РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
DECIZIA DE PUNERE ÎN APLICARE A COMISIEI
din 21 august 2012
în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind nivelul de protecție adecvat asigurat de Republica Orientală a Uruguayului privind prelucrarea automată a datelor cu caracter personal
[notificată cu numărul C(2012) 5704]
(Text cu relevanță pentru SEE)
(2012/484/UE)
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 25 alineatul (6),
după consultarea Autorității Europene pentru Protecția Datelor (2),
întrucât:
(1)
În temeiul Directivei 95/46/CE, statelor membre li se cere să ia măsuri astfel încât transferul datelor cu caracter personal către o țară terță să poată avea loc numai în cazul în care țara terță în cauză asigură un nivel de protecție adecvat și în cazul în care legile statelor membre care pun în aplicare alte dispoziții ale directivei sunt respectate înainte de transfer.
(2)
Comisia poate constata că o țară terță asigură un nivel adecvat de protecție. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără să fie nevoie de garanții suplimentare.
(3)
În temeiul Directivei 95/46/CE, nivelul de protecție a datelor trebuie evaluat ținând seama de toate împrejurările care au legătură cu o operațiune de transfer de date sau cu o serie de operațiuni de transfer de date și acordând o atenție specială mai multor elemente relevante pentru transfer, enumerate la articolul 25.
(4)
Având în vedere diferitele abordări privind protecția datelor în țările terțe, evaluarea caracterului adecvat trebuie efectuată și orice decizie întemeiată pe articolul 25 alineatul (6) din Directiva 95/46/CE trebuie adoptată și pusă în aplicare astfel încât să nu creeze discriminări arbitrare sau nejustificate față de țările terțe ori între acestea, atunci când există condiții similare, și să nu constituie o barieră mascată în calea comerțului, ținând seama de angajamentele internaționale actuale ale Uniunii Europene.
(5)
Constituția politică a Republicii Orientale a Uruguayului, adoptată în 1967, nu recunoaște în mod expres dreptul la viață privată și protecția datelor cu caracter personal. Cu toate acestea, catalogul drepturilor fundamentale nu constituie o listă închisă, deoarece articolul 72 din Constituție prevede că lista drepturilor, obligațiilor și a garanțiilor enumerate în Constituție nu exclude altele care sunt inerente personalității umane sau care rezultă din forma republicană de guvernământ. La articolul 1 din Legea nr. 18.331 privind protecția datelor cu caracter personal și privind acțiunea „Habeas Data” din 11 august 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) se stabilește în mod expres că „dreptul la protecția datelor cu caracter personal este un drept inerent persoanei umane și, prin urmare, este inclus în articolul 72 din Constituția Republicii”. Articolul 332 din Constituție prevede că aplicarea prevederilor respectivei constituții care consacră drepturile persoanelor, precum și cele care acordă drepturi și impun obligații autorităților publice, nu trebuie să fie compromisă de lipsa legislației specifice, ci, mai degrabă, trebuie să se întemeieze, prin recurgerea la principiile fundamentale ale legislației similare, pe principiile generale de drept și pe doctrinele general acceptate.
(6)
Standardele legale pentru protecția datelor cu caracter personal în Republica Orientală a Uruguayului sunt întemeiate în mare parte pe standardele stabilite în Directiva 95/46/CE și sunt prevăzute în Legea nr. 18.331 privind protecția datelor cu caracter personal și privind acțiunea „Habeas Data” (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data”) din 11 august 2008. Aceasta se referă la persoane fizice și la persoane juridice.
(7)
Legea respectivă este completată de Decretul nr. 414/009 din 31 august 2009, adoptat în scopul de a clarifica anumite aspecte din lege și de a stabili în detaliu reglementarea organizării, competențele și funcționarea autorității de supervizare a protecției datelor. Preambulul decretului prevede că este necesar să se adapteze sistemul juridic național în materie la regimul juridic comparabil cel mai acceptat, în principal cel stabilit de țările europene prin Directiva 95/46/CE.
(8)
Dispoziții privind protecția datelor există, de asemenea, în mai multe acte speciale, de instituire și reglementare a unor baze de date, și anume norme de reglementare ale anumitor registre publice (actele publice, drepturile de proprietate industrială și mărcile comerciale, actele cu caracter personal, proprietățile imobiliare, minerit sau de informare cu privire la credite). Legea nr. 18.331 se aplică în mod suplimentar acestor acte în ceea ce privește aspectele care nu sunt reglementate de respectivele instrumente juridice specifice, în conformitate cu articolul 332 din Constituție.
(9)
Standardele legale în materie de protecție a datelor aplicabile în Republica Orientală a Uruguayului includ toate principiile de bază necesare pentru a asigura un nivel adecvat de protecție a persoanelor fizice și prevăd, totodată, excepții și limitări menite să protejeze interesele publice importante. Atât aceste standarde juridice în materie de protecție a datelor, cât și excepțiile reflectă principiile enunțate de Directiva 95/46/CE.
(10)
Aplicarea standardelor juridice în materie de protecție a datelor este garantată prin căi de atac juridice și administrative, în special prin acțiunea „habeas data”, care permite persoanei vizate să îl cheme în instanță pe responsabilul bazei de date pentru a obține aplicarea drepturilor sale de acces, rectificare și eliminare, precum și printr-o supraveghere independentă efectuată de autoritatea de supraveghere, Unitatea de reglementare și control a datelor personale [Unidad Reguladora y de Control de Datos Personales (URCDP)], care este învestită cu competențe de investigare, intervenție și sancțiune în conformitate cu articolul 28 din Directiva 95/46/CE și care acționează în deplină independență. Mai mult, toate părțile interesate au dreptul de a introduce o acțiune în justiție pentru recuperarea daunelor suferite în urma prelucrării ilegale a datelor lor cu caracter personal.
(11)
Autoritățile uruguayene responsabile pentru protecția datelor au furnizat explicații și asigurări referitoare la modul în care trebuie interpretată legislația uruguayană și au confirmat că legislația uruguayană privind protecția datelor este pusă în aplicare conform acestei interpretări. În special, autoritățile uruguayene pentru protecția datelor au explicat că, în conformitate cu articolul 332 din Constituție, Legea nr. 18.331 se aplică în mod suplimentar legilor speciale de instituire și reglementare ale unor baze de date specifice în relație cu acele aspecte care nu sunt reglementate de respectivele instrumente juridice speciale. De asemenea, acestea au clarificat că, în ceea ce privește listele menționate la articolul 9 litera (c) din Legea nr. 18.331 și care nu necesită consimțământul persoanei vizate pentru prelucrarea datelor, legea, în special principiile proporționalității și finalității, se aplică drepturilor persoanelor vizate și că acestea fac obiectul supravegherii de către autoritatea pentru protecția datelor. În ceea ce privește principiul transparenței, autoritățile uruguayene de protecție a datelor au informat că obligația de a furniza persoanei vizate informațiile necesare se aplică în toate cazurile. În ceea ce privește dreptul de acces, autoritatea de protecție a datelor a precizat că este suficient ca persoana vizată să își dovedească identitatea atunci când formulează o solicitare. Autoritățile uruguayene de protecție a datelor au clarificat faptul că excepțiile de la principiul privind transferurile internaționale prevăzute la articolul 23 alineatul (1) din Legea nr. 18.331 nu pot fi înțelese ca având o sferă de aplicare mai largă decât articolul 26 alineatul (1) din Directiva 95/46/CE.
(12)
Prezenta decizie ia în considerare și se bazează pe aceste explicații și asigurări.
(13)
Totodată, Republica Orientală a Uruguayului este parte la Convenția Americană a Drepturilor Omului („Pactul de la San José de Costa Rica”) din 22 noiembrie 1969, care a intrat în vigoare la 18 iulie 1978 (3). Articolul 11 din respectiva convenție stabilește dreptul la viață privată, iar articolul 30 prevede că restricțiile care, în temeiul acestei convenții, ar putea fi impuse asupra exercitării drepturilor sau libertăților recunoscute de convenție nu pot fi puse în aplicare decât în conformitate cu legile adoptate pe considerente de interes general și în concordanță cu obiectivul pentru care au fost stabilite asemenea restricții (articolul 30). Mai mult, Republica Orientală a Uruguayului a acceptat jurisdicția Curții Interamericane a Drepturilor Omului. În plus, la cea de a 1118-a reuniune la nivel de adjunct de ministru a Consiliului Europei, desfășurată la 6 iulie 2011, oficialii au invitat Republica Orientală a Uruguayului să adere la Convenția pentru protecția persoanelor cu privire la prelucrarea automată a datelor cu caracter personal (ETS nr. 108) și la Protocolul adițional la aceasta (ETS nr. 118), în urma unei opinii favorabile a comitetului consultativ pertinent (4).
(14)
Prin urmare, ar trebui să se considere că Republica Orientală a Uruguayului dispune de un nivel adecvat de protecție a datelor cu caracter personal în sensul Directivei 95/46/CE.
(15)
Prezenta decizie ar trebui să vizeze nivelul de adecvare al protecției furnizate de Republica Orientală a Uruguayului în scopul îndeplinirii cerințelor articolului 25 alineatul (1) din Directiva 95/46/CE. Acest lucru nu ar trebui să afecteze alte condiții sau restricții prin care se pun în aplicare alte prevederi ale directivei respective care se referă la prelucrarea datelor cu caracter personal în statele membre.
(16)
În interesul transparenței și în scopul protejării capacității autorităților competente din statele membre de a asigura protecția persoanelor în ceea ce privește prelucrarea datelor lor personale, este necesar să se specifice circumstanțele excepționale în care s-ar putea justifica suspendarea fluxului de date, fără a se aduce atingere identificării unei protecții adecvate.
(17)
Comisia trebuie să monitorizeze punerea în aplicare a deciziei și să informeze asupra constatărilor relevante Comitetul instituit în temeiul articolului 31 din Directiva 95/46/CE. Această monitorizare trebuie să acopere, între altele, regimul Republicii Orientale a Uruguayului aplicabil transferurilor în cadrul tratatelor internaționale.
(18)
Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal instituit în temeiul articolului 29 din Directiva 95/46/CE a emis un aviz favorabil cu privire la nivelul adecvat al protecției datelor cu caracter personal, luat în considerare la pregătirea prezentei decizii (5).
(19)
Măsurile prevăzute de prezenta decizie sunt conforme cu avizul Comitetului instituit în temeiul articolului 31 alineatul (1) din Directiva 95/46/CE,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
(1) În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, se consideră că Republica Orientală a Uruguayului asigură un nivel adecvat de protecția a datelor personale transferate din Uniunea Europeană.
(2) Autoritatea competentă de supraveghere din Republica Orientală a Uruguayului responsabilă cu aplicarea standardelor în materie de protecție a datelor în Republica Orientală a Uruguayului este stabilită în anexa la prezenta decizie.
Articolul 2
(1) Fără a se aduce atingere competențelor lor de a lua măsuri pentru respectarea dispozițiilor naționale adoptate în temeiul altor dispoziții decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita competențele de care dispun pentru a suspenda fluxurile de date către un destinatar din Republica Orientală a Uruguayului în vederea protejării persoanelor în ceea ce privește prelucrarea datelor cu caracter personal ale acestora în următoarele cazuri:
(a)
atunci când o autoritate competentă din Uruguay a stabilit că destinatarul încalcă standardele de protecție aplicabile; sau
(b)
când există o probabilitate semnificativă că standardele de protecție sunt încălcate, atunci când există temeiuri rezonabile pentru a crede că autoritatea competentă din Uruguay competentă nu ia sau nu va lua măsurile adecvate în timp util pentru a soluționa situația dată, continuarea transferului de date ar crea un risc iminent de a afecta în mod grav persoanele vizate și atunci când autoritățile competente din statele membre au făcut eforturi rezonabile în circumstanțele date de a notifica partea responsabilă cu prelucrarea datelor din Republica Orientală a Uruguayului și de a îi oferi posibilitatea de a răspunde.
(2) Suspendarea încetează imediat ce standardele de protecție sunt asigurate, iar autoritatea competentă în cauză din statele membre este notificată în acest sens.
Articolul 3
(1) Statele membre informează fără întârziere Comisia atunci când se adoptă măsuri în temeiul articolului 2.
(2) Statele membre și Comisia se informează reciproc cu privire la cazurile în care măsurile luate de organismele responsabile cu asigurarea respectării standardelor de protecție în Republica Orientală a Uruguayului nu asigură această respectare.
(3) În cazul în care informațiile colectate în temeiul articolului 2 și al alineatelor (1) și (2) din prezentul articol furnizează dovezi că un organism însărcinat cu asigurarea respectării standardelor de protecție în Republica Orientală a Uruguayului nu își îndeplinește eficient rolul, Comisia informează autoritatea uruguayană competentă și, dacă este necesar, prezintă un proiect de măsuri în conformitate cu procedura prevăzută la articolul 31 alineatul (2) din Directiva 95/46/CE în vederea abrogării sau suspendării prezentei decizii ori a limitării domeniului de aplicare al acesteia.
Articolul 4
Comisia monitorizează aplicarea prezentei decizii și raportează toate constatările pertinente Comitetului instituit în temeiul articolului 31 din Decizia 95/46/CE, inclusiv orice dovadă care ar putea afecta constatarea menționată în articolul 1 din prezenta decizie, conform căreia protecția datelor în Republica Orientală a Uruguayului este adecvată în sensul articolului 25 din Directiva 95/46/CE, precum și orice dovadă că prezenta decizie este aplicată în mod discriminatoriu.
Articolul 5
Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii în termen de 3 luni de la data notificării acesteia.
Articolul 6
Prezenta decizie se adresează statelor membre.
Adoptată la Bruxelles, 21 august 2012.