PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
UITVOERINGSBESLUIT VAN DE COMMISSIE
van 21 augustus 2012
overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad, over de passende bescherming van persoonsgegevens door de Republiek ten oosten van de Uruguay wat de geautomatiseerde verwerking van persoonsgegevens betreft
(Kennisgeving geschied onder nummer C(2012) 5704)
(Voor de EER relevante tekst)
(2012/484/EU)
DE EUROPESE COMMISSIE,
Gezien het Verdrag betreffende de werking van de Europese Unie,
Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), en met name artikel 25, lid 6,
Na raadpleging van de Europese Toezichthouder voor gegevensbescherming (2),
Overwegende hetgeen volgt:
(1)
Overeenkomstig Richtlijn 95/46/EG dienen de lidstaten te bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaten die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.
(2)
De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties vanuit de lidstaten worden doorgegeven.
(3)
Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt en dient in het bijzonder rekening te worden gehouden met een aantal elementen die van belang zijn voor de doorgifte en die in artikel 25 van de richtlijn zijn opgenomen.
(4)
Gezien de verschillende benaderingen van gegevensbescherming in derde landen dient het beschermingsniveau te worden beoordeeld en dienen besluiten op grond van artikel 25, lid 6, van Richtlijn 95/46/EG te worden vastgesteld en uitgevoerd op een wijze die geen willekeurige of onterechte discriminatie inhoudt tegen of tussen derde landen waar gelijksoortige voorwaarden gelden, noch een verkapte handelsbelemmering, rekening houdend met de geldende internationale verbintenissen van de Europese Unie.
(5)
In de grondwet van de Republiek ten oosten van de Uruguay, die sinds 1967 van kracht is, wordt het recht op bescherming van de persoonlijke levenssfeer en persoonsgegevens niet uitdrukkelijk erkend. De lijst van grondrechten is echter niet limitatief, aangezien overeenkomstig artikel 72 de vermelding van rechten, verplichtingen en garanties in de grondwet geen uitsluiting betekent van andere die inherent zijn aan de menselijke persoonlijkheid of die voortvloeien uit de republikeinse staatsvorm. In artikel 1 van Wet nr. 18.331 inzake de bescherming van persoonsgegevens en de habeas data-actie van 11 augustus 2008 staat uitdrukkelijk dat het recht op bescherming van persoonsgegevens inherent is aan de mens en derhalve onder artikel 72 van de grondwet van de Republiek valt. Volgens artikel 332 van de grondwet mag het ontbreken van specifieke regelgeving geen afbreuk doen aan de toepassing van de grondwettelijke bepalingen inzake de rechten van natuurlijke personen en betreffende de rechten en plichten van de autoriteiten; voor de toepassing dient te worden teruggegrepen op de onderliggende beginselen van soortgelijke wetten, de algemene rechtsbeginselen en algemeen aanvaarde uitgangspunten.
(6)
De rechtsnormen voor de bescherming van persoonsgegevens in de Republiek ten oosten van de Uruguay zijn grotendeels gebaseerd op de in Richtlijn 95/46/EG vervatte normen en zijn vastgelegd in Wet nr. 18.331 inzake de bescherming van persoonsgegevens en de habeas data-actie (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) van 11 augustus 2008. Deze wet geldt voor natuurlijke personen en rechtspersonen.
(7)
Deze wet wordt aangevuld door Besluit nr. 414/009 van 31 augustus 2009, dat is vastgesteld om de wet op verschillende punten te verduidelijken en de organisatie, bevoegdheden en werking van de toezichthoudende autoriteit voor gegevensbescherming nader te regelen. In de preambule van dit besluit wordt gesteld dat het wenselijk is de nationale rechtsorde op dit punt aan te passen aan de meest algemeen aanvaarde vergelijkbare wettelijke regeling, namelijk die welke door de Europese landen is ingesteld bij Richtlijn 95/46/EG.
(8)
Voorts zijn er gegevensbeschermingsbepalingen opgenomen in een aantal bijzondere wetten waarbij gegevensbanken worden opgezet en gereguleerd, namelijk wetten betreffende openbare registers (openbare akten, industriële eigendom en handelsmerken, persoonlijke akten, onroerend goed, mijnbouw of kredietregistratie). Overeenkomstig artikel 332 van de grondwet geldt Wet nr. 18.331 aanvullend voor zaken die niet onder specifieke wetgeving vallen.
(9)
De rechtsnormen voor de bescherming van persoonsgegevens in de Republiek ten oosten van de Uruguay omvatten alle basisbeginselen die noodzakelijk zijn voor een passend beschermingsniveau voor natuurlijke personen en voorzien tevens in de nodige uitzonderingen en beperkingen voor de bescherming van zwaarwegende algemene belangen. Deze rechtsnormen voor gegevensbescherming en de uitzonderingen weerspiegelen de beginselen vervat in Richtlijn 95/46/EG.
(10)
De toepassing van de rechtsnormen voor gegevensbescherming wordt gewaarborgd door bestuurlijke en rechtsmiddelen, in het bijzonder door de habeas data-maatregel, op grond waarvan een betrokkene de voor de verwerking verantwoordelijke voor het gerecht kan dagen om zijn recht van toegang, rectificatie en verwijdering af te dwingen, en door onafhankelijk toezicht door de toezichthoudende autoriteit, de Eenheid voor toezicht en controle op persoonsgegevens (Unidad Reguladora y de Control de Datos Personales, URCDP), die in overeenstemming met artikel 28 van Richtlijn 95/46/EG bevoegd is om onderzoek te verrichten, in te grijpen en sancties te treffen en die volledig onafhankelijk optreedt. Bovendien heeft iedere belanghebbende het recht om bij een rechterlijke instantie beroep in te stellen teneinde schadevergoeding te verkrijgen voor onrechtmatige verwerking van zijn persoonsgegevens.
(11)
De Uruguayaanse autoriteiten voor gegevensbescherming hebben verduidelijkingen en waarborgen inzake de interpretatie van de Uruguayaanse wetgeving verschaft en de verzekering gegeven dat de Uruguayaanse normen inzake gegevensbescherming overeenkomstig deze interpretatie worden uitgevoerd. De Uruguayaanse gegevensbeschermingsautoriteiten hebben met name uitgelegd dat Wet nr. 18.331 overeenkomstig artikel 332 van de grondwet aanvullend geldt voor zaken die niet onder specifieke wetgeving vallen waarbij gegevensbanken worden opgezet en gereguleerd. Voorts hebben zij uitgelegd dat de wet ook geldt voor de lijsten van artikel 9C van Wet nr. 18.331, betreffende verwerking waarvoor geen toestemming van de betrokkene nodig is; hierbij gaat het om de beginselen van evenredigheid en doelbinding, de rechten van betrokkenen en het toezicht hierop door de gegevensbeschermingsautoriteit. Wat het transparantiebeginsel betreft, hebben de Uruguayaanse gegevensbeschermingsautoriteiten laten weten dat de verplichting om de betrokkene de nodige informatie te verstrekken in alle gevallen geldt. Wat het recht van toegang betreft, heeft de gegevensbeschermingsautoriteit uitgelegd dat een betrokkene voor het indienen van een verzoek alleen het bewijs hoeft te leveren van zijn identiteit. De Uruguayaanse gegevensbeschermingsautoriteiten hebben verklaard dat de uitzonderingen in verband met het beginsel van internationale doorgiften die zijn vastgelegd in artikel 23, lid 1, van Wet nr. 18.331 niet kunnen aldus kunnen worden opgevat dat zij breder van toepassing zijn dan die van artikel 26, lid 1, van Richtlijn 95/46/EG.
(12)
Deze verduidelijkingen en waarborgen zijn in aanmerking genomen bij het opstellen van dit besluit en zij liggen eraan ten grondslag.
(13)
De Republiek ten oosten van de Uruguay is ook partij bij het Amerikaans Verdrag inzake de rechten van de mens (Verdrag van San José) van 22 november 1969, dat van kracht is sinds 18 juli 1978 (3). In artikel 11 van dat verdrag is het recht op bescherming van de persoonlijke levenssfeer vastgelegd, terwijl artikel 30 bepaalt welke beperkingen die krachtens het verdrag kunnen worden gesteld aan het genieten of uitoefenen van de bij het verdrag erkende rechten of vrijheden alleen kunnen worden toegepast als zulks in overeenstemming is met wetten die om redenen van algemeen belang zijn vastgesteld en met het doel waarvoor dergelijke beperkingen zijn vastgesteld (artikel 30). Bovendien heeft de Republiek ten oosten van de Uruguay de bevoegdheid van het Interamerikaanse Hof voor de rechten van de mens aanvaard. Verder hebben de afgevaardigden van de ministers van de Raad van Europa op hun 1118e vergadering, van 6 juli 2011, de Republiek ten oosten van de Uruguay uitgenodigd om toe te treden tot het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (ETS nr. 108) en het aanvullende protocol daarbij (ETS nr. 118) na een gunstig advies van het betrokken raadgevend comité (4).
(14)
Gezien het bovenstaande dient te worden aangenomen dat de Republiek ten oosten van de Uruguay een passend beschermingsniveau voor persoonsgegevens waarborgt, als bedoeld in Richtlijn 95/46/EG.
(15)
Dit besluit dient betrekking te hebben op de vraag of de bescherming die in de Republiek ten oosten van de Uruguay wordt geboden, passend is in de zin van artikel 25, lid 1, van Richtlijn 95/46/EG. Het besluit dient andere voorwaarden of beperkingen die tot uitvoering van andere bepalingen van die richtlijn strekken en betrekking hebben op de verwerking van persoonsgegevens in de lidstaten, onverlet te laten.
(16)
In het belang van de transparantie en om de bevoegde autoriteiten in de lidstaten in staat te stellen de bescherming van personen in verband met de verwerking van hun persoonsgegevens te waarborgen, moet nader worden geregeld in welke buitengewone omstandigheden de doorgifte van gegevens toch kan worden opgeschort, ook al is een passend beschermingsniveau vastgesteld.
(17)
De Commissie dient de werking van dit besluit te evalueren en alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee te delen. Deze evaluatie dient onder meer betrekking te hebben op de regeling van de Republiek ten oosten van de Uruguay voor doorgiften in het kader van internationale verdragen.
(18)
De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft over het niveau van de bescherming van persoonsgegevens een gunstig advies uitgebracht, waarmee bij de opstelling van dit besluit rekening is gehouden (5).
(19)
De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31, lid 1, van Richtlijn 95/46/EG ingestelde comité,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
1. Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG wordt de Republiek ten oosten van de Uruguay geacht een passend beschermingsniveau te waarborgen voor vanuit de Europese Unie doorgegeven persoonsgegevens.
2. De bevoegde autoriteit van de Republiek ten oosten van de Uruguay voor de toepassing van de wettelijke normen inzake gegevensbescherming in de Republiek ten oosten van de Uruguay wordt genoemd in de bijlage bij dit besluit.
Artikel 2
1. In onderstaande gevallen kunnen de bevoegde autoriteiten in de lidstaten gebruikmaken van hun bestaande bevoegdheden om gegevensstromen naar een ontvanger in de Republiek ten oosten van de Uruguay te onderbreken, teneinde personen ten aanzien van de verwerking van hun persoonsgegevens te beschermen, onverminderd de bevoegdheid van die autoriteiten om maatregelen te nemen voor de naleving van nationale bepalingen die zijn goedgekeurd ingevolge andere bepalingen dan artikel 25 van Richtlijn 95/46/EG:
a)
indien een bevoegde Uruguayaanse autoriteit tot de conclusie is gekomen dat de ontvanger in strijd met de toepasselijke normen voor gegevensbescherming handelt, of
b)
indien het zeer waarschijnlijk is dat niet aan de normen voor gegevensbescherming wordt voldaan, er goede redenen zijn om aan te nemen dat de bevoegde Uruguayaanse autoriteit niet tijdig passende maatregelen neemt of zal nemen om het probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade aan de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat gedaan hebben wat in de gegeven omstandigheden redelijkerwijs mogelijk is om de in de Republiek ten oosten van de Uruguay gevestigde organisatie die voor de verwerking verantwoordelijk is in kennis te stellen en de gelegenheid te geven te reageren.
2. De opschortende maatregel blijft van kracht tot vaststaat dat de beschermingsnormen worden nageleefd en de bevoegde autoriteit van de betrokken lidstaat of lidstaten hiervan in kennis is gesteld.
Artikel 3
1. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van artikel 2 maatregelen worden genomen.
2. De lidstaten en de Commissie stellen elkaar in kennis van de gevallen waarin de instanties die in de Republiek ten oosten van de Uruguay verantwoordelijk zijn voor de naleving van de beschermingsnormen niet in staat zijn deze naleving te garanderen.
3. Wanneer uit de overeenkomstig artikel 2 en de leden 1 en 2 van dit artikel verzamelde informatie mocht blijken dat een instantie die verantwoordelijk is voor de naleving van de beschermingsnormen in de Republiek ten oosten van de Uruguay haar taak niet naar behoren vervult, stelt de Commissie de bevoegde Uruguayaanse autoriteit hiervan in kennis en stelt zij zo nodig, volgens de procedure van artikel 31, lid 2, van Richtlijn 95/46/EG, ontwerpmaatregelen voor om dit besluit in te trekken of op te schorten dan wel het toepassingsgebied ervan te beperken.
Artikel 4
De Commissie evalueert de werking van dit besluit en deelt alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee, met inbegrip van alle gegevens die van invloed kunnen zijn op de vaststelling in artikel 1 van dit besluit dat het beschermingsniveau in de Republiek ten oosten van de Uruguay passend is in de zin van artikel 25 van Richtlijn 95/46/EG, alsmede, wanneer dit besluit op discriminerende wijze wordt uitgevoerd, alle gegevens waaruit dat blijkt.
Artikel 5
De lidstaten nemen alle nodige maatregelen om aan dit besluit te voldoen binnen drie maanden na de kennisgeving ervan.
Artikel 6
Dit besluit is gericht tot de lidstaten.
Gedaan te Brussel, 21 augustus 2012.