РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
KOMMISSIONENS GENOMFÖRANDEBESLUT
av den 21 augusti 2012
i enlighet med Europaparlamentets och rådets direktiv 95/46/EG om en adekvat skyddsnivå vid automatiserad behandling av personuppgifter i Republiken Uruguay
[delgivet med nr C(2012) 5704]
(Text av betydelse för EES)
(2012/484/EU)
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 25.6,
efter att ha hört Europeiska datatillsynsmannen (2), och
av följande skäl:
(1)
Enligt direktiv 95/46/EG ska medlemsstaterna föreskriva att överföring av personuppgifter till tredjeland endast får ske om landet i fråga garanterar en adekvat skyddsnivå och om medlemsstatens lagar, genom vilka andra bestämmelser i direktivet genomförs, efterlevs före överföringen.
(2)
Kommissionen kan fastställa att tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att några ytterligare garantier krävs.
(3)
Enligt direktiv 95/46/EG ska bedömningen av om skyddsnivån i ett tredjeland är adekvat ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter, varvid särskild hänsyn ska tas till vissa för överföringen relevanta aspekter som anges i artikel 25 i direktivet.
(4)
Då sättet att se på frågan om uppgiftsskydd varierar mellan olika tredjeländer bör bedömningen av om skyddsnivån är adekvat genomföras, och beslut som grundar sig på artikel 25.6 i direktiv 95/46/EG fattas och verkställas, utan godtycklig eller obefogad diskriminering i förhållande till tredjeland eller mellan de tredjeländer där liknande förhållanden råder samt på ett sätt som säkerställer att det inte uppstår några dolda handelshinder, varvid hänsyn bör tas till Europeiska unionens nuvarande internationella åtaganden.
(5)
Uruguays författning från 1967 erkänner inte uttryckligen rätten till personlig integritet och skydd av personuppgifter. Förteckningen över grundläggande rättigheter är dock inte uttömmande eftersom det i artikel 72 i författningen föreskrivs att de rättigheter, skyldigheter och garantier som anges inte utesluter andra som är förbundna med den mänskliga naturen eller härrör från det republikanska styrelseskicket. Artikel 1 i lag nr 18.331 om skydd av personuppgifter och ”habeas data” av den 11 augusti 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de ”Habeas Data”) fastställer uttryckligen att ”rätten till skydd av personuppgifter är förbunden med människan och omfattas därför av artikel 72 i republikens författning”. I artikel 332 i författningen föreskrivs att tillämpningen av bestämmelser i författningen som innebär att enskildas rättigheter erkänns, eller att offentliga myndigheter tillerkänns rättigheter och skyldigheter, inte hindras av att närmare föreskrifter saknas, utan i stället får grundas på rättsliga principer i liknande lagstiftning, allmänna rättsregler och allmänt vedertagen doktrin.
(6)
Reglerna för skydd av personuppgifter i Uruguay bygger till stor del på direktiv 95/46/EG och fastställs i lag nr 18.331 om skydd av personuppgifter och ”habeas data” (Ley No 18.331 de Protección de Datos Personales y Acción de ”Habeas Data”) av den 11 augusti 2008. Lagen omfattar fysiska och juridiska personer.
(7)
Denna lag kompletteras av dekret nr 414/009 av den 31 augusti 2009, som antogs för att klargöra flera aspekter av lagen och fastställa närmare föreskrifter för organisation, behörighet och funktion för den tillsynsmyndighet som övervakar skyddet av personuppgifter. I ingressen till dekretet påpekas att det nationella rättssystemet på detta område bör anpassas till det mest vedertagna, jämförbara regelverket, nämligen det som upprättats av de europeiska länderna genom direktiv 95/46/EG.
(8)
Uppgiftsskyddsbestämmelser återfinns också i vissa särskilda lagar som skapar och reglerar databaser, nämligen lagar om vissa offentliga register (officiella handlingar, industriell äganderätt och varumärken, personakter, fastighetsregister, gruvverksamhet eller kreditupplysning). Lag nr 18.331 gäller även för dessa lagar rörande de frågor som inte regleras i särlagstiftningen, i enlighet med artikel 332 i författningen.
(9)
De bestämmelser om uppgiftsskydd som tillämpas i Uruguay omfattar alla nödvändiga grundläggande principer som krävs för en adekvat skyddsnivå för fysiska personer, och innehåller även undantag och begränsningar som ska skydda viktiga allmänintressen. Dessa bestämmelser om uppgiftsskydd och undantagen följer principerna i direktiv 95/46/EG.
(10)
Tillämpningen av bestämmelserna om uppgiftsskydd garanteras, dels genom administrativa och rättsliga medel, särskilt ”habeas data”, som ger den registrerade personen möjlighet att väcka talan mot en registeransvarig för att hävda sin rätt att få tillgång till, korrigera och radera uppgifter, dels genom oberoende kontroller via tillsynsmyndigheten, enheten för reglering och kontroll av personuppgifter (URCDP) som är behörig att utreda, ingripa och utfärda sanktioner i enlighet med artikel 28 i direktiv 95/46/EG, och som handlar helt oberoende. Vidare kan en berörd part begära rättslig prövning och ersättning för skada som orsakats av olaglig behandling av personuppgifter.
(11)
Dataskyddsmyndigheterna i Uruguay har lämnat förklaringar till och garantier för hur Uruguays lagstiftning ska tolkas och har även försäkrat att landets lagstiftning om uppgiftsskydd överensstämmer med denna tolkning. Uruguayanska dataskyddsmyndigheter har särskilt förklarat att, i enlighet med artikel 332 i författningen, tillämpas lag nr 18.331 även på särlagstiftning som skapar och reglerar specifika databaser i frågor som inte regleras i särlagstiftningen. De har också klargjort att lagen även är tillämplig på de fall som avses i artikel 9c i lag nr 18.331 och som tillåter behandling utan samtycke från den registrerade, med avseende på proportionalitetsprincipen och ändamålsprincipen, på rättigheterna för den registrerade och kontroller via tillsynsmyndigheten. Med hänsyn till öppenhetsprincipen har dataskyddsmyndigheterna i Uruguay meddelat att skyldigheten att förse den registrerade med nödvändig information gäller i samtliga fall. Angående rätten till tillgång har dataskyddsmyndigheterna klargjort att den registrerade endast behöver styrka sin identitet när begäran görs. De uruguayanska dataskyddsmyndigheterna har klargjort att undantagen från principen om internationell överföring som fastställs i artikel 23.1 i lag nr 18.331 inte innebär en bredare tillämpning än vad som föreskrivs i artikel 26.1 i direktiv 95/46/EG.
(12)
Föreliggande beslut beaktar dessa förklaringar och försäkringar och är baserat på dem.
(13)
Republiken Uruguay är också en part i den amerikanska konventionen om de mänskliga rättigheterna (”Pact of San José de Costa Rica”) av den 22 november 1969, som trädde i kraft den 18 juli 1978 (3). I artikel 11 i denna konvention föreskrivs rätten till personlig integritet och i artikel 30 fastställs att inskränkningen av rätten till eller utövandet av de fri- och rättigheter som konventionen medger endast får göras med stöd i lagstiftningen som hänvisar till det allmänna bästa och endast i de syften som konventionens inskränkning avser (artikel 30). Vidare har Uruguay accepterat att den interamerikanska domstolen för de mänskliga rättigheterna har jurisdiktion. Vid det 1118:e mötet med ministrarnas företrädare i Europarådet den 6 juli 2011, inbjöd dessutom företrädarna Uruguay att ansluta sig till konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (ETS nr 108) och dess tilläggsprotokoll (ETS nr 118), efter ett positivt yttrande från den behöriga rådgivande kommittén (4).
(14)
Uruguay bör därför anses erbjuda en adekvat skyddsnivå för personuppgifter enligt direktiv 95/46/EG.
(15)
Detta beslut avser huruvida det skydd som Uruguay erbjuder är tillräckligt för att uppfylla kraven i artikel 25.1 i direktiv 95/46/EG. Det påverkar inte andra villkor eller restriktioner av andra bestämmelser i direktivet om behandling av personuppgifter inom medlemsstaterna.
(16)
För att värna om öppenheten och ge behöriga myndigheter i medlemsstaterna möjlighet att garantera skyddet för enskilda vid behandling av deras personuppgifter, bör man ange vilka särskilda omständigheter som kan motivera ett avbrott i viss uppgiftsöverföring, trots att skyddsnivån har konstaterats vara adekvat.
(17)
Kommissionen ska övervaka tillämpningen av detta beslut och rapportera alla relevanta slutsatser till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG. Denna övervakning ska inkludera bland annat Uruguays system för överföringar inom ramen för internationella avtal.
(18)
Den i enlighet med artikel 29 i direktiv 95/46/EG inrättade arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter har yttrat sig positivt angående nivån på personuppgiftsskyddet, vilket har beaktats vid utarbetandet av föreliggande beslut (5).
(19)
De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats enligt artikel 31.1 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
1. För tillämpningen av artikel 25.2 i direktiv 95/46/EG ska Uruguay anses garantera en adekvat skyddsnivå för de personuppgifter som överförs från Europeiska unionen.
2. Den behöriga tillsynsmyndigheten i Uruguay för tillämpningen av bestämmelserna om uppgiftsskydd i Uruguay anges i bilagan till detta beslut.
Artikel 2
1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av de nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sin behörighet att tills vidare avbryta uppgiftsöverföringar till en mottagare i Uruguay i syfte att skydda enskilda med avseende på behandlingen av deras personuppgifter om
a)
en behörig myndighet i Uruguay har fastställt att mottagaren bryter mot tillämpliga skyddsregler eller
b)
sannolikheten är stor att skyddsreglerna inte efterlevs, det finns rimliga skäl att anta att behöriga myndigheter i Uruguay inte vidtar eller kommer att vidta adekvata åtgärder i tid för att avgöra ärendet, fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under omständigheterna har vidtagit rimliga åtgärder för att underrätta den instans i Uruguay som ansvarar för behandlingen och givit denna tillfälle att yttra sig.
2. Överföringen ska återupptas så snart skyddsreglerna efterlevs och den behöriga myndigheten i den berörda medlemsstaten har underrättats om detta.
Artikel 3
1. Medlemsstaterna ska utan dröjsmål underrätta kommissionen om de åtgärder som vidtagits med stöd av artikel 2.
2. Medlemsstaterna och kommissionen ska underrätta varandra om fall där de åtgärder som vidtas av tillsynsmyndigheter i Uruguay leder till att reglerna inte efterlevs.
3. Där den information som insamlats enligt artikel 2 och punkterna 1 och 2 i denna artikel visar att någon av tillsynsmyndigheterna i Uruguay inte fullgör sin uppgift på ett verkningsfullt sätt, ska kommissionen underrätta den behöriga myndigheten i Uruguay om detta och vid behov framlägga förslag till bestämmelser i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG i syfte att upphäva eller tills vidare avbryta tillämpningen av detta beslut eller begränsa dess tillämpningsområde.
Artikel 4
Kommissionen ska övervaka tillämpningen av detta beslut och rapportera alla relevanta slutsatser till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG, vilket även inbegriper alla omständigheter som skulle kunna påverka slutsatsen i artikel 1 i detta beslut om att det skydd som ges i Uruguay är adekvat i den mening som avses i artikel 25 i direktiv 95/46/EG, och alla omständigheter som visar att detta beslut tillämpas på ett diskriminerande sätt.
Artikel 5
Medlemsstaterna ska vidta alla erforderliga åtgärder för att efterkomma detta beslut senast tre månader efter det att beslutet har meddelats.
Artikel 6
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 21 augusti 2012.