PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
DURCHFÜHRUNGSBESCHLUSS DER KOMMISSION
vom 21. August 2012
gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzniveaus in der Republik Östlich des Uruguay im Hinblick auf die automatisierte Verarbeitung personenbezogener Daten
(Bekanntgegeben unter Aktenzeichen C(2012) 5704)
(Text von Bedeutung für den EWR)
(2012/484/EU)
DIE EUROPÄISCHE KOMMISSION -
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 25 Absatz 6,
nach Stellungnahme des Europäischen Datenschutzbeauftragten (2),
in Erwägung nachstehender Gründe:
(1)
Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die einzelstaatlichen Rechtsvorschriften zur Umsetzung anderer Bestimmungen der Richtlinie beachtet werden.
(2)
Die Kommission kann feststellen, dass ein Drittland ein angemessenes Datenschutzniveau gewährleistet. In diesem Fall können personenbezogene Daten aus den Mitgliedstaaten übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind.
(3)
Gemäß der Richtlinie 95/46/EG sind bei der Beurteilung des Datenschutzniveaus alle Umstände zu berücksichtigen, die bei einer Datenübermittlung oder einer Reihe von Datenübermittlungen eine Rolle spielen, insbesondere die für die Datenübermittlung relevanten, in Artikel 25 der Richtlinie aufgeführten Aspekte.
(4)
Wegen der unterschiedlichen Handhabung des Datenschutzes in Drittländern sollte die Beurteilung der Angemessenheit des Schutzniveaus sowie jeder Beschluss gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG und dessen Durchführung in einer Weise erfolgen, die gegenüber Drittländern bzw. unter Drittländern, in denen gleiche Bedingungen vorherrschen, keine willkürliche oder ungerechtfertigte Diskriminierung bewirkt und unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Europäischen Union kein verstecktes Handelshemmnis darstellt.
(5)
In der im Jahr 1967 verabschiedeten politischen Verfassung der Republik Östlich des Uruguay sind das Recht auf Privatsphäre und das Recht auf den Schutz personenbezogener Daten nicht ausdrücklich verankert. Allerdings stellt der Katalog der Grundrechte keine erschöpfende Liste dar, da gemäß Artikel 72 der Verfassung neben den in der Verfassung aufgeführten Rechten, Pflichten und Garantien weitere zum Tragen kommen können, die mit der menschlichen Persönlichkeit verbunden sind oder sich aus der republikanischen Staatsform ergeben. Artikel 1 des Gesetzes Nr. 18.331 über den Schutz personenbezogener Daten und den „Habeas-data“-Rechtsbehelf (LPDP) (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data“) vom 11. August 2008 sieht ausdrücklich vor, dass „der Mensch ein Recht auf den Schutz personenbezogener Daten hat und demnach dieses Recht in Artikel 72 der Verfassung der Republik enthalten ist“. In Artikel 332 der Verfassung heißt es, dass die Bestimmungen dieser Verfassung, in denen die Rechte natürlicher Personen anerkannt werden, sowie die Bestimmungen, nach denen öffentlichen Behörden Rechte zuerkannt und Pflichten auferlegt werden, auch ohne einschlägige Durchführungsverordnungen zur Anwendung kommen sollten. In diesem Fall werden Grundsätze, die sich aus ähnlichen Gesetzen ergeben, sowie die allgemeinen Rechtsgrundsätze und die allgemein anerkannte Rechtsdogmatik herangezogen.
(6)
Die Rechtsnormen zum Schutz personenbezogener Daten in der Republik Östlich des Uruguay stützen sich weitgehend auf die in der Richtlinie 95/46/EG vorgegebenen Normen und sind im Gesetz Nr. 18.331 über den Schutz personenbezogener Daten und den „Habeas-data“-Rechtsbehelf (LPDP) (Ley No 18.331 de Protección de Datos Personales y de Acción de „Habeas Data“) vom 11. August 2008 niedergelegt. Sie gelten für natürliche und juristische Personen.
(7)
In Ergänzung dieses Gesetzes wurde am 31. August 2009 die Verordnung Nr. 414/009 erlassen, um verschiedene Aspekte des Gesetzes zu erläutern und ausführliche Vorschriften zu der Organisation, den Befugnissen und der Arbeitsweise der Datenschutzaufsichtsbehörde niederzulegen. In der Präambel dieser Verordnung heißt es, dass es angebracht ist, das nationale Rechtssystem auf diesem Gebiet an das vergleichbare Rechtssystem anzupassen, das von den meisten Ländern anerkannt wird, im Wesentlichen an das System, das die europäischen Länder mit der Richtlinie 95/46/EG eingeführt haben.
(8)
Datenschutzbestimmungen finden sich überdies in einer Reihe besonderer Gesetze zur Einrichtung und Regulierung von Datenbanken, durch die insbesondere bestimmte öffentliche Register geregelt werden (amtliche Beurkundungen, gewerbliches Eigentum und Marken, persönliche Urkunden, Immobilien, Bergbau, Kreditauskünfte usw.). Gemäß Artikel 332 der Verfassung findet zusätzlich das Gesetz Nr. 18.331 Anwendung auf die Fragen, die nicht durch diese besonderen Gesetze geregelt sind.
(9)
Die in der Republik Östlich des Uruguay für den Datenschutz geltenden Rechtsnormen enthalten sämtliche Grundsätze, deren Einhaltung für einen angemessenen Schutz natürlicher Personen erforderlich ist; außerdem sehen sie zur Wahrung wichtiger öffentlicher Interessen Ausnahmen und Einschränkungen vor. Diese für den Datenschutz geltenden Rechtsnormen sowie die Ausnahmen tragen den in der Richtlinie 95/46/EG niedergelegten Grundsätzen Rechnung.
(10)
Die Anwendung der Datenschutznormen wird gewährleistet mittels administrativer und gerichtlicher Rechtsbehelfe - insbesondere durch den „Habeas-data“-Rechtsbehelf, durch den eine betroffene Person den für die Verarbeitung Verantwortlichen vor Gericht bringen kann, um ihr Recht auf Zugang, Berichtigung und Löschung einzuklagen - sowie einer unabhängigen Aufsicht durch die Stelle für die Regulierung und Kontrolle personenbezogener Daten (Unidad Reguladora y de Control de Datos Personales (URCDP)), die gemäß Artikel 28 der Richtlinie 95/46/EG mit Untersuchungs-, Eingriffs- und Sanktionskompetenzen ausgestattet ist und in völliger Unabhängigkeit handelt. Zudem kann jede betroffene Partei zur Wiedergutmachung von Schäden, die ihr infolge einer gesetzeswidrigen Verarbeitung ihrer personenbezogenen Daten entstanden sind, einen gerichtlichen Rechtsbehelf einlegen.
(11)
Die uruguayische Datenschutzbehörde hat Erläuterungen und Garantien zur Auslegung des uruguayischen Rechts abgegeben und darüber hinaus zugesichert, dass die uruguayischen Datenschutzvorschriften gemäß dieser Auslegung umgesetzt werden. Insbesondere hat die uruguayische Datenschutzbehörde erklärt, dass gemäß Artikel 332 der Verfassung das Gesetz Nr. 18.331 zusätzlich zu besonderen Gesetzen zur Einrichtung und Regulierung spezifischer Datenbanken auf die in diesen Gesetzen nicht geregelten Fragen Anwendung findet. Die Behörden haben auch dargelegt, dass in Bezug auf die in Artikel 9 Buchstabe C des Gesetzes Nr. 18.331 genannten Verzeichnisse, die nicht der Zustimmung des Betroffenen zur Verarbeitung bedürfen, das Gesetz - insbesondere die Grundsätze der Verhältnismäßigkeit und Zweckgebundenheit - auch auf die Rechte der Betroffenen Anwendung findet und die Einhaltung dieser Rechte von der Datenschutzbehörde überwacht wird. Im Hinblick auf den Grundsatz der Transparenz hat die uruguayische Datenschutzbehörde mitgeteilt, dass die Verpflichtung, Betroffenen die erforderlichen Informationen bereitzustellen, in allen Fällen gilt. In Bezug auf das Zugangsrecht hat die Behörde klargestellt, dass es genügt, wenn der Betroffene bei der Antragstellung seine Identität nachweist. Zudem hat sie erläutert, dass die in Artikel 23 Absatz 1 des Gesetzes Nr. 18.331 niedergelegten Ausnahmen zum Grundsatz der Übermittlung von Daten in ein Drittland nicht so auszulegen sind, dass sie einen breiteren Anwendungsbereich als Artikel 26 Absatz 1 der Richtlinie 95/46/EG haben.
(12)
Der vorliegende Beschluss trägt diesen Erläuterungen und Zusicherungen Rechnung und stützt sich darauf.
(13)
Die Republik Östlich des Uruguay ist auch Vertragspartei der Amerikanischen Menschenrechtskonvention (AMRK) vom 22. November 1969, die am 18. Juli 1978 in Kraft getreten ist (3). In Artikel 11 dieser Konvention ist das Recht auf Privatsphäre niedergelegt, während laut Artikel 30 Einschränkungen, die nach Maßgabe dieser Konvention für die Geltendmachung oder Ausübung der von der Konvention anerkannten Rechte oder Freiheiten festgelegt werden können, nur im Einklang mit aus Gründen des allgemeinen Interesses verabschiedeten Gesetzen und nur im Einklang mit dem Zweck der Einschränkungen Anwendung finden. Außerdem hat die Republik Östlich des Uruguay die Gerichtsbarkeit des Interamerikanischen Gerichtshofs für Menschenrechte akzeptiert. Darüber hinaus haben die Ministerstellvertreter im Europarat auf ihrer 1118. Sitzung vom 6. Juli 2011 die Republik Östlich des Uruguay aufgefordert, dem Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (ETS Nr. 108) und dessen Zusatzprotokoll (ETS Nr. 118) nach einer befürwortenden Stellungnahme des betreffenden Beratenden Ausschusses beizutreten (4).
(14)
Daher ist die Republik Östlich des Uruguay als Land anzusehen, das ein angemessenes Schutzniveau für personenbezogene Daten gemäß der Richtlinie 95/46/EG bietet.
(15)
Dieser Beschluss sollte die Angemessenheit des Schutzes, den die Republik Östlich des Uruguay im Hinblick auf die Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG gewährleistet, betreffen. Andere Bedingungen oder Einschränkungen zur Umsetzung sonstiger Bestimmungen der Richtlinie hinsichtlich der Verarbeitung personenbezogener Daten in den Mitgliedstaaten sollten davon unberührt bleiben.
(16)
Im Interesse der Transparenz und um sicherzustellen, dass die zuständigen Behörden der Mitgliedstaaten in der Lage sind, den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zu gewährleisten, sind - unbeschadet der Feststellung eines angemessenen Schutzniveaus - die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenströme gerechtfertigt ist.
(17)
Die Kommission sollte die Durchführung dieses Beschlusses überwachen und den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse unterrichten. Die Überwachung sollte sich unter anderem auf Regelungen der Republik Östlich des Uruguay erstrecken, die auf Übermittlungen im Rahmen internationaler Verträge anwendbar sind.
(18)
Die Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine befürwortende Stellungnahme zur Angemessenheit des Schutzes personenbezogener Daten abgegeben; diese Stellungnahme wurde bei der Ausarbeitung des vorliegenden Beschlusses berücksichtigt (5).
(19)
Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des durch Artikel 31 Absatz 1 der Richtlinie 95/46/EG eingesetzten Ausschusses -
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
(1) Für die Zwecke von Artikel 25 Absatz 2 der Richtlinie 95/46/EG wird die Republik Östlich des Uruguay als Land angesehen, das ein angemessenes Schutzniveau bei der Übermittlung personenbezogener Daten aus der Europäischen Union bietet.
(2) Die zuständige Behörde, die in der Republik Östlich des Uruguay die Anwendung der uruguayischen Datenschutzbestimmungen überwacht, ist im Anhang dieses Beschlusses genannt.
Artikel 2
(1) Unbeschadet ihrer Befugnis, Maßnahmen zum Zwecke der Einhaltung einzelstaatlicher Vorschriften zu ergreifen, denen andere Bestimmungen als die des Artikels 25 der Richtlinie 95/46/EG zugrunde liegen, können die zuständigen Behörden in den Mitgliedstaaten von ihrem Recht Gebrauch machen, zum Schutz von Privatpersonen bei der Verarbeitung von deren personenbezogenen Daten die Datenübermittlung an einen Empfänger in der Republik Östlich des Uruguay auszusetzen, wenn
a)
eine zuständige uruguayische Behörde feststellt, dass der Datenempfänger die geltenden Datenschutzvorschriften nicht einhält, oder
b)
eine hohe Wahrscheinlichkeit besteht, dass die Datenschutzvorschriften verletzt werden, Grund zur Annahme besteht, dass die zuständige uruguayische Behörde nicht rechtzeitig angemessene Maßnahmen ergreift, um das Problem zu lösen, die Fortsetzung der Datenübermittlung den betroffenen Personen einen unmittelbar bevorstehenden schweren Schaden zuzufügen droht und die zuständigen Behörden in den Mitgliedstaaten sich unter den gegebenen Umständen in angemessener Weise bemüht haben, die für die Datenverarbeitung verantwortliche Stelle in der Republik Östlich des Uruguay zu benachrichtigen, und ihr Gelegenheit zur Stellungnahme gegeben haben.
(2) Die Aussetzung ist zu beenden, sobald der Datenschutz sichergestellt ist und dies den zuständigen Behörden der betreffenden Mitgliedstaaten mitgeteilt wird.
Artikel 3
(1) Die Mitgliedstaaten unterrichten die Kommission unverzüglich, wenn Maßnahmen gemäß Artikel 2 ergriffen werden.
(2) Die Mitgliedstaaten und die Kommission benachrichtigen einander auch über Fälle, bei denen die Maßnahmen der verantwortlichen Stellen in der Republik Östlich des Uruguay nicht ausreichen, um die Einhaltung der Datenschutzvorschriften zu gewährleisten.
(3) Ergeben die nach Artikel 2 sowie nach den Absätzen 1 und 2 dieses Artikels gewonnenen Erkenntnisse, dass eine für die Einhaltung der Vorschriften in der Republik Östlich des Uruguay verantwortliche Stelle ihre Aufgabe nicht vollständig erfüllt, so benachrichtigt die Kommission die zuständige uruguayische Behörde und schlägt erforderlichenfalls Maßnahmen gemäß dem in Artikel 31 Absatz 2 der Richtlinie 95/46/EG genannten Verfahren vor, um eine Aufhebung oder Aussetzung dieses Beschlusses oder eine Beschränkung seines Anwendungsbereichs zu erwirken.
Artikel 4
Die Kommission überwacht die Durchführung dieses Beschlusses und unterrichtet den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über relevante Erkenntnisse; dazu zählen auch Erkenntnisse, die sich auf die Feststellung in Artikel 1 dieses Beschlusses auswirken könnten, wonach die Republik Östlich des Uruguay ein angemessenes Schutzniveau im Sinne von Artikel 25 der Richtlinie 95/46/EG bietet, ferner Erkenntnisse, die darauf hindeuten, dass dieser Beschluss in diskriminierender Weise angewandt wird.
Artikel 5
Die Mitgliedstaaten ergreifen die erforderlichen Maßnahmen, um dem Beschluss binnen [drei Monaten] nach seiner Bekanntgabe nachzukommen.
Artikel 6
Dieser Beschluss ist an die Mitgliedstaaten gerichtet.
Brüssel, den 21. August 2012