτήρα και για την προσφυγή «Habeas Data» (Ley No 18.331 de Protección de Datos Personales y Acción de «Habeas Data») ορίζει ρητά ότι «Το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα είναι εγγενές στην ανθρώπινη υπόσταση, επομένως περιλαμβάνεται στο άρθρο 72 του συντάγματος της Δημοκρατίας». Το άρθρο 332 του συντάγματος προβλέπει ότι η εφαρμογή των διατάξεων του συντάγματος που αναγνωρίζουν ατομικά δικαιώματα, καθώς και εκείνων που απονέμουν δικαιώματα και επιβάλλουν υποχρεώσεις σε δημόσιες αρχές, δεν πρέπει να παρεμποδίζεται από την έλλειψη ειδικών ρυθμίσεων· η έλλειψη αυτή θα καλύπτεται με την προσφυγή στις βασικές αρχές παρόμοιων νόμων, στις γενικές αρχές του δικαίου και στις γενικά αποδεκτές θεωρίες.
(6)
Οι νομικοί κανόνες για την προστασία των δεδομένων προσωπικού χαρακτήρα στην Ανατολική Δημοκρατία της Ουρουγουάης βασίζονται σε μεγάλο βαθμό στους κανόνες της οδηγίας 95/46/ΕΚ και περιλαμβάνονται στον νόμο αριθ. 18.331, της 11ης Αυγούστου 2008, σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα και την προσφυγή «Habeas Data» (Ley No 18.331 de Protección de Datos Personales y de Acción de «Habeas Data»). Οι κανόνες αυτοί καλύπτουν τα φυσικά και τα νομικά πρόσωπα.
(7)
Ο συγκεκριμένος νόμος συμπληρώνεται περαιτέρω από το διάταγμα αριθ. 414/009, της 31ης Αυγούστου 2009, το οποίο εκδόθηκε για να διευκρινίσει διάφορες πτυχές του νόμου και να ορίσει λεπτομερώς την οργάνωση, τις εξουσίες και τη λειτουργία της εποπτικής αρχής για την προστασία των δεδομένων. Το προοίμιο του διατάγματος αναφέρει ότι ενδείκνυται η προσαρμογή της εθνικής έννομης τάξης στο θέμα αυτό με το ευρύτερα αποδεκτό συγκρίσιμο νομικό καθεστώς, ουσιαστικά εκείνο που θέσπισαν οι ευρωπαϊκές χώρες μέσω της οδηγίας 95/46/ΕΚ.
(8)
Διατάξεις περί προστασίας των δεδομένων περιλαμβάνονται επίσης σε διάφορες ειδικές πράξεις που δημιουργούν και ρυθμίζουν βάσεις δεδομένων, ιδίως, πράξεις που ρυθμίζουν ορισμένα δημόσια μητρώα (δημόσια έγγραφα, βιομηχανική ιδιοκτησία, προσωπικά έγγραφα, πράξεις σχετικές με ακίνητα, εξορυκτικά δικαιώματα ή χρηματοπιστωτικά δεδομένα). Ο νόμος αριθ. 18.331 εφαρμόζεται συμπληρωματικά σε αυτές τις ειδικές πράξεις, σε σχέση με εκείνα τα ζητήματα που δεν καλύπτονται από αυτές, σύμφωνα με το άρθρο 332 του συντάγματος.
(9)
Οι νομικοί κανόνες για την προστασία των δεδομένων που ισχύουν στην Ανατολική Δημοκρατία της Ουρουγουάης περιλαμβάνουν όλες τις βασικές αρχές που απαιτούνται για να υπάρχει επαρκές επίπεδο προστασίας για τα φυσικά πρόσωπα και παράλληλα προβλέπουν εξαιρέσεις και περιορισμούς με σκοπό τη διασφάλιση σημαντικών δημοσίων συμφερόντων. Αυτοί οι νομικοί κανόνες για την προστασία των δεδομένων και οι εξαιρέσεις τους αντικατοπτρίζουν τις αρχές που ορίζονται από την οδηγία 95/46/ΕΚ
(10)
Η εφαρμογή των νομικών κανόνων για την προστασία των δεδομένων διασφαλίζεται με διοικητικά και ένδικα μέσα, ιδιαίτερα με την προσφυγή «habeas data», η οποία παρέχει τη δυνατότητα στο υποκείμενο των δεδομένων να παραπέμψει στη δικαιοσύνη τον υπεύθυνο της επεξεργασίας των δεδομένων προκειμένου να επιτύχει την εφαρμογή του δικαιώματός του πρόσβασης, διόρθωσης και διαγραφής, καθώς επίσης με τον ανεξάρτητο έλεγχο που ασκείται από την εποπτική αρχή, τη Μονάδα για τη ρύθμιση και τον έλεγχο των δεδομένων προσωπικού χαρακτήρα (Unidad Reguladora y de Control de Datos Personales (URCDP), η οποία διαθέτει εξουσίες έρευνας, παρέμβασης και κυρώσεων σύμφωνα με το άρθρο 28 της οδηγίας 95/46/ΕΚ και ασκεί τα καθήκοντά της με πλήρη ανεξαρτησία. Επιπλέον, κάθε ενδιαφερόμενος δικαιούται να απαιτήσει αποζημίωση για ζημία την οποία υπέστη λόγω της παράνομής επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τον αφορούν.
(11)
Οι ουρουγουανές αρχές προστασίας των δεδομένων έδωσαν επεξηγήσεις και διαβεβαιώσεις ως προς τον τρόπο ερμηνείας του δικαίου της χώρας και επίσης διαβεβαίωσαν ότι η εθνική νομοθεσία προστασίας των δεδομένων προσωπικού χαρακτήρα εφαρμόζεται σύμφωνα με αυτή την ερμηνεία. Οι ουρουγουανές αρχές προστασίας των δεδομένων εξήγησαν ειδικότερα ότι, βάσει του άρθρου 332 του συντάγματος, ο νόμος αριθ. 18.331 εφαρμόζεται συμπληρωματικά σε ειδικές πράξεις που δημιουργούν και ρυθμίζουν συγκεκριμένες βάσεις δεδομένων σε σχέση με ζητήματα που δεν καλύπτονται από αυτές τις ειδικές πράξεις. Διευκρίνισαν επίσης ότι, όσον αφορά τους καταλόγους δεδομένων που αναφέρονται στο άρθρο 9 παράγραφος Γ του νόμου αριθ. 18.331, των οποίων η επεξεργασία δεν προϋποθέτει την προηγούμενη συγκατάθεση του ενδιαφερομένου, εφαρμόζεται επίσης ο νόμος, κυρίως οι αρχές της αναλογικότητας και του δεδικασμένου και τα δικαιώματα των υποκειμένων των δεδομένων και ότι οι εν λόγω κατάλογοι υπόκεινται στον έλεγχο της αρχής προστασίας των δεδομένων. Όσον αφορά την αρχή της διαφάνειας, οι ουρουγουανές αρχές προστασίας των δεδομένων ενημέρωσαν ότι η υποχρέωση παροχής όλων των απαραίτητων πληροφοριών στο υποκείμενο των δεδομένων ισχύει σε όλες τις περιπτώσεις. Όσον αφορά το δικαίωμα πρόσβασης, η αρχή προστασίας των δεδομένων διευκρίνισε ότι, για την υποβολή αίτησης, αρκεί το υποκείμενο των δεδομένων να αποδείξει την ταυτότητά του. Οι ουρουγουανές αρχές προστασίας των δεδομένων διευκρίνισαν ότι οι εξαιρέσεις της αρχής που ισχύει για τις διεθνείς διαβιβάσεις, οι οποίες προβλέπονται στο άρθρο 23 παράγραφος 1 του νόμου αριθ. 18.331, δεν μπορούν να ερμηνευθούν ότι έχουν ευρύτερο πεδίο εφαρμογής από αυτό του άρθρου 26 παράγραφος 1 της οδηγίας 95/46/ΕΚ.
(12)
Η παρούσα απόφαση λαμβάνει υπόψη τις εν λόγω επεξηγήσεις και διαβεβαιώσεις και επομένως βασίζεται σε αυτές.
(13)
Η Ανατολική Δημοκρατία της Ουρουγουάης αποτελεί εξάλλου συμβαλλόμενο μέρος της Αμερικανικής σύμβασης των Δικαιωμάτων του Ανθρώπου («PACT of San José de Costa Rica») που εγκρίθηκε στις 22 Νοεμβρίου 1969 και τέθηκε σε ισχύ στις 18 Ιουλίου 1978 (3). Το άρθρο 11 της σύμβασης ορίζει το δικαίωμα στην ιδιωτική ζωή και το άρθρο 30 ορίζει ότι οι περιορισμοί, οι οποίοι, σύμφωνα με την παρούσα σύμβαση, μπορούν να τεθούν στην απόλαυση ή την άσκηση των δικαιωμάτων και ελευθεριών που αναγνωρίζονται από τη σύμβαση, μπορούν να εφαρμοσθούν μόνο σύμφωνα με τους νόμους που θεσπίζονται για λόγους γενικού συμφέροντος και σύμφωνα με τον επιδιωκόμενο από αυτούς τους περιορισμούς στόχο (άρθρο 30). Εξάλλου, η Ανατολική Δημοκρατία της Ουρουγουάης έχει δεχθεί τη δικαιοδοσία του Διαμερικανικού Δικαστηρίου Ανθρωπίνων Δικαιωμάτων. Επιπλέον, κατά την 1118η συνεδρίαση της Επιτροπής των αντιπροσώπων των Υπουργών του Συμβουλίου της Ευρώπης, που πραγματοποιήθηκε στις 6 Ιουλίου 2011, οι αντιπρόσωποι των Υπουργών κάλεσαν την Ανατολική Δημοκρατία της Ουρουγουάης να προσχωρήσει στη σύμβαση για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία πληροφοριών προσωπικού χαρακτήρα (ΣΕΣ αριθ. 108) και στο πρόσθετο πρωτόκολλο της (ΣΕΣ αριθ. 118), μετά από ευνοϊκή γνώμη της σχετικής συμβουλευτικής επιτροπής. (4)
(14)
Κατά συνέπεια, η Ανατολική Δημοκρατία της Ουρουγουάης θα πρέπει να θεωρηθεί ότι παρέχει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα κατά την έννοια της οδηγίας 95/46/ΕΚ.
(15)
Η παρούσα απόφαση αφορά την επάρκεια της προστασίας που εξασφαλίζεται στην Ανατολική Δημοκρατία της Ουρουγουάης με σκοπό την ικανοποίηση των απαιτήσεων του άρθρου 25 παράγραφος 1 της οδηγίας 95/46/ΕΚ. Δεν θίγει άλλους όρους ή περιορισμούς για την εφαρμογή άλλων διατάξεων της εν λόγω οδηγίας που αφορούν την επεξεργασία δεδομένων προσωπικού χαρακτήρα εντός των κρατών μελών.
(16)
Προς όφελος της διαφάνειας και για να διασφαλισθεί η ικανότητα των αρμόδιων αρχών των κρατών μελών να εξασφαλίζουν την προστασία των φυσικών προσώπων όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τα αφορούν, είναι αναγκαίο να καθοριστούν οι εξαιρετικές περιστάσεις κατά τις οποίες μπορεί να δικαιολογηθεί η αναστολή συγκεκριμένων ροών δεδομένων, παρά τη διαπίστωση επαρκούς επιπέδου προστασίας.
(17)
Η Επιτροπή θα πρέπει να παρακολουθεί τη λειτουργία της απόφασης και να αναφέρει κάθε σχετικό πόρισμα στην επιτροπή που συστάθηκε δυνάμει του άρθρου 31 της οδηγίας 95/46/ΕΚ. Αυτή η παρακολούθηση θα πρέπει να καλύπτει, μεταξύ άλλων, το σύστημα της Ανατολικής Δημοκρατίας της Ουρουγουάης που ισχύει όσον αφορά τις διαβιβάσεις που γίνονται στο πλαίσιο διεθνών συνθηκών.
(18)
Η ομάδα εργασίας για την προστασία των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, που συστάθηκε βάσει του άρθρου 29 της οδηγίας 95/46/ΕΚ, εξέδωσε θετική γνώμη σχετικά με το επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα, η οποία ελήφθη υπόψη κατά την κατάρτιση της παρούσας απόφασης (5).
(19)
Τα μέτρα που προβλέπονται στην παρούσα απόφαση συνάδουν με τη γνώμη της επιτροπής που συστάθηκε δυνάμει του άρθρου 31 παράγραφος 1 της οδηγίας 95/46/ΕΚ,
ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
Άρθρο 1
1. Για τους σκοπούς του άρθρου 25 παράγραφος 2 της οδηγίας 95/46/ΕΚ, η Ανατολική Δημοκρατία της Ουρουγουάης θεωρείται ότι εξασφαλίζει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση.
2. Η εποπτική αρχή της Ανατολικής Δημοκρατίας της Ουρουγουάης που είναι αρμόδια για την εφαρμογή των νομικών κανόνων προστασίας των δεδομένων στην Ανατολική Δημοκρατία της Ουρουγουάης ορίζεται στο παράρτημα της παρούσας απόφασης.
Άρθρο 2
1. Με την επιφύλαξη της αρμοδιότητάς τους να λαμβάνουν μέτρα τα οποία θα διασφαλίζουν τη συμμόρφωση με τις εθνικές διατάξεις που εγκρίθηκαν σύμφωνα με διατάξεις άλλες από εκείνες του άρθρου 25 της οδηγίας 95/46/ΕΚ, οι αρμόδιες αρχές των κρατών μελών δύνανται να ασκούν τις εξουσίες που ήδη έχουν για να αναστέλλουν ροές δεδομένων προς παραλήπτη ευρισκόμενο στην Ανατολική Δημοκρατία της Ουρουγουάης, προκειμένου να προστατεύουν τα φυσικά πρόσωπα από την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τα αφορούν στις ακόλουθες περιπτώσεις:
α)
όταν αρμόδια ουρουγουανή αρχή διαπιστώσει ότι ο παραλήπτης παραβιάζει τους ισχύοντες κανόνες προστασίας· ή
β)
όταν υπάρχει βάσιμη πιθανότητα παραβίασης των ισχυόντων κανόνων προστασίας, εύλογη πεποίθηση ότι η αρμόδια ουρουγουανή αρχή δεν προβαίνει ή δεν πρόκειται να προβεί εγκαίρως στις ενδεικνυόμενες ενέργειες ώστε να διευθετήσει το επίμαχο ζήτημα, η συνέχιση της διαβίβασης ενδέχεται να προκαλέσει άμεσο κίνδυνο σοβαρής ζημίας στα πρόσωπα στα οποία αναφέρονται τα δεδομένα και οι αρμόδιες αρχές του κράτους μέλους έχουν, υπό τις επικρατούσες περιστάσεις, καταβάλει κάθε δυνατή προσπάθεια για να απευθύνουν προειδοποίηση στον εγκατεστημένο στην Ανατολική Δημοκρατία της Ουρουγουάης υπεύθυνο της επεξεργασίας και να του δώσουν τη δυνατότητα να αντιδράσει.
2. Η αναστολή της ροής των δεδομένων λήγει αμέσως μόλις εξασφαλιστεί η τήρηση των κανόνων προστασίας και ενημερωθεί σχετικά η αρμόδια αρχή των ενδιαφερομένων κρατών μελών.
Άρθρο 3
1. Τα κράτη μέλη ενημερώνουν πάραυτα την Επιτροπή στις περιπτώσεις στις οποίες λαμβάνονται μέτρα βάσει του άρθρου 2.
2. Τα κράτη μέλη και η Επιτροπή ενημερώνονται αμοιβαία για τις περιπτώσεις στις οποίες η δράση των φορέων που είναι αρμόδιοι για τη διασφάλιση της συμμόρφωσης προς τους κανόνες προστασίας στην Ανατολική Δημοκρατία της Ουρουγουάης δεν επαρκεί για να διασφαλίσει την εν λόγω συμμόρφωση.
3. Εάν από τις πληροφορίες που συλλέγονται βάσει του άρθρου 2 και βάσει των παραγράφων 1 και 2 του παρόντος άρθρου προκύπτει ότι κάποιος φορέας αρμόδιος για τη διασφάλιση της τήρησης των κανόνων προστασίας στην Ανατολική Δημοκρατία της Ουρουγουάης δεν εκπληρώνει αποτελεσματικά την αποστολή του, η Επιτροπή ενημερώνει σχετικά την αρμόδια ουρουγουανή αρχή και, εάν το κρίνει απαραίτητο, υποβάλλει σχέδιο μέτρων σύμφωνα με τη διαδικασία που προβλέπεται στο άρθρο 31 παράγραφος 2 της οδηγίας 95/46/ΕΚ, με σκοπό την κατάργηση ή την αναστολή της παρούσας απόφασης ή τον περιορισμό του πεδίου εφαρμογής της.
Άρθρο 4
Η Επιτροπή παρακολουθεί την εφαρμογή της παρούσας απόφασης και αναφέρει κάθε σχετικό πόρισμα στην επιτροπή που συστάθηκε δυνάμει του άρθρου 31 της οδηγίας 95/46/ΕΚ, συμπεριλαμβανομένου κάθε στοιχείου ικανού να επηρεάσει το πόρισμα του άρθρου 1 της παρούσας απόφασης, ότι η παρεχόμενη στην Ανατολική Δημοκρατία της Ουρουγουάης προστασία είναι επαρκής κατά την έννοια του άρθρου 25 της οδηγίας 95/46/ΕΚ, καθώς και κάθε στοιχείου που να καταδεικνύει ότι η απόφαση εφαρμόζεται κατά τρόπο συνεπαγόμενο διακρίσεις.
Άρθρο 5
Τα κράτη μέλη λαμβάνουν όλα τα αναγκαία μέτρα για να συμμορφωθούν με την παρούσα απόφαση εντός τριών μηνών από την ημερομηνία της κοινοποίησής της.
Άρθρο 6
Η παρούσα οδηγία απευθύνεται στα κράτη μέλη.
Βρυξέλλες, 21 Αυγούστου 2012.
PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.