DURCHFÜHRUNGSBESCHLUSS DER KOMMISSION
vom 21. August 2012
gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus in der Republik Östlich des Uruguay im Hinblick auf die automatisierte Verarbeitung personenbezogener Daten
(Bekanntgegeben unter Aktenzeichen C(2012) 5704)
(Text von Bedeutung für den EWR)
(2012/484/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
nach Stellungnahme des Europäischen Datenschutzbeauftragten (2),
in Erwägung nachstehender Gründe:
(1)
Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die einzelstaatlichen Rechtsvorschriften zur Umsetzung anderer Bestimmungen der Richtlinie beachtet werden.
(2)
Die Kommission kann feststellen, dass ein Drittland ein angemessenes Datenschutzniveau gewährleistet. In diesem Fall können personenbezogene Daten aus den Mitgliedstaaten übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Gemäß der Richtlinie 95/46/EG sind bei der Beurteilung des Datenschutzniveaus alle Umstände zu berücksichtigen, die bei einer Datenübermittlung oder einer Reihe von Datenübermittlungen eine Rolle spielen, insbesondere die für die Datenübermittlung relevanten, in Artikel 25 der Richtlinie aufgeführten Aspekte.
(4)
Wegen der unterschiedlichen Handhabung des Datenschutzes in Drittländern sollte die Beurteilung der Angemessenheit des Schutzniveaus sowie jeder Beschluss gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG und dessen Durchführung in einer Weise erfolgen, die gegenüber Drittländern bzw. unter Drittländern, in denen gleiche Bedingungen vorherrschen, keine willkürliche oder ungerechtfertigte Diskriminierung bewirkt und unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Europäischen Union kein verstecktes Handelshemmnis darstellt.
(5)
In der im Jahr 1967 verabschiedeten politischen Verfassung der Republik Östlich des Uruguay sind das Recht auf Privatsphäre und das Recht auf den Schutz personenbezogener Daten nicht ausdrücklich verankert. Allerdings stellt der Katalog der Grundrechte keine erschöpfende Liste dar, da gemäß Artikel 72 der Verfassung neben den in der Verfassung aufgeführten Rechten, Pflichten und Garantien weitere zum Tragen kommen können, die mit der menschlichen Persönlichkeit verbunden sind oder sich aus der republikanischen Staatsform ergeben. Artikel 1 des Gesetzes Nr. 18.331 über den Schutz personenbezogener Daten und den „Habeas-data“-Rechtsbehelf (LPDP) (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data“) vom 11. August 2008 sieht ausdrücklich vor, dass „der Mensch ein Recht auf den Schutz personenbezogener Daten hat und demnach dieses Recht in Artikel 72 der Verfassung der Republik enthalten ist“. In Artikel 332 der Verfassung heißt es, dass die Bestimmungen dieser Verfassung, in denen die Rechte natürlicher Personen anerkannt werden, sowie die Bestimmungen, nach denen öffentlichen Behörden Rechte zuerkannt und Pflichten auferlegt werden, auch ohne einschlägige Durchführungsverordnungen zur Anwendung kommen sollten. In diesem Fall werden Grundsätze, die sich aus ähnlichen Gesetzen ergeben, sowie die allgemeinen Rechtsgrundsätze und die allgemein anerkannte Rechtsdogmatik herangezogen.
(6)
Die Rechtsnormen zum Schutz personenbezogener Daten in der Republik Östlich des Uruguay stützen sich weitgehend auf die in der Richtlinie 95/46/EG vorgegebenen Normen und sind im Gesetz Nr. 18.331 über den Schutz personenbezogener Daten und den „Habeas-data“-Rechtsbehelf (LPDP) (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data“) vom 11. August 2008 niedergelegt. Sie gelten für natürliche und juristische Personen.
(7)
In Ergänzung dieses Gesetzes wurde am 31. August 2009 die Verordnung Nr. 414/009 erlassen, um verschiedene Aspekte des Gesetzes zu erläutern und ausführliche Vorschriften zu der Organisation, den Befugnissen und der Arbeitsweise der Datenschutzaufsichtsbehörde niederzulegen. In der Präambel dieser Verordnung heißt es, dass es angebracht ist, das nationale Rechtssystem auf diesem Gebiet an das vergleichbare Rechtssystem anzupassen, das von den meisten Ländern anerkannt wird, im Wesentlichen an das System, das die europäischen Länder mit der Richtlinie 95/46/EG eingeführt haben.
(8)
Datenschutzbestimmungen finden sich überdies in einer Reihe besonderer Gesetze zur Einrichtung und Regulierung von Datenbanken, durch die insbesondere bestimmte öffentliche Register geregelt werden (amtliche Beurkundungen, gewerbliches Eigentum und Marken, persönliche Urkunden, Immobilien, Bergbau, Kreditauskünfte usw.). Gemäß Artikel 332 der Verfassung findet zusätzlich das Gesetz Nr. 18.331 Anwendung auf die Fragen, die nicht durch diese besonderen Gesetze geregelt sind.
(9)
Die in der Republik Östlich des Uruguay für den Datenschutz geltenden Rechtsnormen enthalten sämtliche Grundsätze, deren Einhaltung für einen angemessenen Schutz natürlicher Personen erforderlich ist; außerdem sehen sie zur Wahrung wichtiger öffentlicher Interessen Ausnahmen und Einschränkungen vor. Diese für den Datenschutz geltenden Rechtsnormen sowie die Ausnahmen tragen den in der Richtlinie 95/46/EG niedergelegten Grundsätzen Rechnung.
(10)
Die Anwendung der Datenschutznormen wird gewährleistet mittels administrativer und gerichtlicher Rechtsbehelfe - insbesondere durch den „Habeas-data“-Rechtsbehelf, durch den eine betroffene Person den für die Verarbeitung Verantwortlichen vor Gericht bringen kann, um ihr Recht auf Zugang, Berichtigung und Löschung einzuklagen - sowie einer unabhängigen Aufsicht durch die Stelle für die Regulierung und Kontrolle personenbezogener Daten (Unidad Reguladora y de Control de Datos Personales (URCDP)), die gemäß Artikel 28 der Richtlinie 95/46/EG mit Untersuchungs-, Eingriffs- und Sanktionskompetenzen ausgestattet ist und in völliger Unabhängigkeit handelt. Zudem kann jede betroffene Partei zur Wiedergutmachung von Schäden, die ihr infolge einer gesetzeswidrigen Verarbeitung ihrer personenbezogenen Daten entstanden sind, einen gerichtlichen Rechtsbehelf einlegen.
(11)
Die uruguayische Datenschutzbehörde hat Erläuterungen und Garantien zur Auslegung des uruguayischen Rechts abgegeben und darüber hinaus zugesichert, dass die uruguayischen Datenschutzvorschriften gemäß dieser Auslegung umgesetzt werden. Insbesondere hat die uruguayische Datenschutzbehörde erklärt, dass gemäß Artikel 332 der Verfassung das Gesetz Nr. 18.331 zusätzlich zu besonderen Gesetzen zur Einrichtung und Regulierung spezifischer Datenbanken auf die in diesen Gesetzen nicht geregelten Fragen Anwendung findet. Die Behörden haben auch dargelegt, dass in Bezug auf die in Artikel 9 Buchstabe C des Gesetzes Nr. 18.331 genannten Verzeichnisse, die nicht der Zustimmung des Betroffenen zur Verarbeitung bedürfen, das Gesetz - insbesondere die Grundsätze der Verhältnismäßigkeit und Zweckgebundenheit - auch auf die Rechte der Betroffenen Anwendung findet und die Einhaltung dieser Rechte von der Datenschutzbehörde überwacht wird. Im Hinblick auf den Grundsatz der Transparenz hat die uruguayische Datenschutzbehörde mitgeteilt, dass die Verpflichtung, Betroffenen die erforderlichen Informationen bereitzustellen, in allen Fällen gilt. In Bezug auf das Zugangsrecht hat die Behörde klargestellt, dass es genügt, wenn der Betroffene bei der Antragstellung seine Identität nachweist. Zudem hat sie erläutert, dass die in Artikel 23 Absatz 1 des Gesetzes Nr. 18.331 niedergelegten Ausnahmen zum Grundsatz der Übermittlung von Daten in ein Drittland nicht so auszulegen sind, dass sie einen breiteren Anwendungsbereich als Artikel 26 Absatz 1 der Richtlinie 95/46/EG haben.
(12)
Der vorliegende Beschluss trägt diesen Erläuterungen und Zusicherungen Rechnung und stützt sich darauf.
(13)
Die Republik Östlich des Uruguay ist auch Vertragspartei der Amerikanischen Menschenrechtskonvention (AMRK) vom 22. November 1969, die am 18. Juli 1978 in Kraft getreten ist (3). In Artikel 11 dieser Konvention ist das Recht auf Privatsphäre niedergelegt, während laut Artikel 30 Einschränkungen, die nach Maßgabe dieser Konvention für die Geltendmachung oder Ausübung der von der Konvention anerkannten Rechte oder Freiheiten festgelegt werden können, nur im Einklang mit aus Gründen des allgemeinen Interesses verabschiedeten Gesetzen und nur im Einklang mit dem Zweck der Einschränkungen Anwendung finden. Außerdem hat die Republik Östlich des Uruguay die Gerichtsbarkeit des Interamerikanischen Gerichtshofs für Menschenrechte akzeptiert. Darüber hinaus haben die Ministerstellvertreter im Europarat auf ihrer 1118. Sitzung vom 6. Juli 2011 die Republik Östlich des Uruguay aufgefordert, dem Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (ETS Nr. 108) und dessen Zusatzprotokoll (ETS Nr. 118) nach einer befürwortenden Stellungnahme des betreffenden Beratenden Ausschusses beizutreten (4).
(14)
Daher ist die Republik Östlich des Uruguay als Land anzusehen, das ein angemessenes Schutzniveau für personenbezogene Daten gemäß der Richtlinie 95/46/EG bietet.
(15)
Dieser Beschluss sollte die Angemessenheit des Schutzes, den die Republik Östlich des Uruguay im Hinblick auf die Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG gewährleistet, betreffen. Andere Bedingungen oder Einschränkungen zur Umsetzung sonstiger Bestimmungen der Richtlinie hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten sollten davon unberührt bleiben.
(16)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(17)
Die Kommission sollte die Durchführung dieses Beschlusses überwachen und den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse unterrichten. Die Überwachung sollte sich unter anderem auf Regelungen der Republik Östlich des Uruguay erstrecken, die auf Übermittlungen im Rahmen internationaler Verträge anwendbar sind.
(18)
Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine befürwortende Stellungnahme zur Angemessenheit des Schutzes personenbezogener Daten abgegeben; diese Stellungnahme wurde bei der Ausarbeitung des vorliegenden Beschlusses berücksichtigt (5).
(19)
Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des durch Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzten Ausschusses -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
(1) Für die Zwecke von Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird die Republik Östlich des Uruguay als Land angesehen, das ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der Europäischen Union bietet.
(2) Die zuständige Behörde, die in der Republik Östlich des Uruguay die Anwendung der uruguayischen Datenschutzbestimmungen überwacht, ist im Anhang dieses Beschlusses genannt.
Artikel 2
(1) Unbeschadet ihrer Befugnis, Maßnahmen zum Zwecke der Einhaltung einzelstaatlicher Vorschriften zu ergreifen, denen andere Bestimmungen als die des Artikels 25 der Richtlinie 95/46/EG zugrunde liegen, können die zuständigen Behörden in den Mitgliedstaaten von ihrem Recht Gebrauch machen, zum Schutz von Privatpersonen bei der Verarbeitung von deren personenbezogenen Daten die Datenübermittlung an einen Empfänger in der Republik Östlich des Uruguay auszusetzen, wenn
a)
eine zuständige uruguayische Behörde feststellt, dass der Datenempfänger die geltenden Datenschutzvorschriften nicht einhält, oder
b)
eine hohe Wahrscheinlichkeit besteht, dass die Datenschutzvorschriften verletzt werden, Grund zur Annahme besteht, dass die zuständige uruguayische Behörde nicht rechtzeitig angemessene Maßnahmen ergreift, um das Problem zu lösen, die Fortsetzung der Datenübermittlung den betroffenen Personen einen unmittelbar bevorstehenden schweren Schaden zuzufügen droht und die zuständigen Behörden in den Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die für die Datenverarbeitung verantwortliche Stelle in der Republik Östlich des Uruguay zu benachrichtigen, und ihr Gelegenheit zur Stellungnahme gegeben haben.
(2) Die Aussetzung ist zu beenden, sobald der Datenschutz sichergestellt ist und dies den zuständigen Behörden der betreffenden Mitgliedstaaten mitgeteilt wird.
Artikel 3
(1) Die Mitgliedstaaten unterrichten die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 2 ergriffen werden.
(2) Die Mitgliedstaaten und die Kommission benachrichtigen einander auch über Fälle, bei denen die Maßnahmen der verantwortlichen Stellen in der Republik Östlich des Uruguay nicht ausreichen, um die Einhaltung der Datenschutzvorschriften zu gewährleisten.
(3) Ergeben die nach Artikel 2 sowie nach den Absätzen 1 und 2 dieses Artikels gewonnenen Erkenntnisse, dass eine für die Einhaltung der Vorschriften in der Republik Östlich des Uruguay verantwortliche Stelle ihre Aufgabe nicht vollständig erfüllt, so benachrichtigt die Kommission die zuständige uruguayische Behörde und schlägt erforderlichenfalls Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren vor, um eine Aufhebung oder Aussetzung dieses Beschlusses oder eine Beschränkung seines Anwendungsbereichs zu erwirken.
Artikel 4
Die Kommission überwacht die Durchführung dieses Beschlusses und unterrichtet den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse; dazu zählen auch Erkenntnisse, die sich auf die Feststellung in Artikel 1 dieses Beschlusses auswirken könnten, wonach die Republik Östlich des Uruguay ein angemessenes Schutzniveau im Sinne von Artikel 25 der Richtlinie 95/46/EG bietet, ferner Erkenntnisse, die darauf hindeuten, dass dieser Beschluss in diskriminierender Weise angewandt wird.
Artikel 5
Die Mitgliedstaaten ergreifen die erforderlichen Maßnahmen, um dem Beschluss binnen [drei Monaten] nach seiner Bekanntgabe nachzukommen.
Artikel 6
Dieser Beschluss ist an die Mitgliedstaaten gerichtet.
Brüssel, den 21. August 2012
DECIZIA DE PUNERE ÎN APLICARE A COMISIEI
din 21 august 2012
în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind nivelul de protecție adecvat asigurat de Republica Orientală a Uruguayului privind prelucrarea automată a datelor cu caracter personal
[notificată cu numărul C(2012) 5704]
(Text cu relevanță pentru SEE)
(2012/484/UE)
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 25 alineatul (6),
după consultarea Autorității Europene pentru Protecția Datelor (2),
întrucât:
(1)
În temeiul Directivei 95/46/CE, statelor membre li se cere să ia măsuri astfel încât transferul datelor cu caracter personal către o țară terță să poată avea loc numai în cazul în care țara terță în cauză asigură un nivel de protecție adecvat și în cazul în care legile statelor membre care pun în aplicare alte dispoziții ale directivei sunt respectate înainte de transfer.
(2)
Comisia poate constata că o țară terță asigură un nivel adecvat de protecție. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără să fie nevoie de garanții suplimentare.
(3)
În temeiul Directivei 95/46/CE, nivelul de protecție a datelor trebuie evaluat ținând seama de toate împrejurările care au legătură cu o operațiune de transfer de date sau cu o serie de operațiuni de transfer de date și acordând o atenție specială mai multor elemente relevante pentru transfer, enumerate la articolul 25.
(4)
Având în vedere diferitele abordări privind protecția datelor în țările terțe, evaluarea caracterului adecvat trebuie efectuată și orice decizie întemeiată pe articolul 25 alineatul (6) din Directiva 95/46/CE trebuie adoptată și pusă în aplicare astfel încât să nu creeze discriminări arbitrare sau nejustificate față de țările terțe ori între acestea, atunci când există condiții similare, și să nu constituie o barieră mascată în calea comerțului, ținând seama de angajamentele internaționale actuale ale Uniunii Europene.
(5)
Constituția politică a Republicii Orientale a Uruguayului, adoptată în 1967, nu recunoaște în mod expres dreptul la viață privată și protecția datelor cu caracter personal. Cu toate acestea, catalogul drepturilor fundamentale nu constituie o listă închisă, deoarece articolul 72 din Constituție prevede că lista drepturilor, obligațiilor și a garanțiilor enumerate în Constituție nu exclude altele care sunt inerente personalității umane sau care rezultă din forma republicană de guvernământ. La articolul 1 din Legea nr. 18.331 privind protecția datelor cu caracter personal și privind acțiunea „Habeas Data” din 11 august 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) se stabilește în mod expres că „dreptul la protecția datelor cu caracter personal este un drept inerent persoanei umane și, prin urmare, este inclus în articolul 72 din Constituția Republicii”. Articolul 332 din Constituție prevede că aplicarea prevederilor respectivei constituții care consacră drepturile persoanelor, precum și cele care acordă drepturi și impun obligații autorităților publice, nu trebuie să fie compromisă de lipsa legislației specifice, ci, mai degrabă, trebuie să se întemeieze, prin recurgerea la principiile fundamentale ale legislației similare, pe principiile generale de drept și pe doctrinele general acceptate.
(6)
Standardele legale pentru protecția datelor cu caracter personal în Republica Orientală a Uruguayului sunt întemeiate în mare parte pe standardele stabilite în Directiva 95/46/CE și sunt prevăzute în Legea nr. 18.331 privind protecția datelor cu caracter personal și privind acțiunea „Habeas Data” (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data”) din 11 august 2008. Aceasta se referă la persoane fizice și la persoane juridice.
(7)
Legea respectivă este completată de Decretul nr. 414/009 din 31 august 2009, adoptat în scopul de a clarifica anumite aspecte din lege și de a stabili în detaliu reglementarea organizării, competențele și funcționarea autorității de supervizare a protecției datelor. Preambulul decretului prevede că este necesar să se adapteze sistemul juridic național în materie la regimul juridic comparabil cel mai acceptat, în principal cel stabilit de țările europene prin Directiva 95/46/CE.
(8)
Dispoziții privind protecția datelor există, de asemenea, în mai multe acte speciale, de instituire și reglementare a unor baze de date, și anume norme de reglementare ale anumitor registre publice (actele publice, drepturile de proprietate industrială și mărcile comerciale, actele cu caracter personal, proprietățile imobiliare, minerit sau de informare cu privire la credite). Legea nr. 18.331 se aplică în mod suplimentar acestor acte în ceea ce privește aspectele care nu sunt reglementate de respectivele instrumente juridice specifice, în conformitate cu articolul 332 din Constituție.
(9)
Standardele legale în materie de protecție a datelor aplicabile în Republica Orientală a Uruguayului includ toate principiile de bază necesare pentru a asigura un nivel adecvat de protecție a persoanelor fizice și prevăd, totodată, excepții și limitări menite să protejeze interesele publice importante. Atât aceste standarde juridice în materie de protecție a datelor, cât și excepțiile reflectă principiile enunțate de Directiva 95/46/CE.
(10)
Aplicarea standardelor juridice în materie de protecție a datelor este garantată prin căi de atac juridice și administrative, în special prin acțiunea „habeas data”, care permite persoanei vizate să îl cheme în instanță pe responsabilul bazei de date pentru a obține aplicarea drepturilor sale de acces, rectificare și eliminare, precum și printr-o supraveghere independentă efectuată de autoritatea de supraveghere, Unitatea de reglementare și control a datelor personale [Unidad Reguladora y de Control de Datos Personales (URCDP)], care este învestită cu competențe de investigare, intervenție și sancțiune în conformitate cu articolul 28 din Directiva 95/46/CE și care acționează în deplină independență. Mai mult, toate părțile interesate au dreptul de a introduce o acțiune în justiție pentru recuperarea daunelor suferite în urma prelucrării ilegale a datelor lor cu caracter personal.
(11)
Autoritățile uruguayene responsabile pentru protecția datelor au furnizat explicații și asigurări referitoare la modul în care trebuie interpretată legislația uruguayană și au confirmat că legislația uruguayană privind protecția datelor este pusă în aplicare conform acestei interpretări. În special, autoritățile uruguayene pentru protecția datelor au explicat că, în conformitate cu articolul 332 din Constituție, Legea nr. 18.331 se aplică în mod suplimentar legilor speciale de instituire și reglementare ale unor baze de date specifice în relație cu acele aspecte care nu sunt reglementate de respectivele instrumente juridice speciale. De asemenea, acestea au clarificat că, în ceea ce privește listele menționate la articolul 9 litera (c) din Legea nr. 18.331 și care nu necesită consimțământul persoanei vizate pentru prelucrarea datelor, legea, în special principiile proporționalității și finalității, se aplică drepturilor persoanelor vizate și că acestea fac obiectul supravegherii de către autoritatea pentru protecția datelor. În ceea ce privește principiul transparenței, autoritățile uruguayene de protecție a datelor au informat că obligația de a furniza persoanei vizate informațiile necesare se aplică în toate cazurile. În ceea ce privește dreptul de acces, autoritatea de protecție a datelor a precizat că este suficient ca persoana vizată să își dovedească identitatea atunci când formulează o solicitare. Autoritățile uruguayene de protecție a datelor au clarificat faptul că excepțiile de la principiul privind transferurile internaționale prevăzute la articolul 23 alineatul (1) din Legea nr. 18.331 nu pot fi înțelese ca având o sferă de aplicare mai largă decât articolul 26 alineatul (1) din Directiva 95/46/CE.
(12)
Prezenta decizie ia în considerare și se bazează pe aceste explicații și asigurări.
(13)
Totodată, Republica Orientală a Uruguayului este parte la Convenția Americană a Drepturilor Omului („Pactul de la San José de Costa Rica”) din 22 noiembrie 1969, care a intrat în vigoare la 18 iulie 1978 (3). Articolul 11 din respectiva convenție stabilește dreptul la viață privată, iar articolul 30 prevede că restricțiile care, în temeiul acestei convenții, ar putea fi impuse asupra exercitării drepturilor sau libertăților recunoscute de convenție nu pot fi puse în aplicare decât în conformitate cu legile adoptate pe considerente de interes general și în concordanță cu obiectivul pentru care au fost stabilite asemenea restricții (articolul 30). Mai mult, Republica Orientală a Uruguayului a acceptat jurisdicția Curții Interamericane a Drepturilor Omului. În plus, la cea de a 1118-a reuniune la nivel de adjunct de ministru a Consiliului Europei, desfășurată la 6 iulie 2011, oficialii au invitat Republica Orientală a Uruguayului să adere la Convenția pentru protecția persoanelor cu privire la prelucrarea automată a datelor cu caracter personal (ETS nr. 108) și la Protocolul adițional la aceasta (ETS nr. 118), în urma unei opinii favorabile a comitetului consultativ pertinent (4).
(14)
Prin urmare, ar trebui să se considere că Republica Orientală a Uruguayului dispune de un nivel adecvat de protecție a datelor cu caracter personal în sensul Directivei 95/46/CE.
(15)
Prezenta decizie ar trebui să vizeze nivelul de adecvare al protecției furnizate de Republica Orientală a Uruguayului în scopul îndeplinirii cerințelor articolului 25 alineatul (1) din Directiva 95/46/CE. Acest lucru nu ar trebui să afecteze alte condiții sau restricții prin care se pun în aplicare alte prevederi ale directivei respective care se referă la prelucrarea datelor cu caracter personal în statele membre.
(16)
În interesul transparenței și în scopul protejării capacității autorităților competente din statele membre de a asigura protecția persoanelor în ceea ce privește prelucrarea datelor lor personale, este necesar să se specifice circumstanțele excepționale în care s-ar putea justifica suspendarea fluxului de date, fără a se aduce atingere identificării unei protecții adecvate.
(17)
Comisia trebuie să monitorizeze punerea în aplicare a deciziei și să informeze asupra constatărilor relevante Comitetul instituit în temeiul articolului 31 din Directiva 95/46/CE. Această monitorizare trebuie să acopere, între altele, regimul Republicii Orientale a Uruguayului aplicabil transferurilor în cadrul tratatelor internaționale.
(18)
Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal instituit în temeiul articolului 29 din Directiva 95/46/CE a emis un aviz favorabil cu privire la nivelul adecvat al protecției datelor cu caracter personal, luat în considerare la pregătirea prezentei decizii (5).
(19)
Măsurile prevăzute de prezenta decizie sunt conforme cu avizul Comitetului instituit în temeiul articolului 31 alineatul (1) din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
(1) În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, se consideră că Republica Orientală a Uruguayului asigură un nivel adecvat de protecția a datelor personale transferate din Uniunea Europeană.
(2) Autoritatea competentă de supraveghere din Republica Orientală a Uruguayului responsabilă cu aplicarea standardelor în materie de protecție a datelor în Republica Orientală a Uruguayului este stabilită în anexa la prezenta decizie.
Articolul 2
(1) Fără a se aduce atingere competențelor lor de a lua măsuri pentru respectarea dispozițiilor naționale adoptate în temeiul altor dispoziții decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita competențele de care dispun pentru a suspenda fluxurile de date către un destinatar din Republica Orientală a Uruguayului în vederea protejării persoanelor în ceea ce privește prelucrarea datelor cu caracter personal ale acestora în următoarele cazuri:
(a)
atunci când o autoritate competentă din Uruguay a stabilit că destinatarul încalcă standardele de protecție aplicabile; sau
(b)
când există o probabilitate semnificativă că standardele de protecție sunt încălcate, atunci când există temeiuri rezonabile pentru a crede că autoritatea competentă din Uruguay competentă nu ia sau nu va lua măsurile adecvate în timp util pentru a soluționa situația dată, continuarea transferului de date ar crea un risc iminent de a afecta în mod grav persoanele vizate și atunci când autoritățile competente din statele membre au făcut eforturi rezonabile în circumstanțele date de a notifica partea responsabilă cu prelucrarea datelor din Republica Orientală a Uruguayului și de a îi oferi posibilitatea de a răspunde.
(2) Suspendarea încetează imediat ce standardele de protecție sunt asigurate, iar autoritatea competentă în cauză din statele membre este notificată în acest sens.
Articolul 3
(1) Statele membre informează fără întârziere Comisia atunci când se adoptă măsuri în temeiul articolului 2.
(2) Statele membre și Comisia se informează reciproc cu privire la cazurile în care măsurile luate de organismele responsabile cu asigurarea respectării standardelor de protecție în Republica Orientală a Uruguayului nu asigură această respectare.
(3) În cazul în care informațiile colectate în temeiul articolului 2 și al alineatelor (1) și (2) din prezentul articol furnizează dovezi că un organism însărcinat cu asigurarea respectării standardelor de protecție în Republica Orientală a Uruguayului nu își îndeplinește eficient rolul, Comisia informează autoritatea uruguayană competentă și, dacă este necesar, prezintă un proiect de măsuri în conformitate cu procedura prevăzută la articolul 31 alineatul (2) din Directiva 95/46/CE în vederea abrogării sau suspendării prezentei decizii ori a limitării domeniului de aplicare al acesteia.
Articolul 4
Comisia monitorizează aplicarea prezentei decizii și raportează toate constatările pertinente Comitetului instituit în temeiul articolului 31 din Decizia 95/46/CE, inclusiv orice dovadă care ar putea afecta constatarea menționată în articolul 1 din prezenta decizie, conform căreia protecția datelor în Republica Orientală a Uruguayului este adecvată în sensul articolului 25 din Directiva 95/46/CE, precum și orice dovadă că prezenta decizie este aplicată în mod discriminatoriu.
Articolul 5
Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii în termen de 3 luni de la data notificării acesteia.
Articolul 6
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 21 august 2012.