PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
DECISIÓN DE EJECUCIÓN DE LA COMISIÓN
de 21 de agosto de 2012
de conformidad con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, relativa a la protección adecuada de los datos personales por la República Oriental del Uruguay en lo que respecta al tratamiento automatizado de datos personales
[notificada con el número C(2012) 5704]
(Texto pertinente a efectos del EEE)
(2012/484/UE)
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1), y, en particular, su artículo 25, apartado 6,
Previa consulta al Supervisor Europeo de Protección de Datos (2),
Considerando lo siguiente:
(1)
De conformidad con la Directiva 95/46/CE, los Estados miembros solo permitirán la transferencia de datos personales a un tercer país si este garantiza un nivel de protección adecuado y se cumplen en él, con anterioridad a la transferencia, las disposiciones legales que los Estados miembros aprueben en aplicación de otros preceptos de dicha Directiva.
(2)
La Comisión puede dictaminar que un tercer país garantiza un nivel de protección adecuado. En tal caso, pueden transferirse datos personales desde los Estados miembros sin que sea necesaria ninguna garantía adicional.
(3)
De conformidad con la Directiva 95/46/CE, el nivel de protección de los datos debe evaluarse atendiendo a todas las circunstancias que concurran en la transferencia o conjunto de transferencias de datos y estudiando con especial atención una serie de elementos pertinentes para la transferencia, enumerados en el artículo 25 de dicha Directiva.
(4)
Ante los diferentes enfoques sobre la protección de datos adoptados en los terceros países, tanto la evaluación de la adecuación como la ejecución de las decisiones en virtud del artículo 25, apartado 6, de la Directiva 95/46/CE, deben hacerse sin que originen, en igualdad de condiciones, una discriminación arbitraria o injustificada contra terceros países o entre ellos, ni constituyan una restricción comercial encubierta contraria a los actuales compromisos internacionales de la Unión Europea.
(5)
La Constitución de la República Oriental del Uruguay, adoptada en 1967, no reconoce expresamente el derecho a la vida privada y la protección de datos personales. Ahora bien, el catálogo de derechos fundamentales no es una lista cerrada, ya que el artículo 72 de la Constitución establece que la enumeración de derechos, obligaciones y garantías que se recoge en la misma no excluye otros que son inherentes a la naturaleza humana o que derivan del sistema republicano de gobierno. El artículo 1 de la Ley No 18.331 de Protección de Datos Personales y Acción de Habeas Data, de 11 de agosto de 2008, establece expresamente que «El derecho a la protección de datos personales es inherente a la persona humana, por lo que está comprendido en el artículo 72 de la Constitución de la República». El artículo 332 de la Constitución establece que los preceptos de la Constitución que reconocen derechos a los individuos, así como los que atribuyen facultades e imponen deberes a las autoridades públicas, no dejarán de aplicarse por falta de la reglamentación respectiva; sino que esta será suplida, recurriendo a los fundamentos de leyes análogas, a los principios generales de derecho y a las doctrinas generalmente admitidas.
(6)
Las normas jurídicas de protección de datos personales en la República Oriental del Uruguay se basan en gran medida en las normas establecidas en la Directiva 95/46/CE y figuran en la Ley No 18.331 de Protección de Datos Personales y de Acción de Habeas Data) de 11 de agosto de 2008. Esta Ley se refiere tanto a las personas físicas como a las jurídicas.
(7)
La Ley se complementa con el Decreto No 414/009, de 31 de agosto de 2009, adoptado para clarificar varios aspectos de la Ley y establecer la normativa detallada sobre la organización, las facultades y el funcionamiento de la autoridad de control de protección de datos. El preámbulo del Decreto establece que es conveniente adaptar el sistema jurídico nacional en esta materia al régimen jurídico comparable más ampliamente aceptado, fundamentalmente el establecido por los países europeos a través de la Directiva 95/46/CE.
(8)
Algunas disposiciones sobre protección de datos figuran también en una serie de leyes especiales de creación y regulación de bases de datos, a saber, leyes de regulación de determinados registros públicos (escrituras públicas, propiedad industrial y marcas registradas, actos personales, bienes inmuebles, información crediticia o minera). La Ley No 18.331 se aplica subsidiariamente a las materias que no están reguladas en estos instrumentos jurídicos específicos, con arreglo al artículo 332 de la Constitución.
(9)
Las normas jurídicas de protección de datos aplicables en la República Oriental del Uruguay cumplen todos los principios básicos necesarios para ofrecer un nivel adecuado de protección a las personas físicas, y también prevén excepciones y limitaciones para proteger intereses públicos importantes. Estas normas jurídicas de protección de datos y excepciones se basan en los principios establecidos en la Directiva 95/46/CE.
(10)
La aplicación de las normas jurídicas de protección de datos está garantizada por recursos judiciales y administrativos y, en particular, por la acción Habeas Data, que permite al interesado emprender una acción judicial contra el responsable del tratamiento de datos para ejercitar su derecho de acceso, rectificación y supresión, así como por el control independiente que realiza la autoridad de control, la Unidad Reguladora y de Control de Datos Personales (URCDP), que tiene facultades de investigación, intervención y sanción, en consonancia con el artículo 28 de la Directiva 95/46/CE, y actúa con absoluta independencia. Además, cualquier parte interesada puede interponer un recurso para solicitar una indemnización por daños y perjuicios causados por un tratamiento ilegal de los datos personales.
(11)
Las autoridades de protección de datos de Uruguay han ofrecido explicaciones y garantías sobre cómo debe interpretarse el Derecho uruguayo, así como garantías de que la normativa de protección de datos uruguaya se aplica de conformidad con esa interpretación. Han explicado, en particular, que con arreglo al artículo 332 de la Constitución, la Ley No 18.331 se aplica de forma subsidiaria a materias no reguladas por leyes especiales que crean y regulan determinadas bases de datos. También han aclarado que, en lo que respecta a las listas de los datos mencionados en el artículo 9, letra C), de la Ley No 18.331, cuyo tratamiento no requiere el previo consentimiento del interesado, la Ley también se aplica, en particular los principios de proporcionalidad y finalidad y los derechos de los interesados, y que tales listas están sujetas al control de la autoridad de protección de datos. En lo que respecta al principio de transparencia, las autoridades uruguayas de protección de datos han informado de que la obligación de suministrar la información necesaria al interesado se aplica en todos los casos. En relación con el derecho de acceso, la autoridad de protección de datos ha aclarado que es suficiente que el interesado demuestre su identidad al presentar una solicitud. Las autoridades uruguayas de protección de datos han aclarado que las excepciones al principio de las transferencias internacionales establecido en el artículo 23, apartado 1, de la Ley N o 18.331, deben interpretarse en el sentido de que su aplicación no se extenderá más allá de lo previsto en el artículo 26, apartado 1, de la Directiva 95/46/CE.
(12)
La presente Decisión tiene en cuenta y se basa en estas explicaciones y garantías.
(13)
La República Oriental del Uruguay es también parte de la Convención Americana sobre Derechos Humanos (Pacto de San José de Costa Rica), de 22 de noviembre de 1969, en vigor desde el 18 de julio de 1978 (3). El artículo 11 de esta Convención reconoce el derecho a la vida privada, y el artículo 30 establece que las restricciones permitidas, de acuerdo con la Convención, al goce y ejercicio de los derechos y libertades reconocidos en la misma, no pueden ser aplicadas sino conforme a leyes que se dictaren por razones de interés general y con el propósito para el cual han sido establecidas. Además, la República Oriental del Uruguay ha reconocido la jurisdicción de la Corte Interamericana de Derechos Humanos. Por otra parte, en la 1118a reunión de los delegados de los Ministros del Consejo de Europa, celebrada el 6 de julio de 2011, los delegados invitaron a la República Oriental de Uruguay a adherirse al Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal (ETS 108) y su Protocolo adicional (ETS no 118), previo dictamen favorable del Comité consultivo competente (4).
(14)
Por consiguiente, debe considerarse que la República Oriental de Uruguay ofrece un nivel de protección adecuado de los datos personales según lo dispuesto en la Directiva 95/46/CE.
(15)
La presente Decisión debe referirse a la adecuación de la protección prevista en la República Oriental del Uruguay a los requisitos del artículo 25, apartado 1, de la Directiva 95/46/CE. No debe afectar a otras condiciones o restricciones de aplicación de otras disposiciones de la Directiva relativas al tratamiento de datos personales en los Estados miembros.
(16)
Aunque se haya comprobado que el nivel de protección es adecuado, en aras de la transparencia y para proteger la capacidad de las autoridades pertinentes de los Estados miembros de garantizar la protección de las personas en lo que respecta al tratamiento de datos personales, resulta necesario especificar las circunstancias excepcionales que pudieran justificar la suspensión de flujos específicos de información.
(17)
La Comisión debe hacer un seguimiento del funcionamiento de la Decisión e informar de todo hecho pertinente al Comité creado con arreglo al artículo 31 de la Directiva 95/46/CE. Dicho seguimiento debe abarcar, entre otras cosas, el régimen que la República Oriental del Uruguay aplica a las transferencias en el marco de los tratados internacionales.
(18)
El Grupo de trabajo de protección de las personas en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la Directiva 95/46/CE, ha emitido un dictamen favorable sobre el nivel de protección de datos personales, que ha sido tenido en cuenta al preparar la presente Decisión (5).
(19)
Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité creado en virtud del artículo 31, apartado 1, de la Directiva 95/46/CE.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
1. A los fines del artículo 25, apartado 2, de la Directiva 95/46/CE, se considera que la República Oriental del Uruguay garantiza un nivel adecuado de protección de los datos personales transferidos desde la Unión Europea.
2. La autoridad de control competente de la República Oriental del Uruguay para la aplicación de las normas jurídicas de protección de datos en la República Oriental del Uruguay figura en el anexo de la presente Decisión.
Artículo 2
1. Sin perjuicio de sus facultades para emprender acciones que garanticen el cumplimiento de las normas nacionales adoptadas de conformidad con preceptos diferentes a los previstos en el artículo 25 de la Directiva 95/46/CE, las autoridades competentes de los Estados miembros podrán ejercer su facultad de suspender los flujos de datos hacia un receptor de la República Oriental del Uruguay, a fin de proteger a las personas contra el tratamiento de sus datos personales, en los casos en que:
a)
la autoridad uruguaya competente compruebe que el receptor ha vulnerado las normas de protección aplicables, o
b)
existan grandes probabilidades de que se estén vulnerando las normas de protección, existan razones para creer que la autoridad uruguaya competente no ha tomado o no tomará las medidas oportunas para resolver el caso en cuestión, se considere que la continuación de la transferencia podría crear un riesgo inminente de grave perjuicio a los afectados y las autoridades competentes del Estado miembro hayan hecho esfuerzos razonables en estas circunstancias para notificárselo a la entidad responsable del tratamiento en la República Oriental del Uruguay y proporcionarle la oportunidad de recurrir.
2. La suspensión cesará en cuanto esté garantizado el cumplimiento de las normas de protección y ello se haya notificado a las autoridades competentes de los Estados miembros interesados.
Artículo 3
1. Los Estados miembros informarán inmediatamente a la Comisión de la adopción de las medidas basadas en el artículo 2.
2. Los Estados miembros y la Comisión se informarán recíprocamente de aquellos casos en que la actuación de los organismos responsables del cumplimiento de las normas de protección en la República Oriental del Uruguay no garantice dicho cumplimiento.
3. Si la información recogida con arreglo al artículo 2 y a los apartados 1 y 2 del presente artículo demuestra que alguno de los organismos responsables del cumplimiento de las normas de protección en la República Oriental del Uruguay no está ejerciendo su función eficazmente, la Comisión lo notificará a la autoridad competente de la República Oriental del Uruguay y, si procede, presentará un proyecto de medidas con arreglo al procedimiento previsto en el artículo 31, apartado 2, de la Directiva 95/46/CE, a fin de anular o suspender la presente Decisión o limitar su ámbito de aplicación.
Artículo 4
La Comisión supervisará el funcionamiento de la presente Decisión e informará al Comité creado por el artículo 31 de la Directiva 95/46/CE de cualquier hecho pertinente y, en particular, de cualquier elemento que pueda afectar a la apreciación del artículo 1 de la presente Decisión de que la República Oriental del Uruguay garantiza un nivel adecuado de protección de datos personales a los fines del artículo 25 de la Directiva 95/46/CE, así como de cualquier elemento que demuestre que la presente Decisión se está aplicando de forma discriminatoria.
Artículo 5
Los Estados miembros adoptarán todas las medidas necesarias para cumplir la presente Decisión en el plazo de 3 meses a partir de su fecha de notificación.
Artículo 6
Los destinatarios de la presente Decisión serán los Estados miembros.
Hecho en Bruselas, el 21 de agosto de 2012.