РЕШЕНИЕ ЗА ИЗПЪЛНЕНИЕ НА КОМИСИЯТА
от 21 август 2012 година
съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно достатъчната степен на защита на личните данни от страна на Източна република Уругвай във връзка с автоматизираното обработване на лични данни
(нотифицирано под номер C(2012) 5704)
(текст от значение за ЕИП)
(2012/484/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,
след консултация с Европейския надзорен орган по защита на данните (2),
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО от държавите членки се изисква да предвидят, че предаването на лични данни към трета страна може да се извършва само ако въпросната трета страна осигурява достатъчна степен на защита и ако законодателствата на държавите членки по прилагане на други разпоредби от директивата бъдат спазени преди осъществяването на предаването.
(2)
Комисията може да установи, че третата страна осигурява достатъчна степен на защита. В такъв случай държавите членки могат да предават лични данни, без да са необходими допълнителни гаранции.
(3)
Директива 95/46/ЕО изисква степента на защита на данните да бъде преценявана с оглед на всички обстоятелства, свързани с дадена операция по предаване на данни или набор от операции по предаване на данни, като се отчитат по-специално редица елементи, свързани с предаването и изброени в член 25 от нея.
(4)
Поради съществуващите различни подходи в третите страни по отношение на защитата на данните, е необходимо да се извърши оценка за адекватност и всяко решение, основаващо се на член 25, параграф 6 от Директива 95/46/ЕО, следва да бъде взето и изпълнено по начин, който не води до произволна или необоснована дискриминация по отношение на трети страни или между трети страни, в които съществуват сходни условия, нито представлява скрита пречка за търговията съгласно действащите международни ангажименти на Европейския съюз.
(5)
В Политическата конституция на Източна република Уругвай, приета през 1967 г., не се признава изрично правото на неприкосновеност на личния живот и на защита на личните данни. Списъкът на основните права обаче не е изчерпателен, тъй като в член 72 от Конституцията се предвижда, че изброяването на правата, задълженията и гаранциите в Конституцията не изключва други такива, които са присъщи на човешката личност или които произтичат от републиканската форма на управление. В член 1 от Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y Acción de „habeas data“) изрично се предвижда, че „правото на защита на личните данни е присъщо на човека и следователно е включено в член 72 от Конституцията на републиката“. В член 332 от Конституцията се предвижда, че прилагането на разпоредбите на Конституцията, с които се признават права на лицата, както и на тези, с които се предоставят права и се вменяват задължения на публични органи, не може да бъде възпрепятствано от отсъствието на конкретни разпоредби по прилагането им; вместо това то се основава, чрез прибягване до основните принципи на подобни закони, на общите принципи на правото и общоприетите доктрини.
(6)
Правните норми за защита на личните данни в Източна република Уругвай се основават до голяма степен на нормите, установени в Директива 95/46/ЕО, и са залегнали в Закон № 18.331 от 11 август 2008 г. относно защитата на личните данни и иска habeas data (Ley № 18.331 de Protección de datos personales y de Acción de „habeas data“). Той обхваща както физическите, така и юридическите лица.
(7)
Този закон е допълнен от Указ № 414/009 от 31 август 2009 г., приет с цел изясняване на някои аспекти на Закона и подробно уреждане на организацията, правомощията и функционирането на надзорния орган по защита на данните. В преамбюла на Указа се посочва, че е уместно националната правна система по този въпрос да се приравни към най-широко приетия сравним правен режим - основно режима, установен от европейските държави по силата на Директива 95/46/ЕО.
(8)
Разпоредби за защита на данните се съдържат също и в редица специални закони, които създават и уреждат бази данни, като например законите, регламентиращи някои публични регистри (публични актове, индустриална собственост и търговски марки, лични актове, актове за недвижима собственост, разрешителни за миннодобивни работи и информация за кредитния статус). Съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към тези актове във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти.
(9)
Правните норми за защита на данните, които се прилагат в Източна република Уругвай, обхващат всички основни принципи, необходими за осигуряване на достатъчна степен на защита на физическите лица, като едновременно с това в тях се предвиждат изключения и ограничения с цел защита на важни обществени интереси. Тези правни норми за защита на данните и изключенията отразяват принципите, установени в Директива 95/46/ЕО.
(10)
Прилагането на правните норми за защита на данните се гарантира чрез административни и съдебни средства за защита, по-специално чрез иска habeas data, който дава възможност на субекта на данни да подаде съдебен иск срещу администратора на данни, за да предяви правото си на достъп, коригиране и заличаване, както и чрез независимия надзор, осъществяван от надзорния орган - Регулаторния орган за контрол на личните данни (Unidad Reguladora y de Control de Datos Personales (URCDP), който разполага с правомощия за разследване, намеса и налагане на административни наказания в съответствие с разпоредбите на член 28 от Директива 95/46/ЕО, като този орган действа напълно независимо. Освен това всяка заинтересована страна има право да търси защита по съдебен ред чрез иск за обезщетение за вреди, претърпени в резултат на незаконно обработване на личните ѝ данни.
(11)
Уругвайските органи за защита на данните предоставиха обяснения и уверения относно начина, по който трябва да се тълкува уругвайското право, като също така дадоха уверения, че уругвайското законодателство за защита на данните се прилага в съответствие с това тълкуване. По-специално уругвайските органи за защита на данните поясниха, че съгласно член 332 от Конституцията Закон № 18.331 се прилага субсидиарно към специалните закони, които създават и уреждат специфични бази данни, във връзка с въпросите, които не са уредени от горепосочените специални правни инструменти. Те също така уточниха, че Законът се прилага и по отношение на списъците, посочени в член 9, буква C) от Закон № 18.331, за чието обработване не се изисква съгласието на субекта на данни, като става въпрос по-специално за принципите на пропорционалност и окончателност, правата на субектите на данни и това, че те подлежат на надзор от страна на органа за защита на данните. По отношение на принципа на прозрачност уругвайските органи за защита на данните информираха, че задължението за осигуряване на необходимата информация на субекта на данни се прилага във всички случаи. По отношение на правото на достъп органът за защита на данните поясни, че при отправянето на искане e достатъчно субектът на данни да докаже своята самоличност. Уругвайските органи за защита на данните поясниха, че изключенията, свързани с принципа за международното предаване, предвидени в член 23, параграф 1 от Закон № 18.331, не може да се тълкуват като имащи по-широко приложно поле от тези по член 26, параграф 1 от Директива 95/46/ЕО.
(12)
Настоящото решение взема предвид тези обяснения и уверения и се основава на тях.
(13)
Източна република Уругвай е страна и по Американската конвенция за правата на човека (Пактът от Сан Хосе, Коста Рика) от 22 ноември 1969 г., която е в сила от 18 юли 1978 г. (3) В член 11 от тази конвенция се урежда правото на неприкосновеност на личния живот, а в член 30 се посочва, че ограниченията, които в съответствие с тази конвенция може да се налагат при ползването или упражняването на правата или свободите, признати от Конвенцията, може да се прилагат само по силата на закони, приети поради съображения от общ интерес, и в съответствие с целите, за които са установени такива ограничения (член 30). Освен това Източна република Уругвай признава компетентността на Интерамериканския съд по правата на човека. Освен това на 1118-ото заседание на заместник-министрите на Съвета на Европа, проведено на 6 юли 2011 г., заместник-министрите поканиха Източна република Уругвай да се присъедини към Конвенцията за защита на лицата при автоматизираната обработка на лични данни (ETS № 108) и към нейния допълнителен протокол (ETS № 118), след издаването на положително становище от страна на съответния консултативен комитет (4).
(14)
С оглед на това следва да се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни съгласно Директива 95/46/ЕО.
(15)
Настоящото решение се отнася до адекватността на защитата, осигурена в Източна република Уругвай с оглед на спазването на изискванията на член 25, параграф 1 от Директива 95/46/ЕО. То не следва да се отразява върху други условия или ограничения, които водят до прилагането на други разпоредби на посочената директива, отнасящи се до обработването на лични данни на територията на държавите членки.
(16)
В интерес на прозрачността, а и за да се защити възможността на компетентните органи в държавите членки да осигурят защита на лицата по отношение на обработването на техните лични данни, е необходимо да се укажат извънредните обстоятелства, при които спирането на определени потоци от данни може да бъде оправдано, въпреки констатирането на достатъчна защита.
(17)
Комисията следва да наблюдава прилагането на решението и да докладва всички релевантни констатации на комитета, учреден съгласно член 31 от Директива 95/46/ЕО. Това наблюдение следва да обхваща, inter alia, режима на Източна република Уругвай, приложим спрямо предаването на данни в рамките на международни договори.
(18)
Работната група за защита на лицата при обработването на лични данни, създадена съгласно член 29 от Директива 95/46/ЕО, представи положително становище относно степента на защита по отношение на личните данни. Това становище бе взето предвид при подготовката на настоящото решение (5).
(19)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, учреден съгласно член 31, параграф 1 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
1. За целите на член 25, параграф 2 от Директива 95/46/ЕО се счита, че Източна република Уругвай осигурява достатъчна степен на защита на личните данни, предавани от Европейския съюз.
2. Компетентният надзорен орган на Източна република Уругвай за прилагането на правните норми за защита на данните в Източна република Уругвай е посочен в приложението към настоящото решение.
Член 2
1. Без да се засягат правомощията, които им позволяват да предприемат необходимите мерки за осигуряване на спазването на националното законодателство, прието в съответствие с разпоредби, различни от член 25 от Директива 95/46/ЕО, компетентните органи на държавите членки могат да упражняват правата, с които разполагат понастоящем, за да спрат потоците от данни към получател на територията на Източна република Уругвай с цел защита на лица по отношение на обработването на техните лични данни в следните случаи:
а)
когато компетентен уругвайски орган е установил, че получателят нарушава приложимите норми за защита; или
б)
когато е налице голяма вероятност нормите за защита да бъдат нарушени, има основателни причини да се смята, че компетентният уругвайски орган не взема или няма да вземе подходящи и навременни мерки за разрешаване на въпросния случай, продължаването на предаването би довело до неизбежен риск от сериозно увреждане на субектите на данни и при тези обстоятелства компетентните органи на държавата членка са положили разумни усилия да предупредят отговарящата за обработването страна, установена в Източна република Уругвай, и да ѝ дадат възможност за отговор.
2. Спирането престава да действа веднага щом се осигурят нормите за защита и компетентният орган в съответните държави членки бъде уведомен за това.
Член 3
1. Държавите членки уведомяват незабавно Комисията, когато приемат мерки на основание член 2.
2. Държавите членки и Комисията се уведомяват взаимно за случаите, при които с действията си органите, отговорни за осигуряване на спазването на нормите за защита в Източна република Уругвай, не осигуряват тяхното спазване.
3. Ако информацията, събрана по силата на член 2 и на параграфи 1 и 2 от настоящия член, показва, че даден орган, отговорен да осигури спазването на нормите за защита в Източна република Уругвай, не изпълнява ефективно своята задача, Комисията уведомява за това компетентния уругвайски орган и ако е необходимо, представя проекти за мерки в съответствие с процедурата, посочена в член 31, параграф 2 от Директива 95/46/ЕО, с цел отмяна на настоящото решение, спиране на действието му или ограничаване на неговото приложно поле.
Член 4
Комисията наблюдава изпълнението на настоящото решение и докладва съответните констатации на комитета, учреден по силата на член 31 от Директива 95/46/ЕО, включително всяко сведение, което може да има отражение върху констатацията в член 1 от настоящото решение, че защитата в Източна република Уругвай е достатъчна по смисъла на член 25 от Директива 95/46/ЕО, както и всяко сведение, че настоящото решение се прилага по дискриминационен начин.
Член 5
Държавите членки предприемат всички необходими мерки, за да се съобразят с решението в срок от 3 месеца, считано от датата на уведомяването им.
Член 6
Адресати на настоящото решение са държавите членки.
Съставено в Брюксел на 21 август 2012 година.
A BIZOTTSÁG VÉGREHAJTÁSI HATÁROZATA
(2012. augusztus 21.)
a 95/46/EK európai parlamenti és tanácsi irányelv alapján a személyes adatoknak az Uruguayi Keleti Köztársaság által biztosított megfelelő védelméről a személyes adatok automatizált feldolgozása tekintetében
(az értesítés a C(2012) 5704. számú dokumentummal történt)
(EGT-vonatkozású szöveg)
(2012/484/EU)
AZ EURÓPAI BIZOTTSÁG,
tekintettel az Európai Unió működéséről szóló szerződésre,
tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 25. cikke (6) bekezdésére,
az európai adatvédelmi biztossal folytatott konzultációt követően (2),
mivel:
(1)
A 95/46/EK irányelv értelmében a tagállamoknak biztosítaniuk kell, hogy a személyes adatok harmadik országba történő továbbítására csak abban az esetben kerülhessen sor, ha az érintett harmadik állam gondoskodik a megfelelő szintű adatvédelemről, és az adatok továbbítását megelőzően eleget tesznek az irányelv egyéb rendelkezéseit végrehajtó tagállami jogszabályoknak.
(2)
A Bizottság megállapíthatja, hogy egy harmadik ország megfelelő védelmi szintet biztosít. Ebben az esetben a személyes adatokat a tagállamokból továbbítani lehet anélkül, hogy további garanciákra lenne szükség.
(3)
A 95/46/EK irányelv alapján az adatvédelem szintjét az adattovábbítási művelettel vagy műveletsorozattal kapcsolatos valamennyi körülmény fényében, valamint számos, az adattovábbítás szempontjából fontos és a 95/46/EK irányelv 25. cikkében felsorolt feltétel különös figyelembevételével kell értékelni.
(4)
Tekintettel a harmadik országokban az adatvédelem terén alkalmazott módszerek különbségeire, a megfelelőség értékelését olyan módon kell elvégezni, valamint a 95/46/EK irányelv 25. cikkének (6) bekezdésén alapuló bármely határozatot olyan módon kell meghozni és végrehajtani, hogy az ne jelentsen önkényes vagy indokolatlan megkülönböztetést azon harmadik országokkal szemben vagy harmadik országok között, amelyekben hasonló feltételek állnak fent, és ne képezzen rejtett kereskedelmi akadályt, tekintettel az Európai Unió jelenlegi nemzetközi kötelezettségeire is.
(5)
Az Uruguayi Keleti Köztársaság 1967-ben elfogadott Alkotmánya nem ismeri el kifejezetten a magánélethez és a személyes adatok védelméhez való jogokat. Ugyanakkor az alapvető emberi jogok felsorolása nem lezárt, mivel az Alkotmány 72. cikke úgy rendelkezik, hogy az Alkotmányban felsorolt jogok, kötelezettségek és garanciák nem zárnak ki egyéb, az emberi személyiség elidegeníthetetlen részét képező, vagy a köztársasági államformából következő jogokat. A személyes adatok védelméről és a „Habeas Data” intézkedésről szóló, 2008. augusztus 11-i 18.331 sz. törvény [Ley No 18.331 de Protección de Datos Personales y Acción de Habeas Data] 1. cikke kifejezetten megállapítja, hogy „a személyes adatok védelméhez való jog elidegeníthetetlen az embertől, ahogy az a Köztársaság Alkotmányának 72. cikkében is szerepel”. Az Alkotmány 332. cikke előírja, hogy az Alkotmány olyan előírásainak az alkalmazását, amelyek elismerik az egyének jogait, illetve amelyek jogokat biztosítanak az állami hatóságoknak, és ezekre kötelezettségeket rónak, nem akadályozhatja a külön szabályok hiánya; ilyen esetben ugyanis a hasonló jogszabályok mögöttes elvei, az általános jogelvek és az általánosan elfogadott doktrínák alkalmazandók.
(6)
Az Uruguayi Keleti Köztársaságban a személyes adatok védelmére vonatkozó jogi normák nagyrészt a 95/46/EK irányelvben kifejtett normákon alapulnak, és a személyes adatok védelméről és a „Habeas Data” intézkedésről szóló, 2008. augusztus 11-i 18.331 sz. törvény [Ley No 18.331 de Protección de Datos Personales y Acción de Habeas Data] határozza meg azokat. E jogszabály a természetes és a jogi személyekre is vonatkozik.
(7)
E törvényt a 2009. augusztus 31-i 414/09. sz. rendelet egészíti ki, amelyet annak érdekében fogadtak el, hogy tisztázza a törvény több vonatkozását, valamint megállapítsa az adatvédelmi felügyeleti hatóság szervezetére, hatáskörére és működésére vonatkozó részletes szabályokat. A rendelet preambuluma szerint helyénvaló a kérdésre vonatkozó nemzeti jogi előírások rendszerét a legelfogadottabb hasonló jogi rendszerhez, vagyis a 95/46/EK irányelv keretében létrehozott rendszerhez igazítani.
(8)
Számos adatbázisokat létrehozó és szabályozó különös jogi aktus - nevezetesen egyes állami nyilvántartásokat (közokiratok, ipari tulajdon és védjegyek, személyes okmányok, ingatlan, bányászat vagy hitelminősítés) szabályozó jogi aktusok - szintén tartalmaz adatvédelmi rendelkezéseket. Az Alkotmány 332. cikke értelmében a 18.331 törvény ezekre a jogi aktusokra is vonatkozik, azon kérdések tekintetében, amelyeket az említett különös jogi eszközök nem szabályoznak.
(9)
Az Uruguayi Keleti Köztársaságban alkalmazandó jogi adatvédelmi normák mindazokat az elveket tartalmazzák, amelyek a természetes személyek megfelelő szintű védelméhez szükségesek, és rendelkeznek a fontos közérdek védelmét szolgáló kivételekről és korlátozásokról is. Ezek az a jogi adatvédelmi normák és a kivételek tükrözik a 95/46/EK irányelvben megállapított elveket.
(10)
A jogi adatvédelmi normák alkalmazását közigazgatási és bírósági jogorvoslatok garantálják, különös tekintettel a „Habeas Data” intézkedésre, amely feljogosítja az érintettet, hogy betekintési, helyesbítési és törlési jogának érvényesítése érdekében bírósági eljárást kezdeményezzen az adatkezelővel szemben, továbbá a Személyes Adatok Szabályozásáért és Ellenőrzését Felelős Csoport (Unidad Reguladora y de Control de Datos Personales [URCDP] - a 95/46/EK irányelv 28. cikkének megfelelően vizsgálati, beavatkozási és szankcionálási jogkörrel rendelkező, és teljesen függetlenül eljáró felügyeleti hatóság - által biztosított független felügyeletre. Ezenfelül bármely érdekelt fél jogosult bírósági jogorvoslatért folyamodni a személyes adatainak jogellenes feldolgozása következtében okozott károkért.
(11)
Az uruguayi adatvédelmi hatóságok magyarázatokat és biztosítékokat nyújtottak arra vonatkozóan, hogyan kell az uruguayi jogot értelmezni, illetve biztosítékokat nyújtottak arra is, hogy az uruguayi adatvédelmi előírásokat ezen értelmezéseknek megfelelően hajtják végre. Az uruguayi adatvédelmi hatóságok kifejtették, hogy az Alkotmány 332. cikke értelmében a 18.331 törvény a különleges adatbázisokat létrehozó és szabályozó különös jogi aktusokra is vonatkozik azon kérdések tekintetében, amelyeket az említett különös jogi eszközök nem szabályoznak. Azt is egyértelművé tették a 18.331 törvény 9. cikkének C) pontjában található listák tekintetében, amelyek nem írják elő az érintett hozzájárulását a feldolgozáshoz, hogy a törvény - különösen az arányosság és a célhoz kötöttség elvei - az érintettek jogaira is vonatkozik, továbbá hogy az adatvédelmi hatóság felügyeli e jogok érvényesülését. Az átláthatóság elve tekintetében az urugayi adatvédelmi hatóságok arról tájékoztattak, hogy az érintett számára szükséges tájékoztatás nyújtására vonatkozó kötelezettség valamennyi esetben alkalmazandó. A betekintéshez való jog tekintetében az adatvédelmi hatóság tisztázta, hogy a kérelem benyújtásához elegendő, ha az érintett igazolja a személyazonosságát. Az uruguayi adatvédelmi hatóságok azt is egyértelművé tették, hogy a 18.331 törvény 23. cikkének (1) bekezdésében megállapított, a nemzetközi adattovábbítás elveire vonatkozó kivételek nem értelmezhetők oly módon, hogy a 95/46/EK irányelv 26. cikkének (1) bekezdésébe foglaltnál szélesebb körű alkalmazást tegyenek lehetővé.
(12)
Ez a határozat figyelembe veszi az említett magyarázatokat és biztosítékokat, és ezeken alapul.
(13)
Az Uruguayi Keleti Köztársaság részese az emberi jogok amerikai egyezményének is, amelyet 1969. november 22-én kötöttek meg, és 1978. július 18. óta van hatályban (3). Ezen egyezmény 11. cikke meghatározza a magánélethez való jogot, a 30. cikk pedig kimondja, hogy ezen egyezmény értelmében az egyezmény által elismert jogok, illetve szabadságok élvezetének vagy gyakorlásának korlátozásai kizárólag a közérdeket szolgáló okokból elfogadott jogszabályoknak megfelelően, és az ilyen korlátozások megállapításának céljával összhangban alkalmazhatók (30. cikk). Ezenfelül az Uruguayi Keleti Köztársaság elfogadta az Amerika-közi Emberi Jogi Bíróság joghatóságát. Továbbá az Európa Tanács miniszteri megbízottainak 2011. július 6-án tartott 1118. ülésén a megbízottak - a megfelelő tanácsadó bizottság kedvező véleményét követően - felkérték az Uruguayi Keleti Köztársaságot, hogy csatlakozzon a személyes adatok gépi feldolgozása során az egyének védelméről szóló egyezményhez (ETS 108. sz.), és annak kiegészítő jegyzőkönyvéhez (ETS 118. sz.) (4).
(14)
Ezért az Uruguayi Keleti Köztársaságot úgy kell tekinteni, mint amely biztosítja a személyes adatok megfelelő védelmét a 95/46/EK irányelv alapján.
(15)
E határozat abban a tekintetben vonatkozik az Uruguayi Keleti Köztársaságban biztosított védelem megfelelő szintjére, hogy az megfelel-e a 95/46/EK irányelv 25. cikke (1) bekezdése követelményeinek. A határozat nem érinti az ezen irányelvnek a tagállamokon belüli személyesadat-feldolgozásra vonatkozó rendelkezései végrehajtásának egyéb feltételeit és megkötéseit.
(16)
Az átláthatóság és annak érdekében, hogy a tagállamok illetékes hatóságai képesek legyenek a személyes adatok feldolgozása során a személyek védelmének biztosítására, a megfelelő védelem elismerésének sérelme nélkül meg kell határozni azokat a különleges körülményeket, amelyek mellett bizonyos adatáramlás felfüggeszthető.
(17)
A Bizottságnak figyelemmel kell kísérnie a határozat működését, és be kell számolnia a 95/46/EK irányelv 31. cikke alapján létrehozott bizottságnak bármilyen vonatkozó megállapításról. E figyelemmel kísérésnek ki kell terjednie, többek között, az Uruguayi Keleti Köztársaságnak a nemzetközi szerződések keretében történő adattovábbításokra vonatkozó szabályozására.
(18)
A személyes adatok feldolgozása vonatkozásában az egyének védelmével foglalkozó, a 95/46/EK irányelv 29. cikke alapján létrehozott munkacsoport kedvező véleményt adott ki a személyes adatok védelmének megfelelő szintjéről, mely véleményt e végrehajtási határozat előkészítése során a Bizottság figyelembe vette (5).
(19)
Az e határozatban előírt intézkedések összhangban állnak a 95/46/EK irányelv 31. cikke (1) bekezdése szerint létrehozott bizottság véleményével,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
(1) A 95/46/EK irányelv 25. cikkének (2) bekezdése alkalmazásában az Uruguayi Keleti Köztársaságot olyan országnak kell tekinteni, amely az Európai Unióból továbbított személyes adatok szempontjából megfelelő szintű védelmet biztosít.
(2) E határozat melléklete meghatározza az Uruguayi Keleti Köztársaság azon illetékes felügyeleti hatóságát, amely felelős a jogi adatvédelmi normáknak az Uruguayi Keleti Köztársaságban történő alkalmazásért.
2. cikk
(1) A tagállamok illetékes hatóságai - a 95/46/EK irányelv 25. cikkétől eltérő rendelkezések alapján elfogadott nemzeti rendelkezések teljesítését szolgáló intézkedések megtételére vonatkozó hatásköreik sérelme nélkül - jelenleg is meglévő hatásköreiket gyakorolhatják az uruguay keleti köztársaságbeli címzettek felé irányuló adatáramlás felfüggesztésére annak érdekében, hogy biztosítsák az egyének védelmét személyes adataik feldolgozása tekintetében olyan esetekben, amikor:
a)
a hatáskörrel rendelkező uruguayi hatóság megállapította, hogy a címzett megszegi az adatvédelem alkalmazandó normáit; vagy
b)
nagy a valószínűsége annak, hogy az adatvédelemre vonatkozó normákat megsértik; alapos okkal feltételezhető, hogy a hatáskörrel rendelkező uruguayi hatóság nem teszi meg vagy nem fogja megtenni a megfelelő és kellő időben történő lépéseket az adott eset rendezésére; annak fenyegető veszélye áll fenn, hogy a folytatódó adattovábbítás az érintettek érdekeinek komoly sérelmét okozná, és a tagállam illetékes hatóságai a körülményekhez képest jelentős erőfeszítéseket tettek, hogy az adatfeldolgozásért felelős, az Uruguayi Keleti Köztársaságban letelepedett felet értesítsék, és biztosítsák részére a válaszadás lehetőségét.
(2) A felfüggesztést meg kell szüntetni, amint az adatvédelemi normák biztosítottá válnak, és erről az érintett tagállamok illetékes hatóságát értesítették.
3. cikk
(1) A tagállamok haladéktalanul tájékoztatják a Bizottságot, ha a 2. cikk alapján intézkedéseket fogadnak el.
(2) A tagállamok és a Bizottság egymást is tájékoztatják azokról az esetekről, amikor az Uruguayi Keleti Köztársaságban az adatvédelem normái teljesítésének biztosításáért felelős szerveknek a normák teljesülését nem sikerül biztosítaniuk.
(3) Amennyiben a 2. cikk, valamint e cikk (1) és (2) bekezdése alapján gyűjtött információk bizonyítékot szolgáltatnak arra nézve, hogy az adatvédelmi normák teljesülésének biztosításáért felelős bármely urugayi szerv nem tölti be hatékonyan e szerepét, a Bizottság tájékoztatja a hatáskörrel rendelkező uruguayi keleti köztársaságbeli hatóságot, és amennyiben szükséges, a 95/46/EK irányelv 31. cikkének (2) bekezdésében említett eljárásnak megfelelően intézkedéstervezetet nyújt be e határozat hatályon kívül helyezése vagy felfüggesztése, illetve hatályának korlátozása céljából.
4. cikk
A Bizottság figyelemmel kíséri e határozat működését, és beszámol a 95/46/EK irányelv 31. cikke alapján létrehozott bizottságnak minden vonatkozó megállapításról, beleértve bármilyen olyan tényt, amely hatással lehet az e határozat 1. cikkének azon megállapítására, miszerint a 95/46/EK irányelv 25. cikke értelmében az Uruguayi Keleti Köztársaságban az adatvédelem szintje megfelelő, illetve bármely olyan tényt, amely azt bizonyítja, hogy ezt a határozatot diszkriminatív módon hajtják végre.
5. cikk
A tagállamok a határozatról történő értesítést követő három hónapon belül megtesznek minden olyan intézkedést, amely annak alkalmazásához szükséges.
6. cikk
Ennek a határozatnak a tagállamok a címzettjei.
Kelt Brüsszelben, 2012. augusztus 21-én.