COMMISSIONE EUROPEA

DECISIONE DI ESECUZIONE DELLA COMMISSIONE

del 21 agosto 2012

aisensi della direttiva 95/46/CE del Parlamento europeo e del Consiglio sull'adeguataprotezione dei dati personali da parte della Repubblica orientale dell'Uruguayin relazione al trattamento automatizzato di tali dati

(Testo rilevante ai fini del SEE - 2012/484/UE)

(Pubblicata sullaGUUE n. L 227 del 23.8.2012)

LACOMMISSIONE EUROPEA,

visto iltrattato sul funzionamento dell'Unione europea,

vista ladirettiva 95/46/CE del Parlamento europeo e del Consi­glio, del 24 ottobre1995, relativa alla tutela delle persone fisiche con riguardo al trattamentodei dati personali, nonché alla libera circolazione di tali dati ⁽¹⁾,in particolare l'articolo 25, paragrafo 6,

sentito ilGarante europeo della protezione dei dati ⁽²⁾,

considerandoquanto segue:

1.     Aisensi della direttiva 95/46/CE gli Stati membri devono far si' che iltrasferimento di dati personali a un paese terzo abbia luogo solo se il paesein questione garantisce adeguati livelli di tutela e dopo aver accertato, primadel trasferimento, che siano soddisfatte le norme degli Stati membri cheattuano altre disposizioni della direttiva.

2.     LaCommissione puo' constatare che un paese terzo ga­rantisca adeguati livellidi tutela. In tal caso, gli Stati membri possono trasferirvi dati personalisenza la neces­sita' di ulteriori garanzie.

3.     Secondola direttiva 95/46/CE e' necessario accertare il livello di protezione dei datialla luce di tutte le circostanze che accompagnano l'operazione, o una serie dioperazioni, di trasferimento dei dati, dando particolare rilievo agli elementidel trasferimento di cui all'articolo 25 della direttiva.

4.     Datala diversita' dei sistemi di protezione dei dati nei paesi terzi, lavalutazione dell'adeguatezza va effettuata, e ogni decisione ai sensi dell'articolo25, paragrafo 6 della direttiva 95/46/CE va presa e applicata, senzadiscriminazioni ingiustificate o arbitrarie contro o tra paesi terzi in cuiesistono condizioni simili e senza creare ostacoli mascherati al liberoscambio, nel rispetto degli attuali impegni internazionali assunti dall'Unioneeuropea.

5.     LaCostituzione politica della Repubblica orientale dell'Uruguay, adottata nel1967, non riconosce esplicitamente i diritti alla tutela della vita privata edei dati personali. Tuttavia, l'elenco dei diritti fondamentali non e'considerato esaustivo, poiché l'articolo 72 della Costi­tuzionedispone che l'elencazione di diritti, obblighi e garanzie ivi contenuta non neesclude altri che siano inerenti alla persona umana o derivino dalla formarepubblicana di governo. L'articolo 1 della legge n. 18.331 relativa allaprotezione dei dati personali e all'azione ´Habeas Dataª dell'11 agosto 2008 (LeyN 18.331 de Protección de Datos Personales y Acción de ´HabeasDataª) dispone espressamente che ´il diritto alla tutela dei dati personalie' inerente alla persona umana ed e' pertanto incluso nell'articolo 72 dellaCostituzione della Repubbli­caª. L'articolo 332 della Costituzione prevedeche l'appli­cazione delle disposizioni ivi contenute che riconosconodiritti individuali, cosi' come di quelle che conferiscono diritti e impongonoobblighi alle autorita' pubbliche, non deve essere pregiudicata dalla mancanza diuna norma­tiva specifica; al contrario, deve basarsi, mediante il ri­corsoai principi che sottostanno a leggi analoghe, sui principi generali del dirittoe della dottrina generalmente accettata.

6.     Lenorme giuridiche in materia di protezione dei dati personali nella Repubblicaorientale dell'Uruguay si basano in larga misura sulle norme minime stabilitedalla direttiva 95/46/CE e sono contenute nella legge n. 18.331 relativa allaprotezione dei dati personali e al­l'azione ´Habeas Dataª (Ley No 18.331 deProtección de Datos Personales y Acción de ´Habeas Dataª),dell'11 agosto 2008, che trova applicazione sia alle persone fisiche che allepersone giuridiche.

7.     Acomplemento di tale legge e' stato adottato il decreto n. 414/009, del 31agosto 2009, al fine di chiarire diversi aspetti della legge e di definire laregolamentazione det­tagliata relativa all'organizzazione, ai poteri e alfunzio­namento dell'autorita' di controllo della protezione dei dati. Ilpreambolo del decreto stabilisce che e' opportuno allineare il regime giuridiconazionale di questo settore al regime giuridico simile piu' accettato,essenzialmente quello definito dai paesi europei mediante la direttiva95/46/CE.

8.     Normesulla protezione dei dati si trovano anche in una serie di leggi speciali cheistituiscono e disciplinano le banche dati, segnatamente leggi che regolamentanotaluni registri pubblici (atti pubblici, diritti di proprieta' indu­strialee marchi, atti privati, beni immobili, attivita' mine­rarie o banche datisull'esposizione debitoria). Ai sensi dell'articolo 332 della Costituzione, lalegge n. 18.331 si applica anche a questi atti relativamente a quanto non siadisciplinato da dette norme giuridiche specifiche.

9.     Lenorme giuridiche applicabili nella Repubblica orientale dell'Uruguay in materiadi protezione dei dati conten­gono tutti i principi di un adeguato livellodi tutela delle persone fisiche e prevedono altresi' eccezioni e restrizioni alfine di salvaguardare importanti interessi pubblici. Tali norme giuridiche inmateria di protezione dei dati per­sonali e le relative eccezioniriflettono i principi contenuti nella direttiva 95/46/CE.

10.  L'applicazionedelle norme giuridiche in materia di pro­tezione dei dati e' garantita damezzi di impugnazione di natura amministrativa e giudiziaria, in particolaredal­l'azione ´Habeas Dataª che consente all'interessato di agire ingiudizio contro il responsabile del trattamento per esercitare i propri dirittidi accesso, di rettifica e di cancellazione. L'applicazione e' garantitaaltresi' dal controllo indipendente assicurato dall'autorita' a cio' preposta,l'Unita' per la regolamentazione ed il controllo dei dati personali (UnidadReguladora y de Control de Datos Perso­nales – URCDP),a cui sono conferiti poteri d'indagine, intervento e sanzione conformemente all'articolo28 della direttiva 95/46/CE e che agisce in totale indipendenza. Inoltre,chiunque vi abbia interesse puo' adire le vie legali per ottenere ilrisarcimento del danno subito in conse­guenza del trattamento illegale deipropri dati personali.

11.  Leautorita' uruguayane competenti per la protezione dei dati hanno fornitospiegazioni e garanzie relative all'in­terpretazione del diritto dellaRepubblica orientale del­l'Uruguay e hanno assicurato che la legislazionein ma­teria di protezione dei dati e' applicata conformemente a taleinterpretazione. In particolare, dette autorita' hanno spiegato che, ai sensidell'articolo 332 della Costituzione, la legge 18.331 trova applicazione anchea leggi speciali che istituiscono e disciplinano specifiche banche dati, conriferimento a questioni che non sono regolate da dette leggi speciali. Leautorita' hanno altresi' chiarito che la legge si applica anche agli elenchi dicui all'articolo 9 C) della legge n. 18.331 per i quali non e' richiesto ilconsenso dell'interessato per procedere al trattamento; segnatamente, trovanoapplicazione i principi di propor­zionalita' e finalita', i diritti degliinteressati e il controllo da parte dell'autorita' competenti per la protezionedei dati personali. Riguardo al principio di trasparenza, le autorita'uruguayane competenti per la protezione dei dati personali hanno reso noto chetrova applicazione in tutti i casi l'obbligo di fornire agli interessati leinfor­mazioni necessarie. Riguardo al diritto di accesso, l'auto­rita'ha spiegato che e' sufficiente per l'interessato provare la propria identita'nel momento in cui inoltra una richie­sta. Le stesse autorita' hannoaltresi' chiarito che le ecce­zioni al principio dei trasferimentiinternazionali previste dall'articolo 23, paragrafo 1, della legge n. 18.331,non possono intendersi di applicazione piu' ampia di quanto disponga l'articolo26, paragrafo 1, della direttiva 95/46/CE.

12.  Lapresente decisione tiene conto di tali chiarimenti e su di essi e' fondata.

13.  LaRepubblica orientale dell'Uruguay e' altresi' parte alla Convenzione americanasui diritti dell'uomo (Pact of San José de Costa Rica) del 22novembre 1969, entrata in vigore il 18 luglio 1978 ⁽³⁾. L'articolo 11 didetta Convenzione sancisce il diritto alla vita privata, mentre l'ar­ticolo30 prevede che le restrizioni applicabili, ai sensi della Convenzione, algodimento o all'esercizio dei diritti o delle liberta' dalla stessa sancite,non possano esserlo se non nel rispetto delle leggi adottate per motivi diinteresse generale e conformemente allo scopo per il quale tali restrizionisono state introdotte (articolo 30). Inoltre, la Repubblica orientale dell'Uruguayha accettato la giuri­sdizione della Corte interamericana dei diritti dell'uomo.Peraltro, alla loro 1118oriunione tenutasi il 6 luglio 2011, i viceministri delConsiglio d'Europa, a seguito del parere favorevole espresso dal pertinentecomitato consultivo, hanno invitato la Repubblica orientale del­ l'Uruguayad aderire alla Convenzione per la tutela delle persone rispetto al trattamentodei dati personali (ETS n. 108) nonché al suo protocollo aggiuntivo (ETSn. 118) ⁽⁴⁾.

14.  Siritiene pertanto che la Repubblica orientale dell'Uru­guay forniscaadeguati livelli di tutela dei dati personali ai sensi della direttiva95/46/CE.

15.  Lapresente decisione si riferisce all'adeguatezza della pro­tezione garantitanella Repubblica orientale dell'Uruguay ai fini dei requisiti di cui all'articolo25, paragrafo 1, della direttiva 95/46/CE. Essa non pregiudica altre condizionio restrizioni che attuino altre disposizioni di detta diret­tiva attinential trattamento di dati personali negli Stati membri.

16.  Persalvaguardare la trasparenza e la capacita' delle com­petenti autorita'degli Stati membri di garantire la tutela delle persone riguardo al trattamentodei dati personali, e' necessario precisare le circostanze eccezionali chegiusti­ficano la sospensione di particolari flussi di dati, nono­stante l'esistenza di un'adeguata tutela.

17.  E'necessario che la Commissione vigili sul funziona­ mento della decisione eriferisca eventuali riscontri pertinenti al comitato istituito ai sensi dell'articolo31 della direttiva 95/46/CE. Tale controllo deve includere, tra l'al­tro,il regime della Repubblica orientale dell'Uruguay ap­plicabile atrasferimenti nel quadro di trattati internazio­nali.

18.  Ilgruppo per la tutela delle persone con riguardo al trattamento dei datipersonali, istituito in forza dell'articolo 29 della direttiva 95/46/CE, haespresso un parere favorevole sul livello di adeguatezza della protezione deidati personali, di cui si e' tenuto conto nella stesura della presentedecisione ⁽⁵⁾.

19.  Lemisure previste dalla presente decisione sono con­ formi al parere delcomitato istituito ai sensi dell'arti­colo 31, paragrafo 1, della direttiva95/46/CE,

HAADOTTATO LA PRESENTE DECISIONE:

Articolo1

1. Per le finalita'di cui all'articolo 25, paragrafo 2, della direttiva 95/46/CE, si ritiene chela Repubblica orientale del­ l'Uruguay fornisca un adeguato livello diprotezione dei dati personali trasferiti dall'Unione europea.

2. L'autorita'di controllo della Repubblica orientale dell'Uru­guay competente per l'applicazionenella stessa Repubblica delle norme giuridiche in materia di protezione deidati e' indicata nell'allegato alla presente decisione.

Articolo2

1. Fatti salvii poteri di intervento al fine di garantire il rispetto dei provvedimentinazionali adottati in applicazione di disposizioni diverse dall'articolo 25della direttiva 95/46/CE, le autorita' competenti degli Stati membri hannofacolta' di so­spendere i trasferimenti di dati verso destinatari nellaRepubblica orientale dell'Uruguay al fine di tutelare i cittadini nell'ambitodel trattamento dei loro dati personali nei casi in cui:

a) un'autorita'competente uruguayana abbia constatato che il destinatario non rispetta lenorme applicabili relative alla protezione; oppure

b) se e' moltoprobabile che le norme di protezione siano in­ frante; se esistono fondatimotivi per credere che l'autorita' uruguayana competente non prenda o nonprendera' prov­vedimenti adeguati e tempestivi per comporre il caso inquestione; se il persistere del trasferimento da' luogo a rischi imminenti didanno grave agli interessati e in tale circostanza le autorita' competentinello Stato membro hanno compiuto ragionevoli sforzi per avvisare iresponsabili del trattamento nella Repubblica orientale dell'Uruguay e dar lorol'opportu­nita' di rispondere.

2. La sospensionecessa non appena sia garantito il rispetto delle norme di protezione e ne siainformata l'autorita' compe­tente dello Stato membro interessato.

Articolo3

1. Gli Stati membriinformano immediatamente la Commis­sione dell'adozione di provvedimenti aisensi dell'articolo 2.

2. Gli Stati membrie la Commissione si informano recipro­camente dei casi in cui l'azionedegli organismi uruguayani responsabili per il rispetto delle norme diprotezione non sia sufficiente a garantire tale rispetto.

3. Ove risultiprovato, dalle informazioni di cui all'articolo 2 e ai paragrafi 1 e 2 delpresente articolo, che gli organismi della Repubblica orientale dell'Uruguayincaricati di garantire il ri­spetto delle norme di protezione non svolgonola loro funzione in modo efficace, la Commissione avverte le autorita' urugua­yanecompetenti e, se necessario, presenta progetti di misure, secondo la proceduradi cui all'articolo 31, paragrafo 2, della direttiva 95/46/CE, al fine diabrogare o sospendere la presente decisione o di limitarne il campo d'applicazione.

Articolo4

La Commissioneverifica l'applicazione della presente decisione e comunica qualsiasiinformazione utile al comitato istituito dall'articolo 31 della direttiva95/46/CE, in particolare ogni ele­mento rilevante ai fini della valutazionedi cui all'articolo 1 della presente decisione, circa l'adeguatezza dellaprotezione nella Repubblica orientale dell'Uruguay ai sensi dell'articolo 25della direttiva 95/46/CE e ogni elemento che dimostri che la presente decisionee' applicata in modo discriminatorio.

Articolo5

Gli Statimembri adottano le misure necessarie per conformarsi alla presente decisioneentro tre mesi dalla notifica della stessa.

Articolo6

Gli Statimembri sono destinatari della presente decisione.

Fatto aBruxelles, il 21 agosto 2012

Perla Commissione

VivianeREDING

Vicepresidente

ALLEGATO

Autorita' dicontrollo competente di cui all'articolo 1, paragrafo 2, della presente decisione:

UnidadReguladora y de Control de Datos Personales (URCDP)

Andes 1365,Piso 8

11.100Montevideo

URUGUAY
Tel. +598 2901 2929 Int. 1352

e-maildi contatto: http://www.datospersonales.gub.uy/sitio/contactenos.aspx

Denunceon line: http://www.datospersonales.gub.uy/sitio/denuncia.aspx

Sitoweb: http://www.datospersonales.gub.uy/sitio/index.aspx

NOTE
(1)Organizzazione degli Stati americani, OAS, Treaty Series, No 36, 1144 U.N.T.S.123,

http://www.oas.org/juridico/english/treaties/b-32.html

(2)Consiglio d'Europa: https://wcd.coe.int/wcd/ViewDoc.jsp?Ref=CM/ Del/Dec(2011)1118/10.3&Language=

lanEnglish&Ver=original&Site=CM&BackColorInternet=DBDCF2&BackColorIntranet=FDC864&BackColorLogged=FDC864

(3)GU L 281 del 23.11.1995, pag. 31.

(4)Lettera del 31 agosto 2011.

(5)Parere 6/2010 sul livello di protezione dei dati personali nella Repubblica orientale dell'Uruguay /wp177.