DURCHFÜHRUNGSBESCHLUSS DER KOMMISSION
vom 21. August 2012
gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus in der Republik Östlich des Uruguay im Hinblick auf die automatisierte Verarbeitung personenbezogener Daten
(Bekanntgegeben unter Aktenzeichen C(2012) 5704)
(Text von Bedeutung für den EWR)
(2012/484/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
nach Stellungnahme des Europäischen Datenschutzbeauftragten (2),
in Erwägung nachstehender Gründe:
(1)
Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die einzelstaatlichen Rechtsvorschriften zur Umsetzung anderer Bestimmungen der Richtlinie beachtet werden.
(2)
Die Kommission kann feststellen, dass ein Drittland ein angemessenes Datenschutzniveau gewährleistet. In diesem Fall können personenbezogene Daten aus den Mitgliedstaaten übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Gemäß der Richtlinie 95/46/EG sind bei der Beurteilung des Datenschutzniveaus alle Umstände zu berücksichtigen, die bei einer Datenübermittlung oder einer Reihe von Datenübermittlungen eine Rolle spielen, insbesondere die für die Datenübermittlung relevanten, in Artikel 25 der Richtlinie aufgeführten Aspekte.
(4)
Wegen der unterschiedlichen Handhabung des Datenschutzes in Drittländern sollte die Beurteilung der Angemessenheit des Schutzniveaus sowie jeder Beschluss gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG und dessen Durchführung in einer Weise erfolgen, die gegenüber Drittländern bzw. unter Drittländern, in denen gleiche Bedingungen vorherrschen, keine willkürliche oder ungerechtfertigte Diskriminierung bewirkt und unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Europäischen Union kein verstecktes Handelshemmnis darstellt.
(5)
In der im Jahr 1967 verabschiedeten politischen Verfassung der Republik Östlich des Uruguay sind das Recht auf Privatsphäre und das Recht auf den Schutz personenbezogener Daten nicht ausdrücklich verankert. Allerdings stellt der Katalog der Grundrechte keine erschöpfende Liste dar, da gemäß Artikel 72 der Verfassung neben den in der Verfassung aufgeführten Rechten, Pflichten und Garantien weitere zum Tragen kommen können, die mit der menschlichen Persönlichkeit verbunden sind oder sich aus der republikanischen Staatsform ergeben. Artikel 1 des Gesetzes Nr. 18.331 über den Schutz personenbezogener Daten und den „Habeas-data“-Rechtsbehelf (LPDP) (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data“) vom 11. August 2008 sieht ausdrücklich vor, dass „der Mensch ein Recht auf den Schutz personenbezogener Daten hat und demnach dieses Recht in Artikel 72 der Verfassung der Republik enthalten ist“. In Artikel 332 der Verfassung heißt es, dass die Bestimmungen dieser Verfassung, in denen die Rechte natürlicher Personen anerkannt werden, sowie die Bestimmungen, nach denen öffentlichen Behörden Rechte zuerkannt und Pflichten auferlegt werden, auch ohne einschlägige Durchführungsverordnungen zur Anwendung kommen sollten. In diesem Fall werden Grundsätze, die sich aus ähnlichen Gesetzen ergeben, sowie die allgemeinen Rechtsgrundsätze und die allgemein anerkannte Rechtsdogmatik herangezogen.
(6)
Die Rechtsnormen zum Schutz personenbezogener Daten in der Republik Östlich des Uruguay stützen sich weitgehend auf die in der Richtlinie 95/46/EG vorgegebenen Normen und sind im Gesetz Nr. 18.331 über den Schutz personenbezogener Daten und den „Habeas-data“-Rechtsbehelf (LPDP) (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data“) vom 11. August 2008 niedergelegt. Sie gelten für natürliche und juristische Personen.
(7)
In Ergänzung dieses Gesetzes wurde am 31. August 2009 die Verordnung Nr. 414/009 erlassen, um verschiedene Aspekte des Gesetzes zu erläutern und ausführliche Vorschriften zu der Organisation, den Befugnissen und der Arbeitsweise der Datenschutzaufsichtsbehörde niederzulegen. In der Präambel dieser Verordnung heißt es, dass es angebracht ist, das nationale Rechtssystem auf diesem Gebiet an das vergleichbare Rechtssystem anzupassen, das von den meisten Ländern anerkannt wird, im Wesentlichen an das System, das die europäischen Länder mit der Richtlinie 95/46/EG eingeführt haben.
(8)
Datenschutzbestimmungen finden sich überdies in einer Reihe besonderer Gesetze zur Einrichtung und Regulierung von Datenbanken, durch die insbesondere bestimmte öffentliche Register geregelt werden (amtliche Beurkundungen, gewerbliches Eigentum und Marken, persönliche Urkunden, Immobilien, Bergbau, Kreditauskünfte usw.). Gemäß Artikel 332 der Verfassung findet zusätzlich das Gesetz Nr. 18.331 Anwendung auf die Fragen, die nicht durch diese besonderen Gesetze geregelt sind.
(9)
Die in der Republik Östlich des Uruguay für den Datenschutz geltenden Rechtsnormen enthalten sämtliche Grundsätze, deren Einhaltung für einen angemessenen Schutz natürlicher Personen erforderlich ist; außerdem sehen sie zur Wahrung wichtiger öffentlicher Interessen Ausnahmen und Einschränkungen vor. Diese für den Datenschutz geltenden Rechtsnormen sowie die Ausnahmen tragen den in der Richtlinie 95/46/EG niedergelegten Grundsätzen Rechnung.
(10)
Die Anwendung der Datenschutznormen wird gewährleistet mittels administrativer und gerichtlicher Rechtsbehelfe - insbesondere durch den „Habeas-data“-Rechtsbehelf, durch den eine betroffene Person den für die Verarbeitung Verantwortlichen vor Gericht bringen kann, um ihr Recht auf Zugang, Berichtigung und Löschung einzuklagen - sowie einer unabhängigen Aufsicht durch die Stelle für die Regulierung und Kontrolle personenbezogener Daten (Unidad Reguladora y de Control de Datos Personales (URCDP)), die gemäß Artikel 28 der Richtlinie 95/46/EG mit Untersuchungs-, Eingriffs- und Sanktionskompetenzen ausgestattet ist und in völliger Unabhängigkeit handelt. Zudem kann jede betroffene Partei zur Wiedergutmachung von Schäden, die ihr infolge einer gesetzeswidrigen Verarbeitung ihrer personenbezogenen Daten entstanden sind, einen gerichtlichen Rechtsbehelf einlegen.
(11)
Die uruguayische Datenschutzbehörde hat Erläuterungen und Garantien zur Auslegung des uruguayischen Rechts abgegeben und darüber hinaus zugesichert, dass die uruguayischen Datenschutzvorschriften gemäß dieser Auslegung umgesetzt werden. Insbesondere hat die uruguayische Datenschutzbehörde erklärt, dass gemäß Artikel 332 der Verfassung das Gesetz Nr. 18.331 zusätzlich zu besonderen Gesetzen zur Einrichtung und Regulierung spezifischer Datenbanken auf die in diesen Gesetzen nicht geregelten Fragen Anwendung findet. Die Behörden haben auch dargelegt, dass in Bezug auf die in Artikel 9 Buchstabe C des Gesetzes Nr. 18.331 genannten Verzeichnisse, die nicht der Zustimmung des Betroffenen zur Verarbeitung bedürfen, das Gesetz - insbesondere die Grundsätze der Verhältnismäßigkeit und Zweckgebundenheit - auch auf die Rechte der Betroffenen Anwendung findet und die Einhaltung dieser Rechte von der Datenschutzbehörde überwacht wird. Im Hinblick auf den Grundsatz der Transparenz hat die uruguayische Datenschutzbehörde mitgeteilt, dass die Verpflichtung, Betroffenen die erforderlichen Informationen bereitzustellen, in allen Fällen gilt. In Bezug auf das Zugangsrecht hat die Behörde klargestellt, dass es genügt, wenn der Betroffene bei der Antragstellung seine Identität nachweist. Zudem hat sie erläutert, dass die in Artikel 23 Absatz 1 des Gesetzes Nr. 18.331 niedergelegten Ausnahmen zum Grundsatz der Übermittlung von Daten in ein Drittland nicht so auszulegen sind, dass sie einen breiteren Anwendungsbereich als Artikel 26 Absatz 1 der Richtlinie 95/46/EG haben.
(12)
Der vorliegende Beschluss trägt diesen Erläuterungen und Zusicherungen Rechnung und stützt sich darauf.
(13)
Die Republik Östlich des Uruguay ist auch Vertragspartei der Amerikanischen Menschenrechtskonvention (AMRK) vom 22. November 1969, die am 18. Juli 1978 in Kraft getreten ist (3). In Artikel 11 dieser Konvention ist das Recht auf Privatsphäre niedergelegt, während laut Artikel 30 Einschränkungen, die nach Maßgabe dieser Konvention für die Geltendmachung oder Ausübung der von der Konvention anerkannten Rechte oder Freiheiten festgelegt werden können, nur im Einklang mit aus Gründen des allgemeinen Interesses verabschiedeten Gesetzen und nur im Einklang mit dem Zweck der Einschränkungen Anwendung finden. Außerdem hat die Republik Östlich des Uruguay die Gerichtsbarkeit des Interamerikanischen Gerichtshofs für Menschenrechte akzeptiert. Darüber hinaus haben die Ministerstellvertreter im Europarat auf ihrer 1118. Sitzung vom 6. Juli 2011 die Republik Östlich des Uruguay aufgefordert, dem Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (ETS Nr. 108) und dessen Zusatzprotokoll (ETS Nr. 118) nach einer befürwortenden Stellungnahme des betreffenden Beratenden Ausschusses beizutreten (4).
(14)
Daher ist die Republik Östlich des Uruguay als Land anzusehen, das ein angemessenes Schutzniveau für personenbezogene Daten gemäß der Richtlinie 95/46/EG bietet.
(15)
Dieser Beschluss sollte die Angemessenheit des Schutzes, den die Republik Östlich des Uruguay im Hinblick auf die Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG gewährleistet, betreffen. Andere Bedingungen oder Einschränkungen zur Umsetzung sonstiger Bestimmungen der Richtlinie hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten sollten davon unberührt bleiben.
(16)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(17)
Die Kommission sollte die Durchführung dieses Beschlusses überwachen und den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse unterrichten. Die Überwachung sollte sich unter anderem auf Regelungen der Republik Östlich des Uruguay erstrecken, die auf Übermittlungen im Rahmen internationaler Verträge anwendbar sind.
(18)
Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine befürwortende Stellungnahme zur Angemessenheit des Schutzes personenbezogener Daten abgegeben; diese Stellungnahme wurde bei der Ausarbeitung des vorliegenden Beschlusses berücksichtigt (5).
(19)
Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des durch Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzten Ausschusses -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
(1) Für die Zwecke von Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird die Republik Östlich des Uruguay als Land angesehen, das ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der Europäischen Union bietet.
(2) Die zuständige Behörde, die in der Republik Östlich des Uruguay die Anwendung der uruguayischen Datenschutzbestimmungen überwacht, ist im Anhang dieses Beschlusses genannt.
Artikel 2
(1) Unbeschadet ihrer Befugnis, Maßnahmen zum Zwecke der Einhaltung einzelstaatlicher Vorschriften zu ergreifen, denen andere Bestimmungen als die des Artikels 25 der Richtlinie 95/46/EG zugrunde liegen, können die zuständigen Behörden in den Mitgliedstaaten von ihrem Recht Gebrauch machen, zum Schutz von Privatpersonen bei der Verarbeitung von deren personenbezogenen Daten die Datenübermittlung an einen Empfänger in der Republik Östlich des Uruguay auszusetzen, wenn
a)
eine zuständige uruguayische Behörde feststellt, dass der Datenempfänger die geltenden Datenschutzvorschriften nicht einhält, oder
b)
eine hohe Wahrscheinlichkeit besteht, dass die Datenschutzvorschriften verletzt werden, Grund zur Annahme besteht, dass die zuständige uruguayische Behörde nicht rechtzeitig angemessene Maßnahmen ergreift, um das Problem zu lösen, die Fortsetzung der Datenübermittlung den betroffenen Personen einen unmittelbar bevorstehenden schweren Schaden zuzufügen droht und die zuständigen Behörden in den Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die für die Datenverarbeitung verantwortliche Stelle in der Republik Östlich des Uruguay zu benachrichtigen, und ihr Gelegenheit zur Stellungnahme gegeben haben.
(2) Die Aussetzung ist zu beenden, sobald der Datenschutz sichergestellt ist und dies den zuständigen Behörden der betreffenden Mitgliedstaaten mitgeteilt wird.
Artikel 3
(1) Die Mitgliedstaaten unterrichten die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 2 ergriffen werden.
(2) Die Mitgliedstaaten und die Kommission benachrichtigen einander auch über Fälle, bei denen die Maßnahmen der verantwortlichen Stellen in der Republik Östlich des Uruguay nicht ausreichen, um die Einhaltung der Datenschutzvorschriften zu gewährleisten.
(3) Ergeben die nach Artikel 2 sowie nach den Absätzen 1 und 2 dieses Artikels gewonnenen Erkenntnisse, dass eine für die Einhaltung der Vorschriften in der Republik Östlich des Uruguay verantwortliche Stelle ihre Aufgabe nicht vollständig erfüllt, so benachrichtigt die Kommission die zuständige uruguayische Behörde und schlägt erforderlichenfalls Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren vor, um eine Aufhebung oder Aussetzung dieses Beschlusses oder eine Beschränkung seines Anwendungsbereichs zu erwirken.
Artikel 4
Die Kommission überwacht die Durchführung dieses Beschlusses und unterrichtet den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse; dazu zählen auch Erkenntnisse, die sich auf die Feststellung in Artikel 1 dieses Beschlusses auswirken könnten, wonach die Republik Östlich des Uruguay ein angemessenes Schutzniveau im Sinne von Artikel 25 der Richtlinie 95/46/EG bietet, ferner Erkenntnisse, die darauf hindeuten, dass dieser Beschluss in diskriminierender Weise angewandt wird.
Artikel 5
Die Mitgliedstaaten ergreifen die erforderlichen Maßnahmen, um dem Beschluss binnen [drei Monaten] nach seiner Bekanntgabe nachzukommen.
Artikel 6
Dieser Beschluss ist an die Mitgliedstaaten gerichtet.
Brüssel, den 21. August 2012
DECISIONE DI ESECUZIONE DELLA COMMISSIONE
del 21 agosto 2012
ai sensi della direttiva 95/46/CE del Parlamento europeo e del Consiglio sull’adeguata protezione dei dati personali da parte della Repubblica orientale dell’Uruguay in relazione al trattamento automatizzato di tali dati
[notificata con il numero C(2012) 5704]
(Testo rilevante ai fini del SEE)
(2012/484/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l’articolo 25, paragrafo 6,
sentito il Garante europeo della protezione dei dati (2),
considerando quanto segue:
(1)
Ai sensi della direttiva 95/46/CE gli Stati membri devono far sì che il trasferimento di dati personali a un paese terzo abbia luogo solo se il paese in questione garantisce adeguati livelli di tutela e dopo aver accertato, prima del trasferimento, che siano soddisfatte le norme degli Stati membri che attuano altre disposizioni della direttiva.
(2)
La Commissione può constatare che un paese terzo garantisca adeguati livelli di tutela. In tal caso, gli Stati membri possono trasferirvi dati personali senza la necessità di ulteriori garanzie.
(3)
Secondo la direttiva 95/46/CE è necessario accertare il livello di protezione dei dati alla luce di tutte le circostanze che accompagnano l’operazione, o una serie di operazioni, di trasferimento dei dati, dando particolare rilievo agli elementi del trasferimento di cui all’articolo 25 della direttiva.
(4)
Data la diversità dei sistemi di protezione dei dati nei paesi terzi, la valutazione dell’adeguatezza va effettuata, e ogni decisione ai sensi dell’articolo 25, paragrafo 6 della direttiva 95/46/CE va presa e applicata, senza discriminazioni ingiustificate o arbitrarie contro o tra paesi terzi in cui esistono condizioni simili e senza creare ostacoli mascherati al libero scambio, nel rispetto degli attuali impegni internazionali assunti dall’Unione europea.
(5)
La Costituzione politica della Repubblica orientale dell’Uruguay, adottata nel 1967, non riconosce esplicitamente i diritti alla tutela della vita privata e dei dati personali. Tuttavia, l’elenco dei diritti fondamentali non è considerato esaustivo, poiché l’articolo 72 della Costituzione dispone che l’elencazione di diritti, obblighi e garanzie ivi contenuta non ne esclude altri che siano inerenti alla persona umana o derivino dalla forma repubblicana di governo. L’articolo 1 della legge n. 18.331 relativa alla protezione dei dati personali e all’azione «Habeas Data» dell’11 agosto 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de «Habeas Data») dispone espressamente che «il diritto alla tutela dei dati personali è inerente alla persona umana ed è pertanto incluso nell’articolo 72 della Costituzione della Repubblica». L’articolo 332 della Costituzione prevede che l’applicazione delle disposizioni ivi contenute che riconoscono diritti individuali, così come di quelle che conferiscono diritti e impongono obblighi alle autorità pubbliche, non deve essere pregiudicata dalla mancanza di una normativa specifica; al contrario, deve basarsi, mediante il ricorso ai principi che sottostanno a leggi analoghe, sui principi generali del diritto e della dottrina generalmente accettata.
(6)
Le norme giuridiche in materia di protezione dei dati personali nella Repubblica orientale dell’Uruguay si basano in larga misura sulle norme minime stabilite dalla direttiva 95/46/CE e sono contenute nella legge n. 18.331 relativa alla protezione dei dati personali e all’azione «Habeas Data» (Ley No 18.331 de Protección de Datos Personales y Acción de «Habeas Data»), dell’11 agosto 2008, che trova applicazione sia alle persone fisiche che alle persone giuridiche.
(7)
A complemento di tale legge è stato adottato il decreto n. 414/009, del 31 agosto 2009, al fine di chiarire diversi aspetti della legge e di definire la regolamentazione dettagliata relativa all’organizzazione, ai poteri e al funzionamento dell’autorità di controllo della protezione dei dati. Il preambolo del decreto stabilisce che è opportuno allineare il regime giuridico nazionale di questo settore al regime giuridico simile più accettato, essenzialmente quello definito dai paesi europei mediante la direttiva 95/46/CE.
(8)
Norme sulla protezione dei dati si trovano anche in una serie di leggi speciali che istituiscono e disciplinano le banche dati, segnatamente leggi che regolamentano taluni registri pubblici (atti pubblici, diritti di proprietà industriale e marchi, atti privati, beni immobili, attività minerarie o banche dati sull’esposizione debitoria). Ai sensi dell’articolo 332 della Costituzione, la legge n. 18.331 si applica anche a questi atti relativamente a quanto non sia disciplinato da dette norme giuridiche specifiche.
(9)
Le norme giuridiche applicabili nella Repubblica orientale dell’Uruguay in materia di protezione dei dati contengono tutti i principi di un adeguato livello di tutela delle persone fisiche e prevedono altresì eccezioni e restrizioni al fine di salvaguardare importanti interessi pubblici. Tali norme giuridiche in materia di protezione dei dati personali e le relative eccezioni riflettono i principi contenuti nella direttiva 95/46/CE.
(10)
L’applicazione delle norme giuridiche in materia di protezione dei dati è garantita da mezzi di impugnazione di natura amministrativa e giudiziaria, in particolare dall’azione «Habeas Data» che consente all’interessato di agire in giudizio contro il responsabile del trattamento per esercitare i propri diritti di accesso, di rettifica e di cancellazione. L’applicazione è garantita altresì dal controllo indipendente assicurato dall’autorità a ciò preposta, l’Unità per la regolamentazione ed il controllo dei dati personali (Unidad Reguladora y de Control de Datos Personales - URCDP), a cui sono conferiti poteri d’indagine, intervento e sanzione conformemente all’articolo 28 della direttiva 95/46/CE e che agisce in totale indipendenza. Inoltre, chiunque vi abbia interesse può adire le vie legali per ottenere il risarcimento del danno subito in conseguenza del trattamento illegale dei propri dati personali.
(11)
Le autorità uruguayane competenti per la protezione dei dati hanno fornito spiegazioni e garanzie relative all’interpretazione del diritto della Repubblica orientale dell’Uruguay e hanno assicurato che la legislazione in materia di protezione dei dati è applicata conformemente a tale interpretazione. In particolare, dette autorità hanno spiegato che, ai sensi dell’articolo 332 della Costituzione, la legge 18.331 trova applicazione anche a leggi speciali che istituiscono e disciplinano specifiche banche dati, con riferimento a questioni che non sono regolate da dette leggi speciali. Le autorità hanno altresì chiarito che la legge si applica anche agli elenchi di cui all’articolo 9 C) della legge n. 18.331 per i quali non è richiesto il consenso dell’interessato per procedere al trattamento; segnatamente, trovano applicazione i principi di proporzionalità e finalità, i diritti degli interessati e il controllo da parte dell’autorità competenti per la protezione dei dati personali. Riguardo al principio di trasparenza, le autorità uruguayane competenti per la protezione dei dati personali hanno reso noto che trova applicazione in tutti i casi l’obbligo di fornire agli interessati le informazioni necessarie. Riguardo al diritto di accesso, l’autorità ha spiegato che è sufficiente per l’interessato provare la propria identità nel momento in cui inoltra una richiesta. Le stesse autorità hanno altresì chiarito che le eccezioni al principio dei trasferimenti internazionali previste dall’articolo 23, paragrafo 1, della legge n. 18.331, non possono intendersi di applicazione più ampia di quanto disponga l’articolo 26, paragrafo 1, della direttiva 95/46/CE.
(12)
La presente decisione tiene conto di tali chiarimenti e su di essi è fondata.
(13)
La Repubblica orientale dell’Uruguay è altresì parte alla Convenzione americana sui diritti dell’uomo (Pact of San José de Costa Rica) del 22 novembre 1969, entrata in vigore il 18 luglio 1978 (3). L’articolo 11 di detta Convenzione sancisce il diritto alla vita privata, mentre l’articolo 30 prevede che le restrizioni applicabili, ai sensi della Convenzione, al godimento o all’esercizio dei diritti o delle libertà dalla stessa sancite, non possano esserlo se non nel rispetto delle leggi adottate per motivi di interesse generale e conformemente allo scopo per il quale tali restrizioni sono state introdotte (articolo 30). Inoltre, la Repubblica orientale dell’Uruguay ha accettato la giurisdizione della Corte interamericana dei diritti dell’uomo. Peraltro, alla loro 1118o riunione tenutasi il 6 luglio 2011, i viceministri del Consiglio d’Europa, a seguito del parere favorevole espresso dal pertinente comitato consultivo, hanno invitato la Repubblica orientale dell’Uruguay ad aderire alla Convenzione per la tutela delle persone rispetto al trattamento dei dati personali (ETS n. 108) nonché al suo protocollo aggiuntivo (ETS n. 118) (4).
(14)
Si ritiene pertanto che la Repubblica orientale dell’Uruguay fornisca adeguati livelli di tutela dei dati personali ai sensi della direttiva 95/46/CE.
(15)
La presente decisione si riferisce all’adeguatezza della protezione garantita nella Repubblica orientale dell’Uruguay ai fini dei requisiti di cui all’articolo 25, paragrafo 1, della direttiva 95/46/CE. Essa non pregiudica altre condizioni o restrizioni che attuino altre disposizioni di detta direttiva attinenti al trattamento di dati personali negli Stati membri.
(16)
Per salvaguardare la trasparenza e la capacità delle competenti autorità degli Stati membri di garantire la tutela delle persone riguardo al trattamento dei dati personali, è necessario precisare le circostanze eccezionali che giustificano la sospensione di particolari flussi di dati, nonostante l’esistenza di un’adeguata tutela.
(17)
È necessario che la Commissione vigili sul funzionamento della decisione e riferisca eventuali riscontri pertinenti al comitato istituito ai sensi dell’articolo 31 della direttiva 95/46/CE. Tale controllo deve includere, tra l’altro, il regime della Repubblica orientale dell’Uruguay applicabile a trasferimenti nel quadro di trattati internazionali.
(18)
Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha espresso un parere favorevole sul livello di adeguatezza della protezione dei dati personali, di cui si è tenuto conto nella stesura della presente decisione (5).
(19)
Le misure previste dalla presente decisione sono conformi al parere del comitato istituito ai sensi dell’articolo 31, paragrafo 1, della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
1. Per le finalità di cui all’articolo 25, paragrafo 2, della direttiva 95/46/CE, si ritiene che la Repubblica orientale dell’Uruguay fornisca un adeguato livello di protezione dei dati personali trasferiti dall’Unione europea.
2. L’autorità di controllo della Repubblica orientale dell’Uruguay competente per l’applicazione nella stessa Repubblica delle norme giuridiche in materia di protezione dei dati è indicata nell’allegato alla presente decisione.
Articolo 2
1. Fatti salvi i poteri di intervento al fine di garantire il rispetto dei provvedimenti nazionali adottati in applicazione di disposizioni diverse dall’articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri hanno facoltà di sospendere i trasferimenti di dati verso destinatari nella Repubblica orientale dell’Uruguay al fine di tutelare i cittadini nell’ambito del trattamento dei loro dati personali nei casi in cui:
a)
un’autorità competente uruguayana abbia constatato che il destinatario non rispetta le norme applicabili relative alla protezione; oppure
b)
se è molto probabile che le norme di protezione siano infrante; se esistono fondati motivi per credere che l’autorità uruguayana competente non prenda o non prenderà provvedimenti adeguati e tempestivi per comporre il caso in questione; se il persistere del trasferimento dà luogo a rischi imminenti di danno grave agli interessati e in tale circostanza le autorità competenti nello Stato membro hanno compiuto ragionevoli sforzi per avvisare i responsabili del trattamento nella Repubblica orientale dell’Uruguay e dar loro l’opportunità di rispondere.
2. La sospensione cessa non appena sia garantito il rispetto delle norme di protezione e ne sia informata l’autorità competente dello Stato membro interessato.
Articolo 3
1. Gli Stati membri informano immediatamente la Commissione dell’adozione di provvedimenti ai sensi dell’articolo 2.
2. Gli Stati membri e la Commissione si informano reciprocamente dei casi in cui l’azione degli organismi uruguayani responsabili per il rispetto delle norme di protezione non sia sufficiente a garantire tale rispetto.
3. Ove risulti provato, dalle informazioni di cui all’articolo 2 e ai paragrafi 1 e 2 del presente articolo, che gli organismi della Repubblica orientale dell’Uruguay incaricati di garantire il rispetto delle norme di protezione non svolgono la loro funzione in modo efficace, la Commissione avverte le autorità uruguayane competenti e, se necessario, presenta progetti di misure, secondo la procedura di cui all’articolo 31, paragrafo 2, della direttiva 95/46/CE, al fine di abrogare o sospendere la presente decisione o di limitarne il campo d’applicazione.
Articolo 4
La Commissione verifica l’applicazione della presente decisione e comunica qualsiasi informazione utile al comitato istituito dall’articolo 31 della direttiva 95/46/CE, in particolare ogni elemento rilevante ai fini della valutazione di cui all’articolo 1 della presente decisione, circa l’adeguatezza della protezione nella Repubblica orientale dell’Uruguay ai sensi dell’articolo 25 della direttiva 95/46/CE e ogni elemento che dimostri che la presente decisione è applicata in modo discriminatorio.
Articolo 5
Gli Stati membri adottano le misure necessarie per conformarsi alla presente decisione entro tre mesi dalla notifica della stessa.
Articolo 6
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 21 agosto 2012