PROVÁDĚCÍ ROZHODNUTÍ KOMISE
ze dne 21. srpna 2012
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů
(oznámeno pod číslem C(2012) 5704)
(Text s významem pro EHP)
(2012/484/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů (2),
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Ústava Uruguayské východní republiky přijatá v roce 1967 výslovně neuznává právo na soukromí ani právo na ochranu osobních údajů. Seznam základních práv však není konečný, jelikož v článku 72 ústavy je stanoveno, že „uvedení práv, povinností a záruk v ústavě nevylučuje ostatní práva, povinnosti a záruky, jež jsou neodmyslitelně spjaty s osobností člověka nebo které vyplývají z republikánské formy vlády“. Paragraf 1 zákona č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ ze dne 11. srpna 2008 (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) jednoznačně uvádí, že „člověku je vlastní právo na ochranu osobních údajů, a je proto obsaženo v článku 72 ústavy republiky“. V článku 332 ústavy je uvedeno, že uplatňování pravidel obsažených v této ústavě, která uznávají práva jednotlivců, jakož i pravidel přiznávajících práva a ukládajících povinnosti orgánům veřejné správy, by nemělo být znemožněno neexistencí příslušných předpisů, nýbrž tyto budou nahrazeny použitím základů podobných zákonů, právních zásad a obecně uznávaných doktrín.
(6)
Právní normy ochrany osobních údajů v Uruguayské východní republice vycházejí především ze standardu stanoveného směrnicí 95/46/ES a jsou uvedeny v zákoně č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data“) ze dne 11. srpna 2008. Tento zákon se vztahuje jak na fyzické, tak na právnické osoby.
(7)
Tento zákon je dále doplněn vyhláškou č. 414/009 ze dne 31. srpna 2009, která byla přijata za účelem vyjasnění některých aspektů zákona a stanovení podrobné úpravy organizace, pravomocí a fungování orgánu dohlížejícího na ochranu údajů. V preambuli vyhlášky se uvádí, že v této věci je vhodné přizpůsobit vnitrostátní právní systém nejuznávanějšímu srovnatelnému právnímu režimu, a to v zásadě režimu stanovenému evropskými zeměmi prostřednictvím směrnice 95/46/ES.
(8)
Ustanovení o ochraně údajů jsou obsažena rovněž v řadě zvláštních právních předpisů, kterými je upraveno vytváření a správa databází, zejména v právních předpisech, které upravují určité veřejné rejstříky (veřejných listin, průmyslového vlastnictví a obchodních značek, osobních úkonů, nemovitostí, těžebních práv, nebo úvěrové solventnosti). Ve smyslu článku 332 ústavy se zákon č. 18.331 dodatečně k těmto předpisům používá ve vztahu k těm otázkám, jež nejsou upraveny zvláštními právními předpisy.
(9)
Právní normy o ochraně údajů uplatňované v Uruguayské východní republice obsahují všechny základní zásady nezbytné pro zajištění odpovídající úrovně ochrany fyzických osob a současně stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Do těchto právních norem o ochraně údajů a výjimek se promítají zásady stanovené ve směrnici 95/46/ES.
(10)
Uplatňování právních norem o ochraně údajů je zaručeno správními a soudními opravnými prostředky, zejména žalobou „habeas data“, která subjektu údajů umožňuje pohnat správce údajů před soud za účelem vymožení svého práva na přístup k údajům, jejich opravu a výmaz, a dále nezávislým dohledem prováděným orgánem dozoru (Útvar pro regulaci a kontrolu osobních údajů, Unidad Reguladora y de Control de Datos Personales (URCDP)), který je vybaven pravomocí vyšetřovat, zasahovat a sankcionovat v souladu s článkem 28 směrnice 95/46/ES, a který koná zcela nezávisle. Kterákoli zainteresovaná strana má navíc právo vymáhat soudní cestou náhradu škody, kterou utrpěla v důsledku protiprávního zpracování jejích osobních údajů.
(11)
Uruguayské orgány na ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu uruguayského práva a poskytly záruky ohledně provádění uruguayských předpisů na ochranu údajů v souladu s takovým výkladem. Uruguayské orgány na ochranu údajů vysvětlily, že podle článku 332 ústavy se zákon č. 18.331 používá dodatečně ke zvláštním právním předpisům, které upravují vytváření a správu specifických databází, ve vztahu k těm otázkám, které tyto zvláštní právní nástroje neupravují. Stejně tak vysvětlily, že pokud jde o seznamy uvedené v paragrafu 9 C) zákona č. 18.331, a které nevyžadují souhlas subjektu údajů se zpracováním, ze zákona se uplatňují také práva subjektů údajů, zejména zásady omezení účelu a přiměřenosti údajů, a že tato práva jsou pod dohledem orgánů pro ochranu údajů. Co se týče zásady transparentnosti, uruguayské orgány pro ochranu údajů informovaly, že ve všech případech se uplatňuje povinnost poskytnout subjektu údajů nezbytné informace. Pokud jde o právo na přístup k údajům, orgán na ochranu údajů vysvětlil, že při podání žádosti stačí, když subjekt údajů prokáže svou totožnost. Uruguayské orgány pro ochranu údajů objasnily, že výjimky týkající se zásady předávání údajů do jiných zemí, které jsou uvedeny v paragrafu 23 odst. 1 zákona č. 18.331, nelze chápat v tom smyslu, že mají širší uplatnění, než jaké je uvedeno v čl. 26 odst. 1 směrnice 95/46/ES.
(12)
Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám a vychází z nich.
(13)
Uruguayská východní republika je také smluvní stranou Americké úmluvy o lidských právech (Pakt ze San José, Costa Rica) ze dne 22. listopadu 1969, která vstoupila v platnost dne 18. července 1978 (3). Článek 11 této úmluvy stanoví právo na soukromí a v článku 30 je uvedeno, že omezení uplatnění nebo využití práv či svobod, které úmluva uznává, lze použít podle této úmluvy pouze v souladu s právními předpisy přijatými v obecném zájmu a v souladu s účelem, pro který bylo takové omezení přijato (článek 30). Uruguayská východní republika se navíc podřizuje jurisdikci Meziamerického soudu pro lidská práva. Poté co příslušný poradní výbor vydal kladné stanovisko, vyzvali zástupci ministrů Rady Evropy na svém 1118. zasedání dne 6. července 2011 Uruguayskou východní republiku, aby přistoupila k Úmluvě o ochraně osob s ohledem na automatizované zpracování osobních údajů (ETS č. 108) a k jejímu dodatkovému protokolu (ETS č. 118) (4).
(14)
Uruguayskou východní republiku je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(15)
Toto rozhodnutí by se mělo týkat přiměřenosti ochrany zajištěné v Uruguayské východní republice s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES. Nemělo by se týkat jiných podmínek či omezení, které provádějí jiná ustanovení zmíněné směrnice, a které se týkají zpracování osobních údajů v členských státech.
(16)
V zájmu transparentnosti, a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(17)
Komise by měla sledovat, jak toto rozhodnutí funguje, a veškeré relevantní poznatky sdělovat výboru zřízenému podle článku 31 směrnice 95/46/ES. Sledování by se mělo zaměřit mimo jiné na režim předávání údajů, který Uruguayská východní republika používá v rámci mezinárodních smluv.
(18)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (5).
(19)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Uruguayská východní republika považuje za zemi zajišťující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
2. V příloze tohoto rozhodnutí je uveden příslušný orgán dozoru Uruguayské východní republiky pro uplatňování právních norem ochrany údajů v Uruguayské východní republice.
Článek 2
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Uruguayské východní republice s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný uruguayský orgán zjistí, že příjemce nedodržuje standardy uplatňované v oblasti ochrany, nebo
b)
pokud existuje důvodná pravděpodobnost, že normy ochrany jsou porušovány, a pokud se lze důvodně domnívat, že příslušný uruguayský orgán včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení dané věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností vyvinuly přiměřené úsilí o informování strany odpovědné za zpracování údajů usazené v Uruguayské východní republice a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 3
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 2.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním dodržování norem ochrany v Uruguayské východní republice nejsou dostatečná.
3. Pokud informace shromážděné podle článku 2 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Uruguayské východní republice neplní účinně svou úlohu, uvědomí o tom Komise příslušný uruguayský orgán a v případě potřeby předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 4
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Uruguayské východní republice odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 5
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do tří měsíců od data jeho zveřejnění.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 21. srpna 2012.
KOMISJONI RAKENDUSOTSUS,
21. august 2012,
isikuandmete piisava kaitse kohta Uruguay Idavabariigis seoses isikuandmete automaatse töötlemisega vastavalt Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ
(teatavaks tehtud numbri C(2012) 5704 all)
(EMPs kohaldatav tekst)
(2012/484/EL)
EUROOPA KOMISJON
võttes arvesse Euroopa Liidu toimimise lepingut,
võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, (1) eriti selle artikli 25 lõiget 6,
olles konsulteerinud Euroopa andmekaitseinspektoriga (2)
ning arvestades järgmist:
(1)
Direktiivi 95/46/EÜ kohaselt peavad liikmesriigid sätestama, et isikuandmeid võib kolmandale riigile edastada üksnes juhul, kui kõnealuses kolmandas riigis on tagatud andmekaitse piisav tase ning kui enne andmete edastamist järgitakse direktiivi muude sätete rakendamist käsitlevaid liikmesriikide õigusakte.
(2)
Komisjon võib järeldada, et kolmas riik tagab andmekaitse piisava taseme. Sel juhul võib liikmesriikidest isikuandmeid edastada ilma lisatagatisteta.
(3)
Vastavalt direktiivile 95/46/EÜ tuleb andmekaitse taseme hindamisel silmas pidada kõiki andmete edastamise toimingute või andmete edastamise toimingute kogumi asjaolusid ning pöörata erilist tähelepanu mitmele andmete edastamise seisukohalt olulistele ja direktiivi artiklis 25 loetletud tegurile.
(4)
Kuna kolmandad riigid suhtuvad andmekaitsesse erineval viisil, tuleks hinnata andmekaitse piisavust ning teha ja jõustada kõik direktiivi 95/46/EÜ artikli 25 lõikel 6 põhinevad otsused viisil, mis ei tekita meelevaldset või põhjendamatut diskrimineerimist selliste kolmandate riikide suhtes või vahel, kus valitsevad samasugused tingimused, või kaubanduse varjatud tõkestamist, võttes arvesse Euroopa Liidu kehtivaid rahvusvahelisi kohustusi.
(5)
Uruguay Idavabariigi põhiseaduses, mis võeti vastu 1967. aastal, ei tunnistata selgesõnaliselt õigust eraelu puutumatusele ja isikuandmete kaitsele. Ometi ei ole põhiõiguste loetelu lõplik, pidades silmas, et põhiseaduse artiklis 72 on sätestatud, et põhiseaduses loetletud õigused, kohustused ja tagatised ei välista teisi õigusi, kohustusi ja tagatisi, mis kuuluvad inimese põhiõiguste hulka või mis tulenevad valitsuse vabariiklikust korrast. 11. augusti 2008. aasta seaduses nr 18.331 isikuandmete kaitse ning õiguskaitsevahendi habeas data kohta (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) artiklis 1 on selgesõnaliselt sätestatud, et: „Õigus isikuandmete kaitsele kuulub inimese põhiõiguste hulka, mistõttu vabariigi põhiseaduse artikkel 72 hõlmab seda”. Põhiseaduse artiklis 332 on sätestatud, et põhiseaduse nende ettekirjutuste kohaldamist, millega tunnistatakse üksikisikute õigusi ning millega määratakse kindlaks avalike asutuste õigused ja kohustused, ei tohiks takistada asjakohaste eeskirjade puudumine, vaid pigem tuleks sel juhul tugineda aluseks olevatele sarnastele seadustele, õiguspõhimõtetele ja üldiselt heakskiidetud doktriinidele.
(6)
Isikuandmete kaitset käsitlevate õigusnormide aluseks Uruguay Idavabariigis on peamiselt direktiiviga 95/46/EÜ kehtestatud õigusnormid ja need on sätestatud 11. augusti 2008. aasta seaduses nr 18.331 isikuandmete kaitse ning õiguskaitsevahendi habeas data kohta (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”). Seadus hõlmab füüsilisi ja juriidilisi isikuid.
(7)
Seda seadust täiendab 31. augusti 2009. aasta dekreet nr 414/009, mis võeti vastu, et selgitada seaduse eri aspekte ja sätestada üksikasjalikult andmekaitse järelevalveasutuse ülesehitus, volitused ja töö. Dekreedi preambulis on välja toodud, et on asjakohane kohandada riigi õiguslikku süsteemi selles küsimuses vastavalt kõige aktsepteeritumale võrreldavale õiguslikule korrale, eelkõige sellisele, mis on kehtestatud Euroopa riikides direktiiviga 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta.
(8)
Andmekaitset käsitlevaid sätteid sisaldab ka hulk eriõigusakte, millega luuakse andmebaase ja reguleeritakse nende tööd, nimelt õigusaktid, mis reguleerivad teatavate avalike registrite tööd (avalikud dokumendid, tööstusomand ja kaubamärgid, eradokumendid, kinnisvara, kaevandamine, krediidiinfo). Seadust nr 18.331 kohaldatakse põhiseaduse artikli 332 kohaselt nende seaduste suhtes küsimustes, mida nimetatud eriõigusaktid ei hõlma.
(9)
Uruguay Idavabariigis kohaldatavad õigusnormid hõlmavad kõiki üldpõhimõtteid, mis on vajalikud füüsiliste isikute kaitse piisava taseme tagamiseks, kuid samal ajal sätestatakse tähtsate üldiste huvide kaitse eesmärgil ka teatavad erandid ja piirangud. Andmekaitse õigusnormid ja nende erandid kajastavad direktiivis 95/46/EÜ sätestatut.
(10)
Kõnealuste andmekaitse õigusnormide kohaldamine tagatakse haldus- ja õiguskaitsevahenditega, eelkõige habeas data õiguskaitsevahendiga, mis võimaldab andmesubjektil andmete töötleja kohtusse kaevata, et jõustada oma andmetele juurdepääsu, nende parandamise ja kustutamise õigust, ning sõltumatu järelevalve abil, mida teostab järelevalveasutusena isikuandmete reguleerimise ja kontrollimise üksus (Unidad Reguladora y de Control de Datos Personales (URCDP), millele on antud direktiivi 95/46/EÜ artikliga 28 uurimis- ja sekkumisvolitused ning mis tegutseb täiesti sõltumatult Lisaks on huvitatud isikutel õigus õiguslikule hüvitisele, mis katab isikule tema isikuandmete ebaseadusliku töötlemise tõttu tekkinud kahjud.
(11)
Uruguay andmekaitseasutus on esitanud selgitused ja kinnitused selle kohta, kuidas Uruguay õigust tuleks tõlgendada ning on kinnitanud, et Uruguay andmekaitse eeskirju rakendatakse sellise tõlgendamise kohaselt. Eelkõige on Uruguay andmekaitseasutused selgitanud, et vastavalt põhiseaduse artiklile 332, saab seadust nr 18.331 täiendavalt kohaldada õigusaktide suhtes, millega luuakse ja reguleeritakse eriandmebaase, seoses nende küsimustega, mida eriõigusvahendid ei reguleeri. Samuti on selgitatud, et seoses seaduse nr 18.331 artikli 9 punktis c osutatud loeteludega, mille puhul ei ole vaja andmesubjekti nõusolekut, on seadus kohaldatav, nimelt proportsionaalsuse ja lõplikkuse põhimõte, andmesubjekti õigused ja andmekaitseasutuse järelevalvekohustus. Seoses läbipaistvuse põhimõttega on Uruguay andmekaitseasutused teavitanud kohustusest anda andmesubjektile igal juhul vajalik teave. Seoses juurdepääsuõigusega on andmekaitseasutus selgitanud, et piisab sellest, kui andmesubjekt tõendab taotluse esitamisel oma isiku. Uruguay andmekaitseasutused on selgitanud, et erandid rahvusvaheliste isikuandmete edastamisest, mis on sätestatud seaduse nr 18.331 artikli 23 lõikes 1, ei ole mõistetavad direktiivi 95/46/EÜ artikli 26 lõike 1 laiema kohaldatavusena.
(12)
Käesolev otsus võtab arvesse nimetatud selgitusi ja kinnitusi ning põhineb seega neil.
(13)
Uruguay Idavabariik on 22. novembril 1969. aastal koostatud ja 18. juulil 1978 jõustunud inimõiguste Ameerika konventsiooni (3) (Pact of San José de Costa Rica) osaline. Konventsiooni artiklis 11 on sätestatud õigus eraelu puutumatusele ja artiklis 30 on sätestatud, et konventsiooni kohaselt seatavaid piiranguid konventsiooniga tunnustatud õigustele ja vabadustele tohib kohaldada vaid kooskõlas üldhuvi järgivate seaduste ja kooskõlas piirangute eesmärgiga (artikkel 30). Lisaks on Uruguay Idavabariik tunnustanud Ameerika inimõiguste kohtu pädevust. Lisaks kutsuti Euroopa Nõukogu ministrite komitee 6. juuli 2011. aasta 1118. kohtumisel Uruguay Idavabariiki üles liituma konventsiooniga (üksikisikute kaitse kohta isikuandmete automaattöötlusel) (ETS nr 108) ja selle lisaprotokolliga (ETS nr 118) pärast asjaomaselt nõuandekomiteelt saadud positiivset vastust (4).
(14)
Seetõttu tuleks isikuandmete kaitse Uruguay Idavabariigis lugeda piisavaks direktiivi 95/46/EÜ tähenduses.
(15)
Käesolev otsus peaks käsitlema isikuandmete kaitse piisavust Uruguay Idavabariigis direktiivi 95/46/EÜ artikli 25 lõikes 1 esitatud nõuetele vastamise seisukohast. See ei peaks mõjutama muid tingimusi või piiranguid selle direktiivi muude sätete rakendamisel, mis käsitlevad isikuandmete töötlemist liikmesriikides.
(16)
Selguse ja arusaadavuse huvides ning võimaldamaks liikmesriikide pädevatel ametiasutustel tagada üksikisikute kaitset nende isikuandmete töötlemisel, tuleb kindlaks määrata need erandlikud asjaolud, mille korral teatava andmevahetuse peatamine on põhjendatud, olenemata sellest, et andmekaitse tase on tunnistatud piisavaks.
(17)
Komisjon peaks jälgima käesoleva otsuse toimimist ja esitama direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele aruande kõigi järelduste kohta. Selline järelevalve peaks muu hulgas hõlmama Uruguay Idavabariigis kohaldatavat rahvusvaheliste lepingute raames toimuva andmete edastamise korda.
(18)
Direktiivi 95/46/EÜ artikli 29 alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on esitanud isikuandmete kaitse piisava taseme kohta pooldava arvamuse, mida on käesoleva rakendusotsuse (5) ettevalmistamisel arvesse võetud.
(19)
Käesoleva otsusega ettenähtud meetmed on kooskõlas direktiivi 95/46/EÜ artikli 31 lõike 1 alusel loodud komitee arvamusega,
ON VASTU VÕTNUD KÄESOLEVA OTSUSE:
Artikkel 1
1. Direktiivi 95/46/EÜ artikli 25 lõike 2 kohaldamiseks loetakse Uruguay Idavabariik riigiks, kus on tagatud Euroopa Liidust edastatud isikuandmete kaitse piisav tase.
2. Uruguay Idavabariigi pädev järelevalveasutus seoses andmekaitse õigusnormide kohaldamisega Uruguay Idavabariigis on nimetatud käesoleva otsuse lisas.
Artikkel 2
1. Ilma et see piiraks liikmesriikide pädevate asutuste volitusi võtta meetmeid selleks, et tagada vastavus muudele sätetele kui direktiivi 95/46/EÜ artikli 25 kohaselt võetud siseriiklikele õigusnormidele, võivad nimetatud asutused kasutada olemasolevaid volitusi peatada andmete edastamine Uruguay Idavabariigis asuvale vastuvõtjale, et kaitsta üksikisikuid seoses nende isikuandmete töötlemisega järgmistel juhtudel:
a)
Uruguay pädev ametiasutus on kindlaks teinud, et vastuvõtja rikub kehtivaid kaitsenõudeid või
b)
kui on väga tõenäoline, et kaitsenõudeid rikutakse, on põhjust arvata, et Uruguay pädev ametiasutus ei võta ega kavatse võtta aegsasti asjakohaseid meetmeid kõnealuse olukorra lahendamiseks, andmeedastuse jätkamine võib kujutada andmesubjektide jaoks vältimatut tõsise kahju ohtu ning liikmesriikide pädevad ametiasutused on asjaolusid arvestades võtnud piisavaid meetmeid Uruguay Idavabariigis asuva töötlemise eest vastutava osapoole teavitamiseks ja andnud talle võimaluse vastata.
2. Peatamine lõpetatakse kohe, kui on tagatud kaitsenõuete järgimine ning asjaomase liikmesriigi pädevale ametiasutusele on sellest teatatud.
Artikkel 3
1. Liikmesriigid teatavad artikli 2 alusel võetud meetmetest viivitamata komisjonile.
2. Liikmesriigid ja komisjon teatavad üksteisele juhtudest, mil Uruguay Idavabariigis kaitsenõuete järgimise tagamise eest vastutavate organite tegevus ei ole taganud kaitsenõuete järgimist.
3. Kui artikli 2 ning selle lõigete 1 ja 2 kohaselt kogutud teave tõendab, et mõni Uruguay Idavabariigi kaitsenõuete järgimise tagamise eest vastutav ametiasutus ei täida oma ülesandeid tõhusalt, teavitab komisjon Uruguay pädevat ametiasutust ning esitab vajaduse korral direktiivi 95/46/EÜ artikli 31 lõikes 2 sätestatud korras eelnõud meetmete kohta, mille eesmärk on käesolev otsus kehtetuks tunnistada või peatada või piirata selle reguleerimisala.
Artikkel 4
Komisjon jälgib käesoleva otsuse toimimist ning esitab direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele aruande kõigi asjakohaste järelduste kohta, sealhulgas tõendid, mis võivad mõjutada käesoleva otsuse artiklis 1 esitatud järeldust, et Uruguay Idavabariigis pakutav kaitse on direktiivi 95/46/EÜ artikli 25 tähenduses piisav, ning tõendid selle kohta, et käesolevat otsust rakendatakse diskrimineerival viisil.
Artikkel 5
Liikmesriigid võtavad kõik käesoleva otsuse järgimiseks vajalikud meetmed [kolme kuu] jooksul alates otsuse teatavakstegemise kuupäevast.
Artikkel 6
Käesolev otsus on adresseeritud liikmesriikidele.
Brüssel, 21. august 2012