PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
KOMISIJOS ĮGYVENDINIMO SPRENDIMAS
2012 m. rugpjūčio 21 d.
dėl Urugvajaus Rytų Respublikos užtikrinamos tinkamos asmens duomenų apsaugos automatizuoto asmens duomenų tvarkymo srityje pagal Europos Parlamento ir Tarybos direktyvą 95/46/EB
(pranešta dokumentu Nr. C(2012) 5704)
(Tekstas svarbus EEE)
(2012/484/ES)
EUROPOS KOMISIJA,
atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,
atsižvelgdama į 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (1), ypač į jos 25 straipsnio 6 dalį,
pasikonsultavusi su Europos duomenų apsaugos priežiūros pareigūnu (2),
kadangi:
(1)
remiantis Direktyva 95/46/EB, valstybės narės privalo užtikrinti, kad asmens duomenys trečiajai šaliai būtų perduodami tik tuo atveju, jei pastaroji užtikrina tinkamą apsaugos lygį ir jei iki perdavimo laikomasi valstybių narių įstatymų, kuriais įgyvendinamos kitos direktyvos nuostatos;
(2)
Komisija gali nustatyti, kad trečioji šalis užtikrina tinkamą apsaugos lygį. Tokiu atveju asmens duomenys gali būti perduodami iš valstybių narių be papildomų garantijų;
(3)
pagal Direktyvą 95/46/EB duomenų apsaugos lygis turėtų būti įvertintas atsižvelgiant į visas su duomenų perdavimo operacija ar operacijomis susijusias aplinkybes ir ypatingą dėmesį skiriant perdavimui svarbiems elementams, kurie išvardyti direktyvos 25 straipsnyje;
(4)
kadangi trečiųjų šalių duomenų apsaugos koncepcijos skiriasi, reikėtų įvertinti apsaugos tinkamumą, o bet koks Direktyvos 95/46/EB 25 straipsnio 6 dalimi pagrįstas sprendimas turėtų būti priimtas ir vykdomas taip, kad trečiosios šalys, kuriose yra panašios sąlygos, nebūtų savavališkai ar nepagrįstai diskriminuojamos arba kad trečiosios šalys nediskriminuotų viena kitos ir kad juo nebūtų kuriamos paslėptos prekybos kliūtys atsižvelgiant į Europos Sąjungos prisiimtus tarptautinius įsipareigojimus;
(5)
1967 m. priimtoje Urugvajaus Rytų Respublikos politinėje Konstitucijoje teisė į privatumą ir asmens duomenų apsaugą nėra aiškiai pripažinta. Tačiau pagrindinių teisių katalogas nėra baigtinis sąrašas, nes Konstitucijos 72 straipsnyje nustatyta, kad Konstitucijoje išvardytos teisės, pareigos ir garantijos gali būti papildytos naujomis teisėmis, pareigomis ir garantijomis, susijusiomis su žmogaus asmeniu arba kylančiomis iš Respublikinės valstybės valdymo formos. 2008 m. rugpjūčio 11 d. Įstatymo Nr. 18.331 dėl asmens duomenų apsaugos ir „habeas data“ ieškinio (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) 1 straipsnyje aiškiai nurodyta, kad „teisė į asmens duomenų apsaugą neatsiejamai susijusi su individu ir todėl nustatyta Respublikos Konstitucijos 72 straipsnyje“. Konstitucijos 332 straipsnyje numatyta, kad Konstitucijos nuostatos, kuriomis asmenims pripažįstamos, o valdžios institucijoms suteikiamos teisės ir nustatomos pareigos, taikomos net ir nesant specialaus reglamentavimo; tokiu atveju nuostatų taikymas grindžiamas panašiuose įstatymuose įtvirtintais principais, bendraisiais teisės principais ir visuotinai pripažinta teisės doktrina;
(6)
Urugvajaus Rytų Respublikoje asmens duomenų apsaugos teisės normos daugiausia grindžiamos Direktyvoje 95/46/EB nustatytomis normomis ir jos įtvirtintos 2008 m. rugpjūčio 11 d. Įstatyme Nr. 18.331 dėl asmens duomenų apsaugos ir „habeas data“ ieškinio (Ley No18.331 de Protección de Datos Personales y Acción de „Habeas Data“). Jos taikomos ir fiziniams, ir juridiniams asmenims;
(7)
šį įstatymą papildo 2009 m. rugpjūčio 31 d. Potvarkis Nr. 414/009, kuriuo paaiškinami tam tikri įstatymo aspektai ir išsamiai reglamentuojama duomenų apsaugos priežiūros institucijos struktūra, įgaliojimai ir veikimas. Potvarkio preambulėje nurodyta, kad šios srities nacionalinę teisės sistemą reikėtų suderinti su daugumoje šalių pripažinta teisinio reglamentavimo tvarka, iš esmės - su tvarka, kurią Europos šalys įvedė 95/46/EB;
(8)
be to, duomenų apsaugos nuostatos įtvirtintos ir specialiuosiuose teisės aktuose, kuriais sukuriamos ir reglamentuojamos duomenų bazės, t. y. teisės aktais, reglamentuojančiais tam tikrus viešuosius registrus (oficialių dokumentų, pramoninės nuosavybės ir prekių ženklų, civilinės būklės aktų, nekilnojamojo turto, kalnakasybos arba kreditorių duomenų teikimo). Pagal Konstitucijos 332 straipsnį Įstatymas Nr. 18.331 taikomas ir tiems klausimams, kurie nėra sureglamentuoti specialiaisiais teisės aktais;
(9)
Urugvajaus Rytų Respublikoje taikomose duomenų apsaugos teisės normose įtvirtinti visi pagrindiniai principai, būtini tinkamam fizinių asmenų apsaugos lygiui užtikrinti, ir nustatytos išimtys bei apribojimai svarbiems viešiesiems interesams apsaugoti. Šios duomenų apsaugos teisės normos ir išimtys atitinka Direktyvoje 95/46/EB nustatytus principus;
(10)
duomenų apsaugos teisės normų taikymas užtikrintas administracinėmis ir teisminėmis teisių gynimo priemonėmis, visų pirma „habeas data“ ieškiniu, suteikiančiu duomenų subjektui teisę paduoti duomenų valdytoją į teismą, siekiant įgyvendinti savo teisę susipažinti su duomenimis arba teisę reikalauti juos ištaisyti ir ištrinti, ir nepriklausoma priežiūra, kurią vykdo priežiūros institucija - Asmens duomenų reglamentavimo ir kontrolės tarnyba (Unidad Reguladora y de Control de Datos Personales (URCDP)) -, kuriai pagal Direktyvos 95/46/EB 28 straipsnį suteikti įgaliojimai atlikti tyrimus, imtis veiksmų ir skirti sankcijas ir kuri veikia visiškai nepriklausomai. Be to, kiekvienas suinteresuotas asmuo turi teisę kreiptis į teismą su reikalavimu atlyginti žalą, patirtą neteisėtai tvarkant jo asmens duomenis;
(11)
Urugvajaus duomenų apsaugos institucijos pateikė paaiškinimų ir garantijų dėl Urugvajaus įstatymų aiškinimo ir patikino, kad Urugvajaus duomenų apsaugos teisės aktai įgyvendinami vadovaujantis tokiu aiškinimu. Visų pirma, Urugvajaus duomenų apsaugos institucijos paaiškino, kad pagal Konstitucijos 332 straipsnį greta specialiųjų teisės aktų, kuriais sukurtos ir reglamentuojamos specialios duomenų bazės, Įstatymas Nr. 18.331 taikomas ir tuose specialiuosiuose teisės aktuose nesureglamentuotiems klausimams. Jos taip pat pažymėjo, kad, kiek tai susiję su Įstatymo Nr. 18.331 9 straipsnio C punkte nurodytais sąrašais, kurių tvarkymui nereikalingas duomenų subjekto sutikimas, taip pat taikomas įstatymas, ypač proporcingumo ir tikslingumo principas, ir duomenų subjektų teisės, o šių sąrašų priežiūrą atlieka duomenų apsaugos institucija. Dėl skaidrumo principo Urugvajaus duomenų apsaugos institucijos nurodė, kad duomenų subjektui visais atvejais privaloma suteikti reikalingą informaciją. Kiek tai susiję su teise susipažinti su duomenimis, duomenų apsaugos institucijos paaiškino, kad teikiant prašymą duomenų subjektui pakanka įrodyti savo tapatybę. Urugvajaus duomenų apsaugos institucijos nurodė, kad Įstatymo Nr. 18.331 23 straipsnio 1 dalyje nustatytos duomenų perdavimo trečiosioms šalims principo išimtys neturi būti aiškinamos kaip turinčios platesnę taikymo sritį nei Direktyvos 95/46/EB 26 straipsnio 1 dalis;
(12)
šiame sprendime atsižvelgiama į šiuos paaiškinimus ir garantijas ir jis jais grindžiamas;
(13)
Urugvajaus Rytų Respublika taip pat yra 1969 m. lapkričio 22 d. Amerikos žmogaus teisių konvencijos („PACT of San José de Costa Rica“), kuri įsigaliojo 1978 m. liepos 18 d. (3), narė. Šios konvencijos 11 straipsnyje įtvirtinta teisė į privatumą, o 30 straipsnyje nustatyta, kad šioje konvencijoje pripažįstamų teisių ir laisvių naudojimosi ir įgyvendinimo apribojimai pagal šią konvenciją gali būti taikomi tik kai tai numatyta bendrojo intereso gynimui priimtuose įstatymuose ir siekiant tikslo, kuriam tokie apribojimai buvo nustatyti (30 straipsnis). Be to, Urugvajaus Rytų Respublika pripažino Amerikos žmogaus teisių teismo jurisdikciją. Kompetentingam konsultaciniam komitetui pateikus teigiamą nuomonę, 2011 m. liepos 6 d. įvykusioje Europos Tarybos ministrų pavaduotojų 1118-oje sesijoje pavaduotojai pakvietė Urugvajaus Rytų Respubliką prisijungti prie Konvencijos dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu (ESS Nr. 108) ir jos Papildomo protokolo (ESS Nr. 118) (4);
(14)
todėl Urugvajaus Rytų Respubliką reikėtų laikyti užtikrinančia tinkamą asmens duomenų apsaugos lygį, kaip nurodyta Direktyvoje 95/46/EB;
(15)
šis sprendimas turėtų būti priimamas dėl apsaugos, kurią Urugvajaus Rytų Respublika užtikrina atsižvelgdama į Direktyvos 95/46/EB 25 straipsnio 1 dalies reikalavimus, lygio tinkamumo. Sprendimu neturėtų būti daromas poveikis kitoms sąlygoms ir kitiems apribojimams, kuriais įgyvendinamos kitos tos direktyvos nuostatos, susijusios su asmens duomenų tvarkymu valstybėse narėse;
(16)
siekiant skaidrumo ir norint garantuoti valstybių narių kompetentingų valdžios institucijų galimybes užtikrinti fizinių asmenų apsaugą tvarkant jų asmens duomenis, svarbu tiksliai apibrėžti išimtines aplinkybes, kuriomis gali būti sustabdyti tam tikrų duomenų srautai, nepaisant to, kad nustatyta, jog apsauga yra tinkama;
(17)
Komisija turėtų stebėti, kaip šis sprendimas įgyvendinamas, ir atitinkamas išvadas pateikti pagal Direktyvos 95/46/EB 31 straipsnį įsteigtam komitetui. Taip pat turėtų būti stebima, kaip Urugvajaus Rytų Respublikoje reglamentuojamas duomenų perdavimas pagal tarptautines sutartis;
(18)
Darbo grupė asmenų apsaugai tvarkant asmens duomenis, įsteigta pagal Direktyvos 95/46/EB 29 straipsnį, pateikė teigiamą nuomonę dėl asmens duomenų apsaugos lygio tinkamumo, ir į šią nuomonę atsižvelgta rengiant šį sprendimą (5);
(19)
šiame sprendime numatytos priemonės atitinka Direktyvos 95/46/EB 31 straipsnio 1 dalimi įsteigto komiteto nuomonę,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 straipsnis
1. Direktyvos 95/46/EB 25 straipsnio 2 dalies tikslais laikoma, kad Urugvajaus Rytų Respublika užtikrina tinkamą iš Europos Sąjungos perduodamų asmens duomenų apsaugos lygį.
2. Duomenų apsaugos teisės normų laikymąsi užtikrinti kompetentinga Urugvajaus Rytų Respublikos institucija, nurodyta šio sprendimo priede.
2 straipsnis
1. Nepažeisdamos savo įgaliojimų imtis veiksmų, kad būtų užtikrinta atitiktis nacionalinėms nuostatoms, priimtoms remiantis ne Direktyvos 95/46/EB 25 straipsniu, o kitomis nuostatomis, valstybių narių kompetentingos valdžios institucijos gali pasinaudoti suteiktais įgaliojimais sustabdyti duomenų srautus Urugvajaus Rytų Respublikos gavėjui, kad apsaugotų fizinius asmenis, kurių asmens duomenys tvarkomi, toliau nurodytais atvejais:
a)
jeigu kompetentinga Urugvajaus valdžios institucija nustatė, kad gavėjas nesilaiko taikytinų apsaugos normų, arba
b)
jeigu yra didelė tikimybė, kad nesilaikoma apsaugos normų, jeigu yra pagrįstų priežasčių manyti, kad kompetentinga Urugvajaus valdžios institucija laiku nesiima arba nesiims atitinkamų veiksmų klausimui išspręsti, jeigu toliau perduodant duomenis kiltų neišvengiama didelės žalos rizika duomenų subjektams ir jeigu valstybių narių kompetentingos valdžios institucijos, atsižvelgdamos į aplinkybes, dėjo pakankamai pastangų, kad įspėtų už duomenų tvarkymą Urugvajaus Rytų Respublikoje atsakingą subjektą ir suteiktų jam galimybę atsakyti.
2. Sustabdymas atšaukiamas, kai tik užtikrinamos duomenų apsaugos normos ir apie tai pranešama atitinkamų valstybių narių kompetentingoms valdžios institucijoms.
3 straipsnis
1. Priėmusios priemones pagal 2 straipsnį, valstybės narės apie tai nedelsdamos praneša Komisijai.
2. Valstybės narės ir Komisija vienos kitoms praneša apie atvejus, kai už duomenų apsaugos normų laikymosi užtikrinimą Urugvajaus Rytų Respublikoje atsakingos institucijos savo veiksmais tokio laikymosi neužtikrina.
3. Jei remiantis informacija, surinkta pagal 2 straipsnį ir šio straipsnio 1 ir 2 dalis, nustatoma, kad kuri nors už duomenų apsaugos normų laikymosi užtikrinimą Urugvajaus Rytų Respublikoje atsakinga institucija neveiksmingai vykdo savo įgaliojimus, Komisija praneša apie tai kompetentingai Urugvajaus valdžios institucijai ir prireikus pateikia priemonių projektus Direktyvos 95/46/EB 31 straipsnio 2 dalyje nurodyta tvarka, kad panaikintų šį sprendimą, sustabdytų jo galiojimą arba apribotų jo taikymo sritį.
4 straipsnis
Komisija stebi, kaip vykdomas šis sprendimas, ir pateikia visas būtinas išvadas pagal Direktyvos 95/46/EB 31 straipsnį įsteigtam komitetui, įskaitant visus įrodymus, kurie galėtų turėti įtakos šio sprendimo 1 straipsnyje nurodytai išvadai, kad apsauga Urugvajaus Rytų Respublikoje yra tinkama, kaip nurodyta Direktyvos 95/46/EB 25 straipsnyje, ir visus įrodymus, kad šis sprendimas yra įgyvendinamas diskriminuojamai.
5 straipsnis
Per 3 mėnesius nuo pranešimo apie sprendimą dienos valstybės narės imasi visų šiam sprendimui įgyvendinti būtinų priemonių.
6 straipsnis
Šis sprendimas skirtas valstybėms narėms.
Priimta Briuselyje 2012 m. rugpjūčio 21 d.