NL Publicatieblad van de Europese Unie L 227/11

UITVOERINGSBESLUIT VAN DE COMMISSIE

van 21 augustus 2012

overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad, over de passende bescherming van persoonsgegevens door de Republiek ten oosten van de Uruguay wat de geautomatiseerde verwerking van persoonsgegevens betreft

(Kennisgeving geschied onder nummer C(2012) 5704)

(Voor de EER relevante tekst)

(2012/484/EU)

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), en met name artikel 25, lid 6,

Na raadpleging van de Europese Toezichthouder voor gegevensbescherming (2),

Overwegende hetgeen volgt:

(1) Overeenkomstig Richtlijn 95/46/EG dienen de lidstaten te bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaten die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.

(2) De Commissie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties vanuit de lidstaten worden doorgegeven.

(3) Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden waarin een gegevensdoorgifte of een categorie gegevensdoorgiften plaatsvindt en dient in het bijzonder rekening te worden gehouden met een aantal elementen die van belang zijn voor de doorgifte en die in artikel 25 van de richtlijn zijn opgenomen.

(4) Gezien de verschillende benaderingen van gegevensbescherming in derde landen dient het beschermingsniveau te worden beoordeeld en dienen besluiten op grond van artikel 25, lid 6, van Richtlijn 95/46/EG te worden vastgesteld en uitgevoerd op een wijze die geen willekeurige of onterechte discriminatie inhoudt tegen of tussen derde landen waar gelijksoortige voorwaarden gelden, noch een verkapte handelsbelemmering, rekening houdend met de geldende internationale verbintenissen van de Europese Unie.

(5) In de grondwet van de Republiek ten oosten van de Uruguay, die sinds 1967 van kracht is, wordt het recht op bescherming van de persoonlijke levenssfeer en persoonsgegevens niet uitdrukkelijk erkend. De lijst van grondrechten is echter niet limitatief, aangezien overeenkomstig artikel 72 de vermelding van rechten, verplichtingen en garanties in de grondwet geen uitsluiting betekent van andere die inherent zijn aan de menselijke persoonlijkheid of die voortvloeien uit de republikeinse staatsvorm. In artikel 1 van Wet nr. 18.331 inzake de bescherming van persoonsgegevens en de habeas data-actie van 11 augustus 2008 staat uitdrukkelijk dat het recht op bescherming van persoonsgegevens inherent is aan de mens en derhalve onder artikel 72 van de grondwet van de Republiek valt. Volgens artikel 332 van de grondwet mag het ontbreken van specifieke regelgeving geen afbreuk doen aan de toepassing van de grondwettelijke bepalingen inzake de rechten van natuurlijke personen en betreffende de rechten en plichten van de autoriteiten; voor de toepassing dient te worden teruggegrepen op de onderliggende beginselen van soortgelijke wetten, de algemene rechtsbeginselen en algemeen aanvaarde uitgangspunten.

(6) De rechtsnormen voor de bescherming van persoonsgegevens in de Republiek ten oosten van de Uruguay zijn grotendeels gebaseerd op de in Richtlijn 95/46/EG vervatte normen en zijn vastgelegd in Wet nr. 18.331 inzake de bescherming van persoonsgegevens en de habeas data-actie (Ley No 18.331 de Protección de Datos Personales y Acción de „Habeas Data”) van 11 augustus 2008. Deze wet geldt voor natuurlijke personen en rechtspersonen.

(7) Deze wet wordt aangevuld door Besluit nr. 414/009 van 31 augustus 2009, dat is vastgesteld om de wet op verschillende punten te verduidelijken en de organisatie, bevoegdheden en werking van de toezichthoudende autoriteit voor gegevensbescherming nader te regelen. In de preambule van dit besluit wordt gesteld dat het wenselijk is de nationale rechtsorde op dit punt aan te passen aan de meest algemeen aanvaarde vergelijkbare wettelijke regeling, namelijk die welke door de Europese landen is ingesteld bij Richtlijn 95/46/EG.

(8) Voorts zijn er gegevensbeschermingsbepalingen opgenomen in een aantal bijzondere wetten waarbij gegevensbanken worden opgezet en gereguleerd, namelijk wetten betreffende openbare registers (openbare akten, industriële eigendom en handelsmerken, persoonlijke akten, onroerend goed, mijnbouw of kredietregistratie). Overeenkomstig artikel 332 van de grondwet geldt Wet nr. 18.331 aanvullend voor zaken die niet onder specifieke wetgeving vallen.

(9) De rechtsnormen voor de bescherming van persoonsgegevens in de Republiek ten oosten van de Uruguay omvatten alle basisbeginselen die noodzakelijk zijn voor een passend beschermingsniveau voor natuurlijke personen en voorzien tevens in de nodige uitzonderingen en beperkingen voor de bescherming van zwaarwegende algemene belangen. Deze rechtsnormen voor gegevensbescherming en de uitzonderingen weerspiegelen de beginselen vervat in Richtlijn 95/46/EG.

(10) De toepassing van de rechtsnormen voor gegevensbescherming wordt gewaarborgd door bestuurlijke en rechtsmiddelen, in het bijzonder door de habeas data-maatregel, op grond waarvan een betrokkene de voor de verwerking verantwoordelijke voor het gerecht kan dagen om zijn recht van toegang, rectificatie en verwijdering af te dwingen, en door onafhankelijk toezicht door de toezichthoudende autoriteit, de Eenheid voor toezicht en controle op persoonsgegevens (Unidad Reguladora y de Control de Datos Personales, URCDP), die in overeenstemming met artikel 28 van Richtlijn 95/46/EG bevoegd is om onderzoek te verrichten, in te grijpen en sancties te treffen en die volledig onafhankelijk optreedt. Bovendien heeft iedere belanghebbende het recht om bij een rechterlijke instantie beroep in te stellen teneinde schadevergoeding te verkrijgen voor onrechtmatige verwerking van zijn persoonsgegevens.

(11) De Uruguayaanse autoriteiten voor gegevensbescherming hebben verduidelijkingen en waarborgen inzake de interpretatie van de Uruguayaanse wetgeving verschaft en de verzekering gegeven dat de Uruguayaanse normen inzake gegevensbescherming overeenkomstig deze interpretatie worden uitgevoerd. De Uruguayaanse gegevensbeschermingsautoriteiten hebben met name uitgelegd dat Wet nr. 18.331 overeenkomstig artikel 332 van de grondwet aanvullend geldt voor zaken die niet onder specifieke wetgeving vallen waarbij gegevensbanken worden opgezet en gereguleerd. Voorts hebben zij uitgelegd dat de wet ook geldt voor de lijsten van artikel 9C van Wet nr. 18.331, betreffende verwerking waarvoor geen toestemming van de betrokkene nodig is; hierbij gaat het om de beginselen van evenredigheid en doelbinding, de rechten van betrokkenen en het toezicht hierop door de gegevensbeschermingsautoriteit. Wat het transparantiebeginsel betreft, hebben de Uruguayaanse gegevensbeschermingsautoriteiten laten weten dat de verplichting om de betrokkene de nodige informatie te verstrekken in alle gevallen geldt. Wat het recht van toegang betreft, heeft de gegevensbeschermingsautoriteit uitgelegd dat een betrokkene voor het indienen van een verzoek alleen het bewijs hoeft te leveren van zijn identiteit. De Uruguayaanse gegevensbeschermingsautoriteiten hebben verklaard dat de uitzonderingen in verband met het beginsel van internationale doorgiften die zijn vastgelegd in artikel 23, lid 1, van Wet nr. 18.331 niet kunnen aldus kunnen worden opgevat dat zij breder van toepassing zijn dan die van artikel 26, lid 1, van Richtlijn 95/46/EG.

(12) Deze verduidelijkingen en waarborgen zijn in aanmerking genomen bij het opstellen van dit besluit en zij liggen eraan ten grondslag.

(13) De Republiek ten oosten van de Uruguay is ook partij bij het Amerikaans Verdrag inzake de rechten van de mens (Verdrag van San José) van 22 november 1969, dat van kracht is sinds 18 juli 1978 (3). In artikel 11 van dat verdrag is het recht op bescherming van de persoonlijke levenssfeer vastgelegd, terwijl artikel 30 bepaalt welke beperkingen die krachtens het verdrag kunnen worden gesteld aan het genieten of uitoefenen van de bij het verdrag erkende rechten of vrijheden alleen kunnen worden toegepast als zulks in overeenstemming is met wetten die om redenen van algemeen belang zijn vastgesteld en met het doel waarvoor dergelijke beperkingen zijn vastgesteld (artikel 30). Bovendien heeft de Republiek ten oosten van de Uruguay de bevoegdheid van het Interamerikaanse Hof voor de rechten van de mens aanvaard. Verder hebben de afgevaardigden van de ministers van de Raad van Europa op hun 1118e vergadering, van 6 juli 2011, de Republiek ten oosten van de Uruguay uitgenodigd om toe te treden tot het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (ETS nr. 108) en het aanvullende protocol daarbij (ETS nr. 118) na een gunstig advies van het betrokken raadgevend comité (4).

(14) Gezien het bovenstaande dient te worden aangenomen dat de Republiek ten oosten van de Uruguay een passend beschermingsniveau voor persoonsgegevens waarborgt, als bedoeld in Richtlijn 95/46/EG.

(15) Dit besluit dient betrekking te hebben op de vraag of de bescherming die in de Republiek ten oosten van de Uruguay wordt geboden, passend is in de zin van artikel 25, lid 1, van Richtlijn 95/46/EG. Het besluit dient andere voorwaarden of beperkingen die tot uitvoering van andere bepalingen van die richtlijn strekken en betrekking hebben op de verwerking van persoonsgegevens in de lidstaten, onverlet te laten.

(16) In het belang van de transparantie en om de bevoegde autoriteiten in de lidstaten in staat te stellen de bescherming van personen in verband met de verwerking van hun persoonsgegevens te waarborgen, moet nader worden geregeld in welke buitengewone omstandigheden de doorgifte van gegevens toch kan worden opgeschort, ook al is een passend beschermingsniveau vastgesteld.

(17) De Commissie dient de werking van dit besluit te evalueren en alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee te delen. Deze evaluatie dient onder meer betrekking te hebben op de regeling van de Republiek ten oosten van de Uruguay voor doorgiften in het kader van internationale verdragen.

(18) De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft over het niveau van de bescherming van persoonsgegevens een gunstig advies uitgebracht, waarmee bij de opstelling van dit besluit rekening is gehouden (5).

(19) De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31, lid 1, van Richtlijn 95/46/EG ingestelde comité,

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

Artikel 1

1. Voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG wordt de Republiek ten oosten van de Uruguay geacht een passend beschermingsniveau te waarborgen voor vanuit de Europese Unie doorgegeven persoonsgegevens.

2. De bevoegde autoriteit van de Republiek ten oosten van de Uruguay voor de toepassing van de wettelijke normen inzake gegevensbescherming in de Republiek ten oosten van de Uruguay wordt genoemd in de bijlage bij dit besluit.

Artikel 2

1. In onderstaande gevallen kunnen de bevoegde autoriteiten in de lidstaten gebruikmaken van hun bestaande bevoegdheden om gegevensstromen naar een ontvanger in de Republiek ten oosten van de Uruguay te onderbreken, teneinde personen ten aanzien van de verwerking van hun persoonsgegevens te beschermen, onverminderd de bevoegdheid van die autoriteiten om maatregelen te nemen voor de naleving van nationale bepalingen die zijn goedgekeurd ingevolge andere bepalingen dan artikel 25 van Richtlijn 95/46/EG:

a) indien een bevoegde Uruguayaanse autoriteit tot de conclusie is gekomen dat de ontvanger in strijd met de toepasselijke normen voor gegevensbescherming handelt, of

b) indien het zeer waarschijnlijk is dat niet aan de normen voor gegevensbescherming wordt voldaan, er goede redenen zijn om aan te nemen dat de bevoegde Uruguayaanse autoriteit niet tijdig passende maatregelen neemt of zal nemen om het probleem op te lossen, de voortzetting van de doorgifte een dreigend gevaar voor ernstige schade aan de betrokkene inhoudt en de bevoegde autoriteiten in de lidstaat gedaan hebben wat in de gegeven omstandigheden redelijkerwijs mogelijk is om de in de Republiek ten oosten van de Uruguay gevestigde organisatie die voor de verwerking verantwoordelijk is in kennis te stellen en de gelegenheid te geven te reageren.

2. De opschortende maatregel blijft van kracht tot vaststaat dat de beschermingsnormen worden nageleefd en de bevoegde autoriteit van de betrokken lidstaat of lidstaten hiervan in kennis is gesteld.

Artikel 3

1. De lidstaten stellen de Commissie onverwijld in kennis wanneer op grond van artikel 2 maatregelen worden genomen.

2. De lidstaten en de Commissie stellen elkaar in kennis van de gevallen waarin de instanties die in de Republiek ten oosten van de Uruguay verantwoordelijk zijn voor de naleving van de beschermingsnormen niet in staat zijn deze naleving te garanderen.

3. Wanneer uit de overeenkomstig artikel 2 en de leden 1 en 2 van dit artikel verzamelde informatie mocht blijken dat een instantie die verantwoordelijk is voor de naleving van de beschermingsnormen in de Republiek ten oosten van de Uruguay haar taak niet naar behoren vervult, stelt de Commissie de bevoegde Uruguayaanse autoriteit hiervan in kennis en stelt zij zo nodig, volgens de procedure van artikel 31, lid 2, van Richtlijn 95/46/EG, ontwerpmaatregelen voor om dit besluit in te trekken of op te schorten dan wel het toepassingsgebied ervan te beperken.

Artikel 4

De Commissie evalueert de werking van dit besluit en deelt alle relevante vaststellingen aan het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité mee, met inbegrip van alle gegevens die van invloed kunnen zijn op de vaststelling in artikel 1 van dit besluit dat het beschermingsniveau in de Republiek ten oosten van de Uruguay passend is in de zin van artikel 25 van Richtlijn 95/46/EG, alsmede, wanneer dit besluit op discriminerende wijze wordt uitgevoerd, alle gegevens waaruit dat blijkt.

Artikel 5

De lidstaten nemen alle nodige maatregelen om aan dit besluit te voldoen binnen drie maanden na de kennisgeving ervan.

Artikel 6

Dit besluit is gericht tot de lidstaten.

Gedaan te Brussel, 21 augustus 2012. Voor de Commissie Viviane REDING Vicevoorzitter

(1) PB L 281 van 23.11.1995, blz. 31.

(2) Brief van 31 augustus 2011.

(3) Organisatie van Amerikaanse Staten (OAS), Treaty Series, nr. 36, 1144, U.N.T.S. 123, http://www.oas.org/juridico/english/treaties/b-32.html.

(4) Raad van Europa: https://wcd.coe.int/wcd/ViewDoc.jsp?Ref=CM/Del/Dec(2011)1118/10.3&Language=lanEnglish&Ver=original&Site=CM&BackColorInternet=DBDCF2&BackColorIntranet=FDC864&BackColorLogged=FDC864

(5) Advies nr. 6/2010 over de mate van bescherming van persoonsgegevens in de Republiek ten oosten van de Uruguay, beschikbaar op: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp177_nl.pdf