PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
DECISIONE DI ESECUZIONE DELLA COMMISSIONE
del 21 agosto 2012
ai sensi della direttiva 95/46/CE del Parlamento europeo e del Consiglio sull’adeguata protezione dei dati personali da parte della Repubblica orientale dell’Uruguay in relazione al trattamento automatizzato di tali dati
[notificata con il numero C(2012) 5704]
(Testo rilevante ai fini del SEE)
(2012/484/UE)
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), in particolare l’articolo 25, paragrafo 6,
sentito il Garante europeo della protezione dei dati (2),
considerando quanto segue:
(1)
Ai sensi della direttiva 95/46/CE gli Stati membri devono far sì che il trasferimento di dati personali a un paese terzo abbia luogo solo se il paese in questione garantisce adeguati livelli di tutela e dopo aver accertato, prima del trasferimento, che siano soddisfatte le norme degli Stati membri che attuano altre disposizioni della direttiva.
(2)
La Commissione può constatare che un paese terzo garantisca adeguati livelli di tutela. In tal caso, gli Stati membri possono trasferirvi dati personali senza la necessità di ulteriori garanzie.
(3)
Secondo la direttiva 95/46/CE è necessario accertare il livello di protezione dei dati alla luce di tutte le circostanze che accompagnano l’operazione, o una serie di operazioni, di trasferimento dei dati, dando particolare rilievo agli elementi del trasferimento di cui all’articolo 25 della direttiva.
(4)
Data la diversità dei sistemi di protezione dei dati nei paesi terzi, la valutazione dell’adeguatezza va effettuata, e ogni decisione ai sensi dell’articolo 25, paragrafo 6 della direttiva 95/46/CE va presa e applicata, senza discriminazioni ingiustificate o arbitrarie contro o tra paesi terzi in cui esistono condizioni simili e senza creare ostacoli mascherati al libero scambio, nel rispetto degli attuali impegni internazionali assunti dall’Unione europea.
(5)
La Costituzione politica della Repubblica orientale dell’Uruguay, adottata nel 1967, non riconosce esplicitamente i diritti alla tutela della vita privata e dei dati personali. Tuttavia, l’elenco dei diritti fondamentali non è considerato esaustivo, poiché l’articolo 72 della Costituzione dispone che l’elencazione di diritti, obblighi e garanzie ivi contenuta non ne esclude altri che siano inerenti alla persona umana o derivino dalla forma repubblicana di governo. L’articolo 1 della legge n. 18.331 relativa alla protezione dei dati personali e all’azione «Habeas Data» dell’11 agosto 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de «Habeas Data») dispone espressamente che «il diritto alla tutela dei dati personali è inerente alla persona umana ed è pertanto incluso nell’articolo 72 della Costituzione della Repubblica». L’articolo 332 della Costituzione prevede che l’applicazione delle disposizioni ivi contenute che riconoscono diritti individuali, così come di quelle che conferiscono diritti e impongono obblighi alle autorità pubbliche, non deve essere pregiudicata dalla mancanza di una normativa specifica; al contrario, deve basarsi, mediante il ricorso ai principi che sottostanno a leggi analoghe, sui principi generali del diritto e della dottrina generalmente accettata.
(6)
Le norme giuridiche in materia di protezione dei dati personali nella Repubblica orientale dell’Uruguay si basano in larga misura sulle norme minime stabilite dalla direttiva 95/46/CE e sono contenute nella legge n. 18.331 relativa alla protezione dei dati personali e all’azione «Habeas Data» (Ley No 18.331 de Protección de Datos Personales y Acción de «Habeas Data»), dell’11 agosto 2008, che trova applicazione sia alle persone fisiche che alle persone giuridiche.
(7)
A complemento di tale legge è stato adottato il decreto n. 414/009, del 31 agosto 2009, al fine di chiarire diversi aspetti della legge e di definire la regolamentazione dettagliata relativa all’organizzazione, ai poteri e al funzionamento dell’autorità di controllo della protezione dei dati. Il preambolo del decreto stabilisce che è opportuno allineare il regime giuridico nazionale di questo settore al regime giuridico simile più accettato, essenzialmente quello definito dai paesi europei mediante la direttiva 95/46/CE.
(8)
Norme sulla protezione dei dati si trovano anche in una serie di leggi speciali che istituiscono e disciplinano le banche dati, segnatamente leggi che regolamentano taluni registri pubblici (atti pubblici, diritti di proprietà industriale e marchi, atti privati, beni immobili, attività minerarie o banche dati sull’esposizione debitoria). Ai sensi dell’articolo 332 della Costituzione, la legge n. 18.331 si applica anche a questi atti relativamente a quanto non sia disciplinato da dette norme giuridiche specifiche.
(9)
Le norme giuridiche applicabili nella Repubblica orientale dell’Uruguay in materia di protezione dei dati contengono tutti i principi di un adeguato livello di tutela delle persone fisiche e prevedono altresì eccezioni e restrizioni al fine di salvaguardare importanti interessi pubblici. Tali norme giuridiche in materia di protezione dei dati personali e le relative eccezioni riflettono i principi contenuti nella direttiva 95/46/CE.
(10)
L’applicazione delle norme giuridiche in materia di protezione dei dati è garantita da mezzi di impugnazione di natura amministrativa e giudiziaria, in particolare dall’azione «Habeas Data» che consente all’interessato di agire in giudizio contro il responsabile del trattamento per esercitare i propri diritti di accesso, di rettifica e di cancellazione. L’applicazione è garantita altresì dal controllo indipendente assicurato dall’autorità a ciò preposta, l’Unità per la regolamentazione ed il controllo dei dati personali (Unidad Reguladora y de Control de Datos Personales - URCDP), a cui sono conferiti poteri d’indagine, intervento e sanzione conformemente all’articolo 28 della direttiva 95/46/CE e che agisce in totale indipendenza. Inoltre, chiunque vi abbia interesse può adire le vie legali per ottenere il risarcimento del danno subito in conseguenza del trattamento illegale dei propri dati personali.
(11)
Le autorità uruguayane competenti per la protezione dei dati hanno fornito spiegazioni e garanzie relative all’interpretazione del diritto della Repubblica orientale dell’Uruguay e hanno assicurato che la legislazione in materia di protezione dei dati è applicata conformemente a tale interpretazione. In particolare, dette autorità hanno spiegato che, ai sensi dell’articolo 332 della Costituzione, la legge 18.331 trova applicazione anche a leggi speciali che istituiscono e disciplinano specifiche banche dati, con riferimento a questioni che non sono regolate da dette leggi speciali. Le autorità hanno altresì chiarito che la legge si applica anche agli elenchi di cui all’articolo 9 C) della legge n. 18.331 per i quali non è richiesto il consenso dell’interessato per procedere al trattamento; segnatamente, trovano applicazione i principi di proporzionalità e finalità, i diritti degli interessati e il controllo da parte dell’autorità competenti per la protezione dei dati personali. Riguardo al principio di trasparenza, le autorità uruguayane competenti per la protezione dei dati personali hanno reso noto che trova applicazione in tutti i casi l’obbligo di fornire agli interessati le informazioni necessarie. Riguardo al diritto di accesso, l’autorità ha spiegato che è sufficiente per l’interessato provare la propria identità nel momento in cui inoltra una richiesta. Le stesse autorità hanno altresì chiarito che le eccezioni al principio dei trasferimenti internazionali previste dall’articolo 23, paragrafo 1, della legge n. 18.331, non possono intendersi di applicazione più ampia di quanto disponga l’articolo 26, paragrafo 1, della direttiva 95/46/CE.
(12)
La presente decisione tiene conto di tali chiarimenti e su di essi è fondata.
(13)
La Repubblica orientale dell’Uruguay è altresì parte alla Convenzione americana sui diritti dell’uomo (Pact of San José de Costa Rica) del 22 novembre 1969, entrata in vigore il 18 luglio 1978 (3). L’articolo 11 di detta Convenzione sancisce il diritto alla vita privata, mentre l’articolo 30 prevede che le restrizioni applicabili, ai sensi della Convenzione, al godimento o all’esercizio dei diritti o delle libertà dalla stessa sancite, non possano esserlo se non nel rispetto delle leggi adottate per motivi di interesse generale e conformemente allo scopo per il quale tali restrizioni sono state introdotte (articolo 30). Inoltre, la Repubblica orientale dell’Uruguay ha accettato la giurisdizione della Corte interamericana dei diritti dell’uomo. Peraltro, alla loro 1118o riunione tenutasi il 6 luglio 2011, i viceministri del Consiglio d’Europa, a seguito del parere favorevole espresso dal pertinente comitato consultivo, hanno invitato la Repubblica orientale dell’Uruguay ad aderire alla Convenzione per la tutela delle persone rispetto al trattamento dei dati personali (ETS n. 108) nonché al suo protocollo aggiuntivo (ETS n. 118) (4).
(14)
Si ritiene pertanto che la Repubblica orientale dell’Uruguay fornisca adeguati livelli di tutela dei dati personali ai sensi della direttiva 95/46/CE.
(15)
La presente decisione si riferisce all’adeguatezza della protezione garantita nella Repubblica orientale dell’Uruguay ai fini dei requisiti di cui all’articolo 25, paragrafo 1, della direttiva 95/46/CE. Essa non pregiudica altre condizioni o restrizioni che attuino altre disposizioni di detta direttiva attinenti al trattamento di dati personali negli Stati membri.
(16)
Per salvaguardare la trasparenza e la capacità delle competenti autorità degli Stati membri di garantire la tutela delle persone riguardo al trattamento dei dati personali, è necessario precisare le circostanze eccezionali che giustificano la sospensione di particolari flussi di dati, nonostante l’esistenza di un’adeguata tutela.
(17)
È necessario che la Commissione vigili sul funzionamento della decisione e riferisca eventuali riscontri pertinenti al comitato istituito ai sensi dell’articolo 31 della direttiva 95/46/CE. Tale controllo deve includere, tra l’altro, il regime della Repubblica orientale dell’Uruguay applicabile a trasferimenti nel quadro di trattati internazionali.
(18)
Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito in forza dell’articolo 29 della direttiva 95/46/CE, ha espresso un parere favorevole sul livello di adeguatezza della protezione dei dati personali, di cui si è tenuto conto nella stesura della presente decisione (5).
(19)
Le misure previste dalla presente decisione sono conformi al parere del comitato istituito ai sensi dell’articolo 31, paragrafo 1, della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
1. Per le finalità di cui all’articolo 25, paragrafo 2, della direttiva 95/46/CE, si ritiene che la Repubblica orientale dell’Uruguay fornisca un adeguato livello di protezione dei dati personali trasferiti dall’Unione europea.
2. L’autorità di controllo della Repubblica orientale dell’Uruguay competente per l’applicazione nella stessa Repubblica delle norme giuridiche in materia di protezione dei dati è indicata nell’allegato alla presente decisione.
Articolo 2
1. Fatti salvi i poteri di intervento al fine di garantire il rispetto dei provvedimenti nazionali adottati in applicazione di disposizioni diverse dall’articolo 25 della direttiva 95/46/CE, le autorità competenti degli Stati membri hanno facoltà di sospendere i trasferimenti di dati verso destinatari nella Repubblica orientale dell’Uruguay al fine di tutelare i cittadini nell’ambito del trattamento dei loro dati personali nei casi in cui:
a)
un’autorità competente uruguayana abbia constatato che il destinatario non rispetta le norme applicabili relative alla protezione; oppure
b)
se è molto probabile che le norme di protezione siano infrante; se esistono fondati motivi per credere che l’autorità uruguayana competente non prenda o non prenderà provvedimenti adeguati e tempestivi per comporre il caso in questione; se il persistere del trasferimento dà luogo a rischi imminenti di danno grave agli interessati e in tale circostanza le autorità competenti nello Stato membro hanno compiuto ragionevoli sforzi per avvisare i responsabili del trattamento nella Repubblica orientale dell’Uruguay e dar loro l’opportunità di rispondere.
2. La sospensione cessa non appena sia garantito il rispetto delle norme di protezione e ne sia informata l’autorità competente dello Stato membro interessato.
Articolo 3
1. Gli Stati membri informano immediatamente la Commissione dell’adozione di provvedimenti ai sensi dell’articolo 2.
2. Gli Stati membri e la Commissione si informano reciprocamente dei casi in cui l’azione degli organismi uruguayani responsabili per il rispetto delle norme di protezione non sia sufficiente a garantire tale rispetto.
3. Ove risulti provato, dalle informazioni di cui all’articolo 2 e ai paragrafi 1 e 2 del presente articolo, che gli organismi della Repubblica orientale dell’Uruguay incaricati di garantire il rispetto delle norme di protezione non svolgono la loro funzione in modo efficace, la Commissione avverte le autorità uruguayane competenti e, se necessario, presenta progetti di misure, secondo la procedura di cui all’articolo 31, paragrafo 2, della direttiva 95/46/CE, al fine di abrogare o sospendere la presente decisione o di limitarne il campo d’applicazione.
Articolo 4
La Commissione verifica l’applicazione della presente decisione e comunica qualsiasi informazione utile al comitato istituito dall’articolo 31 della direttiva 95/46/CE, in particolare ogni elemento rilevante ai fini della valutazione di cui all’articolo 1 della presente decisione, circa l’adeguatezza della protezione nella Repubblica orientale dell’Uruguay ai sensi dell’articolo 25 della direttiva 95/46/CE e ogni elemento che dimostri che la presente decisione è applicata in modo discriminatorio.
Articolo 5
Gli Stati membri adottano le misure necessarie per conformarsi alla presente decisione entro tre mesi dalla notifica della stessa.
Articolo 6
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 21 agosto 2012