KOMMISSIONENS GENNEMFØRELSESAFGØRELSE
af 21. august 2012
i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om, hvorvidt Den Østlige Republik Uruguay yder en tilstrækkelig beskyttelse af personoplysninger i forbindelse med automatisk behandling af personoplysninger
(meddelt under nummer C(2012) 5704)
(EØS-relevant tekst)
(2012/484/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions Funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse (2), og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der videregives personoplysninger fra medlemsstaterne, uden at yderligere garantier er påkrævet.
(3)
Vurderingen af, om beskyttelsesniveauet for personoplysninger er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger og under hensyntagen til en række faktorer som anført i direktivets artikel 25, der er relevante for den pågældende videregivelse.
(4)
Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og vedtagelsen og gennemførelsen af afgørelser i henhold til artikel 25, stk. 6, i direktiv 95/46/EF skal på grund af tredjelandenes forskellige opfattelser af begrebet beskyttelse af personoplysninger foretages ud fra en række kriterier, der skal sikre, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor lignende forhold gør sig gældende, eller skabes skjulte handelshindringer under hensyntagen til Den Europæiske Unions nuværende internationale forpligtelser.
(5)
Den Østlige Republik Uruguays politiske forfatning, der blev vedtaget i 1967, omfatter ikke en udtrykkelig anerkendelse af retten til privatlivets fred og beskyttelse af personoplysninger. Fortegnelsen over de grundlæggende rettigheder udgør imidlertid ikke en lukket liste, da det i forfatningens artikel 72 fastsættes, at de i forfatningen anførte rettigheder, forpligtelser og garantier ikke udelukker andre, som er affødt af den menneskelige personlighed, eller som afledes fra den republikanske regeringsform. I artikel 1 i lov nr. 18.331 af 11. august 2008 om beskyttelse af personoplysninger og »habeas data«-retsmidlet (Ley No 18.331 de Protección de Datos Personales y Acción de »Habeas Data«) fastsættes det udtrykkeligt, at retten til beskyttelse af personoplysninger er iboende i mennesket, så denne er omfattet af artikel 72 i republikkens forfatning. I forfatningens artikel 332 fastsættes det, at de bestemmelser i forfatningen, som anerkender fysiske personers rettigheder, og de bestemmelser, der giver offentlige myndigheder rettigheder og pålægger dem forpligtelser, også finder anvendelse, selv om der ikke findes en specifik gennemførelsesforordning; i så tilfælde finder de bagved liggende principper i lignende love, de generelle retsprincipper og generelt accepterede doktriner anvendelse.
(6)
Retsreglerne for beskyttelse af personoplysninger i Den Østlige Republik Uruguay er i vid udstrækning baseret på reglerne i direktiv 95/46/EF og er fastsat i lov nr. 18.331 af 11. august 2008 om beskyttelse af personoplysninger og »habeas data«-retsmidlet (Ley No 18.331 de Protección de Datos Personales y Acción de »Habeas Data«). De omfatter fysiske og juridiske personer.
(7)
Loven suppleres desuden af dekret nr. 414/009 af 31. august 2009, der blev vedtaget for at præcisere en række aspekter af loven og fastsætte detaljerede regler for datatilsynsmyndighedens organisation, beføjelser og funktion. I dekretets præambel fastsættes det, at det nationale retssystem på dette område bør tilpasses det mest accepterede, sammenlignelige retssystem, dvs. grundlæggende det niveau, der er indført i de europæiske lande med Europa-Parlamentet og Rådets direktiv 95/46/EF.
(8)
Bestemmelserne om databeskyttelse er også indeholdt i en række særlove om oprettelse og regulering af databaser, nemlig love om regulering af visse offentlige registre (offentlige dokumenter, industriel ejendomsret og varemærker, personlige dokumenter, fast ejendom, minedrift eller kreditoplysninger). Lov nr. 18.331 finder desuden anvendelse på disse dokumenter i forbindelse med forhold, der ikke er reguleret ved disse specifikke retsinstrumenter, jf. forfatningens artikel 332.
(9)
De gældende retsregler om databeskyttelse i Den Østlige Republik Uruguay indeholder alle de grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, og de indeholder også en række undtagelser og begrænsninger med henblik på at beskytte vigtige offentlige interesser. Disse retsregler om databeskyttelse og undtagelserne afspejler de principper, der er fastsat i direktiv 95/46/EF.
(10)
Anvendelsen af disse retsregler om databeskyttelse sikres gennem adgangen til domstolsprøvelse og administrative klagemuligheder, navnlig »habeas data«-retsmidlet, som giver den registrerede mulighed for at indbringe den registeransvarlige for retten for at håndhæve førstnævntes ret til indsigt i og berigtigelse og sletning af oplysninger, og ved den uafhængige kontrol, der foretages af tilsynsmyndigheden, enheden for regulering af og tilsyn med personoplysninger (Unidad Reguladora y de Control de Datos Personales (URCDP)), som har både undersøgelses- og interventionsbeføjelser i overensstemmelse med artikel 28 i direktiv 95/46/EF, og som fungerer i fuld uafhængighed. Desuden har enhver berørt part ret til at indgive søgsmål til domstolene med henblik på skadeserstatning som følge af ulovlig behandling af den pågældendes personoplysninger.
(11)
Databeskyttelsesmyndighederne i Uruguay har afgivet forklaringer og forsikringer med hensyn til fortolkningen af loven i Uruguay og har meddelt, at de uruguayske bestemmelser om databeskyttelse anvendes i overensstemmelse med denne fortolkning. Databeskyttelsesmyndighederne i Uruguay har bl.a. forklaret, at i henhold til forfatningens artikel 332 finder lov nr. 18.331 anvendelse i tillæg til særlove om oprettelse og regulering af særlige databaser med hensyn til de forhold, der ikke er reguleret af disse særlige retsinstrumenter. De har endvidere præciseret, at hvad angår de fortegnelser, som der henvises til i artikel 9, litra C), i lov nr. 18.331, og som ikke kræver den registreredes samtykke, for at der kan foretages databehandling, finder loven, nemlig proportionalitets- og finalitetsprincippet, også anvendelse på de registreredes rettigheder, og at de er omfattet af databeskyttelsesmyndighedens kontrol. Hvad angår princippet om gennemsigtighed har databeskyttelsesmyndighederne i Uruguay meddelt, at den registrerede i alle tilfælde skal have de nødvendige oplysninger. Hvad angår retten til aktindsigt, har databeskyttelsesmyndigheden præciseret, at det er tilstrækkeligt, at den registrerede på anmodning fremviser dokumentation for sin identitet. Databeskyttelsesmyndighederne i Uruguay har præciseret, at undtagelserne i forbindelse med princippet om internationale videregivelser af oplysninger som fastsat i artikel 23, stk. 1, i lov nr. 18.331 ikke kan tolkes således, at det finder bredere anvendelse end artikel 26, stk. 2, i direktiv 95/46/EF.
(12)
I denne afgørelse tages der hensyn til disse forklaringer og forsikringer, og afgørelsen er baseret på dem.
(13)
Den Østlige Republik Uruguay er også part i den amerikanske menneskerettighedskonvention af 22. november 1969 (»San José de Costa Rica-pagten«), som trådte i kraft den 18. juli 1978 (3). I denne konventions artikel 11 fastsættes retten til privatlivets fred, og i artikel 30 fastsættes det, at de begrænsninger, der i henhold til konventionen kan indføres i nydelsen eller udøvelsen af de rettigheder eller friheder, der anerkendes i konventionen, ikke kan finde anvendelse undtagen i henhold til love, der vedtages af almene hensyn og i overensstemmelse med formålet med indførelsen af begrænsningerne (artikel 30). Den Østlige Republik Uruguay har desuden accepteret Den Interamerikanske Menneskerettighedsdomstols jurisdiktion. På det 1118. møde i Europarådets viceministerudvalg den 6. juli 2011 opfordrede viceministrene desuden Den Østlige Republik Uruguay til at tiltræde konventionen om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (ETS nr. 108) og tillægsprotokollen hertil (ETS nr. 118), efter at det relevante rådgivende udvalg havde afgivet en positiv udtalelse herom (4).
(14)
Den Østlige Republik Uruguay bør derfor betragtes som værende i stand til at sikre et tilstrækkeligt databeskyttelsesniveau i henhold til direktiv 95/46/EF.
(15)
Denne afgørelse vedrører tilstrækkeligheden af den beskyttelse, som Den Østlige Republik Uruguay kan give med henblik på at opfylde kravene i artikel 25, stk. 1, i direktiv 95/46/EF. Den har ingen indvirkning på andre betingelser eller begrænsninger, der finder anvendelse ved gennemførelsen af andre bestemmelser i dette direktiv om behandling af personoplysninger i medlemsstaterne.
(16)
Af hensyn til åbenheden og for at sikre medlemsstaternes ansvarlige myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger, uanset om det konstateres, at beskyttelsen er tilstrækkelig.
(17)
Kommissionen bør overvåge, hvordan afgørelsen fungerer, og rapportere alle relevante resultater til det udvalg, der er oprettet i henhold til artikel 31 i direktiv 95/46/EF. Denne overvågning bør bl.a. omfatte Den Østlige Republik Uruguays ordning for videregivelse af oplysninger inden for rammerne af internationale traktater.
(18)
Gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet positiv udtalelse om tilstrækkeligheden af beskyttelsesniveauet, som er taget i betragtning ved gennemførelsen af denne afgørelse (5).
(19)
Foranstaltningerne i denne afgørelse er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31, stk. 1, i direktiv 95/46/EF -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
1. For så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF, anses Den Østlige Republik Uruguay for at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der videregives fra Den Europæiske Union.
2. Den ansvarlige tilsynsmyndighed, der i Den Østlige Republik Uruguay har ansvaret for anvendelsen af retsreglerne om databeskyttelse i Den Østlige Republik Uruguay, er anført i bilaget til denne afgørelse.
Artikel 2
1. De ansvarlige myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overensstemmelse med nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere den fortsatte videregivelse af oplysninger til en modtager i Den Østlige Republik Uruguay for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger,
a)
når en ansvarlig myndighed i Uruguay fastslår, at den pågældende modtager overtræder de gældende beskyttelsesprincipper, eller
b)
når der er væsentlig sandsynlighed for, at beskyttelsesnormerne overtrædes; når der er grund til at antage, at den ansvarlige myndighed i Uruguay ikke tager eller ikke agter at tage passende og rettidige skridt for at bringe forholdet i orden; når en videre overførsel af personoplysninger vil kunne skabe overhængende risiko for alvorlig skade for de registrerede; og når de ansvarlige myndigheder i medlemsstaterne, forholdene taget i betragtning, på passende vis har søgt at underrette den person, der er ansvarlig for behandlingen af oplysningerne i Den Østlige Republik Uruguay, og give vedkommende mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesprincipperne overholdes, og den ansvarlige myndighed i de berørte medlemsstater underrettes herom.
Artikel 3
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 2.
2. Medlemsstaterne og Kommissionen underretter hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af beskyttelsesnormerne i Den Østlige Republik Uruguay, ikke sikrer denne overholdelse.
3. Fremgår det af de oplysninger, der indhentes i medfør af artikel 2, og stk. 1 og 2 i denne artikel, at et organ, der har ansvaret for at sikre, at beskyttelsesnormerne i Den Østlige Republik Uruguay overholdes, ikke varetager sin opgave korrekt, underretter Kommissionen den ansvarlige myndighed i Uruguay herom og forelægger om nødvendigt et udkast til foranstaltninger på grundlag af proceduren i artikel 31, stk. 2, i direktiv 95/46/EF med henblik på at ophæve eller suspendere nærværende afgørelse eller begrænse dens anvendelsesområde.
Artikel 4
Kommissionen foretager en evaluering af anvendelsen af denne afgørelse og fremsender alt relevant materiale til det udvalg, der er nedsat i henhold til artikel 31 i direktiv 95/46/EF, herunder materiale, der kan påvirke den vurdering, der foretages i henhold til artikel 1 i denne afgørelse, om, at beskyttelsen i Den Østlige Republik Uruguay er tilstrækkelig i henhold til artikel 25 i direktiv 95/46/EF, samt materiale, der viser, at afgørelsen gennemføres på diskriminerende måde.
Artikel 5
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne afgørelse senest tre måneder efter at have fået meddelelse herom.
Artikel 6
Denne afgørelse er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 21. august 2012.
PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.