KOMMISSIONENS GENNEMFØRELSESAFGØRELSE
af 21. august 2012
i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om, hvorvidt Den Østlige Republik Uruguay yder en tilstrækkelig beskyttelse af personoplysninger i forbindelse med automatisk behandling af personoplysninger
(meddelt under nummer C(2012) 5704)
(EØS-relevant tekst)
(2012/484/EU)
EUROPA-KOMMISSIONEN HAR -
under henvisning til traktaten om Den Europæiske Unions Funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6,
efter høring af Den Europæiske Tilsynsførende for Databeskyttelse (2), og
ud fra følgende betragtninger:
(1)
Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at videregivelse af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og medlemsstaternes love til gennemførelse af direktivets øvrige bestemmelser overholdes inden videregivelsen.
(2)
Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der videregives personoplysninger fra medlemsstaterne, uden at yderligere garantier er påkrævet.
(3)
Vurderingen af, om beskyttelsesniveauet for personoplysninger er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger og under hensyntagen til en række faktorer som anført i direktivets artikel 25, der er relevante for den pågældende videregivelse.
(4)
Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og vedtagelsen og gennemførelsen af afgørelser i henhold til artikel 25, stk. 6, i direktiv 95/46/EF skal på grund af tredjelandenes forskellige opfattelser af begrebet beskyttelse af personoplysninger foretages ud fra en række kriterier, der skal sikre, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor lignende forhold gør sig gældende, eller skabes skjulte handelshindringer under hensyntagen til Den Europæiske Unions nuværende internationale forpligtelser.
(5)
Den Østlige Republik Uruguays politiske forfatning, der blev vedtaget i 1967, omfatter ikke en udtrykkelig anerkendelse af retten til privatlivets fred og beskyttelse af personoplysninger. Fortegnelsen over de grundlæggende rettigheder udgør imidlertid ikke en lukket liste, da det i forfatningens artikel 72 fastsættes, at de i forfatningen anførte rettigheder, forpligtelser og garantier ikke udelukker andre, som er affødt af den menneskelige personlighed, eller som afledes fra den republikanske regeringsform. I artikel 1 i lov nr. 18.331 af 11. august 2008 om beskyttelse af personoplysninger og »habeas data«-retsmidlet (Ley No 18.331 de Protección de Datos Personales y Acción de »Habeas Data«) fastsættes det udtrykkeligt, at retten til beskyttelse af personoplysninger er iboende i mennesket, så denne er omfattet af artikel 72 i republikkens forfatning. I forfatningens artikel 332 fastsættes det, at de bestemmelser i forfatningen, som anerkender fysiske personers rettigheder, og de bestemmelser, der giver offentlige myndigheder rettigheder og pålægger dem forpligtelser, også finder anvendelse, selv om der ikke findes en specifik gennemførelsesforordning; i så tilfælde finder de bagved liggende principper i lignende love, de generelle retsprincipper og generelt accepterede doktriner anvendelse.
(6)
Retsreglerne for beskyttelse af personoplysninger i Den Østlige Republik Uruguay er i vid udstrækning baseret på reglerne i direktiv 95/46/EF og er fastsat i lov nr. 18.331 af 11. august 2008 om beskyttelse af personoplysninger og »habeas data«-retsmidlet (Ley No 18.331 de Protección de Datos Personales y Acción de »Habeas Data«). De omfatter fysiske og juridiske personer.
(7)
Loven suppleres desuden af dekret nr. 414/009 af 31. august 2009, der blev vedtaget for at præcisere en række aspekter af loven og fastsætte detaljerede regler for datatilsynsmyndighedens organisation, beføjelser og funktion. I dekretets præambel fastsættes det, at det nationale retssystem på dette område bør tilpasses det mest accepterede, sammenlignelige retssystem, dvs. grundlæggende det niveau, der er indført i de europæiske lande med Europa-Parlamentet og Rådets direktiv 95/46/EF.
(8)
Bestemmelserne om databeskyttelse er også indeholdt i en række særlove om oprettelse og regulering af databaser, nemlig love om regulering af visse offentlige registre (offentlige dokumenter, industriel ejendomsret og varemærker, personlige dokumenter, fast ejendom, minedrift eller kreditoplysninger). Lov nr. 18.331 finder desuden anvendelse på disse dokumenter i forbindelse med forhold, der ikke er reguleret ved disse specifikke retsinstrumenter, jf. forfatningens artikel 332.
(9)
De gældende retsregler om databeskyttelse i Den Østlige Republik Uruguay indeholder alle de grundlæggende principper, der er nødvendige for at sikre et tilstrækkeligt beskyttelsesniveau for fysiske personer, og de indeholder også en række undtagelser og begrænsninger med henblik på at beskytte vigtige offentlige interesser. Disse retsregler om databeskyttelse og undtagelserne afspejler de principper, der er fastsat i direktiv 95/46/EF.
(10)
Anvendelsen af disse retsregler om databeskyttelse sikres gennem adgangen til domstolsprøvelse og administrative klagemuligheder, navnlig »habeas data«-retsmidlet, som giver den registrerede mulighed for at indbringe den registeransvarlige for retten for at håndhæve førstnævntes ret til indsigt i og berigtigelse og sletning af oplysninger, og ved den uafhængige kontrol, der foretages af tilsynsmyndigheden, enheden for regulering af og tilsyn med personoplysninger (Unidad Reguladora y de Control de Datos Personales (URCDP)), som har både undersøgelses- og interventionsbeføjelser i overensstemmelse med artikel 28 i direktiv 95/46/EF, og som fungerer i fuld uafhængighed. Desuden har enhver berørt part ret til at indgive søgsmål til domstolene med henblik på skadeserstatning som følge af ulovlig behandling af den pågældendes personoplysninger.
(11)
Databeskyttelsesmyndighederne i Uruguay har afgivet forklaringer og forsikringer med hensyn til fortolkningen af loven i Uruguay og har meddelt, at de uruguayske bestemmelser om databeskyttelse anvendes i overensstemmelse med denne fortolkning. Databeskyttelsesmyndighederne i Uruguay har bl.a. forklaret, at i henhold til forfatningens artikel 332 finder lov nr. 18.331 anvendelse i tillæg til særlove om oprettelse og regulering af særlige databaser med hensyn til de forhold, der ikke er reguleret af disse særlige retsinstrumenter. De har endvidere præciseret, at hvad angår de fortegnelser, som der henvises til i artikel 9, litra C), i lov nr. 18.331, og som ikke kræver den registreredes samtykke, for at der kan foretages databehandling, finder loven, nemlig proportionalitets- og finalitetsprincippet, også anvendelse på de registreredes rettigheder, og at de er omfattet af databeskyttelsesmyndighedens kontrol. Hvad angår princippet om gennemsigtighed har databeskyttelsesmyndighederne i Uruguay meddelt, at den registrerede i alle tilfælde skal have de nødvendige oplysninger. Hvad angår retten til aktindsigt, har databeskyttelsesmyndigheden præciseret, at det er tilstrækkeligt, at den registrerede på anmodning fremviser dokumentation for sin identitet. Databeskyttelsesmyndighederne i Uruguay har præciseret, at undtagelserne i forbindelse med princippet om internationale videregivelser af oplysninger som fastsat i artikel 23, stk. 1, i lov nr. 18.331 ikke kan tolkes således, at det finder bredere anvendelse end artikel 26, stk. 2, i direktiv 95/46/EF.
(12)
I denne afgørelse tages der hensyn til disse forklaringer og forsikringer, og afgørelsen er baseret på dem.
(13)
Den Østlige Republik Uruguay er også part i den amerikanske menneskerettighedskonvention af 22. november 1969 (»San José de Costa Rica-pagten«), som trådte i kraft den 18. juli 1978 (3). I denne konventions artikel 11 fastsættes retten til privatlivets fred, og i artikel 30 fastsættes det, at de begrænsninger, der i henhold til konventionen kan indføres i nydelsen eller udøvelsen af de rettigheder eller friheder, der anerkendes i konventionen, ikke kan finde anvendelse undtagen i henhold til love, der vedtages af almene hensyn og i overensstemmelse med formålet med indførelsen af begrænsningerne (artikel 30). Den Østlige Republik Uruguay har desuden accepteret Den Interamerikanske Menneskerettighedsdomstols jurisdiktion. På det 1118. møde i Europarådets viceministerudvalg den 6. juli 2011 opfordrede viceministrene desuden Den Østlige Republik Uruguay til at tiltræde konventionen om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (ETS nr. 108) og tillægsprotokollen hertil (ETS nr. 118), efter at det relevante rådgivende udvalg havde afgivet en positiv udtalelse herom (4).
(14)
Den Østlige Republik Uruguay bør derfor betragtes som værende i stand til at sikre et tilstrækkeligt databeskyttelsesniveau i henhold til direktiv 95/46/EF.
(15)
Denne afgørelse vedrører tilstrækkeligheden af den beskyttelse, som Den Østlige Republik Uruguay kan give med henblik på at opfylde kravene i artikel 25, stk. 1, i direktiv 95/46/EF. Den har ingen indvirkning på andre betingelser eller begrænsninger, der finder anvendelse ved gennemførelsen af andre bestemmelser i dette direktiv om behandling af personoplysninger i medlemsstaterne.
(16)
Af hensyn til åbenheden og for at sikre medlemsstaternes ansvarlige myndigheders beføjelser til at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger er det nødvendigt at specificere, under hvilke særlige omstændigheder det kan være berettiget at suspendere specifik videregivelse af personoplysninger, uanset om det konstateres, at beskyttelsen er tilstrækkelig.
(17)
Kommissionen bør overvåge, hvordan afgørelsen fungerer, og rapportere alle relevante resultater til det udvalg, der er oprettet i henhold til artikel 31 i direktiv 95/46/EF. Denne overvågning bør bl.a. omfatte Den Østlige Republik Uruguays ordning for videregivelse af oplysninger inden for rammerne af internationale traktater.
(18)
Gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet positiv udtalelse om tilstrækkeligheden af beskyttelsesniveauet, som er taget i betragtning ved gennemførelsen af denne afgørelse (5).
(19)
Foranstaltningerne i denne afgørelse er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31, stk. 1, i direktiv 95/46/EF -
VEDTAGET DENNE AFGØRELSE:
Artikel 1
1. For så vidt angår artikel 25, stk. 2, i direktiv 95/46/EF, anses Den Østlige Republik Uruguay for at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der videregives fra Den Europæiske Union.
2. Den ansvarlige tilsynsmyndighed, der i Den Østlige Republik Uruguay har ansvaret for anvendelsen af retsreglerne om databeskyttelse i Den Østlige Republik Uruguay, er anført i bilaget til denne afgørelse.
Artikel 2
1. De ansvarlige myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overensstemmelse med nationale bestemmelser, der er udstedt i henhold til andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser til at suspendere den fortsatte videregivelse af oplysninger til en modtager i Den Østlige Republik Uruguay for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger,
a)
når en ansvarlig myndighed i Uruguay fastslår, at den pågældende modtager overtræder de gældende beskyttelsesprincipper, eller
b)
når der er væsentlig sandsynlighed for, at beskyttelsesnormerne overtrædes; når der er grund til at antage, at den ansvarlige myndighed i Uruguay ikke tager eller ikke agter at tage passende og rettidige skridt for at bringe forholdet i orden; når en videre overførsel af personoplysninger vil kunne skabe overhængende risiko for alvorlig skade for de registrerede; og når de ansvarlige myndigheder i medlemsstaterne, forholdene taget i betragtning, på passende vis har søgt at underrette den person, der er ansvarlig for behandlingen af oplysningerne i Den Østlige Republik Uruguay, og give vedkommende mulighed for at svare.
2. Suspenderingen ophæves, når beskyttelsesprincipperne overholdes, og den ansvarlige myndighed i de berørte medlemsstater underrettes herom.
Artikel 3
1. Medlemsstaterne underretter straks Kommissionen, hvis der træffes foranstaltninger i henhold til artikel 2.
2. Medlemsstaterne og Kommissionen underretter hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af beskyttelsesnormerne i Den Østlige Republik Uruguay, ikke sikrer denne overholdelse.
3. Fremgår det af de oplysninger, der indhentes i medfør af artikel 2, og stk. 1 og 2 i denne artikel, at et organ, der har ansvaret for at sikre, at beskyttelsesnormerne i Den Østlige Republik Uruguay overholdes, ikke varetager sin opgave korrekt, underretter Kommissionen den ansvarlige myndighed i Uruguay herom og forelægger om nødvendigt et udkast til foranstaltninger på grundlag af proceduren i artikel 31, stk. 2, i direktiv 95/46/EF med henblik på at ophæve eller suspendere nærværende afgørelse eller begrænse dens anvendelsesområde.
Artikel 4
Kommissionen foretager en evaluering af anvendelsen af denne afgørelse og fremsender alt relevant materiale til det udvalg, der er nedsat i henhold til artikel 31 i direktiv 95/46/EF, herunder materiale, der kan påvirke den vurdering, der foretages i henhold til artikel 1 i denne afgørelse, om, at beskyttelsen i Den Østlige Republik Uruguay er tilstrækkelig i henhold til artikel 25 i direktiv 95/46/EF, samt materiale, der viser, at afgørelsen gennemføres på diskriminerende måde.
Artikel 5
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne afgørelse senest tre måneder efter at have fået meddelelse herom.
Artikel 6
Denne afgørelse er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 21. august 2012.
DURCHFÜHRUNGSBESCHLUSS DER KOMMISSION
vom 21. August 2012
gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus in der Republik Östlich des Uruguay im Hinblick auf die automatisierte Verarbeitung personenbezogener Daten
(Bekanntgegeben unter Aktenzeichen C(2012) 5704)
(Text von Bedeutung für den EWR)
(2012/484/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
nach Stellungnahme des Europäischen Datenschutzbeauftragten (2),
in Erwägung nachstehender Gründe:
(1)
Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die einzelstaatlichen Rechtsvorschriften zur Umsetzung anderer Bestimmungen der Richtlinie beachtet werden.
(2)
Die Kommission kann feststellen, dass ein Drittland ein angemessenes Datenschutzniveau gewährleistet. In diesem Fall können personenbezogene Daten aus den Mitgliedstaaten übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Gemäß der Richtlinie 95/46/EG sind bei der Beurteilung des Datenschutzniveaus alle Umstände zu berücksichtigen, die bei einer Datenübermittlung oder einer Reihe von Datenübermittlungen eine Rolle spielen, insbesondere die für die Datenübermittlung relevanten, in Artikel 25 der Richtlinie aufgeführten Aspekte.
(4)
Wegen der unterschiedlichen Handhabung des Datenschutzes in Drittländern sollte die Beurteilung der Angemessenheit des Schutzniveaus sowie jeder Beschluss gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG und dessen Durchführung in einer Weise erfolgen, die gegenüber Drittländern bzw. unter Drittländern, in denen gleiche Bedingungen vorherrschen, keine willkürliche oder ungerechtfertigte Diskriminierung bewirkt und unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Europäischen Union kein verstecktes Handelshemmnis darstellt.
(5)
In der im Jahr 1967 verabschiedeten politischen Verfassung der Republik Östlich des Uruguay sind das Recht auf Privatsphäre und das Recht auf den Schutz personenbezogener Daten nicht ausdrücklich verankert. Allerdings stellt der Katalog der Grundrechte keine erschöpfende Liste dar, da gemäß Artikel 72 der Verfassung neben den in der Verfassung aufgeführten Rechten, Pflichten und Garantien weitere zum Tragen kommen können, die mit der menschlichen Persönlichkeit verbunden sind oder sich aus der republikanischen Staatsform ergeben. Artikel 1 des Gesetzes Nr. 18.331 über den Schutz personenbezogener Daten und den „Habeas-data“-Rechtsbehelf (LPDP) (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data“) vom 11. August 2008 sieht ausdrücklich vor, dass „der Mensch ein Recht auf den Schutz personenbezogener Daten hat und demnach dieses Recht in Artikel 72 der Verfassung der Republik enthalten ist“. In Artikel 332 der Verfassung heißt es, dass die Bestimmungen dieser Verfassung, in denen die Rechte natürlicher Personen anerkannt werden, sowie die Bestimmungen, nach denen öffentlichen Behörden Rechte zuerkannt und Pflichten auferlegt werden, auch ohne einschlägige Durchführungsverordnungen zur Anwendung kommen sollten. In diesem Fall werden Grundsätze, die sich aus ähnlichen Gesetzen ergeben, sowie die allgemeinen Rechtsgrundsätze und die allgemein anerkannte Rechtsdogmatik herangezogen.
(6)
Die Rechtsnormen zum Schutz personenbezogener Daten in der Republik Östlich des Uruguay stützen sich weitgehend auf die in der Richtlinie 95/46/EG vorgegebenen Normen und sind im Gesetz Nr. 18.331 über den Schutz personenbezogener Daten und den „Habeas-data“-Rechtsbehelf (LPDP) (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data“) vom 11. August 2008 niedergelegt. Sie gelten für natürliche und juristische Personen.
(7)
In Ergänzung dieses Gesetzes wurde am 31. August 2009 die Verordnung Nr. 414/009 erlassen, um verschiedene Aspekte des Gesetzes zu erläutern und ausführliche Vorschriften zu der Organisation, den Befugnissen und der Arbeitsweise der Datenschutzaufsichtsbehörde niederzulegen. In der Präambel dieser Verordnung heißt es, dass es angebracht ist, das nationale Rechtssystem auf diesem Gebiet an das vergleichbare Rechtssystem anzupassen, das von den meisten Ländern anerkannt wird, im Wesentlichen an das System, das die europäischen Länder mit der Richtlinie 95/46/EG eingeführt haben.
(8)
Datenschutzbestimmungen finden sich überdies in einer Reihe besonderer Gesetze zur Einrichtung und Regulierung von Datenbanken, durch die insbesondere bestimmte öffentliche Register geregelt werden (amtliche Beurkundungen, gewerbliches Eigentum und Marken, persönliche Urkunden, Immobilien, Bergbau, Kreditauskünfte usw.). Gemäß Artikel 332 der Verfassung findet zusätzlich das Gesetz Nr. 18.331 Anwendung auf die Fragen, die nicht durch diese besonderen Gesetze geregelt sind.
(9)
Die in der Republik Östlich des Uruguay für den Datenschutz geltenden Rechtsnormen enthalten sämtliche Grundsätze, deren Einhaltung für einen angemessenen Schutz natürlicher Personen erforderlich ist; außerdem sehen sie zur Wahrung wichtiger öffentlicher Interessen Ausnahmen und Einschränkungen vor. Diese für den Datenschutz geltenden Rechtsnormen sowie die Ausnahmen tragen den in der Richtlinie 95/46/EG niedergelegten Grundsätzen Rechnung.
(10)
Die Anwendung der Datenschutznormen wird gewährleistet mittels administrativer und gerichtlicher Rechtsbehelfe - insbesondere durch den „Habeas-data“-Rechtsbehelf, durch den eine betroffene Person den für die Verarbeitung Verantwortlichen vor Gericht bringen kann, um ihr Recht auf Zugang, Berichtigung und Löschung einzuklagen - sowie einer unabhängigen Aufsicht durch die Stelle für die Regulierung und Kontrolle personenbezogener Daten (Unidad Reguladora y de Control de Datos Personales (URCDP)), die gemäß Artikel 28 der Richtlinie 95/46/EG mit Untersuchungs-, Eingriffs- und Sanktionskompetenzen ausgestattet ist und in völliger Unabhängigkeit handelt. Zudem kann jede betroffene Partei zur Wiedergutmachung von Schäden, die ihr infolge einer gesetzeswidrigen Verarbeitung ihrer personenbezogenen Daten entstanden sind, einen gerichtlichen Rechtsbehelf einlegen.
(11)
Die uruguayische Datenschutzbehörde hat Erläuterungen und Garantien zur Auslegung des uruguayischen Rechts abgegeben und darüber hinaus zugesichert, dass die uruguayischen Datenschutzvorschriften gemäß dieser Auslegung umgesetzt werden. Insbesondere hat die uruguayische Datenschutzbehörde erklärt, dass gemäß Artikel 332 der Verfassung das Gesetz Nr. 18.331 zusätzlich zu besonderen Gesetzen zur Einrichtung und Regulierung spezifischer Datenbanken auf die in diesen Gesetzen nicht geregelten Fragen Anwendung findet. Die Behörden haben auch dargelegt, dass in Bezug auf die in Artikel 9 Buchstabe C des Gesetzes Nr. 18.331 genannten Verzeichnisse, die nicht der Zustimmung des Betroffenen zur Verarbeitung bedürfen, das Gesetz - insbesondere die Grundsätze der Verhältnismäßigkeit und Zweckgebundenheit - auch auf die Rechte der Betroffenen Anwendung findet und die Einhaltung dieser Rechte von der Datenschutzbehörde überwacht wird. Im Hinblick auf den Grundsatz der Transparenz hat die uruguayische Datenschutzbehörde mitgeteilt, dass die Verpflichtung, Betroffenen die erforderlichen Informationen bereitzustellen, in allen Fällen gilt. In Bezug auf das Zugangsrecht hat die Behörde klargestellt, dass es genügt, wenn der Betroffene bei der Antragstellung seine Identität nachweist. Zudem hat sie erläutert, dass die in Artikel 23 Absatz 1 des Gesetzes Nr. 18.331 niedergelegten Ausnahmen zum Grundsatz der Übermittlung von Daten in ein Drittland nicht so auszulegen sind, dass sie einen breiteren Anwendungsbereich als Artikel 26 Absatz 1 der Richtlinie 95/46/EG haben.
(12)
Der vorliegende Beschluss trägt diesen Erläuterungen und Zusicherungen Rechnung und stützt sich darauf.
(13)
Die Republik Östlich des Uruguay ist auch Vertragspartei der Amerikanischen Menschenrechtskonvention (AMRK) vom 22. November 1969, die am 18. Juli 1978 in Kraft getreten ist (3). In Artikel 11 dieser Konvention ist das Recht auf Privatsphäre niedergelegt, während laut Artikel 30 Einschränkungen, die nach Maßgabe dieser Konvention für die Geltendmachung oder Ausübung der von der Konvention anerkannten Rechte oder Freiheiten festgelegt werden können, nur im Einklang mit aus Gründen des allgemeinen Interesses verabschiedeten Gesetzen und nur im Einklang mit dem Zweck der Einschränkungen Anwendung finden. Außerdem hat die Republik Östlich des Uruguay die Gerichtsbarkeit des Interamerikanischen Gerichtshofs für Menschenrechte akzeptiert. Darüber hinaus haben die Ministerstellvertreter im Europarat auf ihrer 1118. Sitzung vom 6. Juli 2011 die Republik Östlich des Uruguay aufgefordert, dem Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (ETS Nr. 108) und dessen Zusatzprotokoll (ETS Nr. 118) nach einer befürwortenden Stellungnahme des betreffenden Beratenden Ausschusses beizutreten (4).
(14)
Daher ist die Republik Östlich des Uruguay als Land anzusehen, das ein angemessenes Schutzniveau für personenbezogene Daten gemäß der Richtlinie 95/46/EG bietet.
(15)
Dieser Beschluss sollte die Angemessenheit des Schutzes, den die Republik Östlich des Uruguay im Hinblick auf die Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG gewährleistet, betreffen. Andere Bedingungen oder Einschränkungen zur Umsetzung sonstiger Bestimmungen der Richtlinie hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten sollten davon unberührt bleiben.
(16)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(17)
Die Kommission sollte die Durchführung dieses Beschlusses überwachen und den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse unterrichten. Die Überwachung sollte sich unter anderem auf Regelungen der Republik Östlich des Uruguay erstrecken, die auf Übermittlungen im Rahmen internationaler Verträge anwendbar sind.
(18)
Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine befürwortende Stellungnahme zur Angemessenheit des Schutzes personenbezogener Daten abgegeben; diese Stellungnahme wurde bei der Ausarbeitung des vorliegenden Beschlusses berücksichtigt (5).
(19)
Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des durch Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzten Ausschusses -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
(1) Für die Zwecke von Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird die Republik Östlich des Uruguay als Land angesehen, das ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der Europäischen Union bietet.
(2) Die zuständige Behörde, die in der Republik Östlich des Uruguay die Anwendung der uruguayischen Datenschutzbestimmungen überwacht, ist im Anhang dieses Beschlusses genannt.
Artikel 2
(1) Unbeschadet ihrer Befugnis, Maßnahmen zum Zwecke der Einhaltung einzelstaatlicher Vorschriften zu ergreifen, denen andere Bestimmungen als die des Artikels 25 der Richtlinie 95/46/EG zugrunde liegen, können die zuständigen Behörden in den Mitgliedstaaten von ihrem Recht Gebrauch machen, zum Schutz von Privatpersonen bei der Verarbeitung von deren personenbezogenen Daten die Datenübermittlung an einen Empfänger in der Republik Östlich des Uruguay auszusetzen, wenn
a)
eine zuständige uruguayische Behörde feststellt, dass der Datenempfänger die geltenden Datenschutzvorschriften nicht einhält, oder
b)
eine hohe Wahrscheinlichkeit besteht, dass die Datenschutzvorschriften verletzt werden, Grund zur Annahme besteht, dass die zuständige uruguayische Behörde nicht rechtzeitig angemessene Maßnahmen ergreift, um das Problem zu lösen, die Fortsetzung der Datenübermittlung den betroffenen Personen einen unmittelbar bevorstehenden schweren Schaden zuzufügen droht und die zuständigen Behörden in den Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die für die Datenverarbeitung verantwortliche Stelle in der Republik Östlich des Uruguay zu benachrichtigen, und ihr Gelegenheit zur Stellungnahme gegeben haben.
(2) Die Aussetzung ist zu beenden, sobald der Datenschutz sichergestellt ist und dies den zuständigen Behörden der betreffenden Mitgliedstaaten mitgeteilt wird.
Artikel 3
(1) Die Mitgliedstaaten unterrichten die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 2 ergriffen werden.
(2) Die Mitgliedstaaten und die Kommission benachrichtigen einander auch über Fälle, bei denen die Maßnahmen der verantwortlichen Stellen in der Republik Östlich des Uruguay nicht ausreichen, um die Einhaltung der Datenschutzvorschriften zu gewährleisten.
(3) Ergeben die nach Artikel 2 sowie nach den Absätzen 1 und 2 dieses Artikels gewonnenen Erkenntnisse, dass eine für die Einhaltung der Vorschriften in der Republik Östlich des Uruguay verantwortliche Stelle ihre Aufgabe nicht vollständig erfüllt, so benachrichtigt die Kommission die zuständige uruguayische Behörde und schlägt erforderlichenfalls Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren vor, um eine Aufhebung oder Aussetzung dieses Beschlusses oder eine Beschränkung seines Anwendungsbereichs zu erwirken.
Artikel 4
Die Kommission überwacht die Durchführung dieses Beschlusses und unterrichtet den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse; dazu zählen auch Erkenntnisse, die sich auf die Feststellung in Artikel 1 dieses Beschlusses auswirken könnten, wonach die Republik Östlich des Uruguay ein angemessenes Schutzniveau im Sinne von Artikel 25 der Richtlinie 95/46/EG bietet, ferner Erkenntnisse, die darauf hindeuten, dass dieser Beschluss in diskriminierender Weise angewandt wird.
Artikel 5
Die Mitgliedstaaten ergreifen die erforderlichen Maßnahmen, um dem Beschluss binnen [drei Monaten] nach seiner Bekanntgabe nachzukommen.
Artikel 6
Dieser Beschluss ist an die Mitgliedstaaten gerichtet.
Brüssel, den 21. August 2012