PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
DECIZIA DE PUNERE ÎN APLICARE A COMISIEI
din 21 august 2012
în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind nivelul de protecție adecvat asigurat de Republica Orientală a Uruguayului privind prelucrarea automată a datelor cu caracter personal
[notificată cu numărul C(2012) 5704]
(Text cu relevanță pentru SEE)
(2012/484/UE)
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 25 alineatul (6),
după consultarea Autorității Europene pentru Protecția Datelor (2),
întrucât:
(1)
În temeiul Directivei 95/46/CE, statelor membre li se cere să ia măsuri astfel încât transferul datelor cu caracter personal către o țară terță să poată avea loc numai în cazul în care țara terță în cauză asigură un nivel de protecție adecvat și în cazul în care legile statelor membre care pun în aplicare alte dispoziții ale directivei sunt respectate înainte de transfer.
(2)
Comisia poate constata că o țară terță asigură un nivel adecvat de protecție. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără să fie nevoie de garanții suplimentare.
(3)
În temeiul Directivei 95/46/CE, nivelul de protecție a datelor trebuie evaluat ținând seama de toate împrejurările care au legătură cu o operațiune de transfer de date sau cu o serie de operațiuni de transfer de date și acordând o atenție specială mai multor elemente relevante pentru transfer, enumerate la articolul 25.
(4)
Având în vedere diferitele abordări privind protecția datelor în țările terțe, evaluarea caracterului adecvat trebuie efectuată și orice decizie întemeiată pe articolul 25 alineatul (6) din Directiva 95/46/CE trebuie adoptată și pusă în aplicare astfel încât să nu creeze discriminări arbitrare sau nejustificate față de țările terțe ori între acestea, atunci când există condiții similare, și să nu constituie o barieră mascată în calea comerțului, ținând seama de angajamentele internaționale actuale ale Uniunii Europene.
(5)
Constituția politică a Republicii Orientale a Uruguayului, adoptată în 1967, nu recunoaște în mod expres dreptul la viață privată și protecția datelor cu caracter personal. Cu toate acestea, catalogul drepturilor fundamentale nu constituie o listă închisă, deoarece articolul 72 din Constituție prevede că lista drepturilor, obligațiilor și a garanțiilor enumerate în Constituție nu exclude altele care sunt inerente personalității umane sau care rezultă din forma republicană de guvernământ. La articolul 1 din Legea nr. 18.331 privind protecția datelor cu caracter personal și privind acțiunea „Habeas Data” din 11 august 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) se stabilește în mod expres că „dreptul la protecția datelor cu caracter personal este un drept inerent persoanei umane și, prin urmare, este inclus în articolul 72 din Constituția Republicii”. Articolul 332 din Constituție prevede că aplicarea prevederilor respectivei constituții care consacră drepturile persoanelor, precum și cele care acordă drepturi și impun obligații autorităților publice, nu trebuie să fie compromisă de lipsa legislației specifice, ci, mai degrabă, trebuie să se întemeieze, prin recurgerea la principiile fundamentale ale legislației similare, pe principiile generale de drept și pe doctrinele general acceptate.
(6)
Standardele legale pentru protecția datelor cu caracter personal în Republica Orientală a Uruguayului sunt întemeiate în mare parte pe standardele stabilite în Directiva 95/46/CE și sunt prevăzute în Legea nr. 18.331 privind protecția datelor cu caracter personal și privind acțiunea „Habeas Data” (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data”) din 11 august 2008. Aceasta se referă la persoane fizice și la persoane juridice.
(7)
Legea respectivă este completată de Decretul nr. 414/009 din 31 august 2009, adoptat în scopul de a clarifica anumite aspecte din lege și de a stabili în detaliu reglementarea organizării, competențele și funcționarea autorității de supervizare a protecției datelor. Preambulul decretului prevede că este necesar să se adapteze sistemul juridic național în materie la regimul juridic comparabil cel mai acceptat, în principal cel stabilit de țările europene prin Directiva 95/46/CE.
(8)
Dispoziții privind protecția datelor există, de asemenea, în mai multe acte speciale, de instituire și reglementare a unor baze de date, și anume norme de reglementare ale anumitor registre publice (actele publice, drepturile de proprietate industrială și mărcile comerciale, actele cu caracter personal, proprietățile imobiliare, minerit sau de informare cu privire la credite). Legea nr. 18.331 se aplică în mod suplimentar acestor acte în ceea ce privește aspectele care nu sunt reglementate de respectivele instrumente juridice specifice, în conformitate cu articolul 332 din Constituție.
(9)
Standardele legale în materie de protecție a datelor aplicabile în Republica Orientală a Uruguayului includ toate principiile de bază necesare pentru a asigura un nivel adecvat de protecție a persoanelor fizice și prevăd, totodată, excepții și limitări menite să protejeze interesele publice importante. Atât aceste standarde juridice în materie de protecție a datelor, cât și excepțiile reflectă principiile enunțate de Directiva 95/46/CE.
(10)
Aplicarea standardelor juridice în materie de protecție a datelor este garantată prin căi de atac juridice și administrative, în special prin acțiunea „habeas data”, care permite persoanei vizate să îl cheme în instanță pe responsabilul bazei de date pentru a obține aplicarea drepturilor sale de acces, rectificare și eliminare, precum și printr-o supraveghere independentă efectuată de autoritatea de supraveghere, Unitatea de reglementare și control a datelor personale [Unidad Reguladora y de Control de Datos Personales (URCDP)], care este învestită cu competențe de investigare, intervenție și sancțiune în conformitate cu articolul 28 din Directiva 95/46/CE și care acționează în deplină independență. Mai mult, toate părțile interesate au dreptul de a introduce o acțiune în justiție pentru recuperarea daunelor suferite în urma prelucrării ilegale a datelor lor cu caracter personal.
(11)
Autoritățile uruguayene responsabile pentru protecția datelor au furnizat explicații și asigurări referitoare la modul în care trebuie interpretată legislația uruguayană și au confirmat că legislația uruguayană privind protecția datelor este pusă în aplicare conform acestei interpretări. În special, autoritățile uruguayene pentru protecția datelor au explicat că, în conformitate cu articolul 332 din Constituție, Legea nr. 18.331 se aplică în mod suplimentar legilor speciale de instituire și reglementare ale unor baze de date specifice în relație cu acele aspecte care nu sunt reglementate de respectivele instrumente juridice speciale. De asemenea, acestea au clarificat că, în ceea ce privește listele menționate la articolul 9 litera (c) din Legea nr. 18.331 și care nu necesită consimțământul persoanei vizate pentru prelucrarea datelor, legea, în special principiile proporționalității și finalității, se aplică drepturilor persoanelor vizate și că acestea fac obiectul supravegherii de către autoritatea pentru protecția datelor. În ceea ce privește principiul transparenței, autoritățile uruguayene de protecție a datelor au informat că obligația de a furniza persoanei vizate informațiile necesare se aplică în toate cazurile. În ceea ce privește dreptul de acces, autoritatea de protecție a datelor a precizat că este suficient ca persoana vizată să își dovedească identitatea atunci când formulează o solicitare. Autoritățile uruguayene de protecție a datelor au clarificat faptul că excepțiile de la principiul privind transferurile internaționale prevăzute la articolul 23 alineatul (1) din Legea nr. 18.331 nu pot fi înțelese ca având o sferă de aplicare mai largă decât articolul 26 alineatul (1) din Directiva 95/46/CE.
(12)
Prezenta decizie ia în considerare și se bazează pe aceste explicații și asigurări.
(13)
Totodată, Republica Orientală a Uruguayului este parte la Convenția Americană a Drepturilor Omului („Pactul de la San José de Costa Rica”) din 22 noiembrie 1969, care a intrat în vigoare la 18 iulie 1978 (3). Articolul 11 din respectiva convenție stabilește dreptul la viață privată, iar articolul 30 prevede că restricțiile care, în temeiul acestei convenții, ar putea fi impuse asupra exercitării drepturilor sau libertăților recunoscute de convenție nu pot fi puse în aplicare decât în conformitate cu legile adoptate pe considerente de interes general și în concordanță cu obiectivul pentru care au fost stabilite asemenea restricții (articolul 30). Mai mult, Republica Orientală a Uruguayului a acceptat jurisdicția Curții Interamericane a Drepturilor Omului. În plus, la cea de a 1118-a reuniune la nivel de adjunct de ministru a Consiliului Europei, desfășurată la 6 iulie 2011, oficialii au invitat Republica Orientală a Uruguayului să adere la Convenția pentru protecția persoanelor cu privire la prelucrarea automată a datelor cu caracter personal (ETS nr. 108) și la Protocolul adițional la aceasta (ETS nr. 118), în urma unei opinii favorabile a comitetului consultativ pertinent (4).
(14)
Prin urmare, ar trebui să se considere că Republica Orientală a Uruguayului dispune de un nivel adecvat de protecție a datelor cu caracter personal în sensul Directivei 95/46/CE.
(15)
Prezenta decizie ar trebui să vizeze nivelul de adecvare al protecției furnizate de Republica Orientală a Uruguayului în scopul îndeplinirii cerințelor articolului 25 alineatul (1) din Directiva 95/46/CE. Acest lucru nu ar trebui să afecteze alte condiții sau restricții prin care se pun în aplicare alte prevederi ale directivei respective care se referă la prelucrarea datelor cu caracter personal în statele membre.
(16)
În interesul transparenței și în scopul protejării capacității autorităților competente din statele membre de a asigura protecția persoanelor în ceea ce privește prelucrarea datelor lor personale, este necesar să se specifice circumstanțele excepționale în care s-ar putea justifica suspendarea fluxului de date, fără a se aduce atingere identificării unei protecții adecvate.
(17)
Comisia trebuie să monitorizeze punerea în aplicare a deciziei și să informeze asupra constatărilor relevante Comitetul instituit în temeiul articolului 31 din Directiva 95/46/CE. Această monitorizare trebuie să acopere, între altele, regimul Republicii Orientale a Uruguayului aplicabil transferurilor în cadrul tratatelor internaționale.
(18)
Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal instituit în temeiul articolului 29 din Directiva 95/46/CE a emis un aviz favorabil cu privire la nivelul adecvat al protecției datelor cu caracter personal, luat în considerare la pregătirea prezentei decizii (5).
(19)
Măsurile prevăzute de prezenta decizie sunt conforme cu avizul Comitetului instituit în temeiul articolului 31 alineatul (1) din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
(1) În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, se consideră că Republica Orientală a Uruguayului asigură un nivel adecvat de protecția a datelor personale transferate din Uniunea Europeană.
(2) Autoritatea competentă de supraveghere din Republica Orientală a Uruguayului responsabilă cu aplicarea standardelor în materie de protecție a datelor în Republica Orientală a Uruguayului este stabilită în anexa la prezenta decizie.
Articolul 2
(1) Fără a se aduce atingere competențelor lor de a lua măsuri pentru respectarea dispozițiilor naționale adoptate în temeiul altor dispoziții decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita competențele de care dispun pentru a suspenda fluxurile de date către un destinatar din Republica Orientală a Uruguayului în vederea protejării persoanelor în ceea ce privește prelucrarea datelor cu caracter personal ale acestora în următoarele cazuri:
(a)
atunci când o autoritate competentă din Uruguay a stabilit că destinatarul încalcă standardele de protecție aplicabile; sau
(b)
când există o probabilitate semnificativă că standardele de protecție sunt încălcate, atunci când există temeiuri rezonabile pentru a crede că autoritatea competentă din Uruguay competentă nu ia sau nu va lua măsurile adecvate în timp util pentru a soluționa situația dată, continuarea transferului de date ar crea un risc iminent de a afecta în mod grav persoanele vizate și atunci când autoritățile competente din statele membre au făcut eforturi rezonabile în circumstanțele date de a notifica partea responsabilă cu prelucrarea datelor din Republica Orientală a Uruguayului și de a îi oferi posibilitatea de a răspunde.
(2) Suspendarea încetează imediat ce standardele de protecție sunt asigurate, iar autoritatea competentă în cauză din statele membre este notificată în acest sens.
Articolul 3
(1) Statele membre informează fără întârziere Comisia atunci când se adoptă măsuri în temeiul articolului 2.
(2) Statele membre și Comisia se informează reciproc cu privire la cazurile în care măsurile luate de organismele responsabile cu asigurarea respectării standardelor de protecție în Republica Orientală a Uruguayului nu asigură această respectare.
(3) În cazul în care informațiile colectate în temeiul articolului 2 și al alineatelor (1) și (2) din prezentul articol furnizează dovezi că un organism însărcinat cu asigurarea respectării standardelor de protecție în Republica Orientală a Uruguayului nu își îndeplinește eficient rolul, Comisia informează autoritatea uruguayană competentă și, dacă este necesar, prezintă un proiect de măsuri în conformitate cu procedura prevăzută la articolul 31 alineatul (2) din Directiva 95/46/CE în vederea abrogării sau suspendării prezentei decizii ori a limitării domeniului de aplicare al acesteia.
Articolul 4
Comisia monitorizează aplicarea prezentei decizii și raportează toate constatările pertinente Comitetului instituit în temeiul articolului 31 din Decizia 95/46/CE, inclusiv orice dovadă care ar putea afecta constatarea menționată în articolul 1 din prezenta decizie, conform căreia protecția datelor în Republica Orientală a Uruguayului este adecvată în sensul articolului 25 din Directiva 95/46/CE, precum și orice dovadă că prezenta decizie este aplicată în mod discriminatoriu.
Articolul 5
Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii în termen de 3 luni de la data notificării acesteia.
Articolul 6
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 21 august 2012.