PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
KOMMISSIONENS GENOMFÖRANDEBESLUT
av den 21 augusti 2012
i enlighet med Europaparlamentets och rådets direktiv 95/46/EG om en adekvat skyddsnivå vid automatiserad behandling av personuppgifter i Republiken Uruguay
[delgivet med nr C(2012) 5704]
(Text av betydelse för EES)
(2012/484/EU)
EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT
med beaktande av fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 25.6,
efter att ha hört Europeiska datatillsynsmannen (2), och
av följande skäl:
(1)
Enligt direktiv 95/46/EG ska medlemsstaterna föreskriva att överföring av personuppgifter till tredjeland endast får ske om landet i fråga garanterar en adekvat skyddsnivå och om medlemsstatens lagar, genom vilka andra bestämmelser i direktivet genomförs, efterlevs före överföringen.
(2)
Kommissionen kan fastställa att tredjeland har en adekvat skyddsnivå. I sådana fall får personuppgifter överföras från medlemsstaterna utan att några ytterligare garantier krävs.
(3)
Enligt direktiv 95/46/EG ska bedömningen av om skyddsnivån i ett tredjeland är adekvat ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter, varvid särskild hänsyn ska tas till vissa för överföringen relevanta aspekter som anges i artikel 25 i direktivet.
(4)
Då sättet att se på frågan om uppgiftsskydd varierar mellan olika tredjeländer bör bedömningen av om skyddsnivån är adekvat genomföras, och beslut som grundar sig på artikel 25.6 i direktiv 95/46/EG fattas och verkställas, utan godtycklig eller obefogad diskriminering i förhållande till tredjeland eller mellan de tredjeländer där liknande förhållanden råder samt på ett sätt som säkerställer att det inte uppstår några dolda handelshinder, varvid hänsyn bör tas till Europeiska unionens nuvarande internationella åtaganden.
(5)
Uruguays författning från 1967 erkänner inte uttryckligen rätten till personlig integritet och skydd av personuppgifter. Förteckningen över grundläggande rättigheter är dock inte uttömmande eftersom det i artikel 72 i författningen föreskrivs att de rättigheter, skyldigheter och garantier som anges inte utesluter andra som är förbundna med den mänskliga naturen eller härrör från det republikanska styrelseskicket. Artikel 1 i lag nr 18.331 om skydd av personuppgifter och ”habeas data” av den 11 augusti 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de ”Habeas Data”) fastställer uttryckligen att ”rätten till skydd av personuppgifter är förbunden med människan och omfattas därför av artikel 72 i republikens författning”. I artikel 332 i författningen föreskrivs att tillämpningen av bestämmelser i författningen som innebär att enskildas rättigheter erkänns, eller att offentliga myndigheter tillerkänns rättigheter och skyldigheter, inte hindras av att närmare föreskrifter saknas, utan i stället får grundas på rättsliga principer i liknande lagstiftning, allmänna rättsregler och allmänt vedertagen doktrin.
(6)
Reglerna för skydd av personuppgifter i Uruguay bygger till stor del på direktiv 95/46/EG och fastställs i lag nr 18.331 om skydd av personuppgifter och ”habeas data” (Ley No 18.331 de Protección de Datos Personales y Acción de ”Habeas Data”) av den 11 augusti 2008. Lagen omfattar fysiska och juridiska personer.
(7)
Denna lag kompletteras av dekret nr 414/009 av den 31 augusti 2009, som antogs för att klargöra flera aspekter av lagen och fastställa närmare föreskrifter för organisation, behörighet och funktion för den tillsynsmyndighet som övervakar skyddet av personuppgifter. I ingressen till dekretet påpekas att det nationella rättssystemet på detta område bör anpassas till det mest vedertagna, jämförbara regelverket, nämligen det som upprättats av de europeiska länderna genom direktiv 95/46/EG.
(8)
Uppgiftsskyddsbestämmelser återfinns också i vissa särskilda lagar som skapar och reglerar databaser, nämligen lagar om vissa offentliga register (officiella handlingar, industriell äganderätt och varumärken, personakter, fastighetsregister, gruvverksamhet eller kreditupplysning). Lag nr 18.331 gäller även för dessa lagar rörande de frågor som inte regleras i särlagstiftningen, i enlighet med artikel 332 i författningen.
(9)
De bestämmelser om uppgiftsskydd som tillämpas i Uruguay omfattar alla nödvändiga grundläggande principer som krävs för en adekvat skyddsnivå för fysiska personer, och innehåller även undantag och begränsningar som ska skydda viktiga allmänintressen. Dessa bestämmelser om uppgiftsskydd och undantagen följer principerna i direktiv 95/46/EG.
(10)
Tillämpningen av bestämmelserna om uppgiftsskydd garanteras, dels genom administrativa och rättsliga medel, särskilt ”habeas data”, som ger den registrerade personen möjlighet att väcka talan mot en registeransvarig för att hävda sin rätt att få tillgång till, korrigera och radera uppgifter, dels genom oberoende kontroller via tillsynsmyndigheten, enheten för reglering och kontroll av personuppgifter (URCDP) som är behörig att utreda, ingripa och utfärda sanktioner i enlighet med artikel 28 i direktiv 95/46/EG, och som handlar helt oberoende. Vidare kan en berörd part begära rättslig prövning och ersättning för skada som orsakats av olaglig behandling av personuppgifter.
(11)
Dataskyddsmyndigheterna i Uruguay har lämnat förklaringar till och garantier för hur Uruguays lagstiftning ska tolkas och har även försäkrat att landets lagstiftning om uppgiftsskydd överensstämmer med denna tolkning. Uruguayanska dataskyddsmyndigheter har särskilt förklarat att, i enlighet med artikel 332 i författningen, tillämpas lag nr 18.331 även på särlagstiftning som skapar och reglerar specifika databaser i frågor som inte regleras i särlagstiftningen. De har också klargjort att lagen även är tillämplig på de fall som avses i artikel 9c i lag nr 18.331 och som tillåter behandling utan samtycke från den registrerade, med avseende på proportionalitetsprincipen och ändamålsprincipen, på rättigheterna för den registrerade och kontroller via tillsynsmyndigheten. Med hänsyn till öppenhetsprincipen har dataskyddsmyndigheterna i Uruguay meddelat att skyldigheten att förse den registrerade med nödvändig information gäller i samtliga fall. Angående rätten till tillgång har dataskyddsmyndigheterna klargjort att den registrerade endast behöver styrka sin identitet när begäran görs. De uruguayanska dataskyddsmyndigheterna har klargjort att undantagen från principen om internationell överföring som fastställs i artikel 23.1 i lag nr 18.331 inte innebär en bredare tillämpning än vad som föreskrivs i artikel 26.1 i direktiv 95/46/EG.
(12)
Föreliggande beslut beaktar dessa förklaringar och försäkringar och är baserat på dem.
(13)
Republiken Uruguay är också en part i den amerikanska konventionen om de mänskliga rättigheterna (”Pact of San José de Costa Rica”) av den 22 november 1969, som trädde i kraft den 18 juli 1978 (3). I artikel 11 i denna konvention föreskrivs rätten till personlig integritet och i artikel 30 fastställs att inskränkningen av rätten till eller utövandet av de fri- och rättigheter som konventionen medger endast får göras med stöd i lagstiftningen som hänvisar till det allmänna bästa och endast i de syften som konventionens inskränkning avser (artikel 30). Vidare har Uruguay accepterat att den interamerikanska domstolen för de mänskliga rättigheterna har jurisdiktion. Vid det 1118:e mötet med ministrarnas företrädare i Europarådet den 6 juli 2011, inbjöd dessutom företrädarna Uruguay att ansluta sig till konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (ETS nr 108) och dess tilläggsprotokoll (ETS nr 118), efter ett positivt yttrande från den behöriga rådgivande kommittén (4).
(14)
Uruguay bör därför anses erbjuda en adekvat skyddsnivå för personuppgifter enligt direktiv 95/46/EG.
(15)
Detta beslut avser huruvida det skydd som Uruguay erbjuder är tillräckligt för att uppfylla kraven i artikel 25.1 i direktiv 95/46/EG. Det påverkar inte andra villkor eller restriktioner av andra bestämmelser i direktivet om behandling av personuppgifter inom medlemsstaterna.
(16)
För att värna om öppenheten och ge behöriga myndigheter i medlemsstaterna möjlighet att garantera skyddet för enskilda vid behandling av deras personuppgifter, bör man ange vilka särskilda omständigheter som kan motivera ett avbrott i viss uppgiftsöverföring, trots att skyddsnivån har konstaterats vara adekvat.
(17)
Kommissionen ska övervaka tillämpningen av detta beslut och rapportera alla relevanta slutsatser till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG. Denna övervakning ska inkludera bland annat Uruguays system för överföringar inom ramen för internationella avtal.
(18)
Den i enlighet med artikel 29 i direktiv 95/46/EG inrättade arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter har yttrat sig positivt angående nivån på personuppgiftsskyddet, vilket har beaktats vid utarbetandet av föreliggande beslut (5).
(19)
De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats enligt artikel 31.1 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
1. För tillämpningen av artikel 25.2 i direktiv 95/46/EG ska Uruguay anses garantera en adekvat skyddsnivå för de personuppgifter som överförs från Europeiska unionen.
2. Den behöriga tillsynsmyndigheten i Uruguay för tillämpningen av bestämmelserna om uppgiftsskydd i Uruguay anges i bilagan till detta beslut.
Artikel 2
1. Behöriga myndigheter i medlemsstaterna får, utan att det påverkar deras befogenheter att vidta åtgärder för att säkerställa efterlevnaden av de nationella bestämmelser som antagits enligt andra bestämmelser än artikel 25 i direktiv 95/46/EG, utöva sin behörighet att tills vidare avbryta uppgiftsöverföringar till en mottagare i Uruguay i syfte att skydda enskilda med avseende på behandlingen av deras personuppgifter om
a)
en behörig myndighet i Uruguay har fastställt att mottagaren bryter mot tillämpliga skyddsregler eller
b)
sannolikheten är stor att skyddsreglerna inte efterlevs, det finns rimliga skäl att anta att behöriga myndigheter i Uruguay inte vidtar eller kommer att vidta adekvata åtgärder i tid för att avgöra ärendet, fortsatt överföring skulle innebära en överhängande risk för att de registrerade lider allvarlig skada och de behöriga myndigheterna i medlemsstaten under omständigheterna har vidtagit rimliga åtgärder för att underrätta den instans i Uruguay som ansvarar för behandlingen och givit denna tillfälle att yttra sig.
2. Överföringen ska återupptas så snart skyddsreglerna efterlevs och den behöriga myndigheten i den berörda medlemsstaten har underrättats om detta.
Artikel 3
1. Medlemsstaterna ska utan dröjsmål underrätta kommissionen om de åtgärder som vidtagits med stöd av artikel 2.
2. Medlemsstaterna och kommissionen ska underrätta varandra om fall där de åtgärder som vidtas av tillsynsmyndigheter i Uruguay leder till att reglerna inte efterlevs.
3. Där den information som insamlats enligt artikel 2 och punkterna 1 och 2 i denna artikel visar att någon av tillsynsmyndigheterna i Uruguay inte fullgör sin uppgift på ett verkningsfullt sätt, ska kommissionen underrätta den behöriga myndigheten i Uruguay om detta och vid behov framlägga förslag till bestämmelser i enlighet med det förfarande som föreskrivs i artikel 31.2 i direktiv 95/46/EG i syfte att upphäva eller tills vidare avbryta tillämpningen av detta beslut eller begränsa dess tillämpningsområde.
Artikel 4
Kommissionen ska övervaka tillämpningen av detta beslut och rapportera alla relevanta slutsatser till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG, vilket även inbegriper alla omständigheter som skulle kunna påverka slutsatsen i artikel 1 i detta beslut om att det skydd som ges i Uruguay är adekvat i den mening som avses i artikel 25 i direktiv 95/46/EG, och alla omständigheter som visar att detta beslut tillämpas på ett diskriminerande sätt.
Artikel 5
Medlemsstaterna ska vidta alla erforderliga åtgärder för att efterkomma detta beslut senast tre månader efter det att beslutet har meddelats.
Artikel 6
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 21 augusti 2012.