# Jurnalul Oficial L 360/2021

| | ISSN 1977-0782 |
| --- | --- |
| Jurnalul Oficial
  al Uniunii Europene | L 360 |
| | |
| Ediţia în limba română | Legislaţie | Anul 6411 octombrie 2021 |

ISSN 1977-0782

Jurnalul Oficial

al Uniunii Europene

L 360

Ediţia în limba română

Legislaţie

Anul 6411 octombrie 2021

---

| Cuprins | | II   Acte fără caracter legislativ | Pagina |
| --- | --- | --- | --- |
| | | DECIZII |
| | * | Regulamentul de punere în aplicare (UE) 2021/1772 al Comisiei din 28 iunie 2021 în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii și Irlandei de Nord
  [notificată cu numărul C(2021) 4800]

   (
  1
  ) | 1 |
| | * | Decizia de punere în aplicare (UE) 2021/1773 a Comisiei din 28 iunie 2021 în temeiul Directivei (UE) 2016/680 a Parlamentului European și a Consiliului privind protecția adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii și Irlandei de Nord
  [notificată cu numărul C(2021) 4801] | 69 |
| | * | Decizia de punere în aplicare (UE) 2021/1774 a Consiliului din 5 octombrie 2021 de modificare a Deciziei de punere în aplicare (UE) 2018/1493 de autorizare a Ungariei să introducă o măsură specială de derogare de la articolul 26 alineatul (1) litera (a) și de la articolele 168 și 168a din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată | 108 |
| | * | Decizia de punere în aplicare (UE) 2021/1775 a Consiliului din 5 octombrie 2021 de modificare a Deciziei de punere în aplicare (UE) 2018/789 de autorizare a Ungariei să introducă o măsură specială de derogare de la articolul 193 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată | 110 |
| | * | Decizia de punere în aplicare (UE) 2021/1776 a Consiliului din 5 octombrie 2021 de modificare a Deciziei 2009/791/CE de autorizare a Republicii Federale Germania pentru aplicarea în continuare a unei măsuri de derogare de la articolul 168 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată | 112 |
| | * | Decizia de punere în aplicare (UE) 2021/1777 a Consiliului din 5 octombrie 2021 de autorizare a Italiei să aplice rate reduse de impozitare la motorina utilizată pentru încălzire și la energia electrică furnizată în comuna Campione d’Italia | 115 |
| | * | Decizia de punere în aplicare (UE) 2021/1778 a Consiliului din 5 octombrie 2021 de autorizare a Republicii Federale Germania să aplice o măsură specială de derogare de la articolul 193 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată | 117 |
| | * | Decizia de punere în aplicare (UE) 2021/1779 a Consiliului din 5 octombrie 2021 de modificare a Deciziei de punere în aplicare 2009/1013/UE de autorizare a Republicii Austria în vederea aplicării în continuare a unei măsuri de derogare de la articolul 168 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată | 120 |
| | * | Decizia de punere în aplicare (UE) 2021/1780 a Consiliului din 5 octombrie 2021 de modificare a Deciziei 2009/790/CE de autorizare a Republicii Polone de a aplica o măsură derogatorie de la dispozițiile articolului 287 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată | 122 |
| | * | Decizia de punere în aplicare (UE) 2021/1781 a Consiliului din 7 octombrie 2021 privind suspendarea anumitor dispoziții ale Regulamentului (CE) nr. 810/2009 al Parlamentului European și al Consiliului pentru Gambia | 124 |
| | | RECOMANDĂRI |
| | * | Recomandarea (UE) 2021/1782 a Consiliului din 8 octombrie 2021 de modificare a Recomandării (UE) 2020/912 privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții | 128 |

Cuprins

II   Acte fără caracter legislativ

Pagina

DECIZII

*

Regulamentul de punere în aplicare (UE) 2021/1772 al Comisiei din 28 iunie 2021 în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii și Irlandei de Nord
  [notificată cu numărul C(2021) 4800]

   (
  1
  )

[notificată cu numărul C(2021) 4800]

1

1

*

Decizia de punere în aplicare (UE) 2021/1773 a Comisiei din 28 iunie 2021 în temeiul Directivei (UE) 2016/680 a Parlamentului European și a Consiliului privind protecția adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii și Irlandei de Nord
  [notificată cu numărul C(2021) 4801]

[notificată cu numărul C(2021) 4801]

69

*

Decizia de punere în aplicare (UE) 2021/1774 a Consiliului din 5 octombrie 2021 de modificare a Deciziei de punere în aplicare (UE) 2018/1493 de autorizare a Ungariei să introducă o măsură specială de derogare de la articolul 26 alineatul (1) litera (a) și de la articolele 168 și 168a din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

108

*

Decizia de punere în aplicare (UE) 2021/1775 a Consiliului din 5 octombrie 2021 de modificare a Deciziei de punere în aplicare (UE) 2018/789 de autorizare a Ungariei să introducă o măsură specială de derogare de la articolul 193 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

110

*

Decizia de punere în aplicare (UE) 2021/1776 a Consiliului din 5 octombrie 2021 de modificare a Deciziei 2009/791/CE de autorizare a Republicii Federale Germania pentru aplicarea în continuare a unei măsuri de derogare de la articolul 168 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

112

*

Decizia de punere în aplicare (UE) 2021/1777 a Consiliului din 5 octombrie 2021 de autorizare a Italiei să aplice rate reduse de impozitare la motorina utilizată pentru încălzire și la energia electrică furnizată în comuna Campione d’Italia

115

*

Decizia de punere în aplicare (UE) 2021/1778 a Consiliului din 5 octombrie 2021 de autorizare a Republicii Federale Germania să aplice o măsură specială de derogare de la articolul 193 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

117

*

Decizia de punere în aplicare (UE) 2021/1779 a Consiliului din 5 octombrie 2021 de modificare a Deciziei de punere în aplicare 2009/1013/UE de autorizare a Republicii Austria în vederea aplicării în continuare a unei măsuri de derogare de la articolul 168 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

120

*

Decizia de punere în aplicare (UE) 2021/1780 a Consiliului din 5 octombrie 2021 de modificare a Deciziei 2009/790/CE de autorizare a Republicii Polone de a aplica o măsură derogatorie de la dispozițiile articolului 287 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

122

*

Decizia de punere în aplicare (UE) 2021/1781 a Consiliului din 7 octombrie 2021 privind suspendarea anumitor dispoziții ale Regulamentului (CE) nr. 810/2009 al Parlamentului European și al Consiliului pentru Gambia

124

RECOMANDĂRI

*

Recomandarea (UE) 2021/1782 a Consiliului din 8 octombrie 2021 de modificare a Recomandării (UE) 2020/912 privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții

128

| | |
| --- | --- |
| | (1)   Text cu relevanță pentru SEE. |

---

(1)   Text cu relevanță pentru SEE.

1

| RO | Actele ale căror titluri sunt tipărite cu caractere drepte sunt acte de gestionare curentă adoptate în cadrul politicii agricole şi care au, în general, o perioadă de valabilitate limitată.
  Titlurile celorlalte acte sunt tipărite cu caractere aldine şi sunt precedate de un asterisc. |
| --- | --- |

RO

Actele ale căror titluri sunt tipărite cu caractere drepte sunt acte de gestionare curentă adoptate în cadrul politicii agricole şi care au, în general, o perioadă de valabilitate limitată.

Titlurile celorlalte acte sunt tipărite cu caractere aldine şi sunt precedate de un asterisc.

---

II Acte fără caracter legislativ

DECIZII

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/1 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/1

---

REGULAMENTUL DE PUNERE ÎN APLICARE (UE) 2021/1772 AL COMISIEI

din 28 iunie 2021

în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii și Irlandei de Nord

[notificată cu numărul C(2021) 4800]

(Text cu relevanță pentru SEE)

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (1), în special articolul 45 alineatul (3),

întrucât:

1.   INTRODUCERE

INTRODUCERE

| (1) | Regulamentul (UE) 2016/679 stabilește normele pentru transferul de date cu caracter personal de la operatori sau persoane împuternicite de către operatori din Uniunea Europeană către țări terțe și organizații internaționale, în măsura în care astfel de transferuri intră în domeniul său de aplicare. Normele privind transferurile internaționale de date sunt prevăzute în capitolul V din regulamentul menționat, mai precis la articolele 44-50. Deși fluxul de date cu caracter personal către și dinspre țări situate în afara Uniunii Europene este esențial pentru dezvoltarea cooperării internaționale și a comerțului transfrontalier, nivelul de protecție conferit datelor cu caracter personal din Uniunea Europeană nu trebuie să fie subminat de transferurile către țări terțe (2). |
| --- | --- |

(1)

Regulamentul (UE) 2016/679 stabilește normele pentru transferul de date cu caracter personal de la operatori sau persoane împuternicite de către operatori din Uniunea Europeană către țări terțe și organizații internaționale, în măsura în care astfel de transferuri intră în domeniul său de aplicare. Normele privind transferurile internaționale de date sunt prevăzute în capitolul V din regulamentul menționat, mai precis la articolele 44-50. Deși fluxul de date cu caracter personal către și dinspre țări situate în afara Uniunii Europene este esențial pentru dezvoltarea cooperării internaționale și a comerțului transfrontalier, nivelul de protecție conferit datelor cu caracter personal din Uniunea Europeană nu trebuie să fie subminat de transferurile către țări terțe (2).

2

| (2) | În temeiul articolului 45 alineatul (3) din Regulamentul (UE) 2016/679, Comisia poate decide, prin intermediul unui act de punere în aplicare, că o țară terță, un teritoriu sau unul ori mai multe sectoare specificate dintr-o țară terță sau o organizație internațională asigură un nivel de protecție adecvat. În astfel de condiții, transferurile de date cu caracter personal către o țară terță pot avea loc fără a fi necesar să se obțină autorizări suplimentare, astfel cum se prevede la articolul 45 alineatul (1) și în considerentul 103 din regulamentul menționat. |
| --- | --- |

(2)

În temeiul articolului 45 alineatul (3) din Regulamentul (UE) 2016/679, Comisia poate decide, prin intermediul unui act de punere în aplicare, că o țară terță, un teritoriu sau unul ori mai multe sectoare specificate dintr-o țară terță sau o organizație internațională asigură un nivel de protecție adecvat. În astfel de condiții, transferurile de date cu caracter personal către o țară terță pot avea loc fără a fi necesar să se obțină autorizări suplimentare, astfel cum se prevede la articolul 45 alineatul (1) și în considerentul 103 din regulamentul menționat.

| (3) | În conformitate cu articolul 45 alineatul (2) din Regulamentul (UE) 2016/679, adoptarea unei decizii privind caracterul adecvat al nivelului de protecție trebuie să se bazeze pe o analiză cuprinzătoare a ordinii juridice a țării terțe, în ceea ce privește atât normele aplicabile importatorilor de date, cât și limitările și garanțiile referitoare la accesul autorităților publice la datele cu caracter personal. În evaluare, Comisia trebuie să stabilească dacă țara terță în cauză garantează un nivel de protecție „echivalent în esență” cu cel garantat în cadrul Uniunii Europene [considerentul 104 din Regulamentul (UE) 2016/679]. Standardul în raport cu care este evaluată „echivalența substanțială” este cel stabilit de legislația Uniunii Europene, în special de Regulamentul (UE) 2016/679, precum și de jurisprudența Curții de Justiție a Uniunii Europene (3). Criteriile de referință privind caracterul adecvat al nivelului de protecție ale Comitetului european pentru protecția datelor (CEPD) sunt, de asemenea, importante în această privință (4). |
| --- | --- |

(3)

În conformitate cu articolul 45 alineatul (2) din Regulamentul (UE) 2016/679, adoptarea unei decizii privind caracterul adecvat al nivelului de protecție trebuie să se bazeze pe o analiză cuprinzătoare a ordinii juridice a țării terțe, în ceea ce privește atât normele aplicabile importatorilor de date, cât și limitările și garanțiile referitoare la accesul autorităților publice la datele cu caracter personal. În evaluare, Comisia trebuie să stabilească dacă țara terță în cauză garantează un nivel de protecție „echivalent în esență” cu cel garantat în cadrul Uniunii Europene [considerentul 104 din Regulamentul (UE) 2016/679]. Standardul în raport cu care este evaluată „echivalența substanțială” este cel stabilit de legislația Uniunii Europene, în special de Regulamentul (UE) 2016/679, precum și de jurisprudența Curții de Justiție a Uniunii Europene (3). Criteriile de referință privind caracterul adecvat al nivelului de protecție ale Comitetului european pentru protecția datelor (CEPD) sunt, de asemenea, importante în această privință (4).

3

4

| (4) | Conform clarificărilor aduse de Curtea de Justiție a Uniunii Europene, aceasta nu necesită găsirea unui nivel identic de protecție (5). În special, mijloacele la care țara terță în cauză recurge pentru protecția datelor cu caracter personal pot fi diferite de cele utilizate în cadrul Uniunii Europene, cu condiția ca acestea să se dovedească, în practică, eficace pentru asigurarea unui nivel adecvat de protecție (6). Prin urmare, standardul caracterului adecvat nu necesită o reproducere punct cu punct a normelor Uniunii. Mai curând, testul constă în a stabili dacă, prin esența drepturilor în materie de protecție a datelor și punerea în aplicare efectivă, supravegherea și exercitarea acestora, sistemul străin în cauză, în ansamblul său, oferă nivelul de protecție necesar (7). |
| --- | --- |

(4)

Conform clarificărilor aduse de Curtea de Justiție a Uniunii Europene, aceasta nu necesită găsirea unui nivel identic de protecție (5). În special, mijloacele la care țara terță în cauză recurge pentru protecția datelor cu caracter personal pot fi diferite de cele utilizate în cadrul Uniunii Europene, cu condiția ca acestea să se dovedească, în practică, eficace pentru asigurarea unui nivel adecvat de protecție (6). Prin urmare, standardul caracterului adecvat nu necesită o reproducere punct cu punct a normelor Uniunii. Mai curând, testul constă în a stabili dacă, prin esența drepturilor în materie de protecție a datelor și punerea în aplicare efectivă, supravegherea și exercitarea acestora, sistemul străin în cauză, în ansamblul său, oferă nivelul de protecție necesar (7).

5

6

7

| (5) | Comisia a analizat cu atenție legislația și practica din Regatul Unit al Marii Britanii și Irlandei de Nord. Pe baza constatărilor prezentate în considerentele 8-270, Comisia concluzionează că Regatul Unit asigură un nivel adecvat de protecție pentru datele cu caracter personal care intră în domeniul de aplicare al Regulamentului (UE) 2016/679, transferate din Uniunea Europeană către Regatul Unit. |
| --- | --- |

(5)

Comisia a analizat cu atenție legislația și practica din Regatul Unit al Marii Britanii și Irlandei de Nord. Pe baza constatărilor prezentate în considerentele 8-270, Comisia concluzionează că Regatul Unit asigură un nivel adecvat de protecție pentru datele cu caracter personal care intră în domeniul de aplicare al Regulamentului (UE) 2016/679, transferate din Uniunea Europeană către Regatul Unit.

| (6) | Această concluzie nu se referă la datele cu caracter personal transferate în scopul controlului imigrației în Regatul Unit sau care intră în domeniul de aplicare al derogării de la anumite drepturi ale persoanelor vizate în scopul menținerii unui control eficace al imigrației („derogarea în materie de imigrație”) în temeiul punctului 4 alineatul (1) din anexa 2 la Legea Regatului Unit privind protecția datelor. Validitatea și interpretarea derogării în materie de imigrație în temeiul legislației Regatului Unit nu sunt soluționate în urma unei hotărâri a Curții de Apel din Regatul Unit din 26 mai 2021. Deși recunoaște că, în principiu, drepturile persoanelor vizate pot fi restricționate în scopul controlului imigrației ca și „aspect important al interesului public”, Curtea de Apel a constatat că derogarea în materie de imigrație este, în forma sa actuală, incompatibilă cu legislația Regatului Unit, deoarece măsura legislativă nu conține dispoziții specifice care să stabilească garanțiile enumerate la articolul 23 alineatul (2) din Regulamentul general al Regatului Unit privind protecția datelor (RGPD al Regatului Unit) (8). În aceste condiții, transferurile de date cu caracter personal din Uniune către Regatul Unit cărora li se poate aplica derogarea în materie de imigrație ar trebui excluse din domeniul de aplicare al prezentei decizii (9). Odată ce este remediată incompatibilitatea cu legislația Regatului Unit, derogarea în materie de imigrație ar trebui reevaluată, precum și necesitatea de a menține limitarea domeniului de aplicare al prezentei decizii. |
| --- | --- |

(6)

Această concluzie nu se referă la datele cu caracter personal transferate în scopul controlului imigrației în Regatul Unit sau care intră în domeniul de aplicare al derogării de la anumite drepturi ale persoanelor vizate în scopul menținerii unui control eficace al imigrației („derogarea în materie de imigrație”) în temeiul punctului 4 alineatul (1) din anexa 2 la Legea Regatului Unit privind protecția datelor. Validitatea și interpretarea derogării în materie de imigrație în temeiul legislației Regatului Unit nu sunt soluționate în urma unei hotărâri a Curții de Apel din Regatul Unit din 26 mai 2021. Deși recunoaște că, în principiu, drepturile persoanelor vizate pot fi restricționate în scopul controlului imigrației ca și „aspect important al interesului public”, Curtea de Apel a constatat că derogarea în materie de imigrație este, în forma sa actuală, incompatibilă cu legislația Regatului Unit, deoarece măsura legislativă nu conține dispoziții specifice care să stabilească garanțiile enumerate la articolul 23 alineatul (2) din Regulamentul general al Regatului Unit privind protecția datelor (RGPD al Regatului Unit) (8). În aceste condiții, transferurile de date cu caracter personal din Uniune către Regatul Unit cărora li se poate aplica derogarea în materie de imigrație ar trebui excluse din domeniul de aplicare al prezentei decizii (9). Odată ce este remediată incompatibilitatea cu legislația Regatului Unit, derogarea în materie de imigrație ar trebui reevaluată, precum și necesitatea de a menține limitarea domeniului de aplicare al prezentei decizii.

8

9

| (7) | Prezenta decizie nu ar trebui să aducă atingere aplicării directe a Regulamentului (UE) 2016/679 în cazul organizațiilor stabilite în Regatul Unit în cazul în care sunt îndeplinite condițiile privind domeniul de aplicare teritorial al regulamentului respectiv, astfel cum se prevede la articolul 3. |
| --- | --- |

(7)

Prezenta decizie nu ar trebui să aducă atingere aplicării directe a Regulamentului (UE) 2016/679 în cazul organizațiilor stabilite în Regatul Unit în cazul în care sunt îndeplinite condițiile privind domeniul de aplicare teritorial al regulamentului respectiv, astfel cum se prevede la articolul 3.

2.   NORMELE APLICABILE PRELUCRĂRII DATELOR CU CARACTER PERSONAL

NORMELE APLICABILE PRELUCRĂRII DATELOR CU CARACTER PERSONAL

2.1.   Cadrul constituțional

Cadrul constituțional

| (8) | Regatul Unit este o democrație parlamentară care are un suveran constituțional în calitate de șef de stat. Acesta are un parlament suveran, care exercită o autoritate supremă asupra tuturor celorlalte instituții guvernamentale, un executiv ai cărui membri provin din parlament și care este responsabil în fața acestuia, precum și un sistem judiciar independent. Executivul își bazează autoritatea pe capacitatea sa de a atrage încrederea Camerei Comunelor alese și răspunde în fața ambelor camere ale Parlamentului, care sunt responsabile de controlul Guvernului și de dezbaterea și adoptarea legilor. |
| --- | --- |

(8)

Regatul Unit este o democrație parlamentară care are un suveran constituțional în calitate de șef de stat. Acesta are un parlament suveran, care exercită o autoritate supremă asupra tuturor celorlalte instituții guvernamentale, un executiv ai cărui membri provin din parlament și care este responsabil în fața acestuia, precum și un sistem judiciar independent. Executivul își bazează autoritatea pe capacitatea sa de a atrage încrederea Camerei Comunelor alese și răspunde în fața ambelor camere ale Parlamentului, care sunt responsabile de controlul Guvernului și de dezbaterea și adoptarea legilor.

| (9) | Parlamentul Regatului Unit a delegat Parlamentului scoțian, Parlamentului Țării Galilor (Senedd Cymru) și Adunării Irlandei de Nord responsabilitatea pentru legiferarea chestiunilor interne din Scoția, Țara Galilor și Irlanda de Nord pe care Parlamentul Regatului Unit nu și le-a rezervat. În timp ce protecția datelor reprezintă o chestiune rezervată, și anume aceeași legislație se aplică în întreaga țară, alte domenii de politică relevante pentru prezenta decizie sunt descentralizate. De exemplu, sistemele de justiție penală, inclusiv poliția, din Scoția și Irlanda de Nord sunt transferate Parlamentului scoțian și, respectiv, Adunării Irlandei de Nord. Regatul Unit nu are o constituție codificată în sensul unui document constitutiv cu vechime. Principiile constituționale au apărut de-a lungul timpului, provenind în special din jurisprudență și din convenție. Valoarea constituțională a anumitor statute, cum ar fi Magna Carta, Declarația drepturilor din 1689 (Bill of Rights 1689) și Legea privind drepturile omului din 1998 (Human Rights Act 1998), a fost recunoscută de instanțe. Drepturile fundamentale ale persoanelor au fost dezvoltate, ca parte a constituției, prin intermediul common law, al acestor statute și al tratatelor internaționale, în special al Convenției europene a drepturilor omului, pe care Regatul Unit a ratificat-o în 1951. În 1987, Regatul Unit a ratificat, de asemenea, Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (Convenția 108) (10). |
| --- | --- |

(9)

Parlamentul Regatului Unit a delegat Parlamentului scoțian, Parlamentului Țării Galilor (Senedd Cymru) și Adunării Irlandei de Nord responsabilitatea pentru legiferarea chestiunilor interne din Scoția, Țara Galilor și Irlanda de Nord pe care Parlamentul Regatului Unit nu și le-a rezervat. În timp ce protecția datelor reprezintă o chestiune rezervată, și anume aceeași legislație se aplică în întreaga țară, alte domenii de politică relevante pentru prezenta decizie sunt descentralizate. De exemplu, sistemele de justiție penală, inclusiv poliția, din Scoția și Irlanda de Nord sunt transferate Parlamentului scoțian și, respectiv, Adunării Irlandei de Nord. Regatul Unit nu are o constituție codificată în sensul unui document constitutiv cu vechime. Principiile constituționale au apărut de-a lungul timpului, provenind în special din jurisprudență și din convenție. Valoarea constituțională a anumitor statute, cum ar fi Magna Carta, Declarația drepturilor din 1689 (Bill of Rights 1689) și Legea privind drepturile omului din 1998 (Human Rights Act 1998), a fost recunoscută de instanțe. Drepturile fundamentale ale persoanelor au fost dezvoltate, ca parte a constituției, prin intermediul common law, al acestor statute și al tratatelor internaționale, în special al Convenției europene a drepturilor omului, pe care Regatul Unit a ratificat-o în 1951. În 1987, Regatul Unit a ratificat, de asemenea, Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (Convenția 108) (10).

Bill of Rights 1689

Human Rights Act 1998

10

| (10) | Legea privind drepturile omului din 1998 încorporează în legislația Regatului Unit drepturile cuprinse în Convenția europeană a drepturilor omului. Legea privind drepturile omului acordă oricărei persoane drepturile și libertățile fundamentale prevăzute la articolele 2-12 și articolul 14 din Convenția europeană a drepturilor omului, la articolele 1, 2 și 3 din Protocolul nr. 1 și la articolul 1 din Protocolul nr. 13, coroborate cu articolele 16, 17 și 18 din convenția menționată. Aceasta include dreptul la respectarea vieții private și de familie (și dreptul la protecția datelor ca parte a acestui drept) și dreptul la un proces echitabil (11). În special, în temeiul articolului 8 din convenția menționată, nu este admis amestecul unei autorități publice în exercitarea dreptului la viață privată decât în măsura în care acest amestec este prevăzut de lege, dacă constituie o măsură care, într-o societate democratică, este necesară pentru securitatea națională, siguranța publică, bunăstarea economică a țării, apărarea ordinii și prevenirea faptelor penale, protecția sănătății sau a moralei, ori protecția drepturilor și libertăților altora. |
| --- | --- |

(10)

Legea privind drepturile omului din 1998 încorporează în legislația Regatului Unit drepturile cuprinse în Convenția europeană a drepturilor omului. Legea privind drepturile omului acordă oricărei persoane drepturile și libertățile fundamentale prevăzute la articolele 2-12 și articolul 14 din Convenția europeană a drepturilor omului, la articolele 1, 2 și 3 din Protocolul nr. 1 și la articolul 1 din Protocolul nr. 13, coroborate cu articolele 16, 17 și 18 din convenția menționată. Aceasta include dreptul la respectarea vieții private și de familie (și dreptul la protecția datelor ca parte a acestui drept) și dreptul la un proces echitabil (11). În special, în temeiul articolului 8 din convenția menționată, nu este admis amestecul unei autorități publice în exercitarea dreptului la viață privată decât în măsura în care acest amestec este prevăzut de lege, dacă constituie o măsură care, într-o societate democratică, este necesară pentru securitatea națională, siguranța publică, bunăstarea economică a țării, apărarea ordinii și prevenirea faptelor penale, protecția sănătății sau a moralei, ori protecția drepturilor și libertăților altora.

11

| (11) | În conformitate cu Legea privind drepturile omului din 1998, orice acțiune a autorităților publice trebuie să fie compatibilă cu un drept conferit prin convenție (12). În plus, legislația primară și cea secundară trebuie interpretate și puse în aplicare într-un mod compatibil cu drepturile conferite prin convenție (13). |
| --- | --- |

(11)

În conformitate cu Legea privind drepturile omului din 1998, orice acțiune a autorităților publice trebuie să fie compatibilă cu un drept conferit prin convenție (12). În plus, legislația primară și cea secundară trebuie interpretate și puse în aplicare într-un mod compatibil cu drepturile conferite prin convenție (13).

12

13

2.2.   Cadrul de protecție a datelor din Regatul Unit

Cadrul de protecție a datelor din Regatul Unit

| (12) | Regatul Unit s-a retras din Uniunea Europeană la 31 ianuarie 2020. Pe baza Acordului privind retragerea Regatului Unit al Marii Britanii și Irlandei de Nord din Uniunea Europeană și din Comunitatea Europeană a Energiei Atomice (14), dreptul Uniunii a continuat să se aplice pe teritoriul Regatului Unit pe parcursul perioadei de tranziție până la 31 decembrie 2020. Înainte de retragere și pe parcursul perioadei de tranziție, cadrul legislativ privind protecția datelor cu caracter personal în Regatul Unit consta în legislația relevantă a UE [în special Regulamentul (UE) 2016/679 și Directiva (UE) 2016/680 a Parlamentului European și a Consiliului (15)] și în legislația națională, în special Legea privind protecția datelor din 2018 (DPA din 2018) (16) care prevedea norme de drept intern, în cazul în care erau permise de Regulamentul (UE) 2016/679, care specificau și restricționau aplicarea normelor din Regulamentul (UE) 2016/679, și transpunea Directiva (UE) 2016/680. |
| --- | --- |

(12)

Regatul Unit s-a retras din Uniunea Europeană la 31 ianuarie 2020. Pe baza Acordului privind retragerea Regatului Unit al Marii Britanii și Irlandei de Nord din Uniunea Europeană și din Comunitatea Europeană a Energiei Atomice (14), dreptul Uniunii a continuat să se aplice pe teritoriul Regatului Unit pe parcursul perioadei de tranziție până la 31 decembrie 2020. Înainte de retragere și pe parcursul perioadei de tranziție, cadrul legislativ privind protecția datelor cu caracter personal în Regatul Unit consta în legislația relevantă a UE [în special Regulamentul (UE) 2016/679 și Directiva (UE) 2016/680 a Parlamentului European și a Consiliului (15)] și în legislația națională, în special Legea privind protecția datelor din 2018 (DPA din 2018) (16) care prevedea norme de drept intern, în cazul în care erau permise de Regulamentul (UE) 2016/679, care specificau și restricționau aplicarea normelor din Regulamentul (UE) 2016/679, și transpunea Directiva (UE) 2016/680.

14

15

16

| (13) | Pentru a pregăti retragerea din Uniunea Europeană, Guvernul Regatului Unit a adoptat European Union (Withdrawal) Act 2018 [Legea din 2018 privind Uniunea Europeană (retragere)] (17), care încorporează legislația direct aplicabilă a Uniunii în legislația Regatului Unit (18). Acest așa-numit „drept menținut al Uniunii” include Regulamentul (UE) 2016/679 în întregime (inclusiv considerentele acestuia) (19). Conform actului respectiv, dreptul menținut nemodificat al Uniunii trebuie să fie interpretat de instanțele din Regatul Unit în conformitate cu jurisprudența relevantă a Curții de Justiție a Uniunii Europene și cu principiile generale ale dreptului Uniunii, întrucât acestea produc efecte imediat înainte de încheierea perioadei de tranziție (denumite „jurisprudența menținută a Uniunii” și, respectiv, „principiile generale menținute ale dreptului Uniunii”) (20). |
| --- | --- |

(13)

Pentru a pregăti retragerea din Uniunea Europeană, Guvernul Regatului Unit a adoptat European Union (Withdrawal) Act 2018 [Legea din 2018 privind Uniunea Europeană (retragere)] (17), care încorporează legislația direct aplicabilă a Uniunii în legislația Regatului Unit (18). Acest așa-numit „drept menținut al Uniunii” include Regulamentul (UE) 2016/679 în întregime (inclusiv considerentele acestuia) (19). Conform actului respectiv, dreptul menținut nemodificat al Uniunii trebuie să fie interpretat de instanțele din Regatul Unit în conformitate cu jurisprudența relevantă a Curții de Justiție a Uniunii Europene și cu principiile generale ale dreptului Uniunii, întrucât acestea produc efecte imediat înainte de încheierea perioadei de tranziție (denumite „jurisprudența menținută a Uniunii” și, respectiv, „principiile generale menținute ale dreptului Uniunii”) (20).

17

18

19

20

| (14) | În temeiul Legii din 2018 privind Uniunea Europeană (retragere), miniștrii Regatului Unit au competența de a introduce legislație secundară, prin intermediul instrumentelor statutare, pentru a aduce modificările necesare dreptului menținut al Uniunii Europene ca urmare a retragerii Regatului Unit din Uniunea Europeană. Această competență a fost exercitată prin adoptarea Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentele din 2019 privind protecția datelor, a vieții private și comunicațiile electronice (modificări etc.) (ieșirea din UE)] (Regulamentele DPPEC) (21). Regulamentele DPPEC modifică Regulamentul (UE) 2016/679 astfel cum a fost introdus în legislația Regatului Unit prin Legea din 2018 privind Uniunea Europeană (retragere), prin DPA din 2018 și prin alte acte legislative privind protecția datelor pentru a se potrivi în contextul național (22). |
| --- | --- |

(14)

În temeiul Legii din 2018 privind Uniunea Europeană (retragere), miniștrii Regatului Unit au competența de a introduce legislație secundară, prin intermediul instrumentelor statutare, pentru a aduce modificările necesare dreptului menținut al Uniunii Europene ca urmare a retragerii Regatului Unit din Uniunea Europeană. Această competență a fost exercitată prin adoptarea Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentele din 2019 privind protecția datelor, a vieții private și comunicațiile electronice (modificări etc.) (ieșirea din UE)] (Regulamentele DPPEC) (21). Regulamentele DPPEC modifică Regulamentul (UE) 2016/679 astfel cum a fost introdus în legislația Regatului Unit prin Legea din 2018 privind Uniunea Europeană (retragere), prin DPA din 2018 și prin alte acte legislative privind protecția datelor pentru a se potrivi în contextul național (22).

Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019

21

22

| (15) | În consecință, cadrul juridic privind protecția datelor cu caracter personal în Regatul Unit după încheierea perioadei de tranziție constă în:






  — | RGPD al Regatului Unit, astfel cum a fost încorporat în legislația Regatului Unit în temeiul Legii din 2018 privind Uniunea Europeană (retragere) și modificat prin Regulamentele DPPEC (23); și |
| --- | --- | --- |

(15)

În consecință, cadrul juridic privind protecția datelor cu caracter personal în Regatul Unit după încheierea perioadei de tranziție constă în:

—

RGPD al Regatului Unit, astfel cum a fost încorporat în legislația Regatului Unit în temeiul Legii din 2018 privind Uniunea Europeană (retragere) și modificat prin Regulamentele DPPEC (23); și

23

| — | DPA din 2018 (24), astfel cum a fost modificată prin Regulamentele DPPEC. |
| --- | --- |

—

DPA din 2018 (24), astfel cum a fost modificată prin Regulamentele DPPEC.

24

| (16) | Întrucât RGPD al Regatului Unit este întemeiat pe legislația UE, normele privind protecția datelor din Regatul Unit reflectă îndeaproape, în numeroase aspecte, normele corespunzătoare aplicabile în cadrul Uniunii Europene. |
| --- | --- |

(16)

Întrucât RGPD al Regatului Unit este întemeiat pe legislația UE, normele privind protecția datelor din Regatul Unit reflectă îndeaproape, în numeroase aspecte, normele corespunzătoare aplicabile în cadrul Uniunii Europene.

| (17) | Pe lângă competențele conferite secretarului de stat prin Legea din 2018 privind Uniunea Europeană (retragere), mai multe dispoziții ale DPA din 2018 conferă secretarului de stat competența de a adopta legislație secundară pentru a modifica anumite dispoziții ale legii sau pentru a prevedea norme suplimentare și adiționale (25). Până în prezent, secretarul de stat și-a exercitat competența în temeiul secțiunii 137 din DPA din 2018 doar pentru a adopta Data Protection (Charges and Information) (Amendment) Regulations 2019 [Regulamentele din 2019 privind protecția datelor (taxe și informații) (modificare)], care stabilesc circumstanțele în care operatorii de date sunt obligați să plătească o taxă anuală autorității independente pentru protecția datelor din Regatul Unit, Information Commissioner (comisarul pentru informații). |
| --- | --- |

(17)

Pe lângă competențele conferite secretarului de stat prin Legea din 2018 privind Uniunea Europeană (retragere), mai multe dispoziții ale DPA din 2018 conferă secretarului de stat competența de a adopta legislație secundară pentru a modifica anumite dispoziții ale legii sau pentru a prevedea norme suplimentare și adiționale (25). Până în prezent, secretarul de stat și-a exercitat competența în temeiul secțiunii 137 din DPA din 2018 doar pentru a adopta Data Protection (Charges and Information) (Amendment) Regulations 2019 [Regulamentele din 2019 privind protecția datelor (taxe și informații) (modificare)], care stabilesc circumstanțele în care operatorii de date sunt obligați să plătească o taxă anuală autorității independente pentru protecția datelor din Regatul Unit, Information Commissioner (comisarul pentru informații).

25

Information Commissioner

| (18) | În cele din urmă, orientări suplimentare privind legislația Regatului Unit în materie de protecție a datelor sunt furnizate în codurile de bune practici și în alte orientări adoptate de comisarul pentru informații. Deși nu au caracter juridic obligatoriu din punct de vedere formal, aceste orientări au o pondere interpretativă și demonstrează modul în care se aplică legislația privind protecția datelor și în care aceasta este pusă în practică de către comisar. În special, secțiunile 121-125 din DPA din 2018 impun comisarului să elaboreze coduri de bune practici privind schimbul de date, marketingul direct, proiectarea adecvată vârstei, protecția datelor și jurnalismul. |
| --- | --- |

(18)

În cele din urmă, orientări suplimentare privind legislația Regatului Unit în materie de protecție a datelor sunt furnizate în codurile de bune practici și în alte orientări adoptate de comisarul pentru informații. Deși nu au caracter juridic obligatoriu din punct de vedere formal, aceste orientări au o pondere interpretativă și demonstrează modul în care se aplică legislația privind protecția datelor și în care aceasta este pusă în practică de către comisar. În special, secțiunile 121-125 din DPA din 2018 impun comisarului să elaboreze coduri de bune practici privind schimbul de date, marketingul direct, proiectarea adecvată vârstei, protecția datelor și jurnalismul.

| (19) | Prin urmare, în structura și componentele sale principale, cadrul juridic al Regatului Unit care se aplică datelor transferate în temeiul prezentei decizii este foarte similar cu cel aplicabil în Uniunea Europeană. Aceasta include faptul că acest cadru nu se bazează numai pe obligațiile prevăzute în dreptul intern, care au fost conturate de dreptul Uniunii, ci și pe obligațiile consacrate în dreptul internațional public, în special prin aderarea Regatului Unit la CEDO și la Convenția 108, precum și prin recunoașterea de către acesta a competenței Curții Europene a Drepturilor Omului. Aceste obligații care decurg din instrumentele internaționale obligatorii din punct de vedere juridic, în special în ceea ce privește protecția datelor cu caracter personal, reprezintă, prin urmare, un element deosebit de important al cadrului juridic evaluat în prezenta decizie. |
| --- | --- |

(19)

Prin urmare, în structura și componentele sale principale, cadrul juridic al Regatului Unit care se aplică datelor transferate în temeiul prezentei decizii este foarte similar cu cel aplicabil în Uniunea Europeană. Aceasta include faptul că acest cadru nu se bazează numai pe obligațiile prevăzute în dreptul intern, care au fost conturate de dreptul Uniunii, ci și pe obligațiile consacrate în dreptul internațional public, în special prin aderarea Regatului Unit la CEDO și la Convenția 108, precum și prin recunoașterea de către acesta a competenței Curții Europene a Drepturilor Omului. Aceste obligații care decurg din instrumentele internaționale obligatorii din punct de vedere juridic, în special în ceea ce privește protecția datelor cu caracter personal, reprezintă, prin urmare, un element deosebit de important al cadrului juridic evaluat în prezenta decizie.

2.3.   Domeniul de aplicare material și teritorial

Domeniul de aplicare material și teritorial

| (20) | La fel ca în cazul Regulamentului (UE) 2016/679, RGPD al Regatului Unit se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, sau altor tipuri de prelucrare, în cazul în care datele cu caracter personal fac parte dintr-un sistem de evidență a datelor (26). Definițiile termenilor „date cu caracter personal”, „persoană vizată” și „prelucrarea datelor cu caracter personal” din RGPD al Regatului Unit sunt identice cu cele prevăzute în Regulamentul (UE) 2016/679 (27). În plus, RGPD al Regatului Unit se aplică prelucrării nestructurate manuale a datelor cu caracter personal (28) deținute de anumite autorități publice din Regatul Unit (29), deși secțiunile 24 și 25 din DPA din 2018 nu aplică principiile și drepturile prevăzute în RGPD al Regatului Unit care nu sunt relevante pentru aceste date cu caracter personal. În mod similar cu dispozițiile Regulamentului (UE) 2016/679, RGPD al Regatului Unit nu se aplică prelucrării datelor cu caracter personal efectuate de către o persoană fizică în cursul unei activități exclusiv personale sau domestice (30). |
| --- | --- |

(20)

La fel ca în cazul Regulamentului (UE) 2016/679, RGPD al Regatului Unit se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, sau altor tipuri de prelucrare, în cazul în care datele cu caracter personal fac parte dintr-un sistem de evidență a datelor (26). Definițiile termenilor „date cu caracter personal”, „persoană vizată” și „prelucrarea datelor cu caracter personal” din RGPD al Regatului Unit sunt identice cu cele prevăzute în Regulamentul (UE) 2016/679 (27). În plus, RGPD al Regatului Unit se aplică prelucrării nestructurate manuale a datelor cu caracter personal (28) deținute de anumite autorități publice din Regatul Unit (29), deși secțiunile 24 și 25 din DPA din 2018 nu aplică principiile și drepturile prevăzute în RGPD al Regatului Unit care nu sunt relevante pentru aceste date cu caracter personal. În mod similar cu dispozițiile Regulamentului (UE) 2016/679, RGPD al Regatului Unit nu se aplică prelucrării datelor cu caracter personal efectuate de către o persoană fizică în cursul unei activități exclusiv personale sau domestice (30).

26

27

28

29

30

| (21) | RGPD al Regatului Unit își extinde domeniul de aplicare și la prelucrarea în cursul unei activități care, imediat înainte de încheierea perioadei de tranziție, nu intra în domeniul de aplicare al dreptului Uniunii Europene (de exemplu, securitatea națională) (31) sau se încadra în domeniul de aplicare al titlului 5 capitolul 2 din Tratatul privind Uniunea Europeană (activități din domeniul politicii externe și de securitate comună) (32). La fel ca în sistemul Uniunii Europene, RGPD al Regatului Unit nu se aplică prelucrării datelor cu caracter personal de către o autoritate competentă în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora (așa-numitele „scopuri de asigurare a respectării legii”) – această prelucrare este reglementată, în schimb, de partea 3 din DPA din 2018, așa cum este cazul Directivei (UE) 2016/680 în temeiul dreptului Uniunii Europene – sau prelucrarea datelor cu caracter personal de către serviciile de informații [Security Service (Serviciul de Securitate), Secret Intelligence Service (Serviciul Secret de Informații) și Government Communications Headquarters (Cartierul General pentru Comunicații)], care este reglementată de partea 4 din DPA din 2018 (33). |
| --- | --- |

(21)

RGPD al Regatului Unit își extinde domeniul de aplicare și la prelucrarea în cursul unei activități care, imediat înainte de încheierea perioadei de tranziție, nu intra în domeniul de aplicare al dreptului Uniunii Europene (de exemplu, securitatea națională) (31) sau se încadra în domeniul de aplicare al titlului 5 capitolul 2 din Tratatul privind Uniunea Europeană (activități din domeniul politicii externe și de securitate comună) (32). La fel ca în sistemul Uniunii Europene, RGPD al Regatului Unit nu se aplică prelucrării datelor cu caracter personal de către o autoritate competentă în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora (așa-numitele „scopuri de asigurare a respectării legii”) – această prelucrare este reglementată, în schimb, de partea 3 din DPA din 2018, așa cum este cazul Directivei (UE) 2016/680 în temeiul dreptului Uniunii Europene – sau prelucrarea datelor cu caracter personal de către serviciile de informații [Security Service (Serviciul de Securitate), Secret Intelligence Service (Serviciul Secret de Informații) și Government Communications Headquarters (Cartierul General pentru Comunicații)], care este reglementată de partea 4 din DPA din 2018 (33).

31

32

Security Service

Secret Intelligence Service

Government Communications Headquarters

33

| (22) | Domeniul de aplicare teritorial al RGPD al Regatului Unit este descris la articolul 3 din RGPD al Regatului Unit (34) și include prelucrarea datelor cu caracter personal (indiferent de locul în care se desfășoară) în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Regatului Unit, precum și prelucrarea datelor cu caracter personal ale unor persoane vizate care se află în Regatul Unit, în cazul în care activitățile de prelucrare sunt legate de oferirea de bunuri sau servicii unor astfel de persoane vizate sau de monitorizarea comportamentului acestora (35). Aceasta reflectă abordarea adoptată la articolul 3 din Regulamentul (UE) 2016/679. |
| --- | --- |

(22)

Domeniul de aplicare teritorial al RGPD al Regatului Unit este descris la articolul 3 din RGPD al Regatului Unit (34) și include prelucrarea datelor cu caracter personal (indiferent de locul în care se desfășoară) în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Regatului Unit, precum și prelucrarea datelor cu caracter personal ale unor persoane vizate care se află în Regatul Unit, în cazul în care activitățile de prelucrare sunt legate de oferirea de bunuri sau servicii unor astfel de persoane vizate sau de monitorizarea comportamentului acestora (35). Aceasta reflectă abordarea adoptată la articolul 3 din Regulamentul (UE) 2016/679.

34

35

2.4.   Definițiile datelor cu caracter personal și conceptele de operator și persoană împuternicită de operator

Definițiile datelor cu caracter personal și conceptele de operator și persoană împuternicită de operator

| (23) | Definițiile următorilor termeni: date cu caracter personal, prelucrare, operator, persoană împuternicită de operator și pseudonimizare, prevăzute în Regulamentul (UE) 2016/679, au fost menținute fără modificări substanțiale în RGPD al Regatului Unit (36). În plus, categoriile speciale de date sunt definite la articolul 9 alineatul (1) din RGPD al Regatului Unit în același mod ca în Regulamentul (UE) 2016/679 („originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, afilierea sindicală, prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice sau prelucrarea datelor privind sănătatea sau a datelor privind viața sexuală și orientarea sexuală a unei persoane fizice”). Secțiunea 205 din DPA din 2018 prevede definiția „datelor biometrice” (37), a „datelor privind sănătatea” (38) și a „datelor genetice” (39). |
| --- | --- |

(23)

Definițiile următorilor termeni: date cu caracter personal, prelucrare, operator, persoană împuternicită de operator și pseudonimizare, prevăzute în Regulamentul (UE) 2016/679, au fost menținute fără modificări substanțiale în RGPD al Regatului Unit (36). În plus, categoriile speciale de date sunt definite la articolul 9 alineatul (1) din RGPD al Regatului Unit în același mod ca în Regulamentul (UE) 2016/679 („originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, afilierea sindicală, prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice sau prelucrarea datelor privind sănătatea sau a datelor privind viața sexuală și orientarea sexuală a unei persoane fizice”). Secțiunea 205 din DPA din 2018 prevede definiția „datelor biometrice” (37), a „datelor privind sănătatea” (38) și a „datelor genetice” (39).

36

37

38

39

2.5.   Garanții, drepturi și obligații

Garanții, drepturi și obligații

2.5.1.   Legalitatea și corectitudinea prelucrării

Legalitatea și corectitudinea prelucrării

| (24) | Datele cu caracter personal ar trebui prelucrate în mod legal și echitabil. |
| --- | --- |

(24)

Datele cu caracter personal ar trebui prelucrate în mod legal și echitabil.

| (25) | Principiile legalității, echității și transparenței, precum și motivele prelucrării legale sunt garantate în legislația Regatului Unit prin articolul 5 alineatul (1) litera (a) și prin articolul 6 alineatul (1) din RGPD al Regatului Unit, care sunt identice cu dispozițiile corespunzătoare din Regulamentul (UE) 2016/679 (40). Secțiunea 8 din DPA din 2018 completează articolul 6 alineatul (1) litera (e) prin stipularea faptului că prelucrarea datelor cu caracter personal în temeiul articolului 6 alineatul (1) litera (e) din RGPD al Regatului Unit (necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul) include prelucrarea datelor cu caracter personal care este necesară pentru administrarea justiției, exercitarea unei funcții a oricăreia dintre camerele Parlamentului, exercitarea unei funcții conferite unei persoane de o lege sau o normă juridică, exercitarea unei funcții a Coroanei, a unui ministru al Coroanei sau a unui departament guvernamental sau a unei activități care sprijină sau promovează angajamentul democratic. |
| --- | --- |

(25)

Principiile legalității, echității și transparenței, precum și motivele prelucrării legale sunt garantate în legislația Regatului Unit prin articolul 5 alineatul (1) litera (a) și prin articolul 6 alineatul (1) din RGPD al Regatului Unit, care sunt identice cu dispozițiile corespunzătoare din Regulamentul (UE) 2016/679 (40). Secțiunea 8 din DPA din 2018 completează articolul 6 alineatul (1) litera (e) prin stipularea faptului că prelucrarea datelor cu caracter personal în temeiul articolului 6 alineatul (1) litera (e) din RGPD al Regatului Unit (necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul) include prelucrarea datelor cu caracter personal care este necesară pentru administrarea justiției, exercitarea unei funcții a oricăreia dintre camerele Parlamentului, exercitarea unei funcții conferite unei persoane de o lege sau o normă juridică, exercitarea unei funcții a Coroanei, a unui ministru al Coroanei sau a unui departament guvernamental sau a unei activități care sprijină sau promovează angajamentul democratic.

40

| (26) | În ceea ce privește consimțământul (unul dintre motivele prelucrării legale), RGPD al Regatului Unit menține, de asemenea, nemodificate condițiile prevăzute la articolul 7 din Regulamentul (UE) 2016/679, și anume operatorul trebuie să fie în măsură să demonstreze că persoana vizată și-a dat consimțământul, o cerere scrisă privind consimțământul trebuie prezentată utilizând un limbaj clar și simplu, persoana vizată trebuie să aibă dreptul de a-și retrage în orice moment consimțământul, iar atunci când se evaluează dacă consimțământul este dat în mod liber, ar trebui să se țină seama de faptul că executarea unui contract este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract. În plus, în temeiul articolului 8 din RGPD al Regatului Unit, în contextul furnizării de servicii ale societății informaționale, consimțământul unui copil este legal numai atunci când copilul are o vârstă de cel puțin 13 ani. Aceasta se încadrează în categoria de vârstă stabilită la articolul 8 din Regulamentul (UE) 2016/679. |
| --- | --- |

(26)

În ceea ce privește consimțământul (unul dintre motivele prelucrării legale), RGPD al Regatului Unit menține, de asemenea, nemodificate condițiile prevăzute la articolul 7 din Regulamentul (UE) 2016/679, și anume operatorul trebuie să fie în măsură să demonstreze că persoana vizată și-a dat consimțământul, o cerere scrisă privind consimțământul trebuie prezentată utilizând un limbaj clar și simplu, persoana vizată trebuie să aibă dreptul de a-și retrage în orice moment consimțământul, iar atunci când se evaluează dacă consimțământul este dat în mod liber, ar trebui să se țină seama de faptul că executarea unui contract este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract. În plus, în temeiul articolului 8 din RGPD al Regatului Unit, în contextul furnizării de servicii ale societății informaționale, consimțământul unui copil este legal numai atunci când copilul are o vârstă de cel puțin 13 ani. Aceasta se încadrează în categoria de vârstă stabilită la articolul 8 din Regulamentul (UE) 2016/679.

2.5.2.   Prelucrarea de categorii speciale de date cu caracter personal

Prelucrarea de categorii speciale de date cu caracter personal

| (27) | Ar trebui să existe garanții specifice în cazul în care sunt prelucrate „categorii speciale” de date. |
| --- | --- |

(27)

Ar trebui să existe garanții specifice în cazul în care sunt prelucrate „categorii speciale” de date.

| (28) | RGPD al Regatului Unit și DPA din 2018 conțin norme specifice în ceea ce privește prelucrarea categoriilor speciale de date cu caracter personal, care sunt definite la articolul 9 alineatul (1) din RGPD al Regatului Unit în același mod ca în Regulamentul (UE) 2016/679 (a se vedea considerentul 23). În conformitate cu articolul 9 din RGPD al Regatului Unit, prelucrarea categoriilor speciale de date este, în principiu, interzisă, cu excepția cazului în care se aplică o excepție specifică. |
| --- | --- |

(28)

RGPD al Regatului Unit și DPA din 2018 conțin norme specifice în ceea ce privește prelucrarea categoriilor speciale de date cu caracter personal, care sunt definite la articolul 9 alineatul (1) din RGPD al Regatului Unit în același mod ca în Regulamentul (UE) 2016/679 (a se vedea considerentul 23). În conformitate cu articolul 9 din RGPD al Regatului Unit, prelucrarea categoriilor speciale de date este, în principiu, interzisă, cu excepția cazului în care se aplică o excepție specifică.

| (29) | Aceste excepții [enumerate la articolul 9 alineatele (2) și (3) din RGPD al Regatului Unit] nu aduc nicio modificare de substanță celor de la articolul 9 alineatele (2) și (3) din Regulamentul (UE) 2016/679. Cu excepția cazului în care persoana vizată și-a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal, prelucrarea unor categorii speciale de date cu caracter personal este permisă numai în circumstanțe specifice și limitate. În majoritatea cazurilor, prelucrarea datelor sensibile trebuie să fie necesară pentru un scop specific definit în dispoziția relevantă [a se vedea articolul 9 alineatul (2) literele (b), (c), (f), (g), (h), (i) și (j)]. |
| --- | --- |

(29)

Aceste excepții [enumerate la articolul 9 alineatele (2) și (3) din RGPD al Regatului Unit] nu aduc nicio modificare de substanță celor de la articolul 9 alineatele (2) și (3) din Regulamentul (UE) 2016/679. Cu excepția cazului în care persoana vizată și-a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal, prelucrarea unor categorii speciale de date cu caracter personal este permisă numai în circumstanțe specifice și limitate. În majoritatea cazurilor, prelucrarea datelor sensibile trebuie să fie necesară pentru un scop specific definit în dispoziția relevantă [a se vedea articolul 9 alineatul (2) literele (b), (c), (f), (g), (h), (i) și (j)].

| (30) | În plus, în cazul în care o excepție în temeiul articolului 9 alineatul (2) din RGPD al Regatului Unit impune o autorizare prin lege sau se referă la interesul public, secțiunea 10 din DPA din 2018, împreună cu anexa 1 la DPA din 2018, precizează condițiile care trebuie îndeplinite pentru ca excepțiile să fie invocate. De exemplu, în cazul prelucrării datelor sensibile în scopul protejării „sănătății publice” [articolul 9 alineatul 2 litera (i) din RGPD al Regatului Unit], anexa 1 partea 1 punctul 3 litera (b) impune ca, pe lângă testul necesității, o astfel de prelucrare să fie efectuată „de către sau sub responsabilitatea unui cadru medical” sau „de către o altă persoană care are obligația de a păstra confidențialitatea în temeiul unei legi sau a unei norme juridice”, inclusiv în temeiul obligației bine stabilite de common law privind confidențialitatea. |
| --- | --- |

(30)

În plus, în cazul în care o excepție în temeiul articolului 9 alineatul (2) din RGPD al Regatului Unit impune o autorizare prin lege sau se referă la interesul public, secțiunea 10 din DPA din 2018, împreună cu anexa 1 la DPA din 2018, precizează condițiile care trebuie îndeplinite pentru ca excepțiile să fie invocate. De exemplu, în cazul prelucrării datelor sensibile în scopul protejării „sănătății publice” [articolul 9 alineatul 2 litera (i) din RGPD al Regatului Unit], anexa 1 partea 1 punctul 3 litera (b) impune ca, pe lângă testul necesității, o astfel de prelucrare să fie efectuată „de către sau sub responsabilitatea unui cadru medical” sau „de către o altă persoană care are obligația de a păstra confidențialitatea în temeiul unei legi sau a unei norme juridice”, inclusiv în temeiul obligației bine stabilite de common law privind confidențialitatea.

| (31) | În cazul în care datele sensibile sunt prelucrate din motive de interes public major [articolul 9 alineatul (2) litera (g) din RGPD al Regatului Unit], partea 2 din anexa 1 la DPA din 2018 prevede o listă exhaustivă a scopurilor care pot fi considerate de interes public major și, pentru fiecare dintre aceste scopuri, stabilește condiții suplimentare specifice. De exemplu, promovarea diversității rasiale și etnice la nivelurile superioare ale organizațiilor este recunoscută ca fiind un interes public major. Prelucrarea datelor sensibile în acest scop specific face obiectul unor cerințe detaliate, inclusiv cerința ca prelucrarea să fie efectuată în cadrul unui proces de identificare a persoanelor potrivite pentru a deține funcții de conducere, să fie necesară pentru promovarea diversității rasiale și etnice și să nu fie susceptibilă de a cauza prejudicii sau suferințe clinice substanțiale persoanei vizate. |
| --- | --- |

(31)

În cazul în care datele sensibile sunt prelucrate din motive de interes public major [articolul 9 alineatul (2) litera (g) din RGPD al Regatului Unit], partea 2 din anexa 1 la DPA din 2018 prevede o listă exhaustivă a scopurilor care pot fi considerate de interes public major și, pentru fiecare dintre aceste scopuri, stabilește condiții suplimentare specifice. De exemplu, promovarea diversității rasiale și etnice la nivelurile superioare ale organizațiilor este recunoscută ca fiind un interes public major. Prelucrarea datelor sensibile în acest scop specific face obiectul unor cerințe detaliate, inclusiv cerința ca prelucrarea să fie efectuată în cadrul unui proces de identificare a persoanelor potrivite pentru a deține funcții de conducere, să fie necesară pentru promovarea diversității rasiale și etnice și să nu fie susceptibilă de a cauza prejudicii sau suferințe clinice substanțiale persoanei vizate.

| (32) | Secțiunea 11 punctul 1 din DPA din 2018 stabilește condițiile pentru prelucrarea datelor cu caracter personal în circumstanțele descrise la articolul 9 alineatul (3) din RGPD al Regatului Unit în ceea ce privește obligația de păstrare a confidențialității. Aceasta include circumstanțele în care este efectuată de către sau sub responsabilitatea unui cadru medical sau a unui profesionist din domeniul asistenței sociale sau de către o altă persoană care, în circumstanțele respective, are obligația de păstrare a confidențialității în temeiul unei legi sau al unei norme juridice. |
| --- | --- |

(32)

Secțiunea 11 punctul 1 din DPA din 2018 stabilește condițiile pentru prelucrarea datelor cu caracter personal în circumstanțele descrise la articolul 9 alineatul (3) din RGPD al Regatului Unit în ceea ce privește obligația de păstrare a confidențialității. Aceasta include circumstanțele în care este efectuată de către sau sub responsabilitatea unui cadru medical sau a unui profesionist din domeniul asistenței sociale sau de către o altă persoană care, în circumstanțele respective, are obligația de păstrare a confidențialității în temeiul unei legi sau al unei norme juridice.

| (33) | În plus, multe dintre excepțiile enumerate la articolul 9 alineatul (2) din RGPD al Regatului Unit impun garanții adecvate și specifice pentru a fi utilizate. În funcție de natura prelucrării și de nivelul de risc pentru drepturile și libertățile persoanelor vizate, condițiile de prelucrare prevăzute în anexa 1 la DPA din 2018 stabilesc garanții diferite. Anexa 1 stabilește, pe rând, condițiile pentru fiecare situație de prelucrare. |
| --- | --- |

(33)

În plus, multe dintre excepțiile enumerate la articolul 9 alineatul (2) din RGPD al Regatului Unit impun garanții adecvate și specifice pentru a fi utilizate. În funcție de natura prelucrării și de nivelul de risc pentru drepturile și libertățile persoanelor vizate, condițiile de prelucrare prevăzute în anexa 1 la DPA din 2018 stabilesc garanții diferite. Anexa 1 stabilește, pe rând, condițiile pentru fiecare situație de prelucrare.

| (34) | În unele cazuri, DPA din 2018 reglementează și limitează tipul de date sensibile care pot fi prelucrate pentru ca un anumit temei juridic să fie respectat. De exemplu, punctul 8 din anexa 1 autorizează prelucrarea datelor sensibile în scopul promovării egalității de șanse sau de tratament. Această condiție de prelucrare poate fi utilizată numai dacă datele dezvăluie originea rasială sau etnică, convingerile religioase sau filozofice, orientarea sexuală sau dacă este vorba despre date privind sănătatea. |
| --- | --- |

(34)

În unele cazuri, DPA din 2018 reglementează și limitează tipul de date sensibile care pot fi prelucrate pentru ca un anumit temei juridic să fie respectat. De exemplu, punctul 8 din anexa 1 autorizează prelucrarea datelor sensibile în scopul promovării egalității de șanse sau de tratament. Această condiție de prelucrare poate fi utilizată numai dacă datele dezvăluie originea rasială sau etnică, convingerile religioase sau filozofice, orientarea sexuală sau dacă este vorba despre date privind sănătatea.

| (35) | În unele cazuri, DPA din 2018 limitează tipul de operator care poate utiliza condiția de prelucrare. De exemplu, punctul 23 din anexa 1 prevede prelucrarea datelor sensibile în ceea ce privește răspunsurile reprezentanților aleși către public. Această condiție de prelucrare poate fi utilizată numai în cazul în care operatorul este reprezentantul ales sau acționează sub autoritatea acestuia. |
| --- | --- |

(35)

În unele cazuri, DPA din 2018 limitează tipul de operator care poate utiliza condiția de prelucrare. De exemplu, punctul 23 din anexa 1 prevede prelucrarea datelor sensibile în ceea ce privește răspunsurile reprezentanților aleși către public. Această condiție de prelucrare poate fi utilizată numai în cazul în care operatorul este reprezentantul ales sau acționează sub autoritatea acestuia.

| (36) | În alte cazuri, DPA din 2018 stabilește limite privind categoriile de persoane vizate pentru condiția de prelucrare care urmează să fie utilizată. De exemplu, punctul 21 din anexa 1 reglementează prelucrarea datelor sensibile pentru sistemele de pensii ocupaționale. Această condiție poate fi utilizată numai în cazul în care persoanele vizate în cauză sunt frați/surori, părinți, bunici sau străbunici ai membrului afiliat. |
| --- | --- |

(36)

În alte cazuri, DPA din 2018 stabilește limite privind categoriile de persoane vizate pentru condiția de prelucrare care urmează să fie utilizată. De exemplu, punctul 21 din anexa 1 reglementează prelucrarea datelor sensibile pentru sistemele de pensii ocupaționale. Această condiție poate fi utilizată numai în cazul în care persoanele vizate în cauză sunt frați/surori, părinți, bunici sau străbunici ai membrului afiliat.

| (37) | În plus, atunci când se bazează pe excepțiile prevăzute la articolul 9 alineatul (2) din RGPD al Regatului Unit, care sunt specificate mai detaliat în secțiunea 10 din DPA din 2018, împreună cu anexa 1 la DPA din 2018, operatorul trebuie să elaboreze, în majoritatea cazurilor, un „document de politică adecvat”. Acesta trebuie să prezinte procedurile operatorului de asigurare a conformității cu principiile prevăzute la articolul 5 din RGPD al Regatului Unit. Acesta trebuie, de asemenea, să stabilească politici de păstrare și ștergere, cu indicarea perioadei probabile de stocare. Operatorii trebuie să revizuiască și să actualizeze acest document, după caz. Operatorul trebuie să păstreze documentul de politică pentru o perioadă de șase luni de la finalizarea prelucrării și, la cerere, să îl pună la dispoziția comisarului pentru informații (41). |
| --- | --- |

(37)

În plus, atunci când se bazează pe excepțiile prevăzute la articolul 9 alineatul (2) din RGPD al Regatului Unit, care sunt specificate mai detaliat în secțiunea 10 din DPA din 2018, împreună cu anexa 1 la DPA din 2018, operatorul trebuie să elaboreze, în majoritatea cazurilor, un „document de politică adecvat”. Acesta trebuie să prezinte procedurile operatorului de asigurare a conformității cu principiile prevăzute la articolul 5 din RGPD al Regatului Unit. Acesta trebuie, de asemenea, să stabilească politici de păstrare și ștergere, cu indicarea perioadei probabile de stocare. Operatorii trebuie să revizuiască și să actualizeze acest document, după caz. Operatorul trebuie să păstreze documentul de politică pentru o perioadă de șase luni de la finalizarea prelucrării și, la cerere, să îl pună la dispoziția comisarului pentru informații (41).

41

| (38) | În temeiul punctului 41 din anexa 1 la DPA din 2018, documentul de politică trebuie să fie întotdeauna însoțit de o înregistrare suplimentară a prelucrării. Această înregistrare trebuie să urmărească angajamentele incluse în documentul de politică, și anume dacă datele sunt șterse sau menținute în conformitate cu politicile. În cazul în care politicile nu au fost respectate, motivele trebuie să se înregistreze în registru. Înregistrarea trebuie să descrie, de asemenea, modul în care prelucrarea respectă articolul 6 din RGPD al Regatului Unit (legalitatea prelucrării) și condiția specifică din anexa 1 la DPA din 2018 invocată. |
| --- | --- |

(38)

În temeiul punctului 41 din anexa 1 la DPA din 2018, documentul de politică trebuie să fie întotdeauna însoțit de o înregistrare suplimentară a prelucrării. Această înregistrare trebuie să urmărească angajamentele incluse în documentul de politică, și anume dacă datele sunt șterse sau menținute în conformitate cu politicile. În cazul în care politicile nu au fost respectate, motivele trebuie să se înregistreze în registru. Înregistrarea trebuie să descrie, de asemenea, modul în care prelucrarea respectă articolul 6 din RGPD al Regatului Unit (legalitatea prelucrării) și condiția specifică din anexa 1 la DPA din 2018 invocată.

| (39) | În cele din urmă, la fel ca Regulamentul (UE) 2016/679, RGPD al Regatului Unit prevede, de asemenea, garanții generale pentru anumite operațiuni de prelucrare a unor categorii speciale de date. Articolul 35 din RGPD al Regatului Unit prevede efectuarea unei evaluări a impactului asupra protecției datelor în cazul în care categorii speciale de date sunt prelucrate pe scară largă. În temeiul articolului 37 din RGPD al Regatului Unit, un operator sau o persoană împuternicită de operator trebuie să desemneze un responsabil cu protecția datelor în cazul în care activitățile sale principale constau în prelucrarea pe scară largă a unor categorii speciale de date. |
| --- | --- |

(39)

În cele din urmă, la fel ca Regulamentul (UE) 2016/679, RGPD al Regatului Unit prevede, de asemenea, garanții generale pentru anumite operațiuni de prelucrare a unor categorii speciale de date. Articolul 35 din RGPD al Regatului Unit prevede efectuarea unei evaluări a impactului asupra protecției datelor în cazul în care categorii speciale de date sunt prelucrate pe scară largă. În temeiul articolului 37 din RGPD al Regatului Unit, un operator sau o persoană împuternicită de operator trebuie să desemneze un responsabil cu protecția datelor în cazul în care activitățile sale principale constau în prelucrarea pe scară largă a unor categorii speciale de date.

| (40) | În ceea ce privește datele cu caracter personal referitoare la condamnări penale și infracțiuni, articolul 10 din RGPD al Regatului Unit este identic cu articolul 10 din Regulamentul (UE) 2016/679. Acesta permite prelucrarea de date cu caracter personal referitoare la condamnări penale și infracțiuni numai sub controlul unei autorități de stat sau atunci când prelucrarea este autorizată de dreptul intern care prevede garanții adecvate pentru drepturile și libertățile persoanelor vizate. |
| --- | --- |

(40)

În ceea ce privește datele cu caracter personal referitoare la condamnări penale și infracțiuni, articolul 10 din RGPD al Regatului Unit este identic cu articolul 10 din Regulamentul (UE) 2016/679. Acesta permite prelucrarea de date cu caracter personal referitoare la condamnări penale și infracțiuni numai sub controlul unei autorități de stat sau atunci când prelucrarea este autorizată de dreptul intern care prevede garanții adecvate pentru drepturile și libertățile persoanelor vizate.

| (41) | În cazul în care prelucrarea datelor referitoare la condamnări penale și infracțiuni nu se efectuează sub controlul unei autorități de stat, secțiunea 10 punctul 5 din DPA din 2018 prevede că o astfel de prelucrare poate avea loc numai în scopurile specifice/în situațiile specifice prevăzute în părțile 1, 2 și 3 din anexa 1 la DPA din 2018 și face obiectul cerințelor specifice care sunt stabilite pentru fiecare dintre aceste scopuri/situații. De exemplu, datele privind condamnările penale pot fi prelucrate de organisme fără scop lucrativ dacă prelucrarea este efectuată: (a) în cadrul activităților lor legitime și cu garanții adecvate de către o fundație, o asociație sau un alt organism fără scop lucrativ și cu specific politic, filozofic, religios sau sindical; și (b) cu condiția ca: (i) prelucrarea să se refere numai la membrii sau la foștii membri ai organismului sau la persoane cu care acesta are contacte permanente în legătură cu scopurile sale; și (ii) ca datele cu caracter personal să nu fie comunicate terților fără consimțământul persoanelor vizate. |
| --- | --- |

(41)

În cazul în care prelucrarea datelor referitoare la condamnări penale și infracțiuni nu se efectuează sub controlul unei autorități de stat, secțiunea 10 punctul 5 din DPA din 2018 prevede că o astfel de prelucrare poate avea loc numai în scopurile specifice/în situațiile specifice prevăzute în părțile 1, 2 și 3 din anexa 1 la DPA din 2018 și face obiectul cerințelor specifice care sunt stabilite pentru fiecare dintre aceste scopuri/situații. De exemplu, datele privind condamnările penale pot fi prelucrate de organisme fără scop lucrativ dacă prelucrarea este efectuată: (a) în cadrul activităților lor legitime și cu garanții adecvate de către o fundație, o asociație sau un alt organism fără scop lucrativ și cu specific politic, filozofic, religios sau sindical; și (b) cu condiția ca: (i) prelucrarea să se refere numai la membrii sau la foștii membri ai organismului sau la persoane cu care acesta are contacte permanente în legătură cu scopurile sale; și (ii) ca datele cu caracter personal să nu fie comunicate terților fără consimțământul persoanelor vizate.

| (42) | În plus, partea 3 din anexa 1 la DPA din 2018 stabilește circumstanțele suplimentare în care pot fi utilizate date privind condamnările penale care corespund temeiurilor juridice pentru prelucrarea datelor sensibile de la articolul 9 alineatul (2) din Regulamentul (UE) 2016/679 și din RGPD al Regatului Unit (de exemplu, consimțământul persoanei vizate, interesele vitale ale unei persoane în cazul în care persoana vizată se află în imposibilitatea legală sau fizică de a-și da consimțământul, dacă datele au fost deja făcute publice în mod evident de către persoana vizată, dacă prelucrarea este necesară pentru stabilirea, exercitarea sau apărarea unui drept în instanță etc.). |
| --- | --- |

(42)

În plus, partea 3 din anexa 1 la DPA din 2018 stabilește circumstanțele suplimentare în care pot fi utilizate date privind condamnările penale care corespund temeiurilor juridice pentru prelucrarea datelor sensibile de la articolul 9 alineatul (2) din Regulamentul (UE) 2016/679 și din RGPD al Regatului Unit (de exemplu, consimțământul persoanei vizate, interesele vitale ale unei persoane în cazul în care persoana vizată se află în imposibilitatea legală sau fizică de a-și da consimțământul, dacă datele au fost deja făcute publice în mod evident de către persoana vizată, dacă prelucrarea este necesară pentru stabilirea, exercitarea sau apărarea unui drept în instanță etc.).

2.5.3.   Limitări legate de scop, exactitate, reducerea la minimum a datelor, limitări legate de stocare și securitatea datelor

Limitări legate de scop, exactitate, reducerea la minimum a datelor, limitări legate de stocare și securitatea datelor

| (43) | Datele cu caracter personal ar trebui să fie prelucrate într-un scop anume și să fie utilizate ulterior numai în măsura în care acest lucru nu este incompatibil cu scopul prelucrării. |
| --- | --- |

(43)

Datele cu caracter personal ar trebui să fie prelucrate într-un scop anume și să fie utilizate ulterior numai în măsura în care acest lucru nu este incompatibil cu scopul prelucrării.

| (44) | Acest principiu este prevăzut la articolul 5 alineatul (1) litera (b) din Regulamentul (UE) 2016/679 și a fost menținut fără modificări la articolul 5 alineatul (1) litera (b) din RGPD al Regatului Unit. Condițiile privind prelucrarea compatibilă ulterioară în temeiul articolului 6 alineatul (4) din Regulamentul (UE) 2016/679 au fost, de asemenea, menținute fără modificări semnificative la articolul 6 alineatul (4) literele (a)-(e) din RGPD al Regatului Unit. |
| --- | --- |

(44)

Acest principiu este prevăzut la articolul 5 alineatul (1) litera (b) din Regulamentul (UE) 2016/679 și a fost menținut fără modificări la articolul 5 alineatul (1) litera (b) din RGPD al Regatului Unit. Condițiile privind prelucrarea compatibilă ulterioară în temeiul articolului 6 alineatul (4) din Regulamentul (UE) 2016/679 au fost, de asemenea, menținute fără modificări semnificative la articolul 6 alineatul (4) literele (a)-(e) din RGPD al Regatului Unit.

| (45) | În plus, datele ar trebui să fie exacte și, dacă este necesar, actualizate. De asemenea, ar trebui să fie adecvate, relevante și neexcesive în raport cu scopurile în care sunt prelucrate și, în principiu, păstrate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele cu caracter personal. |
| --- | --- |

(45)

În plus, datele ar trebui să fie exacte și, dacă este necesar, actualizate. De asemenea, ar trebui să fie adecvate, relevante și neexcesive în raport cu scopurile în care sunt prelucrate și, în principiu, păstrate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele cu caracter personal.

| (46) | Aceste principii privind reducerea la minimum a datelor, exactitatea și limitările legate de stocare sunt prevăzute la articolul 5 alineatul (1) literele (c)-(e) din Regulamentul (UE) 2016/679 și sunt menținute fără modificări la articolul 5 alineatul (1) literele (c)-(e) din RGPD al Regatului Unit. |
| --- | --- |

(46)

Aceste principii privind reducerea la minimum a datelor, exactitatea și limitările legate de stocare sunt prevăzute la articolul 5 alineatul (1) literele (c)-(e) din Regulamentul (UE) 2016/679 și sunt menținute fără modificări la articolul 5 alineatul (1) literele (c)-(e) din RGPD al Regatului Unit.

| (47) | Datele cu caracter personal ar trebui prelucrate într-un mod care să le asigure securitatea, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale. În acest scop, operatorii economici ar trebui să ia măsurile tehnice sau organizatorice adecvate pentru a proteja datele cu caracter personal împotriva eventualelor amenințări. Aceste măsuri ar trebui să fie evaluate luând în considerare cunoștințele actuale și costurile aferente. |
| --- | --- |

(47)

Datele cu caracter personal ar trebui prelucrate într-un mod care să le asigure securitatea, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale. În acest scop, operatorii economici ar trebui să ia măsurile tehnice sau organizatorice adecvate pentru a proteja datele cu caracter personal împotriva eventualelor amenințări. Aceste măsuri ar trebui să fie evaluate luând în considerare cunoștințele actuale și costurile aferente.

| (48) | Securitatea datelor este consacrată în legislația Regatului Unit prin principiul integrității și confidențialității prevăzut la articolul 5 alineatul (1) litera (f) din RGPD al Regatului Unit și la articolul 32 din RGPD al Regatului Unit privind securitatea prelucrării. Dispozițiile menționate sunt identice cu dispozițiile corespunzătoare din Regulamentul (UE) 2016/679. În plus, în aceleași condiții ca cele prevăzute la articolele 33 și 34 din Regulamentul (UE) 2016/679, RGPD al Regatului Unit prevede notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal (articolul 33 din RGPD al Regatului Unit) și informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal (articolul 34 din RGPD al Regatului Unit). |
| --- | --- |

(48)

Securitatea datelor este consacrată în legislația Regatului Unit prin principiul integrității și confidențialității prevăzut la articolul 5 alineatul (1) litera (f) din RGPD al Regatului Unit și la articolul 32 din RGPD al Regatului Unit privind securitatea prelucrării. Dispozițiile menționate sunt identice cu dispozițiile corespunzătoare din Regulamentul (UE) 2016/679. În plus, în aceleași condiții ca cele prevăzute la articolele 33 și 34 din Regulamentul (UE) 2016/679, RGPD al Regatului Unit prevede notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal (articolul 33 din RGPD al Regatului Unit) și informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal (articolul 34 din RGPD al Regatului Unit).

2.5.4.   Transparența

Transparența

| (49) | Persoanele vizate ar trebui să fie informate cu privire la principalele caracteristici ale prelucrării datelor lor cu caracter personal. |
| --- | --- |

(49)

Persoanele vizate ar trebui să fie informate cu privire la principalele caracteristici ale prelucrării datelor lor cu caracter personal.

| (50) | Acest lucru este garantat prin articolele 13 și 14 din RGPD al Regatului Unit, care, pe lângă un principiu general al transparenței, prevăd norme privind informațiile care trebuie furnizate persoanei vizate (42). RGPD al Regatului Unit nu introduce nicio modificare substanțială a acestor norme în comparație cu articolele corespunzătoare din Regulamentul (UE) 2016/679. Cu toate acestea, la fel ca în Regulamentul (UE) 2016/679, cerințele de transparență prevăzute la articolele respective fac obiectul mai multor excepții prevăzute în DPA din 2018 (a se vedea considerentele 55-72). |
| --- | --- |

(50)

Acest lucru este garantat prin articolele 13 și 14 din RGPD al Regatului Unit, care, pe lângă un principiu general al transparenței, prevăd norme privind informațiile care trebuie furnizate persoanei vizate (42). RGPD al Regatului Unit nu introduce nicio modificare substanțială a acestor norme în comparație cu articolele corespunzătoare din Regulamentul (UE) 2016/679. Cu toate acestea, la fel ca în Regulamentul (UE) 2016/679, cerințele de transparență prevăzute la articolele respective fac obiectul mai multor excepții prevăzute în DPA din 2018 (a se vedea considerentele 55-72).

42

2.5.5.   Drepturi individuale

Drepturi individuale

| (51) | Persoanele vizate ar trebui să aibă anumite drepturi care pot fi impuse operatorului sau persoanei împuternicite de operator, în special dreptul de acces la date, dreptul de a se opune prelucrării și dreptul la rectificarea și ștergerea datelor. În același timp, aceste drepturi pot face obiectul unor restricții, în măsura în care aceste restricții sunt necesare și proporționale pentru a proteja securitatea publică sau alte obiective importante de interes public general. |
| --- | --- |

(51)

Persoanele vizate ar trebui să aibă anumite drepturi care pot fi impuse operatorului sau persoanei împuternicite de operator, în special dreptul de acces la date, dreptul de a se opune prelucrării și dreptul la rectificarea și ștergerea datelor. În același timp, aceste drepturi pot face obiectul unor restricții, în măsura în care aceste restricții sunt necesare și proporționale pentru a proteja securitatea publică sau alte obiective importante de interes public general.

2.5.5.1.   Drepturi materiale

Drepturi materiale

| (52) | RGPD al Regatului Unit acordă persoanelor aceleași drepturi opozabile ca Regulamentul (UE) 2016/679. Dispozițiile care prevăd drepturile persoanelor au fost menținute în RGPD al Regatului Unit fără modificări semnificative. |
| --- | --- |

(52)

RGPD al Regatului Unit acordă persoanelor aceleași drepturi opozabile ca Regulamentul (UE) 2016/679. Dispozițiile care prevăd drepturile persoanelor au fost menținute în RGPD al Regatului Unit fără modificări semnificative.

| (53) | Drepturile includ dreptul de acces al persoanei vizate (articolul 15 din RGPD al Regatului Unit), dreptul la rectificare (articolul 16 din RGPD al Regatului Unit), dreptul la ștergerea datelor (articolul 17 din RGPD al Regatului Unit), dreptul la restricționarea prelucrării (articolul 18 din RGPD al Regatului Unit), o obligație de notificare privind rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării (articolul 19 din RGPD al Regatului Unit), dreptul la portabilitatea datelor (articolul 20 din RGPD al Regatului Unit) și dreptul la opoziție (articolul 21 din RGPD al Regatului Unit) (43). Acesta din urmă include, de asemenea, dreptul unei persoane vizate de a se opune prelucrării datelor cu caracter personal în scopul marketingului direct prevăzut la articolul 21 alineatele (2) și (3) din Regulamentul (UE) 2016/679. În plus, în temeiul secțiunii 122 din DPA din 2018, comisarul pentru informații trebuie să elaboreze un cod de bune practici în ceea ce privește realizarea marketingului direct în conformitate cu cerințele legislației privind protecția datelor [și cu Privacy and Electronic Communications (EC Directive) Regulations 2003 – Regulamentele din 2003 privind confidențialitatea și comunicațiile electronice (Directiva CE)], precum și alte orientări pentru promovarea bunelor practici în materie de marketing direct pe care comisarul le consideră adecvate. Biroul comisarului pentru informații elaborează în prezent codul de marketing direct (44). |
| --- | --- |

(53)

Drepturile includ dreptul de acces al persoanei vizate (articolul 15 din RGPD al Regatului Unit), dreptul la rectificare (articolul 16 din RGPD al Regatului Unit), dreptul la ștergerea datelor (articolul 17 din RGPD al Regatului Unit), dreptul la restricționarea prelucrării (articolul 18 din RGPD al Regatului Unit), o obligație de notificare privind rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării (articolul 19 din RGPD al Regatului Unit), dreptul la portabilitatea datelor (articolul 20 din RGPD al Regatului Unit) și dreptul la opoziție (articolul 21 din RGPD al Regatului Unit) (43). Acesta din urmă include, de asemenea, dreptul unei persoane vizate de a se opune prelucrării datelor cu caracter personal în scopul marketingului direct prevăzut la articolul 21 alineatele (2) și (3) din Regulamentul (UE) 2016/679. În plus, în temeiul secțiunii 122 din DPA din 2018, comisarul pentru informații trebuie să elaboreze un cod de bune practici în ceea ce privește realizarea marketingului direct în conformitate cu cerințele legislației privind protecția datelor [și cu Privacy and Electronic Communications (EC Directive) Regulations 2003 – Regulamentele din 2003 privind confidențialitatea și comunicațiile electronice (Directiva CE)], precum și alte orientări pentru promovarea bunelor practici în materie de marketing direct pe care comisarul le consideră adecvate. Biroul comisarului pentru informații elaborează în prezent codul de marketing direct (44).

43

Privacy and Electronic Communications (EC Directive) Regulations 2003

44

| (54) | Dreptul persoanei vizate de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, care produce efecte juridice care privesc persoana vizată sau o afectează în mod similar într-o măsură semnificativă, astfel cum se prevede la articolul 22 din RGPD, a fost, de asemenea, menținut în RGPD al Regatului Unit fără modificări substanțiale. Cu toate acestea, a fost adăugat un nou alineat (3A) pentru a menționa că secțiunea 14 din DPA din 2018 stabilește garanții pentru drepturile, libertățile și interesele legitime ale persoanelor vizate atunci când prelucrarea este efectuată în temeiul articolului 22 alineatul (2) litera (b) din RGPD al Regatului Unit. Acesta se aplică numai atunci când temeiul unei astfel de decizii este o autorizație sau o cerință în temeiul legislației Regatului Unit și nu se aplică în cazul în care decizia este necesară în temeiul unui contract sau este luată cu consimțământul explicit al persoanei vizate. În cazul în care se aplică secțiunea 14 din DPA din 2018, operatorul trebuie să notifice în scris persoanei vizate, cât mai curând posibil din punct de vedere practic, că a fost luată o decizie bazată exclusiv pe prelucrarea automată. Persoana vizată are dreptul de a solicita operatorului – în termen de o lună de la primirea notificării – să reexamineze decizia sau să ia o nouă decizie care nu se bazează exclusiv pe prelucrarea automată. Secretarul de stat este împuternicit să adopte garanții suplimentare în ceea ce privește procesul decizional automatizat. Această competență nu a fost încă exercitată. |
| --- | --- |

(54)

Dreptul persoanei vizate de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, care produce efecte juridice care privesc persoana vizată sau o afectează în mod similar într-o măsură semnificativă, astfel cum se prevede la articolul 22 din RGPD, a fost, de asemenea, menținut în RGPD al Regatului Unit fără modificări substanțiale. Cu toate acestea, a fost adăugat un nou alineat (3A) pentru a menționa că secțiunea 14 din DPA din 2018 stabilește garanții pentru drepturile, libertățile și interesele legitime ale persoanelor vizate atunci când prelucrarea este efectuată în temeiul articolului 22 alineatul (2) litera (b) din RGPD al Regatului Unit. Acesta se aplică numai atunci când temeiul unei astfel de decizii este o autorizație sau o cerință în temeiul legislației Regatului Unit și nu se aplică în cazul în care decizia este necesară în temeiul unui contract sau este luată cu consimțământul explicit al persoanei vizate. În cazul în care se aplică secțiunea 14 din DPA din 2018, operatorul trebuie să notifice în scris persoanei vizate, cât mai curând posibil din punct de vedere practic, că a fost luată o decizie bazată exclusiv pe prelucrarea automată. Persoana vizată are dreptul de a solicita operatorului – în termen de o lună de la primirea notificării – să reexamineze decizia sau să ia o nouă decizie care nu se bazează exclusiv pe prelucrarea automată. Secretarul de stat este împuternicit să adopte garanții suplimentare în ceea ce privește procesul decizional automatizat. Această competență nu a fost încă exercitată.

2.5.5.2.   Restricții privind drepturile individuale și alte dispoziții

Restricții privind drepturile individuale și alte dispoziții

| (55) | DPA din 2018 stabilește o serie de restricții privind drepturile individuale, în conformitate cu articolul 23 din RGPD al Regatului Unit. În acest cadru nu sunt introduse restricții în ceea ce privește dreptul de a se opune marketingului direct, astfel cum se prevede la articolul 21 alineatele (2) și (3) din RGPD al Regatului Unit, sau dreptul de a nu face obiectul procesului decizional automatizat, astfel cum se prevede la articolul 22 din RGPD al Regatului Unit. |
| --- | --- |

(55)

DPA din 2018 stabilește o serie de restricții privind drepturile individuale, în conformitate cu articolul 23 din RGPD al Regatului Unit. În acest cadru nu sunt introduse restricții în ceea ce privește dreptul de a se opune marketingului direct, astfel cum se prevede la articolul 21 alineatele (2) și (3) din RGPD al Regatului Unit, sau dreptul de a nu face obiectul procesului decizional automatizat, astfel cum se prevede la articolul 22 din RGPD al Regatului Unit.

| (56) | Restricțiile sunt detaliate în anexele 2-4 la DPA din 2018. Autoritățile Regatului Unit au explicat că sunt ghidate de două principii: principiul specificității (adoptarea unei abordări granulare, împărțirea restricțiilor ample în dispoziții multiple, mai specifice) și principiul condiționalității (fiecare dispoziție este completată de garanții sub formă de limitări sau condiții pentru a preveni abuzurile) (45). |
| --- | --- |

(56)

Restricțiile sunt detaliate în anexele 2-4 la DPA din 2018. Autoritățile Regatului Unit au explicat că sunt ghidate de două principii: principiul specificității (adoptarea unei abordări granulare, împărțirea restricțiilor ample în dispoziții multiple, mai specifice) și principiul condiționalității (fiecare dispoziție este completată de garanții sub formă de limitări sau condiții pentru a preveni abuzurile) (45).

45

| (57) | Restricțiile descrise la articolul 23 alineatul (1) din RGPD al Regatului Unit sunt menite să garanteze că acestea se aplică numai în circumstanțe specifice, atunci când acest lucru este necesar într-o societate democratică și proporțional cu obiectivul legitim pe care îl urmăresc. În plus, în conformitate cu jurisprudența constantă privind interpretarea restricțiilor, o derogare de la regimul de protecție a datelor poate fi aplicată în orice caz particular numai dacă acest lucru este necesar și proporțional (46). Testul necesității a trebuit să fie „strict, impunând ca orice ingerință în drepturile persoanei vizate să fie proporțională cu gravitatea amenințării la adresa interesului public. Prin urmare, exercițiul implică o analiză clasică a proporționalității (47)”. |
| --- | --- |

(57)

Restricțiile descrise la articolul 23 alineatul (1) din RGPD al Regatului Unit sunt menite să garanteze că acestea se aplică numai în circumstanțe specifice, atunci când acest lucru este necesar într-o societate democratică și proporțional cu obiectivul legitim pe care îl urmăresc. În plus, în conformitate cu jurisprudența constantă privind interpretarea restricțiilor, o derogare de la regimul de protecție a datelor poate fi aplicată în orice caz particular numai dacă acest lucru este necesar și proporțional (46). Testul necesității a trebuit să fie „strict, impunând ca orice ingerință în drepturile persoanei vizate să fie proporțională cu gravitatea amenințării la adresa interesului public. Prin urmare, exercițiul implică o analiză clasică a proporționalității (47)”.

46

47

| (58) | Obiectivele urmărite de aceste restricții corespund celor enumerate la articolul 23 din Regulamentul (UE) 2016/679, cu excepția restricțiilor privind apărarea și securitatea națională, care sunt reglementate în schimb de secțiunea 26 din DPA din 2018, dar fac obiectul acelorași cerințe de necesitate și proporționalitate (a se vedea considerentele 63-66). |
| --- | --- |

(58)

Obiectivele urmărite de aceste restricții corespund celor enumerate la articolul 23 din Regulamentul (UE) 2016/679, cu excepția restricțiilor privind apărarea și securitatea națională, care sunt reglementate în schimb de secțiunea 26 din DPA din 2018, dar fac obiectul acelorași cerințe de necesitate și proporționalitate (a se vedea considerentele 63-66).

| (59) | Unele dintre restricții, de exemplu cele legate de prevenirea sau depistarea infracțiunilor, de arestarea sau urmărirea penală a infractorilor, precum și de stabilirea sau colectarea impozitelor sau a taxelor (48), permit restricționarea tuturor drepturilor individuale și a obligațiilor în materie de transparență [cu excepția drepturilor prevăzute la articolul 21 alineatul (2) și la articolul 22]. Domeniul de aplicare al altor restricții se limitează la obligațiile de transparență și la drepturile de acces, cum ar fi restricțiile referitoare la secretul profesional al avocatului (49), la dreptul de a nu fi supus obligației de a furniza informații care ar conduce la autoincriminare (50), precum și la finanțarea întreprinderilor, în special la prevenirea utilizării abuzive a informațiilor privilegiate (51). Puține dintre restricții permit o limitare a obligației operatorului de a informa o persoană vizată cu privire la încălcarea securității datelor și a principiilor limitărilor legate de scop, legalității, echității și transparenței prelucrării (52). |
| --- | --- |

(59)

Unele dintre restricții, de exemplu cele legate de prevenirea sau depistarea infracțiunilor, de arestarea sau urmărirea penală a infractorilor, precum și de stabilirea sau colectarea impozitelor sau a taxelor (48), permit restricționarea tuturor drepturilor individuale și a obligațiilor în materie de transparență [cu excepția drepturilor prevăzute la articolul 21 alineatul (2) și la articolul 22]. Domeniul de aplicare al altor restricții se limitează la obligațiile de transparență și la drepturile de acces, cum ar fi restricțiile referitoare la secretul profesional al avocatului (49), la dreptul de a nu fi supus obligației de a furniza informații care ar conduce la autoincriminare (50), precum și la finanțarea întreprinderilor, în special la prevenirea utilizării abuzive a informațiilor privilegiate (51). Puține dintre restricții permit o limitare a obligației operatorului de a informa o persoană vizată cu privire la încălcarea securității datelor și a principiilor limitărilor legate de scop, legalității, echității și transparenței prelucrării (52).

48

49

50

51

52

| (60) | Unele restricții se aplică automat „integral” unui anumit tip de prelucrare a datelor cu caracter personal (de exemplu, aplicarea obligațiilor de transparență și a drepturilor individuale este exclusă în cazul în care datele cu caracter personal sunt prelucrate în scopul evaluării capacității unei persoane de a ocupa o funcție judiciară sau atunci când datele cu caracter personal sunt prelucrate de către o instanță judecătorească, un tribunal sau o persoană care acționează în exercițiul unei funcții judiciare). |
| --- | --- |

(60)

Unele restricții se aplică automat „integral” unui anumit tip de prelucrare a datelor cu caracter personal (de exemplu, aplicarea obligațiilor de transparență și a drepturilor individuale este exclusă în cazul în care datele cu caracter personal sunt prelucrate în scopul evaluării capacității unei persoane de a ocupa o funcție judiciară sau atunci când datele cu caracter personal sunt prelucrate de către o instanță judecătorească, un tribunal sau o persoană care acționează în exercițiul unei funcții judiciare).

| (61) | Cu toate acestea, în majoritatea cazurilor, punctul relevant din anexa 2 la DPA din 2018 precizează că restricția se aplică numai în cazul în care (și în măsura în care) aplicarea dispozițiilor „ar putea aduce atingere” obiectivului legitim urmărit de restricția respectivă: de exemplu, dispozițiile enumerate din RGPD al Regatului Unit nu se aplică datelor cu caracter personal prelucrate în scopul prevenirii sau depistării infracțiunilor, al arestării sau urmăririi penale a infractorilor sau al stabilirii sau colectării impozitelor sau a taxelor „în măsura în care aplicarea dispozițiilor respective ar putea aduce atingere” oricăruia dintre aceste aspecte (53). |
| --- | --- |

(61)

Cu toate acestea, în majoritatea cazurilor, punctul relevant din anexa 2 la DPA din 2018 precizează că restricția se aplică numai în cazul în care (și în măsura în care) aplicarea dispozițiilor „ar putea aduce atingere” obiectivului legitim urmărit de restricția respectivă: de exemplu, dispozițiile enumerate din RGPD al Regatului Unit nu se aplică datelor cu caracter personal prelucrate în scopul prevenirii sau depistării infracțiunilor, al arestării sau urmăririi penale a infractorilor sau al stabilirii sau colectării impozitelor sau a taxelor „în măsura în care aplicarea dispozițiilor respective ar putea aduce atingere” oricăruia dintre aceste aspecte (53).

53

| (62) | Standardul referitor la „ar putea aduce atingere” a fost interpretat în mod consecvent de instanțele din Regatul Unit ca însemnând „o probabilitate foarte semnificativă și hotărâtoare de a aduce atingere intereselor publice identificate” (54). Prin urmare, o restricție care face obiectul testului prejudiciului poate fi invocată numai dacă și în măsura în care există o șansă semnificativă ca acordarea unui anumit drept să aducă atingere interesului public în cauză. Operatorul este responsabil de evaluarea de la caz la caz a îndeplinirii acestor condiții (55). |
| --- | --- |

(62)

Standardul referitor la „ar putea aduce atingere” a fost interpretat în mod consecvent de instanțele din Regatul Unit ca însemnând „o probabilitate foarte semnificativă și hotărâtoare de a aduce atingere intereselor publice identificate” (54). Prin urmare, o restricție care face obiectul testului prejudiciului poate fi invocată numai dacă și în măsura în care există o șansă semnificativă ca acordarea unui anumit drept să aducă atingere interesului public în cauză. Operatorul este responsabil de evaluarea de la caz la caz a îndeplinirii acestor condiții (55).

54

55

| (63) | Pe lângă restricțiile cuprinse în anexa 2 la DPA din 2018, secțiunea 26 din DPA din 2018 prevede o derogare care poate fi aplicată anumitor dispoziții din RGPD al Regatului Unit și din DPA din 2018 dacă derogarea respectivă este necesară în scopul protejării securității naționale sau în scopuri de apărare. Această derogare se aplică principiilor privind protecția datelor (cu excepția principiului legalității), obligațiilor în materie de transparență, drepturilor persoanei vizate, obligației de a notifica o încălcare a securității datelor, normelor privind transferurile internaționale, unora dintre sarcinile și competențele comisarului pentru informații și normelor privind căile de atac, răspunderile și sancțiunile, cu excepția dispoziției privind condițiile generale pentru impunerea amenzilor administrative prevăzute la articolul 83 din RGPD al Regatului Unit și a dispoziției privind sancțiunile de la articolul 84 din RGPD al Regatului Unit. În plus, secțiunea 28 din DPA din 2018 modifică aplicarea articolului 9 alineatul (1) pentru a permite prelucrarea categoriilor speciale de date de la articolul 9 alineatul (1) din RGPD al Regatului Unit, în măsura în care prelucrarea este efectuată pentru apărarea securității naționale sau în scopuri de apărare, precum și cu garanții adecvate pentru drepturile și libertățile persoanelor vizate (56). |
| --- | --- |

(63)

Pe lângă restricțiile cuprinse în anexa 2 la DPA din 2018, secțiunea 26 din DPA din 2018 prevede o derogare care poate fi aplicată anumitor dispoziții din RGPD al Regatului Unit și din DPA din 2018 dacă derogarea respectivă este necesară în scopul protejării securității naționale sau în scopuri de apărare. Această derogare se aplică principiilor privind protecția datelor (cu excepția principiului legalității), obligațiilor în materie de transparență, drepturilor persoanei vizate, obligației de a notifica o încălcare a securității datelor, normelor privind transferurile internaționale, unora dintre sarcinile și competențele comisarului pentru informații și normelor privind căile de atac, răspunderile și sancțiunile, cu excepția dispoziției privind condițiile generale pentru impunerea amenzilor administrative prevăzute la articolul 83 din RGPD al Regatului Unit și a dispoziției privind sancțiunile de la articolul 84 din RGPD al Regatului Unit. În plus, secțiunea 28 din DPA din 2018 modifică aplicarea articolului 9 alineatul (1) pentru a permite prelucrarea categoriilor speciale de date de la articolul 9 alineatul (1) din RGPD al Regatului Unit, în măsura în care prelucrarea este efectuată pentru apărarea securității naționale sau în scopuri de apărare, precum și cu garanții adecvate pentru drepturile și libertățile persoanelor vizate (56).

56

| (64) | Derogarea poate fi aplicată numai în măsura în care este necesară pentru a proteja securitatea națională sau apărarea. La fel ca și în cazul celorlalte derogări prevăzute de DPA din 2018, aceasta trebuie luată în considerare și invocată de operator de la caz la caz. În plus, orice aplicare a derogării trebuie să fie în conformitate cu standardele privind drepturile omului (bazate pe Legea privind drepturile omului din 1998), conform cărora orice ingerință în viața privată ar trebui să fie necesară și proporțională într-o societate democratică (57). |
| --- | --- |

(64)

Derogarea poate fi aplicată numai în măsura în care este necesară pentru a proteja securitatea națională sau apărarea. La fel ca și în cazul celorlalte derogări prevăzute de DPA din 2018, aceasta trebuie luată în considerare și invocată de operator de la caz la caz. În plus, orice aplicare a derogării trebuie să fie în conformitate cu standardele privind drepturile omului (bazate pe Legea privind drepturile omului din 1998), conform cărora orice ingerință în viața privată ar trebui să fie necesară și proporțională într-o societate democratică (57).

57

| (65) | Această interpretare a derogării este confirmată de ICO care a emis orientări detaliate privind aplicarea derogării în materie de securitate națională și apărare, clarificând faptul că aceasta trebuie luată în considerare și aplicată de către operator de la caz la caz (58). În special, orientările subliniază că „aceasta nu este o derogare generală” și că, pentru a o invoca, „nu este suficient ca datele să fie prelucrate în scopuri de securitate națională”. În schimb, operatorul care se bazează pe aceasta trebuie „să demonstreze că există o posibilitate reală de a avea un efect negativ asupra securității naționale” și, atunci când este necesar, operatorul trebuie să „furnizeze [ICO] dovezi cu privire la motivele pentru care a utilizat această derogare”. Orientările conțin o listă de verificare și o serie de exemple pentru a clarifica mai bine condițiile în care poate fi invocată această derogare. |
| --- | --- |

(65)

Această interpretare a derogării este confirmată de ICO care a emis orientări detaliate privind aplicarea derogării în materie de securitate națională și apărare, clarificând faptul că aceasta trebuie luată în considerare și aplicată de către operator de la caz la caz (58). În special, orientările subliniază că „aceasta nu este o derogare generală” și că, pentru a o invoca, „nu este suficient ca datele să fie prelucrate în scopuri de securitate națională”. În schimb, operatorul care se bazează pe aceasta trebuie „să demonstreze că există o posibilitate reală de a avea un efect negativ asupra securității naționale” și, atunci când este necesar, operatorul trebuie să „furnizeze [ICO] dovezi cu privire la motivele pentru care a utilizat această derogare”. Orientările conțin o listă de verificare și o serie de exemple pentru a clarifica mai bine condițiile în care poate fi invocată această derogare.

58

| (66) | Prin urmare, faptul că datele sunt prelucrate în scopuri de securitate națională sau de apărare nu este suficient în sine pentru ca derogarea să fie aplicată. Un operator trebuie să ia în considerare consecințele reale pentru securitatea națională dacă ar trebui să respecte dispoziția specifică privind protecția datelor. Derogarea poate fi aplicată numai acelor dispoziții specifice care au fost identificate ca prezentând riscul respectiv și trebuie să fie aplicată cât mai restrictiv posibil (59). |
| --- | --- |

(66)

Prin urmare, faptul că datele sunt prelucrate în scopuri de securitate națională sau de apărare nu este suficient în sine pentru ca derogarea să fie aplicată. Un operator trebuie să ia în considerare consecințele reale pentru securitatea națională dacă ar trebui să respecte dispoziția specifică privind protecția datelor. Derogarea poate fi aplicată numai acelor dispoziții specifice care au fost identificate ca prezentând riscul respectiv și trebuie să fie aplicată cât mai restrictiv posibil (59).

59

| (67) | Această abordare a fost confirmată de Information Tribunal (60). În cauza Baker/Secretary of State for the Home Department („Baker/Secretary of State”), s-a stabilit că este ilegal să se aplice derogarea referitoare la securitatea națională ca derogare generală pentru cererile de acces primite de serviciile de informații. În schimb, derogarea a trebuit să fie aplicată de la caz la caz, analizând fiecare cerere pe fond și având în vedere dreptul persoanelor la respectarea vieții lor private (61). |
| --- | --- |

(67)

Această abordare a fost confirmată de Information Tribunal (60). În cauza Baker/Secretary of State for the Home Department („Baker/Secretary of State”), s-a stabilit că este ilegal să se aplice derogarea referitoare la securitatea națională ca derogare generală pentru cererile de acces primite de serviciile de informații. În schimb, derogarea a trebuit să fie aplicată de la caz la caz, analizând fiecare cerere pe fond și având în vedere dreptul persoanelor la respectarea vieții lor private (61).

60

Baker/Secretary of State for the Home Department

,

61

2.5.6.   Restricții privind datele cu caracter personal prelucrate în scopuri jurnalistice, artistice, academice și literare, precum și în scopuri de arhivare și cercetare

Restricții privind datele cu caracter personal prelucrate în scopuri jurnalistice, artistice, academice și literare, precum și în scopuri de arhivare și cercetare

| (68) | Articolul 85 alineatul (2) din RGPD al Regatului Unit permite ca datele cu caracter personal prelucrate în scopuri jurnalistice, artistice, academice și literare să fie exceptate de la aplicarea mai multor dispoziții din RGPD al Regatului Unit. Partea 5 din anexa 2 la DPA din 2018 stabilește derogările pentru prelucrarea în aceste scopuri. Aceasta prevede derogări de la principiile privind protecția datelor (cu excepția principiului integrității și confidențialității), temeiurile juridice pentru prelucrare (inclusiv categoriile speciale de date și date privind condamnări penale etc.), condițiile pentru consimțământ, obligațiile în materie de transparență, drepturile persoanelor vizate, obligația de a notifica încălcarea securității datelor, cerința de a consulta comisarul pentru informații înainte de prelucrarea cu risc ridicat și normele privind transferurile internaționale (62). În această privință, RGPD al Regatului Unit nu se abate în mod substanțial de la Regulamentul (UE) 2016/679 care, la articolul 85, prevede, de asemenea, posibilitatea de a excepta prelucrarea efectuată în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare de la o serie de cerințe ale Regulamentului (UE) 2016/679. Dispozițiile DPA din 2018, în special partea 5 din anexa 2 , sunt compatibile cu RGPD al Regatului Unit. |
| --- | --- |

(68)

Articolul 85 alineatul (2) din RGPD al Regatului Unit permite ca datele cu caracter personal prelucrate în scopuri jurnalistice, artistice, academice și literare să fie exceptate de la aplicarea mai multor dispoziții din RGPD al Regatului Unit. Partea 5 din anexa 2 la DPA din 2018 stabilește derogările pentru prelucrarea în aceste scopuri. Aceasta prevede derogări de la principiile privind protecția datelor (cu excepția principiului integrității și confidențialității), temeiurile juridice pentru prelucrare (inclusiv categoriile speciale de date și date privind condamnări penale etc.), condițiile pentru consimțământ, obligațiile în materie de transparență, drepturile persoanelor vizate, obligația de a notifica încălcarea securității datelor, cerința de a consulta comisarul pentru informații înainte de prelucrarea cu risc ridicat și normele privind transferurile internaționale (62). În această privință, RGPD al Regatului Unit nu se abate în mod substanțial de la Regulamentul (UE) 2016/679 care, la articolul 85, prevede, de asemenea, posibilitatea de a excepta prelucrarea efectuată în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare de la o serie de cerințe ale Regulamentului (UE) 2016/679. Dispozițiile DPA din 2018, în special partea 5 din anexa 2 , sunt compatibile cu RGPD al Regatului Unit.

62

| (69) | Principalul exercițiu de echilibru care trebuie efectuat în temeiul articolului 85 din RGPD al Regatului Unit se referă la întrebarea dacă o derogare de la normele de protecție a datelor menționate în considerentul 68 este „necesară pentru a asigura un echilibru între dreptul la protecția datelor cu caracter personal și libertatea de exprimare și de informare” (63). În conformitate cu punctul 26 subpunctele 2 și 3 din anexa 2 la DPA din 2018, Regatul Unit aplică un test al „convingerii rezonabile” pentru a se ajunge la acest echilibru. Pentru ca o derogare să fie justificată, operatorul trebuie să considere în mod rezonabil (i) că publicarea este în interes public; și (ii) aplicarea dispoziției relevante din RGPD ar fi incompatibilă cu scopurile jurnalistice, academice, artistice sau literare. Astfel cum este confirmat de jurisprudență (64), testul „convingerii rezonabile” are atât o componentă subiectivă, cât și una obiectivă: este insuficient ca operatorul să demonstreze că el însuși a considerat conformitatea ca fiind incompatibilă. Convingerea sa trebuie să fie rezonabilă, și anume ar putea fi crezută de o persoană rezonabilă, cunoscând faptele relevante. Prin urmare, pentru a putea demonstra caracterul rezonabil, operatorul trebuie să depună diligența necesară atunci când își formează convingerea. Conform explicațiilor furnizate de autoritățile din Regatul Unit, testul „convingerii rezonabile” trebuie să fie efectuat de la derogare la derogare (65). În cazul în care condițiile sunt îndeplinite, derogarea este considerată necesară și proporțională în temeiul legislației Regatului Unit. |
| --- | --- |

(69)

Principalul exercițiu de echilibru care trebuie efectuat în temeiul articolului 85 din RGPD al Regatului Unit se referă la întrebarea dacă o derogare de la normele de protecție a datelor menționate în considerentul 68 este „necesară pentru a asigura un echilibru între dreptul la protecția datelor cu caracter personal și libertatea de exprimare și de informare” (63). În conformitate cu punctul 26 subpunctele 2 și 3 din anexa 2 la DPA din 2018, Regatul Unit aplică un test al „convingerii rezonabile” pentru a se ajunge la acest echilibru. Pentru ca o derogare să fie justificată, operatorul trebuie să considere în mod rezonabil (i) că publicarea este în interes public; și (ii) aplicarea dispoziției relevante din RGPD ar fi incompatibilă cu scopurile jurnalistice, academice, artistice sau literare. Astfel cum este confirmat de jurisprudență (64), testul „convingerii rezonabile” are atât o componentă subiectivă, cât și una obiectivă: este insuficient ca operatorul să demonstreze că el însuși a considerat conformitatea ca fiind incompatibilă. Convingerea sa trebuie să fie rezonabilă, și anume ar putea fi crezută de o persoană rezonabilă, cunoscând faptele relevante. Prin urmare, pentru a putea demonstra caracterul rezonabil, operatorul trebuie să depună diligența necesară atunci când își formează convingerea. Conform explicațiilor furnizate de autoritățile din Regatul Unit, testul „convingerii rezonabile” trebuie să fie efectuat de la derogare la derogare (65). În cazul în care condițiile sunt îndeplinite, derogarea este considerată necesară și proporțională în temeiul legislației Regatului Unit.

63

64

65

| (70) | În conformitate cu secțiunea 124 din DPA din 2018, ICO trebuie să elaboreze un cod de bune practici privind protecția datelor și jurnalismul. Lucrările cu privire la acest cod sunt în curs de desfășurare. Au fost emise orientări cu privire la această chestiune în temeiul Legii privind protecția datelor din 1998, care subliniază în special faptul că, pentru a se prevala de această derogare, nu este suficient să se afirme doar că respectarea ar reprezenta un inconvenient pentru activitățile jurnalistice, ci trebuie să existe un argument clar potrivit căruia dispoziția în cauză reprezintă un obstacol în calea jurnalismului responsabil (66). Orientări privind aplicarea testului privind interesul public și asigurarea unui echilibru între interesul public și interesul unei persoane față de viața privată au fost, de asemenea, publicate de autoritatea de reglementare în domeniul telecomunicațiilor din Regatul Unit, OFCOM, și BBC în liniile sale directoare editoriale (67). Liniile directoare oferă în special exemple de informații care pot fi considerate a fi în interesul public și explică necesitatea de a putea demonstra că interesul public prevalează asupra drepturilor la viață privată în circumstanțele specifice ale cazului. |
| --- | --- |

(70)

În conformitate cu secțiunea 124 din DPA din 2018, ICO trebuie să elaboreze un cod de bune practici privind protecția datelor și jurnalismul. Lucrările cu privire la acest cod sunt în curs de desfășurare. Au fost emise orientări cu privire la această chestiune în temeiul Legii privind protecția datelor din 1998, care subliniază în special faptul că, pentru a se prevala de această derogare, nu este suficient să se afirme doar că respectarea ar reprezenta un inconvenient pentru activitățile jurnalistice, ci trebuie să existe un argument clar potrivit căruia dispoziția în cauză reprezintă un obstacol în calea jurnalismului responsabil (66). Orientări privind aplicarea testului privind interesul public și asigurarea unui echilibru între interesul public și interesul unei persoane față de viața privată au fost, de asemenea, publicate de autoritatea de reglementare în domeniul telecomunicațiilor din Regatul Unit, OFCOM, și BBC în liniile sale directoare editoriale (67). Liniile directoare oferă în special exemple de informații care pot fi considerate a fi în interesul public și explică necesitatea de a putea demonstra că interesul public prevalează asupra drepturilor la viață privată în circumstanțele specifice ale cazului.

66

67

| (71) | În mod similar cu ceea ce se prevede la articolul 89 din RGPD, datele cu caracter personal prelucrate în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice pot fi, de asemenea, exceptate de la o serie de dispoziții enumerate în RGPD al Regatului Unit (68). În ceea ce privește cercetarea și statisticile, sunt posibile derogări de la dispozițiile RGPD al Regatului Unit referitoare la confirmarea prelucrării, accesul la date și garanții pentru transferurile către țări terțe; dreptul la rectificare; restricționarea prelucrării și opoziția la prelucrare. În ceea ce privește arhivarea în interes public, sunt, de asemenea, posibile derogări de la obligația de notificare privind rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării și de la dreptul la portabilitatea datelor. |
| --- | --- |

(71)

În mod similar cu ceea ce se prevede la articolul 89 din RGPD, datele cu caracter personal prelucrate în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice pot fi, de asemenea, exceptate de la o serie de dispoziții enumerate în RGPD al Regatului Unit (68). În ceea ce privește cercetarea și statisticile, sunt posibile derogări de la dispozițiile RGPD al Regatului Unit referitoare la confirmarea prelucrării, accesul la date și garanții pentru transferurile către țări terțe; dreptul la rectificare; restricționarea prelucrării și opoziția la prelucrare. În ceea ce privește arhivarea în interes public, sunt, de asemenea, posibile derogări de la obligația de notificare privind rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării și de la dreptul la portabilitatea datelor.

68

| (72) | În conformitate cu punctul 27 subpunctul 1 și cu punctul 28 subpunctul 1 din anexa 2 la DPA din 2018, derogările de la dispozițiile enumerate din RGPD al Regatului Unit sunt posibile în cazul în care aplicarea dispozițiilor ar „împiedica sau ar afecta în mod grav realizarea” scopurilor în cauză (69). |
| --- | --- |

(72)

În conformitate cu punctul 27 subpunctul 1 și cu punctul 28 subpunctul 1 din anexa 2 la DPA din 2018, derogările de la dispozițiile enumerate din RGPD al Regatului Unit sunt posibile în cazul în care aplicarea dispozițiilor ar „împiedica sau ar afecta în mod grav realizarea” scopurilor în cauză (69).

69

| (73) | Având în vedere relevanța acestora pentru exercitarea efectivă a drepturilor individuale, orice evoluție relevantă în ceea ce privește interpretarea și aplicarea în practică a derogărilor menționate anterior (în plus față de cea referitoare la menținerea unui control eficace al imigrației, astfel cum se explică în considerentul 6), inclusiv orice evoluție ulterioară a jurisprudenței, a orientărilor ICO și a măsurilor de asigurare a respectării legii, va fi luată în considerare în mod corespunzător în contextul monitorizării continue a prezentei decizii (70). |
| --- | --- |

(73)

Având în vedere relevanța acestora pentru exercitarea efectivă a drepturilor individuale, orice evoluție relevantă în ceea ce privește interpretarea și aplicarea în practică a derogărilor menționate anterior (în plus față de cea referitoare la menținerea unui control eficace al imigrației, astfel cum se explică în considerentul 6), inclusiv orice evoluție ulterioară a jurisprudenței, a orientărilor ICO și a măsurilor de asigurare a respectării legii, va fi luată în considerare în mod corespunzător în contextul monitorizării continue a prezentei decizii (70).

70

2.5.7.   Restricții privind transferurile ulterioare de date

Restricții privind transferurile ulterioare de date

| (74) | Nivelul de protecție oferit datelor cu caracter personal transferate din Uniunea Europeană către operatorii sau persoanele împuternicite de operatori din Regatul Unit nu trebuie să fie subminat de transferul suplimentar al acestor date către destinatari dintr-o țară terță. Astfel de „transferuri ulterioare”, care, din perspectiva operatorului sau al persoanei împuternicite de operator din Regatul Unit, constituie transferuri internaționale din Regatul Unit, ar trebui să fie permise numai în cazul în care destinatarul suplimentar din afara Regatului Unit intră el însuși sub incidența unor norme care asigură un nivel de protecție similar cu cel garantat în cadrul ordinii juridice a Regatului Unit. Din acest motiv, aplicarea normelor din RGPD al Regatului Unit și din DPA din 2018 privind transferurile internaționale de date cu caracter personal este un factor important pentru a asigura continuitatea protecției în cazul datelor cu caracter personal transferate din Uniunea Europeană către Regatul Unit în temeiul prezentei decizii. |
| --- | --- |

(74)

Nivelul de protecție oferit datelor cu caracter personal transferate din Uniunea Europeană către operatorii sau persoanele împuternicite de operatori din Regatul Unit nu trebuie să fie subminat de transferul suplimentar al acestor date către destinatari dintr-o țară terță. Astfel de „transferuri ulterioare”, care, din perspectiva operatorului sau al persoanei împuternicite de operator din Regatul Unit, constituie transferuri internaționale din Regatul Unit, ar trebui să fie permise numai în cazul în care destinatarul suplimentar din afara Regatului Unit intră el însuși sub incidența unor norme care asigură un nivel de protecție similar cu cel garantat în cadrul ordinii juridice a Regatului Unit. Din acest motiv, aplicarea normelor din RGPD al Regatului Unit și din DPA din 2018 privind transferurile internaționale de date cu caracter personal este un factor important pentru a asigura continuitatea protecției în cazul datelor cu caracter personal transferate din Uniunea Europeană către Regatul Unit în temeiul prezentei decizii.

| (75) | Regimul transferurilor internaționale de date cu caracter personal din Regatul Unit este prevăzut la articolele 44-49 din RGPD al Regatului Unit, completat de DPA din 2018, și este în esență identic cu normele prevăzute în capitolul V din Regulamentul (UE) 2016/679 (71). Transferurile de date cu caracter personal către o țară terță sau o organizație internațională pot avea loc numai în baza regulamentelor privind caracterul adecvat al nivelului de protecție [echivalentul din Regatul Unit al unei decizii privind caracterul adecvat al nivelului de protecție în temeiul Regulamentului (UE) 2016/679] sau, în absența unor regulamente privind caracterul adecvat al nivelului de protecție, în cazul în care operatorul sau persoana împuternicită de operator a oferit garanții adecvate în conformitate cu articolul 46 din RGPD al Regatului Unit. În absența unor regulamente privind caracterul adecvat al nivelului de protecție sau a unor garanții adecvate, un transfer poate avea loc numai pe baza derogărilor prevăzute la articolul 49 din RGPD al Regatului Unit. |
| --- | --- |

(75)

Regimul transferurilor internaționale de date cu caracter personal din Regatul Unit este prevăzut la articolele 44-49 din RGPD al Regatului Unit, completat de DPA din 2018, și este în esență identic cu normele prevăzute în capitolul V din Regulamentul (UE) 2016/679 (71). Transferurile de date cu caracter personal către o țară terță sau o organizație internațională pot avea loc numai în baza regulamentelor privind caracterul adecvat al nivelului de protecție [echivalentul din Regatul Unit al unei decizii privind caracterul adecvat al nivelului de protecție în temeiul Regulamentului (UE) 2016/679] sau, în absența unor regulamente privind caracterul adecvat al nivelului de protecție, în cazul în care operatorul sau persoana împuternicită de operator a oferit garanții adecvate în conformitate cu articolul 46 din RGPD al Regatului Unit. În absența unor regulamente privind caracterul adecvat al nivelului de protecție sau a unor garanții adecvate, un transfer poate avea loc numai pe baza derogărilor prevăzute la articolul 49 din RGPD al Regatului Unit.

71

| (76) | Regulamentele privind caracterul adecvat al nivelului de protecție adoptate de secretarul de stat pot stipula ca o țară terță (sau un teritoriu sau un sector dintr-o țară terță), o organizație internațională sau o descriere (72) a țării, teritoriului, sectorului sau organizației respective să asigure un nivel adecvat de protecție a datelor cu caracter personal. Atunci când evaluează caracterul adecvat al nivelului de protecție, secretarul de stat trebuie să ia în considerare aceleași elemente pe care Comisia trebuie să le evalueze în temeiul articolului 45 alineatul (2) literele (a)-(c) din Regulamentul (UE) 2016/679, interpretat împreună cu considerentul 104 din Regulamentul (UE) 2016/679 și cu jurisprudența menținută a Uniunii. Aceasta înseamnă că, atunci când se evaluează nivelul adecvat de protecție al unei țări terțe, standardul relevant va fi dacă țara terță în cauză asigură un nivel de protecție „echivalent în esență” cu cel garantat în Regatul Unit. |
| --- | --- |

(76)

Regulamentele privind caracterul adecvat al nivelului de protecție adoptate de secretarul de stat pot stipula ca o țară terță (sau un teritoriu sau un sector dintr-o țară terță), o organizație internațională sau o descriere (72) a țării, teritoriului, sectorului sau organizației respective să asigure un nivel adecvat de protecție a datelor cu caracter personal. Atunci când evaluează caracterul adecvat al nivelului de protecție, secretarul de stat trebuie să ia în considerare aceleași elemente pe care Comisia trebuie să le evalueze în temeiul articolului 45 alineatul (2) literele (a)-(c) din Regulamentul (UE) 2016/679, interpretat împreună cu considerentul 104 din Regulamentul (UE) 2016/679 și cu jurisprudența menținută a Uniunii. Aceasta înseamnă că, atunci când se evaluează nivelul adecvat de protecție al unei țări terțe, standardul relevant va fi dacă țara terță în cauză asigură un nivel de protecție „echivalent în esență” cu cel garantat în Regatul Unit.

72

| (77) | În ceea ce privește procedura, regulamentele privind caracterul adecvat al nivelului de protecție fac obiectul cerințelor de procedură „generale” prevăzute în secțiunea 182 din DPA din 2018. În cadrul acestei proceduri, secretarul de stat trebuie să consulte comisarul pentru informații atunci când propune adoptarea unor regulamente ale Regatului Unit privind caracterul adecvat al nivelului de protecție (73). Odată adoptate de secretarul de stat, aceste regulamente sunt prezentate Parlamentului și fac obiectul procedurii de „rezoluție negativă”, în cadrul căreia ambele camere ale Parlamentului pot examina regulamentele și pot adopta o propunere de anulare a regulamentelor în termen de 40 de zile (74). |
| --- | --- |

(77)

În ceea ce privește procedura, regulamentele privind caracterul adecvat al nivelului de protecție fac obiectul cerințelor de procedură „generale” prevăzute în secțiunea 182 din DPA din 2018. În cadrul acestei proceduri, secretarul de stat trebuie să consulte comisarul pentru informații atunci când propune adoptarea unor regulamente ale Regatului Unit privind caracterul adecvat al nivelului de protecție (73). Odată adoptate de secretarul de stat, aceste regulamente sunt prezentate Parlamentului și fac obiectul procedurii de „rezoluție negativă”, în cadrul căreia ambele camere ale Parlamentului pot examina regulamentele și pot adopta o propunere de anulare a regulamentelor în termen de 40 de zile (74).

73

74

| (78) | În conformitate cu secțiunea 17B punctul 1 din DPA din 2018, regulamentele privind caracterul adecvat al nivelului de protecție trebuie revizuite la intervale de cel mult patru ani, iar secretarul de stat trebuie să monitorizeze în permanență evoluțiile din țările terțe și la nivelul organizațiilor internaționale, care ar putea afecta deciziile de adoptare a unor regulamente privind caracterul adecvat al nivelului de protecție sau de modificare sau de revocare a unor astfel de regulamente. În cazul în care secretarul de stat constată că o țară sau o organizație specificată nu mai asigură un nivel adecvat de protecție a datelor cu caracter personal, acesta trebuie, în măsura în care este necesar, să modifice sau să revoce regulamentele și să inițieze consultări cu țara terță sau cu organizația internațională în cauză pentru a remedia lipsa unui nivel adecvat de protecție. Aceste aspecte procedurale reflectă, de asemenea, cerințele corespunzătoare din Regulamentul (UE) 2016/679. |
| --- | --- |

(78)

În conformitate cu secțiunea 17B punctul 1 din DPA din 2018, regulamentele privind caracterul adecvat al nivelului de protecție trebuie revizuite la intervale de cel mult patru ani, iar secretarul de stat trebuie să monitorizeze în permanență evoluțiile din țările terțe și la nivelul organizațiilor internaționale, care ar putea afecta deciziile de adoptare a unor regulamente privind caracterul adecvat al nivelului de protecție sau de modificare sau de revocare a unor astfel de regulamente. În cazul în care secretarul de stat constată că o țară sau o organizație specificată nu mai asigură un nivel adecvat de protecție a datelor cu caracter personal, acesta trebuie, în măsura în care este necesar, să modifice sau să revoce regulamentele și să inițieze consultări cu țara terță sau cu organizația internațională în cauză pentru a remedia lipsa unui nivel adecvat de protecție. Aceste aspecte procedurale reflectă, de asemenea, cerințele corespunzătoare din Regulamentul (UE) 2016/679.

| (79) | În absența unor regulamente privind caracterul adecvat al nivelului de protecție, transferurile internaționale pot avea loc în cazul în care operatorul sau persoana împuternicită de operator a oferit garanții adecvate în conformitate cu articolul 46 din RGPD al Regatului Unit. Aceste garanții sunt similare celor prevăzute la articolul 46 din Regulamentul (UE) 2016/679. Garanțiile includ instrumente obligatorii din punct de vedere juridic și executorii între autoritățile sau organismele publice, reguli corporatiste obligatorii (75), clauze standard de protecție a datelor, coduri de conduită aprobate, mecanisme de certificare aprobate și cu autorizarea comisarului pentru informații, clauze contractuale între operatori (sau persoane împuternicite de operatori) sau acorduri administrative între autoritățile publice. Cu toate acestea, normele au fost modificate, din punct de vedere procedural, pentru a funcționa în cadrul Regatului Unit, în special clauzele standard de protecție a datelor pot fi adoptate de secretarul de stat (secțiunea 17C) sau de comisarul pentru informații (secțiunea 119A) în conformitate cu DPA din 2018. |
| --- | --- |

(79)

În absența unor regulamente privind caracterul adecvat al nivelului de protecție, transferurile internaționale pot avea loc în cazul în care operatorul sau persoana împuternicită de operator a oferit garanții adecvate în conformitate cu articolul 46 din RGPD al Regatului Unit. Aceste garanții sunt similare celor prevăzute la articolul 46 din Regulamentul (UE) 2016/679. Garanțiile includ instrumente obligatorii din punct de vedere juridic și executorii între autoritățile sau organismele publice, reguli corporatiste obligatorii (75), clauze standard de protecție a datelor, coduri de conduită aprobate, mecanisme de certificare aprobate și cu autorizarea comisarului pentru informații, clauze contractuale între operatori (sau persoane împuternicite de operatori) sau acorduri administrative între autoritățile publice. Cu toate acestea, normele au fost modificate, din punct de vedere procedural, pentru a funcționa în cadrul Regatului Unit, în special clauzele standard de protecție a datelor pot fi adoptate de secretarul de stat (secțiunea 17C) sau de comisarul pentru informații (secțiunea 119A) în conformitate cu DPA din 2018.

75

| (80) | În absența unei decizii privind caracterul adecvat al nivelului de protecție sau a unor garanții adecvate, un transfer poate avea loc numai pe baza derogărilor prevăzute la articolul 49 din RGPD al Regatului Unit (76). RGPD al Regatului Unit nu introduce nicio modificare semnificativă a derogărilor în comparație cu normele corespunzătoare din Regulamentul (UE) 2016/679. În temeiul RGPD al Regatului Unit, la fel ca în cazul Regulamentului (UE) 2016/679, anumite derogări pot fi invocate numai dacă transferul este ocazional (77). În plus, în orientările sale privind transferurile internaționale, ICO clarifică următoarele aspecte: „Ar trebui să le utilizați doar ca «excepții» reale de la regula generală conform căreia nu ar trebui să efectuați un transfer restricționat decât dacă acesta face obiectul unei decizii privind caracterul adecvat al nivelului de protecție sau dacă există garanții adecvate în vigoare” (78). În ceea ce privește transferurile care sunt necesare din motive importante de interes public [articolul 49 alineatul (1) litera (d)], secretarul de stat poate adopta regulamente pentru a preciza circumstanțele în care un transfer de date cu caracter personal către o țară terță sau o organizație internațională nu este necesar din motive importante de interes public. În plus, secretarul de stat poate, prin regulamente, să restricționeze transferul unei categorii de date cu caracter personal către o țară terță sau către o organizație internațională în cazul în care transferul nu poate avea loc pe baza unor regulamente privind caracterul adecvat al nivelului de protecție, iar secretarul de stat consideră că restricția este necesară din motive importante de interes public. Până în prezent nu au fost adoptate astfel de regulamente. |
| --- | --- |

(80)

În absența unei decizii privind caracterul adecvat al nivelului de protecție sau a unor garanții adecvate, un transfer poate avea loc numai pe baza derogărilor prevăzute la articolul 49 din RGPD al Regatului Unit (76). RGPD al Regatului Unit nu introduce nicio modificare semnificativă a derogărilor în comparație cu normele corespunzătoare din Regulamentul (UE) 2016/679. În temeiul RGPD al Regatului Unit, la fel ca în cazul Regulamentului (UE) 2016/679, anumite derogări pot fi invocate numai dacă transferul este ocazional (77). În plus, în orientările sale privind transferurile internaționale, ICO clarifică următoarele aspecte: „Ar trebui să le utilizați doar ca «excepții» reale de la regula generală conform căreia nu ar trebui să efectuați un transfer restricționat decât dacă acesta face obiectul unei decizii privind caracterul adecvat al nivelului de protecție sau dacă există garanții adecvate în vigoare” (78). În ceea ce privește transferurile care sunt necesare din motive importante de interes public [articolul 49 alineatul (1) litera (d)], secretarul de stat poate adopta regulamente pentru a preciza circumstanțele în care un transfer de date cu caracter personal către o țară terță sau o organizație internațională nu este necesar din motive importante de interes public. În plus, secretarul de stat poate, prin regulamente, să restricționeze transferul unei categorii de date cu caracter personal către o țară terță sau către o organizație internațională în cazul în care transferul nu poate avea loc pe baza unor regulamente privind caracterul adecvat al nivelului de protecție, iar secretarul de stat consideră că restricția este necesară din motive importante de interes public. Până în prezent nu au fost adoptate astfel de regulamente.

76

77

78

| (81) | Acest cadru pentru transferurile internaționale a devenit aplicabil la sfârșitul perioadei de tranziție (79). Cu toate acestea, punctul 4 din anexa 21 la DPA din 2018 (introdus prin regulamentele DPPEC) prevede că, la sfârșitul perioadei de tranziție, anumite transferuri de date cu caracter personal sunt tratate ca și cum s-ar baza pe regulamente privind caracterul adecvat al nivelului de protecție. Aceste transferuri includ transferurile către un stat SEE, teritoriul Gibraltarului, o instituție, un organism, un oficiu sau o agenție a(l) Uniunii înființat(ă) prin Tratatul UE sau în temeiul acestuia, precum și către țări terțe care au făcut obiectul unei decizii a UE privind caracterul adecvat al nivelului de protecție la încheierea perioadei de tranziție. În consecință, transferurile către aceste țări pot continua la fel ca înainte de retragerea Regatului Unit din UE. După încheierea perioadei de tranziție, secretarul de stat trebuie să efectueze o revizuire a acestor constatări privind caracterul adecvat al nivelului de protecție pe o perioadă de patru ani, și anume până la sfârșitul lunii decembrie 2024. Potrivit explicației furnizate de autoritățile Regatului Unit, deși secretarul de stat trebuie să efectueze o astfel de revizuire până la sfârșitul lunii decembrie 2024, dispozițiile tranzitorii nu includ o dispoziție de caducitate, iar dispozițiile tranzitorii relevante nu vor înceta în mod automat să producă efecte dacă revizuirea nu este finalizată până la sfârșitul lunii decembrie 2024. |
| --- | --- |

(81)

Acest cadru pentru transferurile internaționale a devenit aplicabil la sfârșitul perioadei de tranziție (79). Cu toate acestea, punctul 4 din anexa 21 la DPA din 2018 (introdus prin regulamentele DPPEC) prevede că, la sfârșitul perioadei de tranziție, anumite transferuri de date cu caracter personal sunt tratate ca și cum s-ar baza pe regulamente privind caracterul adecvat al nivelului de protecție. Aceste transferuri includ transferurile către un stat SEE, teritoriul Gibraltarului, o instituție, un organism, un oficiu sau o agenție a(l) Uniunii înființat(ă) prin Tratatul UE sau în temeiul acestuia, precum și către țări terțe care au făcut obiectul unei decizii a UE privind caracterul adecvat al nivelului de protecție la încheierea perioadei de tranziție. În consecință, transferurile către aceste țări pot continua la fel ca înainte de retragerea Regatului Unit din UE. După încheierea perioadei de tranziție, secretarul de stat trebuie să efectueze o revizuire a acestor constatări privind caracterul adecvat al nivelului de protecție pe o perioadă de patru ani, și anume până la sfârșitul lunii decembrie 2024. Potrivit explicației furnizate de autoritățile Regatului Unit, deși secretarul de stat trebuie să efectueze o astfel de revizuire până la sfârșitul lunii decembrie 2024, dispozițiile tranzitorii nu includ o dispoziție de caducitate, iar dispozițiile tranzitorii relevante nu vor înceta în mod automat să producă efecte dacă revizuirea nu este finalizată până la sfârșitul lunii decembrie 2024.

79

| (82) | În cele din urmă, în ceea ce privește evoluția viitoare a regimului transferurilor internaționale al Regatului Unit – prin adoptarea unor noi regulamente privind caracterul adecvat al nivelului de protecție, încheierea de acorduri internaționale sau dezvoltarea altor mecanisme de transfer – Comisia va monitoriza îndeaproape situația, va evalua dacă diferitele mecanisme de transfer sunt utilizate într-un mod care să asigure continuitatea protecției și, dacă este necesar, va lua măsurile adecvate pentru a aborda posibilele efecte negative asupra acestei continuități (a se vedea considerentele 278-287). Întrucât UE și Regatul Unit au norme similare privind transferurile internaționale, se preconizează că divergențele problematice ar putea fi, de asemenea, evitate prin cooperare, schimb de informații și schimb de experiență, inclusiv între ICO și CEPD. |
| --- | --- |

(82)

În cele din urmă, în ceea ce privește evoluția viitoare a regimului transferurilor internaționale al Regatului Unit – prin adoptarea unor noi regulamente privind caracterul adecvat al nivelului de protecție, încheierea de acorduri internaționale sau dezvoltarea altor mecanisme de transfer – Comisia va monitoriza îndeaproape situația, va evalua dacă diferitele mecanisme de transfer sunt utilizate într-un mod care să asigure continuitatea protecției și, dacă este necesar, va lua măsurile adecvate pentru a aborda posibilele efecte negative asupra acestei continuități (a se vedea considerentele 278-287). Întrucât UE și Regatul Unit au norme similare privind transferurile internaționale, se preconizează că divergențele problematice ar putea fi, de asemenea, evitate prin cooperare, schimb de informații și schimb de experiență, inclusiv între ICO și CEPD.

2.5.8.   Responsabilitate

Responsabilitate

| (83) | Conform principiului responsabilității, entităților care prelucrează date li se solicită să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a-și respecta în mod efectiv obligațiile în materie de protecție a datelor și pentru a putea demonstra această conformitate, în special autorității de supraveghere competente. |
| --- | --- |

(83)

Conform principiului responsabilității, entităților care prelucrează date li se solicită să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a-și respecta în mod efectiv obligațiile în materie de protecție a datelor și pentru a putea demonstra această conformitate, în special autorității de supraveghere competente.

| (84) | Principiul responsabilității prevăzut în Regulamentul (UE) 2016/679 a fost menținut la articolul 5 alineatul (2) din RGPD al Regatului Unit fără modificări substanțiale și același lucru se aplică articolului 24 privind responsabilitatea operatorului, articolului 25 privind protecția datelor începând cu momentul conceperii și în mod implicit și articolului 30 privind evidențele activităților de prelucrare. Articolele 35 și 36 privind evaluarea impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere au fost, de asemenea, menținute. Articolele 37-39 din Regulamentul (UE) 2016/679 privind desemnarea și sarcinile responsabililor cu protecția datelor au fost menținute în RGPD al Regatului Unit fără modificări semnificative. În plus, dispozițiile articolelor 40 și 42 din Regulamentul (UE) 2016/679 privind codurile de conduită și certificarea au fost menținute în RGPD al Regatului Unit (80). |
| --- | --- |

(84)

Principiul responsabilității prevăzut în Regulamentul (UE) 2016/679 a fost menținut la articolul 5 alineatul (2) din RGPD al Regatului Unit fără modificări substanțiale și același lucru se aplică articolului 24 privind responsabilitatea operatorului, articolului 25 privind protecția datelor începând cu momentul conceperii și în mod implicit și articolului 30 privind evidențele activităților de prelucrare. Articolele 35 și 36 privind evaluarea impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere au fost, de asemenea, menținute. Articolele 37-39 din Regulamentul (UE) 2016/679 privind desemnarea și sarcinile responsabililor cu protecția datelor au fost menținute în RGPD al Regatului Unit fără modificări semnificative. În plus, dispozițiile articolelor 40 și 42 din Regulamentul (UE) 2016/679 privind codurile de conduită și certificarea au fost menținute în RGPD al Regatului Unit (80).

80

2.6.   Supraveghere și asigurarea respectării normelor

Supraveghere și asigurarea respectării normelor

2.6.1.   Supravegherea independentă

Supravegherea independentă

| (85) | Pentru a garanta în practică un nivel adecvat de protecție a datelor, ar trebui instituită o autoritate de supraveghere independentă care să aibă competența de a monitoriza și de a asigura respectarea normelor de protecție a datelor. Această autoritate ar trebui să acționeze cu deplină independență și imparțialitate în îndeplinirea sarcinilor sale și în exercitarea competențelor sale. |
| --- | --- |

(85)

Pentru a garanta în practică un nivel adecvat de protecție a datelor, ar trebui instituită o autoritate de supraveghere independentă care să aibă competența de a monitoriza și de a asigura respectarea normelor de protecție a datelor. Această autoritate ar trebui să acționeze cu deplină independență și imparțialitate în îndeplinirea sarcinilor sale și în exercitarea competențelor sale.

| (86) | În Regatul Unit, supravegherea și asigurarea respectării RGPD al Regatului Unit și a DPA din 2018 sunt efectuate de comisarul pentru informații. Comisarul pentru informații este o „întreprindere individuală” (Corporation Sole): o entitate juridică separată constituită dintr-o singură persoană. Comisarul pentru informații este sprijinit în activitatea sa de un birou. La 31 martie 2020, Biroul comisarului pentru informații avea 768 de angajați permanenți (81). Ministerul finanțator al comisarului pentru informații este Ministerul pentru Digitalizare, Cultură, Mass-Media și Sport (82). |
| --- | --- |

(86)

În Regatul Unit, supravegherea și asigurarea respectării RGPD al Regatului Unit și a DPA din 2018 sunt efectuate de comisarul pentru informații. Comisarul pentru informații este o „întreprindere individuală” (Corporation Sole): o entitate juridică separată constituită dintr-o singură persoană. Comisarul pentru informații este sprijinit în activitatea sa de un birou. La 31 martie 2020, Biroul comisarului pentru informații avea 768 de angajați permanenți (81). Ministerul finanțator al comisarului pentru informații este Ministerul pentru Digitalizare, Cultură, Mass-Media și Sport (82).

81

82

| (87) | Independența comisarului este stabilită în mod explicit la articolul 52 din RGPD al Regatului Unit, care nu aduce nicio modificare de fond articolului 52 alineatele (1)-(3) din RGPD. Comisarul trebuie să beneficieze de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu RGPD al Regatului Unit, să rămână independent de orice influență externă directă sau indirectă în legătură cu aceste sarcini și competențe și să nu solicite, nici să nu accepte instrucțiuni de la o parte externă. De asemenea, comisarul trebuie să se abțină de la a întreprinde acțiuni incompatibile cu atribuțiile sale, iar pe durata mandatului, nu desfășoară activități incompatibile, remunerate sau nu. |
| --- | --- |

(87)

Independența comisarului este stabilită în mod explicit la articolul 52 din RGPD al Regatului Unit, care nu aduce nicio modificare de fond articolului 52 alineatele (1)-(3) din RGPD. Comisarul trebuie să beneficieze de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu RGPD al Regatului Unit, să rămână independent de orice influență externă directă sau indirectă în legătură cu aceste sarcini și competențe și să nu solicite, nici să nu accepte instrucțiuni de la o parte externă. De asemenea, comisarul trebuie să se abțină de la a întreprinde acțiuni incompatibile cu atribuțiile sale, iar pe durata mandatului, nu desfășoară activități incompatibile, remunerate sau nu.

| (88) | Condițiile pentru numirea și revocarea comisarului pentru informații sunt prevăzute în anexa 12 la DPA din 2018. Comisarul pentru informații este numit de Majestatea Sa la recomandarea Guvernului, în urma unui concurs general echitabil. Candidatul trebuie să dețină calificările, aptitudinile și competențele corespunzătoare. În conformitate cu Codul de guvernanță privind numirile publice (83), o listă de candidați care pot fi numiți este întocmită de un comitet consultativ de evaluare. Înainte ca secretarul de stat din cadrul Ministerului pentru Digitalizare, Cultură, Mass-Media și Sport să ia o decizie finală, comisia specială competentă din cadrul Parlamentului trebuie să efectueze un control prealabil numirii. Poziția Comitetului este făcută publică (84). |
| --- | --- |

(88)

Condițiile pentru numirea și revocarea comisarului pentru informații sunt prevăzute în anexa 12 la DPA din 2018. Comisarul pentru informații este numit de Majestatea Sa la recomandarea Guvernului, în urma unui concurs general echitabil. Candidatul trebuie să dețină calificările, aptitudinile și competențele corespunzătoare. În conformitate cu Codul de guvernanță privind numirile publice (83), o listă de candidați care pot fi numiți este întocmită de un comitet consultativ de evaluare. Înainte ca secretarul de stat din cadrul Ministerului pentru Digitalizare, Cultură, Mass-Media și Sport să ia o decizie finală, comisia specială competentă din cadrul Parlamentului trebuie să efectueze un control prealabil numirii. Poziția Comitetului este făcută publică (84).

83

84

| (89) | Comisarul pentru informații are un mandat de până la șapte ani. O persoană nu poate fi numită în calitate de comisar pentru informații de mai multe ori. Comisarul pentru informații poate fi revocat din funcție de Majestatea Sa în urma unei propuneri („address”) formulate de ambele camere ale Parlamentului (85). Nicio cerere de revocare a comisarului pentru informații nu poate fi prezentată nici unei camere a Parlamentului decât în cazul în care un ministru a prezentat un raport în care afirmă că este convins că comisarul pentru informații este vinovat de comiterea unei abateri grave și/sau comisarul nu mai îndeplinește condițiile necesare pentru exercitarea funcțiilor sale (86). |
| --- | --- |

(89)

Comisarul pentru informații are un mandat de până la șapte ani. O persoană nu poate fi numită în calitate de comisar pentru informații de mai multe ori. Comisarul pentru informații poate fi revocat din funcție de Majestatea Sa în urma unei propuneri („address”) formulate de ambele camere ale Parlamentului (85). Nicio cerere de revocare a comisarului pentru informații nu poate fi prezentată nici unei camere a Parlamentului decât în cazul în care un ministru a prezentat un raport în care afirmă că este convins că comisarul pentru informații este vinovat de comiterea unei abateri grave și/sau comisarul nu mai îndeplinește condițiile necesare pentru exercitarea funcțiilor sale (86).

85

86

| (90) | Finanțarea comisarului pentru informații provine din trei surse: (i) taxele pentru protecția datelor plătite de operatori, care sunt stabilite prin regulamentele secretarului de stat (87) [Regulamentele din 2018 privind protecția datelor (taxe și informații)] și se ridică la 85-90 % din bugetul anual al Biroului (88); (ii) grant sub formă de ajutor plătit de Guvern comisarului pentru informații. Grantul sub formă de ajutor este utilizat în principal pentru finanțarea cheltuielilor de funcționare ale comisarului pentru informații în ceea ce privește sarcinile care nu au legătură cu protecția datelor (89) și (iii) taxele percepute pentru servicii (90). În prezent, nu se percep astfel de taxe. |
| --- | --- |

(90)

Finanțarea comisarului pentru informații provine din trei surse: (i) taxele pentru protecția datelor plătite de operatori, care sunt stabilite prin regulamentele secretarului de stat (87) [Regulamentele din 2018 privind protecția datelor (taxe și informații)] și se ridică la 85-90 % din bugetul anual al Biroului (88); (ii) grant sub formă de ajutor plătit de Guvern comisarului pentru informații. Grantul sub formă de ajutor este utilizat în principal pentru finanțarea cheltuielilor de funcționare ale comisarului pentru informații în ceea ce privește sarcinile care nu au legătură cu protecția datelor (89) și (iii) taxele percepute pentru servicii (90). În prezent, nu se percep astfel de taxe.

87

88

89

90

| (91) | Funcțiile generale ale comisarului pentru informații în ceea ce privește prelucrarea datelor cu caracter personal cărora li se aplică RGPD al Regatului Unit sunt prevăzute la articolul 57 din RGPD al Regatului Unit, reflectând îndeaproape normele corespunzătoare din Regulamentul (UE) 2016/679. Printre funcțiile sale se numără monitorizarea și asigurarea respectării RGPD al Regatului Unit, promovarea acțiunilor de sensibilizare în rândul publicului, tratarea plângerilor depuse de persoanele vizate, desfășurarea de investigații etc. În plus, secțiunea 115 din DPA din 2018 stabilește alte funcții generale ale comisarului, printre care se numără obligația de a oferi consiliere Parlamentului, Guvernului și altor instituții și organisme cu privire la măsurile legislative și administrative referitoare la protecția drepturilor și libertăților persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, precum și competența de a emite, din proprie inițiativă sau la cerere, avize adresate Parlamentului, guvernului sau altor instituții și organisme, precum și publicului cu privire la orice aspect legat de protecția datelor cu caracter personal. Pentru a menține independența sistemului judiciar, comisarul pentru informații nu este autorizat să își exercite funcțiile în legătură cu prelucrarea datelor cu caracter personal de către o persoană care acționează în exercițiul unei funcții judiciare sau de către o instanță sau tribunal care acționează în exercițiul funcției sale judiciare. Cu toate acestea, supravegherea sistemului judiciar este asigurată de organisme specializate (a se vedea considerentele 99-103). |
| --- | --- |

(91)

Funcțiile generale ale comisarului pentru informații în ceea ce privește prelucrarea datelor cu caracter personal cărora li se aplică RGPD al Regatului Unit sunt prevăzute la articolul 57 din RGPD al Regatului Unit, reflectând îndeaproape normele corespunzătoare din Regulamentul (UE) 2016/679. Printre funcțiile sale se numără monitorizarea și asigurarea respectării RGPD al Regatului Unit, promovarea acțiunilor de sensibilizare în rândul publicului, tratarea plângerilor depuse de persoanele vizate, desfășurarea de investigații etc. În plus, secțiunea 115 din DPA din 2018 stabilește alte funcții generale ale comisarului, printre care se numără obligația de a oferi consiliere Parlamentului, Guvernului și altor instituții și organisme cu privire la măsurile legislative și administrative referitoare la protecția drepturilor și libertăților persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, precum și competența de a emite, din proprie inițiativă sau la cerere, avize adresate Parlamentului, guvernului sau altor instituții și organisme, precum și publicului cu privire la orice aspect legat de protecția datelor cu caracter personal. Pentru a menține independența sistemului judiciar, comisarul pentru informații nu este autorizat să își exercite funcțiile în legătură cu prelucrarea datelor cu caracter personal de către o persoană care acționează în exercițiul unei funcții judiciare sau de către o instanță sau tribunal care acționează în exercițiul funcției sale judiciare. Cu toate acestea, supravegherea sistemului judiciar este asigurată de organisme specializate (a se vedea considerentele 99-103).

2.6.2.   Asigurarea respectării normelor, inclusiv sancțiuni

Asigurarea respectării normelor, inclusiv sancțiuni

| (92) | Competențele comisarului pentru informații sunt prevăzute la articolul 58 din RGPD al Regatului Unit, care nu introduce nicio modificare substanțială a articolului corespunzător din Regulamentul (UE) 2016/679. DPA din 2018 stabilește norme suplimentare privind modul în care pot fi exercitate aceste competențe. În special, comisarul are competența de: (a) a ordona operatorului și persoanei împuternicite de operator (și, în anumite circumstanțe, oricărei alte persoane) să furnizeze informațiile necesare prin transmiterea unei notificări de informare („notificare de informare”) (91); (b) a efectua investigații și audituri prin transmiterea unei notificări de evaluare, care poate impune operatorului sau persoanei împuternicite de operator să permită comisarului să intre în incinte specificate, să inspecteze sau să examineze documente sau echipamente, să intervieveze persoane care prelucrează date cu caracter personal în numele operatorului etc. („notificare de evaluare”) (92); (c) a obține în alt mod acces la documente etc. ale operatorilor și ale persoanelor împuternicite de operatori și acces la sediile acestora în conformitate cu secțiunea 154 din DPA din 2018 („competențe de intrare și de inspecție”); (d) a exercita competențe corective, inclusiv prin avertismente și mustrări sau a emite ordine prin intermediul unei notificări de executare, care impune operatorilor/persoanelor împuternicite de operatori să întreprindă sau să se abțină de la a întreprinde anumite măsuri, inclusiv obligarea operatorului sau a persoanei împuternicite de operator să întreprindă orice acțiune prevăzută la articolul 58 alineatul (2) literele (c)-(g) și (j) din RGPD al Regatului Unit („notificare de executare”) (93); (e) și a emite amenzi administrative sub forma unei notificări de sancționare („notificare de sancționare”) (94). Aceasta din urmă poate fi emisă și în cazul în care o autoritate publică nu a respectat dispozițiile RGPD al Regatului Unit (95). |
| --- | --- |

(92)

Competențele comisarului pentru informații sunt prevăzute la articolul 58 din RGPD al Regatului Unit, care nu introduce nicio modificare substanțială a articolului corespunzător din Regulamentul (UE) 2016/679. DPA din 2018 stabilește norme suplimentare privind modul în care pot fi exercitate aceste competențe. În special, comisarul are competența de: (a) a ordona operatorului și persoanei împuternicite de operator (și, în anumite circumstanțe, oricărei alte persoane) să furnizeze informațiile necesare prin transmiterea unei notificări de informare („notificare de informare”) (91); (b) a efectua investigații și audituri prin transmiterea unei notificări de evaluare, care poate impune operatorului sau persoanei împuternicite de operator să permită comisarului să intre în incinte specificate, să inspecteze sau să examineze documente sau echipamente, să intervieveze persoane care prelucrează date cu caracter personal în numele operatorului etc. („notificare de evaluare”) (92); (c) a obține în alt mod acces la documente etc. ale operatorilor și ale persoanelor împuternicite de operatori și acces la sediile acestora în conformitate cu secțiunea 154 din DPA din 2018 („competențe de intrare și de inspecție”); (d) a exercita competențe corective, inclusiv prin avertismente și mustrări sau a emite ordine prin intermediul unei notificări de executare, care impune operatorilor/persoanelor împuternicite de operatori să întreprindă sau să se abțină de la a întreprinde anumite măsuri, inclusiv obligarea operatorului sau a persoanei împuternicite de operator să întreprindă orice acțiune prevăzută la articolul 58 alineatul (2) literele (c)-(g) și (j) din RGPD al Regatului Unit („notificare de executare”) (93); (e) și a emite amenzi administrative sub forma unei notificări de sancționare („notificare de sancționare”) (94). Aceasta din urmă poate fi emisă și în cazul în care o autoritate publică nu a respectat dispozițiile RGPD al Regatului Unit (95).

91

92

93

94

95

| (93) | Politica ICO privind acțiunile de reglementare stabilește circumstanțele în care acesta va emite o notificare de informare, de evaluare, de executare sau de sancționare (96). O notificare de executare transmisă ca răspuns la o neîndeplinire a obligațiilor de către un operator sau o persoană împuternicită de operator poate impune numai cerințele pe care comisarul le consideră adecvate în scopul remedierii neîndeplinirii obligațiilor. Notificarea de executare și cea de sancționare pot fi emise unui operator sau unei persoane împuternicite de operator în legătură cu încălcări ale capitolului II din RGPD al Regatului Unit (principiile prelucrării), ale articolelor 12-22 (drepturile persoanei vizate), ale articolelor 25-39 (obligațiile operatorilor și ale persoanelor împuternicite de operatori) și ale articolelor 44-49 (transferurile internaționale) din RGPD al Regatului Unit. De asemenea, se poate emite o notificare de executare în cazul în care un operator nu a respectat cerința de a plăti o taxă prevăzută în reglementările adoptate în temeiul articolului 137 din DPA din 2018. În plus, un organism de monitorizare prevăzut la articolul 41 sau un furnizor de certificare poate primi o notificare de executare în cazul în care nu își respectă obligațiile care îi revin în temeiul RGPD al Regatului Unit. O notificare de sancționare poate fi transmisă, de asemenea, unei persoane care nu a respectat o notificare de informare, o notificare de evaluare sau o notificare de executare. |
| --- | --- |

(93)

Politica ICO privind acțiunile de reglementare stabilește circumstanțele în care acesta va emite o notificare de informare, de evaluare, de executare sau de sancționare (96). O notificare de executare transmisă ca răspuns la o neîndeplinire a obligațiilor de către un operator sau o persoană împuternicită de operator poate impune numai cerințele pe care comisarul le consideră adecvate în scopul remedierii neîndeplinirii obligațiilor. Notificarea de executare și cea de sancționare pot fi emise unui operator sau unei persoane împuternicite de operator în legătură cu încălcări ale capitolului II din RGPD al Regatului Unit (principiile prelucrării), ale articolelor 12-22 (drepturile persoanei vizate), ale articolelor 25-39 (obligațiile operatorilor și ale persoanelor împuternicite de operatori) și ale articolelor 44-49 (transferurile internaționale) din RGPD al Regatului Unit. De asemenea, se poate emite o notificare de executare în cazul în care un operator nu a respectat cerința de a plăti o taxă prevăzută în reglementările adoptate în temeiul articolului 137 din DPA din 2018. În plus, un organism de monitorizare prevăzut la articolul 41 sau un furnizor de certificare poate primi o notificare de executare în cazul în care nu își respectă obligațiile care îi revin în temeiul RGPD al Regatului Unit. O notificare de sancționare poate fi transmisă, de asemenea, unei persoane care nu a respectat o notificare de informare, o notificare de evaluare sau o notificare de executare.

96

| (94) | Notificarea de sancționare impune persoanei în cauză să plătească Comisarului pentru informații o sumă specificată în notificare. Pentru a decide dacă să transmită o notificare de sancționare unei persoane și pentru a stabili cuantumul sancțiunii, comisarul pentru informații trebuie să aibă în vedere aspectele enumerate la articolul 83 alineatele (1) și (2) din RGPD al Regatului Unit, care sunt identice cu normele corespunzătoare din Regulamentul (UE) 2016/679 (97). În conformitate cu articolul 83 alineatele (4) și (5), cuantumurile maxime ale amenzilor administrative în cazul nerespectării obligațiilor menționate în aceste dispoziții sunt de 8 700 000 GBP sau, respectiv, 17 500 000 GBP. În cazul unei întreprinderi, comisarul pentru informații poate, de asemenea, să impună amenzi ca procent din cifra de afaceri mondială anuală, dacă are valoare mai mare. La fel ca în dispozițiile echivalente din Regulamentul (UE) 2016/679, aceste sume sunt stabilite la 2 % și, respectiv, 4 % la articolul 83 alineatele (4) și (5). În cazul nerespectării unei notificări de informare, a unei notificări de evaluare sau a unei notificări de executare, cuantumul maxim al sancțiunii care poate fi impusă printr-o notificare de sancționare este valoarea mai mare dintre 17 500 000 GBP sau, în cazul unei întreprinderi, 4 % din cifra de afaceri mondială anuală. |
| --- | --- |

(94)

Notificarea de sancționare impune persoanei în cauză să plătească Comisarului pentru informații o sumă specificată în notificare. Pentru a decide dacă să transmită o notificare de sancționare unei persoane și pentru a stabili cuantumul sancțiunii, comisarul pentru informații trebuie să aibă în vedere aspectele enumerate la articolul 83 alineatele (1) și (2) din RGPD al Regatului Unit, care sunt identice cu normele corespunzătoare din Regulamentul (UE) 2016/679 (97). În conformitate cu articolul 83 alineatele (4) și (5), cuantumurile maxime ale amenzilor administrative în cazul nerespectării obligațiilor menționate în aceste dispoziții sunt de 8 700 000 GBP sau, respectiv, 17 500 000 GBP. În cazul unei întreprinderi, comisarul pentru informații poate, de asemenea, să impună amenzi ca procent din cifra de afaceri mondială anuală, dacă are valoare mai mare. La fel ca în dispozițiile echivalente din Regulamentul (UE) 2016/679, aceste sume sunt stabilite la 2 % și, respectiv, 4 % la articolul 83 alineatele (4) și (5). În cazul nerespectării unei notificări de informare, a unei notificări de evaluare sau a unei notificări de executare, cuantumul maxim al sancțiunii care poate fi impusă printr-o notificare de sancționare este valoarea mai mare dintre 17 500 000 GBP sau, în cazul unei întreprinderi, 4 % din cifra de afaceri mondială anuală.

97

| (95) | RGPD al Regatului Unit, împreună cu DPA din 2018, au consolidat și alte competențe ale comisarului pentru informații. De exemplu, în prezent, comisarul poate efectua audituri obligatorii cu privire la toți operatorii și persoanele împuternicite de operatori prin utilizarea notificărilor de evaluare, în timp ce, în temeiul legislației anterioare, Legea privind protecția datelor din 1998, comisarul avea această competență doar în ceea ce privește administrația centrală și organizațiile din domeniul sănătății, fiind necesar ca alte entități să își dea acordul cu privire la efectuarea unui audit. |
| --- | --- |

(95)

RGPD al Regatului Unit, împreună cu DPA din 2018, au consolidat și alte competențe ale comisarului pentru informații. De exemplu, în prezent, comisarul poate efectua audituri obligatorii cu privire la toți operatorii și persoanele împuternicite de operatori prin utilizarea notificărilor de evaluare, în timp ce, în temeiul legislației anterioare, Legea privind protecția datelor din 1998, comisarul avea această competență doar în ceea ce privește administrația centrală și organizațiile din domeniul sănătății, fiind necesar ca alte entități să își dea acordul cu privire la efectuarea unui audit.

| (96) | De la introducerea Regulamentului (UE) 2016/679, ICO tratează anual aproximativ 40 000 de plângeri din partea persoanelor vizate (98) și, în plus, efectuează aproximativ 2 000 de investigații din oficiu (99). Majoritatea plângerilor se referă la drepturile de acces la date și de divulgare a acestora. În urma investigațiilor efectuate, comisarul ia măsuri de aplicare a legii într-o gamă largă de sectoare. Mai precis, în conformitate cu cel mai recent raport anual al comisarului pentru informații (2019-2020) (100), acesta a emis 54 de notificări de informare, 8 notificări de evaluare, 7 notificări de executare, 4 avertismente, 8 urmăriri penale și 15 amenzi în cursul perioadei de raportare (101). |
| --- | --- |

(96)

De la introducerea Regulamentului (UE) 2016/679, ICO tratează anual aproximativ 40 000 de plângeri din partea persoanelor vizate (98) și, în plus, efectuează aproximativ 2 000 de investigații din oficiu (99). Majoritatea plângerilor se referă la drepturile de acces la date și de divulgare a acestora. În urma investigațiilor efectuate, comisarul ia măsuri de aplicare a legii într-o gamă largă de sectoare. Mai precis, în conformitate cu cel mai recent raport anual al comisarului pentru informații (2019-2020) (100), acesta a emis 54 de notificări de informare, 8 notificări de evaluare, 7 notificări de executare, 4 avertismente, 8 urmăriri penale și 15 amenzi în cursul perioadei de raportare (101).

98

99

100

101

| (97) | Printre acestea se numără mai multe sancțiuni financiare semnificative impuse în temeiul Regulamentului (UE) 2016/679 și al DPA din 2018. În special, în octombrie 2020, comisarul pentru informații a amendat o companie aeriană britanică cu 20 de milioane GBP pentru o încălcare a securității datelor care afectează peste 400 000 de clienți. La sfârșitul lunii octombrie 2020, un lanț hotelier internațional a fost amendat cu 18,4 milioane GBP pentru că nu a păstrat securitatea datelor cu caracter personal ale milioane de clienți, iar în noiembrie 2020 un furnizor britanic de servicii care vinde bilete pentru evenimente online a fost amendat cu 1,25 milioane GBP pentru că nu a protejat detaliile de plată ale clienților (102). |
| --- | --- |

(97)

Printre acestea se numără mai multe sancțiuni financiare semnificative impuse în temeiul Regulamentului (UE) 2016/679 și al DPA din 2018. În special, în octombrie 2020, comisarul pentru informații a amendat o companie aeriană britanică cu 20 de milioane GBP pentru o încălcare a securității datelor care afectează peste 400 000 de clienți. La sfârșitul lunii octombrie 2020, un lanț hotelier internațional a fost amendat cu 18,4 milioane GBP pentru că nu a păstrat securitatea datelor cu caracter personal ale milioane de clienți, iar în noiembrie 2020 un furnizor britanic de servicii care vinde bilete pentru evenimente online a fost amendat cu 1,25 milioane GBP pentru că nu a protejat detaliile de plată ale clienților (102).

102

| (98) | Pe lângă competențele comisarului pentru informații în materie de asigurare a respectării aplicării descrise în considerentul 92, anumite încălcări ale legislației privind protecția datelor constituie infracțiuni și, prin urmare, pot face obiectul unor sancțiuni penale (secțiunea 196 din DPA din 2018). Acest lucru este valabil, de exemplu, pentru obținerea sau divulgarea în cunoștință de cauză sau din neglijență a datelor cu caracter personal fără consimțământul operatorului, cauzarea divulgării de date cu caracter personal unei alte persoane fără consimțământul operatorului (103), reidentificarea informațiilor care sunt date cu caracter personal anonimizate fără consimțământul operatorului responsabil de anonimizarea datelor cu caracter personal (104), obstrucționarea intenționată a competenței comisarului de a-și exercita competențele în ceea ce privește examinarea datelor cu caracter personal în conformitate cu obligațiile internaționale (105), prezentarea de declarații false ca răspuns la o notificare de informare sau distrugerea informațiilor în legătură cu notificările de informare și de evaluare (106). |
| --- | --- |

(98)

Pe lângă competențele comisarului pentru informații în materie de asigurare a respectării aplicării descrise în considerentul 92, anumite încălcări ale legislației privind protecția datelor constituie infracțiuni și, prin urmare, pot face obiectul unor sancțiuni penale (secțiunea 196 din DPA din 2018). Acest lucru este valabil, de exemplu, pentru obținerea sau divulgarea în cunoștință de cauză sau din neglijență a datelor cu caracter personal fără consimțământul operatorului, cauzarea divulgării de date cu caracter personal unei alte persoane fără consimțământul operatorului (103), reidentificarea informațiilor care sunt date cu caracter personal anonimizate fără consimțământul operatorului responsabil de anonimizarea datelor cu caracter personal (104), obstrucționarea intenționată a competenței comisarului de a-și exercita competențele în ceea ce privește examinarea datelor cu caracter personal în conformitate cu obligațiile internaționale (105), prezentarea de declarații false ca răspuns la o notificare de informare sau distrugerea informațiilor în legătură cu notificările de informare și de evaluare (106).

103

104

105

106

2.6.3.   Supravegherea sistemului judiciar

Supravegherea sistemului judiciar

| (99) | Supravegherea prelucrării datelor cu caracter personal de către instanțe și sistemul judiciar este dublă. În cazul în care un titular al unei funcții judiciare sau o instanță nu acționează în exercițiul unei funcții judiciare, supravegherea este asigurată de ICO. În cazul în care operatorul își desfășoară activitatea în exercițiul unei funcții judiciare, ICO nu își poate exercita funcțiile de supraveghere (107), iar supravegherea este efectuată de organisme speciale. Aceasta reflectă abordarea adoptată în Regulamentul (UE) 2016/679 [articolul 55 alineatul (3)]. |
| --- | --- |

(99)

Supravegherea prelucrării datelor cu caracter personal de către instanțe și sistemul judiciar este dublă. În cazul în care un titular al unei funcții judiciare sau o instanță nu acționează în exercițiul unei funcții judiciare, supravegherea este asigurată de ICO. În cazul în care operatorul își desfășoară activitatea în exercițiul unei funcții judiciare, ICO nu își poate exercita funcțiile de supraveghere (107), iar supravegherea este efectuată de organisme speciale. Aceasta reflectă abordarea adoptată în Regulamentul (UE) 2016/679 [articolul 55 alineatul (3)].

107

| (100) | În special, în cel de al doilea scenariu, pentru instanțele din Anglia și Țara Galilor, precum și pentru Tribunalul de Primă Instanță și Tribunalul Superior din Anglia și Țara Galilor, această supraveghere este asigurată de Grupul pentru protecția datelor judiciare (108). În plus, președintele Curții Supreme (Lord Chief Justice) și președintele sistemului de tribunale (Senior President of Tribunals) au emis o declarație de confidențialitate (109) care stabilește modul în care instanțele din Anglia și Țara Galilor prelucrează datele cu caracter personal pentru o funcție judiciară. O declarație similară a fost emisă de autoritățile judiciare din Irlanda de Nord (110) și de cele din Scoția (111). |
| --- | --- |

(100)

În special, în cel de al doilea scenariu, pentru instanțele din Anglia și Țara Galilor, precum și pentru Tribunalul de Primă Instanță și Tribunalul Superior din Anglia și Țara Galilor, această supraveghere este asigurată de Grupul pentru protecția datelor judiciare (108). În plus, președintele Curții Supreme (Lord Chief Justice) și președintele sistemului de tribunale (Senior President of Tribunals) au emis o declarație de confidențialitate (109) care stabilește modul în care instanțele din Anglia și Țara Galilor prelucrează datele cu caracter personal pentru o funcție judiciară. O declarație similară a fost emisă de autoritățile judiciare din Irlanda de Nord (110) și de cele din Scoția (111).

108

109

110

111

| (101) | În plus, în Irlanda de Nord, președintele Curții Supreme din Irlanda de Nord a numit un judecător din cadrul Înaltei Curți în calitate de judecător în materie de supraveghere a datelor (DSJ – Data Supervisory Judge) (112). Aceștia au emis, de asemenea, orientări pentru sistemul judiciar din Irlanda de Nord cu privire la acțiunile care trebuie întreprinse în cazul unei pierderi sau potențiale pierderi de date și la procesul de abordare a oricăror probleme care decurg din acest fapt (113). |
| --- | --- |

(101)

În plus, în Irlanda de Nord, președintele Curții Supreme din Irlanda de Nord a numit un judecător din cadrul Înaltei Curți în calitate de judecător în materie de supraveghere a datelor (DSJ – Data Supervisory Judge) (112). Aceștia au emis, de asemenea, orientări pentru sistemul judiciar din Irlanda de Nord cu privire la acțiunile care trebuie întreprinse în cazul unei pierderi sau potențiale pierderi de date și la procesul de abordare a oricăror probleme care decurg din acest fapt (113).

112

113

| (102) | În Scoția, președintele Curții Supreme (Lord President) a numit un judecător în materie de supraveghere a datelor pentru a investiga orice plângeri pe motive de protecție a datelor. Acest fapt este prevăzut în normele privind plângerile judiciare, care le reflectă pe cele stabilite pentru Anglia și Țara Galilor (114). |
| --- | --- |

(102)

În Scoția, președintele Curții Supreme (Lord President) a numit un judecător în materie de supraveghere a datelor pentru a investiga orice plângeri pe motive de protecție a datelor. Acest fapt este prevăzut în normele privind plângerile judiciare, care le reflectă pe cele stabilite pentru Anglia și Țara Galilor (114).

114

| (103) | În cele din urmă, în cadrul Curții Supreme, unul dintre judecătorii Curții Supreme este desemnat să supravegheze protecția datelor. |
| --- | --- |

(103)

În cele din urmă, în cadrul Curții Supreme, unul dintre judecătorii Curții Supreme este desemnat să supravegheze protecția datelor.

2.6.4.   Căi de atac

Căi de atac

| (104) | Pentru a asigura o protecție adecvată și, în special, asigurarea respectării drepturilor individuale, persoanei vizate ar trebui să i se ofere căi de atac administrative și judiciare eficace, inclusiv despăgubiri pentru prejudiciile suferite. |
| --- | --- |

(104)

Pentru a asigura o protecție adecvată și, în special, asigurarea respectării drepturilor individuale, persoanei vizate ar trebui să i se ofere căi de atac administrative și judiciare eficace, inclusiv despăgubiri pentru prejudiciile suferite.

| (105) | În primul rând, o persoană vizată are dreptul de a depune o plângere la comisarul pentru informații, în cazul în care consideră că, în ceea ce privește datele cu caracter personal care o vizează, există o încălcare a RGPD al Regatului Unit (115). RGPD al Regatului Unit menține normele prevăzute la articolul 77 din Regulamentul (UE) 2016/679 cu privire la acest drept, fără modificări substanțiale. Același lucru este valabil și pentru articolul 57 alineatul (1) litera (f) și alineatul (2), care stabilesc sarcinile comisarului în ceea ce privește tratarea plângerilor. Astfel cum se descrie în considerentele 92-98, comisarul pentru informații are competența de a evalua respectarea de către operator și persoana împuternicită de operator a RGPD al Regatului Unit și a DPA din 2018, de a le impune să întreprindă sau să se abțină de la a întreprinde măsurile necesare în caz de nerespectare și de a aplica amenzi. |
| --- | --- |

(105)

În primul rând, o persoană vizată are dreptul de a depune o plângere la comisarul pentru informații, în cazul în care consideră că, în ceea ce privește datele cu caracter personal care o vizează, există o încălcare a RGPD al Regatului Unit (115). RGPD al Regatului Unit menține normele prevăzute la articolul 77 din Regulamentul (UE) 2016/679 cu privire la acest drept, fără modificări substanțiale. Același lucru este valabil și pentru articolul 57 alineatul (1) litera (f) și alineatul (2), care stabilesc sarcinile comisarului în ceea ce privește tratarea plângerilor. Astfel cum se descrie în considerentele 92-98, comisarul pentru informații are competența de a evalua respectarea de către operator și persoana împuternicită de operator a RGPD al Regatului Unit și a DPA din 2018, de a le impune să întreprindă sau să se abțină de la a întreprinde măsurile necesare în caz de nerespectare și de a aplica amenzi.

115

| (106) | În al doilea rând, RGPD al Regatului Unit și DPA din 2018 prevăd dreptul la o cale de atac împotriva comisarului pentru informații. În temeiul articolului 78 alineatul (1) din RGPD al Regatului Unit, o persoană are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a comisarului care o vizează. În contextul controlului jurisdicțional, judecătorul examinează decizia contestată în cerere și analizează dacă acțiunile comisarului pentru informații au fost legale. În plus, în temeiul articolului 78 alineatul (2) din RGPD al Regatului Unit, în cazul în care comisarul nu tratează în mod corespunzător o plângere depusă de persoana vizată, (116) reclamantul are acces la o cale de atac judiciară. Acesta se poate adresa unui tribunal de primă instanță care să îl oblige pe comisar să ia măsurile necesare pentru a răspunde plângerii sau să îl informeze pe reclamant cu privire la evoluția plângerii (117). În plus, orice persoană căreia comisarul îi comunică una dintre notificările menționate mai sus (notificare de informare, de evaluare, de executare sau de sancționare) poate introduce o cale de atac în fața unui tribunal de primă instanță (118). În cazul în care tribunalul consideră că decizia comisarului nu este conformă cu legea sau că, în ceea ce privește comisarul pentru informații, acesta ar fi trebuit să își exercite puterea de apreciere în mod diferit, tribunalul trebuie să admită calea de atac sau să înlocuiască decizia comisarului cu o altă notificare sau decizie pe care comisarul pentru informații ar fi putut să o emită sau să o adopte. |
| --- | --- |

(106)

În al doilea rând, RGPD al Regatului Unit și DPA din 2018 prevăd dreptul la o cale de atac împotriva comisarului pentru informații. În temeiul articolului 78 alineatul (1) din RGPD al Regatului Unit, o persoană are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a comisarului care o vizează. În contextul controlului jurisdicțional, judecătorul examinează decizia contestată în cerere și analizează dacă acțiunile comisarului pentru informații au fost legale. În plus, în temeiul articolului 78 alineatul (2) din RGPD al Regatului Unit, în cazul în care comisarul nu tratează în mod corespunzător o plângere depusă de persoana vizată, (116) reclamantul are acces la o cale de atac judiciară. Acesta se poate adresa unui tribunal de primă instanță care să îl oblige pe comisar să ia măsurile necesare pentru a răspunde plângerii sau să îl informeze pe reclamant cu privire la evoluția plângerii (117). În plus, orice persoană căreia comisarul îi comunică una dintre notificările menționate mai sus (notificare de informare, de evaluare, de executare sau de sancționare) poate introduce o cale de atac în fața unui tribunal de primă instanță (118). În cazul în care tribunalul consideră că decizia comisarului nu este conformă cu legea sau că, în ceea ce privește comisarul pentru informații, acesta ar fi trebuit să își exercite puterea de apreciere în mod diferit, tribunalul trebuie să admită calea de atac sau să înlocuiască decizia comisarului cu o altă notificare sau decizie pe care comisarul pentru informații ar fi putut să o emită sau să o adopte.

116

117

118

| (107) | În al treilea rând, persoanele fizice pot introduce o cale de atac împotriva operatorilor și a persoanelor împuternicite de operatori direct în fața instanțelor în temeiul articolului 79 din RGPD al Regatului Unit și al secțiunii 167 din DPA din 2018. În cazul în care, la cererea unei persoane vizate, o instanță constată că a avut loc o încălcare a drepturilor persoanei vizate în temeiul legislației privind protecția datelor, instanța poate obliga operatorul în ceea ce privește prelucrarea, sau persoana împuternicită de operator care acționează în numele operatorului respectiv, să ia măsurile specificate în ordonanță sau să se abțină de la luarea măsurilor specificate în ordonanță. |
| --- | --- |

(107)

În al treilea rând, persoanele fizice pot introduce o cale de atac împotriva operatorilor și a persoanelor împuternicite de operatori direct în fața instanțelor în temeiul articolului 79 din RGPD al Regatului Unit și al secțiunii 167 din DPA din 2018. În cazul în care, la cererea unei persoane vizate, o instanță constată că a avut loc o încălcare a drepturilor persoanei vizate în temeiul legislației privind protecția datelor, instanța poate obliga operatorul în ceea ce privește prelucrarea, sau persoana împuternicită de operator care acționează în numele operatorului respectiv, să ia măsurile specificate în ordonanță sau să se abțină de la luarea măsurilor specificate în ordonanță.

| (108) | În plus, în temeiul articolului 82 din RGPD al Regatului Unit și al secțiunii 168 din DPA din 2018, orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a RGPD al Regatului Unit are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit. Normele privind despăgubirile și răspunderea prevăzute la articolul 82 alineatele (1)-(5) din RGPD al Regatului Unit sunt identice cu normele corespunzătoare din Regulamentul (UE) 2016/679. În temeiul secțiunii 168 din DPA din 2018, prejudiciile morale includ, de asemenea, suferințele clinice. În temeiul articolului 80 din RGPD al Regatului Unit, persoana vizată are, de asemenea, dreptul de a mandata un organism sau o organizație reprezentativ(ă) să depună plângerea la comisar în numele său (în temeiul articolului 77 din RGPD al Regatului Unit) și să exercite în numele său drepturile menționate la articolele 78 (dreptul la o cale de atac judiciară eficientă împotriva comisarului), 79 (dreptul la o cale de atac judiciară eficientă împotriva unui operator sau unei persoane împuternicite de operator) și 82 (dreptul la despăgubiri și răspunderea) din RGPD al Regatului Unit. |
| --- | --- |

(108)

În plus, în temeiul articolului 82 din RGPD al Regatului Unit și al secțiunii 168 din DPA din 2018, orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a RGPD al Regatului Unit are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit. Normele privind despăgubirile și răspunderea prevăzute la articolul 82 alineatele (1)-(5) din RGPD al Regatului Unit sunt identice cu normele corespunzătoare din Regulamentul (UE) 2016/679. În temeiul secțiunii 168 din DPA din 2018, prejudiciile morale includ, de asemenea, suferințele clinice. În temeiul articolului 80 din RGPD al Regatului Unit, persoana vizată are, de asemenea, dreptul de a mandata un organism sau o organizație reprezentativ(ă) să depună plângerea la comisar în numele său (în temeiul articolului 77 din RGPD al Regatului Unit) și să exercite în numele său drepturile menționate la articolele 78 (dreptul la o cale de atac judiciară eficientă împotriva comisarului), 79 (dreptul la o cale de atac judiciară eficientă împotriva unui operator sau unei persoane împuternicite de operator) și 82 (dreptul la despăgubiri și răspunderea) din RGPD al Regatului Unit.

| (109) | În al patrulea rând, pe lângă căile de atac descrise mai sus, orice persoană care consideră că drepturile sale, inclusiv dreptul la viață privată și la protecția datelor, au fost încălcate de autoritățile publice, poate obține reparații în fața instanțelor din Regatul Unit în temeiul Legii privind drepturile omului din 1998 (119). O persoană care susține că o autoritate publică a acționat (sau propune să acționeze) într-un mod care este incompatibil cu un drept conferit prin convenție și, prin urmare, ilegal în temeiul secțiunii 6 punctul 1 din Legea privind drepturile omului din 1998 poate introduce o acțiune împotriva autorității respective în fața instanței sau a tribunalului competent(e) sau poate invoca drepturile în cauză în cadrul oricărei proceduri judiciare, atunci când este (sau ar fi) victimă a actului ilegal. |
| --- | --- |

(109)

În al patrulea rând, pe lângă căile de atac descrise mai sus, orice persoană care consideră că drepturile sale, inclusiv dreptul la viață privată și la protecția datelor, au fost încălcate de autoritățile publice, poate obține reparații în fața instanțelor din Regatul Unit în temeiul Legii privind drepturile omului din 1998 (119). O persoană care susține că o autoritate publică a acționat (sau propune să acționeze) într-un mod care este incompatibil cu un drept conferit prin convenție și, prin urmare, ilegal în temeiul secțiunii 6 punctul 1 din Legea privind drepturile omului din 1998 poate introduce o acțiune împotriva autorității respective în fața instanței sau a tribunalului competent(e) sau poate invoca drepturile în cauză în cadrul oricărei proceduri judiciare, atunci când este (sau ar fi) victimă a actului ilegal.

119

| (110) | În cazul în care constată că un act al unei autorități publice este ilegal, instanța poate admite o astfel de reparație sau cale de atac sau poate dispune, în limitele competențelor sale, după cum consideră corect și adecvat (120). Instanța poate, de asemenea, să declare o dispoziție din legislația primară ca fiind incompatibilă cu un drept conferit prin convenție. |
| --- | --- |

(110)

În cazul în care constată că un act al unei autorități publice este ilegal, instanța poate admite o astfel de reparație sau cale de atac sau poate dispune, în limitele competențelor sale, după cum consideră corect și adecvat (120). Instanța poate, de asemenea, să declare o dispoziție din legislația primară ca fiind incompatibilă cu un drept conferit prin convenție.

120

| (111) | În cele din urmă, după epuizarea căilor de atac naționale, o persoană poate obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate de Convenția europeană a drepturilor omului. |
| --- | --- |

(111)

În cele din urmă, după epuizarea căilor de atac naționale, o persoană poate obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate de Convenția europeană a drepturilor omului.

3.   ACCESAREA ȘI UTILIZAREA DE CĂTRE AUTORITĂȚILE PUBLICE DIN REGATUL UNIT A DATELOR CU CARACTER PERSONAL TRANSFERATE DIN UNIUNEA EUROPEANĂ

ACCESAREA ȘI UTILIZAREA DE CĂTRE AUTORITĂȚILE PUBLICE DIN REGATUL UNIT A DATELOR CU CARACTER PERSONAL TRANSFERATE DIN UNIUNEA EUROPEANĂ

| (112) | Comisia a evaluat, de asemenea, cadrul juridic al Regatului Unit pentru colectarea și utilizarea ulterioară a datelor cu caracter personal transferate operatorilor economici din Regatul Unit de către autoritățile publice din Regatul Unit din motive de interes public, în special în scopul asigurării respectării dreptului penal și în scopuri de asigurare a securității naționale (denumit în continuare „accesul administrației publice”). Pentru a evalua dacă condițiile în care accesul administrației publice la datele transferate către Regatul Unit în temeiul prezentei decizii ar îndeplini criteriul „echivalenței substanțiale” în temeiul articolului 45 alineatul (1) din Regulamentul (UE) 2016/679, astfel cum a fost interpretat de Curtea de Justiție a Uniunii Europene în lumina Cartei drepturilor fundamentale, Comisia a luat în considerare în special următoarele criterii. |
| --- | --- |

(112)

Comisia a evaluat, de asemenea, cadrul juridic al Regatului Unit pentru colectarea și utilizarea ulterioară a datelor cu caracter personal transferate operatorilor economici din Regatul Unit de către autoritățile publice din Regatul Unit din motive de interes public, în special în scopul asigurării respectării dreptului penal și în scopuri de asigurare a securității naționale (denumit în continuare „accesul administrației publice”). Pentru a evalua dacă condițiile în care accesul administrației publice la datele transferate către Regatul Unit în temeiul prezentei decizii ar îndeplini criteriul „echivalenței substanțiale” în temeiul articolului 45 alineatul (1) din Regulamentul (UE) 2016/679, astfel cum a fost interpretat de Curtea de Justiție a Uniunii Europene în lumina Cartei drepturilor fundamentale, Comisia a luat în considerare în special următoarele criterii.

| (113) | În primul rând, orice restrângere a dreptului la protecția datelor cu caracter personal trebuie să fie prevăzută de lege, iar temeiul juridic care permite ingerința în acest drept trebuie să definească el însuși întinderea restrângerii exercitării dreptului vizat (121). |
| --- | --- |

(113)

În primul rând, orice restrângere a dreptului la protecția datelor cu caracter personal trebuie să fie prevăzută de lege, iar temeiul juridic care permite ingerința în acest drept trebuie să definească el însuși întinderea restrângerii exercitării dreptului vizat (121).

121

| (114) | În al doilea rând, pentru a îndeplini cerința proporționalității potrivit căreia derogările de la protecția datelor cu caracter personal și restrângerile acesteia trebuie să fie efectuate în limitele strictului necesar într-o societate democratică pentru a îndeplini obiective specifice de interes general echivalente cu cele recunoscute de Uniune, legislația țării terțe în cauză care permite o ingerință trebuie să prevadă norme clare și precise care să reglementeze conținutul și aplicarea măsurilor respective și să impună o serie de cerințe minime, astfel încât persoanele ale căror date au fost transferate să dispună de garanții suficiente care să permită protejarea în mod eficient a datelor lor cu caracter personal împotriva riscurilor de abuz (122). Legislația trebuie în special să indice în ce împrejurări și în ce condiții poate fi luată o măsură care prevede prelucrarea unor asemenea date (123), precum și să supună îndeplinirea acestor cerințe unei supravegheri independente (124). |
| --- | --- |

(114)

În al doilea rând, pentru a îndeplini cerința proporționalității potrivit căreia derogările de la protecția datelor cu caracter personal și restrângerile acesteia trebuie să fie efectuate în limitele strictului necesar într-o societate democratică pentru a îndeplini obiective specifice de interes general echivalente cu cele recunoscute de Uniune, legislația țării terțe în cauză care permite o ingerință trebuie să prevadă norme clare și precise care să reglementeze conținutul și aplicarea măsurilor respective și să impună o serie de cerințe minime, astfel încât persoanele ale căror date au fost transferate să dispună de garanții suficiente care să permită protejarea în mod eficient a datelor lor cu caracter personal împotriva riscurilor de abuz (122). Legislația trebuie în special să indice în ce împrejurări și în ce condiții poate fi luată o măsură care prevede prelucrarea unor asemenea date (123), precum și să supună îndeplinirea acestor cerințe unei supravegheri independente (124).

122

123

124

| (115) | În al treilea rând, legislația respectivă trebuie să fie obligatorie din punct de vedere juridic în temeiul dreptului intern, iar aceste cerințe legale trebuie să fie nu numai obligatorii pentru autorități, ci și opozabile autorităților din țara terță în cauză în fața instanțelor judecătorești (125). În special, persoanele vizate trebuie să dispună de posibilitatea de a exercita căi legale în fața unei instanțe judecătorești independente și imparțiale pentru a avea acces la date cu caracter personal care le privesc sau de a obține rectificarea sau ștergerea unor astfel de date (126). |
| --- | --- |

(115)

În al treilea rând, legislația respectivă trebuie să fie obligatorie din punct de vedere juridic în temeiul dreptului intern, iar aceste cerințe legale trebuie să fie nu numai obligatorii pentru autorități, ci și opozabile autorităților din țara terță în cauză în fața instanțelor judecătorești (125). În special, persoanele vizate trebuie să dispună de posibilitatea de a exercita căi legale în fața unei instanțe judecătorești independente și imparțiale pentru a avea acces la date cu caracter personal care le privesc sau de a obține rectificarea sau ștergerea unor astfel de date (126).

125

126

3.1.   Cadrul juridic general

Cadrul juridic general

| (116) | Ca exercitare a puterii de către o autoritate publică, accesul administrației publice în Regatul Unit trebuie să se realizeze cu respectarea deplină a legii. Regatul Unit a ratificat Convenția europeană a drepturilor omului (a se vedea considerentul 9) și toate autoritățile publice din Regatul Unit au obligația de a acționa în conformitate cu convenția (127). Articolul 8 din convenție prevede că orice ingerință în viața privată trebuie să fie în conformitate cu legea, în interesul unuia dintre obiectivele stabilite la articolul 8 alineatul (2) și proporțională în raport cu acest obiectiv. Articolul 8 impune, de asemenea, ca ingerința să fie „previzibilă”, și anume să aibă un temei juridic clar și accesibil și ca legea să conțină garanții adecvate pentru a preveni abuzurile. |
| --- | --- |

(116)

Ca exercitare a puterii de către o autoritate publică, accesul administrației publice în Regatul Unit trebuie să se realizeze cu respectarea deplină a legii. Regatul Unit a ratificat Convenția europeană a drepturilor omului (a se vedea considerentul 9) și toate autoritățile publice din Regatul Unit au obligația de a acționa în conformitate cu convenția (127). Articolul 8 din convenție prevede că orice ingerință în viața privată trebuie să fie în conformitate cu legea, în interesul unuia dintre obiectivele stabilite la articolul 8 alineatul (2) și proporțională în raport cu acest obiectiv. Articolul 8 impune, de asemenea, ca ingerința să fie „previzibilă”, și anume să aibă un temei juridic clar și accesibil și ca legea să conțină garanții adecvate pentru a preveni abuzurile.

127

| (117) | În plus, în jurisprudența sa, Curtea Europeană a Drepturilor Omului a precizat că orice ingerință în dreptul la viață privată și la protecția datelor ar trebui să facă obiectul unui sistem de supraveghere eficace, independent și imparțial, care trebuie să fie asigurat fie de un judecător, fie de un alt organism independent (128) (de exemplu, o autoritate administrativă sau un organ parlamentar). |
| --- | --- |

(117)

În plus, în jurisprudența sa, Curtea Europeană a Drepturilor Omului a precizat că orice ingerință în dreptul la viață privată și la protecția datelor ar trebui să facă obiectul unui sistem de supraveghere eficace, independent și imparțial, care trebuie să fie asigurat fie de un judecător, fie de un alt organism independent (128) (de exemplu, o autoritate administrativă sau un organ parlamentar).

128

| (118) | În plus, persoanelor trebuie să li se furnizeze o cale de atac eficientă, iar Curtea Europeană a Drepturilor Omului a clarificat faptul că această cale de atac trebuie oferită de un organism independent și imparțial care și-a adoptat propriul regulament de procedură, alcătuit din membri care trebuie să dețină sau să fi deținut o funcție judiciară de înalt nivel sau să fie avocați experimentați, și că nu trebuie să existe nicio sarcină a probei care trebuie îndeplinită pentru a depune o cerere la aceasta. Atunci când examinează plângerile depuse de persoane, organismul independent și imparțial ar trebui să aibă acces la toate informațiile relevante, inclusiv la materialele confidențiale. În cele din urmă, acesta ar trebui să aibă competența de a remedia cazurile de neconformitate (129). |
| --- | --- |

(118)

În plus, persoanelor trebuie să li se furnizeze o cale de atac eficientă, iar Curtea Europeană a Drepturilor Omului a clarificat faptul că această cale de atac trebuie oferită de un organism independent și imparțial care și-a adoptat propriul regulament de procedură, alcătuit din membri care trebuie să dețină sau să fi deținut o funcție judiciară de înalt nivel sau să fie avocați experimentați, și că nu trebuie să existe nicio sarcină a probei care trebuie îndeplinită pentru a depune o cerere la aceasta. Atunci când examinează plângerile depuse de persoane, organismul independent și imparțial ar trebui să aibă acces la toate informațiile relevante, inclusiv la materialele confidențiale. În cele din urmă, acesta ar trebui să aibă competența de a remedia cazurile de neconformitate (129).

129

| (119) | Regatul Unit a ratificat, de asemenea, Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (Convenția 108) și a semnat Protocolul de modificare a Convenției pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (cunoscută sub denumirea de „Convenția 108+”) în 2018 (130). Articolul 9 din Convenția 108 prevede că derogările de la principiile generale privind protecția datelor (articolul 5 Calitatea datelor), de la normele care reglementează categoriile speciale de date (articolul 6 Categorii speciale de date) și de la drepturile persoanelor vizate (articolul 8 Garanții suplimentare pentru persoana vizată) sunt permise numai în cazul în care o astfel de derogare este prevăzută de legislația părții și constituie o măsură necesară într-o societate democratică în interesul protejării siguranței statului, a siguranței publice, a intereselor monetare ale statului sau în interesul eliminării infracțiunilor, ori pentru protejarea persoanei vizate sau a drepturilor și libertăților altora (131). |
| --- | --- |

(119)

Regatul Unit a ratificat, de asemenea, Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (Convenția 108) și a semnat Protocolul de modificare a Convenției pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (cunoscută sub denumirea de „Convenția 108+”) în 2018 (130). Articolul 9 din Convenția 108 prevede că derogările de la principiile generale privind protecția datelor (articolul 5 Calitatea datelor), de la normele care reglementează categoriile speciale de date (articolul 6 Categorii speciale de date) și de la drepturile persoanelor vizate (articolul 8 Garanții suplimentare pentru persoana vizată) sunt permise numai în cazul în care o astfel de derogare este prevăzută de legislația părții și constituie o măsură necesară într-o societate democratică în interesul protejării siguranței statului, a siguranței publice, a intereselor monetare ale statului sau în interesul eliminării infracțiunilor, ori pentru protejarea persoanei vizate sau a drepturilor și libertăților altora (131).

130

131

| (120) | Prin urmare, prin calitatea de membru al Consiliului Europei, aderarea la Convenția europeană a drepturilor omului și recunoașterea competenței Curții Europene a Drepturilor Omului, Regatul Unit este supus unei serii de obligații, consacrate în dreptul internațional public, care încadrează sistemul său de acces al administrației publice pe baza unor principii, garanții și drepturi individuale similare cu cele garantate de dreptul Uniunii și aplicabile statelor membre. Astfel cum se subliniază în considerentul 19, aderarea continuă la astfel de instrumente este, prin urmare, un element deosebit de important al evaluării pe care se întemeiază prezenta decizie. |
| --- | --- |

(120)

Prin urmare, prin calitatea de membru al Consiliului Europei, aderarea la Convenția europeană a drepturilor omului și recunoașterea competenței Curții Europene a Drepturilor Omului, Regatul Unit este supus unei serii de obligații, consacrate în dreptul internațional public, care încadrează sistemul său de acces al administrației publice pe baza unor principii, garanții și drepturi individuale similare cu cele garantate de dreptul Uniunii și aplicabile statelor membre. Astfel cum se subliniază în considerentul 19, aderarea continuă la astfel de instrumente este, prin urmare, un element deosebit de important al evaluării pe care se întemeiază prezenta decizie.

| (121) | În plus, DPA din 2018 prevede garanții și drepturi specifice în materie de protecție a datelor atunci când datele sunt prelucrate de autorități publice, inclusiv de autoritățile de asigurare a respectării legii și de organismele de asigurare a securității naționale. |
| --- | --- |

(121)

În plus, DPA din 2018 prevede garanții și drepturi specifice în materie de protecție a datelor atunci când datele sunt prelucrate de autorități publice, inclusiv de autoritățile de asigurare a respectării legii și de organismele de asigurare a securității naționale.

| (122) | În special, regimul de prelucrare a datelor cu caracter personal în contextul asigurării respectării dreptului penal este prevăzut în partea 3 din DPA din 2018 care a fost adoptată pentru a transpune Directiva (UE) 2016/680. Partea 3 din DPA din 2018 se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora (132). |
| --- | --- |

(122)

În special, regimul de prelucrare a datelor cu caracter personal în contextul asigurării respectării dreptului penal este prevăzut în partea 3 din DPA din 2018 care a fost adoptată pentru a transpune Directiva (UE) 2016/680. Partea 3 din DPA din 2018 se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora (132).

132

| (123) | Conceptul de „autoritate competentă” este definit în secțiunea 30 din DPA ca fiind o persoană prevăzută în anexa 7 la DPA din 2018, precum și orice altă persoană, în măsura în care persoana are funcții statutare în oricare dintre scopurile de asigurare a respectării legii (133). Astfel cum se explică mai jos (a se vedea considerentul 139), anumite autorități competente (de exemplu, Agenția Națională pentru Combaterea Criminalității) pot face uz, în anumite condiții, de competențele conferite de Legea din 2016 de reglementare a competențelor de investigare (IPA din 2016). În acest caz, garanțiile prevăzute de IPA din 2016 se vor aplica în plus față de cele prevăzute în partea 3 din DPA din 2018. Serviciile de informații (Serviciul Secret de Informații, Serviciul de Securitate și Cartierul General pentru Comunicații) nu sunt „autorități competente” (134) care intră sun incidența părții 3 din DPA din 2018 și, prin urmare, normele prevăzute de aceasta nu se aplică niciuneia dintre activitățile lor. O parte specifică din DPA din 2018 (partea 4) este dedicată prelucrării datelor cu caracter personal de către serviciile de informații (pentru mai multe detalii, a se vedea considerentul 125). |
| --- | --- |

(123)

Conceptul de „autoritate competentă” este definit în secțiunea 30 din DPA ca fiind o persoană prevăzută în anexa 7 la DPA din 2018, precum și orice altă persoană, în măsura în care persoana are funcții statutare în oricare dintre scopurile de asigurare a respectării legii (133). Astfel cum se explică mai jos (a se vedea considerentul 139), anumite autorități competente (de exemplu, Agenția Națională pentru Combaterea Criminalității) pot face uz, în anumite condiții, de competențele conferite de Legea din 2016 de reglementare a competențelor de investigare (IPA din 2016). În acest caz, garanțiile prevăzute de IPA din 2016 se vor aplica în plus față de cele prevăzute în partea 3 din DPA din 2018. Serviciile de informații (Serviciul Secret de Informații, Serviciul de Securitate și Cartierul General pentru Comunicații) nu sunt „autorități competente” (134) care intră sun incidența părții 3 din DPA din 2018 și, prin urmare, normele prevăzute de aceasta nu se aplică niciuneia dintre activitățile lor. O parte specifică din DPA din 2018 (partea 4) este dedicată prelucrării datelor cu caracter personal de către serviciile de informații (pentru mai multe detalii, a se vedea considerentul 125).

133

134

| (124) | În mod similar Directivei (UE) 2016/680, partea 3 din DPA din 2018 stabilește principiile legalității și echității (135), limitărilor legate de scop (136), reducerii la minimum a datelor (137), exactității (138), limitărilor legate de stocare (139) și securității (140). Legislația impune obligații specifice în materie de transparență (141) și oferă persoanelor dreptul de acces (142), rectificare și ștergere (143), precum și dreptul de a nu face obiectul procesului decizional automatizat (144). Autoritățile competente au, de asemenea, obligația de a pune în aplicare protecția datelor începând cu momentul conceperii și în mod implicit, de a ține evidențe ale activităților de prelucrare și, pentru anumite operațiuni de prelucrare, de a efectua evaluări ale impactului asupra protecției datelor și de a consulta în prealabil comisarul pentru informații (145). În conformitate cu secțiunea 56 din DPA din 2018, acestea trebuie să demonstreze conformitatea. În plus, autoritățile trebuie să instituie măsuri adecvate pentru a asigura securitatea prelucrării (146) și sunt supuse unor obligații specifice în cazul unei încălcări a securității datelor, inclusiv notificarea comisarului pentru informații și persoanelor vizate cu privire la aceste încălcări (147). La fel ca în cazul Directivei (UE) 2016/680, există, de asemenea, o cerință ca un operator (cu excepția cazului în care acesta este o instanță sau o altă autoritate judiciară care acționează în exercițiul unei funcții judiciare) să desemneze un responsabil cu protecția datelor (148) care asistă operatorul în îndeplinirea obligațiilor sale, precum și în monitorizarea conformității menționate (149). În plus, legislația impune cerințe specifice pentru transferurile internaționale de date cu caracter personal în scopul asigurării respectării legii către țări terțe sau organizații internaționale pentru a asigura continuitatea protecției (150). La aceeași dată cu prezenta decizie, Comisia a adoptat o decizie privind caracterul adecvat al nivelului de protecție în temeiul articolului 36 alineatul (3) din Directiva (UE) 2016/680, prin care constata că regimul de protecție a datelor aplicabil prelucrării de către autoritățile de aplicare a dreptului penal din Regatul Unit asigură un nivel de protecție echivalent în esență cu cel garantat de Directiva (UE) 2016/680. |
| --- | --- |

(124)

În mod similar Directivei (UE) 2016/680, partea 3 din DPA din 2018 stabilește principiile legalității și echității (135), limitărilor legate de scop (136), reducerii la minimum a datelor (137), exactității (138), limitărilor legate de stocare (139) și securității (140). Legislația impune obligații specifice în materie de transparență (141) și oferă persoanelor dreptul de acces (142), rectificare și ștergere (143), precum și dreptul de a nu face obiectul procesului decizional automatizat (144). Autoritățile competente au, de asemenea, obligația de a pune în aplicare protecția datelor începând cu momentul conceperii și în mod implicit, de a ține evidențe ale activităților de prelucrare și, pentru anumite operațiuni de prelucrare, de a efectua evaluări ale impactului asupra protecției datelor și de a consulta în prealabil comisarul pentru informații (145). În conformitate cu secțiunea 56 din DPA din 2018, acestea trebuie să demonstreze conformitatea. În plus, autoritățile trebuie să instituie măsuri adecvate pentru a asigura securitatea prelucrării (146) și sunt supuse unor obligații specifice în cazul unei încălcări a securității datelor, inclusiv notificarea comisarului pentru informații și persoanelor vizate cu privire la aceste încălcări (147). La fel ca în cazul Directivei (UE) 2016/680, există, de asemenea, o cerință ca un operator (cu excepția cazului în care acesta este o instanță sau o altă autoritate judiciară care acționează în exercițiul unei funcții judiciare) să desemneze un responsabil cu protecția datelor (148) care asistă operatorul în îndeplinirea obligațiilor sale, precum și în monitorizarea conformității menționate (149). În plus, legislația impune cerințe specifice pentru transferurile internaționale de date cu caracter personal în scopul asigurării respectării legii către țări terțe sau organizații internaționale pentru a asigura continuitatea protecției (150). La aceeași dată cu prezenta decizie, Comisia a adoptat o decizie privind caracterul adecvat al nivelului de protecție în temeiul articolului 36 alineatul (3) din Directiva (UE) 2016/680, prin care constata că regimul de protecție a datelor aplicabil prelucrării de către autoritățile de aplicare a dreptului penal din Regatul Unit asigură un nivel de protecție echivalent în esență cu cel garantat de Directiva (UE) 2016/680.

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

| (125) | Partea 4 din DPA din 2018 se aplică tuturor prelucrărilor efectuate de serviciile de informații sau în numele acestora. În special, aceasta stabilește principalele principii privind protecția datelor (legalitate, echitate și transparență (151); limitări legate de scop (152); reducerea la minimum a datelor (153); exactitate (154); limitări legate de stocare (155) și securitate (156), impune condiții pentru prelucrarea categoriilor speciale de date (157), prevede drepturi ale persoanelor vizate (158), impune protecția datelor începând cu momentul conceperii (159) și reglementează transferurile internaționale de date cu caracter personal (160). ICO a emis recent orientări detaliate privind prelucrarea de către serviciile de informații în temeiul părții 4 din DPA din 2018 (161). |
| --- | --- |

(125)

Partea 4 din DPA din 2018 se aplică tuturor prelucrărilor efectuate de serviciile de informații sau în numele acestora. În special, aceasta stabilește principalele principii privind protecția datelor (legalitate, echitate și transparență (151); limitări legate de scop (152); reducerea la minimum a datelor (153); exactitate (154); limitări legate de stocare (155) și securitate (156), impune condiții pentru prelucrarea categoriilor speciale de date (157), prevede drepturi ale persoanelor vizate (158), impune protecția datelor începând cu momentul conceperii (159) și reglementează transferurile internaționale de date cu caracter personal (160). ICO a emis recent orientări detaliate privind prelucrarea de către serviciile de informații în temeiul părții 4 din DPA din 2018 (161).

151

152

153

154

155

156

157

158

159

160

161

| (126) | În același timp, secțiunea 110 din DPA din 2018 prevede o derogare de la dispozițiile specificate în partea 4 din DPA din 2018 (162), în cazul în care o astfel de derogare este necesară pentru protejarea securității naționale. Această derogare poate fi invocată pe baza unei analize de la caz la caz (163). Astfel cum au explicat autoritățile Regatului Unit și după cum este confirmat de jurisprudență, un „operator trebuie să ia în considerare consecințele reale pentru securitatea națională sau apărare dacă ar trebui să respecte dispoziția specifică privind protecția datelor și dacă ar putea respecta în mod rezonabil regula obișnuită fără a afecta securitatea națională sau apărarea” (164). Utilizarea corespunzătoare sau necorespunzătoare a derogării face obiectul supravegherii ICO (165). |
| --- | --- |

(126)

În același timp, secțiunea 110 din DPA din 2018 prevede o derogare de la dispozițiile specificate în partea 4 din DPA din 2018 (162), în cazul în care o astfel de derogare este necesară pentru protejarea securității naționale. Această derogare poate fi invocată pe baza unei analize de la caz la caz (163). Astfel cum au explicat autoritățile Regatului Unit și după cum este confirmat de jurisprudență, un „operator trebuie să ia în considerare consecințele reale pentru securitatea națională sau apărare dacă ar trebui să respecte dispoziția specifică privind protecția datelor și dacă ar putea respecta în mod rezonabil regula obișnuită fără a afecta securitatea națională sau apărarea” (164). Utilizarea corespunzătoare sau necorespunzătoare a derogării face obiectul supravegherii ICO (165).

162

163

164

165

| (127) | În plus, în ceea ce privește posibilitatea de a restricționa, pentru protecția „securității naționale”, aplicarea dispozițiilor specificate mai sus, în conformitate cu secțiunea 111 din DPA din 2018, un operator poate solicita un certificat semnat de un ministru din cadrul Cabinetului sau de procurorul general, care să ateste că restricționarea acestor drepturi este o măsură necesară și proporțională pentru protecția securității naționale (166). |
| --- | --- |

(127)

În plus, în ceea ce privește posibilitatea de a restricționa, pentru protecția „securității naționale”, aplicarea dispozițiilor specificate mai sus, în conformitate cu secțiunea 111 din DPA din 2018, un operator poate solicita un certificat semnat de un ministru din cadrul Cabinetului sau de procurorul general, care să ateste că restricționarea acestor drepturi este o măsură necesară și proporțională pentru protecția securității naționale (166).

166

| (128) | Guvernul Regatului Unit a emis orientări pentru a ajuta operatorii atunci când analizează dacă să solicite un certificat de securitate națională în temeiul DPA din 2018, care subliniază în special că orice limitare a drepturilor persoanelor vizate în ceea ce privește protejarea securității naționale trebuie să fie proporțională și necesară (167). Toate certificatele de securitate națională trebuie publicate pe site-ul internet al ICO (168). |
| --- | --- |

(128)

Guvernul Regatului Unit a emis orientări pentru a ajuta operatorii atunci când analizează dacă să solicite un certificat de securitate națională în temeiul DPA din 2018, care subliniază în special că orice limitare a drepturilor persoanelor vizate în ceea ce privește protejarea securității naționale trebuie să fie proporțională și necesară (167). Toate certificatele de securitate națională trebuie publicate pe site-ul internet al ICO (168).

167

168

| (129) | Certificatul ar trebui să fie emis pe o durată determinată de maximum cinci ani, astfel încât să fie revizuit periodic de către executiv (169). Certificatul identifică datele cu caracter personal sau categoriile de date cu caracter personal care fac obiectul derogării, precum și dispozițiile DPA din 2018 cărora li se aplică derogarea (170). |
| --- | --- |

(129)

Certificatul ar trebui să fie emis pe o durată determinată de maximum cinci ani, astfel încât să fie revizuit periodic de către executiv (169). Certificatul identifică datele cu caracter personal sau categoriile de date cu caracter personal care fac obiectul derogării, precum și dispozițiile DPA din 2018 cărora li se aplică derogarea (170).

169

170

| (130) | Este important de remarcat faptul că certificatele de securitate națională nu oferă un temei suplimentar pentru restricționarea drepturilor privind protecția datelor din motive de securitate națională. Cu alte cuvinte, operatorul sau persoana împuternicită de operator poate invoca un certificat numai atunci când a ajuns la concluzia că este necesar să invoce derogarea în materie de securitate națională care, astfel cum s-a explicat mai sus, trebuie aplicată de la caz la caz (171). Chiar dacă un certificat de securitate națională se aplică chestiunii în cauză, ICO poate investiga dacă invocarea derogării în materie de securitate națională a fost sau nu justificată într-un caz specific (172). |
| --- | --- |

(130)

Este important de remarcat faptul că certificatele de securitate națională nu oferă un temei suplimentar pentru restricționarea drepturilor privind protecția datelor din motive de securitate națională. Cu alte cuvinte, operatorul sau persoana împuternicită de operator poate invoca un certificat numai atunci când a ajuns la concluzia că este necesar să invoce derogarea în materie de securitate națională care, astfel cum s-a explicat mai sus, trebuie aplicată de la caz la caz (171). Chiar dacă un certificat de securitate națională se aplică chestiunii în cauză, ICO poate investiga dacă invocarea derogării în materie de securitate națională a fost sau nu justificată într-un caz specific (172).

171

172

| (131) | Orice persoană direct afectată de emiterea certificatului poate introduce o cale de atac la Tribunalul Superior (173) împotriva certificatului (174) sau, în cazul în care certificatul identifică date prin intermediul unei descrieri generale, poate contesta aplicarea certificatului la o serie de date specifice (175). Tribunalul va examina decizia de emitere a certificatului și va decide dacă au existat motive întemeiate pentru emiterea certificatului (176). Acesta poate lua în considerare o gamă largă de aspecte, printre care se numără și necesitatea, proporționalitatea și legalitatea, având în vedere impactul asupra drepturilor persoanelor vizate și punând în balanță necesitatea de a proteja securitatea națională. În consecință, tribunalul poate stabili că certificatul nu se aplică datelor cu caracter personal specifice care fac obiectul căii de atac (177). |
| --- | --- |

(131)

Orice persoană direct afectată de emiterea certificatului poate introduce o cale de atac la Tribunalul Superior (173) împotriva certificatului (174) sau, în cazul în care certificatul identifică date prin intermediul unei descrieri generale, poate contesta aplicarea certificatului la o serie de date specifice (175). Tribunalul va examina decizia de emitere a certificatului și va decide dacă au existat motive întemeiate pentru emiterea certificatului (176). Acesta poate lua în considerare o gamă largă de aspecte, printre care se numără și necesitatea, proporționalitatea și legalitatea, având în vedere impactul asupra drepturilor persoanelor vizate și punând în balanță necesitatea de a proteja securitatea națională. În consecință, tribunalul poate stabili că certificatul nu se aplică datelor cu caracter personal specifice care fac obiectul căii de atac (177).

173

174

175

176

177

| (132) | Un set diferit de restricții posibile se referă la cele care se aplică, în temeiul anexei 11 la DPA din 2018, anumitor dispoziții ale părții 4 din DPA din 2018 (178) pentru a proteja alte obiective importante de interes public general sau interese protejate, cum ar fi, de exemplu, privilegiul parlamentar, secretul profesional al avocatului, desfășurarea procedurilor judiciare sau eficacitatea de luptă a forțelor armate (179). Aplicarea acestor dispoziții fie este exceptată pentru anumite categorii de informații („bazată pe categorii”), fie este exceptată în măsura în care aplicarea acestor dispoziții ar putea aduce atingere interesului protejat („bazată pe prejudicii”) (180). Derogările bazate pe prejudicii pot fi invocate numai în măsura în care aplicarea dispoziției enumerate privind protecția datelor ar putea aduce atingere interesului specific în cauză. Prin urmare, utilizarea unei derogări trebuie să fie întotdeauna justificată prin trimiterea la prejudiciul relevant care ar putea apărea în fiecare caz în parte. Derogările bazate pe categorii pot fi invocate numai în ceea ce privește categoria specifică, definită în mod strict, de informații pentru care se acordă derogarea. Acestea sunt similare, în ceea ce privește scopul și efectul, mai multor excepții de la RGPD al Regatului Unit (în temeiul anexei 2 la DPA din 2018) care, la rândul lor, reflectă cele prevăzute la articolul 23 din RGPD. |
| --- | --- |

(132)

Un set diferit de restricții posibile se referă la cele care se aplică, în temeiul anexei 11 la DPA din 2018, anumitor dispoziții ale părții 4 din DPA din 2018 (178) pentru a proteja alte obiective importante de interes public general sau interese protejate, cum ar fi, de exemplu, privilegiul parlamentar, secretul profesional al avocatului, desfășurarea procedurilor judiciare sau eficacitatea de luptă a forțelor armate (179). Aplicarea acestor dispoziții fie este exceptată pentru anumite categorii de informații („bazată pe categorii”), fie este exceptată în măsura în care aplicarea acestor dispoziții ar putea aduce atingere interesului protejat („bazată pe prejudicii”) (180). Derogările bazate pe prejudicii pot fi invocate numai în măsura în care aplicarea dispoziției enumerate privind protecția datelor ar putea aduce atingere interesului specific în cauză. Prin urmare, utilizarea unei derogări trebuie să fie întotdeauna justificată prin trimiterea la prejudiciul relevant care ar putea apărea în fiecare caz în parte. Derogările bazate pe categorii pot fi invocate numai în ceea ce privește categoria specifică, definită în mod strict, de informații pentru care se acordă derogarea. Acestea sunt similare, în ceea ce privește scopul și efectul, mai multor excepții de la RGPD al Regatului Unit (în temeiul anexei 2 la DPA din 2018) care, la rândul lor, reflectă cele prevăzute la articolul 23 din RGPD.

178

179

180

| (133) | Din cele de mai sus rezultă că există limitări și condiții în temeiul dispozițiilor legale aplicabile din Regatul Unit, astfel cum sunt interpretate, de asemenea, de instanțe și de comisarul pentru informații, pentru a se asigura că aceste derogări și restricții rămân în limitele a ceea ce este necesar și proporțional pentru protejarea securității naționale. |
| --- | --- |

(133)

Din cele de mai sus rezultă că există limitări și condiții în temeiul dispozițiilor legale aplicabile din Regatul Unit, astfel cum sunt interpretate, de asemenea, de instanțe și de comisarul pentru informații, pentru a se asigura că aceste derogări și restricții rămân în limitele a ceea ce este necesar și proporțional pentru protejarea securității naționale.

3.2.   Accesul și utilizarea de către autoritățile publice din Regatul Unit în scopuri de asigurare a respectării dreptului penal

Accesul și utilizarea de către autoritățile publice din Regatul Unit în scopuri de asigurare a respectării dreptului penal

| (134) | Legislația Regatului Unit impune o serie de limitări privind accesul la datele cu caracter personal și utilizarea acestora în scopul asigurării respectării dreptului penal și prevede mecanisme de supraveghere și de exercitare a unei căi de atac în acest domeniu, care sunt în conformitate cu cerințele menționate în considerentele 113-115 din prezenta decizie. Condițiile în care poate avea loc un astfel de acces și garanțiile aplicabile utilizării acestor competențe sunt evaluate în detaliu în secțiunile următoare. |
| --- | --- |

(134)

Legislația Regatului Unit impune o serie de limitări privind accesul la datele cu caracter personal și utilizarea acestora în scopul asigurării respectării dreptului penal și prevede mecanisme de supraveghere și de exercitare a unei căi de atac în acest domeniu, care sunt în conformitate cu cerințele menționate în considerentele 113-115 din prezenta decizie. Condițiile în care poate avea loc un astfel de acces și garanțiile aplicabile utilizării acestor competențe sunt evaluate în detaliu în secțiunile următoare.

3.2.1.   Temeiurile juridice și limitările/garanțiile aplicabile

Temeiurile juridice și limitările/garanțiile aplicabile

| (135) | Potrivit principiului legalității garantat în temeiul secțiunii 35 din DPA din 2018, prelucrarea datelor cu caracter personal în oricare dintre scopurile de asigurare a respectării legii este legală numai dacă se întemeiază pe lege și fie persoana vizată și-a dat consimțământul pentru prelucrare în acest scop (181), fie prelucrarea este necesară pentru îndeplinirea unei sarcini în acest scop de către o autoritate competentă. |
| --- | --- |

(135)

Potrivit principiului legalității garantat în temeiul secțiunii 35 din DPA din 2018, prelucrarea datelor cu caracter personal în oricare dintre scopurile de asigurare a respectării legii este legală numai dacă se întemeiază pe lege și fie persoana vizată și-a dat consimțământul pentru prelucrare în acest scop (181), fie prelucrarea este necesară pentru îndeplinirea unei sarcini în acest scop de către o autoritate competentă.

181

3.2.1.1.   Mandate de percheziție și ordine de divulgare

Mandate de percheziție și ordine de divulgare

| (136) | În cadrul juridic al Regatului Unit, colectarea datelor cu caracter personal de la operatorii economici, inclusiv de la cei care ar prelucra date transferate din UE în temeiul prezentei decizii privind caracterul adecvat al nivelului de protecție, în scopul asigurării respectării dreptului penal, este permisă pe baza mandatelor de percheziție (182) și a ordinelor de divulgare (183). |
| --- | --- |

(136)

În cadrul juridic al Regatului Unit, colectarea datelor cu caracter personal de la operatorii economici, inclusiv de la cei care ar prelucra date transferate din UE în temeiul prezentei decizii privind caracterul adecvat al nivelului de protecție, în scopul asigurării respectării dreptului penal, este permisă pe baza mandatelor de percheziție (182) și a ordinelor de divulgare (183).

182

183

| (137) | Mandatele de percheziție sunt emise de o instanță, de obicei la cererea anchetatorului. Acestea permit unui anchetator să intre în incinte pentru a căuta materiale sau persoane relevante pentru ancheta pe care o desfășoară și să rețină orice element pentru care a fost autorizată efectuarea percheziției, inclusiv orice documente sau materiale relevante care conțin date cu caracter personal (184). Un ordin de divulgare, care trebuie, de asemenea, să fie emis de o instanță, impune persoanei menționate în acesta să prezinte sau să permită accesul la materialul pe care îl deține sau îl controlează. Solicitantul trebuie să justifice în fața instanței de ce este necesar mandatul sau ordinul, precum și de ce este în interes public. Există mai multe competențe legale care permit emiterea de mandate de percheziție și de ordine de divulgare. Fiecare dispoziție are propriul set de condiții legale care trebuie îndeplinite pentru emiterea unui mandat (185) sau a unui ordin de divulgare (186). |
| --- | --- |

(137)

Mandatele de percheziție sunt emise de o instanță, de obicei la cererea anchetatorului. Acestea permit unui anchetator să intre în incinte pentru a căuta materiale sau persoane relevante pentru ancheta pe care o desfășoară și să rețină orice element pentru care a fost autorizată efectuarea percheziției, inclusiv orice documente sau materiale relevante care conțin date cu caracter personal (184). Un ordin de divulgare, care trebuie, de asemenea, să fie emis de o instanță, impune persoanei menționate în acesta să prezinte sau să permită accesul la materialul pe care îl deține sau îl controlează. Solicitantul trebuie să justifice în fața instanței de ce este necesar mandatul sau ordinul, precum și de ce este în interes public. Există mai multe competențe legale care permit emiterea de mandate de percheziție și de ordine de divulgare. Fiecare dispoziție are propriul set de condiții legale care trebuie îndeplinite pentru emiterea unui mandat (185) sau a unui ordin de divulgare (186).

184

185

186

| (138) | Ordinele de divulgare și mandatele de percheziție pot fi contestate prin control jurisdicțional (187). În ceea ce privește garanțiile, toate autoritățile de aplicare a dreptului penal care intră în domeniul de aplicare al părții 3 din DPA din 2018, pot accesa datele cu caracter personal – care reprezintă o formă de prelucrare – numai înconformitate cu principiile și cerințele stabilite în DPA din 2018 (a se vedea considerentele 122 și 124). Prin urmare, o cerere formulată de orice autoritate de aplicare a legii ar trebui să respecte principiul conform căruia scopurile prelucrării trebuie să fie determinate, explicite și legitime (188), iar datele cu caracter personal prelucrate de o autoritate competentă trebuie să fie relevante în acest scop și neexcesive (189). |
| --- | --- |

(138)

Ordinele de divulgare și mandatele de percheziție pot fi contestate prin control jurisdicțional (187). În ceea ce privește garanțiile, toate autoritățile de aplicare a dreptului penal care intră în domeniul de aplicare al părții 3 din DPA din 2018, pot accesa datele cu caracter personal – care reprezintă o formă de prelucrare – numai înconformitate cu principiile și cerințele stabilite în DPA din 2018 (a se vedea considerentele 122 și 124). Prin urmare, o cerere formulată de orice autoritate de aplicare a legii ar trebui să respecte principiul conform căruia scopurile prelucrării trebuie să fie determinate, explicite și legitime (188), iar datele cu caracter personal prelucrate de o autoritate competentă trebuie să fie relevante în acest scop și neexcesive (189).

187

188

189

3.2.1.2.   Competențe de investigare în scopuri de asigurare a respectării legii

Competențe de investigare în scopuri de asigurare a respectării legii

| (139) | În scopul prevenirii sau depistării exclusiv al infracțiunilor grave (190), anumite autorități de aplicare a legii, de exemplu Agenția Națională pentru Combaterea Criminalității sau Chief of Police (șeful poliției) (191), pot utiliza competențe de investigare specifice în temeiul IPA din 2016. În acest caz, garanțiile prevăzute de IPA din 2016 se vor aplica în plus față de cele prevăzute în partea 3 din DPA din 2018. Competențele specifice de investigare pe care se pot baza aceste autorități de aplicare a legii sunt: interceptările țintite (partea 2 din IPA din 2016), achiziția datelor comunicațiilor (partea 3 din IPA din 2016), păstrarea datelor comunicațiilor (partea 4 din IPA din 2016) și intervenția țintită asupra echipamentelor (partea 5 din IPA din 2016). Interceptarea se referă la achiziția conținutului unei comunicații (192), în timp ce achiziția și păstrarea datelor comunicațiilor nu vizează obținerea conținutului comunicației, ci informațiile legate de „cine”, „când”, „unde” și „cum” referitoare la comunicație. Aceasta acoperă, de exemplu, ora și durata unei comunicații, numărul de telefon sau adresa de e-mail a inițiatorului și a destinatarului comunicației și, uneori, localizarea dispozitivelor de la care a fost efectuată comunicația, abonatul la un furnizor de servicii telefonice sau o factură detaliată (193). Intervenția asupra echipamentelor reprezintă un set de tehnici utilizate pentru a obține o varietate de date de la echipamente, care includ calculatoare, tablete și telefoane inteligente, precum și cabluri, fire și dispozitive de stocare (194). |
| --- | --- |

(139)

În scopul prevenirii sau depistării exclusiv al infracțiunilor grave (190), anumite autorități de aplicare a legii, de exemplu Agenția Națională pentru Combaterea Criminalității sau Chief of Police (șeful poliției) (191), pot utiliza competențe de investigare specifice în temeiul IPA din 2016. În acest caz, garanțiile prevăzute de IPA din 2016 se vor aplica în plus față de cele prevăzute în partea 3 din DPA din 2018. Competențele specifice de investigare pe care se pot baza aceste autorități de aplicare a legii sunt: interceptările țintite (partea 2 din IPA din 2016), achiziția datelor comunicațiilor (partea 3 din IPA din 2016), păstrarea datelor comunicațiilor (partea 4 din IPA din 2016) și intervenția țintită asupra echipamentelor (partea 5 din IPA din 2016). Interceptarea se referă la achiziția conținutului unei comunicații (192), în timp ce achiziția și păstrarea datelor comunicațiilor nu vizează obținerea conținutului comunicației, ci informațiile legate de „cine”, „când”, „unde” și „cum” referitoare la comunicație. Aceasta acoperă, de exemplu, ora și durata unei comunicații, numărul de telefon sau adresa de e-mail a inițiatorului și a destinatarului comunicației și, uneori, localizarea dispozitivelor de la care a fost efectuată comunicația, abonatul la un furnizor de servicii telefonice sau o factură detaliată (193). Intervenția asupra echipamentelor reprezintă un set de tehnici utilizate pentru a obține o varietate de date de la echipamente, care includ calculatoare, tablete și telefoane inteligente, precum și cabluri, fire și dispozitive de stocare (194).

190

191

192

193

194

| (140) | Competențele de interceptare țintită pot fi, de asemenea, utilizate atunci când acest lucru este „necesar în scopul punerii în aplicare a dispozițiilor unui instrument de asistență reciprocă al UE sau ale unui acord internațional de asistență reciprocă” (așa-numitul „mandat de asistență reciprocă” (195)). Mandatele de asistență reciprocă sunt furnizate numai în ceea ce privește interceptarea, nu și achiziția de date ale comunicațiilor sau intervenția asupra echipamentelor. Aceste competențe țintite sunt reglementate în Investigatory Powers Act 2016 (Legea din 2016 privind competențele de investigare) (IPA din 2016) (196) care, împreună cu Regulation of Investigatory Powers Act 2000 (Legea din 2000 de reglementare a competențelor de investigare) (RIPA) pentru Anglia, Țara Galilor și Irlanda de Nord și cu Regulation of Investigatory Powers (Scotland) Act 2000 [Legea din 2000 de reglementare a competențelor de investigare (Scoția)] (RIPSA) pentru Scoția, prevăd temeiul juridic și stabilesc limitările și garanțiile aplicabile pentru utilizarea acestor competențe. IPA din 2016 prevede, de asemenea, regimul pentru utilizarea competențelor de investigare în masă, deși acestea nu sunt la dispoziția autorităților de aplicare a legii (numai serviciile de informații le pot utiliza) (197). |
| --- | --- |

(140)

Competențele de interceptare țintită pot fi, de asemenea, utilizate atunci când acest lucru este „necesar în scopul punerii în aplicare a dispozițiilor unui instrument de asistență reciprocă al UE sau ale unui acord internațional de asistență reciprocă” (așa-numitul „mandat de asistență reciprocă” (195)). Mandatele de asistență reciprocă sunt furnizate numai în ceea ce privește interceptarea, nu și achiziția de date ale comunicațiilor sau intervenția asupra echipamentelor. Aceste competențe țintite sunt reglementate în Investigatory Powers Act 2016 (Legea din 2016 privind competențele de investigare) (IPA din 2016) (196) care, împreună cu Regulation of Investigatory Powers Act 2000 (Legea din 2000 de reglementare a competențelor de investigare) (RIPA) pentru Anglia, Țara Galilor și Irlanda de Nord și cu Regulation of Investigatory Powers (Scotland) Act 2000 [Legea din 2000 de reglementare a competențelor de investigare (Scoția)] (RIPSA) pentru Scoția, prevăd temeiul juridic și stabilesc limitările și garanțiile aplicabile pentru utilizarea acestor competențe. IPA din 2016 prevede, de asemenea, regimul pentru utilizarea competențelor de investigare în masă, deși acestea nu sunt la dispoziția autorităților de aplicare a legii (numai serviciile de informații le pot utiliza) (197).

195

Investigatory Powers Act 2016

196

Regulation of Investigatory Powers Act 2000

Regulation of Investigatory Powers (Scotland) Act 2000

197

| (141) | Pentru a exercita aceste competențe, autoritățile trebuie să obțină un mandat (198) emis de o autoritate competentă (199) și aprobat de un comisar judiciar independent (200) (așa-numita procedură de protecție dublă – „double-lock”). Obținerea unui astfel de mandat este supusă unui test de necesitate și proporționalitate (201). Întrucât aceste competențe de investigare țintite conferite de IPA din 2016 sunt identice celor de care dispun agențiile de securitate națională, condițiile, limitările și garanțiile aplicabile acestor competențe sunt abordate în detaliu în secțiunea privind accesul și utilizarea datelor cu caracter personal de către autoritățile publice ale Regatului Unit în scopuri de securitate națională (a se vedea considerentul 177 și următoarele). |
| --- | --- |

(141)

Pentru a exercita aceste competențe, autoritățile trebuie să obțină un mandat (198) emis de o autoritate competentă (199) și aprobat de un comisar judiciar independent (200) (așa-numita procedură de protecție dublă – „double-lock”). Obținerea unui astfel de mandat este supusă unui test de necesitate și proporționalitate (201). Întrucât aceste competențe de investigare țintite conferite de IPA din 2016 sunt identice celor de care dispun agențiile de securitate națională, condițiile, limitările și garanțiile aplicabile acestor competențe sunt abordate în detaliu în secțiunea privind accesul și utilizarea datelor cu caracter personal de către autoritățile publice ale Regatului Unit în scopuri de securitate națională (a se vedea considerentul 177 și următoarele).

198

199

200

201

3.2.2.   Utilizarea ulterioară a informațiilor colectate

Utilizarea ulterioară a informațiilor colectate

| (142) | Schimbul de date dintre o autoritate de aplicare a legii și o autoritate diferită în alte scopuri decât cele pentru care au fost colectate inițial (așa-numita „comunicare ulterioară”) este supus anumitor condiții. |
| --- | --- |

(142)

Schimbul de date dintre o autoritate de aplicare a legii și o autoritate diferită în alte scopuri decât cele pentru care au fost colectate inițial (așa-numita „comunicare ulterioară”) este supus anumitor condiții.

| (143) | În mod similar prevederilor de la articolul 4 alineatul (2) din Directiva (UE) 2016/680, secțiunea 36 punctul 3 din DPA din 2018 permite ca datele cu caracter personal colectate de o autoritate competentă în scopul asigurării respectării legii să poată fi prelucrate în continuare (fie de către operatorul inițial, fie de către un alt operator) în orice alt scop de asigurare a respectării legii, cu condiția ca operatorul să fie autorizat prin lege să prelucreze date în celălalt scop, iar prelucrarea să fie necesară și proporțională cu scopul respectiv (202). În acest caz, toate garanțiile prevăzute în partea 3 din DPA din 2018, menționate în considerentele 122 și 124, se aplică prelucrării efectuate de autoritatea destinatară. |
| --- | --- |

(143)

În mod similar prevederilor de la articolul 4 alineatul (2) din Directiva (UE) 2016/680, secțiunea 36 punctul 3 din DPA din 2018 permite ca datele cu caracter personal colectate de o autoritate competentă în scopul asigurării respectării legii să poată fi prelucrate în continuare (fie de către operatorul inițial, fie de către un alt operator) în orice alt scop de asigurare a respectării legii, cu condiția ca operatorul să fie autorizat prin lege să prelucreze date în celălalt scop, iar prelucrarea să fie necesară și proporțională cu scopul respectiv (202). În acest caz, toate garanțiile prevăzute în partea 3 din DPA din 2018, menționate în considerentele 122 și 124, se aplică prelucrării efectuate de autoritatea destinatară.

202

| (144) | În ordinea juridică a Regatului Unit, diferite legi permit în mod explicit un astfel de transfer ulterior. În special: (i) Legea privind economia digitală din 2017 permite schimbul de informații între autoritățile publice în mai multe scopuri, de exemplu în cazul oricărei fraude asupra sectorului public care ar implica pierderi sau un risc de pierdere pentru autoritățile publice (203) sau în cazul unei datorii către o autoritate publică sau către Coroană (204); (ii) Legea privind criminalitatea și instanțele din 2013, care permite schimbul de informații cu Agenția Națională pentru Combaterea Criminalității (NCA – National Crime Agency) (205) pentru combaterea, investigarea și urmărirea penală a infracțiunilor grave și a criminalității organizate; (iii) Legea privind formele grave de criminalitate din 2007, care permite autorităților publice să divulge informații organizațiilor antifraudă în scopul prevenirii fraudei (206). |
| --- | --- |

(144)

În ordinea juridică a Regatului Unit, diferite legi permit în mod explicit un astfel de transfer ulterior. În special: (i) Legea privind economia digitală din 2017 permite schimbul de informații între autoritățile publice în mai multe scopuri, de exemplu în cazul oricărei fraude asupra sectorului public care ar implica pierderi sau un risc de pierdere pentru autoritățile publice (203) sau în cazul unei datorii către o autoritate publică sau către Coroană (204); (ii) Legea privind criminalitatea și instanțele din 2013, care permite schimbul de informații cu Agenția Națională pentru Combaterea Criminalității (NCA – National Crime Agency) (205) pentru combaterea, investigarea și urmărirea penală a infracțiunilor grave și a criminalității organizate; (iii) Legea privind formele grave de criminalitate din 2007, care permite autorităților publice să divulge informații organizațiilor antifraudă în scopul prevenirii fraudei (206).

203

204

National Crime Agency

205

206

| (145) | Aceste legi prevăd în mod explicit că schimbul de informații ar trebui să fie în conformitate cu principiile stabilite în DPA din 2018. În plus, Colegiul de Poliție (College of Policing) a emis practici profesionale autorizate privind schimbul de informații (Authorised Professional Practice on Information Sharing) (207) pentru a ajuta poliția să își respecte obligațiile în materie de protecție a datelor în temeiul RGPD al Regatului Unit, al DPA și al Legii privind drepturile omului din 1998. Conformitatea schimbului de informații cu cadrul juridic aplicabil în materie de protecție a datelor este, desigur, supusă controlului jurisdicțional (208). |
| --- | --- |

(145)

Aceste legi prevăd în mod explicit că schimbul de informații ar trebui să fie în conformitate cu principiile stabilite în DPA din 2018. În plus, Colegiul de Poliție (College of Policing) a emis practici profesionale autorizate privind schimbul de informații (Authorised Professional Practice on Information Sharing) (207) pentru a ajuta poliția să își respecte obligațiile în materie de protecție a datelor în temeiul RGPD al Regatului Unit, al DPA și al Legii privind drepturile omului din 1998. Conformitatea schimbului de informații cu cadrul juridic aplicabil în materie de protecție a datelor este, desigur, supusă controlului jurisdicțional (208).

College of Policing

Authorised Professional Practice on Information Sharing

207

208

| (146) | În plus, în mod similar prevederilor de la articolul 9 din Directiva (UE) 2016/680, DPA din 2018 prevede că datele cu caracter personal colectate în orice scop de asigurare a respectării legii pot fi prelucrate într-un scop care nu este unul de asigurare a respectării legii atunci când prelucrarea este autorizată prin lege (209). |
| --- | --- |

(146)

În plus, în mod similar prevederilor de la articolul 9 din Directiva (UE) 2016/680, DPA din 2018 prevede că datele cu caracter personal colectate în orice scop de asigurare a respectării legii pot fi prelucrate într-un scop care nu este unul de asigurare a respectării legii atunci când prelucrarea este autorizată prin lege (209).

209

| (147) | Acest tip de schimb de informații se referă la două scenarii: 1. atunci când o autoritate de asigurare a respectării dreptului penal face schimb de date cu o autoritate de asigurare a respectării dreptului nepenal, alta decât o agenție de informații (cum ar fi, de exemplu, o autoritate financiară sau fiscală, o autoritate de concurență, un oficiu de asistență pentru bunăstarea tinerilor etc.); și 2. atunci când o autoritate de asigurare a respectării dreptului penal face schimb de date cu o agenție de informații. În primul scenariu, prelucrarea datelor cu caracter personal va intra sub incidența RGPD al Regatului Unit, precum și a părții 2 din DPA din 2018. Comisia a evaluat garanțiile prevăzute în RGPD al Regatului Unit și în partea 2 din DPA din 2018 în considerentele 12-111 și a ajuns la concluzia că Regatul Unit asigură un nivel adecvat de protecție a datelor cu caracter personal transferate în cadrul domeniului de aplicare al Regulamentului (UE) 2016/679 din Uniunea Europeană către Regatul Unit. |
| --- | --- |

(147)

Acest tip de schimb de informații se referă la două scenarii: 1. atunci când o autoritate de asigurare a respectării dreptului penal face schimb de date cu o autoritate de asigurare a respectării dreptului nepenal, alta decât o agenție de informații (cum ar fi, de exemplu, o autoritate financiară sau fiscală, o autoritate de concurență, un oficiu de asistență pentru bunăstarea tinerilor etc.); și 2. atunci când o autoritate de asigurare a respectării dreptului penal face schimb de date cu o agenție de informații. În primul scenariu, prelucrarea datelor cu caracter personal va intra sub incidența RGPD al Regatului Unit, precum și a părții 2 din DPA din 2018. Comisia a evaluat garanțiile prevăzute în RGPD al Regatului Unit și în partea 2 din DPA din 2018 în considerentele 12-111 și a ajuns la concluzia că Regatul Unit asigură un nivel adecvat de protecție a datelor cu caracter personal transferate în cadrul domeniului de aplicare al Regulamentului (UE) 2016/679 din Uniunea Europeană către Regatul Unit.

| (148) | În al doilea scenariu, în ceea ce privește schimbul de date colectate între o autoritate de asigurare a respectării dreptului penal și o agenție de informații în scopuri de securitate națională, temeiul juridic care autorizează un astfel de schimb este secțiunea 19 din Counter Terrorism Act 2008 (Legea privind combaterea terorismului din 2008) (CTA din 2008) (210). În temeiul acestei legi, orice persoană poate furniza informații oricărui serviciu de informații în scopul îndeplinirii oricăreia dintre funcțiile serviciului respectiv, inclusiv „securitatea națională”. |
| --- | --- |

(148)

În al doilea scenariu, în ceea ce privește schimbul de date colectate între o autoritate de asigurare a respectării dreptului penal și o agenție de informații în scopuri de securitate națională, temeiul juridic care autorizează un astfel de schimb este secțiunea 19 din Counter Terrorism Act 2008 (Legea privind combaterea terorismului din 2008) (CTA din 2008) (210). În temeiul acestei legi, orice persoană poate furniza informații oricărui serviciu de informații în scopul îndeplinirii oricăreia dintre funcțiile serviciului respectiv, inclusiv „securitatea națională”.

Counter Terrorism Act 2008

210

| (149) | În ceea ce privește condițiile în care datele pot fi partajate în scopuri de securitate națională, Intelligence Services Act (Legea privind serviciile de informații) (211) și Security Service Act (Legea privind serviciul de securitate) (212) limitează capacitatea serviciilor de informații de a obține date la ceea ce este necesar pentru îndeplinirea funcțiilor lor legale. Agențiile de aplicare a legii care doresc să facă schimb de date cu serviciile de informații vor trebui să ia în considerare o serie de factori/limitări, pe lângă funcțiile statutare ale agențiilor prevăzute în Legea privind serviciile de informații și în Legea privind serviciul de securitate (213). Secțiunea 20 din CTA din 2008 clarifică faptul că orice schimb de date în temeiul secțiunii 19 trebuie să respecte în continuare legislația privind protecția datelor; ceea ce înseamnă că se aplică toate limitările și cerințele prevăzute în partea 3 din DPA din 2018. În plus, întrucât autoritățile competente sunt autorități publice în sensul Legii privind drepturile omului din 1998, acestea trebuie să se asigure că acționează în conformitate cu drepturile conferite prin convenție, inclusiv cu articolul 8 din Convenția europeană a drepturilor omului. Aceste limite garantează faptul că toate schimburile de date dintre agențiile de aplicare a legii și serviciile de informații respectă legislația privind protecția datelor și Convenția europeană a drepturilor omului. |
| --- | --- |

(149)

În ceea ce privește condițiile în care datele pot fi partajate în scopuri de securitate națională, Intelligence Services Act (Legea privind serviciile de informații) (211) și Security Service Act (Legea privind serviciul de securitate) (212) limitează capacitatea serviciilor de informații de a obține date la ceea ce este necesar pentru îndeplinirea funcțiilor lor legale. Agențiile de aplicare a legii care doresc să facă schimb de date cu serviciile de informații vor trebui să ia în considerare o serie de factori/limitări, pe lângă funcțiile statutare ale agențiilor prevăzute în Legea privind serviciile de informații și în Legea privind serviciul de securitate (213). Secțiunea 20 din CTA din 2008 clarifică faptul că orice schimb de date în temeiul secțiunii 19 trebuie să respecte în continuare legislația privind protecția datelor; ceea ce înseamnă că se aplică toate limitările și cerințele prevăzute în partea 3 din DPA din 2018. În plus, întrucât autoritățile competente sunt autorități publice în sensul Legii privind drepturile omului din 1998, acestea trebuie să se asigure că acționează în conformitate cu drepturile conferite prin convenție, inclusiv cu articolul 8 din Convenția europeană a drepturilor omului. Aceste limite garantează faptul că toate schimburile de date dintre agențiile de aplicare a legii și serviciile de informații respectă legislația privind protecția datelor și Convenția europeană a drepturilor omului.

Intelligence Services Act

211

Security Service Act

212

213

| (150) | Atunci când o autoritate competentă intenționează să facă schimb de date cu caracter personal prelucrate în temeiul părții 3 din DPA din 2018 cu autoritățile de aplicare a legii dintr-o țară terță, se aplică anumite cerințe (214). În special, astfel de transferuri pot avea loc atunci când se bazează pe regulamentele privind caracterul adecvat al nivelului de protecție adoptate de secretarul de stat sau, în absența unor astfel de regulamente, trebuie asigurate garanții adecvate. Secțiunea 75 din DPA din 2018 prevede existența unor garanții adecvate în cazul în care sunt instituite printr-un instrument juridic obligatoriu pentru destinatarul vizat sau în cazul în care operatorul, după ce a evaluat toate circumstanțele legate de transferurile acestui tip de date cu caracter personal către țara terță sau către organizația internațională, concluzionează că există garanții adecvate pentru protejarea datelor. |
| --- | --- |

(150)

Atunci când o autoritate competentă intenționează să facă schimb de date cu caracter personal prelucrate în temeiul părții 3 din DPA din 2018 cu autoritățile de aplicare a legii dintr-o țară terță, se aplică anumite cerințe (214). În special, astfel de transferuri pot avea loc atunci când se bazează pe regulamentele privind caracterul adecvat al nivelului de protecție adoptate de secretarul de stat sau, în absența unor astfel de regulamente, trebuie asigurate garanții adecvate. Secțiunea 75 din DPA din 2018 prevede existența unor garanții adecvate în cazul în care sunt instituite printr-un instrument juridic obligatoriu pentru destinatarul vizat sau în cazul în care operatorul, după ce a evaluat toate circumstanțele legate de transferurile acestui tip de date cu caracter personal către țara terță sau către organizația internațională, concluzionează că există garanții adecvate pentru protejarea datelor.

214

| (151) | În cazul în care un transfer nu se bazează pe un regulament privind caracterul adecvat al nivelului de protecție sau pe garanții adecvate, acesta poate avea loc numai în anumite circumstanțe specificate, denumite „circumstanțe speciale” (215). Acest lucru este valabil atunci când transferul este necesar: (a) pentru protejarea intereselor vitale ale persoanei vizate sau ale unei alte persoane; (b) pentru protejarea intereselor legitime ale persoanei vizate; (c) pentru prevenirea unei amenințări imediate și grave la adresa securității publice a unui stat membru sau a unei țări terțe; (d) în cazuri individuale, în oricare dintre scopurile de asigurare a respectării legii; sau (e) în cazuri individuale, în scopuri juridice (de exemplu, în legătură cu proceduri judiciare sau pentru obținerea de consultanță juridică). Se poate observa că literele (d) și (e) nu se aplică dacă drepturile și libertățile persoanei vizate prevalează asupra interesului public în ceea ce privește transferul. Acest set de circumstanțe corespunde situațiilor și condițiilor specifice care se califică drept „derogări” în temeiul articolului 38 din Directiva (UE) 2016/680. |
| --- | --- |

(151)

În cazul în care un transfer nu se bazează pe un regulament privind caracterul adecvat al nivelului de protecție sau pe garanții adecvate, acesta poate avea loc numai în anumite circumstanțe specificate, denumite „circumstanțe speciale” (215). Acest lucru este valabil atunci când transferul este necesar: (a) pentru protejarea intereselor vitale ale persoanei vizate sau ale unei alte persoane; (b) pentru protejarea intereselor legitime ale persoanei vizate; (c) pentru prevenirea unei amenințări imediate și grave la adresa securității publice a unui stat membru sau a unei țări terțe; (d) în cazuri individuale, în oricare dintre scopurile de asigurare a respectării legii; sau (e) în cazuri individuale, în scopuri juridice (de exemplu, în legătură cu proceduri judiciare sau pentru obținerea de consultanță juridică). Se poate observa că literele (d) și (e) nu se aplică dacă drepturile și libertățile persoanei vizate prevalează asupra interesului public în ceea ce privește transferul. Acest set de circumstanțe corespunde situațiilor și condițiilor specifice care se califică drept „derogări” în temeiul articolului 38 din Directiva (UE) 2016/680.

215

| (152) | În plus, atunci când materialele obținute de autoritățile de aplicare a legii în temeiul unui mandat de autorizare a utilizării interceptării sau a intervențiilor asupra echipamentelor sunt predate unei țări terțe, IPA din 2016 impune garanții suplimentare. În special, o astfel de divulgare, definită ca „divulgare în străinătate”, este permisă numai în cazul în care autoritatea emitentă consideră că există mecanisme specifice adecvate care limitează numărul de persoane cărora le sunt divulgate datele, măsura în care orice material este divulgat sau pus la dispoziție, precum și măsura în care oricare dintre materiale este copiat și numărul de copii realizate. În plus, autoritatea emitentă poate considera că sunt necesare mecanisme adecvate pentru a se asigura că fiecare copie a oricărei părți a materialelor respective este distrusă de îndată ce nu mai există motive relevante pentru păstrarea acesteia (dacă nu a fost distrusă mai devreme) (216). |
| --- | --- |

(152)

În plus, atunci când materialele obținute de autoritățile de aplicare a legii în temeiul unui mandat de autorizare a utilizării interceptării sau a intervențiilor asupra echipamentelor sunt predate unei țări terțe, IPA din 2016 impune garanții suplimentare. În special, o astfel de divulgare, definită ca „divulgare în străinătate”, este permisă numai în cazul în care autoritatea emitentă consideră că există mecanisme specifice adecvate care limitează numărul de persoane cărora le sunt divulgate datele, măsura în care orice material este divulgat sau pus la dispoziție, precum și măsura în care oricare dintre materiale este copiat și numărul de copii realizate. În plus, autoritatea emitentă poate considera că sunt necesare mecanisme adecvate pentru a se asigura că fiecare copie a oricărei părți a materialelor respective este distrusă de îndată ce nu mai există motive relevante pentru păstrarea acesteia (dacă nu a fost distrusă mai devreme) (216).

216

| (153) | În cele din urmă, forme specifice de transferuri ulterioare din Regatul Unit către Statele Unite ar putea avea loc în viitor pe baza „Acordului dintre Guvernul Regatului Unit al Marii Britanii și Irlandei de Nord și Guvernul Statelor Unite ale Americii privind accesul la datele electronice în scopul combaterii formelor grave de criminalitate” („Acordul dintre Regatul Unit și SUA” sau „acordul”) (217), încheiat în luna octombrie 2019 (218). Deși Acordul dintre Regatul Unit și SUA nu a intrat încă în vigoare la momentul adoptării prezentei decizii, intrarea sa previzibilă în vigoare poate afecta transferurile ulterioare către SUA de date transferate inițial către Regatul Unit în temeiul deciziei. Mai precis, datele transferate din UE către furnizorii de servicii din Regatul Unit ar putea face obiectul unor ordine de prezentare de probe electronice emise de autoritățile competente de aplicare a legii din SUA și puse în aplicare în Regatul Unit în temeiul acestui acord odată intrat în vigoare. Din aceste motive, evaluarea condițiilor și a garanțiilor în temeiul cărora pot fi emise și executate asemenea ordine este relevantă pentru prezenta decizie. |
| --- | --- |

(153)

În cele din urmă, forme specifice de transferuri ulterioare din Regatul Unit către Statele Unite ar putea avea loc în viitor pe baza „Acordului dintre Guvernul Regatului Unit al Marii Britanii și Irlandei de Nord și Guvernul Statelor Unite ale Americii privind accesul la datele electronice în scopul combaterii formelor grave de criminalitate” („Acordul dintre Regatul Unit și SUA” sau „acordul”) (217), încheiat în luna octombrie 2019 (218). Deși Acordul dintre Regatul Unit și SUA nu a intrat încă în vigoare la momentul adoptării prezentei decizii, intrarea sa previzibilă în vigoare poate afecta transferurile ulterioare către SUA de date transferate inițial către Regatul Unit în temeiul deciziei. Mai precis, datele transferate din UE către furnizorii de servicii din Regatul Unit ar putea face obiectul unor ordine de prezentare de probe electronice emise de autoritățile competente de aplicare a legii din SUA și puse în aplicare în Regatul Unit în temeiul acestui acord odată intrat în vigoare. Din aceste motive, evaluarea condițiilor și a garanțiilor în temeiul cărora pot fi emise și executate asemenea ordine este relevantă pentru prezenta decizie.

217

218

| (154) | În acest sens, ar trebui remarcat faptul că, în primul rând, în ceea ce privește domeniul său de aplicare material, acordul se aplică numai infracțiunilor care sunt pasibile de sancțiuni privative de libertate având o durată maximă de cel puțin trei ani (definite drept „infracțiuni grave”) (219), inclusiv „activitate teroristă”. În al doilea rând, datele prelucrate în cealaltă jurisdicție pot fi obținute în temeiul acestui acord numai în urma unui „ordin [...] supus revizuirii sau supravegherii în temeiul dreptului intern al părții emitente de către o instanță, un judecător, un magistrat sau o altă autoritate independentă înainte sau în cadrul procedurilor de executare a ordinului” (220). În al treilea rând, orice ordin trebuie „să se bazeze pe cerințe privind o justificare rezonabilă bazată pe fapte concrete și credibile, pe particularitate, legalitate și gravitate în ceea ce privește comportamentul care face obiectul investigației” (221) și „să vizeze conturi specifice, precum și să identifice o anumită persoană, un anumit cont, o anumită adresă sau un anumit dispozitiv personal sau orice alt element de identificare specific” (222). În al patrulea rând, datele obținute în temeiul acestui acord beneficiază de măsuri de protecție echivalente cu garanțiile specifice prevăzute de așa-numitul „Acord-cadru UE-SUA” (223) – un acord cuprinzător privind protecția datelor, încheiat în decembrie 2016 între UE și SUA și care stabilește garanțiile și drepturile aplicabile transferurilor de date în domeniul cooperării în materie de asigurare a respectării legii – care sunt toate încorporate în acest acord prin trimitere, mutatis mutandis, pentru a ține seama în special de natura specifică a transferurilor (și anume transferurile de la operatorii privați către o autoritate de aplicare a legii, mai degrabă decât transferurile între autoritățile de aplicare a legii) (224). Acordul dintre Regatul Unit și SUA prevede în mod expres aplicarea de măsuri de protecție echivalente celor prevăzute de Acordul-cadru UE-SUA „tuturor informațiilor cu caracter personal furnizate în cursul executării ordinelor care fac obiectul acordului pentru a furniza măsuri de protecție echivalente” (225). |
| --- | --- |

(154)

În acest sens, ar trebui remarcat faptul că, în primul rând, în ceea ce privește domeniul său de aplicare material, acordul se aplică numai infracțiunilor care sunt pasibile de sancțiuni privative de libertate având o durată maximă de cel puțin trei ani (definite drept „infracțiuni grave”) (219), inclusiv „activitate teroristă”. În al doilea rând, datele prelucrate în cealaltă jurisdicție pot fi obținute în temeiul acestui acord numai în urma unui „ordin [...] supus revizuirii sau supravegherii în temeiul dreptului intern al părții emitente de către o instanță, un judecător, un magistrat sau o altă autoritate independentă înainte sau în cadrul procedurilor de executare a ordinului” (220). În al treilea rând, orice ordin trebuie „să se bazeze pe cerințe privind o justificare rezonabilă bazată pe fapte concrete și credibile, pe particularitate, legalitate și gravitate în ceea ce privește comportamentul care face obiectul investigației” (221) și „să vizeze conturi specifice, precum și să identifice o anumită persoană, un anumit cont, o anumită adresă sau un anumit dispozitiv personal sau orice alt element de identificare specific” (222). În al patrulea rând, datele obținute în temeiul acestui acord beneficiază de măsuri de protecție echivalente cu garanțiile specifice prevăzute de așa-numitul „Acord-cadru UE-SUA” (223) – un acord cuprinzător privind protecția datelor, încheiat în decembrie 2016 între UE și SUA și care stabilește garanțiile și drepturile aplicabile transferurilor de date în domeniul cooperării în materie de asigurare a respectării legii – care sunt toate încorporate în acest acord prin trimitere, mutatis mutandis, pentru a ține seama în special de natura specifică a transferurilor (și anume transferurile de la operatorii privați către o autoritate de aplicare a legii, mai degrabă decât transferurile între autoritățile de aplicare a legii) (224). Acordul dintre Regatul Unit și SUA prevede în mod expres aplicarea de măsuri de protecție echivalente celor prevăzute de Acordul-cadru UE-SUA „tuturor informațiilor cu caracter personal furnizate în cursul executării ordinelor care fac obiectul acordului pentru a furniza măsuri de protecție echivalente” (225).

219

220

221

222

223

mutatis mutandis

224

225

| (155) | Datele transferate autorităților din SUA în temeiul Acordului dintre Regatul Unit și SUA ar trebui, prin urmare, să beneficieze de măsurile de protecție prevăzute de un instrument legislativ al UE, cu adaptările necesare pentru a reflecta natura transferurilor în cauză. Autoritățile Regatului Unit au confirmat, de asemenea, că măsurile de protecție din acordul-cadru se vor aplica tuturor informațiilor cu caracter personal furnizate sau păstrate în temeiul acordului, indiferent de natura sau tipul organismului care formulează cererea (de exemplu, atât autoritățile federale, cât și cele statale de aplicare a legii din SUA), astfel încât trebuie să se asigure o protecție echivalentă în toate cazurile. Cu toate acestea, autoritățile Regatului Unit au explicat, de asemenea, că detaliile punerii în aplicare concrete a garanțiilor privind protecția datelor fac încă obiectul discuțiilor dintre Regatul Unit și SUA. În contextul discuțiilor cu serviciile Comisiei Europene cu privire la această decizie, autoritățile Regatului Unit au confirmat că vor permite intrarea în vigoare a acordului numai după ce se asigură că punerea sa în aplicare respectă obligațiile legale prevăzute în acesta, inclusiv claritatea în ceea ce privește respectarea standardelor de protecție a datelor pentru orice date solicitate în temeiul acestui acord. Întrucât o posibilă intrare în vigoare a acordului poate avea un impact asupra nivelului de protecție evaluat în prezenta decizie, orice informații și clarificare viitoare cu privire la modul în care SUA își va respecta obligațiile care îi revin în temeiul acordului ar trebui să fie comunicată Comisiei Europene de către Regatul Unit, de îndată ce va fi disponibilă și, în orice caz, înaintea intrării în vigoare a acordului, pentru a asigura monitorizarea corespunzătoare a acestei decizii în conformitate cu articolul 45 alineatul (4) din Regulamentul (UE) 2016/679. Se va acorda o atenție deosebită aplicării și adaptării măsurilor de protecție din acordul-cadru la tipul specific de transferuri reglementate de Acordul dintre Regatul Unit și SUA. |
| --- | --- |

(155)

Datele transferate autorităților din SUA în temeiul Acordului dintre Regatul Unit și SUA ar trebui, prin urmare, să beneficieze de măsurile de protecție prevăzute de un instrument legislativ al UE, cu adaptările necesare pentru a reflecta natura transferurilor în cauză. Autoritățile Regatului Unit au confirmat, de asemenea, că măsurile de protecție din acordul-cadru se vor aplica tuturor informațiilor cu caracter personal furnizate sau păstrate în temeiul acordului, indiferent de natura sau tipul organismului care formulează cererea (de exemplu, atât autoritățile federale, cât și cele statale de aplicare a legii din SUA), astfel încât trebuie să se asigure o protecție echivalentă în toate cazurile. Cu toate acestea, autoritățile Regatului Unit au explicat, de asemenea, că detaliile punerii în aplicare concrete a garanțiilor privind protecția datelor fac încă obiectul discuțiilor dintre Regatul Unit și SUA. În contextul discuțiilor cu serviciile Comisiei Europene cu privire la această decizie, autoritățile Regatului Unit au confirmat că vor permite intrarea în vigoare a acordului numai după ce se asigură că punerea sa în aplicare respectă obligațiile legale prevăzute în acesta, inclusiv claritatea în ceea ce privește respectarea standardelor de protecție a datelor pentru orice date solicitate în temeiul acestui acord. Întrucât o posibilă intrare în vigoare a acordului poate avea un impact asupra nivelului de protecție evaluat în prezenta decizie, orice informații și clarificare viitoare cu privire la modul în care SUA își va respecta obligațiile care îi revin în temeiul acordului ar trebui să fie comunicată Comisiei Europene de către Regatul Unit, de îndată ce va fi disponibilă și, în orice caz, înaintea intrării în vigoare a acordului, pentru a asigura monitorizarea corespunzătoare a acestei decizii în conformitate cu articolul 45 alineatul (4) din Regulamentul (UE) 2016/679. Se va acorda o atenție deosebită aplicării și adaptării măsurilor de protecție din acordul-cadru la tipul specific de transferuri reglementate de Acordul dintre Regatul Unit și SUA.

| (156) | La un nivel mai general, orice evoluție relevantă în ceea ce privește intrarea în vigoare și aplicarea acordului va fi luată în considerare în mod corespunzător în contextul monitorizării continue a prezentei decizii, inclusiv în ceea ce privește consecințele necesare care trebuie deduse în cazul în care există indicii că nu mai este asigurat un nivel de protecție echivalent în esență. |
| --- | --- |

(156)

La un nivel mai general, orice evoluție relevantă în ceea ce privește intrarea în vigoare și aplicarea acordului va fi luată în considerare în mod corespunzător în contextul monitorizării continue a prezentei decizii, inclusiv în ceea ce privește consecințele necesare care trebuie deduse în cazul în care există indicii că nu mai este asigurat un nivel de protecție echivalent în esență.

3.2.3.   Supravegherea

Supravegherea

| (157) | În funcție de competențele utilizate de autoritățile competente atunci când prelucrează date cu caracter personal în scopuri de asigurare a respectării legii (fie în temeiul DPA din 2018, fie în temeiul IPA din 2016), diferite organisme asigură supravegherea utilizării acestor competențe. În special, comisarul pentru informații supraveghează prelucrarea de date cu caracter personal atunci când aceasta intră în domeniul de aplicare al părții 3 din DPA din 2018 (226). Supravegherea judiciară independentă a utilizării competențelor de investigare în temeiul IPA din 2016 este asigurată de Biroul comisarului pentru competențe de investigare (IPCO – Investigatory Powers Commissioner’s Office) (227) (această parte este abordată în considerentele 250-255). În plus, o supraveghere suplimentară este garantată atât de Parlament, cât și de alte organisme. |
| --- | --- |

(157)

În funcție de competențele utilizate de autoritățile competente atunci când prelucrează date cu caracter personal în scopuri de asigurare a respectării legii (fie în temeiul DPA din 2018, fie în temeiul IPA din 2016), diferite organisme asigură supravegherea utilizării acestor competențe. În special, comisarul pentru informații supraveghează prelucrarea de date cu caracter personal atunci când aceasta intră în domeniul de aplicare al părții 3 din DPA din 2018 (226). Supravegherea judiciară independentă a utilizării competențelor de investigare în temeiul IPA din 2016 este asigurată de Biroul comisarului pentru competențe de investigare (IPCO – Investigatory Powers Commissioner’s Office) (227) (această parte este abordată în considerentele 250-255). În plus, o supraveghere suplimentară este garantată atât de Parlament, cât și de alte organisme.

226

Investigatory Powers Commissioner’s Office

227

3.2.3.1.   Supravegherea părții 3 din DPA din 2018

Supravegherea părții 3 din DPA din 2018

| (158) | Funcțiile generale ale comisarului pentru informații – ale cărui independență și organizare sunt explicate în considerentul 87 – în ceea ce privește prelucrarea datelor cu caracter personal care intră sub incidența părții 3 din DPA din 2018 sunt prevăzute în anexa 13 la DPA din 2018. Principala sarcină a ICO este de a monitoriza și de a pune în aplicare partea 3 din DPA din 2018, precum și de a promova acțiuni de sensibilizare în rândul publicului și de a oferi consiliere Parlamentului, Guvernului și altor instituții și organisme. Pentru a menține independența sistemului judiciar, comisarul pentru informații nu este autorizat să își exercite funcțiile în legătură cu prelucrarea datelor cu caracter personal de către o persoană care acționează în exercițiul unei funcții judiciare sau de către o instanță sau tribunal care acționează în exercițiul funcției sale judiciare. În aceste circumstanțe, alte organisme ar exercita funcțiile de supraveghere, astfel cum se explică în considerentele 99-103. |
| --- | --- |

(158)

Funcțiile generale ale comisarului pentru informații – ale cărui independență și organizare sunt explicate în considerentul 87 – în ceea ce privește prelucrarea datelor cu caracter personal care intră sub incidența părții 3 din DPA din 2018 sunt prevăzute în anexa 13 la DPA din 2018. Principala sarcină a ICO este de a monitoriza și de a pune în aplicare partea 3 din DPA din 2018, precum și de a promova acțiuni de sensibilizare în rândul publicului și de a oferi consiliere Parlamentului, Guvernului și altor instituții și organisme. Pentru a menține independența sistemului judiciar, comisarul pentru informații nu este autorizat să își exercite funcțiile în legătură cu prelucrarea datelor cu caracter personal de către o persoană care acționează în exercițiul unei funcții judiciare sau de către o instanță sau tribunal care acționează în exercițiul funcției sale judiciare. În aceste circumstanțe, alte organisme ar exercita funcțiile de supraveghere, astfel cum se explică în considerentele 99-103.

| (159) | Comisarul are competențe generale de investigare, de corecție, de autorizare și de consiliere în ceea ce privește prelucrarea datelor cu caracter personal, cărora li se aplică partea 3. În special, comisarul are competența de a notifica operatorul sau persoana împuternicită de operator cu privire la o presupusă încălcare a părții 3 din DPA din 2018, de a emite avertismente sau o mustrare unui operator sau unei persoane împuternicite de operator care a încălcat dispozițiile părții 3 din lege, precum și de a emite, din proprie inițiativă sau la cerere, avize adresate Parlamentului, Guvernului sau altor instituții și organisme, precum și publicului cu privire la orice aspect legat de protecția datelor cu caracter personal (228). |
| --- | --- |

(159)

Comisarul are competențe generale de investigare, de corecție, de autorizare și de consiliere în ceea ce privește prelucrarea datelor cu caracter personal, cărora li se aplică partea 3. În special, comisarul are competența de a notifica operatorul sau persoana împuternicită de operator cu privire la o presupusă încălcare a părții 3 din DPA din 2018, de a emite avertismente sau o mustrare unui operator sau unei persoane împuternicite de operator care a încălcat dispozițiile părții 3 din lege, precum și de a emite, din proprie inițiativă sau la cerere, avize adresate Parlamentului, Guvernului sau altor instituții și organisme, precum și publicului cu privire la orice aspect legat de protecția datelor cu caracter personal (228).

228

| (160) | În plus, comisarul are competența de a emite notificări de informare (229), notificări de evaluare (230) și notificări de executare (231), precum și competența de a accesa documentele operatorilor și ale persoanelor împuternicite de operatori, de a avea acces la sediile acestora (232) și de a aplica amenzi administrative sub forma unor notificări de sancționare (233). Politica ICO privind acțiunile de reglementare stabilește circumstanțele în care acesta emite o notificare de informare, de evaluare, de executare sau, respectiv, de sancționare (234) [a se vedea, de asemenea, considerentul 93 și considerentele 101-102 din Directiva (UE) 2016/680 cu privire la decizia privind caracterul adecvat al nivelului de protecție]. |
| --- | --- |

(160)

În plus, comisarul are competența de a emite notificări de informare (229), notificări de evaluare (230) și notificări de executare (231), precum și competența de a accesa documentele operatorilor și ale persoanelor împuternicite de operatori, de a avea acces la sediile acestora (232) și de a aplica amenzi administrative sub forma unor notificări de sancționare (233). Politica ICO privind acțiunile de reglementare stabilește circumstanțele în care acesta emite o notificare de informare, de evaluare, de executare sau, respectiv, de sancționare (234) [a se vedea, de asemenea, considerentul 93 și considerentele 101-102 din Directiva (UE) 2016/680 cu privire la decizia privind caracterul adecvat al nivelului de protecție].

229

230

231

232

233

234

| (161) | Conform ultimelor sale rapoarte anuale [2018-2019 (235), 2019-2020 (236)], comisarul pentru informații a efectuat o serie de investigații și a luat măsuri de asigurare a respectării legii în ceea ce privește prelucrarea datelor de către autoritățile de aplicare a legii. De exemplu, comisarul a efectuat o investigație și a publicat un aviz în octombrie 2019 în ceea ce privește utilizarea de către autoritățile de aplicare a legii a tehnologiei de recunoaștere facială în locuri publice. Investigația s-a axat, în special, pe utilizarea capacităților de recunoaștere facială în direct de către poliția din sudul Țării Galilor și de către Serviciul de poliție metropolitană (MPS). Comisarul pentru informații a investigat, de asemenea, baza de date „Gangs Matrix” a MPS (237) și a constatat o serie de încălcări grave ale legislației privind protecția datelor, care erau de natură să submineze încrederea publicului în baza de date și în modul în care erau utilizate datele. În noiembrie 2018, comisarul pentru informații a emis o notificare de executare, iar ulterior MPS a luat măsurile necesare pentru a spori securitatea și responsabilitatea și pentru a se asigura că datele sunt utilizate în mod proporțional. Un alt exemplu de acțiune de asigurare a respectării legii în acest domeniu este amenda de 325 000 GBP aplicată ministerului public de către comisar în luna mai 2018, pentru pierderea unor DVD-uri necriptate care conțineau înregistrări ale interogatoriilor efectuate de poliție. Comisarul pentru informații a desfășurat, de asemenea, investigații cu privire la subiecte mai ample, de exemplu în prima jumătate a anului 2020, cu privire la utilizarea criminalisticii mobile în scopuri polițienești și la prelucrarea datelor victimelor de către poliție. În plus, comisarul investighează în prezent un caz care implică accesul autorităților de aplicare a legii la datele deținute de o entitate din sectorul privat, Clearview AI Inc. (238). |
| --- | --- |

(161)

Conform ultimelor sale rapoarte anuale [2018-2019 (235), 2019-2020 (236)], comisarul pentru informații a efectuat o serie de investigații și a luat măsuri de asigurare a respectării legii în ceea ce privește prelucrarea datelor de către autoritățile de aplicare a legii. De exemplu, comisarul a efectuat o investigație și a publicat un aviz în octombrie 2019 în ceea ce privește utilizarea de către autoritățile de aplicare a legii a tehnologiei de recunoaștere facială în locuri publice. Investigația s-a axat, în special, pe utilizarea capacităților de recunoaștere facială în direct de către poliția din sudul Țării Galilor și de către Serviciul de poliție metropolitană (MPS). Comisarul pentru informații a investigat, de asemenea, baza de date „Gangs Matrix” a MPS (237) și a constatat o serie de încălcări grave ale legislației privind protecția datelor, care erau de natură să submineze încrederea publicului în baza de date și în modul în care erau utilizate datele. În noiembrie 2018, comisarul pentru informații a emis o notificare de executare, iar ulterior MPS a luat măsurile necesare pentru a spori securitatea și responsabilitatea și pentru a se asigura că datele sunt utilizate în mod proporțional. Un alt exemplu de acțiune de asigurare a respectării legii în acest domeniu este amenda de 325 000 GBP aplicată ministerului public de către comisar în luna mai 2018, pentru pierderea unor DVD-uri necriptate care conțineau înregistrări ale interogatoriilor efectuate de poliție. Comisarul pentru informații a desfășurat, de asemenea, investigații cu privire la subiecte mai ample, de exemplu în prima jumătate a anului 2020, cu privire la utilizarea criminalisticii mobile în scopuri polițienești și la prelucrarea datelor victimelor de către poliție. În plus, comisarul investighează în prezent un caz care implică accesul autorităților de aplicare a legii la datele deținute de o entitate din sectorul privat, Clearview AI Inc. (238).

235

236

237

238

| (162) | Pe lângă competențele comisarului pentru informații în materie de asigurare a respectării legii, menționate în considerentele 160 și 161, anumite încălcări ale legislației privind protecția datelor constituie infracțiuni și, prin urmare, pot face obiectul unor sancțiuni penale (secțiunea 196 din DPA din 2018). Acest lucru se aplică, de exemplu, obținerii, divulgării sau păstrării datelor cu caracter personal fără consimțământul operatorului și cauzării divulgării datelor cu caracter personal unei alte persoane fără consimțământul operatorului (239); reidentificării informațiilor care sunt date cu caracter personal anonimizate fără consimțământul operatorului responsabil de anonimizarea datelor cu caracter personal (240); împiedicării intenționate a comisarului de a-și exercita competențele în ceea ce privește examinarea datelor cu caracter personal în conformitate cu obligațiile internaționale (241), prezentării de declarații false ca răspuns la o notificare de informare sau distrugerii informațiilor în legătură cu notificările de informare și de evaluare (242). |
| --- | --- |

(162)

Pe lângă competențele comisarului pentru informații în materie de asigurare a respectării legii, menționate în considerentele 160 și 161, anumite încălcări ale legislației privind protecția datelor constituie infracțiuni și, prin urmare, pot face obiectul unor sancțiuni penale (secțiunea 196 din DPA din 2018). Acest lucru se aplică, de exemplu, obținerii, divulgării sau păstrării datelor cu caracter personal fără consimțământul operatorului și cauzării divulgării datelor cu caracter personal unei alte persoane fără consimțământul operatorului (239); reidentificării informațiilor care sunt date cu caracter personal anonimizate fără consimțământul operatorului responsabil de anonimizarea datelor cu caracter personal (240); împiedicării intenționate a comisarului de a-și exercita competențele în ceea ce privește examinarea datelor cu caracter personal în conformitate cu obligațiile internaționale (241), prezentării de declarații false ca răspuns la o notificare de informare sau distrugerii informațiilor în legătură cu notificările de informare și de evaluare (242).

239

240

241

242

3.2.3.2.   Alte organisme de supraveghere în domeniul asigurării respectării dreptului penal

Alte organisme de supraveghere în domeniul asigurării respectării dreptului penal

| (163) | Pe lângă comisarul pentru informații, există mai multe organisme de supraveghere în domeniul asigurării respectării dreptului penal, cu mandate specifice relevante pentru aspecte legate de protecția datelor. Printre acestea se numără, de exemplu, comisarul pentru păstrarea și utilizarea materialelor biometrice (denumit în continuare „comisarul pentru biometrie”) (243) și comisarul pentru camere de supraveghere (244). |
| --- | --- |

(163)

Pe lângă comisarul pentru informații, există mai multe organisme de supraveghere în domeniul asigurării respectării dreptului penal, cu mandate specifice relevante pentru aspecte legate de protecția datelor. Printre acestea se numără, de exemplu, comisarul pentru păstrarea și utilizarea materialelor biometrice (denumit în continuare „comisarul pentru biometrie”) (243) și comisarul pentru camere de supraveghere (244).

243

244

3.2.3.3.   Supravegherea parlamentară în domeniul asigurării respectării dreptului penal

| (164) | Comisia specială pentru afaceri interne (HASC – Home Affairs Select Committee) asigură supravegherea parlamentară în domeniul asigurării respectării legii. Această comisie este alcătuită din 11 membri ai Parlamentului, aleși din cele mai mari trei partide politice. Comisia are sarcina de a analiza cheltuielile, administrarea și politica Ministerului de Interne și ale organismelor publice asociate, și anume poliția și NCA – a căror activitate poate fi verificată în mod specific de către comisie (245). |
| --- | --- |

(164)

Comisia specială pentru afaceri interne (HASC – Home Affairs Select Committee) asigură supravegherea parlamentară în domeniul asigurării respectării legii. Această comisie este alcătuită din 11 membri ai Parlamentului, aleși din cele mai mari trei partide politice. Comisia are sarcina de a analiza cheltuielile, administrarea și politica Ministerului de Interne și ale organismelor publice asociate, și anume poliția și NCA – a căror activitate poate fi verificată în mod specific de către comisie (245).

Home Affairs Select Committee

245

| (165) | În limitele competențelor sale, comisia își poate alege propria temă de anchetă, inclusiv cazurile specifice, atâta timp cât chestiunea nu este sub judice. Comisia poate, de asemenea, să solicite probe scrise și orale de la o gamă largă de grupuri și persoane relevante. Aceasta elaborează rapoarte cu privire la constatările sale și emite recomandări adresate Guvernului (246). Se așteaptă ca Guvernul să răspundă fiecărei recomandări din raport și trebuie să facă acest lucru în termen de 60 de zile (247). |
| --- | --- |

(165)

În limitele competențelor sale, comisia își poate alege propria temă de anchetă, inclusiv cazurile specifice, atâta timp cât chestiunea nu este sub judice. Comisia poate, de asemenea, să solicite probe scrise și orale de la o gamă largă de grupuri și persoane relevante. Aceasta elaborează rapoarte cu privire la constatările sale și emite recomandări adresate Guvernului (246). Se așteaptă ca Guvernul să răspundă fiecărei recomandări din raport și trebuie să facă acest lucru în termen de 60 de zile (247).

sub judice

246

247

| (166) | În domeniul supravegherii, comisia a elaborat, de asemenea, un raport referitor la Legea din 2000 de reglementare a competențelor de investigare) (RIPA din 2000) (248), în care s-a constatat că RIPA din 2000 nu este adecvată scopului. Raportul comisiei a fost luat în considerare în cadrul înlocuirii unor părți semnificative din RIPA din 2000 cu IPA din 2016. Lista completă a anchetelor poate fi consultată pe site-ul comisiei (249). |
| --- | --- |

(166)

În domeniul supravegherii, comisia a elaborat, de asemenea, un raport referitor la Legea din 2000 de reglementare a competențelor de investigare) (RIPA din 2000) (248), în care s-a constatat că RIPA din 2000 nu este adecvată scopului. Raportul comisiei a fost luat în considerare în cadrul înlocuirii unor părți semnificative din RIPA din 2000 cu IPA din 2016. Lista completă a anchetelor poate fi consultată pe site-ul comisiei (249).

248

249

| (167) | Sarcinile HASC sunt îndeplinite în Scoția de către Subcomisia pentru justiție în domeniul polițienesc și, în Irlanda de Nord, de către Comisia pentru justiție (250). |
| --- | --- |

(167)

Sarcinile HASC sunt îndeplinite în Scoția de către Subcomisia pentru justiție în domeniul polițienesc și, în Irlanda de Nord, de către Comisia pentru justiție (250).

250

3.2.4.   Căi de atac

Căi de atac

| (168) | În ceea ce privește prelucrarea datelor de către autoritățile de aplicare a legii, sunt disponibile mecanisme de exercitare a unei căi de atac în temeiul părții 3 din DPA din 2018 și al IPA din 2016, precum și în temeiul Legii privind drepturile omului din 1998. |
| --- | --- |

(168)

În ceea ce privește prelucrarea datelor de către autoritățile de aplicare a legii, sunt disponibile mecanisme de exercitare a unei căi de atac în temeiul părții 3 din DPA din 2018 și al IPA din 2016, precum și în temeiul Legii privind drepturile omului din 1998.

| (169) | Această serie de mecanisme oferă persoanelor vizate căi de atac administrative și judiciare eficace care le permit, în special, să își asigure drepturile, inclusiv dreptul de a avea acces la datele lor cu caracter personal sau de a obține rectificarea sau ștergerea acestor date. |
| --- | --- |

(169)

Această serie de mecanisme oferă persoanelor vizate căi de atac administrative și judiciare eficace care le permit, în special, să își asigure drepturile, inclusiv dreptul de a avea acces la datele lor cu caracter personal sau de a obține rectificarea sau ștergerea acestor date.

| (170) | În primul rând, în temeiul secțiunii 165 din DPA din 2018, o persoană vizată are dreptul de a depune o plângere la comisarul pentru informații în cazul în care persoana vizată consideră că, în ceea ce privește datele cu caracter personal care o privesc, există o încălcare a părții 3 din DPA din 2018 (251). Comisarul pentru informații are competența de a evalua conformitatea operatorului și a persoanei împuternicite de operator cu DPA din 2018, de a le solicita să ia măsurile necesare în caz de neconformitate și de a aplica amenzi. |
| --- | --- |

(170)

În primul rând, în temeiul secțiunii 165 din DPA din 2018, o persoană vizată are dreptul de a depune o plângere la comisarul pentru informații în cazul în care persoana vizată consideră că, în ceea ce privește datele cu caracter personal care o privesc, există o încălcare a părții 3 din DPA din 2018 (251). Comisarul pentru informații are competența de a evalua conformitatea operatorului și a persoanei împuternicite de operator cu DPA din 2018, de a le solicita să ia măsurile necesare în caz de neconformitate și de a aplica amenzi.

251

| (171) | În al doilea rând, DPA din 2018 prevede dreptul la o cale de atac împotriva comisarului pentru informații dacă acesta nu tratează în mod corespunzător o plângere depusă de persoana vizată. Mai precis, în cazul în care comisarul nu „înregistrează progrese” (252) în ceea ce privește o plângere depusă de persoana vizată, reclamantul are acces la o cale de atac judiciară, deoarece acesta se poate adresa unui tribunal de primă instanță (253) pentru a obliga comisarul să ia măsurile adecvate pentru a răspunde plângerii sau pentru a informa reclamantul cu privire la progresele înregistrate cu privire la plângere (254). În plus, orice persoană căreia i se transmite oricare dintre notificările menționate (notificare de informare, de evaluare, de executare sau de sancționare) din partea comisarului poate introduce o cale de atac în fața unui tribunal de primă instanță. În cazul în care tribunalul consideră că decizia comisarului nu este conformă cu legea sau că, în ceea ce privește comisarul pentru informații, acesta ar fi trebuit să își exercite puterea de apreciere în mod diferit, tribunalul trebuie să admită calea de atac sau să înlocuiască o altă notificare sau decizie pe care comisarul pentru informații ar fi putut să o emită sau să o adopte (255). |
| --- | --- |

(171)

În al doilea rând, DPA din 2018 prevede dreptul la o cale de atac împotriva comisarului pentru informații dacă acesta nu tratează în mod corespunzător o plângere depusă de persoana vizată. Mai precis, în cazul în care comisarul nu „înregistrează progrese” (252) în ceea ce privește o plângere depusă de persoana vizată, reclamantul are acces la o cale de atac judiciară, deoarece acesta se poate adresa unui tribunal de primă instanță (253) pentru a obliga comisarul să ia măsurile adecvate pentru a răspunde plângerii sau pentru a informa reclamantul cu privire la progresele înregistrate cu privire la plângere (254). În plus, orice persoană căreia i se transmite oricare dintre notificările menționate (notificare de informare, de evaluare, de executare sau de sancționare) din partea comisarului poate introduce o cale de atac în fața unui tribunal de primă instanță. În cazul în care tribunalul consideră că decizia comisarului nu este conformă cu legea sau că, în ceea ce privește comisarul pentru informații, acesta ar fi trebuit să își exercite puterea de apreciere în mod diferit, tribunalul trebuie să admită calea de atac sau să înlocuiască o altă notificare sau decizie pe care comisarul pentru informații ar fi putut să o emită sau să o adopte (255).

252

253

254

255

| (172) | În al treilea rând, persoanele fizice pot introduce o cale de atac împotriva operatorilor și a persoanelor împuternicite de operatori direct în fața instanțelor. În special, în temeiul secțiunii 167 din DPA din 2018, o persoană vizată poate depune o cerere în fața instanței pentru încălcarea dreptului său în temeiul legislației privind protecția datelor, iar instanța poate solicita operatorului, prin intermediul unui ordin judecătoresc, să întreprindă (sau să se abțină de la a întreprinde) orice măsură în ceea ce privește prelucrarea pentru a se conforma DPA din 2018. În plus, în temeiul secțiunii 169 din DPA din 2018, orice persoană care a suferit un prejudiciu din cauza unei încălcări a unei cerințe prevăzute de legislația privind protecția datelor (inclusiv partea 3 din DPA din 2018), alta decât RGPD al Regatului Unit, are dreptul la despăgubiri din partea operatorului sau a persoanei împuternicite de operator pentru prejudiciul respectiv, cu excepția cazului în care operatorul sau persoana împuternicită de operator dovedește că operatorul sau persoana împuternicită de operator nu este responsabilă în niciun fel pentru evenimentul care a cauzat prejudiciul. Prejudiciul include atât pierderi financiare, cât și prejudicii care nu implică pierderi financiare, cum ar fi suferințele clinice. |
| --- | --- |

(172)

În al treilea rând, persoanele fizice pot introduce o cale de atac împotriva operatorilor și a persoanelor împuternicite de operatori direct în fața instanțelor. În special, în temeiul secțiunii 167 din DPA din 2018, o persoană vizată poate depune o cerere în fața instanței pentru încălcarea dreptului său în temeiul legislației privind protecția datelor, iar instanța poate solicita operatorului, prin intermediul unui ordin judecătoresc, să întreprindă (sau să se abțină de la a întreprinde) orice măsură în ceea ce privește prelucrarea pentru a se conforma DPA din 2018. În plus, în temeiul secțiunii 169 din DPA din 2018, orice persoană care a suferit un prejudiciu din cauza unei încălcări a unei cerințe prevăzute de legislația privind protecția datelor (inclusiv partea 3 din DPA din 2018), alta decât RGPD al Regatului Unit, are dreptul la despăgubiri din partea operatorului sau a persoanei împuternicite de operator pentru prejudiciul respectiv, cu excepția cazului în care operatorul sau persoana împuternicită de operator dovedește că operatorul sau persoana împuternicită de operator nu este responsabilă în niciun fel pentru evenimentul care a cauzat prejudiciul. Prejudiciul include atât pierderi financiare, cât și prejudicii care nu implică pierderi financiare, cum ar fi suferințele clinice.

| (173) | În cele din urmă, orice persoană, în măsura în care consideră că drepturile sale, inclusiv dreptul la viață privată și la protecția datelor, au fost încălcate de orice autorități publice, poate obține reparații în fața instanțelor din Regatul Unit în temeiul Legii privind drepturile omului din 1998 (256) și, după epuizarea căilor de atac naționale, o persoană fizică, o organizație neguvernamentală și grupuri de particulari pot obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate în temeiul Convenției europene a drepturilor omului (257) (a se vedea considerentul 111). |
| --- | --- |

(173)

În cele din urmă, orice persoană, în măsura în care consideră că drepturile sale, inclusiv dreptul la viață privată și la protecția datelor, au fost încălcate de orice autorități publice, poate obține reparații în fața instanțelor din Regatul Unit în temeiul Legii privind drepturile omului din 1998 (256) și, după epuizarea căilor de atac naționale, o persoană fizică, o organizație neguvernamentală și grupuri de particulari pot obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate în temeiul Convenției europene a drepturilor omului (257) (a se vedea considerentul 111).

256

257

3.2.4.1.   Mecanisme de exercitare a unei căi de atac disponibile în cadrul IPA din 2016

Mecanisme de exercitare a unei căi de atac disponibile în cadrul IPA din 2016

| (174) | Persoanele fizice pot obține reparații pentru încălcări ale IPA din 2016 în fața Tribunalului cu competențe de investigare. Căile de atac disponibile în cadrul IPA din 2016 sunt descrise în considerentele 263-269. |
| --- | --- |

(174)

Persoanele fizice pot obține reparații pentru încălcări ale IPA din 2016 în fața Tribunalului cu competențe de investigare. Căile de atac disponibile în cadrul IPA din 2016 sunt descrise în considerentele 263-269.

3.3.   Accesul și utilizarea de către autoritățile publice din Regatul Unit în scopuri de securitate națională

Accesul și utilizarea de către autoritățile publice din Regatul Unit în scopuri de securitate națională

| (175) | În ordinea juridică a Regatului Unit, serviciile de informații abilitate să colecteze informații electronice deținute de operatori sau de persoane împuternicite de operatori din motive de securitate națională, în situații relevante pentru un scenariu privind caracterul adecvat, sunt Serviciul de Securitate (258) (MI5), Serviciul Secret de Informații (259) (SIS) și Cartierul General pentru Comunicații (260) (GCHQ) (261). |
| --- | --- |

(175)

În ordinea juridică a Regatului Unit, serviciile de informații abilitate să colecteze informații electronice deținute de operatori sau de persoane împuternicite de operatori din motive de securitate națională, în situații relevante pentru un scenariu privind caracterul adecvat, sunt Serviciul de Securitate (258) (MI5), Serviciul Secret de Informații (259) (SIS) și Cartierul General pentru Comunicații (260) (GCHQ) (261).

258

259

260

261

3.3.1.   Temeiuri juridice, limitări și garanții

Temeiuri juridice, limitări și garanții

| (176) | În Regatul Unit, competențele agențiilor de informații sunt stabilite în IPA din 2016 și în RIPA din 2000, care, împreună cu DPA din 2018, definesc domeniul de aplicare material și personal al acestor competențe, precum și limitările și garanțiile pentru utilizarea acestora. Aceste competențe, precum și limitările și garanțiile aplicabile acestora, sunt evaluate în detaliu în secțiunile următoare. |
| --- | --- |

(176)

În Regatul Unit, competențele agențiilor de informații sunt stabilite în IPA din 2016 și în RIPA din 2000, care, împreună cu DPA din 2018, definesc domeniul de aplicare material și personal al acestor competențe, precum și limitările și garanțiile pentru utilizarea acestora. Aceste competențe, precum și limitările și garanțiile aplicabile acestora, sunt evaluate în detaliu în secțiunile următoare.

3.3.1.1.   Competențe de investigare exercitate în contextul securității naționale

Competențe de investigare exercitate în contextul securității naționale

| (177) | IPA din 2016 prevede cadrul juridic pentru utilizarea competențelor de investigare, și anume competența de a intercepta, de a accesa date ale comunicațiilor și de a efectua intervenții asupra echipamentelor. IPA din 2016 introduce o interdicție generală și stabilește ca infracțiune utilizarea unor tehnici care permit accesul la conținutul comunicațiilor, accesul la datele comunicațiilor sau intervenția asupra echipamentelor fără o autorizație legală (262). Acest lucru se reflectă în faptul că exercitarea acestor competențe de investigare este legală numai atunci când este efectuată pe baza unui mandat sau a unei autorizații (263). |
| --- | --- |

(177)

IPA din 2016 prevede cadrul juridic pentru utilizarea competențelor de investigare, și anume competența de a intercepta, de a accesa date ale comunicațiilor și de a efectua intervenții asupra echipamentelor. IPA din 2016 introduce o interdicție generală și stabilește ca infracțiune utilizarea unor tehnici care permit accesul la conținutul comunicațiilor, accesul la datele comunicațiilor sau intervenția asupra echipamentelor fără o autorizație legală (262). Acest lucru se reflectă în faptul că exercitarea acestor competențe de investigare este legală numai atunci când este efectuată pe baza unui mandat sau a unei autorizații (263).

262

263

| (178) | IPA din 2016 stabilește norme detaliate care reglementează domeniul de aplicare și aplicarea fiecărei competențe de investigare, precum și limitările și garanțiile specifice ale acestora. Se aplică norme diferite în funcție de tipul de competență de investigare (interceptarea comunicațiilor, achiziția și păstrarea datelor comunicațiilor și intervenția asupra echipamentelor) (264), precum și de măsura în care competența este exercitată asupra unei ținte specifice sau în masă. Detaliile privind domeniul de aplicare, garanțiile și limitările fiecărei măsuri prevăzute de IPA din 2016 sunt descrise în secțiunea specifică de mai jos. |
| --- | --- |

(178)

IPA din 2016 stabilește norme detaliate care reglementează domeniul de aplicare și aplicarea fiecărei competențe de investigare, precum și limitările și garanțiile specifice ale acestora. Se aplică norme diferite în funcție de tipul de competență de investigare (interceptarea comunicațiilor, achiziția și păstrarea datelor comunicațiilor și intervenția asupra echipamentelor) (264), precum și de măsura în care competența este exercitată asupra unei ținte specifice sau în masă. Detaliile privind domeniul de aplicare, garanțiile și limitările fiecărei măsuri prevăzute de IPA din 2016 sunt descrise în secțiunea specifică de mai jos.

264

| (179) | Mai mult, IPA din 2016 este completată de o serie de coduri statutare de bune practici, emise de secretarul de stat, aprobate de ambele camere ale Parlamentului (265) și aplicabile în întreaga țară, care furnizează orientări suplimentare cu privire la utilizarea acestor competențe (266). Deși persoanele vizate se pot baza în mod direct pe dispozițiile prevăzute în IPA din 2016 pentru a-și exercita drepturile, anexa 7 punctul 5 la IPA din 2016 precizează că codurile de bune practici sunt admisibile ca probe în procedurile civile și penale, iar instanța, tribunalul sau autoritatea de supraveghere poate lua în considerare orice neconformitate cu codurile atunci când stabilește un aspect relevant în cadrul procedurilor judiciare (267). În contextul evaluării „calității legii” cu privire la legislația anterioară a Regatului Unit în domeniul supravegherii, RIPA din 2000, Marea Cameră a Curții Europene a Drepturilor Omului a recunoscut în mod expres relevanța codurilor de bune practici din Regatul Unit și a acceptat că dispozițiile sale ar putea fi luate în considerare la evaluarea previzibilității legislației care permite supravegherea (268). |
| --- | --- |

(179)

Mai mult, IPA din 2016 este completată de o serie de coduri statutare de bune practici, emise de secretarul de stat, aprobate de ambele camere ale Parlamentului (265) și aplicabile în întreaga țară, care furnizează orientări suplimentare cu privire la utilizarea acestor competențe (266). Deși persoanele vizate se pot baza în mod direct pe dispozițiile prevăzute în IPA din 2016 pentru a-și exercita drepturile, anexa 7 punctul 5 la IPA din 2016 precizează că codurile de bune practici sunt admisibile ca probe în procedurile civile și penale, iar instanța, tribunalul sau autoritatea de supraveghere poate lua în considerare orice neconformitate cu codurile atunci când stabilește un aspect relevant în cadrul procedurilor judiciare (267). În contextul evaluării „calității legii” cu privire la legislația anterioară a Regatului Unit în domeniul supravegherii, RIPA din 2000, Marea Cameră a Curții Europene a Drepturilor Omului a recunoscut în mod expres relevanța codurilor de bune practici din Regatul Unit și a acceptat că dispozițiile sale ar putea fi luate în considerare la evaluarea previzibilității legislației care permite supravegherea (268).

265

266

267

268

| (180) | De asemenea, ar trebui remarcat faptul că agențiile de securitate națională și anumite autorități de aplicare a legii (269) dispun de competențe țintite (interceptare țintită (270), achiziția datelor comunicațiilor (271), păstrarea datelor comunicațiilor (272) și intervenția țintită asupra echipamentelor (273)), în timp ce numai serviciile de informații pot utiliza competențe în masă (și anume interceptarea în masă (274), achiziția în masă a datelor comunicațiilor (275), intervenția în masă asupra echipamentelor (276) și seturile de date cu caracter personal colectate în masă (277)). |
| --- | --- |

(180)

De asemenea, ar trebui remarcat faptul că agențiile de securitate națională și anumite autorități de aplicare a legii (269) dispun de competențe țintite (interceptare țintită (270), achiziția datelor comunicațiilor (271), păstrarea datelor comunicațiilor (272) și intervenția țintită asupra echipamentelor (273)), în timp ce numai serviciile de informații pot utiliza competențe în masă (și anume interceptarea în masă (274), achiziția în masă a datelor comunicațiilor (275), intervenția în masă asupra echipamentelor (276) și seturile de date cu caracter personal colectate în masă (277)).

269

270

271

272

273

274

275

276

277

| (181) | Pentru a decide ce competențe de investigare ar trebui utilizate, agenția de informații trebuie să respecte „obligațiile generale în ceea ce privește dreptul la viață privată” enumerate în secțiunea 2 punctul 2 litera (a) din IPA din 2016, care includ un test de necesitate și de proporționalitate. Mai precis, în temeiul acestei dispoziții, o autoritate publică având intenția de a utiliza o competență de investigare trebuie să analizeze: (i) dacă ceea ce se urmărește a fi obținut prin mandat, autorizație sau notificare ar putea fi obținut în mod rezonabil prin alte mijloace mai puțin intruzive; (ii) dacă nivelul de protecție care urmează să fie aplicat în legătură cu orice obținere de informații în temeiul mandatului, al autorizației sau al notificării este mai ridicat ca urmare a sensibilității deosebite a informațiilor respective; (iii) interesul public pentru integritatea și securitatea rețelelor de telecomunicații și a serviciilor poștale; și (iv) orice alte aspecte ale interesului public în ceea ce privește protecția vieții private (278). |
| --- | --- |

(181)

Pentru a decide ce competențe de investigare ar trebui utilizate, agenția de informații trebuie să respecte „obligațiile generale în ceea ce privește dreptul la viață privată” enumerate în secțiunea 2 punctul 2 litera (a) din IPA din 2016, care includ un test de necesitate și de proporționalitate. Mai precis, în temeiul acestei dispoziții, o autoritate publică având intenția de a utiliza o competență de investigare trebuie să analizeze: (i) dacă ceea ce se urmărește a fi obținut prin mandat, autorizație sau notificare ar putea fi obținut în mod rezonabil prin alte mijloace mai puțin intruzive; (ii) dacă nivelul de protecție care urmează să fie aplicat în legătură cu orice obținere de informații în temeiul mandatului, al autorizației sau al notificării este mai ridicat ca urmare a sensibilității deosebite a informațiilor respective; (iii) interesul public pentru integritatea și securitatea rețelelor de telecomunicații și a serviciilor poștale; și (iv) orice alte aspecte ale interesului public în ceea ce privește protecția vieții private (278).

278

| (182) | Modul în care ar trebui aplicate aceste criterii – și modul în care conformitatea lor este evaluată în cadrul autorizării utilizării acestor competențe de către secretarul de stat și de către comisarii judiciari independenți – este specificat mai în detaliu în codurile de bune practici în materie. În special, utilizarea oricăreia dintre aceste competențe de investigare trebuie să fie întotdeauna „proporțională cu ceea ce se urmărește a fi obținut, [ceea ce] implică asigurarea unui echilibru între gravitatea intruziunii în viața privată (și alte considerente prevăzute în secțiunea 2 punctul 2) și necesitatea activității din punct de vedere operațional, al investigării și al capacității”. Aceasta înseamnă în special că „ar trebui să ofere o perspectivă realistă de a aduce beneficiul scontat și nu ar trebui să fie disproporțională sau arbitrară” și „[n]icio ingerință în viața privată nu ar trebui să fie considerată proporțională dacă informațiile solicitate ar putea fi obținute în mod rezonabil prin alte mijloace mai puțin intruzive” (279). Mai precis, respectarea principiului proporționalității trebuie apreciată în funcție de următoarele criterii: „(i) amploarea ingerinței propuse în viața privată față de ceea ce se urmărește a fi obținut; (ii) modul și motivul pentru care metodele care urmează să fie adoptate vor cauza cel mai redus grad posibil de ingerință persoanei în cauză și altor persoane; (iii) dacă activitatea este o utilizare adecvată a legii și o modalitate rezonabilă, după analizarea tuturor alternativelor rezonabile, de a obține ceea ce se urmărește a fi obținut; (iv) ce alte metode, după caz, fie nu au fost puse în aplicare, fie au fost utilizate, dar care sunt evaluate ca fiind insuficiente pentru îndeplinirea obiectivelor operaționale fără utilizarea competenței de investigare propuse” (280). |
| --- | --- |

(182)

Modul în care ar trebui aplicate aceste criterii – și modul în care conformitatea lor este evaluată în cadrul autorizării utilizării acestor competențe de către secretarul de stat și de către comisarii judiciari independenți – este specificat mai în detaliu în codurile de bune practici în materie. În special, utilizarea oricăreia dintre aceste competențe de investigare trebuie să fie întotdeauna „proporțională cu ceea ce se urmărește a fi obținut, [ceea ce] implică asigurarea unui echilibru între gravitatea intruziunii în viața privată (și alte considerente prevăzute în secțiunea 2 punctul 2) și necesitatea activității din punct de vedere operațional, al investigării și al capacității”. Aceasta înseamnă în special că „ar trebui să ofere o perspectivă realistă de a aduce beneficiul scontat și nu ar trebui să fie disproporțională sau arbitrară” și „[n]icio ingerință în viața privată nu ar trebui să fie considerată proporțională dacă informațiile solicitate ar putea fi obținute în mod rezonabil prin alte mijloace mai puțin intruzive” (279). Mai precis, respectarea principiului proporționalității trebuie apreciată în funcție de următoarele criterii: „(i) amploarea ingerinței propuse în viața privată față de ceea ce se urmărește a fi obținut; (ii) modul și motivul pentru care metodele care urmează să fie adoptate vor cauza cel mai redus grad posibil de ingerință persoanei în cauză și altor persoane; (iii) dacă activitatea este o utilizare adecvată a legii și o modalitate rezonabilă, după analizarea tuturor alternativelor rezonabile, de a obține ceea ce se urmărește a fi obținut; (iv) ce alte metode, după caz, fie nu au fost puse în aplicare, fie au fost utilizate, dar care sunt evaluate ca fiind insuficiente pentru îndeplinirea obiectivelor operaționale fără utilizarea competenței de investigare propuse” (280).

279

280

| (183) | În practică, astfel cum au explicat autoritățile Regatului Unit, acest lucru asigură faptul că o agenție de informații, în primul rând, stabilește obiectivul operațional (delimitând astfel colectarea, de exemplu un scop internațional de combatere a terorismului într-o anumită zonă geografică) și, în al doilea rând, pe baza obiectivului operațional respectiv, va trebui să ia în considerare opțiunea tehnică (de exemplu interceptarea țintită sau în masă, intervenția asupra echipamentelor, achiziția de date ale comunicațiilor) cu cel mai înalt grad de proporționalitate (și anume, cea mai puțin intruzivă în viața privată; a se vedea secțiunea 2 punctul 2 din IPA) față de ceea ce se urmărește a fi obținut și, prin urmare, poate fi autorizată în temeiul uneia dintre bazele statutare disponibile. |
| --- | --- |

(183)

În practică, astfel cum au explicat autoritățile Regatului Unit, acest lucru asigură faptul că o agenție de informații, în primul rând, stabilește obiectivul operațional (delimitând astfel colectarea, de exemplu un scop internațional de combatere a terorismului într-o anumită zonă geografică) și, în al doilea rând, pe baza obiectivului operațional respectiv, va trebui să ia în considerare opțiunea tehnică (de exemplu interceptarea țintită sau în masă, intervenția asupra echipamentelor, achiziția de date ale comunicațiilor) cu cel mai înalt grad de proporționalitate (și anume, cea mai puțin intruzivă în viața privată; a se vedea secțiunea 2 punctul 2 din IPA) față de ceea ce se urmărește a fi obținut și, prin urmare, poate fi autorizată în temeiul uneia dintre bazele statutare disponibile.

| (184) | Trebuie remarcat faptul că această recurgere la standardele de necesitate și proporționalitate a fost, de asemenea, observată și salutată de Raportorul special al ONU privind dreptul la viață privată, Joseph Cannataci, care a declarat, în ceea ce privește sistemul instituit prin IPA din 2016, că „[p]rocedurile în vigoare atât în cadrul serviciilor de informații, cât și în cadrul agențiilor de aplicare a legii par să necesite în mod sistematic luarea în considerare a necesității și a proporționalității unei măsuri sau a unei operațiuni de supraveghere înainte ca aceasta să fie recomandată pentru autorizare, precum și revizuirea acesteia din aceleași motive” (281). Acesta a observat, de asemenea, că, în cadrul întâlnirii cu reprezentanții autorităților de aplicare a legii și ai agențiilor de securitate națională, „[i] s-a adus la cunoștință opinia unanim acceptată potrivit căreia dreptul la viață privată trebuie să fie un considerent primordial pentru orice decizie privind măsurile de supraveghere. Cu toții au înțeles și au apreciat necesitatea și proporționalitatea ca principii fundamentale care trebuie luate în considerare”. |
| --- | --- |

(184)

Trebuie remarcat faptul că această recurgere la standardele de necesitate și proporționalitate a fost, de asemenea, observată și salutată de Raportorul special al ONU privind dreptul la viață privată, Joseph Cannataci, care a declarat, în ceea ce privește sistemul instituit prin IPA din 2016, că „[p]rocedurile în vigoare atât în cadrul serviciilor de informații, cât și în cadrul agențiilor de aplicare a legii par să necesite în mod sistematic luarea în considerare a necesității și a proporționalității unei măsuri sau a unei operațiuni de supraveghere înainte ca aceasta să fie recomandată pentru autorizare, precum și revizuirea acesteia din aceleași motive” (281). Acesta a observat, de asemenea, că, în cadrul întâlnirii cu reprezentanții autorităților de aplicare a legii și ai agențiilor de securitate națională, „[i] s-a adus la cunoștință opinia unanim acceptată potrivit căreia dreptul la viață privată trebuie să fie un considerent primordial pentru orice decizie privind măsurile de supraveghere. Cu toții au înțeles și au apreciat necesitatea și proporționalitatea ca principii fundamentale care trebuie luate în considerare”.

281

| (185) | Criteriile specifice pentru emiterea diferitelor mandate, precum și limitările și garanțiile stabilite de IPA din 2016 în ceea ce privește fiecare competență de investigare sunt detaliate în considerentele 186-243. |
| --- | --- |

(185)

Criteriile specifice pentru emiterea diferitelor mandate, precum și limitările și garanțiile stabilite de IPA din 2016 în ceea ce privește fiecare competență de investigare sunt detaliate în considerentele 186-243.

3.3.1.1.1.   Interceptare și examinare țintită

| (186) | Există trei tipuri de mandat de interceptare țintită: mandatul de interceptare țintită (282), mandatul de examinare țintită și un mandat de asistență reciprocă (283). Condițiile pentru obținerea acestor mandate și garanțiile relevante sunt prevăzute în partea 2 capitolul 1 din IPA din 2016. |
| --- | --- |

(186)

Există trei tipuri de mandat de interceptare țintită: mandatul de interceptare țintită (282), mandatul de examinare țintită și un mandat de asistență reciprocă (283). Condițiile pentru obținerea acestor mandate și garanțiile relevante sunt prevăzute în partea 2 capitolul 1 din IPA din 2016.

282

283

| (187) | Un mandat de interceptare țintită autorizează interceptarea comunicațiilor descrise în mandat în cursul transmiterii acestora și obținerea altor date relevante pentru aceste comunicații (284), inclusiv a datelor secundare (285). Un mandat de examinare țintită autorizează o persoană să efectueze selecția pentru examinarea conținutului interceptat obținut în baza unui mandat de interceptare în masă (286). |
| --- | --- |

(187)

Un mandat de interceptare țintită autorizează interceptarea comunicațiilor descrise în mandat în cursul transmiterii acestora și obținerea altor date relevante pentru aceste comunicații (284), inclusiv a datelor secundare (285). Un mandat de examinare țintită autorizează o persoană să efectueze selecția pentru examinarea conținutului interceptat obținut în baza unui mandat de interceptare în masă (286).

284

285

286

| (188) | Orice mandat în temeiul părții 2 din IPA din 2016 poate fi emis de către secretarul de stat (287) și aprobat de un comisar judiciar (288). În toate cazurile, durata oricărui tip de mandat țintit este limitată la șase luni (289) și se aplică norme specifice privind modificarea (290) și reînnoirea (291) acestuia. |
| --- | --- |

(188)

Orice mandat în temeiul părții 2 din IPA din 2016 poate fi emis de către secretarul de stat (287) și aprobat de un comisar judiciar (288). În toate cazurile, durata oricărui tip de mandat țintit este limitată la șase luni (289) și se aplică norme specifice privind modificarea (290) și reînnoirea (291) acestuia.

287

288

289

290

291

| (189) | Înainte de emiterea mandatului, secretarul de stat trebuie să efectueze o evaluare a necesității și a proporționalității (292). Mai precis, pentru un mandat de interceptare țintită și un mandat de examinare țintită, secretarul de stat ar trebui să verifice dacă măsura este necesară pentru unul dintre următoarele motive: interesul securității naționale; prevenirea sau depistarea unei infracțiuni grave; sau interesele bunăstării economice a Regatului Unit (293)
  , în măsura în care aceste interese sunt relevante și pentru interesele de securitate națională (294). Pe de altă parte, un mandat de asistență reciprocă (a se vedea considerentul 139) poate fi emis numai în cazul în care secretarul de stat consideră că există circumstanțe echivalente cu cele în care ar emite un mandat în scopul prevenirii și/sau al depistării infracțiunilor grave (295). |
| --- | --- |

(189)

Înainte de emiterea mandatului, secretarul de stat trebuie să efectueze o evaluare a necesității și a proporționalității (292). Mai precis, pentru un mandat de interceptare țintită și un mandat de examinare țintită, secretarul de stat ar trebui să verifice dacă măsura este necesară pentru unul dintre următoarele motive: interesul securității naționale; prevenirea sau depistarea unei infracțiuni grave; sau interesele bunăstării economice a Regatului Unit (293)
  , în măsura în care aceste interese sunt relevante și pentru interesele de securitate națională (294). Pe de altă parte, un mandat de asistență reciprocă (a se vedea considerentul 139) poate fi emis numai în cazul în care secretarul de stat consideră că există circumstanțe echivalente cu cele în care ar emite un mandat în scopul prevenirii și/sau al depistării infracțiunilor grave (295).

292

293

,

294

295

| (190) | În plus, secretarul de stat ar trebui să evalueze dacă măsura este proporțională cu ceea ce se urmărește a fi obținut (296). Evaluarea proporționalității măsurilor solicitate trebuie să țină seama de obligațiile generale în ceea ce privește dreptul la viață privată prevăzute în secțiunea 2 punctul 2 din IPA din 2016, în special de necesitatea de a evalua dacă ceea ce se urmărește a fi obținut prin mandat, autorizație sau notificare ar putea fi obținut în mod rezonabil prin alte mijloace mai puțin intruzive și dacă nivelul de protecție care urmează să fie aplicată în legătură cu orice obținere de informații în temeiul mandatului este mai ridicat ca urmare a sensibilității deosebite a informațiilor respective (a se vedea considerentul 181). |
| --- | --- |

(190)

În plus, secretarul de stat ar trebui să evalueze dacă măsura este proporțională cu ceea ce se urmărește a fi obținut (296). Evaluarea proporționalității măsurilor solicitate trebuie să țină seama de obligațiile generale în ceea ce privește dreptul la viață privată prevăzute în secțiunea 2 punctul 2 din IPA din 2016, în special de necesitatea de a evalua dacă ceea ce se urmărește a fi obținut prin mandat, autorizație sau notificare ar putea fi obținut în mod rezonabil prin alte mijloace mai puțin intruzive și dacă nivelul de protecție care urmează să fie aplicată în legătură cu orice obținere de informații în temeiul mandatului este mai ridicat ca urmare a sensibilității deosebite a informațiilor respective (a se vedea considerentul 181).

296

| (191) | În acest scop, secretarul de stat va trebui să ia în considerare toate elementele cererii furnizate de autoritatea care a prezentat cererea, în special cele referitoare la persoanele care urmează să fie interceptate și relevanța măsurii pentru investigație. Aceste elemente sunt enunțate în Codul de bune practici privind interceptarea comunicațiilor și trebuie descrise la un anumit nivel de specificitate (297). În plus, secțiunea 17 din IPA din 2016 prevede că orice mandat emis în temeiul capitolului 2 din aceasta trebuie să nominalizeze sau să descrie o anumită persoană sau un grup de persoane, organizația sau sediul care urmează să fie interceptate („ținta”). În cazul unui mandat de interceptare țintită sau al unui mandat de examinare țintită, acestea se pot referi, de asemenea, la un grup de persoane, la mai multe persoane sau organizații sau la mai multe sedii (așa-numitul „mandat tematic”) (298). În aceste cazuri, mandatul ar trebui să descrie scopul comun sau activitatea comună a grupului de persoane sau a operațiunii/investigațiilor și să nominalizeze sau să descrie cât mai multe dintre aceste persoane/organizații sau sedii, în cazul în care acest lucru este rezonabil din punct de vedere practic (299). În cele din urmă, toate mandatele emise în temeiul părții 2 din IPA din 2016 trebuie să specifice adresele, numerele, aparatura, factorii sau combinația de factori care urmează să fie utilizați pentru identificarea comunicațiilor (300). În acest sens, Codul de bune practici privind interceptarea comunicațiilor precizează că, în cazul unui mandat de interceptare țintită și al unui mandat de examinare țintită, „mandatul trebuie să specifice (sau să descrie) factorii sau combinația de factori care urmează să fie utilizați pentru identificarea comunicațiilor. În cazul în care comunicațiile trebuie să fie identificate prin trimitere la un număr de telefon (de exemplu), numărul trebuie specificat prin redarea sa în întregime. Cu toate acestea, în cazul în care pentru identificarea comunicațiilor urmează să se utilizeze selectoare de internet foarte complexe sau în continuă schimbare, aceste selectoare ar trebui să fie descrise cât mai mult posibil” (301). |
| --- | --- |

(191)

În acest scop, secretarul de stat va trebui să ia în considerare toate elementele cererii furnizate de autoritatea care a prezentat cererea, în special cele referitoare la persoanele care urmează să fie interceptate și relevanța măsurii pentru investigație. Aceste elemente sunt enunțate în Codul de bune practici privind interceptarea comunicațiilor și trebuie descrise la un anumit nivel de specificitate (297). În plus, secțiunea 17 din IPA din 2016 prevede că orice mandat emis în temeiul capitolului 2 din aceasta trebuie să nominalizeze sau să descrie o anumită persoană sau un grup de persoane, organizația sau sediul care urmează să fie interceptate („ținta”). În cazul unui mandat de interceptare țintită sau al unui mandat de examinare țintită, acestea se pot referi, de asemenea, la un grup de persoane, la mai multe persoane sau organizații sau la mai multe sedii (așa-numitul „mandat tematic”) (298). În aceste cazuri, mandatul ar trebui să descrie scopul comun sau activitatea comună a grupului de persoane sau a operațiunii/investigațiilor și să nominalizeze sau să descrie cât mai multe dintre aceste persoane/organizații sau sedii, în cazul în care acest lucru este rezonabil din punct de vedere practic (299). În cele din urmă, toate mandatele emise în temeiul părții 2 din IPA din 2016 trebuie să specifice adresele, numerele, aparatura, factorii sau combinația de factori care urmează să fie utilizați pentru identificarea comunicațiilor (300). În acest sens, Codul de bune practici privind interceptarea comunicațiilor precizează că, în cazul unui mandat de interceptare țintită și al unui mandat de examinare țintită, „mandatul trebuie să specifice (sau să descrie) factorii sau combinația de factori care urmează să fie utilizați pentru identificarea comunicațiilor. În cazul în care comunicațiile trebuie să fie identificate prin trimitere la un număr de telefon (de exemplu), numărul trebuie specificat prin redarea sa în întregime. Cu toate acestea, în cazul în care pentru identificarea comunicațiilor urmează să se utilizeze selectoare de internet foarte complexe sau în continuă schimbare, aceste selectoare ar trebui să fie descrise cât mai mult posibil” (301).

297

298

299

300

301

| (192) | O garanție importantă în acest context este că evaluarea efectuată de secretarul de stat pentru emiterea unui mandat trebuie să fie aprobată de un comisar judiciar (302) independent care va verifica în special dacă decizia de emitere a mandatului respectă principiile necesității și proporționalității (303) (în ceea ce privește statutul și rolul comisarilor judiciari, a se vedea considerentele 251-256). IPA din 2016 clarifică, de asemenea, faptul că, atunci când efectuează o astfel de verificare, comisarul judiciar trebuie să aplice aceleași principii ca cele care ar fi aplicate de o instanță cu privire la o cerere de control jurisdicțional (304). Acest lucru garantează faptul că, în fiecare caz și înainte să aibă loc accesul la date, respectarea principiului necesității și proporționalității este verificată în mod sistematic de către un organism independent. |
| --- | --- |

(192)

O garanție importantă în acest context este că evaluarea efectuată de secretarul de stat pentru emiterea unui mandat trebuie să fie aprobată de un comisar judiciar (302) independent care va verifica în special dacă decizia de emitere a mandatului respectă principiile necesității și proporționalității (303) (în ceea ce privește statutul și rolul comisarilor judiciari, a se vedea considerentele 251-256). IPA din 2016 clarifică, de asemenea, faptul că, atunci când efectuează o astfel de verificare, comisarul judiciar trebuie să aplice aceleași principii ca cele care ar fi aplicate de o instanță cu privire la o cerere de control jurisdicțional (304). Acest lucru garantează faptul că, în fiecare caz și înainte să aibă loc accesul la date, respectarea principiului necesității și proporționalității este verificată în mod sistematic de către un organism independent.

302

303

304

| (193) | IPA din 2016 prevede câteva excepții specifice și limitate pentru efectuarea de interceptări țintite fără mandat. Cazurile limitate sunt detaliate în lege (305) și, cu excepția celui bazat pe „consimțământul” expeditorului/destinatarului, acestea sunt efectuate de persoane (organisme private sau publice), altele decât agențiile de securitate națională. În plus, acest tip de interceptări este efectuat în alte scopuri decât colectarea de „informații” (306) și, pentru unele dintre acestea, este foarte puțin probabil ca colectarea să poată avea loc în contextul unui scenariu de „transfer” (de exemplu, în cazul unei interceptării desfășurate într-un spital de psihiatrie sau într-o închisoare). Având în vedere natura organismului căruia i se aplică aceste cazuri specifice (diferit de agențiile de securitate națională), se vor aplica toate garanțiile prevăzute în partea 2 din DPA din 2018 și RGPD al Regatului Unit, inclusiv supravegherea ICO și mecanismele de exercitare a unei căi de atac disponibile. În plus, pe lângă garanțiile oferite de DPA din 2018, în anumite cazuri, IPA din 2016 prevede de asemenea supravegherea (307)
  ex post a IPCO. |
| --- | --- |

(193)

IPA din 2016 prevede câteva excepții specifice și limitate pentru efectuarea de interceptări țintite fără mandat. Cazurile limitate sunt detaliate în lege (305) și, cu excepția celui bazat pe „consimțământul” expeditorului/destinatarului, acestea sunt efectuate de persoane (organisme private sau publice), altele decât agențiile de securitate națională. În plus, acest tip de interceptări este efectuat în alte scopuri decât colectarea de „informații” (306) și, pentru unele dintre acestea, este foarte puțin probabil ca colectarea să poată avea loc în contextul unui scenariu de „transfer” (de exemplu, în cazul unei interceptării desfășurate într-un spital de psihiatrie sau într-o închisoare). Având în vedere natura organismului căruia i se aplică aceste cazuri specifice (diferit de agențiile de securitate națională), se vor aplica toate garanțiile prevăzute în partea 2 din DPA din 2018 și RGPD al Regatului Unit, inclusiv supravegherea ICO și mecanismele de exercitare a unei căi de atac disponibile. În plus, pe lângă garanțiile oferite de DPA din 2018, în anumite cazuri, IPA din 2016 prevede de asemenea supravegherea (307)
  ex post a IPCO.

305

306

307

ex post

| (194) | Atunci când se efectuează interceptarea, sunt aplicabile limitări și garanții suplimentare, având în vedere statutul specific al persoanei (persoanelor) interceptate (308). De exemplu, interceptarea articolelor care fac obiectul secretului profesional al avocatului este autorizată numai în prezența unor circumstanțe excepționale și imperative, iar persoana care emite mandatul trebuie să țină seama de interesul public în ceea ce privește confidențialitatea articolelor care fac obiectul secretului profesional al avocatului și de existența unor cerințe specifice pentru gestionarea, păstrarea și divulgarea unor astfel de materiale (309). |
| --- | --- |

(194)

Atunci când se efectuează interceptarea, sunt aplicabile limitări și garanții suplimentare, având în vedere statutul specific al persoanei (persoanelor) interceptate (308). De exemplu, interceptarea articolelor care fac obiectul secretului profesional al avocatului este autorizată numai în prezența unor circumstanțe excepționale și imperative, iar persoana care emite mandatul trebuie să țină seama de interesul public în ceea ce privește confidențialitatea articolelor care fac obiectul secretului profesional al avocatului și de existența unor cerințe specifice pentru gestionarea, păstrarea și divulgarea unor astfel de materiale (309).

308

309

| (195) | În plus, IPA din 2016 prevede garanții specifice legate de securitate, păstrare și divulgare pe care secretarul de stat ar trebui să le ia în considerare înainte de emiterea unui mandat țintit (310). În special, secțiunea 53 punctul 5 din IPA din 2016 prevede că fiecare copie realizată de pe oricare dintre materialele colectate în temeiul mandatului trebuie să fie stocată în condiții de siguranță și distrusă de îndată ce nu mai există motive relevante pentru a fi păstrată, în timp ce secțiunea 53 punctul 2 din IPA din 2016 impune ca numărul de persoane cărora le sunt divulgate materialele și măsura în care orice material este divulgat, pus la dispoziție sau copiat să fie limitate la minimul necesar în scopuri legale. |
| --- | --- |

(195)

În plus, IPA din 2016 prevede garanții specifice legate de securitate, păstrare și divulgare pe care secretarul de stat ar trebui să le ia în considerare înainte de emiterea unui mandat țintit (310). În special, secțiunea 53 punctul 5 din IPA din 2016 prevede că fiecare copie realizată de pe oricare dintre materialele colectate în temeiul mandatului trebuie să fie stocată în condiții de siguranță și distrusă de îndată ce nu mai există motive relevante pentru a fi păstrată, în timp ce secțiunea 53 punctul 2 din IPA din 2016 impune ca numărul de persoane cărora le sunt divulgate materialele și măsura în care orice material este divulgat, pus la dispoziție sau copiat să fie limitate la minimul necesar în scopuri legale.

310

| (196) | În cele din urmă, atunci când materialul care a fost interceptat fie printr-un mandat de interceptare țintită, fie printr-un mandat de asistență reciprocă urmează să fie transmis către o țară terță („divulgări în străinătate”), IPA din 2016 prevede că secretarul de stat trebuie să se asigure că au fost instituite mecanisme adecvate pentru a se asigura că în țara terță respectivă există garanții similare în materie de securitate, păstrare și divulgare (311). În plus, articolul 109 alineatul (2) din DPA din 2018 prevede că serviciile de informații pot transfera date cu caracter personal în afara teritoriului Regatului Unit numai dacă transferul este o măsură necesară și proporțională efectuată în scopul îndeplinirii funcțiilor statutare ale operatorului sau în alte scopuri prevăzute în secțiunea 2 punctul 2 litera (a) din Legea privind serviciul de securitate din 1989 sau în secțiunea 2 punctul 2 litera (a) și secțiunea 4 punctul 2 litera (a) din Legea privind serviciile de informații din 1994 (312). Este important de remarcat faptul că aceste cerințe se aplică, de asemenea, în cazurile în care se invocă derogarea în materie de securitate națională în temeiul secțiunii 110 din DPA din 2018, întrucât secțiunea 110 din DPA din 2018 nu enumeră secțiunea 109 din DPA din 2018 drept una dintre dispozițiile care pot să nu fie aplicate în cazul în care este necesară o derogare de la anumite dispoziții în scopul protejării securității naționale. |
| --- | --- |

(196)

În cele din urmă, atunci când materialul care a fost interceptat fie printr-un mandat de interceptare țintită, fie printr-un mandat de asistență reciprocă urmează să fie transmis către o țară terță („divulgări în străinătate”), IPA din 2016 prevede că secretarul de stat trebuie să se asigure că au fost instituite mecanisme adecvate pentru a se asigura că în țara terță respectivă există garanții similare în materie de securitate, păstrare și divulgare (311). În plus, articolul 109 alineatul (2) din DPA din 2018 prevede că serviciile de informații pot transfera date cu caracter personal în afara teritoriului Regatului Unit numai dacă transferul este o măsură necesară și proporțională efectuată în scopul îndeplinirii funcțiilor statutare ale operatorului sau în alte scopuri prevăzute în secțiunea 2 punctul 2 litera (a) din Legea privind serviciul de securitate din 1989 sau în secțiunea 2 punctul 2 litera (a) și secțiunea 4 punctul 2 litera (a) din Legea privind serviciile de informații din 1994 (312). Este important de remarcat faptul că aceste cerințe se aplică, de asemenea, în cazurile în care se invocă derogarea în materie de securitate națională în temeiul secțiunii 110 din DPA din 2018, întrucât secțiunea 110 din DPA din 2018 nu enumeră secțiunea 109 din DPA din 2018 drept una dintre dispozițiile care pot să nu fie aplicate în cazul în care este necesară o derogare de la anumite dispoziții în scopul protejării securității naționale.

311

312

3.3.1.1.2.   Achiziția țintită și păstrarea datelor comunicațiilor

| (197) | IPA din 2016 permite secretarului de stat să solicite operatorilor de telecomunicații să păstreze datele comunicațiilor în scopul accesului țintit al unei serii de autorități publice, inclusiv al agențiilor de aplicare a legii și al serviciilor de informații. Partea 4 din IPA din 2016 prevede păstrarea datelor comunicațiilor, în timp ce partea 3 prevede achiziția țintită a datelor comunicațiilor (TCD). Partea 3 și partea 4 din IPA din 2016 stabilesc, de asemenea, limitări specifice privind utilizarea acestor competențe și prevăd garanții specifice. |
| --- | --- |

(197)

IPA din 2016 permite secretarului de stat să solicite operatorilor de telecomunicații să păstreze datele comunicațiilor în scopul accesului țintit al unei serii de autorități publice, inclusiv al agențiilor de aplicare a legii și al serviciilor de informații. Partea 4 din IPA din 2016 prevede păstrarea datelor comunicațiilor, în timp ce partea 3 prevede achiziția țintită a datelor comunicațiilor (TCD). Partea 3 și partea 4 din IPA din 2016 stabilesc, de asemenea, limitări specifice privind utilizarea acestor competențe și prevăd garanții specifice.

| (198) | Termenul „date ale comunicațiilor” se referă la „cine”, „când”, „unde” și „cum” aferente unei comunicații, dar nu și la conținut, și anume ceea ce s-a spus sau s-a scris. Spre deosebire de interceptare, achiziția și păstrarea datelor comunicațiilor nu au ca scop obținerea conținutului comunicației, ci vizează obținerea de informații precum abonatul la un serviciu telefonic sau o factură detaliată. Aceasta ar putea include ora și durata comunicației, numărul sau adresa de e-mail a emitentului și a destinatarului și, uneori, localizarea dispozitivelor de la care a fost efectuată telecomunicația (313). |
| --- | --- |

(198)

Termenul „date ale comunicațiilor” se referă la „cine”, „când”, „unde” și „cum” aferente unei comunicații, dar nu și la conținut, și anume ceea ce s-a spus sau s-a scris. Spre deosebire de interceptare, achiziția și păstrarea datelor comunicațiilor nu au ca scop obținerea conținutului comunicației, ci vizează obținerea de informații precum abonatul la un serviciu telefonic sau o factură detaliată. Aceasta ar putea include ora și durata comunicației, numărul sau adresa de e-mail a emitentului și a destinatarului și, uneori, localizarea dispozitivelor de la care a fost efectuată telecomunicația (313).

313

| (199) | Ar trebui remarcat faptul că păstrarea și achiziția datelor comunicațiilor nu se referă, în mod normal, la datele cu caracter personal ale persoanelor vizate din UE transferate în temeiul prezentei decizii către Regatul Unit. Obligația de a păstra sau de a divulga date ale comunicațiilor în temeiul părților 3 și 4 din IPA din 2016 se referă la datele care sunt colectate de operatorii de telecomunicații din Regatul Unit direct de la utilizatorii unui serviciu de telecomunicații (314). Acest tip de prelucrare „orientată către client” nu implică, de regulă, un transfer în temeiul prezentei decizii, și anume un transfer de la un operator/o persoană împuternicită de operator din UE către un operator/o persoană împuternicită de operator din Regatul Unit. |
| --- | --- |

(199)

Ar trebui remarcat faptul că păstrarea și achiziția datelor comunicațiilor nu se referă, în mod normal, la datele cu caracter personal ale persoanelor vizate din UE transferate în temeiul prezentei decizii către Regatul Unit. Obligația de a păstra sau de a divulga date ale comunicațiilor în temeiul părților 3 și 4 din IPA din 2016 se referă la datele care sunt colectate de operatorii de telecomunicații din Regatul Unit direct de la utilizatorii unui serviciu de telecomunicații (314). Acest tip de prelucrare „orientată către client” nu implică, de regulă, un transfer în temeiul prezentei decizii, și anume un transfer de la un operator/o persoană împuternicită de operator din UE către un operator/o persoană împuternicită de operator din Regatul Unit.

314

| (200) | Cu toate acestea, din motive de exhaustivitate, condițiile și garanțiile care reglementează aceste regimuri de achiziție și păstrare sunt analizate în considerentele următoare. |
| --- | --- |

(200)

Cu toate acestea, din motive de exhaustivitate, condițiile și garanțiile care reglementează aceste regimuri de achiziție și păstrare sunt analizate în considerentele următoare.

| (201) | Ca premisă, trebuie remarcat faptul că păstrarea și achiziția țintită a datelor privind comunicațiile sunt disponibile atât pentru agențiile de securitate națională, cât și pentru anumite autorități de aplicare a legii (315). Condițiile de solicitare a păstrării și/sau a achiziției datelor privind comunicațiile pot varia în funcție de motivul solicitării măsurii, și anume securitatea națională sau asigurarea respectării legii. |
| --- | --- |

(201)

Ca premisă, trebuie remarcat faptul că păstrarea și achiziția țintită a datelor privind comunicațiile sunt disponibile atât pentru agențiile de securitate națională, cât și pentru anumite autorități de aplicare a legii (315). Condițiile de solicitare a păstrării și/sau a achiziției datelor privind comunicațiile pot varia în funcție de motivul solicitării măsurii, și anume securitatea națională sau asigurarea respectării legii.

315

| (202) | În special, deși noul regim a introdus cerința generală privind autorizarea ex ante de către un organism independent care se va aplica în toate cazurile în care datele comunicațiilor sunt păstrate și/sau obținute (fie în scopul asigurării respectării legii, fie în scopuri de securitate națională), în urma hotărârii pronunțate de Curtea Europeană de Justiție în cauza Tele2/Watson (316), au fost introduse garanții specifice atunci când măsura este solicitată în scopul asigurării respectării legii. În special, în cazul în care păstrarea sau achiziția datelor comunicațiilor este solicitată în scopul asigurării respectării legii, autorizarea ex ante trebuie să fie întotdeauna acordată de către comisarul pentru competențe de investigare. Acest lucru nu se întâmplă întotdeauna atunci când măsura este solicitată în scopul securității naționale, deoarece, astfel cum se descrie mai jos, în anumite cazuri, un astfel de tip de măsuri poate fi autorizat de diferite „persoane care acordă autorizația”. În plus, noul regim a ridicat la „infracțiuni grave” pragul pentru care pot fi permise păstrarea și achiziția datelor comunicațiilor (317). |
| --- | --- |

(202)

În special, deși noul regim a introdus cerința generală privind autorizarea ex ante de către un organism independent care se va aplica în toate cazurile în care datele comunicațiilor sunt păstrate și/sau obținute (fie în scopul asigurării respectării legii, fie în scopuri de securitate națională), în urma hotărârii pronunțate de Curtea Europeană de Justiție în cauza Tele2/Watson (316), au fost introduse garanții specifice atunci când măsura este solicitată în scopul asigurării respectării legii. În special, în cazul în care păstrarea sau achiziția datelor comunicațiilor este solicitată în scopul asigurării respectării legii, autorizarea ex ante trebuie să fie întotdeauna acordată de către comisarul pentru competențe de investigare. Acest lucru nu se întâmplă întotdeauna atunci când măsura este solicitată în scopul securității naționale, deoarece, astfel cum se descrie mai jos, în anumite cazuri, un astfel de tip de măsuri poate fi autorizat de diferite „persoane care acordă autorizația”. În plus, noul regim a ridicat la „infracțiuni grave” pragul pentru care pot fi permise păstrarea și achiziția datelor comunicațiilor (317).

ex ante

316

ex ante

317

(i)   Autorizarea pentru obținerea datelor comunicațiilor

Autorizarea pentru obținerea datelor comunicațiilor

| (203) | În conformitate cu partea 3 din IPA din 2016, autoritățile publice relevante sunt autorizate să obțină date ale comunicațiilor de la un operator de telecomunicații sau de la orice persoană care poate obține și divulga astfel de date. Autorizația poate să nu permită interceptarea conținutului comunicațiilor (318) și încetează să producă efecte după o perioadă de o lună (319), cu posibilitatea de a fi reînnoită sub rezerva unei autorizații suplimentare (320). Achiziția de date ale comunicațiilor necesită o autorizație din partea comisarului pentru competențe de investigare (IPC) (321) (pentru statutul și competențele IPC, a se vedea considerentele 250-251). Acest lucru este valabil întotdeauna atunci când achiziția de date ale comunicațiilor este solicitată de o autoritate relevantă de aplicare a legii. Cu toate acestea, în conformitate cu secțiunea 61 din IPA din 2016, atunci când datele sunt obținute în interesul securității naționale sau al bunăstării economice a Regatului Unit, atât timp cât acestea sunt relevante pentru securitatea națională, sau în cazul în care o cerere este depusă de un membru al unei agenții de informații în temeiul secțiunii 61 punctul 7 litera (b) (322), achiziția poate fi (323) autorizată alternativ de către IPC sau de către un funcționar superior desemnat (324). Funcționarul desemnat trebuie să fie independent de investigația sau operațiunea în cauză și să dețină cunoștințe practice privind principiile și legislația în domeniul drepturilor omului, în special cele privind necesitatea și proporționalitatea (325). Decizia luată de funcționarul desemnat va face obiectul supravegherii ex post efectuate de IPC (a se vedea considerentul 254 pentru mai multe detalii privind funcțiile de supraveghere ex post ale IPC). |
| --- | --- |

(203)

În conformitate cu partea 3 din IPA din 2016, autoritățile publice relevante sunt autorizate să obțină date ale comunicațiilor de la un operator de telecomunicații sau de la orice persoană care poate obține și divulga astfel de date. Autorizația poate să nu permită interceptarea conținutului comunicațiilor (318) și încetează să producă efecte după o perioadă de o lună (319), cu posibilitatea de a fi reînnoită sub rezerva unei autorizații suplimentare (320). Achiziția de date ale comunicațiilor necesită o autorizație din partea comisarului pentru competențe de investigare (IPC) (321) (pentru statutul și competențele IPC, a se vedea considerentele 250-251). Acest lucru este valabil întotdeauna atunci când achiziția de date ale comunicațiilor este solicitată de o autoritate relevantă de aplicare a legii. Cu toate acestea, în conformitate cu secțiunea 61 din IPA din 2016, atunci când datele sunt obținute în interesul securității naționale sau al bunăstării economice a Regatului Unit, atât timp cât acestea sunt relevante pentru securitatea națională, sau în cazul în care o cerere este depusă de un membru al unei agenții de informații în temeiul secțiunii 61 punctul 7 litera (b) (322), achiziția poate fi (323) autorizată alternativ de către IPC sau de către un funcționar superior desemnat (324). Funcționarul desemnat trebuie să fie independent de investigația sau operațiunea în cauză și să dețină cunoștințe practice privind principiile și legislația în domeniul drepturilor omului, în special cele privind necesitatea și proporționalitatea (325). Decizia luată de funcționarul desemnat va face obiectul supravegherii ex post efectuate de IPC (a se vedea considerentul 254 pentru mai multe detalii privind funcțiile de supraveghere ex post ale IPC).

318

319

320

321

322

323

324

325

ex post

ex post

| (204) | Autorizația de a obține date ale comunicațiilor se bazează pe o evaluare a necesității și proporționalității măsurii. Mai precis, necesitatea măsurii este evaluată în lumina motivelor enumerate în legislație (326). Având în vedere caracterul specific al acestei măsuri, aceasta trebuie, de asemenea, să fie necesară pentru o investigație sau o operațiune specifică (327). Cerințe suplimentare privind evaluarea necesității măsurilor sunt prevăzute în Codul de bune practici privind datele comunicațiilor (328). În special, acest cod prevede că cererea depusă de autoritatea solicitantă ar trebui să identifice trei elemente minime pentru a justifica necesitatea acestei cereri: (i) evenimentul care face obiectul investigației, cum ar fi o infracțiune sau localizarea unei persoane dispărute vulnerabile; (ii) persoana ale cărei date sunt solicitate, cum ar fi un suspect, un martor sau o persoană dispărută, și modul în care acestea sunt legate de eveniment; și (iii) datele comunicațiilor solicitate, cum ar fi un număr de telefon sau o adresă IP, precum și modul în care aceste date sunt legate de persoana în cauză și de eveniment (329). |
| --- | --- |

(204)

Autorizația de a obține date ale comunicațiilor se bazează pe o evaluare a necesității și proporționalității măsurii. Mai precis, necesitatea măsurii este evaluată în lumina motivelor enumerate în legislație (326). Având în vedere caracterul specific al acestei măsuri, aceasta trebuie, de asemenea, să fie necesară pentru o investigație sau o operațiune specifică (327). Cerințe suplimentare privind evaluarea necesității măsurilor sunt prevăzute în Codul de bune practici privind datele comunicațiilor (328). În special, acest cod prevede că cererea depusă de autoritatea solicitantă ar trebui să identifice trei elemente minime pentru a justifica necesitatea acestei cereri: (i) evenimentul care face obiectul investigației, cum ar fi o infracțiune sau localizarea unei persoane dispărute vulnerabile; (ii) persoana ale cărei date sunt solicitate, cum ar fi un suspect, un martor sau o persoană dispărută, și modul în care acestea sunt legate de eveniment; și (iii) datele comunicațiilor solicitate, cum ar fi un număr de telefon sau o adresă IP, precum și modul în care aceste date sunt legate de persoana în cauză și de eveniment (329).

326

327

328

329

| (205) | În plus, achiziția de date ale comunicațiilor trebuie să fie proporțională cu ceea ce se urmărește a fi obținut (330). Codul de bune practici privind datele comunicațiilor clarifică faptul că, atunci când efectuează o astfel de evaluare, persoana care acordă autorizația ar trebui să efectueze un exercițiu de echilibru între „amploarea ingerinței în drepturile și libertățile unei persoane și un beneficiu concret pentru investigația sau operațiunea efectuată de o autoritate publică relevantă în interes public” și că, ținând seama de toate considerentele unui anumit caz, „o ingerință în drepturile unei persoane poate să nu fie încă justificată deoarece impactul negativ asupra drepturilor unei alte persoane sau ale unui grup de persoane este prea puternic”. Mai mult, pentru a evalua în mod specific proporționalitatea măsurii, codul enumeră o serie de elemente care ar trebui incluse în cererea depusă de autoritatea solicitantă (331). În plus, trebuie să se acorde o atenție deosebită tipului de date ale comunicațiilor (date referitoare la „entitate” sau la „evenimente” (332)) care urmează să fie obținute și trebuie să se acorde prioritate utilizării categoriei de date mai puțin intruzive (333). Codul de bune practici privind datele comunicațiilor conține, de asemenea, instrucțiuni specifice pentru autorizațiile care implică date ale comunicațiilor aparținând persoanelor din anumite profesii (cum ar fi medici, avocați, jurnaliști, parlamentari sau preoți) (334) care fac obiectul unor garanții suplimentare (335). |
| --- | --- |

(205)

În plus, achiziția de date ale comunicațiilor trebuie să fie proporțională cu ceea ce se urmărește a fi obținut (330). Codul de bune practici privind datele comunicațiilor clarifică faptul că, atunci când efectuează o astfel de evaluare, persoana care acordă autorizația ar trebui să efectueze un exercițiu de echilibru între „amploarea ingerinței în drepturile și libertățile unei persoane și un beneficiu concret pentru investigația sau operațiunea efectuată de o autoritate publică relevantă în interes public” și că, ținând seama de toate considerentele unui anumit caz, „o ingerință în drepturile unei persoane poate să nu fie încă justificată deoarece impactul negativ asupra drepturilor unei alte persoane sau ale unui grup de persoane este prea puternic”. Mai mult, pentru a evalua în mod specific proporționalitatea măsurii, codul enumeră o serie de elemente care ar trebui incluse în cererea depusă de autoritatea solicitantă (331). În plus, trebuie să se acorde o atenție deosebită tipului de date ale comunicațiilor (date referitoare la „entitate” sau la „evenimente” (332)) care urmează să fie obținute și trebuie să se acorde prioritate utilizării categoriei de date mai puțin intruzive (333). Codul de bune practici privind datele comunicațiilor conține, de asemenea, instrucțiuni specifice pentru autorizațiile care implică date ale comunicațiilor aparținând persoanelor din anumite profesii (cum ar fi medici, avocați, jurnaliști, parlamentari sau preoți) (334) care fac obiectul unor garanții suplimentare (335).

330

331

332

333

334

335

(ii)   Notificare prin care se solicită păstrarea datelor comunicațiilor

Notificare prin care se solicită păstrarea datelor comunicațiilor

| (206) | Partea 4 din IPA din 2016 stabilește normele privind păstrarea datelor comunicațiilor, în special criteriile care permit secretarului de stat să emită o notificare de păstrare (336). Garanțiile introduse de IPA sunt identice atunci când datele sunt păstrate fie în scopul asigurării respectării legii, fie în interesul securității naționale. |
| --- | --- |

(206)

Partea 4 din IPA din 2016 stabilește normele privind păstrarea datelor comunicațiilor, în special criteriile care permit secretarului de stat să emită o notificare de păstrare (336). Garanțiile introduse de IPA sunt identice atunci când datele sunt păstrate fie în scopul asigurării respectării legii, fie în interesul securității naționale.

336

| (207) | Emiterea acestor notificări de păstrare are scopul de a garanta că operatorii de telecomunicații păstrează, pentru o perioadă maximă de 12 luni, datele relevante ale comunicațiilor care altfel ar fi șterse atunci când nu mai sunt necesare în scopuri comerciale (337). Datele păstrate trebuie să rămână disponibile pe perioada necesară în cazul în care, ulterior, este necesar ca o autoritate publică să le obțină în temeiul unei autorizații pentru achiziția țintită de date ale comunicațiilor prevăzute în partea 3 din IPA din 2016 și descrise în considerentele 203-205. |
| --- | --- |

(207)

Emiterea acestor notificări de păstrare are scopul de a garanta că operatorii de telecomunicații păstrează, pentru o perioadă maximă de 12 luni, datele relevante ale comunicațiilor care altfel ar fi șterse atunci când nu mai sunt necesare în scopuri comerciale (337). Datele păstrate trebuie să rămână disponibile pe perioada necesară în cazul în care, ulterior, este necesar ca o autoritate publică să le obțină în temeiul unei autorizații pentru achiziția țintită de date ale comunicațiilor prevăzute în partea 3 din IPA din 2016 și descrise în considerentele 203-205.

337

| (208) | Exercitarea competenței de a solicita păstrarea anumitor date este supusă unei serii de limitări și garanții. Secretarul de stat poate emite o notificare de păstrare adresată unuia sau mai multor operatori (338) numai atunci când consideră că cerința de păstrare a datelor este necesară pentru unul dintre motivele legale (339) și este proporțională cu ceea ce se urmărește a fi obținut (340). Astfel cum a fost clarificat chiar de IPA din 2016 (341), înainte de a emite o notificare de păstrare, secretarul de stat trebuie să țină seama de: beneficiile probabile ale notificării (342); o descriere a serviciilor de telecomunicații; oportunitatea limitării datelor care urmează să fie păstrate în funcție de locație sau descrieri ale persoanelor cărora le sunt furnizate servicii de telecomunicații (343); numărul probabil de utilizatori (dacă se cunoaște) ai oricărui serviciu de telecomunicații la care se referă notificarea (344); fezabilitatea tehnică a respectării notificării; costul probabil al respectării notificării și orice alt efect al notificării asupra operatorului de telecomunicații (sau a descrierii operatorilor) la care se referă (345). După cum se precizează mai departe în capitolul 17 din Codul de bune practici privind datele comunicațiilor, toate notificările de păstrare trebuie să specifice fiecare tip de date care trebuie păstrate și modul în care respectivul tip de date îndeplinește testele necesare pentru păstrare. |
| --- | --- |

(208)

Exercitarea competenței de a solicita păstrarea anumitor date este supusă unei serii de limitări și garanții. Secretarul de stat poate emite o notificare de păstrare adresată unuia sau mai multor operatori (338) numai atunci când consideră că cerința de păstrare a datelor este necesară pentru unul dintre motivele legale (339) și este proporțională cu ceea ce se urmărește a fi obținut (340). Astfel cum a fost clarificat chiar de IPA din 2016 (341), înainte de a emite o notificare de păstrare, secretarul de stat trebuie să țină seama de: beneficiile probabile ale notificării (342); o descriere a serviciilor de telecomunicații; oportunitatea limitării datelor care urmează să fie păstrate în funcție de locație sau descrieri ale persoanelor cărora le sunt furnizate servicii de telecomunicații (343); numărul probabil de utilizatori (dacă se cunoaște) ai oricărui serviciu de telecomunicații la care se referă notificarea (344); fezabilitatea tehnică a respectării notificării; costul probabil al respectării notificării și orice alt efect al notificării asupra operatorului de telecomunicații (sau a descrierii operatorilor) la care se referă (345). După cum se precizează mai departe în capitolul 17 din Codul de bune practici privind datele comunicațiilor, toate notificările de păstrare trebuie să specifice fiecare tip de date care trebuie păstrate și modul în care respectivul tip de date îndeplinește testele necesare pentru păstrare.

338

339

340

341

342

343

344

345

| (209) | În toate cazurile (atât în scopuri de securitate națională, cât și de asigurare a respectării legii), decizia secretarului de stat de a emite notificarea de păstrare trebuie să fie aprobată de un comisar judiciar independent în cadrul așa-numitei „proceduri de protecție dublă”, care trebuie să verifice în special dacă notificarea de păstrare a datelor relevante ale comunicațiilor este necesară și proporțională pentru unul sau mai multe dintre scopurile statutare (346). |
| --- | --- |

(209)

În toate cazurile (atât în scopuri de securitate națională, cât și de asigurare a respectării legii), decizia secretarului de stat de a emite notificarea de păstrare trebuie să fie aprobată de un comisar judiciar independent în cadrul așa-numitei „proceduri de protecție dublă”, care trebuie să verifice în special dacă notificarea de păstrare a datelor relevante ale comunicațiilor este necesară și proporțională pentru unul sau mai multe dintre scopurile statutare (346).

346

3.3.1.1.3.   Intervenția asupra echipamentelor

| (210) | Intervenția asupra echipamentelor reprezintă un set de tehnici utilizate pentru a obține o varietate de date de la echipamente (347), care includ calculatoare, tablete și telefoane inteligente, precum și cabluri, fire și dispozitive de stocare (348). Intervenția asupra echipamentelor permite obținerea atât a conținutului comunicațiilor, cât și a datelor referitoare la echipamente (349). |
| --- | --- |

(210)

Intervenția asupra echipamentelor reprezintă un set de tehnici utilizate pentru a obține o varietate de date de la echipamente (347), care includ calculatoare, tablete și telefoane inteligente, precum și cabluri, fire și dispozitive de stocare (348). Intervenția asupra echipamentelor permite obținerea atât a conținutului comunicațiilor, cât și a datelor referitoare la echipamente (349).

347

348

349

| (211) | În conformitate cu secțiunea 13 punctul 1 din IPA din 2016, pentru intervenția asupra echipamentelor de către un serviciu de informații, este necesară o autorizație prin intermediul unui mandat în cadrul procedurii de „protecție dublă” instituite de IPA din 2016, cu condiția să existe o „legătură cu Insulele Britanice” (350). Conform explicațiilor furnizate de autoritățile Regatului Unit, în situațiile în care datele sunt transferate din Uniunea Europeană către Regatul Unit în cadrul domeniului de aplicare al prezentei decizii, ar exista întotdeauna o „legătură cu Insulele Britanice” și orice intervenție asupra echipamentelor care acoperă astfel de date ar face, prin urmare, obiectul cerinței obligatorii referitoare la mandat din secțiunea 13 punctul 1 din IPA din 2016 (351). |
| --- | --- |

(211)

În conformitate cu secțiunea 13 punctul 1 din IPA din 2016, pentru intervenția asupra echipamentelor de către un serviciu de informații, este necesară o autorizație prin intermediul unui mandat în cadrul procedurii de „protecție dublă” instituite de IPA din 2016, cu condiția să existe o „legătură cu Insulele Britanice” (350). Conform explicațiilor furnizate de autoritățile Regatului Unit, în situațiile în care datele sunt transferate din Uniunea Europeană către Regatul Unit în cadrul domeniului de aplicare al prezentei decizii, ar exista întotdeauna o „legătură cu Insulele Britanice” și orice intervenție asupra echipamentelor care acoperă astfel de date ar face, prin urmare, obiectul cerinței obligatorii referitoare la mandat din secțiunea 13 punctul 1 din IPA din 2016 (351).

350

351

| (212) | Normele privind mandatele de intervenție țintită asupra echipamentelor sunt prevăzute în partea 5 din IPA din 2016. La fel ca interceptarea țintită, intervenția țintită asupra echipamentelor trebuie să se refere la o anumită „țintă” care trebuie să fie specificată în mandat (352). Detaliile privind modul în care trebuie identificată o „țintă” depind de problematică și de tipul de echipament asupra căruia urmează să se intervină. În special secțiunea 115 punctul 3 din IPA precizează elementele care ar trebui incluse în mandat (de exemplu, numele persoanei sau denumirea organizației, descrierea locului), în funcție, de exemplu, de faptul dacă intervenția se referă la un echipament care aparține, este utilizat sau se află în posesia unei anumite persoane, a unei organizații sau a unui grup de persoane, se află într-un anumit loc etc. (353) Scopurile pentru care pot fi emise mandate de intervenție țintită asupra echipamentelor depind de autoritatea publică solicitantă (354). |
| --- | --- |

(212)

Normele privind mandatele de intervenție țintită asupra echipamentelor sunt prevăzute în partea 5 din IPA din 2016. La fel ca interceptarea țintită, intervenția țintită asupra echipamentelor trebuie să se refere la o anumită „țintă” care trebuie să fie specificată în mandat (352). Detaliile privind modul în care trebuie identificată o „țintă” depind de problematică și de tipul de echipament asupra căruia urmează să se intervină. În special secțiunea 115 punctul 3 din IPA precizează elementele care ar trebui incluse în mandat (de exemplu, numele persoanei sau denumirea organizației, descrierea locului), în funcție, de exemplu, de faptul dacă intervenția se referă la un echipament care aparține, este utilizat sau se află în posesia unei anumite persoane, a unei organizații sau a unui grup de persoane, se află într-un anumit loc etc. (353) Scopurile pentru care pot fi emise mandate de intervenție țintită asupra echipamentelor depind de autoritatea publică solicitantă (354).

352

353

354

| (213) | La fel ca interceptarea țintită, autoritatea emitentă trebuie să analizeze dacă măsura este necesară pentru atingerea unui anumit scop și dacă este proporțională cu ceea ce se urmărește a fi obținut (355). În plus, aceasta ar trebui să analizeze, de asemenea, dacă există garanții în ceea ce privește securitatea, păstrarea și divulgarea, precum și în ceea ce privește „divulgarea în străinătate” (356) (a se vedea considerentul 196). |
| --- | --- |

(213)

La fel ca interceptarea țintită, autoritatea emitentă trebuie să analizeze dacă măsura este necesară pentru atingerea unui anumit scop și dacă este proporțională cu ceea ce se urmărește a fi obținut (355). În plus, aceasta ar trebui să analizeze, de asemenea, dacă există garanții în ceea ce privește securitatea, păstrarea și divulgarea, precum și în ceea ce privește „divulgarea în străinătate” (356) (a se vedea considerentul 196).

355

356

| (214) | Mandatul trebuie să fie aprobat de un comisar judiciar, cu excepția cazurilor de urgență (357). În acest din urmă caz, un comisar judiciar trebuie să fie informat că a fost emis un mandat, iar acesta trebuie să îl aprobe în termen de trei zile lucrătoare. În cazul în care comisarul judiciar refuză să îl aprobe, mandatul încetează să mai producă efecte și nu poate fi reînnoit (358). În plus, comisarul judiciar are competența de a solicita ștergerea (359) oricăror date care au fost obținute în temeiul mandatului. Faptul că un mandat a fost emis de urgență nu afectează supravegherea ex post (a se vedea considerentele 244-255) sau posibilitățile persoanelor fizice de a obține reparații (a se vedea considerentele 260-270). Persoanele fizice pot depune o plângere la ICO sau pot depune o plângere cu privire la orice presupus comportament la Tribunalul cu competențe de investigare în modul obișnuit. În toate cazurile, testul aplicat de comisarul judiciar atunci când decide dacă să aprobe sau nu un mandat este testul de necesitate și proporționalitate aplicabil cererilor de interceptare țintită (360) (a se vedea considerentul 192). |
| --- | --- |

(214)

Mandatul trebuie să fie aprobat de un comisar judiciar, cu excepția cazurilor de urgență (357). În acest din urmă caz, un comisar judiciar trebuie să fie informat că a fost emis un mandat, iar acesta trebuie să îl aprobe în termen de trei zile lucrătoare. În cazul în care comisarul judiciar refuză să îl aprobe, mandatul încetează să mai producă efecte și nu poate fi reînnoit (358). În plus, comisarul judiciar are competența de a solicita ștergerea (359) oricăror date care au fost obținute în temeiul mandatului. Faptul că un mandat a fost emis de urgență nu afectează supravegherea ex post (a se vedea considerentele 244-255) sau posibilitățile persoanelor fizice de a obține reparații (a se vedea considerentele 260-270). Persoanele fizice pot depune o plângere la ICO sau pot depune o plângere cu privire la orice presupus comportament la Tribunalul cu competențe de investigare în modul obișnuit. În toate cazurile, testul aplicat de comisarul judiciar atunci când decide dacă să aprobe sau nu un mandat este testul de necesitate și proporționalitate aplicabil cererilor de interceptare țintită (360) (a se vedea considerentul 192).

357

358

359

ex post

360

| (215) | În cele din urmă, garanțiile specifice aplicabile interceptării țintite se aplică, de asemenea, intervenției asupra echipamentelor în ceea ce privește durata, reînnoirea și modificarea mandatului, precum și interceptării membrilor Parlamentului, a articolelor care fac obiectul secretului profesional al avocatului și a materialelor jurnalistice (a se vedea mai multe detalii în considerentul 193). |
| --- | --- |

(215)

În cele din urmă, garanțiile specifice aplicabile interceptării țintite se aplică, de asemenea, intervenției asupra echipamentelor în ceea ce privește durata, reînnoirea și modificarea mandatului, precum și interceptării membrilor Parlamentului, a articolelor care fac obiectul secretului profesional al avocatului și a materialelor jurnalistice (a se vedea mai multe detalii în considerentul 193).

3.3.1.1.4.   Exercitarea competențelor în masă

| (216) | Competențele în masă sunt reglementate în partea 6 din IPA din 2016. În plus, codurile de bune practici prevăd mai multe detalii cu privire la utilizarea competențelor în masă. Deși în legislația Regatului Unit nu există nicio definiție a „competenței în masă”, în contextul IPA din 2016, aceasta a fost descrisă ca fiind colectarea și păstrarea unor volume mari de date obținute de guvern prin diverse mijloace (și anume, competențele de interceptare în masă, achiziție în masă, intervenție în masă asupra echipamentelor și seturi de date cu caracter personal colectate în masă) și care pot fi accesate ulterior de către autorități. Această descriere este clarificată prin comparare cu ceea ce nu reprezintă „competența în masă”: aceasta nu echivalează cu așa-numita „supraveghere în masă” fără limitări sau garanții. Dimpotrivă, astfel cum se explică mai jos, aceasta include limitări și garanții menite să asigure că accesul la date nu este acordat în mod nediscriminatoriu sau nejustificat (361). În special, competențele în masă pot fi utilizate numai dacă se stabilește o legătură între măsura tehnică pe care o agenție națională de informații intenționează să o utilizeze și obiectivul operațional pentru care se solicită o astfel de măsură. |
| --- | --- |

(216)

Competențele în masă sunt reglementate în partea 6 din IPA din 2016. În plus, codurile de bune practici prevăd mai multe detalii cu privire la utilizarea competențelor în masă. Deși în legislația Regatului Unit nu există nicio definiție a „competenței în masă”, în contextul IPA din 2016, aceasta a fost descrisă ca fiind colectarea și păstrarea unor volume mari de date obținute de guvern prin diverse mijloace (și anume, competențele de interceptare în masă, achiziție în masă, intervenție în masă asupra echipamentelor și seturi de date cu caracter personal colectate în masă) și care pot fi accesate ulterior de către autorități. Această descriere este clarificată prin comparare cu ceea ce nu reprezintă „competența în masă”: aceasta nu echivalează cu așa-numita „supraveghere în masă” fără limitări sau garanții. Dimpotrivă, astfel cum se explică mai jos, aceasta include limitări și garanții menite să asigure că accesul la date nu este acordat în mod nediscriminatoriu sau nejustificat (361). În special, competențele în masă pot fi utilizate numai dacă se stabilește o legătură între măsura tehnică pe care o agenție națională de informații intenționează să o utilizeze și obiectivul operațional pentru care se solicită o astfel de măsură.

361

| (217) | În plus, competențele în masă sunt disponibile numai agențiilor de informații și fac întotdeauna obiectul unui mandat emis de secretarul de stat și aprobat de un comisar judiciar. La alegerea mijloacelor de colectare a informațiilor, trebuie să se ia în considerare dacă obiectivul în cauză poate fi urmărit prin „mijloace mai puțin intruzive” (362). Această abordare decurge din cadrul legislației care se bazează pe principiul proporționalității și, prin urmare, acordă prioritate colectării țintite față de colectarea în masă. |
| --- | --- |

(217)

În plus, competențele în masă sunt disponibile numai agențiilor de informații și fac întotdeauna obiectul unui mandat emis de secretarul de stat și aprobat de un comisar judiciar. La alegerea mijloacelor de colectare a informațiilor, trebuie să se ia în considerare dacă obiectivul în cauză poate fi urmărit prin „mijloace mai puțin intruzive” (362). Această abordare decurge din cadrul legislației care se bazează pe principiul proporționalității și, prin urmare, acordă prioritate colectării țintite față de colectarea în masă.

362

3.3.1.1.4.1.   Interceptarea în masă și intervenția în masă asupra echipamentelor

| (218) | Regimul de interceptare în masă este prevăzut în partea 6 capitolul 1 din IPA din 2016, în timp ce capitolul 3 din aceeași parte reglementează intervenția în masă asupra echipamentelor. Aceste regimuri sunt în esență aceleași, astfel încât condițiile și garanțiile suplimentare aplicabile mandatelor respective sunt analizate împreună. |
| --- | --- |

(218)

Regimul de interceptare în masă este prevăzut în partea 6 capitolul 1 din IPA din 2016, în timp ce capitolul 3 din aceeași parte reglementează intervenția în masă asupra echipamentelor. Aceste regimuri sunt în esență aceleași, astfel încât condițiile și garanțiile suplimentare aplicabile mandatelor respective sunt analizate împreună.

(i)   Condiții și criterii pentru emiterea mandatului

Condiții și criterii pentru emiterea mandatului

| (219) | Un mandat de interceptare în masă se limitează la interceptarea comunicațiilor în cursul transmisiei lor trimise sau primite de către persoane fizice care se află în afara Insulelor Britanice (363), așa-numitele „comunicații în străinătate” (364), precum și a altor date relevante și la selectarea ulterioară pentru examinarea materialului interceptat (365). Un mandat de intervenție în masă asupra echipamentelor (366) autorizează destinatarul să asigure intervenția asupra oricărui echipament în scopul obținerii de comunicații în străinătate (inclusiv orice elemente care includ vorbire, muzică, sunete, imagini vizuale sau date de orice tip), date referitoare la echipamente (date care permit sau facilitează funcționarea unui serviciu poștal; a unei rețele de telecomunicații; a unui serviciu de telecomunicații) sau orice alte informații (367). |
| --- | --- |

(219)

Un mandat de interceptare în masă se limitează la interceptarea comunicațiilor în cursul transmisiei lor trimise sau primite de către persoane fizice care se află în afara Insulelor Britanice (363), așa-numitele „comunicații în străinătate” (364), precum și a altor date relevante și la selectarea ulterioară pentru examinarea materialului interceptat (365). Un mandat de intervenție în masă asupra echipamentelor (366) autorizează destinatarul să asigure intervenția asupra oricărui echipament în scopul obținerii de comunicații în străinătate (inclusiv orice elemente care includ vorbire, muzică, sunete, imagini vizuale sau date de orice tip), date referitoare la echipamente (date care permit sau facilitează funcționarea unui serviciu poștal; a unei rețele de telecomunicații; a unui serviciu de telecomunicații) sau orice alte informații (367).

363

364

365

366

367

| (220) | Secretarul de stat poate emite un mandat în masă numai la cererea unui șef al unui serviciu de informații (368). Mandatul de autorizare a unei interceptări în masă sau a unei intervenții în masă asupra echipamentelor trebuie emis numai dacă acest lucru este necesar în interesul securității naționale și în scopul prevenirii sau al depistării infracțiunilor grave sau în interesul bunăstării economice a Regatului Unit, atunci când acest lucru este relevant pentru securitatea națională (369). În plus, secțiunea 142 punctul 7 din IPA din 2016 prevede că un mandat de interceptare în masă trebuie să fie specificat într-un mod mai detaliat decât simpla referire la „interesele securității naționale”, la „bunăstarea economică a Regatului Unit” și la „prevenirea și combaterea infracțiunilor grave”, dar trebuie stabilită o legătură între măsura care urmează să fie solicitată și unul sau mai multe scopuri operaționale care trebuie incluse în mandat. |
| --- | --- |

(220)

Secretarul de stat poate emite un mandat în masă numai la cererea unui șef al unui serviciu de informații (368). Mandatul de autorizare a unei interceptări în masă sau a unei intervenții în masă asupra echipamentelor trebuie emis numai dacă acest lucru este necesar în interesul securității naționale și în scopul prevenirii sau al depistării infracțiunilor grave sau în interesul bunăstării economice a Regatului Unit, atunci când acest lucru este relevant pentru securitatea națională (369). În plus, secțiunea 142 punctul 7 din IPA din 2016 prevede că un mandat de interceptare în masă trebuie să fie specificat într-un mod mai detaliat decât simpla referire la „interesele securității naționale”, la „bunăstarea economică a Regatului Unit” și la „prevenirea și combaterea infracțiunilor grave”, dar trebuie stabilită o legătură între măsura care urmează să fie solicitată și unul sau mai multe scopuri operaționale care trebuie incluse în mandat.

368

369

| (221) | Alegerea scopului operațional este rezultatul unui proces pe mai multe niveluri. Secțiunea 142 punctul 4 prevede că scopurile operaționale specificate în mandat trebuie să fie specificate într-o listă gestionată de șefii serviciilor de informații, ca scopuri pe care aceștia le consideră a fi scopuri operaționale pentru care conținutul interceptat sau datele secundare obținute în baza unor mandate de interceptare în masă pot fi selectate în vederea examinării. Lista scopurilor operaționale trebuie aprobată de secretarul de stat. Secretarul de stat poate acorda o astfel de aprobare numai în cazul în care se asigură că scopul operațional este specificat la un nivel mai ridicat de detaliere decât motivele generale de autorizare a mandatului (securitate națională sau securitate națională și bunăstare economică sau prevenirea infracțiunilor grave) (370). La sfârșitul fiecărei perioade relevante de trei luni, secretarul de stat trebuie să transmită Comisiei de informații și securitate a Parlamentului o copie a listei de scopuri operaționale. În cele din urmă, prim-ministrul trebuie să revizuiască lista scopurilor operaționale cel puțin o dată pe an (371). Astfel cum a constatat Înalta Curte, „[a]cestea nu trebuie să fie minimalizate ca garanții nesemnificative, deoarece construiesc împreună un set complex de moduri de răspundere, care implică atât parlamentul, cât și membrii guvernului la cel mai înalt nivel” (372). |
| --- | --- |

(221)

Alegerea scopului operațional este rezultatul unui proces pe mai multe niveluri. Secțiunea 142 punctul 4 prevede că scopurile operaționale specificate în mandat trebuie să fie specificate într-o listă gestionată de șefii serviciilor de informații, ca scopuri pe care aceștia le consideră a fi scopuri operaționale pentru care conținutul interceptat sau datele secundare obținute în baza unor mandate de interceptare în masă pot fi selectate în vederea examinării. Lista scopurilor operaționale trebuie aprobată de secretarul de stat. Secretarul de stat poate acorda o astfel de aprobare numai în cazul în care se asigură că scopul operațional este specificat la un nivel mai ridicat de detaliere decât motivele generale de autorizare a mandatului (securitate națională sau securitate națională și bunăstare economică sau prevenirea infracțiunilor grave) (370). La sfârșitul fiecărei perioade relevante de trei luni, secretarul de stat trebuie să transmită Comisiei de informații și securitate a Parlamentului o copie a listei de scopuri operaționale. În cele din urmă, prim-ministrul trebuie să revizuiască lista scopurilor operaționale cel puțin o dată pe an (371). Astfel cum a constatat Înalta Curte, „[a]cestea nu trebuie să fie minimalizate ca garanții nesemnificative, deoarece construiesc împreună un set complex de moduri de răspundere, care implică atât parlamentul, cât și membrii guvernului la cel mai înalt nivel” (372).

370

371

372

| (222) | Astfel de scopuri operaționale limitează, de asemenea, domeniul de aplicare al selecției materialelor de interceptare pentru etapa de examinare. Selecția pentru examinarea oricăror materiale colectate în temeiul mandatului în masă trebuie să fie justificată având în vedere scopul (scopurile) operațional(e). Astfel cum au explicat autoritățile Regatului Unit, acest lucru înseamnă că modalitățile practice de examinare trebuie să fie evaluate de către secretarul de stat încă din etapa mandatului, oferind suficiente detalii pentru îndeplinirea obligațiilor statutare prevăzute în secțiunile 152 și 193 din IPA din 2016 (373). Detaliile furnizate secretarului de stat în legătură cu aceste modalități ar trebui să includă, de exemplu, informații (dacă este cazul) cu privire la modul în care modalitățile de filtrare pot varia în perioada în care un mandat va produce efecte (374). Pentru mai multe detalii privind procesul și garanțiile aplicate etapelor de filtrare și de examinare, a se vedea considerentul 229. |
| --- | --- |

(222)

Astfel de scopuri operaționale limitează, de asemenea, domeniul de aplicare al selecției materialelor de interceptare pentru etapa de examinare. Selecția pentru examinarea oricăror materiale colectate în temeiul mandatului în masă trebuie să fie justificată având în vedere scopul (scopurile) operațional(e). Astfel cum au explicat autoritățile Regatului Unit, acest lucru înseamnă că modalitățile practice de examinare trebuie să fie evaluate de către secretarul de stat încă din etapa mandatului, oferind suficiente detalii pentru îndeplinirea obligațiilor statutare prevăzute în secțiunile 152 și 193 din IPA din 2016 (373). Detaliile furnizate secretarului de stat în legătură cu aceste modalități ar trebui să includă, de exemplu, informații (dacă este cazul) cu privire la modul în care modalitățile de filtrare pot varia în perioada în care un mandat va produce efecte (374). Pentru mai multe detalii privind procesul și garanțiile aplicate etapelor de filtrare și de examinare, a se vedea considerentul 229.

373

374

| (223) | O competență în masă poate fi autorizată numai dacă este proporțională cu ceea ce se urmărește a fi obținut (375). Astfel cum se specifică în Codul de bune practici privind interceptarea comunicațiilor, orice evaluare a proporționalității implică „asigurarea unui echilibru între gravitatea intruziunii în viața privată (și alte considerente prevăzute în secțiunea 2 punctul 2) și necesitatea activității din punct de vedere operațional, al investigării și al capacității. Comportamentul autorizat ar trebui să ofere o perspectivă realistă de a aduce beneficiul scontat și nu ar trebui să fie disproporționat sau arbitrar” (376). După cum s-a menționat deja, în practică, aceasta înseamnă că testul de proporționalitate se bazează pe un test de echilibru între ceea ce se urmărește a fi obținut [„scopul/scopurile operațional(e)”] și opțiunile tehnice disponibile (de exemplu, interceptarea țintită sau în masă, intervenția asupra echipamentelor, achiziția de date ale comunicațiilor), acordând prioritate mijloacelor cel mai puțin intruzive (a se vedea considerentele 181 și 182). În cazul în care mai multe măsuri sunt adecvate obiectivului, trebuie să se acorde prioritate mijloacelor mai puțin intruzive. |
| --- | --- |

(223)

O competență în masă poate fi autorizată numai dacă este proporțională cu ceea ce se urmărește a fi obținut (375). Astfel cum se specifică în Codul de bune practici privind interceptarea comunicațiilor, orice evaluare a proporționalității implică „asigurarea unui echilibru între gravitatea intruziunii în viața privată (și alte considerente prevăzute în secțiunea 2 punctul 2) și necesitatea activității din punct de vedere operațional, al investigării și al capacității. Comportamentul autorizat ar trebui să ofere o perspectivă realistă de a aduce beneficiul scontat și nu ar trebui să fie disproporționat sau arbitrar” (376). După cum s-a menționat deja, în practică, aceasta înseamnă că testul de proporționalitate se bazează pe un test de echilibru între ceea ce se urmărește a fi obținut [„scopul/scopurile operațional(e)”] și opțiunile tehnice disponibile (de exemplu, interceptarea țintită sau în masă, intervenția asupra echipamentelor, achiziția de date ale comunicațiilor), acordând prioritate mijloacelor cel mai puțin intruzive (a se vedea considerentele 181 și 182). În cazul în care mai multe măsuri sunt adecvate obiectivului, trebuie să se acorde prioritate mijloacelor mai puțin intruzive.

375

376

| (224) | O garanție suplimentară privind evaluarea proporționalității măsurii solicitate este asigurată de faptul că secretarul de stat trebuie să primească informațiile relevante necesare pentru a-și efectua evaluarea în mod corespunzător. În special, Codul de bune practici privind interceptarea comunicațiilor și Codul de bune practici privind intervenția asupra echipamentelor impun ca cererea depusă de autoritatea relevantă să menționeze contextul cererii, descrierea comunicațiilor care urmează să fie interceptate și operatorii de telecomunicații care trebuie să acorde asistență, descrierea comportamentului care urmează să fie autorizat, scopurile operaționale și o explicație a motivului pentru care comportamentul este necesar și proporțional (377). |
| --- | --- |

(224)

O garanție suplimentară privind evaluarea proporționalității măsurii solicitate este asigurată de faptul că secretarul de stat trebuie să primească informațiile relevante necesare pentru a-și efectua evaluarea în mod corespunzător. În special, Codul de bune practici privind interceptarea comunicațiilor și Codul de bune practici privind intervenția asupra echipamentelor impun ca cererea depusă de autoritatea relevantă să menționeze contextul cererii, descrierea comunicațiilor care urmează să fie interceptate și operatorii de telecomunicații care trebuie să acorde asistență, descrierea comportamentului care urmează să fie autorizat, scopurile operaționale și o explicație a motivului pentru care comportamentul este necesar și proporțional (377).

377

| (225) | În cele din urmă și cel mai important, decizia secretarului de stat de a emite mandatul trebuie să fie aprobată de un comisar judiciar independent care evaluează necesitatea și proporționalitatea măsurii propuse, utilizând aceleași principii care ar fi utilizate de o instanță judecătorească în cadrul unei cereri de control jurisdicțional (378). Mai precis, comisarul judiciar va examina concluziile secretarului de stat cu privire la necesitatea mandatului și la proporționalitatea comportamentului în raport cu principiile stabilite în secțiunea 2 punctul 2 din IPA din 2016 (obligații generale în ceea ce privește dreptul la viață privată). Comisarul judiciar va examina, de asemenea, concluziile secretarului de stat cu privire la faptul dacă fiecare dintre scopurile operaționale specificate în mandat este un scop pentru care selecția este sau poate fi necesară. În cazul în care comisarul judiciar refuză să aprobe decizia de emitere a unui mandat, secretarul de stat poate: (i) să accepte decizia și, prin urmare, să nu emită mandatul; sau (ii) să sesizeze comisarul pentru competențe de investigare în vederea pronunțării unei decizii (cu excepția cazului în care comisarul pentru competențe de investigare a luat decizia inițială) (379). |
| --- | --- |

(225)

În cele din urmă și cel mai important, decizia secretarului de stat de a emite mandatul trebuie să fie aprobată de un comisar judiciar independent care evaluează necesitatea și proporționalitatea măsurii propuse, utilizând aceleași principii care ar fi utilizate de o instanță judecătorească în cadrul unei cereri de control jurisdicțional (378). Mai precis, comisarul judiciar va examina concluziile secretarului de stat cu privire la necesitatea mandatului și la proporționalitatea comportamentului în raport cu principiile stabilite în secțiunea 2 punctul 2 din IPA din 2016 (obligații generale în ceea ce privește dreptul la viață privată). Comisarul judiciar va examina, de asemenea, concluziile secretarului de stat cu privire la faptul dacă fiecare dintre scopurile operaționale specificate în mandat este un scop pentru care selecția este sau poate fi necesară. În cazul în care comisarul judiciar refuză să aprobe decizia de emitere a unui mandat, secretarul de stat poate: (i) să accepte decizia și, prin urmare, să nu emită mandatul; sau (ii) să sesizeze comisarul pentru competențe de investigare în vederea pronunțării unei decizii (cu excepția cazului în care comisarul pentru competențe de investigare a luat decizia inițială) (379).

378

379

(ii)   Garanții suplimentare

Garanții suplimentare

| (226) | IPA din 2016 a introdus limite suplimentare privind durata, reînnoirea și modificarea unui mandat în masă. Mandatul trebuie să aibă o durată maximă de șase luni, iar orice decizie de reînnoire sau modificare (cu excepția unor modificări minore) a mandatului trebuie, de asemenea, să fie aprobată de un comisar judiciar (380). Codul de bune practici privind interceptarea comunicațiilor și Codul de bune practici privind intervenția asupra echipamentelor specifică faptul că o modificare a scopurilor operaționale ale mandatului este considerată o modificare majoră a mandatului (381). |
| --- | --- |

(226)

IPA din 2016 a introdus limite suplimentare privind durata, reînnoirea și modificarea unui mandat în masă. Mandatul trebuie să aibă o durată maximă de șase luni, iar orice decizie de reînnoire sau modificare (cu excepția unor modificări minore) a mandatului trebuie, de asemenea, să fie aprobată de un comisar judiciar (380). Codul de bune practici privind interceptarea comunicațiilor și Codul de bune practici privind intervenția asupra echipamentelor specifică faptul că o modificare a scopurilor operaționale ale mandatului este considerată o modificare majoră a mandatului (381).

380

381

| (227) | În mod similar cu ceea ce se prevede pentru interceptarea țintită, partea 6 din IPA din 2016 prevede că secretarul de stat trebuie să se asigure că sunt în vigoare modalități pentru a oferi garanții privind păstrarea și divulgarea materialelor obținute în temeiul mandatului (382), precum și pentru divulgarea în străinătate (383). În special, secțiunea 150 punctul 5 și secțiunea 191 punctul 5 din IPA din 2016 prevăd că fiecare copie realizată de pe oricare dintre materialele colectate în temeiul mandatului trebuie să fie stocată în condiții de siguranță și distrusă de îndată ce nu mai există motive relevante pentru a fi păstrată, în timp ce secțiunea 150 punctul 2 și secțiunea 191 punctul 2 impun ca numărul de persoane cărora le sunt divulgate materialele și măsura în care orice material este divulgat, pus la dispoziție sau copiat să fie limitate la minimul necesar în scopuri legale (384). |
| --- | --- |

(227)

În mod similar cu ceea ce se prevede pentru interceptarea țintită, partea 6 din IPA din 2016 prevede că secretarul de stat trebuie să se asigure că sunt în vigoare modalități pentru a oferi garanții privind păstrarea și divulgarea materialelor obținute în temeiul mandatului (382), precum și pentru divulgarea în străinătate (383). În special, secțiunea 150 punctul 5 și secțiunea 191 punctul 5 din IPA din 2016 prevăd că fiecare copie realizată de pe oricare dintre materialele colectate în temeiul mandatului trebuie să fie stocată în condiții de siguranță și distrusă de îndată ce nu mai există motive relevante pentru a fi păstrată, în timp ce secțiunea 150 punctul 2 și secțiunea 191 punctul 2 impun ca numărul de persoane cărora le sunt divulgate materialele și măsura în care orice material este divulgat, pus la dispoziție sau copiat să fie limitate la minimul necesar în scopuri legale (384).

382

383

384

| (228) | În cele din urmă, atunci când materialul care a fost interceptat fie printr-o interceptare în masă, fie printr-o intervenție în masă asupra echipamentelor urmează să fie transmis către o țară terță („divulgări în străinătate”), IPA din 2016 prevede că secretarul de stat trebuie să se asigure că au fost instituite mecanisme adecvate pentru a se asigura că în țara terță respectivă există garanții similare în materie de securitate, păstrare și divulgare (385). În plus, secțiunea 109 din DPA din 2018 stabilește cerințe specifice pentru transferurile internaționale de date cu caracter personal de către serviciile de informații către țări terțe sau organizații internaționale și interzic transferul datelor cu caracter personal către o țară sau un teritoriu din afara Regatului Unit sau către o organizație internațională cu excepția cazului în care transferul este necesar și proporțional în scopul îndeplinirii funcțiilor statutare ale operatorului sau în alte scopuri prevăzute în secțiunea 2 punctul 2 litera (a) din Legea privind serviciile de securitate din 1989 sau în secțiunea 2 punctul 2 litera (a) și secțiunea 4 punctul 2 litera (a) din Legea privind serviciile de informații din 1994 (386). Este important de remarcat faptul că aceste cerințe se aplică, de asemenea, în cazurile în care se invocă derogarea în materie de securitate națională în temeiul secțiunii 110 din DPA din 2018, întrucât secțiunea 110 din DPA din 2018 nu enumeră secțiunea 109 din DPA din 2018 drept una dintre dispozițiile care pot să nu fie aplicate în cazul în care este necesară o derogare de la anumite dispoziții în scopul protejării securității naționale. |
| --- | --- |

(228)

În cele din urmă, atunci când materialul care a fost interceptat fie printr-o interceptare în masă, fie printr-o intervenție în masă asupra echipamentelor urmează să fie transmis către o țară terță („divulgări în străinătate”), IPA din 2016 prevede că secretarul de stat trebuie să se asigure că au fost instituite mecanisme adecvate pentru a se asigura că în țara terță respectivă există garanții similare în materie de securitate, păstrare și divulgare (385). În plus, secțiunea 109 din DPA din 2018 stabilește cerințe specifice pentru transferurile internaționale de date cu caracter personal de către serviciile de informații către țări terțe sau organizații internaționale și interzic transferul datelor cu caracter personal către o țară sau un teritoriu din afara Regatului Unit sau către o organizație internațională cu excepția cazului în care transferul este necesar și proporțional în scopul îndeplinirii funcțiilor statutare ale operatorului sau în alte scopuri prevăzute în secțiunea 2 punctul 2 litera (a) din Legea privind serviciile de securitate din 1989 sau în secțiunea 2 punctul 2 litera (a) și secțiunea 4 punctul 2 litera (a) din Legea privind serviciile de informații din 1994 (386). Este important de remarcat faptul că aceste cerințe se aplică, de asemenea, în cazurile în care se invocă derogarea în materie de securitate națională în temeiul secțiunii 110 din DPA din 2018, întrucât secțiunea 110 din DPA din 2018 nu enumeră secțiunea 109 din DPA din 2018 drept una dintre dispozițiile care pot să nu fie aplicate în cazul în care este necesară o derogare de la anumite dispoziții în scopul protejării securității naționale.

385

386

| (229) | Odată ce mandatul a fost aprobat și datele au fost colectate în masă, datele vor face obiectul unei selecții înainte de a fi examinate. Etapa de selecție și examinare face obiectul unui nou test de proporționalitate efectuat de analist, care definește criteriile de selecție pe baza scopurilor operaționale incluse în mandat (și a modalităților de filtrare potențial existente). Astfel cum se prevede în secțiunile 152 și 193 din IPA, atunci când emite mandatul, secretarul de stat trebuie să se asigure că sunt instituite mecanisme pentru a garanta că selecția materialelor se efectuează numai în scopurile operaționale specificate și că aceasta este necesară și proporțională în toate circumstanțele. În acest sens, autoritățile Regatului Unit au clarificat faptul că materialele interceptate în masă sunt selectate, în primul rând, prin filtrare automată cu scopul de a elimina date care este puțin probabil să fie de interes pentru securitatea națională. Filtrele vor varia în timp (pe măsură ce se modifică tiparele, tipurile și protocoalele de trafic de internet) și vor depinde de tehnologie și de contextul operațional. După această etapă, datele pot fi selectate pentru examinare numai dacă sunt relevante pentru scopurile operaționale specificate în mandat (387). Garanțiile prevăzute de IPA din 2016 pentru examinarea materialelor colectate se aplică oricărui tip de date (atât conținutul interceptat, cât și datele secundare) (388). Secțiunile 152 și 193 din IPA din 2016 prevăd, de asemenea, o interdicție generală de a selecta pentru examinare materiale referitoare la conversații trimise de persoane care se află în Insulele Britanice sau destinate acestora. În cazul în care autoritățile doresc să examineze asemenea materiale, acestea ar depune o cerere pentru un mandat de examinare țintită în temeiul părților 2 și 4 din IPA din 2016, emis de secretarul de stat și aprobat de un comisar judiciar (389). În cazul în care o persoană selectează în mod deliberat conținut interceptat în vederea examinării, cu încălcarea cerințelor stabilite în legislație (390), aceasta comite o infracțiune (391). |
| --- | --- |

(229)

Odată ce mandatul a fost aprobat și datele au fost colectate în masă, datele vor face obiectul unei selecții înainte de a fi examinate. Etapa de selecție și examinare face obiectul unui nou test de proporționalitate efectuat de analist, care definește criteriile de selecție pe baza scopurilor operaționale incluse în mandat (și a modalităților de filtrare potențial existente). Astfel cum se prevede în secțiunile 152 și 193 din IPA, atunci când emite mandatul, secretarul de stat trebuie să se asigure că sunt instituite mecanisme pentru a garanta că selecția materialelor se efectuează numai în scopurile operaționale specificate și că aceasta este necesară și proporțională în toate circumstanțele. În acest sens, autoritățile Regatului Unit au clarificat faptul că materialele interceptate în masă sunt selectate, în primul rând, prin filtrare automată cu scopul de a elimina date care este puțin probabil să fie de interes pentru securitatea națională. Filtrele vor varia în timp (pe măsură ce se modifică tiparele, tipurile și protocoalele de trafic de internet) și vor depinde de tehnologie și de contextul operațional. După această etapă, datele pot fi selectate pentru examinare numai dacă sunt relevante pentru scopurile operaționale specificate în mandat (387). Garanțiile prevăzute de IPA din 2016 pentru examinarea materialelor colectate se aplică oricărui tip de date (atât conținutul interceptat, cât și datele secundare) (388). Secțiunile 152 și 193 din IPA din 2016 prevăd, de asemenea, o interdicție generală de a selecta pentru examinare materiale referitoare la conversații trimise de persoane care se află în Insulele Britanice sau destinate acestora. În cazul în care autoritățile doresc să examineze asemenea materiale, acestea ar depune o cerere pentru un mandat de examinare țintită în temeiul părților 2 și 4 din IPA din 2016, emis de secretarul de stat și aprobat de un comisar judiciar (389). În cazul în care o persoană selectează în mod deliberat conținut interceptat în vederea examinării, cu încălcarea cerințelor stabilite în legislație (390), aceasta comite o infracțiune (391).

387

388

389

390

391

| (230) | Evaluarea efectuată de către analist cu privire la selecția materialelor face obiectul unei supravegheri ex post de către IPC care evaluează respectarea garanțiilor specifice prevăzute în IPA din 2016 pentru etapa de examinare (392) (a se vedea, de asemenea, considerentul 229). IPC trebuie să monitorizeze (inclusiv prin audit, inspecție și investigație) exercitarea de către autoritățile publice a competențelor de investigare menționate în IPA din 2016 (393). În acest sens, Codul de bune practici privind interceptarea și Codul de bune practici privind intervenția asupra echipamentelor clarifică faptul că agenția trebuie să țină evidențe în scopul examinării și al auditurilor ulterioare, iar aceste evidențe trebuie să prezinte motivele pentru care accesul la materiale al persoanelor autorizate este necesar și proporțional, precum și scopurile operaționale aplicabile (394). De exemplu, în raportul său anual pe 2018, Biroul comisarului pentru competențe de investigare (IPCO) (395) a concluzionat că justificările înregistrate de analiști pentru examinarea anumitor materiale colectate în masă au respectat standardul de proporționalitate necesar, oferind detalii suficiente cu privire la motivele „interogărilor” lor în raport cu scopul care trebuie atins (396). În raportul său din 2019, în ceea ce privește competențele în masă, IPCO și-a exprimat în mod clar intenția de a continua inspecțiile interceptărilor în masă, inclusiv o examinare detaliată a selectoarelor și a criteriilor de căutare (397). De asemenea, IPCO va continua să examineze cu atenție, de la caz la caz, alegerea măsurilor de supraveghere (țintite sau în masă) atât în timpul examinării cererilor de mandat în temeiul procedurii de protecție dublă, cât și în timpul inspecțiilor (398). Această monitorizare suplimentară va fi luată în considerare în mod corespunzător în contextul monitorizării de către Comisie a prezentei decizii menționate în considerentele 281-284. |
| --- | --- |

(230)

Evaluarea efectuată de către analist cu privire la selecția materialelor face obiectul unei supravegheri ex post de către IPC care evaluează respectarea garanțiilor specifice prevăzute în IPA din 2016 pentru etapa de examinare (392) (a se vedea, de asemenea, considerentul 229). IPC trebuie să monitorizeze (inclusiv prin audit, inspecție și investigație) exercitarea de către autoritățile publice a competențelor de investigare menționate în IPA din 2016 (393). În acest sens, Codul de bune practici privind interceptarea și Codul de bune practici privind intervenția asupra echipamentelor clarifică faptul că agenția trebuie să țină evidențe în scopul examinării și al auditurilor ulterioare, iar aceste evidențe trebuie să prezinte motivele pentru care accesul la materiale al persoanelor autorizate este necesar și proporțional, precum și scopurile operaționale aplicabile (394). De exemplu, în raportul său anual pe 2018, Biroul comisarului pentru competențe de investigare (IPCO) (395) a concluzionat că justificările înregistrate de analiști pentru examinarea anumitor materiale colectate în masă au respectat standardul de proporționalitate necesar, oferind detalii suficiente cu privire la motivele „interogărilor” lor în raport cu scopul care trebuie atins (396). În raportul său din 2019, în ceea ce privește competențele în masă, IPCO și-a exprimat în mod clar intenția de a continua inspecțiile interceptărilor în masă, inclusiv o examinare detaliată a selectoarelor și a criteriilor de căutare (397). De asemenea, IPCO va continua să examineze cu atenție, de la caz la caz, alegerea măsurilor de supraveghere (țintite sau în masă) atât în timpul examinării cererilor de mandat în temeiul procedurii de protecție dublă, cât și în timpul inspecțiilor (398). Această monitorizare suplimentară va fi luată în considerare în mod corespunzător în contextul monitorizării de către Comisie a prezentei decizii menționate în considerentele 281-284.

ex post

392

393

394

395

396

397

398

3.3.1.1.4.2.   Achiziția în masă de date ale comunicațiilor

| (231) | Partea 6 capitolul 2 din IPA din 2016 reglementează mandatele de achiziție în masă care autorizează destinatarul să solicite unui operator de telecomunicații să divulge sau să obțină orice date ale comunicațiilor aflate în posesia operatorului. Aceste mandate autorizează, de asemenea, autoritatea solicitantă să selecteze datele pentru etapa următoare a examinării. La fel ca în cazul păstrării și al achiziției țintite a datelor comunicațiilor (a se vedea considerentul 199), nici achiziția în masă a datelor comunicațiilor nu se referă, în mod normal, la datele cu caracter personal ale persoanelor vizate din UE transferate în temeiul prezentei decizii către Regatul Unit. Obligația de a divulga date ale comunicațiilor în temeiul părții 6 capitolul 2 din IPA din 2016 se referă la datele care sunt colectate de operatorii de telecomunicații din Regatul Unit direct de la utilizatorii unui serviciu de telecomunicații (399). Acest tip de prelucrare „orientată către client” nu implică, de regulă, un transfer în temeiul prezentei decizii, și anume un transfer de la un operator/o persoană împuternicită de operator din UE către un operator/o persoană împuternicită de operator din Regatul Unit. |
| --- | --- |

(231)

Partea 6 capitolul 2 din IPA din 2016 reglementează mandatele de achiziție în masă care autorizează destinatarul să solicite unui operator de telecomunicații să divulge sau să obțină orice date ale comunicațiilor aflate în posesia operatorului. Aceste mandate autorizează, de asemenea, autoritatea solicitantă să selecteze datele pentru etapa următoare a examinării. La fel ca în cazul păstrării și al achiziției țintite a datelor comunicațiilor (a se vedea considerentul 199), nici achiziția în masă a datelor comunicațiilor nu se referă, în mod normal, la datele cu caracter personal ale persoanelor vizate din UE transferate în temeiul prezentei decizii către Regatul Unit. Obligația de a divulga date ale comunicațiilor în temeiul părții 6 capitolul 2 din IPA din 2016 se referă la datele care sunt colectate de operatorii de telecomunicații din Regatul Unit direct de la utilizatorii unui serviciu de telecomunicații (399). Acest tip de prelucrare „orientată către client” nu implică, de regulă, un transfer în temeiul prezentei decizii, și anume un transfer de la un operator/o persoană împuternicită de operator din UE către un operator/o persoană împuternicită de operator din Regatul Unit.

399

| (232) | Cu toate acestea, din motive de exhaustivitate, condițiile și garanțiile care reglementează achiziția de date ale comunicațiilor în masă sunt descrise mai jos. |
| --- | --- |

(232)

Cu toate acestea, din motive de exhaustivitate, condițiile și garanțiile care reglementează achiziția de date ale comunicațiilor în masă sunt descrise mai jos.

| (233) | IPA din 2016 înlocuiește legislația privind achiziția de date ale comunicațiilor în masă, care a făcut obiectul hotărârii CJUE în cauza Privacy International. Legislația în discuție în această cauză a fost abrogată, iar noul regim prevede condiții și garanții specifice în temeiul cărora poate fi autorizată o astfel de măsură. |
| --- | --- |

(233)

IPA din 2016 înlocuiește legislația privind achiziția de date ale comunicațiilor în masă, care a făcut obiectul hotărârii CJUE în cauza Privacy International. Legislația în discuție în această cauză a fost abrogată, iar noul regim prevede condiții și garanții specifice în temeiul cărora poate fi autorizată o astfel de măsură.

Privacy International

| (234) | În special, spre deosebire de regimul anterior în care secretarul de stat dispunea de o putere de apreciere deplină în ceea ce privește autorizarea măsurii (400), IPA din 2016 impune secretarului de stat să emită un mandat numai dacă măsura este necesară și proporțională. În practică, aceasta înseamnă că ar trebui să existe o legătură între accesul la date și scopul urmărit (401). Mai precis, secretarul de stat va trebui să evalueze existența unei legături între măsura solicitată și unul sau mai multe „scopuri operaționale” indicate în mandat (a se vedea considerentul 219) în ceea ce privește evaluarea proporționalității, codul de bune practici relevant precizând că „secretarul de stat trebuie să analizeze dacă ceea ce se urmărește a fi obținut prin mandat ar putea fi obținut în mod rezonabil prin alte mijloace mai puțin invazive [secțiunea 2 punctul 2 litera (a) din lege]. De exemplu, obținerea informațiilor necesare prin intermediul unei competențe mai puțin intruzive, cum ar fi achiziția țintită de date ale comunicațiilor” (402). |
| --- | --- |

(234)

În special, spre deosebire de regimul anterior în care secretarul de stat dispunea de o putere de apreciere deplină în ceea ce privește autorizarea măsurii (400), IPA din 2016 impune secretarului de stat să emită un mandat numai dacă măsura este necesară și proporțională. În practică, aceasta înseamnă că ar trebui să existe o legătură între accesul la date și scopul urmărit (401). Mai precis, secretarul de stat va trebui să evalueze existența unei legături între măsura solicitată și unul sau mai multe „scopuri operaționale” indicate în mandat (a se vedea considerentul 219) în ceea ce privește evaluarea proporționalității, codul de bune practici relevant precizând că „secretarul de stat trebuie să analizeze dacă ceea ce se urmărește a fi obținut prin mandat ar putea fi obținut în mod rezonabil prin alte mijloace mai puțin invazive [secțiunea 2 punctul 2 litera (a) din lege]. De exemplu, obținerea informațiilor necesare prin intermediul unei competențe mai puțin intruzive, cum ar fi achiziția țintită de date ale comunicațiilor” (402).

400

401

402

| (235) | Pentru a efectua o astfel de evaluare, secretarul de stat se va baza pe informații pe care șefii serviciilor de informații (403) sunt obligați să le prezinte în cererea lor, cum ar fi motivele pentru care măsura este considerată necesară pentru unul dintre temeiurile legale și motivele pentru care ceea ce se urmărește a fi obținut nu ar putea fi obținut în mod rezonabil prin alte mijloace mai puțin intruzive (404). În plus, scopurile operaționale limitează domeniul de aplicare pentru care datele obținute în temeiul mandatului pot fi selectate pentru examinare (405). Astfel cum se specifică în codul de bune practici relevant, scopurile operaționale trebuie să descrie o cerință clară și să conțină suficiente detalii pentru a convinge secretarul de stat că datele obținute pot fi selectate pentru examinare numai din motive specifice (406). Astfel, secretarul de stat va trebui să se asigure, înainte de a autoriza mandatul, că sunt în vigoare mecanisme specifice pentru a se asigura că numai materialele care au fost considerate necesare pentru examinare în scopuri operaționale și statutare sunt selectate pentru examinare și că acestea trebuie să fie proporționale și necesare în orice circumstanță. Această cerință specifică, reflectată în secțiunile 158 și 172 (407) din IPA din 2016, referitoare la evaluarea prealabilă a necesității și proporționalității criteriilor utilizate în scopul selecției, reprezintă o altă noutate importantă a regimului introdus prin IPA din 2016 în comparație cu regimul existent anterior. |
| --- | --- |

(235)

Pentru a efectua o astfel de evaluare, secretarul de stat se va baza pe informații pe care șefii serviciilor de informații (403) sunt obligați să le prezinte în cererea lor, cum ar fi motivele pentru care măsura este considerată necesară pentru unul dintre temeiurile legale și motivele pentru care ceea ce se urmărește a fi obținut nu ar putea fi obținut în mod rezonabil prin alte mijloace mai puțin intruzive (404). În plus, scopurile operaționale limitează domeniul de aplicare pentru care datele obținute în temeiul mandatului pot fi selectate pentru examinare (405). Astfel cum se specifică în codul de bune practici relevant, scopurile operaționale trebuie să descrie o cerință clară și să conțină suficiente detalii pentru a convinge secretarul de stat că datele obținute pot fi selectate pentru examinare numai din motive specifice (406). Astfel, secretarul de stat va trebui să se asigure, înainte de a autoriza mandatul, că sunt în vigoare mecanisme specifice pentru a se asigura că numai materialele care au fost considerate necesare pentru examinare în scopuri operaționale și statutare sunt selectate pentru examinare și că acestea trebuie să fie proporționale și necesare în orice circumstanță. Această cerință specifică, reflectată în secțiunile 158 și 172 (407) din IPA din 2016, referitoare la evaluarea prealabilă a necesității și proporționalității criteriilor utilizate în scopul selecției, reprezintă o altă noutate importantă a regimului introdus prin IPA din 2016 în comparație cu regimul existent anterior.

403

404

405

406

407

| (236) | IPA din 2016 a introdus, de asemenea, obligația secretarului de stat de a se asigura că, înainte de emiterea mandatului pentru achiziția în masă a datelor comunicațiilor, sunt instituite limitări specifice privind securitatea, păstrarea și divulgarea datelor cu caracter personal colectate (408). În cazul divulgării în străinătate, garanțiile, descrise în considerentul 227, pentru interceptarea în masă și intervenția în masă asupra echipamentelor, se aplică și în acest context (409). Legislația prevede și alte limitări privind durata (410), reînnoirea (411) și modificarea mandatelor în masă (412). |
| --- | --- |

(236)

IPA din 2016 a introdus, de asemenea, obligația secretarului de stat de a se asigura că, înainte de emiterea mandatului pentru achiziția în masă a datelor comunicațiilor, sunt instituite limitări specifice privind securitatea, păstrarea și divulgarea datelor cu caracter personal colectate (408). În cazul divulgării în străinătate, garanțiile, descrise în considerentul 227, pentru interceptarea în masă și intervenția în masă asupra echipamentelor, se aplică și în acest context (409). Legislația prevede și alte limitări privind durata (410), reînnoirea (411) și modificarea mandatelor în masă (412).

408

409

410

411

412

| (237) | Este important de remarcat faptul că, la fel ca în cazul celorlalte competențe în masă, înainte de emiterea mandatului, secretarul de stat trebuie să obțină aprobarea unui comisar judiciar (413). Aceasta este o caracteristică esențială a regimului instituit prin IPA din 2016. |
| --- | --- |

(237)

Este important de remarcat faptul că, la fel ca în cazul celorlalte competențe în masă, înainte de emiterea mandatului, secretarul de stat trebuie să obțină aprobarea unui comisar judiciar (413). Aceasta este o caracteristică esențială a regimului instituit prin IPA din 2016.

413

| (238) | IPC efectuează o supraveghere ex post a procedurii de examinare a materialelor (date ale comunicațiilor) dobândite în masă (a se vedea considerentul 254). În această privință, IPA din 2016 a introdus cerința potrivit căreia analistul de informații care efectuează examinarea trebuie să înregistreze, înainte de selectarea datelor pentru examinare, motivul pentru care examinarea propusă este necesară și proporțională într-un anumit scop operațional (414). În raportul anual al IPCO pe 2019 s-a constatat, în ceea ce privește practica GCHQ și a MI5, că „rolul esențial al datelor comunicațiilor colectate în masă pentru gama de activități desfășurate la GCHQ a fost bine articulat în cazurile pe care le-am inspectat. Am analizat natura datelor solicitate și cerințele declarate în materie de informații și am fost mulțumiți de faptul că documentația a demonstrat că abordarea acestora este necesară și proporțională” (415). Justificările înregistrate de MI5 au fost la un standard adecvat și au respectat principiile necesității și proporționalității” (416). |
| --- | --- |

(238)

IPC efectuează o supraveghere ex post a procedurii de examinare a materialelor (date ale comunicațiilor) dobândite în masă (a se vedea considerentul 254). În această privință, IPA din 2016 a introdus cerința potrivit căreia analistul de informații care efectuează examinarea trebuie să înregistreze, înainte de selectarea datelor pentru examinare, motivul pentru care examinarea propusă este necesară și proporțională într-un anumit scop operațional (414). În raportul anual al IPCO pe 2019 s-a constatat, în ceea ce privește practica GCHQ și a MI5, că „rolul esențial al datelor comunicațiilor colectate în masă pentru gama de activități desfășurate la GCHQ a fost bine articulat în cazurile pe care le-am inspectat. Am analizat natura datelor solicitate și cerințele declarate în materie de informații și am fost mulțumiți de faptul că documentația a demonstrat că abordarea acestora este necesară și proporțională” (415). Justificările înregistrate de MI5 au fost la un standard adecvat și au respectat principiile necesității și proporționalității” (416).

ex post

414

415

416

3.3.1.1.4.3.   Păstrarea și examinarea seturilor de date cu caracter personal colectate în masă

| (239) | Mandatele pentru seturile de date cu caracter personal colectate în masă (BPD – Bulk Personal Dataset) (417) autorizează agențiile de informații să păstreze și să examineze seturi de date care conțin date cu caracter personal referitoare la o serie de persoane. Potrivit explicațiilor furnizate de autoritățile Regatului Unit, analiza acestor seturi de date poate fi „singura modalitate pentru ca UKIC să înregistreze progrese în cadrul investigațiilor și să identifice teroriștii dintr-un număr foarte limitat de informații de bază sau atunci când comunicațiile acestora au fost ascunse în mod deliberat” (418). Există două tipuri de mandate: „mandate din clasa BPD” (419) care se referă la o anumită categorie de seturi de date, și anume seturi de date care sunt similare din punctul de vedere al conținutului și al utilizării propuse și care prezintă considerații similare cu privire, de exemplu, la gradul de intruziune și sensibilitate și la proporționalitatea utilizării datelor, permițând astfel secretarului de stat să analizeze necesitatea și proporționalitatea obținerii simultane a tuturor datelor în cadrul clasei relevante. De exemplu, un mandat din clasa BPD poate acoperi seturile de date de călătorie care se referă la rute similare (420). „Mandate BPD specifice” (421) se referă în schimb la un set de date specific, cum ar fi un set de date aferent unui tip nou sau neobișnuit de informații care nu se încadrează într-un mandat existent din clasa BPD sau un set de date care se referă la anumite tipuri de date cu caracter personal (422) și care, prin urmare, necesită garanții suplimentare (423). Dispozițiile IPA din 2016 referitoare la BPD permit examinarea și păstrarea acestor seturi de date numai în cazul în care acest lucru este necesar și proporțional (424) și în conformitate cu obligațiile generale privind viața privată (425). |
| --- | --- |

(239)

Mandatele pentru seturile de date cu caracter personal colectate în masă (BPD – Bulk Personal Dataset) (417) autorizează agențiile de informații să păstreze și să examineze seturi de date care conțin date cu caracter personal referitoare la o serie de persoane. Potrivit explicațiilor furnizate de autoritățile Regatului Unit, analiza acestor seturi de date poate fi „singura modalitate pentru ca UKIC să înregistreze progrese în cadrul investigațiilor și să identifice teroriștii dintr-un număr foarte limitat de informații de bază sau atunci când comunicațiile acestora au fost ascunse în mod deliberat” (418). Există două tipuri de mandate: „mandate din clasa BPD” (419) care se referă la o anumită categorie de seturi de date, și anume seturi de date care sunt similare din punctul de vedere al conținutului și al utilizării propuse și care prezintă considerații similare cu privire, de exemplu, la gradul de intruziune și sensibilitate și la proporționalitatea utilizării datelor, permițând astfel secretarului de stat să analizeze necesitatea și proporționalitatea obținerii simultane a tuturor datelor în cadrul clasei relevante. De exemplu, un mandat din clasa BPD poate acoperi seturile de date de călătorie care se referă la rute similare (420). „Mandate BPD specifice” (421) se referă în schimb la un set de date specific, cum ar fi un set de date aferent unui tip nou sau neobișnuit de informații care nu se încadrează într-un mandat existent din clasa BPD sau un set de date care se referă la anumite tipuri de date cu caracter personal (422) și care, prin urmare, necesită garanții suplimentare (423). Dispozițiile IPA din 2016 referitoare la BPD permit examinarea și păstrarea acestor seturi de date numai în cazul în care acest lucru este necesar și proporțional (424) și în conformitate cu obligațiile generale privind viața privată (425).

Bulk Personal Dataset

417

418

419

420

421

422

423

424

425

| (240) | Competența de a emite un mandat BPD face obiectul procedurii de „protecție dublă”: evaluarea necesității și a proporționalității măsurii este efectuată mai întâi de secretarul de stat și apoi de comisarul judiciar (426). Secretarul de stat trebuie să analizeze natura și domeniul de aplicare al tipului de mandat solicitat, categoria de date în cauză și numărul de seturi individuale de date cu caracter personal colectate în masă care ar putea intra sub incidența tipului specific de mandat (427). De asemenea, astfel cum se specifică în Codul de bune practici privind păstrarea și utilizarea de către serviciile de informații a seturilor de date cu caracter personal colectate în masă, trebuie păstrate evidențe detaliate care fac obiectul auditului IPC (428). Păstrarea și examinarea BPD în afara limitelor instituite de IPA din 2016 constituie o infracțiune (429). |
| --- | --- |

(240)

Competența de a emite un mandat BPD face obiectul procedurii de „protecție dublă”: evaluarea necesității și a proporționalității măsurii este efectuată mai întâi de secretarul de stat și apoi de comisarul judiciar (426). Secretarul de stat trebuie să analizeze natura și domeniul de aplicare al tipului de mandat solicitat, categoria de date în cauză și numărul de seturi individuale de date cu caracter personal colectate în masă care ar putea intra sub incidența tipului specific de mandat (427). De asemenea, astfel cum se specifică în Codul de bune practici privind păstrarea și utilizarea de către serviciile de informații a seturilor de date cu caracter personal colectate în masă, trebuie păstrate evidențe detaliate care fac obiectul auditului IPC (428). Păstrarea și examinarea BPD în afara limitelor instituite de IPA din 2016 constituie o infracțiune (429).

426

427

428

429

3.3.2.   Utilizarea ulterioară a informațiilor colectate

Utilizarea ulterioară a informațiilor colectate

| (241) | Datele cu caracter personal prelucrate în temeiul părții 4 din DPA din 2018 nu trebuie prelucrate într-un mod incompatibil cu scopul pentru care au fost colectate (430). DPA din 2018 prevede că operatorul poate prelucra datele în alt scop, diferit de cel pentru care au fost colectate, atunci când acesta este compatibil cu cel inițial și cu condiția ca operatorul să fie autorizat prin lege să prelucreze datele și ca prelucrarea să fie necesară și proporțională (431). În plus, Legea privind serviciul de securitate din 1989 și Legea privind serviciile de informații din 1994 precizează că șefii serviciilor de informații au datoria de a se asigura că nicio informație nu este obținută sau divulgată decât în măsura în care acest lucru este necesar pentru îndeplinirea corespunzătoare a funcțiilor agenției sau în alte scopuri limitate și specifice enumerate în dispozițiile relevante (432). |
| --- | --- |

(241)

Datele cu caracter personal prelucrate în temeiul părții 4 din DPA din 2018 nu trebuie prelucrate într-un mod incompatibil cu scopul pentru care au fost colectate (430). DPA din 2018 prevede că operatorul poate prelucra datele în alt scop, diferit de cel pentru care au fost colectate, atunci când acesta este compatibil cu cel inițial și cu condiția ca operatorul să fie autorizat prin lege să prelucreze datele și ca prelucrarea să fie necesară și proporțională (431). În plus, Legea privind serviciul de securitate din 1989 și Legea privind serviciile de informații din 1994 precizează că șefii serviciilor de informații au datoria de a se asigura că nicio informație nu este obținută sau divulgată decât în măsura în care acest lucru este necesar pentru îndeplinirea corespunzătoare a funcțiilor agenției sau în alte scopuri limitate și specifice enumerate în dispozițiile relevante (432).

430

431

432

| (242) | În plus, secțiunea 109 din DPA din 2018 stabilește cerințe specifice pentru transferurile internaționale de date cu caracter personal de către serviciile de informații către țări terțe sau organizații internaționale. Conform acestei dispoziții, datele cu caracter personal nu pot fi transferate către o țară sau un teritoriu din afara Regatului Unit sau către o organizație internațională decât în cazul în care transferul este necesar și proporțional în scopul îndeplinirii funcțiilor statutare ale operatorului sau în alte scopuri prevăzute în secțiunea 2 punctul 2 litera (a) din Legea privind serviciul de securitate din 1989 sau în secțiunea 2 punctul 2 litera (a) și secțiunea 4 punctul 2 litera (a) din Legea privind serviciile de informații din 1994 (433). Este important de remarcat faptul că aceste cerințe se aplică, de asemenea, în cazurile în care se invocă derogarea în materie de securitate națională în temeiul secțiunii 110 din DPA din 2018, întrucât secțiunea 110 din DPA din 2018 nu enumeră secțiunea 109 din DPA din 2018 drept una dintre dispozițiile care pot să nu fie aplicate în cazul în care este necesară o derogare de la anumite dispoziții în scopul protejării securității naționale. |
| --- | --- |

(242)

În plus, secțiunea 109 din DPA din 2018 stabilește cerințe specifice pentru transferurile internaționale de date cu caracter personal de către serviciile de informații către țări terțe sau organizații internaționale. Conform acestei dispoziții, datele cu caracter personal nu pot fi transferate către o țară sau un teritoriu din afara Regatului Unit sau către o organizație internațională decât în cazul în care transferul este necesar și proporțional în scopul îndeplinirii funcțiilor statutare ale operatorului sau în alte scopuri prevăzute în secțiunea 2 punctul 2 litera (a) din Legea privind serviciul de securitate din 1989 sau în secțiunea 2 punctul 2 litera (a) și secțiunea 4 punctul 2 litera (a) din Legea privind serviciile de informații din 1994 (433). Este important de remarcat faptul că aceste cerințe se aplică, de asemenea, în cazurile în care se invocă derogarea în materie de securitate națională în temeiul secțiunii 110 din DPA din 2018, întrucât secțiunea 110 din DPA din 2018 nu enumeră secțiunea 109 din DPA din 2018 drept una dintre dispozițiile care pot să nu fie aplicate în cazul în care este necesară o derogare de la anumite dispoziții în scopul protejării securității naționale.

433

| (243) | În plus, astfel cum a subliniat ICO în orientările sale privind prelucrarea de către serviciile de informații, pe lângă garanțiile prevăzute în partea 4 din DPA din 2018, o agenție de informații, atunci când face schimb de date cu un organism de informații dintr-o țară terță, face, de asemenea, obiectul garanțiilor oferite de alte măsuri legislative care li se aplică pentru a se asigura că datele cu caracter personal sunt obținute, partajate și gestionate în mod legal și responsabil (434). De exemplu, IPA din 2016 stabilește garanții suplimentare în ceea ce privește transferurile către o țară terță de materiale colectate prin interceptare țintită (435), intervenție țintită asupra echipamentelor (436), interceptare în masă (437), achiziția în masă de date ale comunicațiilor (438) și intervenție în masă asupra echipamentelor (439) (așa-numitele „divulgări în străinătate”). În special, autoritatea care emite mandatul trebuie să se asigure că sunt instituite mecanisme pentru a se asigura că țara terță care primește datele limitează la minimul necesar, în scopurile autorizate prevăzute în IPA din 2016, numărul de persoane care văd materialele, amploarea divulgării și numărul de copii realizate de pe orice materiale (440). |
| --- | --- |

(243)

În plus, astfel cum a subliniat ICO în orientările sale privind prelucrarea de către serviciile de informații, pe lângă garanțiile prevăzute în partea 4 din DPA din 2018, o agenție de informații, atunci când face schimb de date cu un organism de informații dintr-o țară terță, face, de asemenea, obiectul garanțiilor oferite de alte măsuri legislative care li se aplică pentru a se asigura că datele cu caracter personal sunt obținute, partajate și gestionate în mod legal și responsabil (434). De exemplu, IPA din 2016 stabilește garanții suplimentare în ceea ce privește transferurile către o țară terță de materiale colectate prin interceptare țintită (435), intervenție țintită asupra echipamentelor (436), interceptare în masă (437), achiziția în masă de date ale comunicațiilor (438) și intervenție în masă asupra echipamentelor (439) (așa-numitele „divulgări în străinătate”). În special, autoritatea care emite mandatul trebuie să se asigure că sunt instituite mecanisme pentru a se asigura că țara terță care primește datele limitează la minimul necesar, în scopurile autorizate prevăzute în IPA din 2016, numărul de persoane care văd materialele, amploarea divulgării și numărul de copii realizate de pe orice materiale (440).

434

435

436

437

438

439

440

3.3.3.   Supravegherea

Supravegherea

| (244) | Accesul administrației publice în scopuri de securitate națională este supravegheat de o serie de organisme diferite. Comisarul pentru informații supraveghează prelucrarea datelor cu caracter personal în lumina DPA din 2018 (pentru mai multe informații privind independența, rolul de numire și competențele comisarului, a se vedea considerentele 85-98), în timp ce IPC asigură supravegherea independentă și judiciară a utilizării competențelor de investigare în temeiul IPA din 2016. IPC supraveghează utilizarea competențelor de investigare prevăzute în IPA din 2016 atât de către autoritățile de aplicare a legii, cât și de către autoritățile de securitate națională. Supravegherea politică este garantată de Comisia pentru serviciile de informații din cadrul Parlamentului. |
| --- | --- |

(244)

Accesul administrației publice în scopuri de securitate națională este supravegheat de o serie de organisme diferite. Comisarul pentru informații supraveghează prelucrarea datelor cu caracter personal în lumina DPA din 2018 (pentru mai multe informații privind independența, rolul de numire și competențele comisarului, a se vedea considerentele 85-98), în timp ce IPC asigură supravegherea independentă și judiciară a utilizării competențelor de investigare în temeiul IPA din 2016. IPC supraveghează utilizarea competențelor de investigare prevăzute în IPA din 2016 atât de către autoritățile de aplicare a legii, cât și de către autoritățile de securitate națională. Supravegherea politică este garantată de Comisia pentru serviciile de informații din cadrul Parlamentului.

3.3.3.1.   Supravegherea în temeiul părții 4 din DPA

Supravegherea în temeiul părții 4 din DPA

| (245) | Prelucrarea datelor cu caracter personal efectuată de serviciile de informații în temeiul părții 4 din DPA din 2018 este supravegheată de comisarul pentru informații (441). |
| --- | --- |

(245)

Prelucrarea datelor cu caracter personal efectuată de serviciile de informații în temeiul părții 4 din DPA din 2018 este supravegheată de comisarul pentru informații (441).

441

| (246) | Funcțiile generale ale comisarului pentru informații în ceea ce privește prelucrarea datelor cu caracter personal de către serviciile de informații în temeiul părții 4 din DPA din 2018 sunt prevăzute în anexa 13 la DPA din 2018. Sarcinile includ, însă nu se limitează la monitorizarea și punerea în aplicare a părții 4 din DPA din 2018, promovarea sensibilizării publicului, consilierea Parlamentului, a guvernului și a altor instituții cu privire la măsurile legislative și administrative, promovarea sensibilizării operatorilor și a persoanelor împuternicite de operatori cu privire la obligațiile ce le revin, furnizarea de informații unei persoane vizate cu privire la exercitarea drepturilor persoanei vizate, desfășurarea de anchete etc. |
| --- | --- |

(246)

Funcțiile generale ale comisarului pentru informații în ceea ce privește prelucrarea datelor cu caracter personal de către serviciile de informații în temeiul părții 4 din DPA din 2018 sunt prevăzute în anexa 13 la DPA din 2018. Sarcinile includ, însă nu se limitează la monitorizarea și punerea în aplicare a părții 4 din DPA din 2018, promovarea sensibilizării publicului, consilierea Parlamentului, a guvernului și a altor instituții cu privire la măsurile legislative și administrative, promovarea sensibilizării operatorilor și a persoanelor împuternicite de operatori cu privire la obligațiile ce le revin, furnizarea de informații unei persoane vizate cu privire la exercitarea drepturilor persoanei vizate, desfășurarea de anchete etc.

| (247) | În ceea ce privește partea 3 din DPA din 2018, comisarul are competența de a informa operatorii cu privire la o presupusă încălcare și de a emite avertismente cu privire la probabilitatea ca o prelucrare să încalce normele și de a emite mustrări atunci când încălcarea este confirmată. De asemenea, acesta poate emite notificări de executare și de sancționare pentru încălcarea anumitor dispoziții ale legii (442). Cu toate acestea, spre deosebire de alte părți din DPA din 2018, comisarul nu poate emite o notificare de evaluare adresată unui organism de securitate națională (443). |
| --- | --- |

(247)

În ceea ce privește partea 3 din DPA din 2018, comisarul are competența de a informa operatorii cu privire la o presupusă încălcare și de a emite avertismente cu privire la probabilitatea ca o prelucrare să încalce normele și de a emite mustrări atunci când încălcarea este confirmată. De asemenea, acesta poate emite notificări de executare și de sancționare pentru încălcarea anumitor dispoziții ale legii (442). Cu toate acestea, spre deosebire de alte părți din DPA din 2018, comisarul nu poate emite o notificare de evaluare adresată unui organism de securitate națională (443).

442

443

| (248) | În plus, secțiunea 110 din DPA din 2018 prevede o excepție de la utilizarea anumitor competențe ale comisarului atunci când acest lucru este necesar în scopul protejării securității naționale. Aceasta include competența comisarului de a emite (orice tip de) notificări în temeiul DPA (notificări de informare, de evaluare, de executare și de sancționare), competența de a efectua inspecții în conformitate cu obligațiile internaționale, competențe de intrare și de inspecție, precum și norme privind infracțiunile (444). Astfel cum se explică în considerentul 126, aceste excepții se vor aplica numai dacă sunt necesare și proporționale și de la caz la caz. |
| --- | --- |

(248)

În plus, secțiunea 110 din DPA din 2018 prevede o excepție de la utilizarea anumitor competențe ale comisarului atunci când acest lucru este necesar în scopul protejării securității naționale. Aceasta include competența comisarului de a emite (orice tip de) notificări în temeiul DPA (notificări de informare, de evaluare, de executare și de sancționare), competența de a efectua inspecții în conformitate cu obligațiile internaționale, competențe de intrare și de inspecție, precum și norme privind infracțiunile (444). Astfel cum se explică în considerentul 126, aceste excepții se vor aplica numai dacă sunt necesare și proporționale și de la caz la caz.

444

| (249) | ICO și serviciile de informații din Regatul Unit au semnat un memorandum de înțelegere (445) care stabilește un cadru de cooperare cu privire la o serie de aspecte, inclusiv notificări privind încălcarea securității datelor și tratarea plângerilor persoanelor vizate. În special, acesta prevede că, la primirea unei plângeri, ICO va evalua dacă a fost utilizată în mod corespunzător aplicarea vreunei derogări în materie de securitate națională. Răspunsurile la întrebările adresate de ICO în contextul examinării plângerilor individuale trebuie să fie furnizate de către agenția de informații în cauză în termen de 20 de zile lucrătoare, utilizând canale securizate adecvate, în cazul în care acestea implică informații clasificate. Din aprilie 2018 până în prezent, ICO a primit 21 de plângeri de la persoane fizice cu privire la serviciile de informații. Fiecare plângere a fost evaluată, iar rezultatul a fost comunicat persoanei vizate (446). |
| --- | --- |

(249)

ICO și serviciile de informații din Regatul Unit au semnat un memorandum de înțelegere (445) care stabilește un cadru de cooperare cu privire la o serie de aspecte, inclusiv notificări privind încălcarea securității datelor și tratarea plângerilor persoanelor vizate. În special, acesta prevede că, la primirea unei plângeri, ICO va evalua dacă a fost utilizată în mod corespunzător aplicarea vreunei derogări în materie de securitate națională. Răspunsurile la întrebările adresate de ICO în contextul examinării plângerilor individuale trebuie să fie furnizate de către agenția de informații în cauză în termen de 20 de zile lucrătoare, utilizând canale securizate adecvate, în cazul în care acestea implică informații clasificate. Din aprilie 2018 până în prezent, ICO a primit 21 de plângeri de la persoane fizice cu privire la serviciile de informații. Fiecare plângere a fost evaluată, iar rezultatul a fost comunicat persoanei vizate (446).

445

446

3.3.3.2.   Supravegherea utilizării competențelor de investigare în temeiul IPA din 2016

Supravegherea utilizării competențelor de investigare în temeiul IPA din 2016

| (250) | În conformitate cu partea 8 din IPA din 2016, supravegherea utilizării competențelor de investigare este exercitată de comisarul pentru competențe de investigare (IPC). IPC este asistat de alți comisari judiciari, care sunt denumiți în mod colectiv comisari judiciari (447). IPA din 2016 stabilește garanțiile care protejează independența comisarilor judiciari. Comisarii judiciari trebuie să dețină sau să fi deținut o înaltă funcție judiciară (448) (adică să fie sau să fi fost membri ai instanțelor de cel mai înalt grad) și, ca orice membru al sistemului judiciar, aceștia beneficiază de un statut independent față de guvern (449). În temeiul secțiunii 227 din IPA din 2016, prim-ministrul este cel care numește IPC și numărul de comisari judiciari pe care îl consideră necesar. Toți comisarii, indiferent dacă sunt actuali sau foști membri ai sistemului judiciar, pot fi numiți numai pe baza unei recomandări comune din partea celor trei judecători șefi (Chief Justices) pentru Anglia & Țara Galilor, Scoția și Irlanda de Nord și Lord Cancelar (450). Secretarul de stat trebuie să furnizeze IPC personal, localuri, echipamente și alte instalații și servicii (451). Mandatul comisarilor este de trei ani, aceștia putând fi numiți din nou (452). Ca o garanție suplimentară a independenței lor, comisarii judiciari pot fi revocați din funcție numai în condiții stricte care impun un prag ridicat: fie de către prim-ministru în circumstanțele specifice enumerate în mod exhaustiv în secțiunea 228 punctul 5 din IPA din 2016 (cum ar fi falimentul sau încarcerarea), fie în cazul în care fiecare cameră a Parlamentului a adoptat o hotărâre de aprobare a revocării (453). |
| --- | --- |

(250)

În conformitate cu partea 8 din IPA din 2016, supravegherea utilizării competențelor de investigare este exercitată de comisarul pentru competențe de investigare (IPC). IPC este asistat de alți comisari judiciari, care sunt denumiți în mod colectiv comisari judiciari (447). IPA din 2016 stabilește garanțiile care protejează independența comisarilor judiciari. Comisarii judiciari trebuie să dețină sau să fi deținut o înaltă funcție judiciară (448) (adică să fie sau să fi fost membri ai instanțelor de cel mai înalt grad) și, ca orice membru al sistemului judiciar, aceștia beneficiază de un statut independent față de guvern (449). În temeiul secțiunii 227 din IPA din 2016, prim-ministrul este cel care numește IPC și numărul de comisari judiciari pe care îl consideră necesar. Toți comisarii, indiferent dacă sunt actuali sau foști membri ai sistemului judiciar, pot fi numiți numai pe baza unei recomandări comune din partea celor trei judecători șefi (Chief Justices) pentru Anglia & Țara Galilor, Scoția și Irlanda de Nord și Lord Cancelar (450). Secretarul de stat trebuie să furnizeze IPC personal, localuri, echipamente și alte instalații și servicii (451). Mandatul comisarilor este de trei ani, aceștia putând fi numiți din nou (452). Ca o garanție suplimentară a independenței lor, comisarii judiciari pot fi revocați din funcție numai în condiții stricte care impun un prag ridicat: fie de către prim-ministru în circumstanțele specifice enumerate în mod exhaustiv în secțiunea 228 punctul 5 din IPA din 2016 (cum ar fi falimentul sau încarcerarea), fie în cazul în care fiecare cameră a Parlamentului a adoptat o hotărâre de aprobare a revocării (453).

447

448

449

450

451

452

453

| (251) | IPC și comisarii judiciari sunt sprijiniți în ceea ce privește rolurile lor de către Biroul comisarului pentru competențe de investigare (IPCO). Personalul IPCO include o echipă de inspectori, expertiză juridică și tehnică internă și un grup consultativ tehnologic care oferă consultanță de specialitate. La fel ca în cazul comisarilor judiciari individuali, independența IPCO este protejată. IPCO este un „organism independent” (arm’s-length body) în cadrul Ministerului de Interne, și anume primește finanțare din partea Ministerului de Interne, dar își îndeplinește funcțiile în mod independent (454). |
| --- | --- |

(251)

IPC și comisarii judiciari sunt sprijiniți în ceea ce privește rolurile lor de către Biroul comisarului pentru competențe de investigare (IPCO). Personalul IPCO include o echipă de inspectori, expertiză juridică și tehnică internă și un grup consultativ tehnologic care oferă consultanță de specialitate. La fel ca în cazul comisarilor judiciari individuali, independența IPCO este protejată. IPCO este un „organism independent” (arm’s-length body) în cadrul Ministerului de Interne, și anume primește finanțare din partea Ministerului de Interne, dar își îndeplinește funcțiile în mod independent (454).

arm’s-length body

454

| (252) | Principalele funcții ale comisarilor judiciari sunt stabilite în secțiunea 229 din IPA din 2016 (455). În special, comisarii judiciari dispun de o competență extinsă de aprobare prealabilă, care face parte din garanțiile introduse în cadrul juridic al Regatului Unit prin IPA din 2016. Mandatele în legătură cu interceptarea țintită, intervenția asupra echipamentelor, seturile de date cu caracter personal colectate în masă, achiziția în masă a datelor comunicațiilor, precum și notificările de păstrare a datelor comunicațiilor trebuie să fie aprobate de comisarii judiciari (456). De asemenea, IPC trebuie să pre-autorizeze întotdeauna achiziția datelor comunicațiilor în scopul asigurării respectării legii (457). În cazul în care un comisar refuză să aprobe un mandat, secretarul de stat poate depune o contestație la comisarul pentru competențe de investigare, a cărui decizie este definitivă. |
| --- | --- |

(252)

Principalele funcții ale comisarilor judiciari sunt stabilite în secțiunea 229 din IPA din 2016 (455). În special, comisarii judiciari dispun de o competență extinsă de aprobare prealabilă, care face parte din garanțiile introduse în cadrul juridic al Regatului Unit prin IPA din 2016. Mandatele în legătură cu interceptarea țintită, intervenția asupra echipamentelor, seturile de date cu caracter personal colectate în masă, achiziția în masă a datelor comunicațiilor, precum și notificările de păstrare a datelor comunicațiilor trebuie să fie aprobate de comisarii judiciari (456). De asemenea, IPC trebuie să pre-autorizeze întotdeauna achiziția datelor comunicațiilor în scopul asigurării respectării legii (457). În cazul în care un comisar refuză să aprobe un mandat, secretarul de stat poate depune o contestație la comisarul pentru competențe de investigare, a cărui decizie este definitivă.

455

456

457

| (253) | Raportorul special al ONU privind dreptul la viață privată a salutat înființarea comisarilor judiciari în temeiul IPA din 2016, deoarece „toate cererile mai sensibile sau mai intruzive de a efectua supravegherea trebuie să fie autorizate atât de un ministru al Cabinetului, cât și de Biroul comisarului pentru competențe de investigare”. În special, acesta a subliniat că „acest element al controlului jurisdicțional [prin rolul IPC], alături de o echipă cu resurse mai bune de inspectori și experți cu experiență în domeniul tehnologiei, reprezintă una dintre cele mai importante garanții noi introduse de IPA”, care a înlocuit un sistem anterior fragmentat de autorități de supraveghere și completează rolul Comisiei pentru Informații și Securitate a Parlamentului și al Tribunalului cu competențe de investigare” (458). |
| --- | --- |

(253)

Raportorul special al ONU privind dreptul la viață privată a salutat înființarea comisarilor judiciari în temeiul IPA din 2016, deoarece „toate cererile mai sensibile sau mai intruzive de a efectua supravegherea trebuie să fie autorizate atât de un ministru al Cabinetului, cât și de Biroul comisarului pentru competențe de investigare”. În special, acesta a subliniat că „acest element al controlului jurisdicțional [prin rolul IPC], alături de o echipă cu resurse mai bune de inspectori și experți cu experiență în domeniul tehnologiei, reprezintă una dintre cele mai importante garanții noi introduse de IPA”, care a înlocuit un sistem anterior fragmentat de autorități de supraveghere și completează rolul Comisiei pentru Informații și Securitate a Parlamentului și al Tribunalului cu competențe de investigare” (458).

458

| (254) | În plus, IPC are competența de a efectua o supraveghere ex post, inclusiv prin audit, inspecție și investigație, a utilizării competențelor de investigare în temeiul IPA din 2016 (459) și a altor competențe și funcții prevăzute în legislația relevantă (460). Rezultatele acestei supravegheri ex post sunt incluse în raportul pe care IPC trebuie să îl întocmească anual și să îl prezinte prim-ministrului (461) și care trebuie publicat și prezentat Parlamentului (462). Raportul conține statistici și informații relevante cu privire la utilizarea competențelor de investigare de către serviciile de informații și autoritățile de aplicare a legii, precum și cu privire la utilizarea garanțiilor în ceea ce privește articolele care fac obiectul secretului profesional al avocatului, materialele jurnalistice confidențiale și sursele de informare jurnalistice, informații privind măsurile luate și scopurile operaționale utilizate în contextul mandatelor în masă. În cele din urmă, în raportul anual al IPCO se specifică în ce domeniu au fost adresate recomandări autorităților publice și modul în care acestea au fost abordate (463). |
| --- | --- |

(254)

În plus, IPC are competența de a efectua o supraveghere ex post, inclusiv prin audit, inspecție și investigație, a utilizării competențelor de investigare în temeiul IPA din 2016 (459) și a altor competențe și funcții prevăzute în legislația relevantă (460). Rezultatele acestei supravegheri ex post sunt incluse în raportul pe care IPC trebuie să îl întocmească anual și să îl prezinte prim-ministrului (461) și care trebuie publicat și prezentat Parlamentului (462). Raportul conține statistici și informații relevante cu privire la utilizarea competențelor de investigare de către serviciile de informații și autoritățile de aplicare a legii, precum și cu privire la utilizarea garanțiilor în ceea ce privește articolele care fac obiectul secretului profesional al avocatului, materialele jurnalistice confidențiale și sursele de informare jurnalistice, informații privind măsurile luate și scopurile operaționale utilizate în contextul mandatelor în masă. În cele din urmă, în raportul anual al IPCO se specifică în ce domeniu au fost adresate recomandări autorităților publice și modul în care acestea au fost abordate (463).

ex post

459

460

ex post

461

462

463

| (255) | În conformitate cu secțiunea 231 din IPA din 2016, în cazul în care IPC ia cunoștință de o eroare relevantă comisă de autoritățile publice în exercitarea competențelor lor de investigare, acesta trebuie să informeze persoana în cauză atunci când consideră că eroarea este gravă și că este în interesul public ca persoana în cauză să fie informată (464). În special, secțiunea 231 din IPA din 2016 precizează că, atunci când informează o persoană cu privire la o eroare, IPC trebuie să furnizeze informații cu privire la orice drept al acesteia de a se adresa Tribunalului cu competențe de investigare și să furnizeze detaliile pe care comisarul le consideră necesare pentru exercitarea acestor drepturi și dacă există un interes public pentru divulgare (465). |
| --- | --- |

(255)

În conformitate cu secțiunea 231 din IPA din 2016, în cazul în care IPC ia cunoștință de o eroare relevantă comisă de autoritățile publice în exercitarea competențelor lor de investigare, acesta trebuie să informeze persoana în cauză atunci când consideră că eroarea este gravă și că este în interesul public ca persoana în cauză să fie informată (464). În special, secțiunea 231 din IPA din 2016 precizează că, atunci când informează o persoană cu privire la o eroare, IPC trebuie să furnizeze informații cu privire la orice drept al acesteia de a se adresa Tribunalului cu competențe de investigare și să furnizeze detaliile pe care comisarul le consideră necesare pentru exercitarea acestor drepturi și dacă există un interes public pentru divulgare (465).

464

465

3.3.3.3.   Supravegherea parlamentară a serviciilor de informații

Supravegherea parlamentară a serviciilor de informații

| (256) | Supravegherea parlamentară de către Comisia pentru Informații și Securitate (ISC) își are temeiul juridic în Justice and Security Act 2013 – Legea din 2013 privind justiția și securitatea (JSA 2013) (466). Legea instituie ISC ca o comisie a Parlamentului Regatului Unit. Începând din 2013, ISC a beneficiat de competențe sporite, inclusiv supravegherea activităților operaționale ale serviciilor de securitate. În temeiul secțiunii 2 din JSA din 2013, ISC are sarcina de a supraveghea cheltuielile, administrarea, politicile și operațiunile agențiilor de securitate națională. JSA din 2013 specifică faptul că ISC este în măsură să desfășoare investigații cu privire la aspecte operaționale atunci când acestea nu se referă la operațiuni în curs (467). Memorandumul de înțelegere convenit între prim-ministru și ISC (468) precizează în detaliu elementele care trebuie luate în considerare atunci când se analizează dacă o activitate nu face parte din nicio operațiune în curs (469). De asemenea, ISC poate fi invitată să investigheze operațiunile în curs de desfășurare de către prim-ministru și poate revizui informațiile furnizate în mod voluntar de agenții. |
| --- | --- |

(256)

Supravegherea parlamentară de către Comisia pentru Informații și Securitate (ISC) își are temeiul juridic în Justice and Security Act 2013 – Legea din 2013 privind justiția și securitatea (JSA 2013) (466). Legea instituie ISC ca o comisie a Parlamentului Regatului Unit. Începând din 2013, ISC a beneficiat de competențe sporite, inclusiv supravegherea activităților operaționale ale serviciilor de securitate. În temeiul secțiunii 2 din JSA din 2013, ISC are sarcina de a supraveghea cheltuielile, administrarea, politicile și operațiunile agențiilor de securitate națională. JSA din 2013 specifică faptul că ISC este în măsură să desfășoare investigații cu privire la aspecte operaționale atunci când acestea nu se referă la operațiuni în curs (467). Memorandumul de înțelegere convenit între prim-ministru și ISC (468) precizează în detaliu elementele care trebuie luate în considerare atunci când se analizează dacă o activitate nu face parte din nicio operațiune în curs (469). De asemenea, ISC poate fi invitată să investigheze operațiunile în curs de desfășurare de către prim-ministru și poate revizui informațiile furnizate în mod voluntar de agenții.

Justice and Security Act 2013

466

467

468

469

| (257) | În conformitate cu anexa 1 la JSA din 2013, ISC poate solicita șefilor oricăruia dintre cele trei servicii de informații să divulge informații. Agenția trebuie să pună la dispoziție aceste informații, cu excepția cazului în care secretarul de stat își exercită un drept de veto în acest sens (470). Potrivit explicațiilor furnizate de autoritățile Regatului Unit, în practică, foarte puține informații nu sunt comunicate ISC (471). |
| --- | --- |

(257)

În conformitate cu anexa 1 la JSA din 2013, ISC poate solicita șefilor oricăruia dintre cele trei servicii de informații să divulge informații. Agenția trebuie să pună la dispoziție aceste informații, cu excepția cazului în care secretarul de stat își exercită un drept de veto în acest sens (470). Potrivit explicațiilor furnizate de autoritățile Regatului Unit, în practică, foarte puține informații nu sunt comunicate ISC (471).

470

471

| (258) | ISC este alcătuită din membri care aparțin uneia dintre camerele Parlamentului și sunt numiți de prim-ministru după consultarea liderului opoziției (472). ISC trebuie să prezinte Parlamentului un raport anual privind îndeplinirea funcțiilor sale, precum și alte rapoarte pe care le consideră adecvate (473). În plus, ISC are dreptul de a primi, o dată la trei luni, lista scopurilor operaționale utilizate pentru examinarea materialelor obținute în masă (474). Prim-ministrul transmite ISC copii ale investigațiilor, inspecțiilor sau auditurilor comisarului pentru competențe de investigare atunci când chestiunea rapoartelor este relevantă pentru competențele statutare ale comisiei (475). În cele din urmă, comisia poate solicita IPC să efectueze o investigație, iar comisarul trebuie să informeze ISC cu privire la decizia de a efectua o astfel de investigație (476). |
| --- | --- |

(258)

ISC este alcătuită din membri care aparțin uneia dintre camerele Parlamentului și sunt numiți de prim-ministru după consultarea liderului opoziției (472). ISC trebuie să prezinte Parlamentului un raport anual privind îndeplinirea funcțiilor sale, precum și alte rapoarte pe care le consideră adecvate (473). În plus, ISC are dreptul de a primi, o dată la trei luni, lista scopurilor operaționale utilizate pentru examinarea materialelor obținute în masă (474). Prim-ministrul transmite ISC copii ale investigațiilor, inspecțiilor sau auditurilor comisarului pentru competențe de investigare atunci când chestiunea rapoartelor este relevantă pentru competențele statutare ale comisiei (475). În cele din urmă, comisia poate solicita IPC să efectueze o investigație, iar comisarul trebuie să informeze ISC cu privire la decizia de a efectua o astfel de investigație (476).

472

473

474

475

476

| (259) | ISC a contribuit, de asemenea, la proiectul IPA din 2016, conducând la o serie de amendamente care se reflectă în prezent în IPA din 2016 (477). În special, ISC a recomandat consolidarea măsurilor de protecție a vieții private prin introducerea unui set de măsuri de protecție a vieții private care să se aplice întregii game de competențe de investigare (478). De asemenea, aceasta a sugerat modificări ale capacităților propuse în ceea ce privește intervenția asupra echipamentelor, BPD și datele comunicațiilor și a solicitat alte modificări specifice în vederea consolidării limitărilor și garanțiilor pentru utilizarea competențelor de investigare (479). |
| --- | --- |

(259)

ISC a contribuit, de asemenea, la proiectul IPA din 2016, conducând la o serie de amendamente care se reflectă în prezent în IPA din 2016 (477). În special, ISC a recomandat consolidarea măsurilor de protecție a vieții private prin introducerea unui set de măsuri de protecție a vieții private care să se aplice întregii game de competențe de investigare (478). De asemenea, aceasta a sugerat modificări ale capacităților propuse în ceea ce privește intervenția asupra echipamentelor, BPD și datele comunicațiilor și a solicitat alte modificări specifice în vederea consolidării limitărilor și garanțiilor pentru utilizarea competențelor de investigare (479).

477

478

479

3.3.4.   Căi de atac

Căi de atac

| (260) | În domeniul accesului administrației publice în scopuri de securitate națională, persoanele vizate trebuie să dispună de posibilitatea de a exercita căi legale în fața unei instanțe judecătorești independente și imparțiale pentru a avea acces la date cu caracter personal care le privesc sau de a obține rectificarea sau ștergerea acestor date (480). Un astfel de organism judiciar trebuie să dispună, în special, de competența de a adopta decizii obligatorii cu privire la serviciul de informații (481). În Regatul Unit, astfel cum se explică în considerentele 261-271, o serie de căi de atac judiciare oferă persoanelor vizate posibilitatea de a introduce și de a obține astfel de căi de atac legale. |
| --- | --- |

(260)

În domeniul accesului administrației publice în scopuri de securitate națională, persoanele vizate trebuie să dispună de posibilitatea de a exercita căi legale în fața unei instanțe judecătorești independente și imparțiale pentru a avea acces la date cu caracter personal care le privesc sau de a obține rectificarea sau ștergerea acestor date (480). Un astfel de organism judiciar trebuie să dispună, în special, de competența de a adopta decizii obligatorii cu privire la serviciul de informații (481). În Regatul Unit, astfel cum se explică în considerentele 261-271, o serie de căi de atac judiciare oferă persoanelor vizate posibilitatea de a introduce și de a obține astfel de căi de atac legale.

480

481

3.3.4.1.   Mecanisme de exercitare a unei căi de atac disponibile în temeiul părții 4 din DPA

Mecanisme de exercitare a unei căi de atac disponibile în temeiul părții 4 din DPA

| (261) | În temeiul secțiunii 165 din DPA din 2018, o persoană vizată are dreptul de a depune o plângere la comisarul pentru informații în cazul în care persoana vizată consideră că, în ceea ce privește datele cu caracter personal care o privesc, există o încălcare a părții 4 din DPA din 2018. Comisarul pentru informații are competența de a evalua conformitatea operatorului și a persoanei împuternicite de operator cu DPA din 2018 și de a le impune să ia măsurile necesare. În plus, în temeiul părții 4 din DPA din 2018, persoanele fizice au dreptul să solicite Înaltei Curți (sau Court of Session din Scoția) un ordin prin care să îi impună operatorului să respecte drepturile de acces la date (482), să se opună prelucrării (483) și să rectifice sau să șteargă datele (484). |
| --- | --- |

(261)

În temeiul secțiunii 165 din DPA din 2018, o persoană vizată are dreptul de a depune o plângere la comisarul pentru informații în cazul în care persoana vizată consideră că, în ceea ce privește datele cu caracter personal care o privesc, există o încălcare a părții 4 din DPA din 2018. Comisarul pentru informații are competența de a evalua conformitatea operatorului și a persoanei împuternicite de operator cu DPA din 2018 și de a le impune să ia măsurile necesare. În plus, în temeiul părții 4 din DPA din 2018, persoanele fizice au dreptul să solicite Înaltei Curți (sau Court of Session din Scoția) un ordin prin care să îi impună operatorului să respecte drepturile de acces la date (482), să se opună prelucrării (483) și să rectifice sau să șteargă datele (484).

Court of Session

482

483

484

| (262) | De asemenea, persoanele fizice au dreptul să solicite operatorului sau unei persoane împuternicite de operator (485) despăgubiri pentru prejudiciile suferite ca urmare a încălcării unei cerințe prevăzute în partea 4 din DPA din 2018. Prejudiciul include atât pierderi financiare, cât și prejudicii care nu implică pierderi financiare, cum ar fi suferințele clinice (486). |
| --- | --- |

(262)

De asemenea, persoanele fizice au dreptul să solicite operatorului sau unei persoane împuternicite de operator (485) despăgubiri pentru prejudiciile suferite ca urmare a încălcării unei cerințe prevăzute în partea 4 din DPA din 2018. Prejudiciul include atât pierderi financiare, cât și prejudicii care nu implică pierderi financiare, cum ar fi suferințele clinice (486).

485

486

3.3.4.2.   Mecanisme de exercitare a unei căi de atac disponibile în cadrul IPA din 2016

Mecanisme de exercitare a unei căi de atac disponibile în cadrul IPA din 2016

| (263) | Persoanele fizice pot obține reparații pentru încălcări ale IPA din 2016 în fața Tribunalului cu competențe de investigare. |
| --- | --- |

(263)

Persoanele fizice pot obține reparații pentru încălcări ale IPA din 2016 în fața Tribunalului cu competențe de investigare.

| (264) | Tribunalul cu competențe de investigare este instituit prin RIPA din 2000 și este independent de puterea executivă (487). În conformitate cu secțiunea 65 din RIPA din 2000, membrii Tribunalului sunt numiți de Majestatea Sa pentru o perioadă de cinci ani. Un membru al Tribunalului poate fi revocat din funcție de Majestatea Sa în urma unei propuneri („address”) (488) formulate de ambele camere ale Parlamentului (489). |
| --- | --- |

(264)

Tribunalul cu competențe de investigare este instituit prin RIPA din 2000 și este independent de puterea executivă (487). În conformitate cu secțiunea 65 din RIPA din 2000, membrii Tribunalului sunt numiți de Majestatea Sa pentru o perioadă de cinci ani. Un membru al Tribunalului poate fi revocat din funcție de Majestatea Sa în urma unei propuneri („address”) (488) formulate de ambele camere ale Parlamentului (489).

487

address

488

489

| (265) | În temeiul secțiunii 65 din RIPA din 2000, Tribunalul este organismul judiciar adecvat pentru orice plângere depusă de o persoană lezată de un comportament prevăzut în IPA din 2016, RIPA din 2000 sau de orice comportament al serviciilor de informații (490). |
| --- | --- |

(265)

În temeiul secțiunii 65 din RIPA din 2000, Tribunalul este organismul judiciar adecvat pentru orice plângere depusă de o persoană lezată de un comportament prevăzut în IPA din 2016, RIPA din 2000 sau de orice comportament al serviciilor de informații (490).

490

| (266) | Pentru a introduce o acțiune în fața Tribunalului cu competențe de investigare („cerință privind calitatea procesuală”), în conformitate cu secțiunea 65 din RIPA din 2000, o persoană fizică trebuie să aibă convingerea (491) că a avut loc un serviciu de informații în legătură cu ea, cu privire la oricare dintre bunurile sale, cu privire la orice comunicare trimisă de sau către ea ori care îi este destinată sau utilizarea oricărui serviciu poștal, serviciu de telecomunicații sau sistem de telecomunicații (492). În plus, reclamantul trebuie să aibă convingerea că acest comportament a avut loc în „circumstanțe atacabile” (493) sau „a fost efectuat de către sau în numele serviciilor de informații” (494). Întrucât, în special, acest standard în materie de „convingere” a fost interpretat în sens destul de larg (495), introducerea unei cauze în fața tribunalului în cauză face obiectul unui nivel scăzut de cerințe privind calitatea procesuală. |
| --- | --- |

(266)

Pentru a introduce o acțiune în fața Tribunalului cu competențe de investigare („cerință privind calitatea procesuală”), în conformitate cu secțiunea 65 din RIPA din 2000, o persoană fizică trebuie să aibă convingerea (491) că a avut loc un serviciu de informații în legătură cu ea, cu privire la oricare dintre bunurile sale, cu privire la orice comunicare trimisă de sau către ea ori care îi este destinată sau utilizarea oricărui serviciu poștal, serviciu de telecomunicații sau sistem de telecomunicații (492). În plus, reclamantul trebuie să aibă convingerea că acest comportament a avut loc în „circumstanțe atacabile” (493) sau „a fost efectuat de către sau în numele serviciilor de informații” (494). Întrucât, în special, acest standard în materie de „convingere” a fost interpretat în sens destul de larg (495), introducerea unei cauze în fața tribunalului în cauză face obiectul unui nivel scăzut de cerințe privind calitatea procesuală.

491

492

493

494

495

| (267) | În cazul în care Tribunalul cu competențe de investigare examinează o plângere care îi este adresată, este de datoria Tribunalului să investigheze dacă persoanele împotriva cărora se face vreo acuzație în plângere au fost implicate în relații cu reclamantul, precum și să investigheze autoritatea care se presupune că a fost implicată în încălcări și dacă presupusul comportament a avut loc (496). În cazul în care tribunalul menționat judecă o procedură, acesta trebuie să aplice, în cadrul procedurii respective, aceleași principii care ar fi aplicate de o instanță cu privire la o cerere de control jurisdicțional (497). În plus, destinatarii mandatelor sau ai notificărilor în temeiul IPA din 2016, precum și orice altă persoană care deține o funcție în cadrul Coroanei, angajată de forțele de poliție sau de comisarul pentru investigații și evaluare a poliției (Police Investigations and Review Commissioner), au obligația de a divulga sau de a furniza Tribunalului respectiv toate documentele și informațiile de care Tribunalul ar putea avea nevoie pentru a le permite să își exercite competența (498). |
| --- | --- |

(267)

În cazul în care Tribunalul cu competențe de investigare examinează o plângere care îi este adresată, este de datoria Tribunalului să investigheze dacă persoanele împotriva cărora se face vreo acuzație în plângere au fost implicate în relații cu reclamantul, precum și să investigheze autoritatea care se presupune că a fost implicată în încălcări și dacă presupusul comportament a avut loc (496). În cazul în care tribunalul menționat judecă o procedură, acesta trebuie să aplice, în cadrul procedurii respective, aceleași principii care ar fi aplicate de o instanță cu privire la o cerere de control jurisdicțional (497). În plus, destinatarii mandatelor sau ai notificărilor în temeiul IPA din 2016, precum și orice altă persoană care deține o funcție în cadrul Coroanei, angajată de forțele de poliție sau de comisarul pentru investigații și evaluare a poliției (Police Investigations and Review Commissioner), au obligația de a divulga sau de a furniza Tribunalului respectiv toate documentele și informațiile de care Tribunalul ar putea avea nevoie pentru a le permite să își exercite competența (498).

496

497

Police Investigations and Review Commissioner

498

| (268) | Tribunalul cu competențe de investigare trebuie să informeze reclamantul dacă a fost luată o hotărâre în favoarea acestuia sau nu (499). În temeiul secțiunii 67 punctele 6 și 7 din RIPA din 2000, Tribunalul are competența de a emite ordine provizorii și de a pronunța orice hotărâre de despăgubire sau orice altă ordonanță pe care o consideră adecvată. Aceasta poate include un ordin de casare sau de anulare a oricărui mandat sau a oricărei autorizații și un ordin prin care se solicită distrugerea oricăror înregistrări de informații obținute în exercitarea oricărei competențe conferite de un mandat, o autorizație sau o notificare, sau altfel deținute de orice autoritate publică în legătură cu orice persoană (500). În conformitate cu secțiunea 67A din RIPA din 2000, o decizie a Tribunalului poate fi atacată, sub rezerva autorizării de către Tribunal sau de către instanța de apel competentă. |
| --- | --- |

(268)

Tribunalul cu competențe de investigare trebuie să informeze reclamantul dacă a fost luată o hotărâre în favoarea acestuia sau nu (499). În temeiul secțiunii 67 punctele 6 și 7 din RIPA din 2000, Tribunalul are competența de a emite ordine provizorii și de a pronunța orice hotărâre de despăgubire sau orice altă ordonanță pe care o consideră adecvată. Aceasta poate include un ordin de casare sau de anulare a oricărui mandat sau a oricărei autorizații și un ordin prin care se solicită distrugerea oricăror înregistrări de informații obținute în exercitarea oricărei competențe conferite de un mandat, o autorizație sau o notificare, sau altfel deținute de orice autoritate publică în legătură cu orice persoană (500). În conformitate cu secțiunea 67A din RIPA din 2000, o decizie a Tribunalului poate fi atacată, sub rezerva autorizării de către Tribunal sau de către instanța de apel competentă.

499

500

| (269) | În cele din urmă, trebuie remarcat faptul că rolul Tribunalului cu competențe de investigare a fost discutat în contextul acțiunilor în justiție introduse în fața Curții Europene a Drepturilor Omului în mai multe rânduri, în special în cauza Kennedy/Regatul Unit (501) și, mai recent, în cauza Big Brother Watch și alții/Regatul Unit (502), în care Curtea a declarat că „IPT a oferit o cale de atac judiciară solidă oricărei persoane care a suspectat faptul că comunicațiile sale au fost interceptate de serviciile de informații” (503). |
| --- | --- |

(269)

În cele din urmă, trebuie remarcat faptul că rolul Tribunalului cu competențe de investigare a fost discutat în contextul acțiunilor în justiție introduse în fața Curții Europene a Drepturilor Omului în mai multe rânduri, în special în cauza Kennedy/Regatul Unit (501) și, mai recent, în cauza Big Brother Watch și alții/Regatul Unit (502), în care Curtea a declarat că „IPT a oferit o cale de atac judiciară solidă oricărei persoane care a suspectat faptul că comunicațiile sale au fost interceptate de serviciile de informații” (503).

Kennedy/Regatul Unit

501

Big Brother Watch și alții/Regatul Unit

502

503

3.3.4.3.   Alte mecanisme de exercitare a unei căi de atac disponibile

Alte mecanisme de exercitare a unei căi de atac disponibile

| (270) | Astfel cum se explică în considerentele 109-111, căile de atac prevăzute de Legea privind drepturile omului din 1998 și în fața Curții Europene Drepturilor Omului (504) sunt, de asemenea, disponibile în domeniul securității naționale. Secțiunea 65 punctul 2 din RIPA din 2000 acordă Tribunalului cu competențe de investigare competență judiciară exclusivă pentru toate cererile în baza Legii privind drepturile omului în legătură cu agențiile de informații (505). Astfel cum a remarcat High Court (Înalta Curte), aceasta înseamnă că „dacă a existat o încălcare a HRA cu privire la situația de fapt dintr-o anumită cauză, acest fapt poate fi invocat și soluționat, în principiu, de către un tribunal independent care poate avea acces la toate elementele relevante, inclusiv la materiale secrete. [...] De asemenea, în acest context, avem în vedere faptul că Tribunalul este în prezent supus posibilității de a introduce o cale de atac la o instanță de apel adecvată (în Anglia și Țara Galilor, aceasta este Curtea de Apel); iar Curtea Supremă a decis recent că Tribunalul poate, în principiu, să facă obiectul unui control jurisdicțional: a se vedea R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (506). |
| --- | --- |

(270)

Astfel cum se explică în considerentele 109-111, căile de atac prevăzute de Legea privind drepturile omului din 1998 și în fața Curții Europene Drepturilor Omului (504) sunt, de asemenea, disponibile în domeniul securității naționale. Secțiunea 65 punctul 2 din RIPA din 2000 acordă Tribunalului cu competențe de investigare competență judiciară exclusivă pentru toate cererile în baza Legii privind drepturile omului în legătură cu agențiile de informații (505). Astfel cum a remarcat High Court (Înalta Curte), aceasta înseamnă că „dacă a existat o încălcare a HRA cu privire la situația de fapt dintr-o anumită cauză, acest fapt poate fi invocat și soluționat, în principiu, de către un tribunal independent care poate avea acces la toate elementele relevante, inclusiv la materiale secrete. [...] De asemenea, în acest context, avem în vedere faptul că Tribunalul este în prezent supus posibilității de a introduce o cale de atac la o instanță de apel adecvată (în Anglia și Țara Galilor, aceasta este Curtea de Apel); iar Curtea Supremă a decis recent că Tribunalul poate, în principiu, să facă obiectul unui control jurisdicțional: a se vedea R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (506).

504

505

506

| (271) | Din cele de mai sus rezultă că, atunci când autoritățile de aplicare a legii sau autoritățile de securitate națională din Regatul Unit accesează date cu caracter personal care intră în domeniul de aplicare al prezentei decizii, un astfel de acces este reglementat de legi care stabilesc condițiile în care poate avea loc accesul și asigură faptul că accesul și utilizarea ulterioară a datelor sunt limitate la ceea ce este necesar și proporțional cu obiectivul de asigurare a respectării legii sau de securitate națională urmărit. În plus, un astfel de acces face, în majoritatea cazurilor, obiectul unei autorizări prealabile de către un organism judiciar, prin aprobarea unui mandat sau a unui ordin de divulgare și, în orice caz, al unei supravegheri independente. Odată ce datele au fost accesate de autoritățile publice, prelucrarea acestora, inclusiv partajarea și transferurile ulterioare, face obiectul unor garanții specifice privind protecția datelor prevăzute în partea 3 din DPA din 2018, care le reflectă pe cele prevăzute în Directiva (UE) 2016/680, pentru prelucrarea de către autoritățile de aplicare a legii și în partea 4 din DPA din 2018 pentru prelucrarea de către serviciile de informații. În cele din urmă, persoanele vizate beneficiază în acest domeniu de căi de atac administrative și judiciare eficace, inclusiv dreptul de a obține accesul la datele lor sau dreptul la rectificarea sau ștergerea datelor respective. |
| --- | --- |

(271)

Din cele de mai sus rezultă că, atunci când autoritățile de aplicare a legii sau autoritățile de securitate națională din Regatul Unit accesează date cu caracter personal care intră în domeniul de aplicare al prezentei decizii, un astfel de acces este reglementat de legi care stabilesc condițiile în care poate avea loc accesul și asigură faptul că accesul și utilizarea ulterioară a datelor sunt limitate la ceea ce este necesar și proporțional cu obiectivul de asigurare a respectării legii sau de securitate națională urmărit. În plus, un astfel de acces face, în majoritatea cazurilor, obiectul unei autorizări prealabile de către un organism judiciar, prin aprobarea unui mandat sau a unui ordin de divulgare și, în orice caz, al unei supravegheri independente. Odată ce datele au fost accesate de autoritățile publice, prelucrarea acestora, inclusiv partajarea și transferurile ulterioare, face obiectul unor garanții specifice privind protecția datelor prevăzute în partea 3 din DPA din 2018, care le reflectă pe cele prevăzute în Directiva (UE) 2016/680, pentru prelucrarea de către autoritățile de aplicare a legii și în partea 4 din DPA din 2018 pentru prelucrarea de către serviciile de informații. În cele din urmă, persoanele vizate beneficiază în acest domeniu de căi de atac administrative și judiciare eficace, inclusiv dreptul de a obține accesul la datele lor sau dreptul la rectificarea sau ștergerea datelor respective.

| (272) | Având în vedere importanța acestor condiții, limitări și garanții în sensul prezentei decizii, Comisia va monitoriza îndeaproape aplicarea și interpretarea normelor Regatului Unit care reglementează accesul guvernului la date. Aceasta va include evoluțiile legislative, de reglementare și ale jurisprudenței relevante, precum și activitățile ICO și ale altor autorități de supraveghere în acest domeniu. De asemenea, se va acorda o atenție deosebită executării de către Regatul Unit a hotărârilor relevante ale Curții Europene a Drepturilor Omului, inclusiv a măsurilor identificate în „planurile de acțiune” și în „rapoartele de acțiune” prezentate Comitetului de Miniștri în contextul supravegherii respectării hotărârilor Curții. |
| --- | --- |

(272)

Având în vedere importanța acestor condiții, limitări și garanții în sensul prezentei decizii, Comisia va monitoriza îndeaproape aplicarea și interpretarea normelor Regatului Unit care reglementează accesul guvernului la date. Aceasta va include evoluțiile legislative, de reglementare și ale jurisprudenței relevante, precum și activitățile ICO și ale altor autorități de supraveghere în acest domeniu. De asemenea, se va acorda o atenție deosebită executării de către Regatul Unit a hotărârilor relevante ale Curții Europene a Drepturilor Omului, inclusiv a măsurilor identificate în „planurile de acțiune” și în „rapoartele de acțiune” prezentate Comitetului de Miniștri în contextul supravegherii respectării hotărârilor Curții.

4.   CONCLUZIE

CONCLUZIE

| (273) | Comisia consideră că RGPD al Regatului Unit și DPA din 2018 asigură un nivel de protecție a datelor cu caracter personal transferate din Uniunea Europeană, care este în esență echivalent cu cel garantat de Regulamentul (UE) 2016/679. |
| --- | --- |

(273)

Comisia consideră că RGPD al Regatului Unit și DPA din 2018 asigură un nivel de protecție a datelor cu caracter personal transferate din Uniunea Europeană, care este în esență echivalent cu cel garantat de Regulamentul (UE) 2016/679.

| (274) | În plus, Comisia consideră că, în ansamblu, mecanismele de supraveghere și căile de atac prevăzute în legislația Regatului Unit permit detectarea și pedepsirea în practică a încălcărilor comise și pun la dispoziția persoanelor vizate căile de atac juridice necesare pentru a obține accesul la datele cu caracter personal care le privesc și, în cele din urmă, rectificarea sau ștergerea datelor respective. |
| --- | --- |

(274)

În plus, Comisia consideră că, în ansamblu, mecanismele de supraveghere și căile de atac prevăzute în legislația Regatului Unit permit detectarea și pedepsirea în practică a încălcărilor comise și pun la dispoziția persoanelor vizate căile de atac juridice necesare pentru a obține accesul la datele cu caracter personal care le privesc și, în cele din urmă, rectificarea sau ștergerea datelor respective.

| (275) | În cele din urmă, pe baza informațiilor disponibile cu privire la ordinea juridică a Regatului Unit, Comisia consideră că orice atingere adusă, în scopuri de interes public, în special în scopul asigurării respectării legii și al securității naționale, de autoritățile publice ale Regatului Unit drepturilor fundamentale ale persoanelor fizice ale căror date cu caracter personal sunt transferate din Uniunea Europeană în Regatul Unit, se va limita la ceea ce este strict necesar pentru îndeplinirea obiectivului legitim în cauză, cât și că există o protecție juridică eficace împotriva unor astfel de atingeri. |
| --- | --- |

(275)

În cele din urmă, pe baza informațiilor disponibile cu privire la ordinea juridică a Regatului Unit, Comisia consideră că orice atingere adusă, în scopuri de interes public, în special în scopul asigurării respectării legii și al securității naționale, de autoritățile publice ale Regatului Unit drepturilor fundamentale ale persoanelor fizice ale căror date cu caracter personal sunt transferate din Uniunea Europeană în Regatul Unit, se va limita la ceea ce este strict necesar pentru îndeplinirea obiectivului legitim în cauză, cât și că există o protecție juridică eficace împotriva unor astfel de atingeri.

| (276) | Prin urmare, în lumina constatărilor prezentei decizii, ar trebui să se decidă că Regatul Unit asigură un nivel adecvat de protecție în sensul articolului 45 din Regulamentul (UE) 2016/679, interpretat în lumina Cartei drepturilor fundamentale a Uniunii Europene. |
| --- | --- |

(276)

Prin urmare, în lumina constatărilor prezentei decizii, ar trebui să se decidă că Regatul Unit asigură un nivel adecvat de protecție în sensul articolului 45 din Regulamentul (UE) 2016/679, interpretat în lumina Cartei drepturilor fundamentale a Uniunii Europene.

| (277) | Această concluzie se bazează atât pe regimul intern relevant al Regatului Unit, cât și pe angajamentele sale internaționale, în special aderarea la Convenția europeană a drepturilor omului și recunoașterea competenței Curții Europene a Drepturilor Omului. Respectarea în continuare a acestor obligații internaționale este, prin urmare, un element deosebit de important al evaluării pe care se bazează prezenta decizie. |
| --- | --- |

(277)

Această concluzie se bazează atât pe regimul intern relevant al Regatului Unit, cât și pe angajamentele sale internaționale, în special aderarea la Convenția europeană a drepturilor omului și recunoașterea competenței Curții Europene a Drepturilor Omului. Respectarea în continuare a acestor obligații internaționale este, prin urmare, un element deosebit de important al evaluării pe care se bazează prezenta decizie.

5.   EFECTELE PREZENTEI DECIZII ȘI ACȚIUNILE AUTORITĂȚILOR PENTRU PROTECȚIA DATELOR

EFECTELE PREZENTEI DECIZII ȘI ACȚIUNILE AUTORITĂȚILOR PENTRU PROTECȚIA DATELOR

| (278) | Statele membre și organele acestora au obligația de a lua măsurile necesare pentru a se conforma actelor instituțiilor Uniunii, întrucât se presupune că aceste acte sunt legale și, prin urmare, produc efecte juridice atât timp cât nu expiră, sunt retrase, anulate în cadrul unei acțiuni în anulare sau declarate nule ca urmare a unei trimiteri preliminare sau a unei excepții de nelegalitate. |
| --- | --- |

(278)

Statele membre și organele acestora au obligația de a lua măsurile necesare pentru a se conforma actelor instituțiilor Uniunii, întrucât se presupune că aceste acte sunt legale și, prin urmare, produc efecte juridice atât timp cât nu expiră, sunt retrase, anulate în cadrul unei acțiuni în anulare sau declarate nule ca urmare a unei trimiteri preliminare sau a unei excepții de nelegalitate.

| (279) | În consecință, o decizie a Comisiei privind caracterul adecvat al nivelului de protecție, adoptată în temeiul articolului 45 alineatul (3) din Regulamentul (UE) 2016/679, este obligatorie pentru toate organele statelor membre cărora li se adresează, inclusiv pentru autoritățile de supraveghere independente ale acestora. În special, în cursul perioadei de aplicare a prezentei decizii, transferurile de la un operator sau de la o persoană împuternicită de operator din Uniunea Europeană către operatori sau persoane împuternicite de operatori din Regatul Unit pot avea loc fără a fi necesară obținerea unei autorizații suplimentare. |
| --- | --- |

(279)

În consecință, o decizie a Comisiei privind caracterul adecvat al nivelului de protecție, adoptată în temeiul articolului 45 alineatul (3) din Regulamentul (UE) 2016/679, este obligatorie pentru toate organele statelor membre cărora li se adresează, inclusiv pentru autoritățile de supraveghere independente ale acestora. În special, în cursul perioadei de aplicare a prezentei decizii, transferurile de la un operator sau de la o persoană împuternicită de operator din Uniunea Europeană către operatori sau persoane împuternicite de operatori din Regatul Unit pot avea loc fără a fi necesară obținerea unei autorizații suplimentare.

| (280) | Ar trebui reamintit faptul că, în temeiul articolului 58 alineatul (5) din Regulamentul (UE) 2016/679 și astfel cum este explicat de Curtea de Justiție în hotărârea pronunțată în cauza Schrems (507), în cazul în care o autoritate națională de protecție a datelor pune sub semnul întrebării, inclusiv în urma primirii unei plângeri, compatibilitatea unei decizii a Comisiei privind caracterul adecvat al nivelului de protecție cu dreptul fundamental al unei persoane la viață privată și la protecția datelor, legislația națională trebuie să prevadă o cale de atac pentru a prezenta obiecțiile respective în fața unei instanțe naționale, care poate fi obligată să efectueze o trimitere preliminară către Curtea de Justiție (508). |
| --- | --- |

(280)

Ar trebui reamintit faptul că, în temeiul articolului 58 alineatul (5) din Regulamentul (UE) 2016/679 și astfel cum este explicat de Curtea de Justiție în hotărârea pronunțată în cauza Schrems (507), în cazul în care o autoritate națională de protecție a datelor pune sub semnul întrebării, inclusiv în urma primirii unei plângeri, compatibilitatea unei decizii a Comisiei privind caracterul adecvat al nivelului de protecție cu dreptul fundamental al unei persoane la viață privată și la protecția datelor, legislația națională trebuie să prevadă o cale de atac pentru a prezenta obiecțiile respective în fața unei instanțe naționale, care poate fi obligată să efectueze o trimitere preliminară către Curtea de Justiție (508).

Schrems

507

508

6.   MONITORIZAREA, SUSPENDAREA, ABROGAREA SAU MODIFICAREA PREZENTEI DECIZII

MONITORIZAREA, SUSPENDAREA, ABROGAREA SAU MODIFICAREA PREZENTEI DECIZII

| (281) | În temeiul articolului 45 alineatul (4) din Regulamentul (UE) 2016/679, Comisia trebuie să monitorizeze în permanență evoluțiile relevante din Regatul Unit după adoptarea prezentei decizii pentru a evalua dacă aceasta garantează în continuare un nivel de protecție echivalent în esență. O astfel de monitorizare este deosebit de importantă în acest caz, întrucât Regatul Unit va administra, va aplica și va asigura respectarea unui nou regim de protecție a datelor care nu mai intră sub incidența dreptului Uniunii Europene și care ar putea evolua. În acest sens, se va acorda o atenție deosebită aplicării în practică a normelor Regatului Unit privind transferurile de date cu caracter personal către țări terțe, impactului pe care aceasta l-ar putea avea asupra nivelului de protecție acordat datelor transferate în temeiul prezentei decizii; eficacității exercitării drepturilor individuale, inclusiv orice evoluție relevantă a legislației și a practicii în ceea ce privește excepțiile sau restricțiile privind aceste drepturi (în special cel referitor la menținerea unui control efectiv al imigrației); precum și respectării limitărilor și a garanțiilor în ceea ce privește accesul guvernului. Printre alte elemente, evoluțiile jurisprudenței și supravegherea de către ICO și alte organisme independente vor contribui la monitorizarea efectuată de Comisie. |
| --- | --- |

(281)

În temeiul articolului 45 alineatul (4) din Regulamentul (UE) 2016/679, Comisia trebuie să monitorizeze în permanență evoluțiile relevante din Regatul Unit după adoptarea prezentei decizii pentru a evalua dacă aceasta garantează în continuare un nivel de protecție echivalent în esență. O astfel de monitorizare este deosebit de importantă în acest caz, întrucât Regatul Unit va administra, va aplica și va asigura respectarea unui nou regim de protecție a datelor care nu mai intră sub incidența dreptului Uniunii Europene și care ar putea evolua. În acest sens, se va acorda o atenție deosebită aplicării în practică a normelor Regatului Unit privind transferurile de date cu caracter personal către țări terțe, impactului pe care aceasta l-ar putea avea asupra nivelului de protecție acordat datelor transferate în temeiul prezentei decizii; eficacității exercitării drepturilor individuale, inclusiv orice evoluție relevantă a legislației și a practicii în ceea ce privește excepțiile sau restricțiile privind aceste drepturi (în special cel referitor la menținerea unui control efectiv al imigrației); precum și respectării limitărilor și a garanțiilor în ceea ce privește accesul guvernului. Printre alte elemente, evoluțiile jurisprudenței și supravegherea de către ICO și alte organisme independente vor contribui la monitorizarea efectuată de Comisie.

| (282) | Pentru a facilita această monitorizare, autoritățile Regatului Unit ar trebui să informeze cu promptitudine Comisia cu privire la orice modificare substanțială a ordinii juridice a Regatului Unit care are un impact asupra cadrului juridic care face obiectul prezentei decizii, precum și cu privire la orice evoluție a practicilor legate de prelucrarea datelor cu caracter personal evaluate în prezenta decizie, atât în ceea ce privește prelucrarea datelor cu caracter personal de către operatori și persoane împuternicite de operatori în temeiul RGPD al Regatului Unit, cât și limitările și garanțiile aplicabile accesului autorităților publice la datele cu caracter personal. Aceasta ar trebui să includă evoluțiile privind elementele menționate în considerentul 281. |
| --- | --- |

(282)

Pentru a facilita această monitorizare, autoritățile Regatului Unit ar trebui să informeze cu promptitudine Comisia cu privire la orice modificare substanțială a ordinii juridice a Regatului Unit care are un impact asupra cadrului juridic care face obiectul prezentei decizii, precum și cu privire la orice evoluție a practicilor legate de prelucrarea datelor cu caracter personal evaluate în prezenta decizie, atât în ceea ce privește prelucrarea datelor cu caracter personal de către operatori și persoane împuternicite de operatori în temeiul RGPD al Regatului Unit, cât și limitările și garanțiile aplicabile accesului autorităților publice la datele cu caracter personal. Aceasta ar trebui să includă evoluțiile privind elementele menționate în considerentul 281.

| (283) | În plus, pentru a permite Comisiei să își exercite în mod eficace funcția de monitorizare, statele membre ar trebui să informeze Comisia cu privire la orice acțiune relevantă întreprinsă de autoritățile naționale de protecție a datelor, în special în ceea ce privește solicitările sau plângerile formulate de persoanele vizate din UE cu privire la transferul de date cu caracter personal din Uniunea Europeană către operatori sau persoane împuternicite de operatori din Regatul Unit. De asemenea, Comisia ar trebui să fie informată cu privire la orice indiciu potrivit căruia acțiunile autorităților publice din Regatul Unit responsabile cu prevenirea, investigarea, detectarea sau aducerea în fața instanței a infracțiunilor sau cu securitatea națională, inclusiv acțiunile oricărui organism de supraveghere, nu asigură nivelul de protecție necesar. |
| --- | --- |

(283)

În plus, pentru a permite Comisiei să își exercite în mod eficace funcția de monitorizare, statele membre ar trebui să informeze Comisia cu privire la orice acțiune relevantă întreprinsă de autoritățile naționale de protecție a datelor, în special în ceea ce privește solicitările sau plângerile formulate de persoanele vizate din UE cu privire la transferul de date cu caracter personal din Uniunea Europeană către operatori sau persoane împuternicite de operatori din Regatul Unit. De asemenea, Comisia ar trebui să fie informată cu privire la orice indiciu potrivit căruia acțiunile autorităților publice din Regatul Unit responsabile cu prevenirea, investigarea, detectarea sau aducerea în fața instanței a infracțiunilor sau cu securitatea națională, inclusiv acțiunile oricărui organism de supraveghere, nu asigură nivelul de protecție necesar.

| (284) | În cazul în care informațiile disponibile, în special informațiile care rezultă din monitorizarea prezentei decizii sau cele furnizate de autoritățile Regatului Unit sau ale statelor membre, arată că nivelul de protecție oferit de Regatul Unit ar putea să nu mai fie adecvat, Comisia ar trebui să informeze autoritățile Regatului Unit competente în acest sens și să solicite luarea unor măsuri adecvate într-un termen rezonabil specificat, care nu poate depăși trei luni. Dacă este necesar, acest termen poate fi prelungit cu o anumită perioadă de timp, ținând seama de natura problemei în cauză și/sau de măsurile care trebuie luate. De exemplu, o astfel de procedură ar fi declanșată în cazurile în care transferurile ulterioare, inclusiv pe baza noilor regulamente privind caracterul adecvat al nivelului de protecție adoptate de secretarul de stat sau a acordurilor internaționale încheiate de Regatul Unit, nu ar mai fi efectuate cu respectarea unor garanții care să asigure continuitatea protecției în sensul articolului 44 din Regulamentul (UE) 2016/679. |
| --- | --- |

(284)

În cazul în care informațiile disponibile, în special informațiile care rezultă din monitorizarea prezentei decizii sau cele furnizate de autoritățile Regatului Unit sau ale statelor membre, arată că nivelul de protecție oferit de Regatul Unit ar putea să nu mai fie adecvat, Comisia ar trebui să informeze autoritățile Regatului Unit competente în acest sens și să solicite luarea unor măsuri adecvate într-un termen rezonabil specificat, care nu poate depăși trei luni. Dacă este necesar, acest termen poate fi prelungit cu o anumită perioadă de timp, ținând seama de natura problemei în cauză și/sau de măsurile care trebuie luate. De exemplu, o astfel de procedură ar fi declanșată în cazurile în care transferurile ulterioare, inclusiv pe baza noilor regulamente privind caracterul adecvat al nivelului de protecție adoptate de secretarul de stat sau a acordurilor internaționale încheiate de Regatul Unit, nu ar mai fi efectuate cu respectarea unor garanții care să asigure continuitatea protecției în sensul articolului 44 din Regulamentul (UE) 2016/679.

| (285) | În cazul în care, la expirarea termenului specificat, autoritățile competente ale Regatului Unit nu iau măsurile respective sau nu demonstrează în mod satisfăcător că prezenta decizie continuă să se bazeze pe un nivel adecvat de protecție, Comisia va iniția procedura menționată la articolul 93 alineatul (2) din Regulamentul (UE) 2016/679 în vederea suspendării sau abrogării parțiale sau integrale a prezentei decizii. |
| --- | --- |

(285)

În cazul în care, la expirarea termenului specificat, autoritățile competente ale Regatului Unit nu iau măsurile respective sau nu demonstrează în mod satisfăcător că prezenta decizie continuă să se bazeze pe un nivel adecvat de protecție, Comisia va iniția procedura menționată la articolul 93 alineatul (2) din Regulamentul (UE) 2016/679 în vederea suspendării sau abrogării parțiale sau integrale a prezentei decizii.

| (286) | Ca alternativă, Comisia va iniția această procedură în vederea modificării prezentei decizii, în special prin aplicarea unor condiții suplimentare transferurilor de date sau prin limitarea domeniului de aplicare al constatării referitoare la caracterul adecvat numai la transferurile de date pentru care se asigură în continuare un nivel adecvat de protecție. |
| --- | --- |

(286)

Ca alternativă, Comisia va iniția această procedură în vederea modificării prezentei decizii, în special prin aplicarea unor condiții suplimentare transferurilor de date sau prin limitarea domeniului de aplicare al constatării referitoare la caracterul adecvat numai la transferurile de date pentru care se asigură în continuare un nivel adecvat de protecție.

| (287) | Din motive imperioase de urgență justificate corespunzător, Comisia va face uz de posibilitatea de a adopta, în conformitate cu procedura menționată la articolul 93 alineatul (3) din Regulamentul (UE) 2016/679, acte de punere în aplicare imediat aplicabile de suspendare, abrogare sau modificare a deciziei. |
| --- | --- |

(287)

Din motive imperioase de urgență justificate corespunzător, Comisia va face uz de posibilitatea de a adopta, în conformitate cu procedura menționată la articolul 93 alineatul (3) din Regulamentul (UE) 2016/679, acte de punere în aplicare imediat aplicabile de suspendare, abrogare sau modificare a deciziei.

7.   DURATA ȘI REÎNNOIREA PREZENTEI DECIZII

DURATA ȘI REÎNNOIREA PREZENTEI DECIZII

| (288) | Comisia trebuie să țină seama de faptul că, odată cu încheierea perioadei de tranziție prevăzute în Acordul de retragere și de îndată ce dispoziția provizorie prevăzută la articolul 782 din Acordul comercial și de cooperare UE-Regatul Unit va înceta să se aplice, Regatul Unit va administra, va aplica și va asigura respectarea unui nou regim de protecție a datelor în raport cu cel în vigoare în perioada în care avea obligații în temeiul dreptului Uniunii. Acest lucru poate implica, în special, amendamente sau modificări ale cadrului de protecție a datelor evaluat în prezenta decizie, precum și alte evoluții relevante. |
| --- | --- |

(288)

Comisia trebuie să țină seama de faptul că, odată cu încheierea perioadei de tranziție prevăzute în Acordul de retragere și de îndată ce dispoziția provizorie prevăzută la articolul 782 din Acordul comercial și de cooperare UE-Regatul Unit va înceta să se aplice, Regatul Unit va administra, va aplica și va asigura respectarea unui nou regim de protecție a datelor în raport cu cel în vigoare în perioada în care avea obligații în temeiul dreptului Uniunii. Acest lucru poate implica, în special, amendamente sau modificări ale cadrului de protecție a datelor evaluat în prezenta decizie, precum și alte evoluții relevante.

| (289) | Prin urmare, este oportun să se prevadă că prezenta decizie se va aplica pentru o perioadă de patru ani de la intrarea sa în vigoare. |
| --- | --- |

(289)

Prin urmare, este oportun să se prevadă că prezenta decizie se va aplica pentru o perioadă de patru ani de la intrarea sa în vigoare.

| (290) | În cazul în care, în special, informațiile obținute în urma monitorizării prezentei decizii arată că respectivele constatări referitoare la caracterul adecvat al nivelului de protecție asigurat în Regatul Unit sunt încă justificate de fapt și de drept, Comisia ar trebui, cel târziu cu șase luni înainte de încetarea aplicării prezentei decizii, să inițieze procedura de modificare a prezentei decizii prin extinderea domeniului său de aplicare temporal, în principiu, pentru o perioadă suplimentară de patru ani. Orice act de punere în aplicare de modificare a prezentei decizii urmează să fie adoptat în conformitate cu procedura menționată la articolul 93 alineatul (2) din Regulamentul (UE) 2016/679. |
| --- | --- |

(290)

În cazul în care, în special, informațiile obținute în urma monitorizării prezentei decizii arată că respectivele constatări referitoare la caracterul adecvat al nivelului de protecție asigurat în Regatul Unit sunt încă justificate de fapt și de drept, Comisia ar trebui, cel târziu cu șase luni înainte de încetarea aplicării prezentei decizii, să inițieze procedura de modificare a prezentei decizii prin extinderea domeniului său de aplicare temporal, în principiu, pentru o perioadă suplimentară de patru ani. Orice act de punere în aplicare de modificare a prezentei decizii urmează să fie adoptat în conformitate cu procedura menționată la articolul 93 alineatul (2) din Regulamentul (UE) 2016/679.

8.   CONSIDERAȚII FINALE

CONSIDERAȚII FINALE

| (291) | Comitetul european pentru protecția datelor și-a publicat avizul (509), care a fost luat în considerare la pregătirea prezentei decizii. |
| --- | --- |

(291)

Comitetul european pentru protecția datelor și-a publicat avizul (509), care a fost luat în considerare la pregătirea prezentei decizii.

509

| (292) | Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului instituit în temeiul articolului 93 din Regulamentul (UE) 2016/679, |
| --- | --- |

(292)

Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului instituit în temeiul articolului 93 din Regulamentul (UE) 2016/679,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

(1)   În sensul articolului 45 din Regulamentul (UE) 2016/679, Regatul Unit asigură un nivel adecvat de protecție a datelor cu caracter personal care intră în domeniul de aplicare al Regulamentului (UE) 2016/679, transferate din Uniunea Europeană către Regatul Unit.

(2)   Prezenta decizie nu vizează datele cu caracter personal transferate în scopul controlului imigrației în Regatul Unit sau care, altfel, ar intra în domeniul de aplicare al derogării de la anumite drepturi ale persoanelor vizate în scopul menținerii unui control eficace al imigrației în temeiul punctului 4 alineatul (1) din anexa 2 la DPA din 2018.

Articolul 2

Ori de câte ori autoritățile de supraveghere competente din statele membre, pentru a proteja persoanele fizice în ceea ce privește prelucrarea datelor cu caracter personal, își exercită competențele în temeiul articolului 58 din Regulamentul (UE) 2016/679 în ceea ce privește transferurile de date care intră în domeniul de aplicare prevăzut la articolul 1, statul membru în cauză informează fără întârziere Comisia.

Articolul 3

(1)   Comisia monitorizează în permanență aplicarea cadrului juridic pe care se bazează prezenta decizie, inclusiv condițiile în care se efectuează transferurile ulterioare, în care se exercită drepturile individuale și în care autoritățile publice din Regatul Unit au acces la datele transferate în temeiul prezentei decizii, pentru a evalua dacă Regatul Unit continuă să asigure un nivel adecvat de protecție în sensul articolului 1.

(2)   Statele membre și Comisia se informează reciproc cu privire la cazurile în care comisarul pentru informații, sau orice altă autoritate competentă a Regatului Unit nu asigură respectarea cadrului juridic pe care se bazează prezenta decizie.

(3)   Statele membre și Comisia se informează reciproc atât cu privire la orice indiciu potrivit căruia atingerile aduse de autoritățile publice din Regatul Unit dreptului persoanelor fizice la protecția datelor cu caracter personal depășesc ceea ce este strict necesar, cât și cu privire la faptul că nu există o protecție juridică eficace împotriva unor astfel de atingeri.

(4)   În cazul în care Comisia are indicii că nu mai este asigurat un nivel adecvat de protecție, Comisia informează autoritățile competente din Regatul Unit și poate suspenda, abroga sau modifica prezenta decizie.

(5)   Comisia poate suspenda, abroga sau modifica prezenta decizie în cazul în care lipsa de cooperare a guvernului Regatului Unit împiedică Comisia să stabilească dacă este afectată constatarea de la articolul 1 alineatul (1).

Articolul 4

Prezenta decizie expiră la 27 iunie 2025, cu excepția cazului în care este prelungită în conformitate cu procedura menționată la articolul 93 alineatul (2) din Regulamentul (UE) 2016/679.

Articolul 5

Prezenta decizie se adresează statelor membre.

Adoptată la Bruxelles, 28 iunie 2021.

Pentru Comisie

Didier REYNDERS

Membru al Comisiei

---

(1)  
  JO L 119, 4.5.2016, p. 1.

1

(2)  A se vedea considerentul 101 din Regulamentul (UE) 2016/679.

2

(3)  A se vedea, cel mai recent, cauza C-311/18, Facebook Ireland și Schrems („Schrems II”) ECLI:EU:C:2020:559.

3

Facebook Ireland și Schrems („Schrems II”)

(4)  Comitetul european pentru protecția datelor, Criterii de referință privind caracterul adecvat al nivelului de protecție, WP 254 rev. 01., disponibile la următoarea adresă: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108

4

Criterii de referință privind caracterul adecvat al nivelului de protecție

(5)  Cauza C-362/14, Schrems („Schrems I”), ECLI:EU:C:2015:650, punctul 73.

5

Schrems („Schrems I”)

(6)  
  Schrems I, punctul 74.

6

Schrems I

(7)  A se vedea Comunicarea Comisiei către Parlamentul European și Consiliu, „Schimbul de date cu caracter personal și protecția acestora într-o lume globalizată”, COM(2017) 7 din 10 ianuarie 2017, secțiunea 3.1, p. 6-7, disponibilă la următoarea adresă: https://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:52017DC0007&from=EN

7

(8)  Court of Appeal (Civil Division), Open Rights Group v Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport, [2021] EWCA Civ 800, punctele 53-56. Curtea de Apel a anulat hotărârea Înaltei Curți de Justiție care evaluase anterior derogarea în lumina Regulamentului (UE) 2016/679 (în special, a articolul 23 din acesta) și a Cartei drepturilor fundamentale a Uniunii Europene și a constatat că derogarea este legală [Open Rights Group & Anor, R (on the application Of)/Secretary of State for the Home Department & Anor [2019] EWHC 2562].

8

Open Rights Group v Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport,

(9)  Sub rezerva îndeplinirii condițiilor aplicabile, transferurile în scopul controlului imigrației în Regatul Unit pot fi efectuate pe baza mecanismelor de transfer prevăzute la articolele 46-49 din Regulamentul (UE) 2016/679.

9

(10)  Principiile Convenției 108 au fost transpuse inițial în legislația Regatului Unit prin Legea privind protecția datelor (DPA – Data Protection Act) din 1984, care a fost înlocuită de DPA din 1998 și apoi, la rândul său, de DPA din 2018 (coroborat cu RGPD al Regatului Unit). Regatul Unit a semnat, de asemenea, în 2018, Protocolul de modificare a Convenției pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (cunoscută sub denumirea de Convenția 108+) și lucrează în prezent la ratificarea convenției.

10

Data Protection Act

(11)  Articolele 6 și 8 din CEDO (a se vedea, de asemenea, anexa 1 la Legea privind drepturile omului din 1998).

11

(12)  Secțiunea 6 din Legea privind drepturile omului din 1998.

12

(13)  Secțiunea 3 din Legea privind drepturile omului din 1998.

13

(14)  Acord privind retragerea Regatului Unit al Marii Britanii și Irlandei de Nord din Uniunea Europeană și din Comunitatea Europeană a Energiei Atomice 2019/C 384 I/01, XT/21054/2019/INIT (JO C 384I, 12.11.2019, p. 1), disponibil la următoarea adresă: https://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=RO

14

(15)  Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului (JO L 119 4.5.2016, p. 89), disponibilă la următoarea adresă: https://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:32016L0680&from=RO

15

(16)  Legea privind protecția datelor din 2018, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

16

(17)  European Union (Withdrawal) Act 2018 [Legea din 2018 privind Uniunea Europeană (retragere)], disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2018/16/contents

17

(18)  Potrivit intenției și efectului Legii din 2018 privind Uniunea Europeană (retragere), întreaga legislație directă a Uniunii care a fost încorporată în dreptul Regatului Unit la încheierea perioadei de tranziție este încorporată în legislația Regatului Unit, deoarece produce efecte în dreptul Uniunii imediat înainte de încheierea perioadei de tranziție. A se vedea secțiunea 3 din Legea din 2018 privind Uniunea Europeană (retragere).

18

(19)  Notele explicative la Legea din 2018 privind Uniunea Europeană (retragere) precizează următoarele: „În cazul în care legislația este convertită în temeiul prezentei secțiuni, textul legislației în sine este cel care va face parte din legislația internă. Acesta va include textul integral al oricărui instrument al UE (inclusiv considerentele sale)”. [Notele explicative la Legea din 2018 privind Uniunea Europeană (retragere), alineatul (83), disponibile la următoarea adresă: https://www.legislation.gov.uk/ukpga/2018/16/pdfs/ukpgaen_20180016_en.pdf]. Potrivit informațiilor furnizate de autoritățile Regatului Unit, întrucât considerentele nu au statutul de norme juridice obligatorii, nu a fost necesar ca acestea să fie modificate în același mod în care articolele din Regulamentul (UE) 2016/679 au fost modificate prin regulamentele DPPEC.

19

(20)  Secțiunea 6 din Legea din 2018 privind Uniunea Europeană (retragere).

20

(21)  
  Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentele din 2019 privind protecția datelor, a vieții private și comunicațiile electronice (modificări etc.) (ieșirea din UE)], disponibile la următoarea adresă: https://www.legislation.gov.uk/uksi/2019/419/contents/made, astfel cum au fost modificate prin Regulamentele DPPEC din 2020, disponibile la următoarea adresă: https://www.legislation.gov.uk/ukdsi/2020/9780348213522

21

Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019

(22)  Aceste modificări ale RGPD al Regatului Unit și ale DPA din 2018 sunt, în cea mai mare parte, de natură tehnică, cum ar fi eliminarea trimiterilor la „statele membre” sau adaptarea terminologiei, de exemplu înlocuirea trimiterilor la Regulamentul (UE) 2016/679 cu trimiteri la RGPD al Regatului Unit. În unele cazuri, au fost necesare modificări pentru a reflecta contextul pur național al prevederilor, de exemplu referitor la „cine” adoptă „regulamente privind caracterul adecvat al nivelului de protecție” în sensul cadrului legislativ al Regatului Unit privind protecția datelor (a se vedea secțiunea 17A din DPA din 2018), și anume secretarul de stat în locul Comisiei Europene.

22

(23)  Regulamentul general privind protecția datelor, Keeling Schedule (Anexa Keeling), disponibilă la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946117/20201102_-_GDPR_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf

23

Keeling Schedule

(24)  Legea privind protecția datelor din 2018, Anexa Keeling, disponibilă la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946100/20201102_-_DPA_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf

24

(25)  Astfel de competențe sunt incluse, de exemplu, în secțiunea 16 (competența de a adopta, în situații specifice, strict delimitate, derogări suplimentare de la dispozițiile specifice ale RGPD al Regatului Unit), în secțiunea 17A (competența de a adopta regulamente privind caracterul adecvat al nivelului de protecție), în secțiunile 212 și 213 (competențele de a iniția acte legislative și de a adopta dispoziții tranzitorii) și în secțiunea 211 (competența de a aduce modificări minore și derivate) din DPA din 2018.

25

(26)  Articolul 2 alineatele (1) și (5) din RGPD al Regatului Unit.

26

(27)  Articolul 4 alineatele (1) și (2) din RGPD al Regatului Unit.

27

(28)  Prelucrarea nestructurată manuală a datelor cu caracter personal este definită la articolul 2 alineatul (5) litera (b) ca fiind prelucrarea datelor cu caracter personal care nu este prelucrarea automată sau structurată a datelor cu caracter personal.

28

(29)  Articolul 2 alineatul (1A) din RGPD al Regatului Unit prevede că regulamentul se aplică, de asemenea, prelucrării nestructurate manuale a datelor cu caracter personal deținute de o autoritate publică FOI. Trimiterea la autorități publice FOI înseamnă orice autorități publice, astfel cum sunt definite în Freedom of Information Act 2000 (Legea din 2000 privind liberul acces la informațiile de interes public) sau orice autorități publice scoțiene, astfel cum sunt definite în Freedom of Information (Scotland) Act 2002 [Legea din 2002 privind liberul acces la informațiile de interes public (Scoția)] (asp 13). Secțiunea 21 punctul 5 din DPA din 2018.

29

Freedom of Information Act 2000

Freedom of Information (Scotland) Act 2002

(30)  Articolul 2 alineatul (2) litera (a) din RGPD al Regatului Unit.

30

(31)  Activitățile de securitate națională intră în domeniul de aplicare al RGPD al Regatului Unit numai în măsura în care nu sunt efectuate de o autoritate competentă în scopuri de asigurare a respectării legii, caz în care se aplică partea 3 din DPA din 2018, sau de către sau în numele unui serviciu de informații ale cărui activități sunt excluse din domeniul de aplicare al RGPD al Regatului Unit și fac obiectul părții 4 din DPA din 2018 în temeiul articolului 2 alineatul (2) litera (c) din RGPD al Regatului Unit. De exemplu, o forță de poliție poate efectua controale de securitate ale unui angajat pentru a se asigura că acesta prezintă încredere în ceea ce privește accesarea materialelor de securitate națională. În pofida faptului că poliția este o autoritate competentă în scopuri de asigurare a respectării legii, prelucrarea în cauză nu are un scop de asigurare a respectării legii și s-ar aplica RGPD al Regatului Unit. A se vedea UK Explanatory Framework for Adequacy Discussions (Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat), secțiunea H: National Security Data Protection and Investigatory Powers Framework (Cadrul privind protecția datelor în materie de securitate națională și competențele de investigare), pagina 8, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf

31

UK Explanatory Framework for Adequacy Discussions

National Security Data Protection and Investigatory Powers Framework

(32)  Articolul 2 alineatul (1) literele (a) și (b) din RGPD al Regatului Unit.

32

(33)  Articolul 2 alineatul (2) literele (b) și (c) din RGPD al Regatului Unit.

33

(34)  Același domeniu de aplicare teritorial se aplică prelucrării datelor cu caracter personal în temeiul părții 2 din DPA din 2018 care completează RGPD al Regatului Unit (secțiunea 207 punctul 1A).

34

(35)  Aceasta înseamnă în special că DPA din 2018 și, prin urmare, prezenta decizie nu se aplică teritoriilor dependente ale Coroanei Britanice (Jersey, Guernsey și Insula Man) și teritoriilor de peste mări ale Regatului Unit, cum ar fi, de exemplu, Insulele Falkland și teritoriul Gibraltarului.

35

(36)  Articolul 4 alineatele (1), (2), (5), (7) și (8) din RGPD al Regatului Unit.

36

(37)  
  „Date biometrice” înseamnă date cu caracter personal care rezultă în urma unor tehnici de prelucrare specifice referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane fizice care permit sau confirmă identificarea unică a respectivei persoane, cum ar fi imaginile faciale sau datele dactiloscopice.

37

(38)  
  „Date privind sănătatea” înseamnă date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv acordarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia.

38

(39)  
  „Date genetice” înseamnă datele cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane fizice, care oferă informații unice privind fiziologia sau sănătatea respectivei persoane fizice, astfel cum rezultă în special în urma unei analize a unei probe biologice prelevate de la acea persoană fizică.

39

(40)  În temeiul articolului 6 alineatul (1) din RGPD al Regatului Unit, prelucrarea este legală numai dacă și în măsura în care: (a) persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice; (b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract; (c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului; (d) prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice; (e) prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul; sau (f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

40

(41)  Punctele 38-40 din anexa 1 la DPA din 2018.

41

(42)  La articolul 13 alineatul (1) litera (f) și la articolul 14 alineatul (1) litera (f), trimiterile la deciziile Comisiei privind caracterul adecvat al nivelului de protecție au fost înlocuite cu trimiteri la un instrument echivalent din Regatul Unit, și anume la regulamentele privind caracterul adecvat al nivelului de protecție din cadrul DPA din 2018. În plus, la articolul 14 alineatul (5) literele (c)-(d), trimiterile la dreptul Uniunii sau la dreptul intern („
  Member State law
  ”) au fost înlocuite cu o trimitere la dreptul intern („
  domestic law
  ”) [ca exemple de astfel de norme de drept intern care pot intra sub incidența articolului 14 alineatul (5) litera (c), Regatul Unit a menționat secțiunea 7 din Scrap Metal Dealers Act 2013 (Legea comercianților de deșeuri metalice din 2013) care prevede norme pentru registrul autorizațiilor pentru deșeuri metalice sau partea 35 din Companies Act 2006 (Legea societăților comerciale din 2006) care prevede normele pentru registrul comerțului]. În mod similar, un exemplu de drept intern care poate intra sub incidența articolului 14 alineatul (5) litera (d) ar putea include o legislație care să stabilească norme privind secretul profesional sau obligații care reies din contractele de muncă sau obligația de confidențialitate prevăzută de common law (cum ar fi datele cu caracter personal prelucrate de cadrele medicale, resursele umane, asistenții sociali etc.).

42

Member State law

domestic law

Scrap Metal Dealers Act 2013

Companies Act 2006

(43)  La articolul 17 alineatul (1) litera (e) și la articolul 17 alineatul (3) litera (b), trimiterile la dreptul Uniunii sau la dreptul intern („
  Member State law
  ”) au fost înlocuite cu o trimitere la dreptul intern („
  domestic law
  ”) [ca exemple de astfel de norme de drept intern în temeiul articolului 17 alineatul (1) litera (e), Regatul Unit a menționat Education (Pupil Information) (England) Regulations 2006 – Regulamentele din 2006 privind educația (informații referitoare la elevi) (Anglia), care impune ștergerea numelor elevilor din registrele școlare după ce aceștia au ieșit din sistemul școlar, sau Medical Act 1983 (Legea din 1983 privind activitățile medicale), secțiunea 34F, care stabilește normele privind ștergerea numelor din Registrul medicilor generaliști și din Registrul medicilor specialiști.

43

Member State law

domestic law

Education (Pupil Information) (England) Regulations 2006

Medical Act 1983

(44)  Proiectul de cod de bune practici poate fi consultat la următoarea adresă: https://ico.org.uk/media/about-the-ico/consultations/2616882/direct-marketing-code-draft-guidance.pdf

44

(45)  Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, secțiunea E: Restricții, pagina 1, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872232/E_-_Narrative_on_Restrictions.pdf

45

(46)  
  Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor [2019] EWHC 2562 (Admin), punctele 40 și 41.

46

Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor

(47)  
  Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), punctul 43. Cu privire la acest punct, a se vedea, de asemenea, Lin/Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), punctul 80.

47

Guriev/Community Safety Development (United Kingdom) Ltd

Lin/Commissioner of Police for the Metropolis

(48)  Punctul 2 din anexa 2 la DPA din 2018.

48

(49)  Punctul 19 din anexa 2 la DPA din 2018.

49

(50)  Punctul 20 din anexa 2 la DPA din 2018.

50

(51)  Punctul 21 din anexa 2 la DPA din 2018.

51

(52)  De exemplu, restricționarea dreptului la o notificare privind încălcarea securității datelor este permisă numai în ceea ce privește infracțiunile și impozitarea (punctul 2 din anexa 2 la DPA din 2018), privilegiul parlamentar (punctul 13 din anexa 2 la DPA din 2018) și prelucrarea în scopuri jurnalistice, academice, artistice și literare (punctul 26 din anexa 2 la DPA din 2018).

52

(53)  Punctul 2 din anexa 2 la DPA din 2018.

53

(54)  
  R (Lord)/Secretary of State for the Home Department [2003] EWHC 2073 (Admin), punctul 100, și Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), punctul 43.

54

R (Lord)/Secretary of State for the Home Department

Guriev/Community Safety Development (United Kingdom) Ltd

(55)  
  Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor, punctul 31.

55

Open Rights Group & Anor, R (On the Application Of)/Secretary of State for the Home Department & Anor,

(56)  Potrivit informațiilor furnizate de autoritățile din Regatul Unit, în cazul în care prelucrarea se efectuează în contextul securității naționale, operatorii vor aplica, de regulă, garanții și măsuri de securitate sporite în cazul prelucrării, care să reflecte natura sensibilă a prelucrării. Tipul de garanții adecvate va depinde de riscurile pe care le prezintă prelucrarea efectuată. Acest lucru ar putea include restricții privind accesul la date, astfel încât acestea să poată fi accesate numai de către persoane autorizate care să dețină o autorizare de securitate adecvată, restricții stricte privind schimbul de date și standardul ridicat de securitate aplicat procedurilor de stocare și de gestionare.

56

(57)  A se vedea, de asemenea, Guriev/Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), punctul 45; Lin/Commissioner of the Police for the Metropolis [2015] EWHC 2484 (QB), punctul 80.

57

Guriev/Community Safety Development (United Kingdom) Ltd

Lin/Commissioner of the Police for the Metropolis

(58)  A se vedea orientările ICO privind derogarea în materie de securitate națională și apărare, disponibile la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/national-security-and-defence

58

(59)  Conform unui exemplu furnizat de autoritățile Regatului Unit, în cazul în care un terorist suspectat care face obiectul unei investigații active a MI5 a prezentat Ministerului de Interne o cerere de acces (de exemplu, deoarece este implicat într-un litigiu cu Ministerul de Interne cu privire la aspecte legate de imigrație), ar fi necesar să se protejeze împotriva divulgării către persoana vizată orice date pe care este posibil ca MI5 să le fi comunicat Ministerului de Interne cu privire la investigații în curs, care ar putea prejudicia sursele, metodele sau tehnicile sensibile și/sau ar putea conduce la o creștere a amenințării pe care o reprezintă persoana respectivă. În astfel de circumstanțe, este probabil ca pragul de aplicare a derogării prevăzute la secțiunea 26 să fi fost atins și să fie necesară o derogare de la divulgarea informațiilor pentru a proteja securitatea națională. Cu toate acestea, în cazul în care Ministerul de Interne ar deține, de asemenea, date cu caracter personal cu privire la persoana respectivă, care nu au legătură cu investigația MI5, iar informațiile respective ar putea fi furnizate fără riscul de a aduce atingere securității naționale, derogarea privind securitatea națională nu ar fi aplicabilă atunci când se are în vedere divulgarea de informații către persoana respectivă. ICO elaborează în prezent orientări cu privire la modul în care operatorii ar trebui să abordeze utilizarea derogării din secțiunea 26. Se preconizează că aceste orientări vor fi publicate până la sfârșitul lunii martie 2021.

59

(60)  Information Tribunal a fost înființat pentru a soluționa căile de atac în materie de protecție a datelor în temeiul Legii privind protecția datelor din 1984. În 2010, Information Tribunal a devenit parte din General Regulatory Chamber din cadrul First Tier Tribunal (Tribunalul de Primă Instanță), în cadrul reformei structurii sistemului de tribunale din Regatul Unit.

60

(61)  A se vedea Baker/Secretary of State for the Home Department [2001] UKIT NSA2 („Baker/Secretary of State”).

61

Baker/Secretary of State for the Home Department

(62)  A se vedea articolul 85 din RGPD al Regatului Unit și partea 5 punctul 26 subpunctul 9 din anexa 2 la DPA din 2018.

62

(63)  În conformitate cu partea 5 punctul 26 subpunctul 2 din anexa 2 la DPA din 2018, excepția se aplică prelucrării datelor cu caracter personal efectuate în scopuri speciale (scopuri jurnalistice, academice, artistice și literare), dacă prelucrarea este efectuată în vederea publicării de către o persoană a unor materiale jurnalistice, academice, artistice sau literare, iar operatorul are convingerea rezonabilă că publicarea acestui material ar servi unui interes public. Pentru a stabili dacă o publicare ar servi unui interes public, operatorul trebuie să țină seama de importanța deosebită a interesului public în ceea ce privește libertatea de exprimare și de informare. În plus, operatorul trebuie să aibă în vedere codurile de bune practici sau orientările relevante pentru publicarea în cauză [BBC Editorial Guidelines (liniile directoare editoriale BBC), Ofcom Broadcasting Code (codul de radiodifuziune Ofcom) și Editors’ Code of Practice (codul de bune practici al editorilor)]. De asemenea, pentru ca o derogare să se aplice, operatorul trebuie să aibă convingerea rezonabilă că respectarea dispoziției relevante ar fi incompatibilă cu scopurile speciale (punctul 26 subpunctul 3 din anexa 2 la DPA din 2018).

63

BBC Editorial Guidelines

Ofcom Broadcasting Code

Editors’ Code of Practice

(64)  Hotărârea pronunțată în cauza NT1/Google [2018] EWHC 799 (QB), punctul 102, a abordat o discuție cu privire la faptul dacă operatorul de date a avut convingerea rezonabilă că publicarea servește interesului public și că respectarea dispozițiilor relevante este incompatibilă cu scopurile speciale. Instanța a precizat că secțiunea 32 punctul 1 literele (b) și (c) din Legea privind protecția datelor din 1998 are un element subiectiv și unul obiectiv: operatorul de date trebuie să demonstreze că a avut convingerea că publicarea ar servi interesului public și că această convingere este rezonabilă din punct de vedere obiectiv; acesta trebuie să demonstreze o convingere subiectivă potrivit căreia respectarea dispoziției de la care solicită derogarea ar fi incompatibilă cu scopul special în cauză.

64

(65)  Un exemplu al modului în care se aplică testul „convingerii rezonabile” este inclus în decizia ICO de a amenda True Visions Productions, care a fost adoptată în temeiul Legii privind protecția datelor din 1998. ICO a acceptat faptul că operatorul mass-media a avut convingerea subiectivă că respectarea primului principiu privind protecția datelor (echitate și legalitate) este incompatibilă cu scopurile jurnalistice. Cu toate acestea, ICO nu a acceptat faptul că această convingere a fost rezonabilă din punct de vedere obiectiv. Decizia ICO este disponibilă la următoarea adresă: https://ico.org.uk/media/action-weve-taken/mpns/2614746/true-visions-productions-20190408.pdf

65

True Visions Productions

(66)  Conform orientărilor, organizațiile trebuie să fie în măsură să explice de ce respectarea dispoziției relevante din Legea privind protecția datelor din 1998 este incompatibilă cu scopurile jurnalismului. În special, operatorii trebuie să stabilească un echilibru între efectul negativ pe care respectarea l-ar avea asupra jurnalismului și efectul negativ pe care nerespectarea l-ar avea asupra drepturilor persoanei vizate. Dacă un jurnalist își poate atinge în mod rezonabil obiectivele editoriale într-un mod care respectă dispozițiile standard ale DPA, atunci acesta trebuie să acționeze astfel. Organizațiile trebuie să fie în măsură să își justifice utilizarea restricției în ceea ce privește toate dispozițiile pe care nu le-au respectat. Data protection and journalism: a guide for the media („Protecția datelor și jurnalismul: ghid pentru mass-media”), disponibil la următoarea adresă: https://ico.org.uk/media/for-organisations/documents/1552/data-protection-and-journalism-media-guidance.pdf

66

Data protection and journalism: a guide for the media

(67)  Printre exemplele de interes public s-ar număra dezvăluirea sau depistarea infracțiunilor, protejarea sănătății sau a siguranței publice, expunerea afirmațiilor înșelătoare făcute de persoane sau organizații sau divulgarea incompetenței care afectează publicul. A se vedea orientările OFCOM la următoarea adresă: https://www.ofcom.org.uk/__data/assets/pdf_file/0017/132083/Broadcast-Code-Section-8.pdf și liniile directoare editoriale ale BBC la următoarea adresă: https://www.bbc.com/editorialguidelines/guidelines/privacy

67

(68)  A se vedea articolul 89 din RGPD al Regatului Unit și punctul 27 subpunctul 2 și punctul 28 subpunctul 2 din partea 6 din anexa 2 la DPA din 2018.

68

(69)  Acest lucru este supus cerinței ca datele cu caracter personal să fie prelucrate în conformitate cu articolul 89 alineatul (1) din RGPD al Regatului Unit, astfel cum a fost completat de secțiunea 19 din DPA din 2018.

69

(70)  A se vedea considerentele 281-287.

70

(71)  Cu excepția articolului 48 din Regulamentul (UE) 2016/679, pe care Regatul Unit a decis să nu îl includă în RGPD al Regatului Unit. În această privință, ar trebui reamintit, în primul rând, că standardul care trebuie considerat ca oferind un nivel adecvat de protecție este mai degrabă un standard de „echivalență substanțială” decât unul de identitatea, astfel cum a fost clarificat de CJUE (Schrems I, punctele 73 și 74) și recunoscut de CEPD (Criterii de referință privind caracterul adecvat al nivelului de protecție, pagina 3). Prin urmare, astfel cum a explicat CEPD în criteriile sale de referință privind caracterul adecvat al nivelului de protecție, „obiectivul nu este de a reflecta punct cu punct legislația europeană, ci de a stabili cerințele esențiale ale legislației respective”. În acest sens, este important de remarcat faptul că, deși ordinea juridică a Regatului Unit nu conține în mod formal o dispoziție identică cu cea de la articolul 48, același efect este garantat de alte dispoziții și principii juridice, și anume că, în urma unei cereri de date cu caracter personal din partea unei instanțe judecătorești sau a unei autorități administrative dintr-o țară terță, datele cu caracter personal pot fi transferate către țara terță respectivă numai dacă există un acord internațional în vigoare – pe baza căruia hotărârea judecătorească sau decizia administrativă a țării terțe în cauză este recunoscută sau executată în Regatul Unit – sau dacă se bazează pe unul dintre mecanismele de transfer prevăzut la capitolul V din RGPD al Regatului Unit. Mai precis, pentru a executa o hotărâre judecătorească străină, instanțele din Regatul Unit trebuie să poată invoca common law sau un statut care permite forța executorie a acesteia. Cu toate acestea, nici common law (a se vedea Adams și alții/Cape Industries Plc., [1990] 2 W.L.R. 657), nici statutul nu prevăd executarea hotărârilor judecătorești străine care impun transferul de date fără un acord internațional în vigoare. În consecință, cererile de date nu sunt executorii în temeiul legislației Regatului Unit, în absența unui astfel de acord internațional. În plus, orice transfer de date cu caracter personal către țări terțe – inclusiv la cererea unei instanțe judecătorești sau a unei autorități administrative străine – face în continuare obiectul restricțiilor prevăzute la capitolul V din RGPD al Regatului Unit, care sunt identice cu dispozițiile corespunzătoare din Regulamentul (UE) 2016/679 și, prin urmare, trebuie să se bazeze pe unul dintre motivele de transfer disponibile în temeiul capitolului V, în conformitate cu condițiile specifice cărora trebuie să li se supună în temeiul capitolului respectiv.

71

Schrems I

Adams și alții/Cape Industries Plc.,

(72)  Autoritățile Regatului Unit au explicat că descrierea unei țări sau a unei organizații internaționale se referă la o situație în care ar fi necesar să se efectueze o determinare specifică și parțială a caracterului adecvat cu restricții specifice (de exemplu, regulamente privind caracterul adecvat al nivelului de protecție în ceea ce privește numai anumite tipuri de transferuri de date).

72

(73)  A se vedea Memorandumul de înțelegere dintre secretarul de stat al Ministerului pentru Digitalizare, Cultură, Mass-Media și Sport și Biroul comisarului pentru informații privind rolul ICO în legătură cu noua evaluare privind caracterul adecvat al nivelului de protecție din Regatul Unit, disponibil la următoarea adresă: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments

73

(74)  În cazul în care se adoptă un astfel de vot, regulamentele vor înceta, în cele din urmă, să mai producă efecte juridice.

74

(75)  RGPD al Regatului Unit menține normele de la articolul 47 din Regulamentul (UE) 2016/679, sub rezerva doar a unor modificări pentru încadrarea normelor în contextul intern, de exemplu prin înlocuirea trimiterilor la autoritatea de supraveghere competentă cu trimiteri la comisarul pentru informații, eliminarea trimiterii la mecanismul pentru asigurarea coerenței de la alineatul (1) și eliminarea întregului alineat (3).

75

(76)  În temeiul articolului 49 din RGPD al Regatului Unit, transferurile sunt posibile dacă este îndeplinită una dintre următoarele condiții: (a) persoana vizată și-a exprimat în mod explicit acordul cu privire la transferul propus, după ce a fost informată asupra posibilelor riscuri pe care astfel de transferuri le pot implica pentru persoana vizată ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protecție și a unor garanții adecvate; (b) transferul este necesar pentru executarea unui contract între persoana vizată și operator sau pentru aplicarea unor măsuri precontractuale adoptate la cererea persoanei vizate; (c) transferul este necesar pentru încheierea unui contract sau pentru executarea unui contract încheiat în interesul persoanei vizate între operator și o altă persoană fizică sau juridică; (d) transferul este necesar din considerente importante de interes public; (e) transferul este necesar pentru stabilirea, exercitarea sau apărarea unui drept în instanță; (f) transferul este necesar pentru protejarea intereselor vitale ale persoanei vizate sau ale altor persoane, atunci când persoana vizată nu are capacitatea fizică sau juridică de a-și exprima acordul; (g) transferul se realizează dintr-un registru care, potrivit dreptului intern, are scopul de a furniza informații publicului și care poate fi consultat fie de public în general, fie de orice persoană care poate face dovada unui interes legitim, dar numai în măsura în care sunt îndeplinite condițiile cu privire la consultare prevăzute de dreptul intern în acel caz specific. În plus, în cazul în care niciuna dintre condițiile de mai sus nu este aplicabilă, un transfer poate avea loc numai dacă nu este repetitiv, se referă doar la un număr limitat de persoane vizate, este necesar în scopul realizării intereselor legitime majore urmărite de operator asupra căruia nu prevalează interesele sau drepturile și libertățile persoanei vizate și operatorul a evaluat toate circumstanțele aferente transferului de date și, pe baza acestei evaluări, a prezentat garanții corespunzătoare în ceea ce privește protecția datelor cu caracter personal.

76

(77)  Considerentul 111 din RGPD al Regatului Unit precizează că transferurile în legătură cu un contract sau cu o acțiune în justiție pot avea loc numai în cazul în care sunt ocazionale.

77

(78)  Orientările ICO privind transferurile internaționale, disponibile la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-transfers/#ib7

78

(79)  În cursul unei perioade de maximum șase luni care se încheie cel târziu la 30 iunie 2021, aplicabilitatea acestui nou cadru trebuie interpretată în lumina articolului 782 din Acordul comercial și de cooperare între Uniunea Europeană și Comunitatea Europeană a Energiei Atomice, pe de o parte, și Regatul Unit al Marii Britanii și Irlandei de Nord, pe de altă parte (L 444/14 din 31.12.2020) („TCA UE-UK”), disponibil la următoarea adresă: https://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:22020A1231(01)&from=RO

79

(80)  Dacă este necesar, aceste trimiteri se înlocuiesc cu trimiteri la autoritățile din Regatul Unit. De exemplu, în temeiul secțiunii 17 din DPA din 2018, comisarul pentru informații sau organismul național de acreditare din Regatul Unit poate acredita o persoană care îndeplinește cerințele prevăzute la articolul 43 din RGPD al Regatului Unit pentru a monitoriza conformitatea cu o certificare.

80

(81)  Raportul anual și situațiile financiare pe 2019-2020 ale comisarului pentru informații, disponibile la următoarea adresă: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

81

(82)  Un acord de gestionare reglementează relația dintre cele două entități. Responsabilitățile principale ale DCMS, în calitate de minister finanțator, includ în special: asigurarea faptului că comisarul pentru informații dispune de finanțare și resurse adecvate; reprezentarea intereselor comisarului pentru informații în fața Parlamentului și a altor departamente guvernamentale; asigurarea existenței unui cadru național solid de protecție a datelor; și furnizarea de orientări și sprijin Biroului comisarului pentru informații cu privire la aspecte legate de întreprinderi, cum ar fi aspecte imobiliare, contracte de leasing și achiziții publice (Acordul de gestionare 2018-2021, disponibil la următoarea adresă: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

82

(83)  Codul de guvernanță privind numirile publice, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/578498/governance_code_on_public_appointments_16_12_2016.pdf

83

(84)  Al doilea raport al sesiunii 2015-2016 a Comisiei pentru cultură, mass-media și sport a Camerei Comunelor, disponibil la următoarea adresă: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf

84

(85)  
  „Address” este o propunere prezentată Parlamentului prin care se urmărește informarea monarhului cu privire la opiniile Parlamentului referitoare la o anumită chestiune.

85

(86)  Punctul 3 subpunctul (3) din anexa 12 la DPA din 2018.

86

(87)  Secțiunea 137 din DPA din 2018, a se vedea considerentul 17.

87

(88)  Secțiunile 137 și 138 din DPA din 2018 conțin o serie de garanții pentru a se asigura că taxele sunt stabilite la un nivel corespunzător. În special secțiunea 137 punctul 4 enumeră aspectele pe care secretarul de stat trebuie să le ia în considerare atunci când elaborează regulamente care precizează suma pe care trebuie să o plătească diferitele organizații; În al doilea rând, secțiunea 138 punctul 1 și secțiunea 182 din DPA din 2018 conțin de asemenea o cerință legală potrivit căreia secretarul de stat trebuie să se consulte cu comisarul pentru informații și cu alți reprezentanți ai persoanelor care pot fi afectate de regulamentele în cauză, înainte ca acestea să fie adoptate, astfel încât opiniile lor să poată fi luate în considerare. În plus, în temeiul secțiunii 138 punctul 2 din DPA din 2018, comisarul pentru informații are obligația de a monitoriza funcționarea regulamentelor privind taxele și poate prezenta secretarului de stat propuneri de modificare a regulamentelor. În cele din urmă, cu excepția cazului în care regulamentele sunt adoptate doar pentru a lua în considerare o creștere a indicelui prețurilor cu amănuntul (caz în care vor face obiectul procedurii de rezoluție negativă), regulamentele fac obiectul procedurii de rezoluție afirmativă și nu pot fi adoptate decât după ce au fost aprobate prin rezoluția fiecărei camere a Parlamentului.

88

(89)  Acordul de gestionare a clarificat următoarele: „Secretarul de stat poate efectua plăți către CI din banii furnizați de Parlament în temeiul punctului 9 din anexa 12 la DPA din 2018. După consultarea CI, DCMS va plăti către CI sumele corespunzătoare (grantul sub formă de ajutor) pentru costurile administrative ale ICO și pentru exercitarea funcțiilor CI în legătură cu o serie de funcții specifice, inclusiv libertatea de informare” (Acordul de gestiune 2018-2021, punctul 1.12, a se vedea nota de subsol 82).

89

(90)  A se vedea secțiunea 134 din DPA din 2018.

90

(91)  Secțiunea 142 din DPA din 2018 (sub rezerva restricțiilor prevăzute în secțiunea 143 din DPA din 2018).

91

(92)  Secțiunea 146 din DPA din 2018 (sub rezerva restricțiilor prevăzute în secțiunea 147 din DPA din 2018).

92

(93)  Secțiunile 149-151 din DPA din 2018 (sub rezerva restricțiilor prevăzute în secțiunea 152 din DPA din 2018).

93

(94)  Secțiunea 155 din DPA din 2018 și articolul 83 din RGPD al Regatului Unit.

94

(95)  Acest lucru rezultă din articolul 155 alineatul (1) din DPA din 2018 coroborat cu secțiunea 149 punctele 2 și 5 din DPA din 2018 și din secțiunea 156 punctul 4 din DPA din 2018, care restricționează emiterea de notificări de sancționare numai în ceea ce privește comisarii patrimoniului Coroanei (Crown Estate Commissioners) și controlorii casei regale (controllers for the Royal Household) în temeiul secțiunii 209 punctul 4 din DPA din 2018.

95

(96)  Politica privind acțiunile de reglementare, disponibilă la următoarea adresă: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf0

96

(97)  Inclusiv natura și gravitatea încălcării (ținându-se seama de natura, domeniul de aplicare sau scopul prelucrării în cauză, precum și de numărul persoanelor vizate afectate și de nivelul prejudiciilor suferite de acestea), dacă încălcarea a fost comisă intenționat sau din neglijență, orice acțiuni întreprinse de operator pentru a reduce prejudiciile suferite de persoanele vizate, gradul de responsabilitate al operatorului sau al persoanei împuternicite de operator (ținându-se seama de măsurile tehnice și organizatorice puse în aplicare de operator sau de persoana împuternicită de operator), eventualele încălcări anterioare relevante comise de operator sau de persoana împuternicită de operator; gradul de cooperare cu comisarul, categoriile de date cu caracter personal afectate de neîndeplinire, orice alt factor agravant sau atenuant aplicabil circumstanțelor cazului, cum ar fi beneficiile financiare dobândite sau pierderile evitate în mod direct sau indirect de pe urma încălcării.

97

(98)  Potrivit informațiilor furnizate de autoritățile din Regatul Unit, în perioada acoperită de Raportul anual pe 2019-2020 al comisarului pentru informații, nu s-a constatat nicio încălcare în aproximativ 25 % din cazuri, în aproximativ 29 % din cazuri persoana vizată fie a fost invitată să își exprime preocuparea față de operatorul de date pentru prima dată, să aștepte răspunsul operatorului, fie să continue dialogul în curs cu operatorul de date, în aproximativ 17 % din cazuri nu s-a constatat nicio încălcare, dar s-a furnizat consiliere operatorului de date, în aproximativ 25 % din cazuri comisarul pentru informații a constatat o încălcare și fie a furnizat consiliere operatorului de date, fie operatorului de date i s-a solicitat să întreprindă anumite acțiuni, în aproximativ 3 % din cazuri s-a stabilit că plângerea nu intră sub incidența Regulamentului (UE) 2016/679, iar aproximativ 1 % din cazuri au fost trimise unei alte autorități pentru protecția datelor în cadrul Comitetului european pentru protecția datelor.

98

(99)  ICO poate iniția aceste investigații pe baza informațiilor primite din diverse surse, inclusiv notificări privind încălcarea securității datelor cu caracter personal, sesizări din partea altor autorități publice ale Regatului Unit sau de la autorități străine pentru protecția datelor, precum și plângeri primite de la persoane sau organizații ale societății civile.

99

(100)  Raportul anual și Situațiile financiare pe 2019-2020 ale comisarului pentru informații (a se vedea nota de subsol 81).

100

(101)  Conform raportului anual anterior referitor la perioada 2018-2019, comisarul pentru informații a emis 22 de notificări de sancționare în temeiul DPA din 1998 în cursul perioadei de raportare, cu amenzi în valoare totală de 3 010 610 GBP, inclusiv două amenzi în valoare de 500 000 GBP (limita maximă permisă în temeiul DPA din 1998). În 2018, comisarul pentru informații a efectuat, în special, o investigație privind utilizarea analizei datelor în scopuri politice în urma dezvăluirilor Cambridge Analytica. Investigația a avut ca rezultat un raport referitor la politici, un set de recomandări, o amendă de 500 000 GBP aplicată Facebook și o notificare de executare adresată Aggregate IQ, un broker de date din Canada, prin care societății i se solicita să șteargă datele cu caracter personal pe care le deținea cu privire la cetățenii și rezidenții Regatului Unit (a se vedea Raportul anual și Situațiile financiare pe 2018-2019 ale comisarului pentru informații, disponibile la următoarea adresă: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf).

101

(102)  Pentru un rezumat al acțiunilor de aplicare a legii care au fost întreprinse, a se vedea site-ul web al ICO, disponibil la următoarea adresă: https://ico.org.uk/action-weve-taken/enforcement

102

(103)  Secțiunea 170 din DPA din 2018.

103

(104)  Secțiunea 171 din DPA din 2018.

104

(105)  Secțiunea 119 din DPA din 2018.

105

(106)  Secțiunile 144 și 148 din DPA din 2018.

106

(107)  Secțiunea 117 din DPA din 2018.

107

(108)  Grupul este responsabil de furnizarea de orientări și formare pentru sistemul judiciar. Acesta tratează, de asemenea, plângerile persoanelor vizate cu privire la prelucrarea datelor cu caracter personal de către instanțe, tribunale și persoane care acționează în exercițiul unei funcții judiciare. Grupul urmărește să ofere mijloacele prin care orice plângere ar putea fi soluționată. În cazul în care un reclamant nu a fost mulțumit de o decizie a grupului și a furnizat dovezi suplimentare, grupul ar putea să își reexamineze decizia. Deși grupul în sine nu impune sancțiuni financiare, în cazul în care grupul consideră că există o încălcare suficient de gravă a DPA din 2018, acesta o poate adresa Biroului de investigare a conduitei judiciare (JCIO – Judicial Conduct Investigation Office), care va investiga plângerea. În cazul în care plângerea este admisă, este de competența Lordului Cancelar (Lord Chancellor) și a președintelui Curții Supreme (sau a unui judecător de rang înalt delegat să acționeze în numele său) să decidă ce măsuri ar trebui luate împotriva titularului funcției. Acestea ar putea include, în ordinea gravității: recomandare formală, avertisment formal, mustrare și, în cele din urmă, revocare din funcție. În cazul în care o persoană este nemulțumită de modul în care JCIO a investigat plângerea, aceasta poate depune o plângere mai departe la Ombudsmanul pentru numiri și conduită judiciară (Judicial Appointments and Conduct Ombudsman) (a se vedea https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Ombudsmanul are competența de a solicita JCIO să investigheze din nou o plângere și poate propune ca reclamantului să i se plătească despăgubiri în cazul în care consideră că a suferit prejudicii ca urmare a administrării defectuoase.

108

Judicial Conduct Investigation Office

Judicial Appointments and Conduct Ombudsman

(109)  Declarația de confidențialitate a președintelui Curții Supreme și a președintelui sistemului de tribunale este disponibilă la următoarea adresă: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

109

(110)  Declarația de confidențialitate emisă de președintele Curții Supreme din Irlanda de Nord este disponibilă la următoarea adresă: https://judiciaryni.uk/data-privacy

110

(111)  Declarația de confidențialitate pentru instanțele și tribunalele din Scoția este disponibilă la următoarea adresă: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

111

(112)  DSJ furnizează îndrumări sistemului judiciar și investighează încălcările și/sau plângerile referitoare la prelucrarea datelor cu caracter personal de către instanțe sau persoane care acționează în exercițiul unei funcții judiciare.

112

(113)  În cazul în care plângerea sau încălcarea este considerată gravă, aceasta este înaintată responsabilului cu tratarea plângerilor judiciare (Judicial Complaints Officer) pentru investigații suplimentare în conformitate cu Codul de bune practici în materie de plângeri al președintelui Curții Supreme din Irlanda de Nord. Rezultatul unei astfel de plângeri ar putea include următoarele: clasarea plângerii, recomandare, formare sau mentorat, avertisment informal, avertisment formal, avertisment final, restricții de practică sau sesizarea unui tribunal statutar. Codul de bune practici în materie de plângeri emis de președintele Curții Supreme din Irlanda de Nord este disponibil la următoarea adresă: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf

113

(114)  Orice plângere întemeiată este investigată de judecătorul în materie de supraveghere a datelor și înaintată președintelui Curții Supreme care are competența de a emite o recomandare, un avertisment formal sau o mustrare în cazul în care consideră că este necesar (există norme echivalente pentru membrii tribunalului, disponibile la următoarea adresă: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).

114

(115)  Articolul 77 din RGPD al Regatului Unit.

115

(116)  Secțiunea 166 din DPA din 2018 se referă în mod specific la următoarele situații: (a) comisarul nu ia măsurile adecvate pentru a răspunde plângerii, (b) comisarul nu furnizează reclamantului informații cu privire la evoluția plângerii sau la rezultatul acesteia înainte de sfârșitul perioadei de trei luni care începe în momentul în care comisarul a primit plângerea sau (c) în cazul în care examinarea plângerii de către comisar nu este finalizată în perioada respectivă, acesta nu furnizează reclamantului astfel de informații în cursul unei perioade ulterioare de trei luni.

116

(117)  Articolul 78 alineatul (2) din RGPD al Regatului Unit și secțiunea 166 din DPA din 2018.

117

(118)  Articolul 78 alineatul (1) din RGPD al Regatului Unit și secțiunea 162 din DPA din 2018.

118

(119)  Secțiunea 7 punctul 1 din Legea privind drepturile omului din 1998. Potrivit secțiunii 7 punctul 7, o persoană este victima unui act ilegal numai dacă ar fi victimă în sensul articolului 34 din Convenția europeană a drepturilor omului dacă ar fi introdusă o acțiune în fața Curții Europene a Drepturilor Omului cu privire la actul în cauză.

119

(120)  Secțiunea 8 punctul 1 din Legea privind drepturile omului din 1998.

120

(121)  A se vedea Schrems II, punctele 174-175 și jurisprudența citată. A se vedea, de asemenea, în ceea ce privește accesul autorităților publice ale statelor membre, cauza C-623/17, Privacy International, ECLI:EU:C:2020:790, punctul 65, și cauzele conexate C-511/18, C-512/18 și C-520/18, La Quadrature du Net și alții, ECLI:EU:C:2020:791, punctul 175.

121

Schrems II

Privacy International

La Quadrature du Net și alții

(122)  A se vedea Schrems II, punctele 176 și 181, precum și jurisprudența citată. A se vedea, de asemenea, în ceea ce privește accesul autorităților publice ale statelor membre, Privacy International, punctul 68, și La Quadrature du Net și alții, punctul 132.

122

Schrems II

Privacy International

La Quadrature du Net și alții

(123)  A se vedea Schrems II, punctul 176. A se vedea, de asemenea, în ceea ce privește accesul autorităților publice ale statelor membre, Privacy International, punctul 68, și La Quadrature du Net și alții, punctul 132.

123

Schrems II

Privacy International

La Quadrature du Net și alții

(124)  A se vedea Schrems II, punctul 179.

124

Schrems II

(125)  A se vedea Schrems II, punctele 181-182.

125

Schrems II

(126)  A se vedea Schrems I, punctul 95 și Schrems II, punctul 194. În acest sens, CJUE a subliniat în special faptul că respectarea articolului 47 din Carta drepturilor fundamentale, care garantează dreptul la o cale de atac eficientă în fața unei instanțe judecătorești independente și imparțiale, „participă de asemenea la nivelul de protecție impus în cadrul Uniunii [și] trebuie să fie constatată de Comisie înainte ca aceasta să adopte o decizie privind caracterul adecvat al nivelului de protecție în temeiul articolului 45 alineatul (1) din Regulamentul (UE) 2016/679” (Schrems II, punctul 186).

126

Schrems I

Schrems II

Schrems II

(127)  Secțiunea 6 din Legea privind drepturile omului din 1998.

127

(128)  Curtea Europeană a Drepturilor Omului, Klass și alții/Germania, cererea nr. 5029/71, punctele 17-51.

128

Klass și alții/Germania

(129)  Curtea Europeană a Drepturilor Omului, Kennedy/Regatul Unit, cererea nr. 26839/05 („Kennedy”), punctele 167 și 190.

129

Kennedy/Regatul Unit

(130)  Pentru mai multe informații cu privire la Convenția europeană a drepturilor omului și încorporarea acesteia în dreptul Regatului Unit prin Legea privind drepturile omului din 1998, precum și cu privire la Convenția 108, a se vedea considerentul 9.

130

(131)  În mod similar, în temeiul articolului 11 din Convenția 108+, restricțiile de la exercitarea anumitor drepturi și obligații specifice din convenție în scopul securității naționale sau al prevenirii, investigării și urmăririi penale a infracțiunilor și al executării sancțiunilor penale sunt permise numai în cazul în care o astfel de restricție este prevăzută de lege, respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într-o societate democratică. Activitățile de prelucrare în scopuri de securitate națională și apărare trebuie, de asemenea, să facă obiectul unui control și al unei supravegheri independente și efective în temeiul legislației interne a părții respective la convenție.

131

(132)  Secțiunea 31 din DPA din 2018.

132

(133)  Printre autoritățile competente enumerate în anexa 7 se numără nu numai forțele de poliție, ci și toate departamentele ministeriale ale guvernului Regatului Unit, precum și alte autorități cu atribuții de investigare (de exemplu, Comisarul Administrației Fiscale și Vamale din Regatul Unit – Commissioner for Her Majesty’s Revenue and Customs, Agenția Națională pentru Combaterea Criminalității – National Crime Agency, Autoritatea Fiscală din Țara Galilor, Autoritatea pentru Concurență și Piețe sau Registrul funciar al Majestății Sale – Her Majesty’s Land Register), agenții de urmărire penală, alte agenții de justiție penală și alți deținători sau organizații care desfășoară activități de asigurare a respectării legii (printre acestea, anexa 7 la DPA din 2018 enumeră directorii procurorilor, directorul procurorilor din Irlanda de Nord sau comisarul pentru informații).

133

Commissioner for Her Majesty’s Revenue and Customs

Her Majesty’s Land Register

(134)  Secțiunea 30 punctul 2 din DPA din 2018.

134

(135)  Secțiunea 35 din DPA din 2018.

135

(136)  Secțiunea 36 din DPA din 2018.

136

(137)  Secțiunea 37 din DPA din 2018.

137

(138)  Secțiunea 38 din DPA din 2018.

138

(139)  Secțiunea 39 din DPA din 2018.

139

(140)  Secțiunea 40 din DPA din 2018.

140

(141)  Secțiunea 44 din DPA din 2018.

141

(142)  Secțiunea 45 din DPA din 2018.

142

(143)  Secțiunile 46 și 47 din DPA din 2018.

143

(144)  Secțiunile 49 și 50 din DPA din 2018.

144

(145)  Secțiunile 56-65 din DPA din 2018.

145

(146)  Secțiunea 66 din DPA din 2018.

146

(147)  Secțiunile 67-68 din DPA din 2018.

147

(148)  Secțiunile 69-71 din DPA din 2018.

148

(149)  Secțiunile 67-68 din DPA din 2018.

149

(150)  Partea 3 capitolul 5 din DPA din 2018.

150

(151)  În temeiul secțiunii 86 punctul 6 din DPA din 2018, pentru a stabili echitatea și transparența prelucrării, trebuie să se ia în considerare metoda prin care aceasta este obținută. În acest sens, cerința de echitate și transparență este îndeplinită dacă datele sunt obținute de la o persoană care este autorizată sau obligată în mod legal să le furnizeze.

151

(152)  În conformitate cu secțiunea 87 din DPA din 2018, scopurile prelucrării trebuie să fie determinate, explicite și legitime. Datele nu trebuie prelucrate într-un mod incompatibil cu scopurile pentru care sunt colectate. În temeiul secțiunii 87 punctul 3 din DPA din 2018, o prelucrare suplimentară compatibilă a datelor cu caracter personal poate fi permisă numai dacă operatorul este autorizat prin lege să prelucreze datele în acest scop, iar prelucrarea este necesară și proporțională cu scopul secundar respectiv. Prelucrarea ar trebui considerată compatibilă în cazul în care aceasta constă în prelucrarea în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice și face obiectul unor garanții adecvate (secțiunea 87 punctul 4 din DPA din 2018).

152

(153)  Datele cu caracter personal trebuie să fie adecvate, relevante și neexcesive (secțiunea 88 din DPA din 2018).

153

(154)  Datele cu caracter personal trebuie să fie exacte și actualizate (secțiunea 89 din DPA din 2018).

154

(155)  Datele cu caracter personal nu trebuie păstrate mai mult decât este necesar (secțiunea 90 din DPA din 2018).

155

(156)  Al șaselea principiu privind protecția datelor este că datele cu caracter personal trebuie prelucrate într-un mod care să includă luarea unor măsuri de securitate adecvate în ceea ce privește riscurile care decurg din prelucrarea datelor cu caracter personal. Riscurile includ (dar nu se limitează la) accesul accidental sau neautorizat la datele cu caracter personal sau distrugerea, pierderea, utilizarea, modificarea sau divulgarea acestora (secțiunea 91 din DPA din 2018). Secțiunea 107 prevede, de asemenea, că: 1. fiecare operator trebuie să pună în aplicare măsuri de securitate adecvate pentru riscurile care decurg din prelucrarea datelor cu caracter personal; și 2. în cazul prelucrării automate, fiecare operator și fiecare persoană împuternicită de operator pun în aplicare măsuri preventive sau de atenuare pe baza unei evaluări a riscurilor.

156

(157)  Secțiunea 86 punctul 2 litera (b) și anexa 10 la DPA din 2018.

157

(158)  Partea 4 capitolul 3 din DPA din 2018, în special drepturile: de acces, rectificare și ștergere, de a se opune prelucrării și de a nu face obiectul procesului decizional automatizat, de a interveni în procesul decizional automatizat și de a fi informat cu privire la procesul decizional. În plus, operatorul trebuie să ofere persoanei vizate informații cu privire la prelucrarea datelor sale cu caracter personal. Astfel cum se explică în orientările ICO privind prelucrarea de către serviciile de informații, persoanele fizice își pot exercita toate drepturile (inclusiv o cerere de rectificare) prin depunerea unei plângeri la ICO sau prin introducerea de acțiuni în instanță (a se vedea Orientările ICO privind prelucrarea de către serviciile de informații, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-intelligence-services-processing).

158

(159)  Secțiunea 103 din DPA din 2018.

159

(160)  Secțiunea 109 din DPA din 2018. Transferurile de date cu caracter personal către organizații internaționale sau țări din afara Regatului Unit sunt posibile dacă transferul este o măsură necesară și proporțională întreprinsă în scopul îndeplinirii funcțiilor legale ale operatorului sau în alte scopuri prevăzute în anumite secțiuni din Legea privind serviciul de securitate din 1989 (Security Service Act 1989) și din Legea privind serviciile de informații din 1994 (Intelligence Services Act 1994).

160

Security Service Act 1989

Intelligence Services Act 1994

(161)  Orientările ICO, a se vedea nota de subsol158

161

Secțiunea 30 din DPA din 2018 și anexa 7 la DPA din 2018.

(162)  Secțiunea 110 punctul 2 din DPA din 2018 enumeră dispozițiile de la care se permite o derogare. Aceasta include principiile privind protecția datelor (cu excepția principiului legalității), drepturile persoanei vizate, obligația de a informa comisarul pentru informații cu privire la o încălcare a securității datelor, competențele de inspecție ale comisarului pentru informații în conformitate cu obligațiile internaționale, anumite competențe ale comisarului pentru informații în materie de asigurare a respectării legii, dispozițiile care fac din anumite încălcări ale protecției datelor o infracțiune, precum și dispozițiile referitoare la scopurile speciale ale prelucrării, cum ar fi scopurile jurnalistice, academice sau artistice.

162

(163)  A se vedea Baker/Secretary of State, a se vedea nota de subsol 61.

163

Baker/Secretary of State

(164)  Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, secțiunea H: Cadrul privind protecția datelor în materie de securitate națională și competențele de investigare, paginile 15-16 (a se vedea nota de subsol 31). A se vedea, de asemenea, Baker/Secretary of State (a se vedea nota de subsol 61), în care instanța a casat un certificat de securitate națională emis de ministrul de interne și prin care se confirma aplicarea excepției privind securitatea națională, considerând că nu există niciun motiv pentru a prevedea o excepție generală de la obligația de a răspunde cererilor de acces și că permiterea unei astfel de excepții în toate circumstanțele, fără o analiză de la caz la caz, ar depăși ceea ce este necesar și proporțional pentru protecția securității naționale.

164

Baker/Secretary of State

(165)  A se vedea memorandumul de înțelegere dintre ICO și UKIC, conform căruia „La primirea unei plângeri din partea unei persoane vizate, ICO va dori să se asigure că problema a fost tratată corect și, după caz, că aplicarea oricărei derogări a fost utilizată în mod corespunzător”. Memorandumul de înțelegere dintre Biroul comisarului pentru informații și serviciile de informații din Regatul Unit, punctul 16, disponibil la următoarea adresă: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf

165

(166)  DPA din 2018 a abrogat posibilitatea de a elibera certificate în temeiul secțiunii 28 punctul 2 din Legea privind protecția datelor din 1998. Cu toate acestea, posibilitatea de a emite „certificate vechi” există în continuare în măsura în care există o provocare istorică în temeiul Legii din 1998 [a se vedea punctul 17 din partea 5 a anexei 20 la DPA din 2018]. Totuși, această posibilitate pare foarte rară și se va aplica numai în cazuri limitate, cum ar fi, de exemplu, în cazul în care o persoană vizată formulează o cale de atac în ceea ce privește utilizarea derogării în materie de securitate națională în legătură cu prelucrarea de către o autoritate publică care a efectuat prelucrarea în temeiul Legii din 1998. Trebuie remarcat faptul că, în aceste cazuri, secțiunea 28 din DPA din 1998 se va aplica în întregime, incluzând, prin urmare, posibilitatea ca persoana vizată să conteste certificatul în instanță.

166

(167)  Orientările Guvernului Regatului Unit privind certificatele de securitate națională în temeiul Legii privind protecția datelor din 2018, disponibile la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf. Potrivit explicației furnizate de autoritățile Regatului Unit, deși un certificat este o dovadă concludentă a faptului că, în ceea ce privește datele sau prelucrarea descrise în certificat, derogarea este aplicabilă, acesta nu elimină cerința ca operatorul să analizeze, de la caz la caz, dacă este necesar să invoce derogarea.

167

(168)  În conformitate cu secțiunea 130 din DPA din 2018, ICO poate decide să nu publice textul sau o parte a textului certificatului, în cazul în care acest lucru ar fi contrar interesului securității naționale sau ar fi contrar interesului public sau ar putea pune în pericol siguranța oricărei persoane. În aceste cazuri, ICO va publica totuși faptul că certificatul a fost eliberat.

168

(169)  Orientările Guvernului Regatului Unit privind certificatele de securitate națională, punctul 15, a se vedea nota de subsol 167.

169

(170)  Orientările Guvernului Regatului Unit privind certificatele de securitate națională, punctul 5, a se vedea nota de subsol 167.

170

(171)  A se vedea nota de subsol 164.

171

(172)  Secțiunea 102 din DPA din 2018 prevede că operatorul trebuie să fie în măsură să demonstreze că s-a conformat DPA din 2018. Aceasta implică faptul că un serviciu de informații ar trebui să demonstreze ICO faptul că, atunci când invocă derogarea, a luat în considerare circumstanțele specifice ale cazului. ICO publică, de asemenea, o evidență a certificatelor de securitate națională, care este disponibilă la următoarea adresă: este disponibilă la următoarea adresă: https://ico.org.uk/about-the-ico/our-information/national-security-certificates

172

(173)  Tribunalul Superior este instanța competentă să soluționeze căile de atac împotriva hotărârilor pronunțate de tribunalele administrative inferioare și are competențe specifice pentru soluționarea căilor de atac directe introduse împotriva deciziilor anumitor organisme guvernamentale.

173

(174)  Secțiunea 111 punctul 3 din DPA din 2018.

174

(175)  Secțiunea 111 punctul 5 din DPA din 2018.

175

(176)  În cauza Baker/Secretary of State (a se vedea nota de subsol 61), Information Tribunal a anulat un certificat de securitate națională emis de ministrul de interne, considerând că nu există niciun motiv pentru a prevedea o excepție generală de la obligația de a răspunde cererilor de acces și că permiterea unei astfel de excepții în toate circumstanțele, fără o analiză de la caz la caz, ar depăși ceea ce este necesar și proporțional pentru protecția securității naționale.

176

Baker/Secretary of State

(177)  Orientările Guvernului Regatului Unit privind certificatele de securitate națională, punctul 25, a se vedea nota de subsol 167.

177

(178)  Printre acestea se numără: (i) principiile privind protecția datelor prevăzute în partea 4, cu excepția legalității cerinței de prelucrare în temeiul primului principiu și a faptului că prelucrarea trebuie să îndeplinească una dintre condițiile relevante prevăzute în anexele 9 și 10; (ii) drepturile persoanelor vizate; și (iii) obligațiile legate de raportarea încălcărilor către ICO.

178

(179)  Partea 4 din DPA din 2018 prevede cadrul juridic care se aplică tuturor tipurilor de prelucrare a datelor cu caracter personal efectuate de serviciile de informații (și nu numai în scopul exercitării sarcinilor lor în materie de securitate națională). Prin urmare, partea 4 se aplică și atunci când agențiile de informații prelucrează date, de exemplu în scopul gestionării resurselor umane, în contextul litigiilor sau în contextul achizițiilor publice. Restricțiile enumerate în anexa 11 sunt destinate în principal aplicării în aceste alte contexte. De exemplu, în contextul litigiilor cu un angajat, poate fi invocată restricția în scopul „procedurilor judiciare” sau, în contextul achizițiilor publice, poate fi invocată restricția în scopul „negocierii” etc. Acest lucru se reflectă în orientările ICO privind prelucrarea de către serviciile de informații, care menționează negocierea unei înțelegeri între o agenție de informații și un fost angajat care depune o creanță legată de raporturile de muncă ca exemplu pentru aplicarea restricțiilor din anexa 11 (a se vedea nota de subsol 161). De asemenea, trebuie remarcat faptul că aceleași restricții sunt disponibile pentru alte autorități publice în conformitate cu anexa 2 la partea 2 din DPA din 2018.

179

(180)  Conform Cadrului explicativ al Regatului Unit, excepțiile „bazate pe categorii” sunt: (i) informații cu privire la acordarea de distincții și demnități ale Coroanei; (ii) secretul profesional al avocatului; (iii) referințe confidențiale privind angajarea, formarea sau educația; și (iv) foi de examinare și note la examene. Excepțiile „bazate pe prejudicii” se referă la următoarele aspecte: (i) prevenirea sau depistarea infracțiunilor; arestarea și urmărirea penală a infractorilor; (ii) privilegiul parlamentar; (iii) proceduri judiciare; (iv) eficacitatea de luptă a forțelor armate ale Coroanei; (v) bunăstarea economică a Regatului Unit; (vi) negocierile cu persoana vizată; (vii) scopuri de cercetare științifică sau istorică ori scopuri statistice; (viii) arhivarea în interes public. Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, secțiunea H: Securitatea națională, pagina 13, a se vedea nota de subsol 31.

180

(181)  Utilizarea consimțământului nu pare relevantă într-un scenariu privind caracterul adecvat, deoarece într-o situație de transfer, datele nu vor fi fost colectate direct de la o persoană vizată din UE de către o autoritate de aplicare a legii din Regatul Unit pe baza consimțământului.

181

(182)  Pentru temeiul juridic relevant, a se vedea secțiunea 8 și următoarele din PACE din 1984 (pentru Anglia și Țara Galilor), secțiunea 10 și următoarele din Police and Criminal Evidence Order (Northern Ireland) (Ordinul privind competențele polițienești și probele în materie penală) (Irlanda de Nord) din 1989, iar pentru Scoția, acesta este obținut în temeiul common law [a se vedea secțiunea 46 din Criminal Justice (Scotland) Act – Legea privind justiția penală (Scoția) din 2016 și secțiunea 23B din Criminal Law (Consolidation) (Scotland) – Codul penal (consolidare) (Scoția)]. Pentru mandatul de percheziție emis după arestare, temeiul juridic este secțiunea 18 din PACE din 1984 (pentru Anglia și Țara Galilor), secțiunea 20 și următoarele din Ordinul privind competențele polițienești și probele în materie penală (Irlanda de Nord) din 1989, iar pentru Scoția, acesta este obținut în temeiul common law [a se vedea secțiunea 46 din Legea privind justiția penală (Scoția) din 2016]. Autoritățile Regatului Unit au clarificat faptul că mandatele de percheziție sunt emise de o instanță, la cererea anchetatorului. Acestea permit unui anchetator să intre în incinte pentru a căuta materiale sau persoane relevante pentru ancheta pe care o desfășoară; executarea mandatului va necesita adesea asistența unui agent de poliție.

182

Police and Criminal Evidence Order (Northern Ireland)

Criminal Justice (Scotland) Act –

Criminal Law (Consolidation) (Scotland)

(183)  Atunci când ancheta se referă la spălarea banilor (inclusiv confiscare și proceduri civile de recuperare), temeiul juridic relevant pentru solicitarea unui ordin de divulgare este secțiunea 345 și următoarele pentru Anglia, Țara Galilor și Irlanda de Nord și secțiunea 380 și următoarele din Proceeds of Crime Act (Legea privind produsele infracțiunii) din 2002 pentru Scoția. Atunci când ancheta se referă la alte aspecte decât spălarea banilor, se poate depune o cerere de emitere a unui ordin de divulgare în temeiul secțiunii 9 și al anexei 1 la PACE din 1984 pentru Anglia și Țara Galilor și al secțiunii 10 și următoarele din Ordinul privind competențele polițienești și probele în materie penală (Irlanda de Nord) din 1989 pentru Irlanda de Nord. Pentru Scoția, acesta se obține în temeiul common law [a se vedea secțiunea 46 din Legea privind justiția penală (Scoția) din 2016 și secțiunea 23B din Codul penal (consolidare) (Scoția)]. Autoritățile din Regatul Unit au clarificat faptul că un ordin de divulgare impune persoanei menționate în acesta să prezinte sau să permită accesul la materialul pe care îl deține sau îl controlează (a se vedea punctul 4 din anexa 1 la PACE din 1984).

183

Proceeds of Crime Act

(184)  De exemplu, PACE din 1984 prevede, în secțiunile 8 și 18, competențe de a confisca și a reține orice element pentru care a fost autorizată o percheziție.

184

(185)  De exemplu, secțiunile 8 și 18 din PACE reglementează competența unui judecător de pace de a autoriza un mandat și, respectiv, a unui agent de poliție de a percheziționa o proprietate. În primul caz (secțiunea 8), înainte de a emite un mandat, un judecător de pace trebuie să se asigure în prealabil că există motive întemeiate pentru a considera că: (i) a fost comisă o infracțiune pedepsibilă; (ii) în incinte există materiale care ar putea avea o valoare substanțială (fie ele însele, fie împreună cu alte materiale) pentru anchetarea infracțiunii; (iii) este probabil ca materialele să constituie probe relevante; (iv) nu constau în sau nu includ elemente supuse secretului profesional al avocatului, materiale excluse sau materiale pentru proceduri speciale; și (v) nu ar fi posibil să se obțină intrarea fără utilizarea unui mandat. În al doilea caz, articolul 18 permite unui agent de poliție să efectueze o percheziție la locuința unei persoane arestate pentru o infracțiune pedepsibilă pentru alte materiale decât cele supuse secretului profesional al avocatului, în cazul în care are motive întemeiate să suspecteze că în locuință există probe care se referă la infracțiunea respectivă sau la o altă infracțiune similară sau conexă. O astfel de percheziție trebuie să se limiteze la descoperirea materialelor respective și trebuie să fie autorizată în scris de un funcționar al poliției având cel puțin gradul de inspector, cu excepția cazului în care acest lucru este necesar pentru anchetarea infracțiunii. În acest caz, un funcționar având cel puțin gradul de inspector trebuie să fie informat cât mai curând posibil după efectuarea acesteia. Motivele percheziției și natura probelor căutate trebuie să fie înregistrate. În plus, secțiunile 15 și 16 din PACE din 1984 prevăd garanții legale care trebuie respectate atunci când se solicită un mandat de percheziție. Secțiunea 15 specifică cerințele aplicabile pentru obținerea unui mandat de percheziție (inclusiv conținutul cererii formulate de agentul de poliție și faptul că mandatul trebuie să specifice, printre altele, legea în temeiul căreia este emis și să identifice, pe cât posibil, articolele și persoanele care trebuie căutate și incintele la care trebuie efectuată percheziția). Secțiunea 16 reglementează modul în care trebuie efectuată o percheziție în temeiul unui mandat (de exemplu: secțiunea 16 punctul 5 prevede că funcționarul care execută mandatul furnizează ocupantului o copie a mandatului; secțiunea 16 punctul 11 prevede ca mandatul, odată executat, să fie păstrat pe o perioadă de 12 luni; secțiunea 16 punctul 12 conferă ocupantului dreptul de a verifica mandatul în această perioadă, dacă dorește acest lucru). Aceste secțiuni contribuie la asigurarea conformității cu articolul 8 din Convenția europeană a drepturilor omului [a se vedea, de exemplu, Kent Pharmaceuticals/Director of the Serious Fraud Office [2002] EWHC 3023 (QB) la [30] de Lord Woolf CJ]. Nerespectarea acestor garanții poate duce la declararea percheziției drept ilegală [de exemplu, R (Brook)/Preston Crown Court [2018] EWHC 2024 (Admin), [2018] ACD 95; R (Superior Import/Export Ltd)/Revenue and Customs Commissioners [2017] EWHC 3172 (Admin), [2018] Lloyd’s Rep FC 115; și R (F)/Blackfriars Crown Court [2014] EWHC 1541 (Admin)]. Secțiunile 15 și 16 din PACE din 1984 sunt completate de Codul B din PACE, un cod de bune practici elaborat pentru a reglementa exercitarea competențelor polițienești de a efectua percheziții în incinte.

185

(186)  De exemplu, atunci când se emite un ordin de divulgare în temeiul Legii privind produsele infracțiunii din 2002, pe lângă necesitatea de a avea motive întemeiate pentru a îndeplini condițiile prevăzute la articolul 346 alineatul (2) din Legea privind produsele infracțiunii, ar trebui să existe dovezi satisfăcătoare din care să rezulte că persoana în cauză se află în posesia materialului astfel specificat sau deține controlul asupra acestuia și că este probabil ca materialul să aibă o valoare substanțială. În plus, o altă cerință pentru emiterea unui ordin de divulgare este faptul că trebuie să existe motive întemeiate pentru a considera că este în interes public ca materialul să fie divulgat sau accesul la acesta să fie acordat, având în vedere (a) beneficiul care ar putea rezulta pentru anchetă în cazul în care materialul este obținut; și (b) circumstanțele referitoare la persoana despre care cererea precizează că pare să se afle în posesia materialului care conține informațiile sale sau să dețină controlul asupra acestuia. În mod similar, o instanță care examinează o cerere de emitere a unui ordin de divulgare în temeiul anexei 1 la PACE din 1984 trebuie să se asigure că sunt îndeplinite anumite condiții. În special, anexa 1 la PACE stabilește două seturi separate de condiții alternative, dintre care unul trebuie îndeplinit înainte ca un judecător să poată emite un ordin de divulgare. Primul set impune ca judecătorul să aibă motive întemeiate să considere: (i) că a fost săvârșită o infracțiune pedepsibilă; (ii) materialele căutate în incintă constau în sau includ materiale pentru proceduri speciale, dar nu materiale excluse; (iii) materialele ar putea avea o valoare substanțială, fie ele însele, fie împreună cu alte materiale, pentru anchetă; (iv) și că este probabil ca acestea să constituie probe relevante; (v) alte metode de obținere a materialelor fie au fost încercate, fie nu au fost încercate deoarece ar fi sortite eșecului; și (vi) luând în considerare beneficiul pentru anchetă și circumstanțele în care persoana în cauză le deține, este în interes public ca materialele să fie divulgate sau ca accesul la acestea să fie furnizat. Al doilea set de condiții impune: (i) ca în incintă să existe materiale care constau în materiale pentru proceduri speciale sau materiale excluse; (ii) dacă nu ar fi existat interzicerea perchezițiilor efectuate în temeiul legislației adoptate înainte de PACE pentru materiale pentru proceduri speciale, materiale excluse sau materiale supuse secretului profesional al avocatului, ar fi putut fi emis un mandat de percheziție pentru materiale; și (iii) ar fi fost oportun să se procedeze astfel.

186

(187)  Controlul jurisdicțional este procedura legală prin care deciziile unui organism public pot fi contestate la Înalta Curte. Instanțele „reexaminează” decizia contestată și decid dacă se poate susține că decizia este eronată din punct de vedere juridic, având în vedere conceptele/principiile de drept public. Motivele principale ale controlului jurisdicțional sunt: ilegalitatea, iraționalitatea, viciile de formă, încrederea legitimă și drepturile omului. În urma unei admiteri în cadrul unei proceduri de control jurisdicțional, o instanță poate dispune o serie de căi de atac diferite; cea mai frecventă este un ordin de casare (care ar anula sau ar casa decizia inițială – și anume decizia de emitere a unui mandat de percheziție), în anumite circumstanțe, aceasta putând include, de asemenea, acordarea de compensații financiare. Detalii suplimentare privind controlul jurisdicțional în Regatul Unit sunt disponibile în publicația Departamentului juridic al Guvernului, intitulată Judge Over Your Shoulder – a guide to good decision-making, disponibilă la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/746170/JOYS-OCT-2018.pdf

187

Judge Over Your Shoulder – a guide to good decision-making

(188)  Secțiunea 36 punctul 1 din DPA din 2018 al Regatului Unit.

188

(189)  Secțiunea 37 din DPA din 2018 al Regatului Unit.

189

(190)  Potrivit secțiunii 263 punctul 1 din IPA 2016, „infracțiune gravă” înseamnă o infracțiune pentru care se poate aștepta în mod rezonabil ca un adult, care nu a mai avut condamnări, să fie condamnat la pedeapsa cu închisoarea pentru o perioadă de cel puțin trei ani sau al cărui comportament implică utilizarea violenței, are ca rezultat un câștig financiar substanțial sau este un comportament al unui număr mare de persoane. În plus, în scopul achiziției de date ale comunicațiilor în temeiul părții 4 din IPA 2016, secțiunea 87 punctul 10B prevede că „infracțiune gravă” înseamnă o infracțiune pentru care poate fi impusă o pedeapsă cu închisoarea de cel puțin 12 luni sau o infracțiune săvârșită de o persoană care nu este persoană fizică, sau care implică, în cadrul acesteia, transmiterea unei comunicări sau încălcarea vieții private a unei persoane.

190

(191)  În special, următoarele autorități de aplicare a legii pot solicita un mandat de interceptare țintită: directorul general al Agenției Naționale pentru Combaterea Criminalității, Serviciul de poliție metropolitană, șeful Serviciului de poliție din Irlanda de Nord, șeful Serviciului de poliție din Scoția, Comisarul Administrației Fiscale și Vamale din Regatul Unit, șeful serviciului de informații în materie de apărare și o persoană care este o autoritate competentă a unei țări sau a unui teritoriu din afara Regatului Unit în sensul unui instrument de asistență reciprocă al UE sau al unui acord internațional de asistență reciprocă (secțiunea 18 punctul 1 din IPA din 2016).

191

(192)  A se vedea secțiunea 4 din IPA din 2016.

192

(193)  A se vedea secțiunea 261 punctul 5 din IPA din 2016 și Codul de bune practici privind achiziția în masă a datelor comunicațiilor, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, punctul 2.9.

193

(194)  Codul de bune practici privind intervenția asupra echipamentelor (Code of Practice on Equipment Interference), disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, punctul 2.2.

194

Code of Practice on Equipment Interference

(195)  Un mandat de asistență reciprocă autorizează o autoritate din Regatul Unit să ofere asistență unei autorități din afara teritoriului Regatului Unit pentru interceptarea și divulgarea materialelor interceptate către această autoritate, în conformitate cu un instrument internațional de asistență reciprocă (secțiunea 15 punctul 4 din IPA din 2016).

195

(196)  Legea din 2016 privind competențele de investigare (a se vedea: https://www.legislation.gov.uk/ukpga/2016/25/contents/enacted) a înlocuit o legislație diferită privind interceptarea comunicațiilor, intervenția asupra echipamentelor și achiziția de date ale comunicațiilor, în special partea I din RIPA din 2000, care prevedea cadrul legislativ general anterior pentru utilizarea competențelor de investigare de către autoritățile de aplicare a legii și de securitate națională.

196

(197)  Secțiunea 138 punctul 1, secțiunea 158 punctul 1, secțiunea 178 punctul 1, secțiunea 199 punctul 1 din IPA din 2016.

197

(198)  Partea 2 capitolul 2 din IPA din 2016 prevede un număr limitat de cazuri în care interceptările pot fi efectuate fără mandat. Printre acestea se numără: interceptarea cu consimțământul expeditorului sau al destinatarului, interceptarea în scopuri administrative sau de asigurare a respectării legii, interceptarea care are loc în anumite instituții (închisori, spitale psihiatrice și centre de detenție pentru imigranți), precum și interceptarea efectuată în conformitate cu un acord internațional relevant.

198

(199)  În majoritatea cazurilor, secretarul de stat este autoritatea care emite mandatele în temeiul IPA din 2016, în timp ce miniștrii din Scoția sunt împuterniciți să emită mandate de interceptare țintită, mandate de asistență reciprocă și mandate pentru intervenția țintită asupra echipamentelor atunci când persoanele sau incintele care urmează să fie interceptate și echipamentele care urmează să fie exploatate sunt situate în Scoția (a se vedea secțiunile 22 și 103 din IPA din 2016). În cazul unei intervenții țintite asupra echipamentelor, un șef al autorității de aplicare a legii (descris în părțile 1 și 2 din anexa 6 la IPA din 2016) poate emite mandatul în condițiile prevăzute în secțiunea 106 din IPA din 2016.

199

(200)  Comisarii judiciari acordă asistență comisarului pentru competențe de investigare (IPC – Investigatory Powers Commissioner), un organism independent care exercită funcții de supraveghere a utilizării competențelor de investigare de către serviciile de informații (pentru mai multe detalii, a se vedea considerentul 162 și următoarele).

200

Investigatory Powers Commissioner

(201)  A se vedea, în special, secțiunile 19 și 23 din IPA din 2016.

201

(202)  Secțiunea 36 punctul 3 din DPA din 2018.

202

(203)  Secțiunea 56 din Legea privind economia digitală din 2017, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2017/30/section/56

203

(204)  Secțiunea 48 din Digital Economy Act 2017 (Legea privind economia digitală din 2017).

204

(205)  Secțiunea 7 din Crime and Courts Act 2013 (Legea privind criminalitatea și instanțele din 2013), disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2013/22/section/7

205

(206)  Secțiunea 68 din Serious Crime Act 2007 (Legea privind formele grave de criminalitate din 2007), disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2007/27/contents

206

Serious Crime Act 2007

(207)  Practici profesionale autorizate privind schimbul de informații, disponibile la următoarea adresă: https://www.app.college.police.uk/app-content/information-management/sharing-police-information

207

(208)  A se vedea, de exemplu, cauza M, R/Chief Constable of Sussex Police [2019] EWHC 975 (Admin), în care Înaltei Curți i s-a solicitat să analizeze schimbul de date dintre poliție și un parteneriat de reducere a criminalității din sectorul afacerilor (BCRP – Business Crime Reduction Partnership), o organizație abilitată să gestioneze sistemele de notificare de excludere, interzicând persoanelor să intre în spațiile comerciale ale membrilor săi. Instanța a examinat schimbul de date, care a avut loc pe baza unui acord având ca scop protejarea publicului și prevenirea criminalității și, în cele din urmă, a concluzionat că majoritatea aspectelor legate de schimbul de date sunt legale, cu excepția unor informații sensibile partajate între poliție și BCRP. Un alt exemplu este cauza Cooper/NCA [2019] EWCA Civ 16, în care Curtea de Apel a admis schimbul de date dintre poliție și Agenția pentru combaterea formelor grave de criminalitate organizată (SOCA – Serious Organised Crime Agency), o agenție de aplicare a legii care face parte în prezent din NCA.

208

M, R/Chief Constable of Sussex Police

Business Crime Reduction Partnership

Cooper/NCA

Serious Organised Crime Agency

(209)  Secțiunea 36 punctul 4 din DPA din 2018.

209

(210)  Legea din 2008 privind combaterea terorismului, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2008/28/section/19

210

(211)  Legea privind serviciile de informații din 1994, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/1994/13/contents

211

(212)  Legea privind serviciul de securitate din 1989, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/1989/5/contents

212

(213)  Secțiunea 2 punctul 2 din Legea privind serviciile de informații din 1994 prevede următoarele: „Șeful Serviciului de Informații este responsabil de eficiența acestui serviciu, având datoria de a se asigura: (a) că există mecanisme pentru a garanta că Serviciul de Informații nu obține informații decât în măsura în care acest lucru este necesar pentru îndeplinirea corespunzătoare a funcțiilor sale și că nicio informație nu este divulgată de către acesta decât în măsura în care este necesar: (i) în acest scop; (ii) în interesul securității naționale; (iii) în scopul prevenirii sau depistării infracțiunilor grave; sau (iv) în scopul oricăror proceduri penale; și (b) că Serviciul de Informații nu ia nicio măsură pentru a promova interesele niciunui partid politic din Regatul Unit”, în timp ce secțiunea 2 punctul 2 din Legea privind serviciile de securitate din 1989 prevede următoarele: „Directorul general este responsabil de eficiența Serviciului, având datoria de a se asigura: (a) că există mecanisme pentru a garanta că Serviciul nu obține informații decât în măsura în care acest lucru este necesar pentru îndeplinirea corespunzătoare a funcțiilor sale și că nicio informație nu este divulgată de către acesta decât în măsura în care este necesar în acest scop sau în scopul prevenirii sau depistării infracțiunilor grave sau în scopul oricăror proceduri penale; și (b) că Serviciul nu ia nicio măsură pentru a promova interesele niciunui partid politic; și (c) că există mecanisme, convenite cu directorul general al Agenției Naționale pentru Combaterea Criminalității, pentru coordonarea activităților Serviciului în temeiul secțiunii 1 punctul 4 din această lege cu activitățile forțelor de poliție, ale Agenției Naționale pentru Combaterea Criminalității și ale altor agenții de aplicare a legii”.

213

(214)  A se vedea partea 3 capitolul 5 din DPA din 2018.

214

(215)  Secțiunea 76 din DPA din 2018.

215

(216)  Secțiunile 54 și 130 din IPA din 2016. Autoritățile emitente trebuie să ia în considerare necesitatea de a impune garanții specifice materialelor predate autorităților străine, pentru a se asigura că datele fac obiectul unor garanții în ceea ce privește păstrarea, distrugerea și divulgarea datelor similare celor impuse în secțiunile 53 și 129 din IPA din 2016.

216

(217)  Acord între Guvernul Regatului Unit al Marii Britanii și Irlandei de Nord și Guvernul Statelor Unite ale Americii privind accesul la datele electronice în scopul combaterii formelor grave de criminalitate, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/836969/CS_USA_6.2019_Agreement_between_the_United_Kingdom_and_the_USA_on_Access_to_Electronic_Data_for_the_Purpose_of_Countering_Serious_Crime.pdf

217

(218)  Acesta este primul acord încheiat în temeiul US Clarifying Lawful Overseas Use of Data (CLOUD) Act [Legea SUA privind clarificarea utilizării legale a datelor în străinătate (CLOUD)]. Legea CLOUD din Statele Unite este o lege federală a SUA care a fost adoptată la 23 martie 2018 și care precizează printr-o modificare a Stored Communications Act (Legea privind comunicațiile stocate) din 1986 că prestatorii de servicii din SUA au obligația de a da curs ordinelor SUA de divulgare a datelor referitoare la conținut și a datelor care nu se referă la conținut, indiferent de locul în care sunt stocate aceste date. De asemenea, Legea CLOUD permite încheierea de acorduri executive cu guvernele străine, în baza cărora prestatorii de servicii din Statele Unite să poată să furnizeze datele referitoare la conținut direct acestor guverne străine (textul Legii CLOUD este disponibil la următoarea adresă: https://www.congress.gov/115/bills/s2383/BILLS-115s2383is.pdf).

218

US Clarifying Lawful Overseas Use of Data (CLOUD) Act

Stored Communications Act

(219)  Articolul 1 alineatul (14) din acord.

219

(220)  Articolul 5 alineatul (2) din acord.

220

(221)  Articolul 5 alineatul (1) din acord.

221

(222)  Articolul 4 alineatul (5) din acord. În ceea ce privește interceptarea în timp real, se aplică un standard suplimentar mai strict: ordinele trebuie să aibă o durată limitată, care să nu depășească ceea ce este în mod rezonabil necesar pentru îndeplinirea scopurilor ordinului, și se emit numai în cazul în care aceleași informații nu au putut fi obținute în mod rezonabil printr-o metodă mai puțin intruzivă [articolul 5 alineatul (3) din acord].

222

(223)  Acord între Statele Unite ale Americii și Uniunea Europeană privind protecția informațiilor cu caracter personal în ceea ce privește prevenirea, depistarea, investigarea și urmărirea penală a infracțiunilor, JO L 336, 10.12.2016, p. 3, disponibil la următoarea adresă: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:22016A1210(01)&from=EN

223

(224)  Articolul 9 alineatul (1) din acord.

224

(225)  Articolul 9 alineatul (1) din acord.

225

(226)  Secțiunea 116 din DPA din 2018.

226

(227)  A se vedea IPA din 2016, în special capitolul 1 partea 8.

227

(228)  Punctul 2 din anexa 13 la DPA din 2018.

228

(229)  Care obligă operatorul și persoana împuternicită de operator (și, în anumite circumstanțe, orice altă persoană) să furnizeze informațiile necesare (secțiunea 142 din DPA din 2018).

229

(230)  Care permite desfășurarea investigațiilor și a auditului, care pot impune operatorului sau persoanei împuternicite de operator să permită comisarului să intre în incinte specificate, să inspecteze sau să examineze documente sau echipamente, să intervieveze persoane care prelucrează date cu caracter personal în numele operatorului (secțiunea 146 din DPA din 2018).

230

(231)  Care permite exercitarea de competențe corective, ceea ce impune operatorilor/persoanelor împuternicite de operatori să întreprindă sau să se abțină de la a întreprinde anumite măsuri (secțiunea 149 din DPA din 2018).

231

(232)  Secțiunea 154 din DPA din 2018.

232

(233)  Secțiunea 155 din DPA din 2018.

233

(234)  Politica privind acțiunile de reglementare, a se vedea nota de subsol 96.

234

(235)  Raportul anual și Situațiile financiare pe 2018-2019 ale comisarului pentru informații, a se vedea nota de subsol 101.

235

(236)  Raportul anual și Situațiile financiare pe 2019-2020 ale comisarului pentru informații, a se vedea nota de subsol 82.

236

(237)  O bază de date care a înregistrat informații referitoare la presupușii membri ai unor grupări criminale și la victimele infracțiunilor săvârșite de grupări criminale.

237

(238)  A se vedea declarația ICO, disponibilă la următoarea adresă: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/07/oaic-and-ico-open-joint-investigation-into-clearview-ai-inc

238

(239)  Secțiunea 170 din DPA din 2018.

239

(240)  Secțiunea 171 din DPA din 2018.

240

(241)  Secțiunea 119 punctul 6 din DPA din 2018.

241

(242)  În cursul exercițiului financiar care acoperă perioada cuprinsă între 1 aprilie 2019 și 31 martie 2020, investigațiile ICO au avut ca rezultat patru avertismente și opt urmăriri penale. Aceste cazuri au făcut obiectul urmăririi penale în temeiul secțiunii 55 din Legea privind protecția datelor din 1998, al secțiunii 77 din Legea din 2000 privind liberul acces la informațiile de interes public și al secțiunii 170 din Legea privind protecția datelor din 2018. În 75 % din cazuri, inculpații și-au recunoscut vinovăția, negând necesitatea unor procese prelungite cu costurile aferente. (Raportul anual și Situațiile financiare pe 2019/2020 ale comisarului pentru informații, a se vedea nota de subsol 87, pagina 40).

242

(243)  Comisarul pentru biometrie a fost instituit prin Protection of Freedoms Act 2012 (Legea din 2012 privind apărarea libertăților) (a se vedea: https://www.legislation.gov.uk/ukpga/2012/9/contents). Printre alte funcții, comisarul pentru biometrie decide dacă poliția poate păstra sau nu înregistrările profilurilor ADN și amprentele digitale obținute de la persoanele arestate, dar care nu sunt acuzate de o infracțiune calificată (secțiunea 63G din PACE din 1984). În plus, comisarul pentru biometrie are responsabilitatea generală de a supraveghea păstrarea și utilizarea ADN-ului și a amprentelor digitale, precum și păstrarea din motive de securitate națională (secțiunea 20 punctul 2 din PoFA din 2012). Comisarul pentru biometrie este numit în temeiul Codului privind numirile publice (codul este disponibil la următoarea adresă: https://www.gov.uk/government/publications/governance-code-for-public-appointments), iar condițiile numirii sale indică în mod clar faptul că acesta poate fi demis din funcție de către ministrul de interne numai în anumite circumstanțe definite în mod strict; printre acestea se numără neexercitarea atribuțiilor sale pentru o perioadă de trei luni, condamnarea pentru săvârșirea unei infracțiuni sau nerespectarea condițiilor numirii sale.

243

Protection of Freedoms Act 2012

(244)  Comisarul pentru camere de supraveghere a fost instituit prin Legea din 2012 privind apărarea libertăților și are rolul de a încuraja respectarea Codului de bune practici referitoare la camerele de supraveghere; de a revizui modul de funcționare a codului menționat; și de a oferi consiliere miniștrilor cu privire la necesitatea modificării acestui cod. Comisarul este numit în conformitate cu aceleași norme ca și Comisarul pentru biometrie și se bucură de aceleași competențe, resurse și protecție împotriva îndepărtării.

244

(245)  A se vedea https://committees.parliament.uk/committee/83/home-affairs-committee/news/100537/work-of-the-national-crime-agency-scrutinised

245

(246)  Comisiile speciale, inclusiv Comisia specială pentru afaceri interne, fac obiectul Regulamentului de procedură al Camerei Comunelor. Regulamentul de procedură reprezintă normele, convenite de Camera Comunelor, care reglementează modul în care Parlamentul își desfășoară activitatea. Competența comisiilor speciale este extinsă, iar articolul 152 alineatul (1) din Regulamentul de procedură prevede că „se numesc comisii speciale pentru a analiza cheltuielile, administrarea și politica principalelor departamente ministeriale, astfel cum se prevede la alineatul (2) din prezentul regulament, precum și ale organismelor publice asociate”. Acest lucru permite Comisiei speciale pentru afaceri interne să analizeze orice politică a Ministerului de Interne, care include politici (și legislația aferentă) privind competențele de investigare. În plus, articolul 152 alineatul (4) din Regulamentul de procedură prevede în mod clar diferitele competențe ale comisiilor, inclusiv capacitatea de a solicita persoanelor să furnizeze probe sau documente cu privire la o anumită chestiune și să elaboreze rapoarte. Anchetele actuale și anterioare ale comisiei sunt disponibile la următoarea adresă: https://committees.parliament.uk/committee/83/home-affairs-committee

246

(247)  Competențele Comisiei speciale pentru afaceri interne din Anglia și Țara Galilor sunt stabilite în Regulamentul de procedură al Camerei Comunelor, disponibil la următoarea adresă: https://www.parliament.uk/business/publications/commons/standing-orders-public11

247

(248)  Disponibil la următoarea adresă: https://publications.parliament.uk/pa/cm201415/cmselect/cmhaff/711/71103.htm

248

(249)  Disponibil la următoarea adresă: https://committees.parliament.uk/committee/83/home-affairs-committee

249

(250)  Regulamentul Subcomisiei pentru justiție în domeniul polițienesc din Scoția este disponibil la următoarea adresă: https://www.parliament.scot/parliamentarybusiness/CurrentCommittees/justice-committee.aspx, iar regulamentul Comisiei pentru justiție din Irlanda de Nord este disponibil la următoarea adresă: http://www.niassembly.gov.uk/assembly-business/standing-orders

250

(251)  Ultimul raport anual al ICO prezintă o defalcare a naturii plângerilor primite și clasate. În special, numărul plângerilor primite cu privire la „evidențele poliției și cazierele judiciare” se ridică la 6 % din numărul total de plângeri primite (cu o creștere de 1 % față de exercițiul financiar precedent). Raportul anual arată, de asemenea, că plângerile referitoare la cererile de acces ale persoanelor vizate reprezintă cel mai mare număr (46 % din numărul total de plângeri, cu o creștere de 8 % față de exercițiul financiar precedent) (Raportul anual al ICO pe 2019-2020, pagina 55; a se vedea nota de subsol 88).

251

(252)  Secțiunea 166 din DPA din 2018 se referă în mod specific la următoarele situații: (a) comisarul nu ia măsurile adecvate pentru a răspunde plângerii; (b) comisarul nu furnizează reclamantului informații cu privire la evoluția plângerii sau la rezultatul acesteia înainte de sfârșitul perioadei de trei luni care începe în momentul în care comisarul a primit plângerea; sau (c) în cazul în care examinarea plângerii de către comisar nu este finalizată în perioada respectivă, acesta nu furnizează reclamantului astfel de informații în cursul unei perioade ulterioare de trei luni.

252

(253)  Tribunalul de primă instanță este instanța competentă să soluționeze căile de atac introduse împotriva deciziilor luate de organismele de reglementare guvernamentale. În cazul deciziei comisarului pentru informații, camera competentă este „General Regulatory Chamber”, care are jurisdicție asupra întregului teritoriu al Regatului Unit.

253

(254)  Secțiunea 166 din DPA din 2018. Exemple de acțiuni de succes introduse împotriva ICO în fața tribunalului includ o cauză în care ICO a confirmat primirea unei plângeri din partea unei persoane vizate, dar nu a indicat ce măsuri intenționa să adopte și, prin urmare, a fost obligat să confirme, în termen de 21 de zile calendaristice, dacă va investiga plângerile și, în caz afirmativ, să informeze reclamantul cu privire la evoluția investigației cel puțin la fiecare 21 de zile calendaristice după aceea (hotărârea nu a fost încă publicată) și o cauză în care tribunalul de primă instanță a considerat că este neclar dacă răspunsul ICO adresat unui reclamant constituie în mod adecvat „rezultatul” plângerii (a se vedea Susan Milne/The Information Commissioner [2020], hotărâre disponibilă la următoarea adresă: https://informationrights.decisions.tribunals.gov.uk/DBFiles/Decision/i2730/Milne,%20S%20-%20QJ2020-0296-GDPR-V,%20051220%20Section%20166%20DPA%20-DECISION.pdf).

254

Susan Milne/The Information Commissioner

,

(255)  Secțiunile 162 și 163 din DPA din 2018.

255

(256)  A se vedea, de exemplu, cauza Brown/Commissioner of Police of the Metropolis & Anor [2019] EWCA Civ 1724, în care au fost acordate despăgubiri în valoare de 9 000 GBP în temeiul DPA din 1998 și al Legii privind drepturile omului din 1998 pentru obținerea și utilizarea abuzivă ilegală a informațiilor cu caracter personal, și cauza R (on the application of Bridges)/Chief Constable of South Wales [2020] EWCA Civ 1058, în care Curtea de Apel a declarat ilegală implementarea unui sistem de recunoaștere facială de către poliția din Țara Galilor, întrucât acesta a încălcat articolul 8 din Convenția europeană a drepturilor omului, iar evaluarea impactului asupra protecției datelor realizată de operator nu a respectat DPA din 2018.

256

Brown/Commissioner of Police of the Metropolis & Anor

R (on the application of Bridges)/Chief Constable of South Wales

(257)  Articolul 34 din Convenția europeană a drepturilor omului prevede următoarele: „Curtea poate fi sesizată, printr-o cerere, de orice persoană fizică, organizație neguvernamentală sau grup de particulari care se pretind victime ale unei încălcări de către una dintre Înaltele Părți Contractante a drepturilor recunoscute în Convenție sau în Protocoalele sale. Înalta Parte Contractantă se angajează să nu împiedice prin nicio măsură exercițiul eficace al acestui drept”.

257

(258)  MI5 se află sub autoritatea ministrului de interne. Legea privind serviciul de securitate din 1989 stabilește funcțiile MI5: protejarea securității naționale (inclusiv protecția împotriva amenințărilor reprezentate de spionaj, terorism și sabotaj, de activitățile agenților puterilor străine și de acțiunile menite să răstoarne sau să submineze democrația parlamentară prin mijloace politice, industriale sau violente), protejarea bunăstării economice a Regatului Unit împotriva amenințărilor externe și sprijinirea activităților forțelor de poliție și ale altor agenții de aplicare a legii în prevenirea și depistarea infracțiunilor grave.

258

(259)  SIS se află sub autoritatea ministrului afacerilor externe, iar funcțiile sale sunt prevăzute în Legea privind serviciile de informații din 1994. Funcțiile sale sunt de a obține și de a furniza informații cu privire la acțiunile sau intențiile persoanelor din afara Insulelor Britanice și de a îndeplini alte sarcini legate de acțiunile sau intențiile acestor persoane. Aceste funcții pot fi exercitate numai în interesul securității naționale, în interesul bunăstării economice a Regatului Unit sau în sprijinul prevenirii sau depistării infracțiunilor grave.

259

(260)  GCHQ se află sub autoritatea ministrului afacerilor externe, iar funcțiile sale sunt prevăzute în Legea privind serviciile de informații din 1994. Acestea sunt: (a) să monitorizeze, să utilizeze sau să efectueze intervenții asupra emisiilor electromagnetice și de altă natură și a echipamentelor care produc astfel de emisii, să obțină și să furnizeze informații provenite din sau legate de astfel de emisii sau echipamente și din materiale criptate; (b) să ofere consiliere și asistență cu privire la limbi, inclusiv terminologia utilizată în chestiuni tehnice și criptografie, precum și la alte aspecte legate de protecția informațiilor destinate forțelor armate, guvernului sau altor organizații sau persoane considerate adecvate. Aceste funcții pot fi exercitate numai în interesul securității naționale, în interesul bunăstării economice a Regatului Unit în ceea ce privește acțiunile sau intențiile persoanelor din afara Insulelor Britanice sau în sprijinul prevenirii sau depistării infracțiunilor grave.

260

(261)  Alte organisme publice care exercită funcții relevante pentru securitatea națională sunt Serviciul de informații în materie de apărare (DI – Defence Intelligence), Consiliul și Secretariatul de securitate națională, Organizația comună de informații (Joint Intelligence Organisation) și Comitetul comun de informații (Joint Intelligence Committee). Cu toate acestea, nici JIC, nici JIO nu sunt în măsură să utilizeze competențele de investigare în temeiul IPA din 2016, în timp ce DI are un domeniu de aplicare limitat pentru a-și exercita competențele.

261

Defence Intelligence

Joint Intelligence Organisation

Joint Intelligence Committee

(262)  Interdicția se aplică atât rețelelor de comunicații publice, cât și celor private, precum și serviciului poștal public atunci când interceptarea are loc în Regatul Unit. Interdicția nu se aplică operatorului rețelei private dacă operatorul și-a dat consimțământul explicit sau implicit pentru efectuarea interceptării (secțiunea 3 din IPA din 2016).

262

(263)  Într-un număr limitat de cazuri, este posibilă interceptarea legală fără mandat, și anume atunci când interceptarea are loc cu consimțământul expeditorului sau al destinatarului (secțiunea 44 din IPA din 2016), în cazul unor scopuri administrative sau de aplicare a legii limitate (secțiunile 45-48 din IPA), în anumite instituții speciale (secțiunile 49-51 din IPA din 2016) și conform cererilor din străinătate (secțiunea 52 din IPA din 2016).

263

(264)  În ceea ce privește, de exemplu, domeniul de aplicare al unor astfel de măsuri, în temeiul părților 3 și 4 (păstrarea și achiziția datelor comunicațiilor), domeniul de aplicare al măsurii este strict legat de definiția „operatorilor de telecomunicații” ale căror date ale utilizatorilor fac obiectul măsurii. Un alt exemplu poate fi dat în legătură cu utilizarea competențelor „în masă”. În acest caz, domeniul de aplicare al acestor competențe este limitat la „comunicările trimise sau primite de persoane fizice în afara insulei britanice”.

264

(265)  Anexa 7 la IPA din 2016 stabilește domeniul de aplicare al codurilor, procedura care trebuie urmată la emiterea acestora, normele de revizuire a acestora și efectul codurilor.

265

(266)  Codurile de bune practici din cadrul IPA din 2016 sunt disponibile la următoarea adresă: https://www.gov.uk/government/publications/investigatory-powers-act-2016-codes-of-practice

266

(267)  Instanțele și tribunalele utilizează codurile de bune practici pentru a evalua legalitatea comportamentului autorităților. A se vedea, de exemplu: Dias/Cleveland Police, [2017] UKIPTrib15_586-CH, în care Tribunalul cu competențe de investigare a făcut trimitere la pasaje specifice din Codul de bune practici privind datele comunicațiilor pentru a înțelege definiția motivului de „prevenire sau depistare a infracțiunilor sau de prevenire a tulburărilor ordinii publice” utilizat pentru a solicita achiziția datelor comunicațiilor. Codul a fost inclus în motivare pentru a constata dacă motivul în cauză a fost utilizat în mod incorect. În continuare, potrivit concluziilor instanței, comportamentele contestate au fost nelegale. Instanțele au efectuat, de asemenea, o evaluare a nivelului garanțiilor disponibile în Coduri; a se vedea, de exemplu, Just for Law Kids/Secretary of State for the Home Department [2019] EWHC 1772 (Admin), în care Înalta Curte a constatat că legislația primară și secundară, împreună cu orientările interne, oferă garanții suficiente; sau R (National Council for Civil Liberties)/Secretary of State for the Home Department și alții [2019] EWHC 2057 (Admin), în care a constatat că atât IPA din 2016, cât și Codul de bune practici privind intervenția asupra echipamentelor conțin suficiente dispoziții cu privire la necesitatea specificității mandatelor.

267

Dias/Cleveland Police

Just for Law Kids/Secretary of State for the Home Department

R (National Council for Civil Liberties)/Secretary of State for the Home Department și alții

(268)  În cauza Big Brother Watch, Marea Cameră a Curții Europene a Drepturilor Omului a arătat că „codul IC este un document public aprobat de ambele camere ale Parlamentului, care este publicat de guvern online și în versiune tipărită și care trebuie luat în considerare atât de persoanele care exercită funcții de interceptare, cât și de instanțe (a se vedea punctele 93-94 de mai sus). În consecință, Curtea a admis că dispozițiile sale ar putea fi luate în considerare la evaluarea previzibilității RIPA (a se vedea cauza Kennedy, citată anterior, § 157). În consecință, Curtea ar accepta ca dreptul intern ar fi «accesibil» în mod adecvat.” [A se vedea Curtea Europeană a Drepturilor Omului (Marea Cameră), Big Brother Watch și alții/Regatul Unit, Cererile nr. 58170/13, 62322/14 și 24960/15 din 25 mai 2021, punctul 366].

268

Big Brother Watch și alții/Regatul Unit

(269)  Pentru lista autorităților relevante de aplicare a legii care pot aplica competențe de investigare țintite în temeiul IPA din 2016, a se vedea nota de subsol (139).

269

(270)  Partea 2 din IPA din 2016.

270

(271)  Partea 3 din IPA din 2016.

271

(272)  Partea 4 din IPA din 2016.

272

(273)  Partea 5 din IPA din 2016.

273

(274)  Secțiunea 136 din IPA din 2016.

274

(275)  Secțiunea 158 din IPA din 2016.

275

(276)  Secțiunea 176 din IPA din 2016.

276

(277)  Secțiunea 199 din IPA din 2016.

277

(278)  Codul de bune practici privind interceptarea comunicațiilor precizează că alte elemente ale testului de proporționalitate sunt următoarele: „(i) amploarea ingerinței propuse în viața privată față de ceea ce se urmărește a fi obținut; (ii) modul și motivul pentru care metodele care urmează să fie adoptate vor cauza cel mai redus grad posibil de ingerință persoanei în cauză și altor persoane; (iii) dacă activitatea este o utilizare adecvată a legii și o modalitate rezonabilă, după analizarea tuturor alternativelor rezonabile, de a obține ceea ce se urmărește a fi obținut; (iv) ce alte metode, după caz, fie nu au fost puse în aplicare, fie au fost utilizate, dar care sunt evaluate ca fiind insuficiente pentru îndeplinirea obiectivelor operaționale fără utilizarea competenței de investigare propuse”. Punctul 4.16 din Codul de bune practici privind interceptarea comunicațiilor, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

278

(279)  A se vedea punctele 4.12 și 4.15 din Codul de bune practici privind interceptarea comunicațiilor, disponibile la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

279

(280)  A se vedea Codul de bune practici privind interceptarea comunicațiilor, punctul 4.16.

280

(281)  Declarația de sfârșit de mandat a Raportorului special privind dreptul la viață privată la încheierea misiunii sale în Regatul Unit al Marii Britanii și Irlandei de Nord, disponibilă la următoarea adresă: https://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=23296&LangID=E, punctul 1.a.

281

(282)  Secțiunea 15 punctul 2 din IPA din 2016.

282

(283)  Secțiunea 15 punctul 4 din IPA din 2016.

283

(284)  Secțiunea 15 punctul 2 din IPA din 2016.

284

(285)  Datele secundare sunt date atașate la comunicația interceptată sau asociate în mod logic acesteia, care pot fi separate în mod logic de aceasta și care, dacă ar fi separate astfel, nu ar dezvălui nicio informație din ceea ce ar putea fi considerat în mod rezonabil a fi sensul comunicației (dacă este cazul). Printre exemplele de date secundare se numără configurațiile routerelor sau firewall-urile sau perioada de timp în care un router a fost activ într-o rețea atunci când acestea fac parte din comunicația interceptată, sunt atașate la aceasta sau sunt asociate în mod logic acesteia. Pentru mai multe detalii, a se vedea definiția din secțiunea 16 din IPA din 2016 și Codul de bune practici privind interceptarea comunicațiilor, punctul 2.19, a se vedea nota de subsol 278.

285

(286)  Această examinare este efectuată cu titlu de excepție de la secțiunea 152 punctul 4 din IPA din 2016, care prevede interdicția încercării de identificare a comunicațiilor persoanelor care se află pe teritoriul Insulelor Britanice. A se vedea considerentul 229.

286

(287)  Ministrul scoțian autorizează mandatul atunci când acesta se referă la o activitate infracțională gravă din Scoția (a se vedea secțiunile 21 și 22 din IPA din 2016), în timp ce un funcționar superior poate fi desemnat de către secretarul de stat să emită un mandat de asistență reciprocă atunci când se constată că interceptarea va viza o persoană aflată sau un sediu aflat în afara Regatului Unit (secțiunea 40 din IPA din 2016).

287

(288)  Secțiunile 19 și 23 din IPA din 2016.

288

(289)  Secțiunea 32 din IPA din 2016.

289

(290)  Secțiunea 39 din IPA din 2016. Se pot efectua modificări limitate ale mandatelor de către persoanele prevăzute, în condițiile stabilite în IPA din 2016. Persoana care a emis mandatul poate anula un mandat în orice moment. Aceasta trebuie să procedeze astfel dacă mandatul nu mai este necesar din orice motive relevante sau în cazul în care comportamentul autorizat prin mandat nu mai este proporțional cu ceea ce se urmărește a fi obținut.

290

(291)  Secțiunea 33 din IPA din 2016. Decizia de reînnoire a mandatului trebuie aprobată de un comisar judiciar.

291

(292)  Secțiunea 19 din IPA din 2016.

292

(293)  În ceea ce privește noțiunea de „interese ale bunăstării economice a Regatului Unit, atunci când aceste interese sunt relevante și pentru securitatea națională”, Marea Cameră a Curții Europene a Drepturilor Omului a constatat în cauza Big Brother Watch și alții/Regatul Unit (a se vedea nota de subsol 268 de mai sus), punctul 371, că această noțiune s-a concentrat suficient pe securitatea națională. Deși constatarea Curții în această cauză a fost legată de utilizarea acestei noțiuni în RIPA din 2000, aceeași noțiune este utilizată în IPA din 2016.

293

(294)  Secțiunea 20 punctul 2 din IPA din 2016.

294

(295)  Secțiunea 20 punctul 3 din IPA din 2016.

295

(296)  Secțiunea 19 punctul 1 litera (b), secțiunea 19 punctul 2 litera (b) și secțiunea 19 punctul 3 litera (b) din IPA din 2016.

296

(297)  Informațiile solicitate includ detalii privind contextul (descrierea persoanelor/organizațiilor/sediilor, comunicația care urmează să fie interceptată) și modul în care obținerea acestor informații va aduce beneficii investigației, precum și o descriere a comportamentului care urmează să fie autorizat. În cazul în care nu este posibilă descrierea persoanelor/organizației/sediilor, trebuie inclusă o explicație cu privire la motivul pentru care nu a fost posibilă sau cu privire la motivul pentru care s-a realizat doar o descriere generală (Codul de bune practici privind interceptarea comunicațiilor, punctele 5.32 și 5.34, a se vedea nota de subsol 278).

297

(298)  Secțiunea 17 punctul 2 din IPA din 2016. A se vedea, de asemenea, Codul de bune practici privind interceptarea comunicațiilor, punctul 5.11 și următoarele, a se vedea nota de subsol 278.

298

(299)  Secțiunea 31 punctele 4 și 5 din IPA din 2016.

299

(300)  Secțiunea 31 punctul 8 din IPA din 2016.

300

(301)  Codul de bune practici privind interceptarea comunicațiilor, punctele 5.37 și 5.38, a se vedea nota de subsol 278.

301

(302)  Aprobarea de către un comisar judiciar nu este necesară atunci când secretarul de stat consideră că există o nevoie urgentă de emitere a mandatului (secțiunea 19 punctul 1 din IPA). Cu toate acestea, comisarul judiciar trebuie informat într-o perioadă scurtă de timp și trebuie să decidă dacă aprobă sau nu mandatul. În caz contrar, mandatul încetează să mai producă efecte (secțiunile 24 și 25 din IPA din 2016).

302

(303)  Secțiunea 23 punctul 1 din IPA din 2016.

303

(304)  Secțiunea 23 punctul 2 din IPA din 2016.

304

(305)  A se vedea secțiunile 44-51 din IPA din 2016 și secțiunea 12 din Codul de bune practici privind interceptarea comunicațiilor (a se vedea nota de subsol 278).

305

(306)  Acesta este cazul, de exemplu, atunci când o interceptare este necesară în închisoare sau într-un spital de psihiatrie (pentru a verifica comportamentul persoanei deținute sau al unui pacient) sau este necesară pentru ca un operator poștal sau de telecomunicații, de exemplu, să detecteze conținutul abuziv.

306

(307)  A se vedea a contrario secțiunea 229 punctul 4 din IPA.

307

a contrario

(308)  Secțiunile 26-29 din IPA din 2016 introduc limitări pentru obținerea unor mandate de interceptare și de examinare țintite în legătură cu interceptarea comunicațiilor trimise de o persoană care este membru al Parlamentului (orice parlament al Regatului Unit) sau destinate acesteia, interceptarea articolelor care fac obiectul secretului profesional al avocatului, interceptarea comunicațiilor pe care autoritatea de interceptare le consideră a fi comunicații care conțin materiale jurnalistice confidențiale și atunci când scopul mandatului este de a identifica sau confirma o sursă de informare jurnalistică.

308

(309)  Secțiunea 26 din IPA din 2016.

309

(310)  Secțiunea 19 punctul 1 din IPA din 2016.

310

(311)  Secțiunea 54 din IPA din 2016. Garanțiile referitoare la divulgarea de materiale către autoritățile străine sunt specificate mai în detaliu în codurile de bune practici: a se vedea în special punctul 9.26 și următoarele și punctul 9.87 din Codul de bune practici privind interceptarea comunicațiilor, precum și punctele 9.33 și următoarele și 9.41 din Codul de bune practici privind intervenția asupra echipamentelor (a se vedea nota de subsol 278).

311

(312)  Aceste scopuri sunt următoarele: pentru Serviciul de Securitate, prevenirea sau depistarea infracțiunilor grave sau orice proceduri penale [secțiunea 2 punctul 2 litera (a) din Legea privind serviciul de securitate din 1989], pentru Serviciul de Informații, interesele securității naționale, prevenirea sau depistarea infracțiunilor grave sau orice proceduri penale [secțiunea 2 punctul 2 litera (a) din Legea privind serviciile de informații din 1994] și pentru GCHQ, orice proceduri penale [secțiunea 4 punctul 2 litera (a) din Legea privind serviciile de informații din 1994]. A se vedea, de asemenea, notele explicative privind DPA din 2018, disponibile la următoarea adresă: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

312

(313)  Datele privind comunicațiile sunt definite în secțiunea 261 punctul 5 din IPA din 2016. Datele comunicațiilor sunt împărțite în „date referitoare la evenimente” (orice date care identifică sau descriu un eveniment, indiferent dacă se referă sau nu la localizarea acestuia, în sau prin intermediul unei rețele de telecomunicații în care evenimentul constă în angajarea uneia sau mai multor entități într-o anumită activitate la un moment dat) și „date referitoare la entitate” [orice date care: (a) se referă la: (i) o entitate; (ii) o asociere între un serviciu de telecomunicații și o entitate; sau (iii) o asociere între orice parte a unei rețele de telecomunicații și o entitate; (b) constau în sau includ date care identifică sau descriu entitatea (indiferent dacă se referă sau nu la localizarea entității); și (c) nu sunt date referitoare la eveniment].

313

(314)  Acest lucru rezultă din definiția datelor comunicațiilor, prevăzută la secțiunea 261 punctul 5 din IPA din 2016, potrivit căreia datele comunicațiilor sunt deținute sau obținute de un operator de telecomunicații și fie se referă la utilizatorul unui serviciu de telecomunicații și la furnizarea acestui serviciu, fie sunt cuprinse într-o comunicație, incluse ca parte integrantă în aceasta, atașate la aceasta sau asociate în mod logic acesteia (a se vedea, de asemenea, Codul de bune practici privind datele comunicațiilor, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/757850/Communications_Data_Code_of_Practice.pdf, punctele 2.22-2.33). În plus, definiția operatorului de telecomunicații prevăzută în secțiunea 261 punctul 10 din IPA din 2016 impune ca un operator de telecomunicații să fie o persoană care oferă sau furnizează un serviciu de telecomunicații unor persoane din Regatul Unit sau care controlează sau furnizează o rețea de telecomunicații aflată (integral sau parțial) în Regatul Unit sau controlată din Regatul Unit. Aceste definiții clarifică faptul că obligațiile prevăzute de IPA din 2016 nu pot fi impuse operatorilor de telecomunicații ale căror echipamente nu se află în Regatul Unit sau nu sunt controlate din Regatul Unit și care nu oferă sau nu furnizează servicii persoanelor din Regatul Unit (a se vedea, de asemenea, Codul de bune practici privind datele comunicațiilor, punctul 2.1). În cazul în care abonații din UE (indiferent dacă se află în UE sau în Regatul Unit) ar utiliza servicii în Regatul Unit, orice comunicații în legătură cu furnizarea acestui serviciu ar fi colectate direct de către furnizorul de servicii din Regatul Unit, mai degrabă decât să facă obiectul unui transfer din UE.

314

(315)  Autoritățile relevante sunt enumerate în anexa 4 la IPA din 2016 și includ forțele de poliție, serviciile de informații, unele ministere și departamente guvernamentale, Agenția Națională pentru Combaterea Criminalității, Administrația Fiscală și Vamală din Regatul Unit, Autoritatea pentru Concurență și Piețe, comisarul pentru informații, ambulanța, serviciile de pompieri și de salvare și autoritățile, de exemplu, din domeniul sănătății și siguranței alimentare.

315

(316)  Cauzele conexate C-203/15 și C-698/15, Tele2/Watson, ECLI:EU:C:2016:970.

316

Tele2/Watson

(317)  A se vedea secțiunea 61.7 litera (b) pentru achiziția datelor de comunicații și secțiunea 87.10A pentru păstrarea datelor comunicațiilor.

317

(318)  Secțiunea 60A punctul 6 din IPA din 2016.

318

(319)  Această perioadă se reduce la trei zile atunci când autorizația este acordată din motive de urgență (secțiunea 65 punctul 3A din IPA din 2016).

319

(320)  În conformitate cu secțiunea 65 din IPA din 2016, autorizația reînnoită va dura o perioadă de o lună de la data expirării autorizației actuale. Persoana care acordă autorizația o poate anula în orice moment în cazul în care consideră că cerințele nu mai sunt îndeplinite.

320

(321)  Secțiunea 60A punctul 1 din IPA din 2016. Oficiul pentru autorizații privind datele comunicațiilor (Office for Communications Data Authorisations – OCDA) îndeplinește această funcție în numele IPC (a se vedea Codurile de bune practici privind datele comunicațiilor, punctul 5.6).

321

Office for Communications Data Authorisations

(322)  Cererea prevăzută în secțiunea 61 punctul 7 litera (b) din IPA din 2016 se depune pentru „un scop aplicabil în materie de criminalitate”, însemnând, în conformitate cu secțiunea 61 punctul 7A din IPA din 2016: „în cazul în care datele comunicațiilor sunt, integral sau parțial, date referitoare la evenimente, scopul prevenirii sau al depistării infracțiunilor grave; în orice alt caz, scopul prevenirii sau al depistării infracțiunilor sau al prevenirii tulburărilor ordinii publice”.

322

(323)  Codul de bune practici privind datele comunicațiilor precizează următoarele: „În cazul în care o cerere referitoare la securitatea națională ar putea fi depusă fie în temeiul secțiunii 60A, fie în temeiul secțiunii 61, decizia privind calea de autorizare cea mai adecvată într-un anumit caz ține de competența autorităților publice individuale. Autoritățile publice care doresc să utilizeze calea funcționarilor superiori desemnați ar trebui să dispună de orientări clare cu privire la momentul în care această cale de autorizare este adecvată” (Codul de bune practici privind datele comunicațiilor, punctul 5. 19, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/822817/Communications_Data_Code_of_Practice.pdf).

323

(324)  Secțiunea 70 punctul 3 din IPA din 2016 prevede definiția unui „funcționar desemnat”, care variază de la o autoritate publică relevantă la alta (astfel cum se prevede în anexa 4 la IPA din 2016).

324

(325)  Detalii suplimentare privind independența funcționarului superior desemnat sunt furnizate în Codul de bune practici privind datele comunicațiilor (Codul de bune practici privind datele comunicațiilor, punctele 4.12-4.17, a se vedea nota de subsol 323).

325

(326)  Motivele sunt următoarele: (i) securitatea națională; (ii) prevenirea sau depistarea infracțiunilor sau prevenirea tulburărilor ordinii publice (în cazul „datelor referitoare la evenimente”, numai infracțiunile grave); (iii) în interesul bunăstării economice a Regatului Unit, în măsura în care aceste interese sunt relevante și pentru interesele de securitate națională; (iv) în interesul siguranței publice; (v) cu scopul de a preveni decesul, vătămarea sau orice prejudiciu adus sănătății fizice sau mentale a unei persoane sau de a atenua orice vătămare sau prejudiciu adus sănătății fizice sau mentale a unei persoane; (vi) pentru a sprijini investigațiile privind presupusele erori judiciare; sau (vii) pentru a identifica o persoană decedată sau o persoană care nu se poate identifica din cauza unei anumite afecțiuni (secțiunea 61 punctul 7 din IPA din 2016).

326

(327)  Secțiunea 60A punctul 1 litera (b) din IPA din 2016.

327

(328)  Codul de bune practici privind datele comunicațiilor, punctul 3.3 și următoarele, a se vedea nota de subsol 323.

328

(329)  Codul de bune practici privind datele comunicațiilor, punctul 3.13, a se vedea nota de subsol 323.

329

(330)  Secțiunea 60 punctul 1 litera (c) din IPA din 2016.

330

(331)  Aceste informații care urmează să fie incluse trebuie să conțină: (i) o descriere a modului în care obținerea datelor va aduce beneficii investigației sau operațiunii; (ii) o explicație a relevanței perioadelor de timp solicitate, inclusiv a modului în care aceste perioade sunt proporționale cu evenimentul care face obiectul investigației; (iii) o explicație a modului în care nivelul de intruziune este justificat atunci când se ia în considerare beneficiul pe care datele îl vor oferi investigației (această justificare ar trebui să includă analizarea posibilității de a efectua investigații mai puțin intruzive pentru a atinge obiectivul); (iv) examinarea drepturilor (în special la viață privată și, în cazurile relevante, la libertatea de exprimare) ale persoanei și realizarea unui echilibru între aceste drepturi și beneficiile aduse investigației; (v) detalii privind intruziunea colaterală care poate surveni și modul în care perioadele de timp solicitate au un impact asupra intruziunii colaterale (Codul de bune practici privind datele comunicațiilor, punctele 3.22-3.26, a se vedea nota de subsol 323).

331

(332)  A se vedea nota de subsol 313.

332

(333)  Atunci când se solicită date mai intruzive ale comunicațiilor (și anume, date referitoare la evenimente), codul precizează că este mai adecvat să se obțină mai întâi date referitoare la entitate sau să se obțină direct date referitoare la evenimente în cazuri limitate de urgență specifică (Codul de bune practici privind datele comunicațiilor, punctele 6.10-6.14, a se vedea nota de subsol 323).

333

(334)  Codul de bune practici privind datele comunicațiilor, punctele 8.8-8.44, a se vedea nota de subsol 323.

334

(335)  Codul de bune practici prevede că „o persoană care acordă autorizația trebuie să acorde o atenție deosebită analizării acestor cereri, inclusiv analizării suplimentare a posibilității de a exista consecințe nedorite ale acestor cereri și de a stabili dacă cererea servește cel mai bine interesului public” (Codul de bune practici privind datele comunicațiilor, punctul 8.8). În plus, trebuie păstrate evidențe pentru acest tip de cereri și, la următoarea inspecție, aceste cereri ar trebui să fie marcate în atenția IPC (Codul de bune practici privind datele comunicațiilor, punctul 8.10, a se vedea nota de subsol 323).

335

(336)  Secțiunile 87-89 din IPA din 2016.

336

(337)  În temeiul secțiunii 90 din IPA din 2016, un operator de telecomunicații căruia i se transmite o notificare de păstrare a datelor poate solicita o revizuire din partea secretarului de stat care a emis-o.

337

(338)  În temeiul articolului 87 alineatul (2) litera (a) din IPA din 2016, o notificare de păstrare se poate referi la „un anumit operator sau la orice categorie de operatori”.

338

(339)  Scopurile sunt următoarele: (i) interesul securității naționale; (ii) scopul aplicabil în materie de criminalitate (astfel cum este definit în secțiunea 87.10A din IPA din 2016); (iii) interesele bunăstării economice a Regatului Unit, în măsura în care aceste interese sunt relevante și pentru interesele de securitate națională; (iv) interesul siguranței publice; (v) scopul de a preveni decesul, vătămarea sau orice prejudiciu adus sănătății fizice sau mentale a unei persoane sau de a atenua orice vătămare sau prejudiciu adus sănătății fizice sau mentale a unei persoane; sau (vi) pentru a sprijini investigațiile privind presupusele erori judiciare (secțiunea 87 din IPA).

339

(340)  Secțiunea 87 din IPA din 2016. În plus, în conformitate cu codul de bune practici relevant, pentru a evalua proporționalitatea notificării de păstrare, se aplică criteriile prevăzute în secțiunea 2 punctul 2 din IPA din 2016, în special cerința de a evalua dacă ceea ce se urmărește a fi obținut prin notificare ar putea fi obținut în mod rezonabil prin mijloace mai puțin intruzive. În mod similar evaluării proporționalității în ceea ce privește achiziția de date ale comunicațiilor, Codul de bune practici privind datele comunicațiilor clarifică faptul că o astfel de evaluare implică „asigurarea unui echilibru între amploarea ingerinței în dreptul unei persoane la respectarea vieții private și un beneficiu concret pentru investigație” (Codul de bune practici privind datele comunicațiilor, punctul 16.3, a se vedea nota de subsol 323).

340

(341)  A se vedea secțiunea 88 din IPA din 2016.

341

(342)  Beneficiile pot fi existente sau preconizate și trebuie să respecte scopurile legale pentru care datele pot fi păstrate (Codul de bune practici privind datele comunicațiilor, punctul 17.17, a se vedea nota de subsol 323).

342

(343)  Aceste considerații vor stabili inclusiv dacă sfera geografică completă a notificării de păstrare este necesară și proporțională și dacă este necesar și proporțional să se includă sau să se excludă anumite descrieri de persoane (Codul de bune practici privind datele comunicațiilor, punctul 17.17, a se vedea nota de subsol 323).

343

(344)  Acest lucru va ajuta secretarul de stat să analizeze atât nivelul de intruziune asupra clienților, cât și beneficiile probabile ale datelor care urmează să fie păstrate (Codul de bune practici privind datele comunicațiilor, punctul 17.17, a se vedea nota de subsol 323).

344

(345)  Secțiunea 88 din IPA din 2016.

345

(346)  Secțiunea 89 din IPA din 2016.

346

(347)  În temeiul secțiunii 135 punctul 1 și al secțiunii 198 punctul 1 din IPA din 2016, „echipamente” înseamnă echipamente care produc emisii electromagnetice, acustice sau de altă natură, precum și orice dispozitiv care poate fi utilizat în legătură cu asemenea echipamente.

347

(348)  Codul de bune practici privind intervenția asupra echipamentelor (Code of Practice on Equipment Interference), disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, punctul 2.2.

348

Code of Practice on Equipment Interference

(349)  Datele referitoare la echipamente sunt definite în secțiunea 100 din IPA din 2016 ca date de sistem și date care sunt: (a) cuprinse într-o comunicație, incluse ca parte integrantă în aceasta, atașate la aceasta sau asociate în mod logic acesteia (indiferent dacă aceste operațiuni sunt efectuate sau nu de către expeditor) sau oricărei alte informații; (b) pot fi separate în mod logic de restul comunicației sau al informației; și (c) dacă ar fi astfel separate, nu ar dezvălui nimic din ceea ce ar putea fi considerat în mod rezonabil a fi sensul (dacă este cazul) al comunicației sau al informației.

349

(350)  Pentru ca cerința referitoare la mandat să fie obligatorie, secțiunea 13 punctul 1 din IPA din 2016 prevede, de asemenea, ca comportamentul serviciului de informații să constituie una sau mai multe infracțiuni în temeiul secțiunilor 1-3A din Computer Misuse Act 1990 (Legea privind protejarea materialelor informatice împotriva utilizării abuzive), ceea ce ar fi adevărat în marea majoritate a circumstanțelor (a se vedea Codul de bune practici privind intervenția asupra echipamentelor, punctele 3.32 și 3.6-3.9). În conformitate cu secțiunea 13 punctul 2 din IPA din 2016, există o „legătură cu Insulele Britanice” în cazul în care: (a) orice comportament ar avea loc în Insulele Britanice (indiferent de localizarea echipamentelor asupra cărora s-ar interveni sau asupra cărora se poate interveni); (b) serviciul de informații consideră că oricare dintre echipamentele asupra cărora s-ar interveni sau asupra cărora se poate interveni s-ar afla sau ar putea să se afle în Insulele Britanice la un moment dat, în timpul efectuării intervenției; sau (c) un scop al intervenției este de a obține: (i) comunicații trimise de către sau către o persoană care se află sau despre care serviciul de informații consideră că se află, în prezent, în Insulele Britanice; (ii) informații private referitoare la o persoană care se află sau despre care serviciul de informații consideră că se află, în prezent, în Insulele Britanice; sau (iii) date referitoare la echipamente care fac parte din comunicațiile sau informațiile private care intră sub incidența punctului (i) sau (ii) sau care au legătură cu acestea.

350

Computer Misuse Act 1990

(351)  Din motive de exhaustivitate, trebuie remarcat faptul că, chiar și în situațiile în care nu există o „legătură cu Insulele Britanice” și utilizarea intervenției asupra echipamentelor nu este, prin urmare, supusă cerinței obligatorii referitoare la mandat prevăzute în secțiunea 13 punctul 1 din IPA din 2016, un serviciu de informații care intenționează să desfășoare o activitate pentru care este în măsură să obțină un mandat pentru intervenția în masă asupra echipamentelor ar trebui să obțină un astfel de mandat ca principiu de politică (a se vedea Codul de bune practici privind intervenția asupra echipamentelor, punctul 3.24). Chiar și în cazul în care un mandat pentru intervenția asupra echipamentelor în temeiul IPA din 2016 nu este nici impus prin lege, nici obținut ca principiu de politică, acțiunile serviciilor de informații fac obiectul unei serii de condiții și limitări în temeiul secțiunii 7 din Legea privind serviciile de informații din 1994. Aceasta include în special cerința unei autorizații din partea secretarului de stat, care trebuie să se asigure că nicio acțiune nu depășește ceea ce este necesar pentru îndeplinirea corespunzătoare a funcțiilor Serviciului de informații.

351

(352)  Secțiunea 115 din IPA din 2016 reglementează conținutul mandatului, specificând că acesta trebuie să includă numele sau descrierea persoanelor, organizațiilor, locului sau grupului de persoane care constituie „ținta”, o descriere a naturii investigației și o descriere a activităților pentru care se utilizează echipamentele. El trebuie, de asemenea, să descrie tipul de echipament și comportamentul pe care persoana căreia îi este adresat mandatul este autorizată să îl adopte.

352

(353)  A se vedea, de asemenea, Codul de bune practici privind intervenția asupra echipamentelor, punctul 5.7, a se vedea nota de subsol 348.

353

(354)  Agențiile de securitate națională pot solicita un mandat de intervenție asupra echipamentelor atunci când acest lucru este necesar în scopuri de securitate națională, în scopul depistării infracțiunilor grave și/sau în interesul bunăstării economice a Regatului Unit, în măsura în care aceste interese sunt relevante și pentru interesele de securitate națională (secțiunile 102-103 din IPA din 2016). În funcție de agenție, un mandat de intervenție asupra echipamentelor poate fi solicitat în scopul asigurării respectării legii atunci când acest lucru este necesar pentru depistarea sau prevenirea unei infracțiuni grave sau în scopul prevenirii decesului sau a oricărei vătămări sau a oricărui prejudiciu adus sănătății fizice sau mentale a unei persoane sau pentru a atenua orice vătămare sau prejudiciu adus sănătății fizice sau mentale a unei persoane (a se vedea secțiunea 106 punctele 1 și 3 din IPA din 2016).

354

(355)  Secțiunea 102 punctul 1 din IPA din 2016.

355

(356)  Secțiunile 129-131 din IPA din 2016.

356

(357)  Secțiunea 109 din IPA din 2016.

357

(358)  Secțiunea 109 punctul 4 din IPA din 2016.

358

(359)  Secțiunea 110 punctul 3 litera (b) din IPA din 2016. În conformitate cu punctul 5.67 din Codul de bune practici privind intervenția asupra echipamentelor, urgența se stabilește prin faptul dacă ar fi rezonabil din punct de vedere practic să se solicite aprobarea comisarului judiciar pentru emiterea mandatului în termenul disponibil pentru a răspunde unei necesități operaționale sau de investigare. Mandatele urgente ar trebui să se încadreze într-una sau în ambele categorii de mai jos: (i) amenințarea iminentă la adresa vieții sau vătămarea gravă – de exemplu, dacă o persoană a fost răpită și se apreciază că viața sa este în pericol iminent; sau (ii) o posibilitate de colectare de informații sau de investigare cu timp limitat pentru a acționa – de exemplu, un transport de droguri din clasa A este pe cale să intre în Regatul Unit, iar agențiile de aplicare a legii doresc să aibă o acoperire a autorilor infracțiunilor grave pentru a efectua arestări. A se vedea nota de subsol 348.

359

(360)  Secțiunea 108 din IPA din 2016.

360

(361)  Potrivit Raportului privind competențele în masă prezentat de Lord David Anderson, evaluator independent al legislației în materie de combatere a terorismului înainte de aprobarea IPA din 2016, „ar trebui să fie clar faptul că colectarea și păstrarea datelor în masă nu echivalează cu așa-numita «supraveghere în masă». Orice sistem juridic care își merită denumirea va include limitări și garanții concepute tocmai pentru a se asigura că accesul la baza de date sensibile [...] nu este acordat în mod nediscriminatoriu sau nejustificat. Aceste limitări și garanții există cu siguranță în proiectul de lege.” Lord David Anderson, Report of the bulk power review (Raport privind evaluarea competențelor în masă), august 2016, punctul 1.9 (sublinierea noastră), disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/546925/56730_Cm9326_WEB.PDF

361

Report of the bulk power review (Raport privind evaluarea competențelor în masă),

(362)  Secțiunea 2.2 din IPA din 2016. A se vedea, de exemplu, Codul de bune practici privind achiziția în masă a datelor comunicațiilor, punctul 4.11, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf

362

(363)  
  „Insulele Britanice” constituie Regatul Unit, Insulele Anglo-Normande și Insula Man și sunt definite în anexa 1 la Interpretation Act 1978 (Legea din 1978 privind interpretarea legii), disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/1978/30/schedule/1

363

Interpretation Act 1978

(364)  În conformitate cu secțiunea 136 din IPA din 2016, „comunicații în străinătate” înseamnă: (i) comunicații transmise de persoane care se află în afara Insulelor Britanice; sau (ii) comunicații primite de persoane care se află în afara Insulelor Britanice. Acest regim, astfel cum a fost confirmat de autoritățile Regatului Unit, acoperă, de asemenea, comunicațiile dintre două persoane care se află în afara Insulelor Britanice. În cauza Big Brother Watch și alții/Regatul Unit (a se vedea nota de subsol 279 de mai sus), Marea Cameră a Curții Europene a Drepturilor Omului a constatat la punctul 376, în ceea ce privește o limitare similară (referitoare la „comunicațiile externe”) a comunicațiilor care pot fi capturate prin interceptări în masă în temeiul RIPA din 2000, că aceasta era suficient de delimitată și previzibilă.

364

(365)  Secțiunea 136 punctul 4 din IPA din 2016. Potrivit explicațiilor primite de la guvernul Regatului Unit, interceptarea în masă poate fi utilizată, de exemplu, pentru a identifica amenințările până atunci necunoscute la adresa securității naționale a Regatului Unit, prin filtrarea și analizarea materialelor interceptate în vederea identificării comunicațiilor care prezintă interes pentru serviciile de informații (Cadrul explicativ al Regatului Unit, secțiunea H: Securitatea națională, pp. 27-28, a se vedea nota de subsol 29). Astfel cum au explicat autoritățile Regatului Unit, astfel de instrumente pot fi utilizate pentru a stabili legături între subiectele de interes cunoscute, precum și pentru a căuta urme de activități ale unor persoane care este posibil să nu fie cunoscute încă, dar care sunt dezvăluite în cursul unei investigații, precum și pentru a identifica tipare de activitate care ar putea indica o amenințare pentru Regatul Unit.

365

(366)  În conformitate cu secțiunea 13 punctul 1 din IPA din 2016, pentru intervenția asupra echipamentelor de către un serviciu de informații, este necesară o autorizație prin intermediul unui mandat prevăzut în cadrul IPA din 2016, cu condiția să existe o „legătură cu Insulele Britanice”; a se vedea considerentul 211.

366

(367)  Secțiunea 176 din IPA din 2016. Un mandat de intervenție în masă asupra echipamentelor nu poate autoriza un comportament care (cu excepția cazului în care este adoptat cu o autorizație legală) ar constitui o interceptare ilegală (cu excepția cazului în care are legătură cu o comunicație stocată). Conform Cadrului explicativ al Regatului Unit, informațiile obținute ar putea fi necesare pentru identificarea subiectelor de interes și ar constitui operațiuni de regulă adecvate, la scară largă (Cadrul explicativ al Regatului Unit, secțiunea H: Securitatea națională, p. 28, a se vedea nota de subsol 29).

367

(368)  Secțiunea 138 punctul 1 și secțiunea 178 punctul 1 din IPA din 2016.

368

(369)  Secțiunea 138 punctul 2 și secțiunea 178 punctul 2 din IPA din 2016.

369

(370)  Conform explicațiilor furnizate de autoritățile Regatului Unit, de exemplu, un scop operațional poate limita domeniul de aplicare al măsurii la existența unei amenințări într-o anumită zonă geografică.

370

(371)  Secțiunea 142 punctele 4-10 din IPA din 2016.

371

(372)  Înalta Curte de Justiție, Liberty, [2019] EWHC 2057 (Admin), punctul 167.

372

Liberty

(373)  Secțiunile 152 și 193 din IPA din 2016 prevăd următoarele: (a) selecția pentru examinare se efectuează numai în scopurile operaționale specificate în mandat; (b) selecția pentru examinare este necesară și proporțională în toate circumstanțele; și (c) selecția pentru examinare nu încalcă interdicția de a selecta materiale și de a identifica acele comunicații care au fost transmise de către persoane cunoscute ca aflându-se în Insulele Britanice la momentul respectiv sau care sunt destinate acestora.

373

(374)  A se vedea Codul de bune practici privind interceptarea comunicațiilor, punctul 6.6, a se vedea nota de subsol 278.

374

(375)  Secțiunea 138 punctul 1 literele (b) și (c) și secțiunile 178 literele (b) și (c) din IPA din 2016.

375

(376)  Codul de bune practici privind interceptarea comunicațiilor, punctul 4.10, a se vedea nota de subsol 278.

376

(377)  Codul de bune practici privind interceptarea comunicațiilor, punctul 6.20, a se vedea nota de subsol 278, și Codul de bune practici privind intervenția asupra echipamentelor, punctul 6.13, a se vedea nota de subsol 348.

377

(378)  Secțiunea 138 punctul 1 litera (g) și secțiunea 178 punctul 1 litera (f) din IPA din 2016. Autorizarea prealabilă de către un organism independent a fost identificată în special de Curtea Europeană a Drepturilor Omului ca o garanție importantă împotriva abuzurilor în contextul interceptării în masă. Curtea Europeană a Drepturilor Omului (Marea Cameră), Big Brother Watch și alții/Regatul Unit (a se vedea nota de subsol 269 de mai sus), punctele 351 și 352. Este important de reținut că această hotărâre se referea la cadrul juridic anterior (RIPA din 2000) care nu conținea unele dintre garanțiile (inclusiv autorizarea prealabilă din partea unui comisar judiciar independent) introduse de IPA din 2016.

378

(379)  Secțiunea 159 punctele 3 și 4 din IPA din 2016.

379

(380)  Secțiunile 143-146 și 184-188 din IPA din 2016. În cazul unei modificări urgente, secretarul de stat poate efectua modificarea fără aprobare, dar trebuie să notifice comisarul, iar apoi comisarul trebuie să decidă dacă să aprobe sau să refuze modificarea (secțiunea 147 din IPA din 2016). Mandatele trebuie anulate în cazul în care nu mai sunt necesare sau proporționale sau în cazul în care examinarea conținutului interceptat, a metadatelor sau a altor date obținute în temeiul mandatului nu mai este necesară pentru niciunul dintre scopurile operaționale specificate în mandat (secțiunile 148 și 189 din IPA din 2016).

380

(381)  Codul de bune practici privind interceptarea comunicațiilor, punctele 6.44-6.47, a se vedea nota de subsol 278, și Codul de bune practici privind intervenția asupra echipamentelor, punctul 6.48, a se vedea nota de subsol 348.

381

(382)  Secțiunea 156 din IPA din 2016.

382

(383)  Secțiunile 150 și 191 din IPA din 2016.

383

(384)  În cauza Big Brother Watch și alții/Regatul Unit (a se vedea nota de subsol 268de mai sus), Marea Cameră a Curții Europene a Drepturilor Omului a confirmat sistemul de garanții suplimentare pentru păstrarea, accesul și divulgarea datelor care era prevăzut în RIPA din 2000, a se vedea punctele 392-394 și 402-405. Același sistem de garanții este prevăzut de IPA din 2016.

384

(385)  Secțiunile 151 și 192 din IPA din 2016.

385

(386)  Pentru mai multe informații privind aceste scopuri, a se vedea nota de subsol 312.

386

(387)  Codurile privind interceptarea comunicațiilor precizează, în acest sens, următoarele: „Aceste sisteme de prelucrare prelucrează datele din legăturile sau semnalele de comunicații pe care autoritatea de interceptare a ales să le intercepteze. În continuare se aplică un anumit grad de filtrare traficului de pe aceste legături și semnale, destinat să selecteze tipuri de comunicații care ar putea prezenta interes pentru serviciile de informații, eliminându-le în același timp pe cele mai puțin susceptibile de a prezenta un astfel de interes. Ca urmare a acestei filtrări, care va varia de la un sistem de prelucrare la altul, o parte semnificativă a comunicațiilor de pe aceste legături și semnale va fi eliminată în mod automat. Ulterior, pot avea loc căutări complexe suplimentare pentru a extrage în continuare comunicațiile cele mai susceptibile să prezinte cel mai mare interes pentru serviciile de informații, care se referă la funcțiile statutare ale agenției. Aceste comunicații pot fi apoi selectate în vederea examinării pentru unul sau mai multe dintre scopurile operaționale specificate în mandat, în cazul în care sunt îndeplinite condițiile de necesitate și proporționalitate. Numai articolele care nu au fost excluse prin filtrare pot fi selectate pentru examinare de către persoane autorizate” (Codul de bune practici privind interceptarea comunicațiilor, punctul 6.6, a se vedea nota de subsol 278).

387

(388)  A se vedea secțiunea 152 punctul 1 literele (a) și (b) din IPA din 2016, conform căreia examinarea ambelor tipuri de date (conținutul interceptat și datele secundare) trebuie efectuată numai în scopul specificat și trebuie să fie necesară și proporțională în toate circumstanțele.

388

(389)  Acest tip de mandat nu este necesar atunci când datele referitoare la persoanele care se află în Insulele Britanice sunt „date secundare” [a se vedea secțiunea 152 punctul 1 litera (c) din IPA din 2016].

389

(390)  Secțiunile 152 și 193 din IPA din 2016.

390

(391)  Secțiunile 155 și 196 din IPA din 2016.

391

(392)  Secțiunile 152 și 193 din IPA din 2016.

392

(393)  Secțiunea 229 din IPA din 2016.

393

(394)  Codul de bune practici privind interceptarea comunicațiilor, punctul 6.74, a se vedea nota de subsol 278, și Codul de bune practici privind intervenția asupra echipamentelor, punctul 6.78, a se vedea nota de subsol 348.

394

(395)  IPCO este constituit în temeiul secțiunii 238 din IPA din 2016 pentru a furniza IPC personalul, localurile, echipamentele și alte instalații și servicii necesare pentru îndeplinirea funcțiilor sale (a se vedea considerentul 251).

395

(396)  În raportul anual al IPCO pe 2018 s-a precizat că justificările înregistrate de analiștii GCHQ „au respectat standardul cerut, iar analiștii au contabilizat suficient de detaliat proporționalitatea interogărilor lor de date colectate în masă”. Raportul anual pe 2018 al comisarului pentru competențe de investigare, punctul 6.22, a se vedea nota de subsol 464.

396

(397)  Raportul anual pe 2019 al comisarului pentru competențe de investigare, punctul 7.6, a se vedea nota de subsol 463.

397

(398)  Raportul anual pe 2019 al comisarului pentru competențe de investigare, punctul 10.22, a se vedea nota de subsol 463.

398

(399)  Acest lucru rezultă din definiția datelor comunicațiilor, prevăzută la secțiunea 261 punctul 5 din IPA din 2016, potrivit căreia datele comunicațiilor sunt deținute sau obținute de un operator de telecomunicații și fie se referă la utilizatorul unui serviciu de telecomunicații și la furnizarea acestui serviciu, fie sunt cuprinse într-o comunicație, incluse ca parte integrantă în aceasta, atașate la aceasta sau asociate în mod logic acesteia (a se vedea, de asemenea, Codul de bune practici privind achiziția în masă a datelor comunicațiilor, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, punctele 2.15-2.22). În plus, definiția operatorului de telecomunicații prevăzută în secțiunea 261 punctul 10 din IPA din 2016 impune ca un operator de telecomunicații să fie o persoană care oferă sau furnizează un serviciu de telecomunicații unor persoane din Regatul Unit sau care controlează sau furnizează o rețea de telecomunicații aflată (integral sau parțial) în Regatul Unit sau controlată din Regatul Unit. Aceste definiții clarifică faptul că obligațiile prevăzute de IPA din 2016 nu pot fi impuse operatorilor de telecomunicații ale căror echipamente nu se află în Regatul Unit sau nu sunt controlate din Regatul Unit și care nu oferă sau nu furnizează servicii persoanelor din Regatul Unit (a se vedea, de asemenea, Codul de bune practici privind achiziția în masă a datelor comunicațiilor, punctul 2.2). În cazul în care abonații din UE (indiferent dacă se află în UE sau în Regatul Unit) ar utiliza servicii în Regatul Unit, orice comunicații în legătură cu furnizarea acestui serviciu ar fi colectate direct de către furnizorul de servicii din Regatul Unit, mai degrabă decât să facă obiectul unui transfer din UE.

399

(400)  Secțiunea 94 punctul 1 din Telecommunications Act 1984 (Legea privind telecomunicațiile din 1984) prevedea că secretarul de stat poate emite „instrucțiuni cu caracter general, pe care secretarul de stat le consideră necesare sau oportune în interesul securității naționale [...]” (a se vedea nota de subsol 451).

400

Telecommunications Act 1984

(401)  A se vedea Privacy International, punctul 78.

401

Privacy International

(402)  A se vedea Codul de bune practici privind achiziția în masă a datelor comunicațiilor, punctul 4.11 (a se vedea nota de subsol 399414).

402

(403)  Un mandat de achiziție în masă poate fi solicitat numai de către șefii serviciilor de informații care sunt: (i) directorul general al Serviciului de Securitate; (ii) șeful Serviciului Secret de Informații; sau (iii) directorul GCHQ (a se vedea secțiunile 158 și 263 din IPA din 2016).

403

(404)  Codul de bune practici privind achiziția în masă a datelor comunicațiilor, punctul 4.5 (a se vedea nota de subsol 399).

404

(405)  În conformitate cu secțiunea 161 din IPA din 2016, scopurile operaționale specificate în mandat trebuie să fie cele specificate, într-o listă gestionată de șefii serviciilor de informații (denumită în continuare „lista scopurilor operaționale”), drept scopuri pe care aceștia le consideră scopuri operaționale în care datele comunicațiilor obținute în temeiul mandatelor de achiziție în masă pot fi selectate în vederea examinării.

405

(406)  Codul de bune practici privind achiziția în masă a datelor comunicațiilor, punctul 6.6 (a se vedea nota de subsol 399).

406

(407)  Secțiunea 172 din IPA din 2016 prevede obligativitatea instituirii de garanții specifice pentru etapa de filtrare și selecție pentru examinarea datelor comunicațiilor dobândite în masă. În plus, o examinare deliberată care încalcă aceste garanții constituie, de asemenea, o infracțiune (a se vedea secțiunea 173 din IPA din 2016).

407

(408)  Secțiunea 171 din IPA din 2016.

408

(409)  Secțiunea 171 punctul 9 din IPA din 2016.

409

(410)  Secțiunea 162 din IPA din 2016.

410

(411)  Secțiunea 163 din IPA din 2016.

411

(412)  Secțiunile 164-166 din IPA din 2016.

412

(413)  Secțiunea 159 din IPA din 2016.

413

(414)  Raportul anual al IPCO pe 2019, punctul 8.6, a se vedea nota de subsol 463.

414

(415)  Raportul anual al IPCO pe 2019, punctul 10.4, a se vedea nota de subsol 463.

415

(416)  Raportul anual al IPCO pe 2019, punctul 8.37, a se vedea nota de subsol 463.

416

(417)  Secțiunea 200 din IPA din 2016.

417

(418)  Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, secțiunea H: Securitatea națională, pagina 34, a se vedea nota de subsol 29.

418

(419)  Secțiunea 204 din IPA din 2016.

419

(420)  Codul de bune practici privind păstrarea și utilizarea de către serviciile de informații a seturilor de date cu caracter personal colectate în masă, punctul 4.7, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715478/Bulk_Personal_Datasets_Code_of_Practice.pdf

420

(421)  Secțiunea 205 din IPA din 2016.

421

(422)  Cum ar fi, de exemplu, datele sensibile cu caracter personal, a se vedea secțiunea 202 din IPA din 2016 și Codul de bune practici privind păstrarea și utilizarea de către serviciile de informații a seturilor de date cu caracter personal colectate în masă, punctele 4.21 și 4.12, a se vedea nota de subsol 469.

422

(423)  O cerere pentru un mandat BPD specific trebuie să fie analizată individual de către secretarul de stat, și anume în ceea ce privește un set de date specific. Conform secțiunii 205 din IPA, serviciul de informații trebuie să includă în cererea sa de solicitare a unui mandat BPD specific o explicație detaliată a naturii și a amplorii materialelor în cauză, precum și o listă a „scopurilor operaționale” pentru care serviciul de informații relevant dorește să examineze BPD (în cazul în care serviciul de informații solicită un mandat de păstrare și examinare, mai degrabă decât doar de păstrare). Atunci când emite un mandat din clasa BPD, secretarul analizează, în schimb, întreaga categorie de seturi de date simultan.

423

(424)  Secțiunile 204 și 205 din IPA din 2016.

424

(425)  Secțiunea 2 din IPA din 2016.

425

(426)  Secțiunile 204 și 205 din IPA din 2016.

426

(427)  Codul de bune practici privind păstrarea și utilizarea de către serviciile de informații a seturilor de date cu caracter personal colectate în masă, punctul 5.2, a se vedea nota de subsol 420.

427

(428)  Codul de bune practici privind păstrarea și utilizarea de către serviciile de informații a seturilor de date cu caracter personal colectate în masă, punctele 8.1-8.15, a se vedea nota de subsol 420.

428

(429)  Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, secțiunea H: Securitatea națională, pagina 34, a se vedea nota de subsol 29.

429

(430)  Secțiunea 87 punctul 1 din DPA din 2018.

430

(431)  Secțiunea 87 punctul 3 din DPA din 2018. Deși operatorii pot fi scutiți de la respectarea acestui principiu în temeiul secțiunii 110 din DPA din 2018, în măsura în care o astfel de derogare este necesară pentru a proteja securitatea națională, derogarea în cauză trebuie să fie evaluată de la caz la caz și poate fi invocată numai în măsura în care aplicarea unei anumite dispoziții ar avea consecințe negative asupra securității naționale (a se vedea considerentul 132). Certificatele de securitate națională pentru serviciile de informații din Regatul Unit (disponibile la următoarea adresă: https://ico.org.uk/about-the-ico/our-information/national-security-certificates) nu acoperă secțiunea 87 punctul 3 din DPA din 2018. În plus, întrucât orice prelucrare în alt scop trebuie să fie autorizată prin lege, serviciile de informații trebuie să aibă un temei juridic clar pentru prelucrarea ulterioară.

431

(432)  Pentru mai multe informații privind aceste scopuri, a se vedea nota de subsol 312.

432

(433)  A se vedea nota de subsol 312.

433

(434)  Orientările ICO privind prelucrarea de către serviciile de informații (a se vedea nota de subsol 161).

434

(435)  Secțiunea 54 din IPA din 2016.

435

(436)  Secțiunea 130 din IPA din 2016.

436

(437)  Secțiunea 151 din IPA din 2016.

437

(438)  Secțiunea 171 punctul 9 din IPA din 2016.

438

(439)  Secțiunea 192 din IPA din 2016.

439

(440)  Mecanismele trebuie să includă măsuri de asigurare a faptului că fiecare copie realizată de pe oricare dintre aceste materiale este stocată, pe perioada păstrării, în condiții de siguranță. Materialele obținute în temeiul unui mandat și fiecare copie a oricăruia dintre aceste materiale trebuie distruse de îndată ce nu mai există motive relevante pentru a fi păstrate (a se vedea secțiunea 150 punctul 2, secțiunea 150 punctul 5 și secțiunea 151 punctul 2 din IPA din 2016). Trebuie remarcat faptul că garanții similare, prevăzute în cadrul juridic anterior (RIPA din 2000), au fost considerate conforme cu cerințele stabilite de Curtea Europeană a Drepturilor Omului pentru schimbul de materiale obținute prin interceptarea în masă cu state străine sau cu organizații internaționale [Curtea Europeană a Drepturilor Omului (Marea Cameră), Big Brother Watch și alții/Regatul Unit (a se vedea nota de subsol 279 de mai sus), punctele 362 și 399].

440

(441)  Secțiunea 116 din DPA din 2018.

441

(442)  În conformitate cu punctul 2 din anexa 13 la DPA din 2018, notificările de punere în aplicare și de sancționare pot fi transmise unui operator sau unei persoane împuternicite de operator în legătură cu încălcări ale părții 4 capitolul 2 din DPA din 2018 (principiile prelucrării), ale unei dispoziții a părții 4 din DPA din 2018 ce conferă drepturi unei persoane vizate, ale cerinței de a comunica o încălcare a securității datelor cu caracter personal comisarului în temeiul secțiunii 108 din DPA din 2018 și ale principiilor privind transferurile de date cu caracter personal către țări terțe, țări care nu participă la convenție și organizații internaționale din secțiunea 109 din DPA din 2018 (pentru detalii suplimentare privind notificările de executare și de sancționare, a se vedea considerentul 92).

442

(443)  În temeiul secțiunii 147 punctul 6 din DPA din 2018, comisarul pentru informații nu poate transmite o notificare de evaluare organismelor menționate la secțiunea 23 punctul 3 din Legea din 2000 privind liberul acces la informațiile de interes public. Printre acestea se numără Serviciul de Securitate (MI5), Serviciul Secret de Informații (MI6) și Cartierul General pentru Comunicații.

443

(444)  Dispozițiile care pot fi exceptate sunt: secțiunea 108 (informarea comisarului cu privire la încălcarea securității datelor cu caracter personal), secțiunea 119 (inspecție în conformitate cu obligațiile internaționale); secțiunile 142-154 și anexa 15 (Notificările comisarului și competențele de intrare și de inspecție); și secțiunile 170-173 (infracțiuni legate de datele cu caracter personal). În plus, în ceea ce privește prelucrarea de către serviciile de informații din anexa 13 (alte funcții generale ale comisarului), punctul 1 literele (a) și (g) și punctul 2.

444

(445)  Memorandumul de înțelegere dintre Biroul comisarului pentru informații și serviciile de informații din Regatul Unit, a se vedea nota de subsol 165.

445

(446)  În șapte dintre aceste cazuri, ICO a recomandat reclamantului să prezinte problema în fața operatorului de date (acest lucru este valabil atunci când o persoană fizică a prezentat o problemă în fața ICO, dar ar fi trebuit să o prezinte mai întâi în fața operatorului de date), în unul dintre aceste cazuri, ICO a oferit consiliere generală operatorului de date (această procedură este utilizată atunci când acțiunile operatorului nu par să fi încălcat legislația, dar este posibil ca o îmbunătățire a practicilor să fi evitat prezentarea problemei în fața ICO), iar în celelalte 13 cazuri, operatorul nu a avut obligația de a întreprinde nicio acțiune (această procedură este utilizată atunci când problemele prezentate de persoana fizică intră sub incidența Legii privind protecția datelor din 2018 deoarece se referă la prelucrarea informațiilor cu caracter personal, dar, pe baza informațiilor furnizate de operator, nu par să fi încălcat legislația).

446

(447)  În conformitate cu secțiunea 227 punctele 7 și 8 din IPA din 2016, comisarul pentru competențe de investigare este un comisar judiciar, iar comisarul pentru competențe de investigare și ceilalți comisari judiciari sunt cunoscuți, în mod colectiv, sub denumirea de comisari judiciari. În prezent, există 15 comisari judiciari.

447

(448)  În conformitate cu secțiunea 60 punctul 2 din partea 3 din Constitutional Reform Act 2005 (Legea din 2005 privind reforma constituțională), o „înaltă funcție judiciară” înseamnă funcția de judecător în cadrul oricăreia dintre următoarele instanțe: (i) Curtea Supremă; (ii) Curtea de Apel din Anglia și Țara Galilor; (iii) Înalta Curte din Anglia și Țara Galilor; (iv) Court of Session; (v) Curtea de Apel din Irlanda de Nord; (vi) Înalta Curte din Irlanda de Nord; sau în calitate de Lord of Appeal in Ordinary.

448

Constitutional Reform Act 2005

Court of Session;

Lord of Appeal in Ordinary.

(449)  Independența sistemului judiciar se bazează pe convenție și a fost recunoscută pe scară largă începând cu 1701 Act of Settlement.

449

1701 Act of Settlement

(450)  Secțiunea 227 punctul 3 din IPA din 2016. Comisarii judiciari trebuie să fie recomandați și de către comisarul pentru competențe de investigare, astfel cum se prevede în secțiunea 227 punctul 4 litera (e) din IPA din 2016.

450

(451)  Secțiunea 238 din IPA din 2016.

451

(452)  Secțiunea 227 punctul 2 din IPA din 2016.

452

(453)  Procesul de revocare este identic cu procesul de revocare pentru alți judecători din Regatul Unit [a se vedea, de exemplu, secțiunea 11 punctul 3 din Senior Courts Act 1981 (Legea din 1981 privind instanțele superioare) și secțiunea 33 din Legea din 2005 privind reforma constituțională, care impun, de asemenea, o hotărâre în urma aprobării de către ambele camere ale Parlamentului]. Până în prezent, niciun comisar judiciar nu a fost revocat din funcție.

453

Senior Courts Act 1981

(454)  Un „organism independent” (arm’s-length body) este o organizație sau o agenție care primește finanțare de la un guvern, dar care este în măsură să acționeze independent (pentru o definiție și mai multe informații cu privire la un organism care funcționează în condiții de concurență deplină, a se vedea Manualul Cabinetului privind clasificarea organismelor publice, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/519571/Classification-of-Public_Bodies-Guidance-for-Departments.pdf și primul raport al sesiunii 2014-2015 al Comisiei speciale pentru administrație publică a Camerei Comunelor, disponibil la următoarea adresă: https://publications.parliament.uk/pa/cm201415/cmselect/cmpubadm/110/110.pdf).

454

arm’s-length body

(455)  În conformitate cu secțiunea 229 din IPA din 2016, comisarul judiciar are competențe extinse de supraveghere, care acoperă, de asemenea, supravegherea păstrării și a divulgării datelor colectate de agențiile de informații.

455

(456)  Deciziile privind aprobarea unei decizii a secretarului de stat de emitere a unui mandat țin de competența comisarilor judiciari înșiși. În cazul în care un comisar refuză să aprobe un mandat, secretarul de stat poate depune o contestație la comisarul pentru competențe de investigare, a cărui decizie este definitivă.

456

(457)  Autorizația IPC este întotdeauna solicitată în cazul în care datele comunicațiilor sunt obținute în scopul asigurării respectării legii (secțiunea 60A din IPA din 2016). În cazul în care datele comunicațiilor sunt obținute în scopul securității naționale, autorizația poate fi acordată de IPC sau, în mod alternativ, de un înalt funcționar desemnat al autorității publice relevante (a se vedea secțiunile 61 și 61A din IPA din 2016 și considerentul 203).

457

(458)  Declarația de sfârșit de mandat a Raportorului special privind dreptul la viață privată la încheierea misiunii sale în Regatul Unit al Marii Britanii și Irlandei de Nord (a se vedea nota de subsol 281).

458

(459)  Secțiunea 229 din IPA din 2016. Competențelor de investigare și în materie de informații ale comisarilor judiciari sunt stabilite în secțiunea 235 din IPA din 2016.

459

(460)  Aceasta include măsuri de supraveghere în temeiul RIPA din 2000, exercitarea funcțiilor în temeiul părții 3 din Police Act 1997 – Legea privind poliția din 1997 (autorizarea acțiunii în ceea ce privește bunurile) și exercitarea de către secretarul de stat a funcțiilor în temeiul secțiunilor 5-7 din Legea privind serviciile de informații din 1994 (mandate pentru intervenția asupra radiotelegrafiei, intrarea și intervenția asupra bunurilor (secțiunea 229 din IPA din 2016).

460

Police Act 1997 –

(461)  Secțiunea 230 din IPA din 2016. IPC poate, de asemenea, să raporteze prim-ministrului din proprie inițiativă cu privire la orice aspect legat de funcțiile sale. IPC trebuie, de asemenea, să raporteze prim-ministrului la cererea acestuia, iar prim-ministrul poate solicita IPC să revizuiască orice funcție a serviciilor de informații.

461

(462)  Unele părți pot fi excluse dacă publicarea lor ar contraveni securității naționale.

462

(463)  De exemplu, în raportul anual al IPCO pe 2019 (punctul 6.38) se menționează că MI5 i s-a recomandat să își modifice politica de păstrare pentru seturile de date cu caracter personal colectate în masă (BPD), deoarece ar fi trebuit să adopte o abordare în care să se ia în considerare proporționalitatea păstrării pentru toate câmpurile din bazele BPD deținute și pentru fiecare BPD deținut. La sfârșitul anului 2018, IPCO nu a considerat că această recomandare a fost respectată, iar raportul din 2019 a explicat că MI5 introduce în prezent un nou proces de îndeplinire a acestei cerințe. Raportul anual pe 2019 (punctul 8.22) menționează, de asemenea, că GHCQ a primit o serie de recomandări cu privire la evidența proporționalității interogărilor sale privind datele colectate în masă. Raportul confirmă faptul că s-au realizat îmbunătățiri în acest domeniu la sfârșitul anului 2018. Raportul anual pe 2019 al Biroului comisarului pentru competențe de investigare, disponibil la următoarea adresă: https://www.ipco.org.uk/docs/IPC%20Annual%20Report%202019_Web%20Accessible%20version_final.pdf. În plus, fiecare inspecție a unei autorități publice efectuată de IPCO se încheie cu un raport care este furnizat autorității și include toate recomandările care rezultă în urma acestei inspecții. IPCO începe apoi fiecare inspecție ulterioară cu o examinare a oricăror recomandări anterioare de la ultima inspecție și se precizează în noul raport de inspecție dacă recomandările anterioare au fost luate în considerare sau dacă sunt reportate.

463

(464)  O eroare este considerată „gravă” atunci când comisarul consideră că a cauzat prejudicii sau daune semnificative persoanei în cauză (secțiunea 231 punctul 2 din IPA din 2016). În 2018, au fost raportate 22 de erori, dintre care opt au fost considerate grave și au condus la informarea persoanei în cauză. A se vedea Raportul anual pe 2018 al Biroului comisarului pentru competențe de investigare, anexa C (a se vedea https://www.ipco.org.uk/docs/IPCO%20Annual%20Report%202018%20final.pdf). În 2019, 14 erori au fost considerate grave. A se vedea Raportul anual pe 2019 al Biroului comisarului pentru competențe de investigare, anexa C, a se vedea nota de subsol 463.

464

(465)  Secțiunea 231 din IPA din 2016 precizează că, atunci când informează o persoană cu privire la o eroare, IPC trebuie să furnizeze detaliile pe care comisarul le consideră necesare pentru exercitarea acestor drepturi, având în vedere în special măsura în care divulgarea detaliilor ar contraveni interesului public sau ar aduce atingere prevenirii sau depistării infracțiunilor grave, bunăstării economice a Regatului Unit sau exercitării continue a funcțiilor oricărui serviciu de informații.

465

(466)  Astfel cum au explicat autoritățile Regatului Unit, JSA a extins domeniul de competență al ISC pentru a include un rol în supravegherea comunității serviciilor de informații dincolo de cele trei agenții și pentru a permite supravegherea retrospectivă a activităților operaționale ale agențiilor în chestiuni de interes național major.

466

(467)  Secțiunea 2 din JSA din 2013.

467

(468)  Memorandumul de înțelegere dintre prim-ministru și ISC, disponibil la următoarea adresă: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

468

(469)  Memorandumul de înțelegere dintre prim-ministru și ISC, punctul 14, a se vedea nota de subsol 468.

469

(470)  Secretarul de stat se poate opune divulgării informațiilor numai în două cazuri: informațiile sunt sensibile și nu ar trebui divulgate ISC în interesul securității naționale; sau este vorba de informații de o asemenea natură încât, în cazul în care secretarul de stat ar fi solicitat să le prezinte în fața unei comisii departamentale restrânse a Camerei Comunelor, secretarul de stat ar considera (pentru motive care nu se limitează la securitatea națională) că nu ar trebui să facă acest lucru (punctul 4 subpunctul 2 din anexa 1 la JSA din 2013).

470

(471)  Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, secțiunea H: Securitatea națională, pagina 43, a se vedea nota de subsol 31.

471

(472)  Secțiunea 1 din JSA din 2013. Miniștrii nu sunt eligibili pentru statutul de membri. Membrii își exercită funcția în cadrul ISC pe durata mandatului Parlamentului în cursul căruia au fost numiți. Aceștia pot fi revocați printr-o rezoluție a Camerei prin care au fost numiți, în cazul în care nu mai au calitatea de membri sau devin miniștri. De asemenea, un membru poate demisiona.

472

(473)  Rapoartele și declarațiile comisiei sunt disponibile online la următoarea adresă: https://isc.independent.gov.uk/publications. În 2015, ISC a publicat un raport privind „Dreptul la viață privată și securitatea: un cadru juridic modern și transparent” (Privacy and Security: A modern and transparent legal framework) (a se vedea: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20150312_ISC_PSRptweb.pdf) în care a analizat cadrul juridic pentru tehnicile de supraveghere utilizate de agențiile de informații și a emis o serie de recomandări care au fost apoi luate în considerare și integrate în proiectul de lege privind competențele de investigare, care a fost transformat în lege, IPA din 2016. Răspunsul guvernului la raportul privind dreptul la viață privată și securitatea este disponibil la următoarea adresă: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf

473

Privacy and Security: A modern and transparent legal framework

(474)  Secțiunile 142, 161 și 183 din IPA din 2016.

474

(475)  Secțiunea 234 din IPA din 2016.

475

(476)  Secțiunea 236 din IPA din 2016.

476

(477)  Comisia pentru Informații și Securitate a Parlamentului, Raport privind proiectul de lege privind competențele de investigare, disponibil la următoarea adresă: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20160209_ISC_Rpt_IPBillweb.pdf

477

(478)  Aceste obligații generale în ceea ce privește dreptul la viață privată sunt prevăzute în prezent în secțiunea 2 punctul 2 din IPA din 2016, care prevede că o autoritate publică acționând în temeiul IPA din 2016 trebuie să aibă în vedere dacă scopul urmărit prin mandat, autorizație sau notificare ar putea fi realizat în mod rezonabil prin alte mijloace mai puțin intruzive, dacă nivelul de protecție care urmează să fie aplicat în legătură cu orice obținere de informații în temeiul mandatului, al autorizației sau al notificării este mai ridicat ca urmare a sensibilității deosebite a informațiilor respective, a interesului public în ceea ce privește integritatea și securitatea rețelelor de telecomunicații și a serviciilor poștale, precum și a oricăror alte aspecte ale interesului public în ceea ce privește protecția vieții private.

478

(479)  De exemplu, ca urmare a solicitării ISC, numărul de zile în care un mandat „urgent” poate fi în vigoare înainte de a trebui să fie aprobat de către comisarul judiciar a fost redus de la cinci la trei zile lucrătoare, iar ISC a fost împuternicită să sesizeze comisarul pentru competențe de investigare în vederea desfășurării unei investigații.

479

(480)  
  Schrems II, punctul 194.

480

Schrems II

(481)  
  Schrems II, punctul 197.

481

Schrems II

(482)  Secțiunea 94 punctul 11 din DPA din 2018.

482

(483)  Secțiunea 99 punctul 4 din DPA din 2018.

483

(484)  Secțiunea 100 punctul 1 din DPA din 2018.

484

(485)  Secțiunea 169 din DPA din 2018 admite cererile depuse de „O persoană care suferă prejudicii ca urmare a încălcării unei cerințe a legislației privind protecția datelor”. Potrivit informațiilor furnizate de autoritățile Regatului Unit, în practică, o cerere sau o plângere împotriva serviciilor de informații poate fi înaintată Tribunalului cu competențe de investigare care are o competență extinsă și poate acorda despăgubiri/daune-interese, iar introducerea unei acțiuni în fața acestui tribunal nu implică niciun cost.

485

(486)  Secțiunea 169 punctul 5 din DPA din 2018.

486

(487)  În conformitate cu anexa 3 la RIPA din 2000, membrii trebuie să aibă o experiență judiciară specifică și să fie eligibili pentru o nouă numire.

487

(488)  
  „Address” este o propunere prezentată Parlamentului prin care se urmărește informarea monarhului cu privire la opiniile Parlamentului referitoare la o anumită chestiune.

488

(489)  Punctul 1 subpunctul 5 din anexa 3 la RIPA din 2000.

489

(490)  Secțiunea 65 punctul 5 din RIPA din 2000.

490

(491)  În ceea ce privește standardul testului în materie de „convingere”, a se vedea cauza Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH, punctul 41. În acest caz, Tribunalul cu competențe de investigare, făcând trimitere la jurisprudența Curții Europene a Drepturilor Omului, a statuat că, în ceea ce privește convingerea declarată că orice comportament care intră sub incidența subsecțiunii 68 punctul 5 din RIPA din 2000 a fost efectuat de către sau în numele unui serviciu de informații, testul adecvat este de a stabili dacă există un temei pentru o astfel de convingere, de așa natură încât o persoană poate pretinde că este victima unei încălcări determinate de simpla existență a unor măsuri secrete sau a unei legislații care permite măsuri secrete, numai în cazul în care poate demonstra că, din cauza situației sale personale, aceasta poate fi expusă riscului de a face obiectul unor astfel de măsuri.

491

Human Rights Watch/Secretary of State

(492)  Secțiunea 65 punctul 4 litera (a) din RIPA din 2000.

492

(493)  Astfel de circumstanțe se referă la comportamentul autorităților publice cu autoritate (de exemplu, un mandat, o autorizație/notificare pentru achiziția de comunicații etc.) sau dacă circumstanțele sunt de așa natură încât (indiferent dacă există sau nu o astfel de autoritate), nu ar fi fost adecvat ca respectivul comportament să aibă loc în lipsa acestuia sau, cel puțin, fără să se fi analizat în mod corespunzător dacă o astfel de autoritate ar trebui solicitată. Se consideră că un comportament autorizat de un comisar judiciar a avut loc în circumstanțe atacabile (secțiunea 65 punctul 7ZA din RIPA din 2000), în timp ce alte comportamente care au loc cu permisiunea unei persoane care deține funcții judiciare sunt considerate a nu fi avut loc în circumstanțe atacabile (secțiunea 65 punctele 7 și 8 din RIPA din 2000).

493

(494)  Potrivit informațiilor furnizate de autoritățile Regatului Unit, pragul redus pentru depunerea unei plângeri determină că nu este neobișnuit ca ancheta Tribunalului să stabilească faptul că reclamantul nu a făcut niciodată obiectul unei anchete desfășurate de către o autoritate publică. Cel mai recent raport statistic al Tribunalului cu competențe de investigare precizează că, în 2016, Tribunalul a înregistrat 209 plângeri, 52 % dintre acestea au fost considerate neserioase sau vexatorii, iar 25 % au rămas nesoluționate. Autoritățile Regatului Unit au explicat că acest lucru înseamnă fie că nu au fost utilizate activități/competențe disimulate în legătură cu reclamantul, fie că au fost utilizate tehnici ascunse, iar tribunalul a stabilit că activitatea este legală. În plus, 11 % au fost excluse din jurisdicție, retrase sau nevalabile, 5 % au fost prescrise, 7 % au fost stabilite în favoarea reclamantului. Raportul statistic al Tribunalului cu competențe de investigare din 2016, disponibil la următoarea adresă: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf

494

(495)  A se vedea cauza Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. În acest caz, Tribunalul cu competențe de investigare, făcând trimitere la jurisprudența Curții Europene a Drepturilor Omului, a statuat că, în ceea ce privește convingerea că orice comportament care intră sub incidența subsecțiunii 68 punctul 5 din RIPA din 2000 a fost efectuat de către sau în numele unui serviciu de informații, testul adecvat este de a stabili dacă există un temei pentru o astfel de convingere, inclusiv faptul că o persoană poate pretinde că este victima unei încălcări determinate de simpla existență a unor măsuri secrete sau a unei legislații care permite măsuri secrete, numai în cazul în care poate demonstra că, din cauza situației sale personale, aceasta poate fi expusă riscului de a face obiectul unor astfel de măsuri (a se vedea Human Rights Watch/Secretary of State, punctul 41).

495

Human Rights Watch/Secretary of State

Human Rights Watch/Secretary of State,

(496)  Secțiunea 67 punctul 3 din RIPA din 2000.

496

(497)  Secțiunea 67 punctul 2 din RIPA din 2000.

497

(498)  Secțiunea 68 punctele 6-7 din RIPA din 2000.

498

(499)  Secțiunea 68 punctul 4 din RIPA din 2000.

499

(500)  Un exemplu de aplicare a acestor competențe este cauza Liberty și alții/Security Service, SIS, GCHQ, [2015] UKIP Trib 13_77-H_2. Tribunalul s-a pronunțat în favoarea a doi reclamanți, întrucât comunicațiile acestora, într-un caz, au fost păstrate dincolo de limitele stabilite și, în celălalt caz, întrucât procedura de examinare nu a fost urmată, astfel cum se prevede în normele interne ale GCHQ. În prima cauză, Curtea a dispus ca serviciile de informații să distrugă comunicațiile care au fost păstrate pentru o perioadă mai lungă decât termenul relevant. În al doilea caz, nu a fost emis un ordin de distrugere deoarece comunicațiile nu au fost păstrate.

500

Liberty și alții/Security Service, SIS, GCHQ

(501)  
  Kennedy, a se vedea nota de subsol 129.

501

Kennedy,

(502)  Curtea Europeană a Drepturilor Omului, Big Brother Watch și alții/Regatul Unit (a se vedea nota de subsol 268de mai sus), punctele 413-415.

502

Big Brother Watch și alții/Regatul Unit

(503)  Curtea Europeană a Drepturilor Omului, Big Brother Watch, punctul 425.

503

Big Brother Watch,

(504)  După cum o ilustrează, de exemplu, recenta hotărâre a Marii Camere a Curții Europene a Drepturilor Omului în cauza Big Brother Watch și alții/Regatul Unit (a se vedea nota de subsol 279 de mai sus), acest lucru permite exercitarea de către o instanță internațională a unui control jurisdicțional efectiv – similar celui la care sunt supuse statele membre ale UE – asupra respectării de către autoritățile publice a drepturilor fundamentale atunci când accesează date cu caracter personal. În plus, executarea hotărârilor Curții Europene a Drepturilor Omului face obiectul unei supravegheri specifice din partea Consiliului Europei.

504

Big Brother Watch și alții/Regatul Unit

(505)  În cauza Belhaj și alții [2017] UKSC 3, constatarea caracterului ilegal al interceptării materialului cu caracter juridic privilegiat s-a bazat direct pe articolul 8 din Convenția europeană a drepturilor omului (a se vedea constatarea 11).

505

Belhaj și alții

(506)  Înalta Curte de Justiție, Liberty, [2019] EWHC 2057 (Admin), punctul 170.

506

Liberty

(507)  
  Schrems, punctul 65.

507

Schrems

(508)  
  Schrems, punctul 65: „În această privință, revine legiuitorului național sarcina de a prevedea căi de atac care să permită autorității naționale de supraveghere în cauză să invoce motivele pe care le consideră întemeiate în fața instanțelor naționale, astfel încât acestea din urmă să efectueze, dacă împărtășesc îndoielile acestei autorități în ceea ce privește validitatea deciziei Comisiei, o trimitere preliminară în vederea examinării validității acestei decizii.”

508

Schrems

(509)  Avizul 14/2021 privind Proiectul de decizie de punere în aplicare a Comisiei Europene în temeiul Regulamentului (UE) 2016/679 privind protecția adecvată a datelor cu caracter personal în Regatul Unit, disponibil la următoarea adresă: https://edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-142021-regarding-european-commission-draft_en

509

---

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/69 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/69

---

DECIZIA DE PUNERE ÎN APLICARE (UE) 2021/1773 A COMISIEI

din 28 iunie 2021

în temeiul Directivei (UE) 2016/680 a Parlamentului European și a Consiliului privind protecția adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii și Irlandei de Nord

[notificată cu numărul C(2021) 4801]

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului (1), în special articolul 36 alineatul (3),

întrucât:

1.   INTRODUCERE

INTRODUCERE

| (1) | Directiva (UE) 2016/680 stabilește normele privind transferul datelor cu caracter personal de la autoritățile competente din Uniune către țări terțe și organizații internaționale, în măsura în care astfel de transferuri intră în domeniul său de aplicare. Normele privind transferurile internaționale de date de către autoritățile competente sunt prevăzute în capitolul V din Directiva (UE) 2016/680, în special la articolele 35-40. Deși fluxul de date cu caracter personal către și dinspre țări situate în afara Uniunii Europene este esențial pentru o cooperare eficientă în materie de asigurare a respectării legii, se impune garantarea faptului că nivelul de protecție acordat datelor cu caracter personal din Uniunea Europeană nu este diminuat de astfel de transferuri (2). |
| --- | --- |

(1)

Directiva (UE) 2016/680 stabilește normele privind transferul datelor cu caracter personal de la autoritățile competente din Uniune către țări terțe și organizații internaționale, în măsura în care astfel de transferuri intră în domeniul său de aplicare. Normele privind transferurile internaționale de date de către autoritățile competente sunt prevăzute în capitolul V din Directiva (UE) 2016/680, în special la articolele 35-40. Deși fluxul de date cu caracter personal către și dinspre țări situate în afara Uniunii Europene este esențial pentru o cooperare eficientă în materie de asigurare a respectării legii, se impune garantarea faptului că nivelul de protecție acordat datelor cu caracter personal din Uniunea Europeană nu este diminuat de astfel de transferuri (2).

2

| (2) | În temeiul articolului 36 alineatul (3) din Regulamentul (UE) 2016/680, Comisia poate decide, prin intermediul unui act de punere în aplicare, că o țară terță, un teritoriu sau unul sau mai multe sectoare determinate dintr-o țară terță sau o organizație internațională asigură un nivel de protecție adecvat. În astfel de condiții, transferurile de date cu caracter personal către o țară terță pot avea loc fără a fi necesară obținerea unei autorizații suplimentare (cu excepția cazului în care un alt stat membru de la care au fost obținute datele trebuie să autorizeze efectuarea transferului), astfel cum se prevede la articolul 35 alineatul (1) și în considerentul 66 din Directiva (UE) 2016/680. |
| --- | --- |

(2)

În temeiul articolului 36 alineatul (3) din Regulamentul (UE) 2016/680, Comisia poate decide, prin intermediul unui act de punere în aplicare, că o țară terță, un teritoriu sau unul sau mai multe sectoare determinate dintr-o țară terță sau o organizație internațională asigură un nivel de protecție adecvat. În astfel de condiții, transferurile de date cu caracter personal către o țară terță pot avea loc fără a fi necesară obținerea unei autorizații suplimentare (cu excepția cazului în care un alt stat membru de la care au fost obținute datele trebuie să autorizeze efectuarea transferului), astfel cum se prevede la articolul 35 alineatul (1) și în considerentul 66 din Directiva (UE) 2016/680.

| (3) | În conformitate cu articolul 36 alineatul (2) din Directiva (UE) 2016/680, adoptarea unei decizii privind caracterul adecvat al nivelului de protecție trebuie să se bazeze pe o analiză cuprinzătoare a ordinii juridice a țării terțe. În evaluare, Comisia trebuie să stabilească dacă țara terță în cauză garantează un nivel de protecție „echivalent în esență” celui asigurat în cadrul Uniunii Europene [considerentul 67 din Directiva (UE) 2016/680]. Standardul în raport cu care este evaluată „echivalența esențială” este cel stabilit de legislația UE, în special de Directiva (UE) 2016/680, precum și de jurisprudența Curții de Justiție a Uniunii Europene (3). Criteriile de referință privind caracterul adecvat al nivelului de protecție ale Comitetului european pentru protecția datelor sunt, de asemenea, importante în această privință (4). |
| --- | --- |

(3)

În conformitate cu articolul 36 alineatul (2) din Directiva (UE) 2016/680, adoptarea unei decizii privind caracterul adecvat al nivelului de protecție trebuie să se bazeze pe o analiză cuprinzătoare a ordinii juridice a țării terțe. În evaluare, Comisia trebuie să stabilească dacă țara terță în cauză garantează un nivel de protecție „echivalent în esență” celui asigurat în cadrul Uniunii Europene [considerentul 67 din Directiva (UE) 2016/680]. Standardul în raport cu care este evaluată „echivalența esențială” este cel stabilit de legislația UE, în special de Directiva (UE) 2016/680, precum și de jurisprudența Curții de Justiție a Uniunii Europene (3). Criteriile de referință privind caracterul adecvat al nivelului de protecție ale Comitetului european pentru protecția datelor sunt, de asemenea, importante în această privință (4).

3

4

| (4) | Conform clarificărilor aduse de Curtea de Justiție a Uniunii Europene, aceasta nu necesită găsirea unui nivel identic de protecție (5). În special, mijloacele la care țara terță în cauză recurge pentru protecția datelor cu caracter personal pot fi diferite de cele utilizate în cadrul Uniunii Europene, cu condiția ca acestea să se dovedească, în practică, eficace pentru asigurarea unui nivel adecvat de protecție (6). Prin urmare, standardul caracterului adecvat nu necesită o reproducere punct cu punct a normelor Uniunii. Mai curând, testul constă în a stabili dacă, prin esența drepturilor la viață privată și punerea în aplicare efectivă, supravegherea și exercitarea acestora, sistemul străin în cauză, în ansamblul său, oferă nivelul de protecție necesar (7). |
| --- | --- |

(4)

Conform clarificărilor aduse de Curtea de Justiție a Uniunii Europene, aceasta nu necesită găsirea unui nivel identic de protecție (5). În special, mijloacele la care țara terță în cauză recurge pentru protecția datelor cu caracter personal pot fi diferite de cele utilizate în cadrul Uniunii Europene, cu condiția ca acestea să se dovedească, în practică, eficace pentru asigurarea unui nivel adecvat de protecție (6). Prin urmare, standardul caracterului adecvat nu necesită o reproducere punct cu punct a normelor Uniunii. Mai curând, testul constă în a stabili dacă, prin esența drepturilor la viață privată și punerea în aplicare efectivă, supravegherea și exercitarea acestora, sistemul străin în cauză, în ansamblul său, oferă nivelul de protecție necesar (7).

5

6

7

| (5) | Comisia a analizat cu atenție legislația și practicile relevante din Regatul Unit al Marii Britanii și Irlandei de Nord (UK). Pe baza constatărilor prezentate în continuare, Comisia concluzionează că Regatul Unit asigură un nivel adecvat de protecție pentru datele cu caracter personal transferate de la autoritățile competente din Uniune, care intră în domeniul de aplicare al Directivei (UE) 2016/680, către autoritățile competente din Regatul Unit, care intră în domeniul de aplicare al Legii privind protecția datelor din 2018, partea 3 (DPA din 2018) (8). |
| --- | --- |

(5)

Comisia a analizat cu atenție legislația și practicile relevante din Regatul Unit al Marii Britanii și Irlandei de Nord (UK). Pe baza constatărilor prezentate în continuare, Comisia concluzionează că Regatul Unit asigură un nivel adecvat de protecție pentru datele cu caracter personal transferate de la autoritățile competente din Uniune, care intră în domeniul de aplicare al Directivei (UE) 2016/680, către autoritățile competente din Regatul Unit, care intră în domeniul de aplicare al Legii privind protecția datelor din 2018, partea 3 (DPA din 2018) (8).

8

| (6) | Prezenta decizie are ca efect faptul că astfel de transferuri pot avea loc fără a fi necesară obținerea unei autorizații suplimentare pentru o perioadă de patru ani, sub rezerva unei eventuale reînnoiri și fără a aduce atingere condițiilor prevăzute la articolul 35 din Directiva (UE) 2016/680. |
| --- | --- |

(6)

Prezenta decizie are ca efect faptul că astfel de transferuri pot avea loc fără a fi necesară obținerea unei autorizații suplimentare pentru o perioadă de patru ani, sub rezerva unei eventuale reînnoiri și fără a aduce atingere condițiilor prevăzute la articolul 35 din Directiva (UE) 2016/680.

2.   NORME APLICABILE PRELUCRĂRII DATELOR CU CARACTER PERSONAL DE CĂTRE AUTORITĂȚILE COMPETENTE ÎN SCOPUL ASIGURĂRII RESPECTĂRII DREPTULUI PENAL

NORME APLICABILE PRELUCRĂRII DATELOR CU CARACTER PERSONAL DE CĂTRE AUTORITĂȚILE COMPETENTE ÎN SCOPUL ASIGURĂRII RESPECTĂRII DREPTULUI PENAL

2.1.   Cadrul constituțional

Cadrul constituțional

| (7) | Regatul Unit este o democrație parlamentară. Acesta are un parlament suveran, care exercită o autoritate supremă asupra tuturor celorlalte instituții guvernamentale, un executiv ai cărui membri provin din parlament și care este responsabil în fața acestuia, precum și un sistem judiciar independent. Executivul își bazează autoritatea pe capacitatea sa de a atrage încrederea Camerei Comunelor alese și răspunde în fața ambelor camere ale Parlamentului (Camera Comunelor și Camera Lorzilor), care sunt responsabile de controlul Guvernului și de dezbaterea și adoptarea legilor. Parlamentul Regatului Unit a delegat Parlamentului scoțian, Parlamentului Țării Galilor (Senedd Cymru) și Adunării Irlandei de Nord responsabilitatea pentru legiferarea anumitor chestiuni interne din Scoția, Țara Galilor și Irlanda de Nord. În timp ce protecția datelor reprezintă o chestiune rezervată Parlamentului Regatului Unit, și anume aceeași legislație se aplică în întreaga țară, alte domenii de politică relevante pentru prezenta decizie sunt descentralizate. De exemplu, sistemele de justiție penală, inclusiv poliția (activitățile desfășurate de forțele de poliție) din Scoția și Irlanda de Nord sunt transferate Parlamentului scoțian și, respectiv, Adunării Irlandei de Nord (9). |
| --- | --- |

(7)

Regatul Unit este o democrație parlamentară. Acesta are un parlament suveran, care exercită o autoritate supremă asupra tuturor celorlalte instituții guvernamentale, un executiv ai cărui membri provin din parlament și care este responsabil în fața acestuia, precum și un sistem judiciar independent. Executivul își bazează autoritatea pe capacitatea sa de a atrage încrederea Camerei Comunelor alese și răspunde în fața ambelor camere ale Parlamentului (Camera Comunelor și Camera Lorzilor), care sunt responsabile de controlul Guvernului și de dezbaterea și adoptarea legilor. Parlamentul Regatului Unit a delegat Parlamentului scoțian, Parlamentului Țării Galilor (Senedd Cymru) și Adunării Irlandei de Nord responsabilitatea pentru legiferarea anumitor chestiuni interne din Scoția, Țara Galilor și Irlanda de Nord. În timp ce protecția datelor reprezintă o chestiune rezervată Parlamentului Regatului Unit, și anume aceeași legislație se aplică în întreaga țară, alte domenii de politică relevante pentru prezenta decizie sunt descentralizate. De exemplu, sistemele de justiție penală, inclusiv poliția (activitățile desfășurate de forțele de poliție) din Scoția și Irlanda de Nord sunt transferate Parlamentului scoțian și, respectiv, Adunării Irlandei de Nord (9).

9

| (8) | Deși Regatul Unit nu are o constituție codificată în sensul unui document constitutiv cu vechime, principiile sale constituționale au apărut de-a lungul timpului, provenind în special din jurisprudență și din convenție. Valoarea constituțională a anumitor statute, cum ar fi Magna Carta, Declarația drepturilor din 1689 (Bill of Rights 1689) și Legea privind drepturile omului din 1998 (Human Rights Act 1998), a fost recunoscută. Drepturile fundamentale ale persoanelor au fost dezvoltate, ca parte a constituției, prin intermediul common law, al statutelor și al tratatelor internaționale, în special al Convenției europene a drepturilor omului (CEDO), pe care Regatul Unit a ratificat-o în 1951. În 1987, Regatul Unit a ratificat, de asemenea, Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (Convenția 108) (10). |
| --- | --- |

(8)

Deși Regatul Unit nu are o constituție codificată în sensul unui document constitutiv cu vechime, principiile sale constituționale au apărut de-a lungul timpului, provenind în special din jurisprudență și din convenție. Valoarea constituțională a anumitor statute, cum ar fi Magna Carta, Declarația drepturilor din 1689 (Bill of Rights 1689) și Legea privind drepturile omului din 1998 (Human Rights Act 1998), a fost recunoscută. Drepturile fundamentale ale persoanelor au fost dezvoltate, ca parte a constituției, prin intermediul common law, al statutelor și al tratatelor internaționale, în special al Convenției europene a drepturilor omului (CEDO), pe care Regatul Unit a ratificat-o în 1951. În 1987, Regatul Unit a ratificat, de asemenea, Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (Convenția 108) (10).

10

| (9) | Legea privind drepturile omului din 1998 încorporează în legislația Regatului Unit drepturile cuprinse în CEDO. Legea respectivă acordă oricărei persoane drepturile și libertățile fundamentale prevăzute la articolele 2-12 și articolul 14 din Convenția europeană a drepturilor omului, la articolele 1-3 din Protocolul nr. 1 și la articolul 1 din Protocolul nr. 13, coroborate cu articolele 16-18 din CEDO. Aceasta include dreptul la respectarea vieții private și de familie, care, la rândul său, include și dreptul la protecția datelor, precum și dreptul la un proces echitabil (11). În special, în temeiul articolului 8 din Convenția europeană a drepturilor omului, nu este admis amestecul unei autorități publice în exercitarea dreptului la viață privată decât în măsura în care acest amestec este prevăzut de lege, dacă constituie o măsură care, într-o societate democratică, este necesară pentru siguranța națională, siguranța publică, bunăstarea economică a țării, apărarea ordinii și prevenirii faptelor penale, protejarea sănătății sau a moralei, ori protejarea drepturilor și libertăților altora. |
| --- | --- |

(9)

Legea privind drepturile omului din 1998 încorporează în legislația Regatului Unit drepturile cuprinse în CEDO. Legea respectivă acordă oricărei persoane drepturile și libertățile fundamentale prevăzute la articolele 2-12 și articolul 14 din Convenția europeană a drepturilor omului, la articolele 1-3 din Protocolul nr. 1 și la articolul 1 din Protocolul nr. 13, coroborate cu articolele 16-18 din CEDO. Aceasta include dreptul la respectarea vieții private și de familie, care, la rândul său, include și dreptul la protecția datelor, precum și dreptul la un proces echitabil (11). În special, în temeiul articolului 8 din Convenția europeană a drepturilor omului, nu este admis amestecul unei autorități publice în exercitarea dreptului la viață privată decât în măsura în care acest amestec este prevăzut de lege, dacă constituie o măsură care, într-o societate democratică, este necesară pentru siguranța națională, siguranța publică, bunăstarea economică a țării, apărarea ordinii și prevenirii faptelor penale, protejarea sănătății sau a moralei, ori protejarea drepturilor și libertăților altora.

11

| (10) | În conformitate cu Legea privind drepturile omului din 1998, orice acțiune a autorităților publice trebuie să fie compatibilă cu un drept garantat de CEDO (12). În plus, legislația primară și cea secundară trebuie interpretate și puse în aplicare într-un mod compatibil cu respectivele drepturi (13). În măsura în care o persoană fizică consideră că drepturile sale, inclusiv dreptul la viață privată și la protecția datelor, au fost încălcate de autoritățile publice, aceasta poate obține reparații în fața instanțelor din Regatul Unit în temeiul Legii privind drepturile omului din 1998 și, în cele din urmă, după epuizarea căilor de atac naționale, poate obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate de CEDO. |
| --- | --- |

(10)

În conformitate cu Legea privind drepturile omului din 1998, orice acțiune a autorităților publice trebuie să fie compatibilă cu un drept garantat de CEDO (12). În plus, legislația primară și cea secundară trebuie interpretate și puse în aplicare într-un mod compatibil cu respectivele drepturi (13). În măsura în care o persoană fizică consideră că drepturile sale, inclusiv dreptul la viață privată și la protecția datelor, au fost încălcate de autoritățile publice, aceasta poate obține reparații în fața instanțelor din Regatul Unit în temeiul Legii privind drepturile omului din 1998 și, în cele din urmă, după epuizarea căilor de atac naționale, poate obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate de CEDO.

12

13

2.2.   Cadrul de protecție a datelor din Regatul Unit

Cadrul de protecție a datelor din Regatul Unit

| (11) | Regatul Unit s-a retras din Uniunea Europeană la 31 ianuarie 2020. Pe baza Acordului privind retragerea Regatului Unit al Marii Britanii și Irlandei de Nord din Uniunea Europeană și din Comunitatea Europeană a Energiei Atomice (14), dreptul Uniunii a continuat să se aplice pe teritoriul Regatului Unit pe parcursul perioadei de tranziție până la 31 decembrie 2020. Înainte de retragere și în cursul perioadei de tranziție, cadrul legislativ privind protecția datelor cu caracter personal în Regatul Unit care reglementează prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora, consta în părți relevante din Legea privind protecția datelor din 2018, care a transpus Directiva (UE) 2016/680. |
| --- | --- |

(11)

Regatul Unit s-a retras din Uniunea Europeană la 31 ianuarie 2020. Pe baza Acordului privind retragerea Regatului Unit al Marii Britanii și Irlandei de Nord din Uniunea Europeană și din Comunitatea Europeană a Energiei Atomice (14), dreptul Uniunii a continuat să se aplice pe teritoriul Regatului Unit pe parcursul perioadei de tranziție până la 31 decembrie 2020. Înainte de retragere și în cursul perioadei de tranziție, cadrul legislativ privind protecția datelor cu caracter personal în Regatul Unit care reglementează prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora, consta în părți relevante din Legea privind protecția datelor din 2018, care a transpus Directiva (UE) 2016/680.

14

| (12) | Pentru a pregăti ieșirea din UE, Guvernul Regatului Unit a adoptat European Union (Withdrawal) Act 2018 (EUWA) [Legea din 2018 privind Uniunea Europeană (retragere)] (15), care încorporează legislația direct aplicabilă a Uniunii în legislația Regatului Unit și a prevăzut că așa-numita „legislație națională derivată din dreptul Uniunii” continuă să producă efecte după încheierea perioadei de tranziție. Partea 3 din DPA din 2018 (16) care transpune Directiva (UE) 2016/680 constituie „legislație națională derivată din dreptul Uniunii” în temeiul EUWA. Potrivit EUWA, „legislația națională derivată din dreptul Uniunii” nemodificată trebuie să fie interpretată de instanțele din Regatul Unit în conformitate cu jurisprudența relevantă a Curții de Justiție a Uniunii Europene (Curtea de Justiție) și cu principiile generale ale dreptului Uniunii, întrucât acestea au produs efecte imediat înainte de încheierea perioadei de tranziție (denumite „jurisprudența menținută a Uniunii” și, respectiv, „principiile generale menținute ale dreptului Uniunii”) (17). |
| --- | --- |

(12)

Pentru a pregăti ieșirea din UE, Guvernul Regatului Unit a adoptat European Union (Withdrawal) Act 2018 (EUWA) [Legea din 2018 privind Uniunea Europeană (retragere)] (15), care încorporează legislația direct aplicabilă a Uniunii în legislația Regatului Unit și a prevăzut că așa-numita „legislație națională derivată din dreptul Uniunii” continuă să producă efecte după încheierea perioadei de tranziție. Partea 3 din DPA din 2018 (16) care transpune Directiva (UE) 2016/680 constituie „legislație națională derivată din dreptul Uniunii” în temeiul EUWA. Potrivit EUWA, „legislația națională derivată din dreptul Uniunii” nemodificată trebuie să fie interpretată de instanțele din Regatul Unit în conformitate cu jurisprudența relevantă a Curții de Justiție a Uniunii Europene (Curtea de Justiție) și cu principiile generale ale dreptului Uniunii, întrucât acestea au produs efecte imediat înainte de încheierea perioadei de tranziție (denumite „jurisprudența menținută a Uniunii” și, respectiv, „principiile generale menținute ale dreptului Uniunii”) (17).

15

16

17

| (13) | În temeiul EUWA, miniștrii Regatului Unit au competența de a introduce legislație secundară, prin intermediul instrumentelor statutare, pentru a introduce modificările necesare ale dreptului menținut al Uniunii care rezultă din retragerea Regatului Unit din Uniune. Această competență a fost exercitată prin Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentele din 2019 privind protecția datelor, a vieții private și comunicațiile electronice (modificări etc.) (ieșirea din UE)] (Regulamentele DPPEC) (18). Acestea modifică legislația Regatului Unit privind protecția datelor, inclusiv DPA din 2018, pentru a fi adecvată contextului național (19). |
| --- | --- |

(13)

În temeiul EUWA, miniștrii Regatului Unit au competența de a introduce legislație secundară, prin intermediul instrumentelor statutare, pentru a introduce modificările necesare ale dreptului menținut al Uniunii care rezultă din retragerea Regatului Unit din Uniune. Această competență a fost exercitată prin Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentele din 2019 privind protecția datelor, a vieții private și comunicațiile electronice (modificări etc.) (ieșirea din UE)] (Regulamentele DPPEC) (18). Acestea modifică legislația Regatului Unit privind protecția datelor, inclusiv DPA din 2018, pentru a fi adecvată contextului național (19).

18

19

| (14) | În consecință, standardele juridice privind prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora în Regatul Unit după perioada de tranziție în temeiul Acordului de retragere vor fi stabilite în continuare în părțile relevante ale DPA din 2018, dar astfel cum au fost modificate prin regulamentele DPPEC, în special în partea 3 a actului respectiv. Regulamentul general privind protecția datelor în vigoare în Regatul Unit (RGPD al Regatului Unit) nu se aplică acestui tip de prelucrare. |
| --- | --- |

(14)

În consecință, standardele juridice privind prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora în Regatul Unit după perioada de tranziție în temeiul Acordului de retragere vor fi stabilite în continuare în părțile relevante ale DPA din 2018, dar astfel cum au fost modificate prin regulamentele DPPEC, în special în partea 3 a actului respectiv. Regulamentul general privind protecția datelor în vigoare în Regatul Unit (RGPD al Regatului Unit) nu se aplică acestui tip de prelucrare.

| (15) | Partea 3 din DPA din 2018 prevede normele privind prelucrarea datelor cu caracter personal în scopul asigurării respectării dreptului penal, inclusiv principiile privind protecția datelor, temeiurile juridice ale prelucrării (legalitatea), drepturile persoanelor vizate, obligațiile autorităților competente în calitate de operatori de date și restricțiile privind transferurile ulterioare. În același timp, normele aplicabile în materie de supraveghere, asigurare a respectării legii și măsuri de reparare aplicabile în sectorul asigurării respectării legii sunt prevăzute în părțile 5 și 6 din DPA din 2018. |
| --- | --- |

(15)

Partea 3 din DPA din 2018 prevede normele privind prelucrarea datelor cu caracter personal în scopul asigurării respectării dreptului penal, inclusiv principiile privind protecția datelor, temeiurile juridice ale prelucrării (legalitatea), drepturile persoanelor vizate, obligațiile autorităților competente în calitate de operatori de date și restricțiile privind transferurile ulterioare. În același timp, normele aplicabile în materie de supraveghere, asigurare a respectării legii și măsuri de reparare aplicabile în sectorul asigurării respectării legii sunt prevăzute în părțile 5 și 6 din DPA din 2018.

| (16) | În plus, având în vedere rolul important jucat de forțele de poliție în sectorul asigurării respectării legii, ar trebui avute în vedere normele care reglementează activitățile polițienești. Întrucât activitatea polițienească este o chestiune descentralizată, diferite acte legislative care prezintă totuși adesea similitudini în materie de conținut sunt aplicabile activităților polițienești din (a) Anglia și Țara Galilor, (b) Scoția și (c) Irlanda de Nord (20). În plus, diferite tipuri de documente de orientare oferă clarificări suplimentare cu privire la modul în care competențele poliției se impun a fi utilizate. Există trei forme principale de orientări pentru poliție: 1) orientări statutare emise în temeiul legislației, cum ar fi Codul deontologic (21) și Codul de bune practici privind gestionarea informațiilor cu caracter polițienesc (Codul de bune practici privind MoPI) (22), emise în temeiul Legii privind poliția din 1996 (23) sau al codurilor PACE (24) emise în temeiul Legii britanice privind funcționarea Poliției și administrarea probelor penale (Police and Criminal Evidence Act) (25), 2) practici profesionale autorizate privind gestionarea informațiilor cu caracter polițienesc (Orientările APP privind gestionarea informațiilor cu caracter polițienesc) (26), emise de Colegiul de Poliție, și 3) orientări operaționale (publicate chiar de poliție). Consiliul național al responsabililor serviciilor de poliție (National Police Chiefs Council) (un organism de coordonare pentru toate forțele de poliție din Regatul Unit) publică orientări operaționale pe care toate forțele de poliție le-au aprobat și care, prin urmare, se aplică la nivel național (27). Scopul acestor orientări este de a asigura coerența între forțe în ceea ce privește modul de gestionare a informațiilor (28). |
| --- | --- |

(16)

În plus, având în vedere rolul important jucat de forțele de poliție în sectorul asigurării respectării legii, ar trebui avute în vedere normele care reglementează activitățile polițienești. Întrucât activitatea polițienească este o chestiune descentralizată, diferite acte legislative care prezintă totuși adesea similitudini în materie de conținut sunt aplicabile activităților polițienești din (a) Anglia și Țara Galilor, (b) Scoția și (c) Irlanda de Nord (20). În plus, diferite tipuri de documente de orientare oferă clarificări suplimentare cu privire la modul în care competențele poliției se impun a fi utilizate. Există trei forme principale de orientări pentru poliție: 1) orientări statutare emise în temeiul legislației, cum ar fi Codul deontologic (21) și Codul de bune practici privind gestionarea informațiilor cu caracter polițienesc (Codul de bune practici privind MoPI) (22), emise în temeiul Legii privind poliția din 1996 (23) sau al codurilor PACE (24) emise în temeiul Legii britanice privind funcționarea Poliției și administrarea probelor penale (Police and Criminal Evidence Act) (25), 2) practici profesionale autorizate privind gestionarea informațiilor cu caracter polițienesc (Orientările APP privind gestionarea informațiilor cu caracter polițienesc) (26), emise de Colegiul de Poliție, și 3) orientări operaționale (publicate chiar de poliție). Consiliul național al responsabililor serviciilor de poliție (National Police Chiefs Council) (un organism de coordonare pentru toate forțele de poliție din Regatul Unit) publică orientări operaționale pe care toate forțele de poliție le-au aprobat și care, prin urmare, se aplică la nivel național (27). Scopul acestor orientări este de a asigura coerența între forțe în ceea ce privește modul de gestionare a informațiilor (28).

20

21

22

23

24

25

26

27

28

| (17) | Codul de bune practici privind gestionarea informațiilor cu caracter polițienesc a fost emis de secretarul de stat în 2005, făcând uz de competențele prevăzute la secțiunea 39A din Legea privind poliția din 1996 (29). Orice cod de bune practici emis în temeiul Legii privind poliția trebuie să fie aprobat de secretarul de stat și face obiectul consultării Agenției Naționale pentru Combaterea Criminalității înainte de a fi prezentat Parlamentului. Secțiunea 39A punctul 7 din Legea privind poliția prevede că poliția trebuie să țină seama în mod corespunzător de codurile emise în temeiul legii, prin urmare poliția ar trebui să o respecte (30). În plus, orientările nestatutare (cum ar fi Orientările APP privind gestionarea informațiilor cu caracter polițienesc) trebuie să fie întotdeauna în concordanță cu Codul de bune practici privind gestionarea informațiilor cu caracter polițienesc, care este mai presus de acestea (31). În orice caz, deși ar putea exista anumite situații operaționale în care funcționarii poliției trebuie să se abată de la respectivele orientări, aceștia trebuie totuși să respecte cerințele DPA din 2018, partea 3 (32). |
| --- | --- |

(17)

Codul de bune practici privind gestionarea informațiilor cu caracter polițienesc a fost emis de secretarul de stat în 2005, făcând uz de competențele prevăzute la secțiunea 39A din Legea privind poliția din 1996 (29). Orice cod de bune practici emis în temeiul Legii privind poliția trebuie să fie aprobat de secretarul de stat și face obiectul consultării Agenției Naționale pentru Combaterea Criminalității înainte de a fi prezentat Parlamentului. Secțiunea 39A punctul 7 din Legea privind poliția prevede că poliția trebuie să țină seama în mod corespunzător de codurile emise în temeiul legii, prin urmare poliția ar trebui să o respecte (30). În plus, orientările nestatutare (cum ar fi Orientările APP privind gestionarea informațiilor cu caracter polițienesc) trebuie să fie întotdeauna în concordanță cu Codul de bune practici privind gestionarea informațiilor cu caracter polițienesc, care este mai presus de acestea (31). În orice caz, deși ar putea exista anumite situații operaționale în care funcționarii poliției trebuie să se abată de la respectivele orientări, aceștia trebuie totuși să respecte cerințele DPA din 2018, partea 3 (32).

29

30

31

32

| (18) | Orientări suplimentare privind legislația Regatului Unit în materie de protecție a datelor în vederea prelucrării în sectorul asigurării respectării legii sunt furnizate de comisarul pentru informații („Information Commissioner” sau „ICO”) (33) (pentru detalii suplimentare privind ICO, a se vedea considerentele 93-109). Deși nu au caracter juridic obligatoriu, instanțele ar fi obligate în contextul unei cauze să ia în considerare orice încălcare a orientărilor, deoarece acestea au o pondere interpretativă și demonstrează modul în care legislația privind protecția datelor este interpretată și pusă în practică de către comisar (34). |
| --- | --- |

(18)

Orientări suplimentare privind legislația Regatului Unit în materie de protecție a datelor în vederea prelucrării în sectorul asigurării respectării legii sunt furnizate de comisarul pentru informații („Information Commissioner” sau „ICO”) (33) (pentru detalii suplimentare privind ICO, a se vedea considerentele 93-109). Deși nu au caracter juridic obligatoriu, instanțele ar fi obligate în contextul unei cauze să ia în considerare orice încălcare a orientărilor, deoarece acestea au o pondere interpretativă și demonstrează modul în care legislația privind protecția datelor este interpretată și pusă în practică de către comisar (34).

33

34

| (19) | În cele din urmă, astfel cum se menționează în considerentele 8-10, agențiile de aplicare a legii din Regatul Unit trebuie să asigure respectarea (CEDO) și a Convenției 108. |
| --- | --- |

(19)

În cele din urmă, astfel cum se menționează în considerentele 8-10, agențiile de aplicare a legii din Regatul Unit trebuie să asigure respectarea (CEDO) și a Convenției 108.

| (20) | Prin urmare, în ceea ce privește structura și componentele sale principale, cadrul juridic care reglementează prelucrarea datelor de către autoritățile de aplicare a dreptului penal din Regatul Unit este foarte similar cu cel aplicabil în UE. Aceasta include faptul că acest cadru nu se bazează numai pe obligațiile prevăzute în dreptul intern, care au fost conturate de dreptul Uniunii, ci și pe obligațiile consacrate în dreptul internațional public, în special prin aderarea Regatului Unit la CEDO și la Convenția 108, precum și prin recunoașterea de către acesta a competenței Curții Europene a Drepturilor Omului. Aceste obligații care decurg din instrumentele internaționale obligatorii din punct de vedere juridic, în special în ceea ce privește protecția datelor cu caracter personal, reprezintă, prin urmare, un element deosebit de important al cadrului juridic evaluat în prezenta decizie. |
| --- | --- |

(20)

Prin urmare, în ceea ce privește structura și componentele sale principale, cadrul juridic care reglementează prelucrarea datelor de către autoritățile de aplicare a dreptului penal din Regatul Unit este foarte similar cu cel aplicabil în UE. Aceasta include faptul că acest cadru nu se bazează numai pe obligațiile prevăzute în dreptul intern, care au fost conturate de dreptul Uniunii, ci și pe obligațiile consacrate în dreptul internațional public, în special prin aderarea Regatului Unit la CEDO și la Convenția 108, precum și prin recunoașterea de către acesta a competenței Curții Europene a Drepturilor Omului. Aceste obligații care decurg din instrumentele internaționale obligatorii din punct de vedere juridic, în special în ceea ce privește protecția datelor cu caracter personal, reprezintă, prin urmare, un element deosebit de important al cadrului juridic evaluat în prezenta decizie.

2.3.   Domeniul de aplicare material și teritorial

Domeniul de aplicare material și teritorial

| (21) | Domeniul de aplicare material al DPA din 2018, partea 3, coincide cu domeniul de aplicare al Directivei (UE) 2016/680, astfel cum este prevăzut la articolul 2 alineatul (2) din aceasta. Partea 3 se aplică prelucrării de către o autoritate competentă a datelor cu caracter personal, realizate integral sau parțial prin mijloace automatizate, precum și prelucrării de către o autoritate competentă prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr-un sistem de evidență a datelor sau care urmează să facă parte dintr-un sistem de evidență a datelor. |
| --- | --- |

(21)

Domeniul de aplicare material al DPA din 2018, partea 3, coincide cu domeniul de aplicare al Directivei (UE) 2016/680, astfel cum este prevăzut la articolul 2 alineatul (2) din aceasta. Partea 3 se aplică prelucrării de către o autoritate competentă a datelor cu caracter personal, realizate integral sau parțial prin mijloace automatizate, precum și prelucrării de către o autoritate competentă prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr-un sistem de evidență a datelor sau care urmează să facă parte dintr-un sistem de evidență a datelor.

| (22) | În plus, pentru a se încadra în domeniul de aplicare al părții 3, operatorul trebuie să fie o „autoritate competentă”, iar prelucrarea trebuie efectuată într-un „scop de aplicare a legii”. Prin urmare, regimul de protecție a datelor care este evaluat în prezenta decizie se aplică tuturor activităților de asigurare a respectării legii desfășurate de aceste autorități competente. |
| --- | --- |

(22)

În plus, pentru a se încadra în domeniul de aplicare al părții 3, operatorul trebuie să fie o „autoritate competentă”, iar prelucrarea trebuie efectuată într-un „scop de aplicare a legii”. Prin urmare, regimul de protecție a datelor care este evaluat în prezenta decizie se aplică tuturor activităților de asigurare a respectării legii desfășurate de aceste autorități competente.

| (23) | Conceptul de „autoritate competentă” este definit în secțiunea 30 din DPA ca fiind o persoană prevăzută în anexa 7 la DPA din 2018, precum și orice altă persoană, în măsura în care persoana are funcții statutare în oricare dintre scopurile de asigurare a respectării legii. Printre autoritățile competente enumerate în anexa 7 se numără nu numai forțele de poliție, ci și toate departamentele ministeriale ale guvernului Regatului Unit, precum și alte autorități cu atribuții de investigare (de exemplu, Comisarul Administrației Fiscale și Vamale din Regatul Unit – Commissioner for Her Majesty’s Revenue and Customs, Autoritatea Fiscală din Țara Galilor, Autoritatea pentru Concurență și Piețe sau Registrul funciar al Majestății Sale – Her Majesty’s Land Register sau Agenția Națională pentru Combaterea Criminalității – National Crime Agency), agenții de urmărire penală, alte agenții de justiție penală și alți deținători sau organizații care desfășoară activități de asigurare a respectării legii (35). Partea 3 din DPA din 2018 se aplică în egală măsură instanțelor și tribunalelor atunci când acestea își exercită funcțiile judiciare, cu excepția părții referitoare la drepturile persoanei vizate și la supravegherea ICO (36). Lista autorităților competente prevăzută în anexa 7 nu este definitivă și poate fi actualizată de către secretarul de stat prin regulamente, ținând seama de modificările intervenite în materie de organizare a instituțiilor publice (37). |
| --- | --- |

(23)

Conceptul de „autoritate competentă” este definit în secțiunea 30 din DPA ca fiind o persoană prevăzută în anexa 7 la DPA din 2018, precum și orice altă persoană, în măsura în care persoana are funcții statutare în oricare dintre scopurile de asigurare a respectării legii. Printre autoritățile competente enumerate în anexa 7 se numără nu numai forțele de poliție, ci și toate departamentele ministeriale ale guvernului Regatului Unit, precum și alte autorități cu atribuții de investigare (de exemplu, Comisarul Administrației Fiscale și Vamale din Regatul Unit – Commissioner for Her Majesty’s Revenue and Customs, Autoritatea Fiscală din Țara Galilor, Autoritatea pentru Concurență și Piețe sau Registrul funciar al Majestății Sale – Her Majesty’s Land Register sau Agenția Națională pentru Combaterea Criminalității – National Crime Agency), agenții de urmărire penală, alte agenții de justiție penală și alți deținători sau organizații care desfășoară activități de asigurare a respectării legii (35). Partea 3 din DPA din 2018 se aplică în egală măsură instanțelor și tribunalelor atunci când acestea își exercită funcțiile judiciare, cu excepția părții referitoare la drepturile persoanei vizate și la supravegherea ICO (36). Lista autorităților competente prevăzută în anexa 7 nu este definitivă și poate fi actualizată de către secretarul de stat prin regulamente, ținând seama de modificările intervenite în materie de organizare a instituțiilor publice (37).

35

36

37

| (24) | Prelucrarea în cauză trebuie să aibă, de asemenea, un „scop de asigurare a respectării legii”, definit ca fiind prevenirea, investigarea, depistarea sau urmărirea penală a infracțiunilor sau executarea pedepselor, inclusiv protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora (38). Prelucrarea de către o autoritate competentă nu este reglementată de partea 3 din DPA din 2018 în cazul în care aceasta nu are loc în scopul asigurării respectării legii. Aceasta va fi situația, de exemplu, atunci când Autoritatea pentru Concurență și Piețe investighează cazuri care nu sunt incriminate (de exemplu, fuziuni între societăți). În acest caz se vor aplica RGPD al Regatului Unit, coroborat cu partea 2 din DPA din 2018, deoarece prelucrarea datelor cu caracter personal de către autoritățile competente se efectuează în alte scopuri decât cele de asigurare a respectării legii. Pentru a stabili regimul de protecție a datelor aplicabil (partea 3 sau partea 2 din DPA din 2018) în ceea ce privește prelucrarea datelor cu caracter personal în cauză, autoritatea competentă, și anume operatorul de date, trebuie să analizeze dacă „scopul principal” al unei astfel de prelucrări este unul dintre scopurile de asigurare a respectării legii în temeiul DPA din 2018. |
| --- | --- |

(24)

Prelucrarea în cauză trebuie să aibă, de asemenea, un „scop de asigurare a respectării legii”, definit ca fiind prevenirea, investigarea, depistarea sau urmărirea penală a infracțiunilor sau executarea pedepselor, inclusiv protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora (38). Prelucrarea de către o autoritate competentă nu este reglementată de partea 3 din DPA din 2018 în cazul în care aceasta nu are loc în scopul asigurării respectării legii. Aceasta va fi situația, de exemplu, atunci când Autoritatea pentru Concurență și Piețe investighează cazuri care nu sunt incriminate (de exemplu, fuziuni între societăți). În acest caz se vor aplica RGPD al Regatului Unit, coroborat cu partea 2 din DPA din 2018, deoarece prelucrarea datelor cu caracter personal de către autoritățile competente se efectuează în alte scopuri decât cele de asigurare a respectării legii. Pentru a stabili regimul de protecție a datelor aplicabil (partea 3 sau partea 2 din DPA din 2018) în ceea ce privește prelucrarea datelor cu caracter personal în cauză, autoritatea competentă, și anume operatorul de date, trebuie să analizeze dacă „scopul principal” al unei astfel de prelucrări este unul dintre scopurile de asigurare a respectării legii în temeiul DPA din 2018.

38

| (25) | În ceea ce privește domeniul de aplicare teritorial al părții 3 din DPA din 2018, secțiunea 207 punctul 2 prevede că DPA se aplică prelucrării datelor cu caracter personal în contextul activităților unei persoane care deține un sediu pe întreg teritoriul Regatului Unit. Aceasta include autoritățile publice ale teritoriilor Angliei, Țării Galilor, Scoției și Irlandei de Nord care intră în domeniul de aplicare material al părții 3 din DPA din 2018 (39). |
| --- | --- |

(25)

În ceea ce privește domeniul de aplicare teritorial al părții 3 din DPA din 2018, secțiunea 207 punctul 2 prevede că DPA se aplică prelucrării datelor cu caracter personal în contextul activităților unei persoane care deține un sediu pe întreg teritoriul Regatului Unit. Aceasta include autoritățile publice ale teritoriilor Angliei, Țării Galilor, Scoției și Irlandei de Nord care intră în domeniul de aplicare material al părții 3 din DPA din 2018 (39).

39

2.3.1.   Definiția datelor cu caracter personal și a prelucrării

Definiția datelor cu caracter personal și a prelucrării

| (26) | Conceptele-cheie de date cu caracter personal și prelucrare sunt definite în secțiunea 3 din DPA din 2018 și se aplică în tot cuprinsul DPA. Definițiile respectă îndeaproape definițiile corespunzătoare prevăzute la articolul 3 din Directiva (UE) 2016/680. În temeiul DPA din 2018, date cu caracter personal înseamnă orice informații privind o persoană în viață identificată sau identificabilă (40). În temeiul secțiunii 3 punctul 3 din DPA din 2018, o persoană fizică este identificabilă dacă poate fi identificată, direct sau indirect, pe baza informațiilor, inclusiv prin referire la un nume sau la un element de identificare, sau prin referire la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale. Noțiunea de „prelucrare” este definită ca o operațiune sau un set de operațiuni efectuate asupra informațiilor, sau asupra seturilor de informații, cum ar fi (a) colectarea, înregistrarea, organizarea, structurarea sau stocarea; (b) adaptarea sau modificarea; (c) extragerea, consultarea sau utilizarea; (d) dezvăluirea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod; (e) alinierea sau combinarea; sau (f) restricționarea, ștergerea sau distrugerea. În plus, legea definește „prelucrarea datelor sensibile” ca fiind „(a) prelucrarea datelor cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice sau apartenența la un sindicat; (b) prelucrarea datelor genetice sau a datelor biometrice, în scopul identificării unice a unei persoane fizice; (c) prelucrarea datelor cu caracter personal privind sănătatea; (d) prelucrarea datelor cu caracter personal privind viața sexuală sau orientarea sexuală a unei persoane fizice” (41). În acest sens, secțiunea 205 din DPA din 2018 prevede definiția „datelor biometrice” (42), a „datelor privind sănătatea” (43) și a „datelor genetice” (44). |
| --- | --- |

(26)

Conceptele-cheie de date cu caracter personal și prelucrare sunt definite în secțiunea 3 din DPA din 2018 și se aplică în tot cuprinsul DPA. Definițiile respectă îndeaproape definițiile corespunzătoare prevăzute la articolul 3 din Directiva (UE) 2016/680. În temeiul DPA din 2018, date cu caracter personal înseamnă orice informații privind o persoană în viață identificată sau identificabilă (40). În temeiul secțiunii 3 punctul 3 din DPA din 2018, o persoană fizică este identificabilă dacă poate fi identificată, direct sau indirect, pe baza informațiilor, inclusiv prin referire la un nume sau la un element de identificare, sau prin referire la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale. Noțiunea de „prelucrare” este definită ca o operațiune sau un set de operațiuni efectuate asupra informațiilor, sau asupra seturilor de informații, cum ar fi (a) colectarea, înregistrarea, organizarea, structurarea sau stocarea; (b) adaptarea sau modificarea; (c) extragerea, consultarea sau utilizarea; (d) dezvăluirea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod; (e) alinierea sau combinarea; sau (f) restricționarea, ștergerea sau distrugerea. În plus, legea definește „prelucrarea datelor sensibile” ca fiind „(a) prelucrarea datelor cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice sau apartenența la un sindicat; (b) prelucrarea datelor genetice sau a datelor biometrice, în scopul identificării unice a unei persoane fizice; (c) prelucrarea datelor cu caracter personal privind sănătatea; (d) prelucrarea datelor cu caracter personal privind viața sexuală sau orientarea sexuală a unei persoane fizice” (41). În acest sens, secțiunea 205 din DPA din 2018 prevede definiția „datelor biometrice” (42), a „datelor privind sănătatea” (43) și a „datelor genetice” (44).

40

41

42

43

44

| (27) | Secțiunea 32 din DPA din 2018 clarifică definițiile termenilor „operator” și „persoană împuternicită de către operator” în contextul prelucrării datelor cu caracter personal în scopul asigurării respectării legii, urmând îndeaproape definițiile echivalente din Directiva (UE) 2016/680. Operator înseamnă autoritatea competentă care stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal. În cazul în care prelucrarea este prevăzută de lege, operatorul este autoritatea competentă căreia legea respectivă îi impune o astfel de obligație. O persoană împuternicită de către operator este definită ca fiind orice persoană care prelucrează datele cu caracter personal în numele operatorului (alta decât o persoană care este angajat al operatorului). |
| --- | --- |

(27)

Secțiunea 32 din DPA din 2018 clarifică definițiile termenilor „operator” și „persoană împuternicită de către operator” în contextul prelucrării datelor cu caracter personal în scopul asigurării respectării legii, urmând îndeaproape definițiile echivalente din Directiva (UE) 2016/680. Operator înseamnă autoritatea competentă care stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal. În cazul în care prelucrarea este prevăzută de lege, operatorul este autoritatea competentă căreia legea respectivă îi impune o astfel de obligație. O persoană împuternicită de către operator este definită ca fiind orice persoană care prelucrează datele cu caracter personal în numele operatorului (alta decât o persoană care este angajat al operatorului).

2.4.   Garanții, drepturi și obligații

Garanții, drepturi și obligații

2.4.1.   Legalitatea și corectitudinea prelucrării

Legalitatea și corectitudinea prelucrării

| (28) | În conformitate cu secțiunea 35 din DPA din 2018, prelucrarea datelor cu caracter personal trebuie să aibă caracter legal și echitabil, într-un mod similar cu articolul 4 alineatul (1) litera (a) din Directiva (UE) 2016/680. În conformitate cu secțiunea 35 punctul 2 din DPA din 2018, prelucrarea datelor cu caracter personal în oricare dintre scopurile de asigurare a respectării legii este legală numai dacă se întemeiază pe lege și fie persoana vizată și-a dat consimțământul pentru prelucrare în acest scop, fie prelucrarea este necesară pentru îndeplinirea unei sarcini în acest scop de către o autoritate competentă. |
| --- | --- |

(28)

În conformitate cu secțiunea 35 din DPA din 2018, prelucrarea datelor cu caracter personal trebuie să aibă caracter legal și echitabil, într-un mod similar cu articolul 4 alineatul (1) litera (a) din Directiva (UE) 2016/680. În conformitate cu secțiunea 35 punctul 2 din DPA din 2018, prelucrarea datelor cu caracter personal în oricare dintre scopurile de asigurare a respectării legii este legală numai dacă se întemeiază pe lege și fie persoana vizată și-a dat consimțământul pentru prelucrare în acest scop, fie prelucrarea este necesară pentru îndeplinirea unei sarcini în acest scop de către o autoritate competentă.

2.4.1.1.   Prelucrarea în temeiul legii

Prelucrarea în temeiul legii

| (29) | În mod similar cu articolul 8 din Directiva (UE) 2016/680, pentru a se asigura legalitatea unei prelucrări care intră sub incidența DPA din 2018, partea 3, o astfel de prelucrare trebuie să fie „bazată pe lege”. Prelucrarea „legală” înseamnă prelucrarea autorizată fie prin lege, fie prin common law sau prin prerogative regale (45). |
| --- | --- |

(29)

În mod similar cu articolul 8 din Directiva (UE) 2016/680, pentru a se asigura legalitatea unei prelucrări care intră sub incidența DPA din 2018, partea 3, o astfel de prelucrare trebuie să fie „bazată pe lege”. Prelucrarea „legală” înseamnă prelucrarea autorizată fie prin lege, fie prin common law sau prin prerogative regale (45).

45

| (30) | Competențele autorităților competente sunt, în general, reglementate prin statute, ceea ce înseamnă că funcțiile și competențele acestora sunt stabilite în mod clar în legislațiile adoptate de Parlament (46). În anumite cazuri, poliția, precum și alte autorități competente enumerate în anexa 7 la DPA din 2018 se pot baza pe common law pentru prelucrarea datelor (47). Common law s-a dezvoltat prin precedente stabilite prin hotărâri ale instanțelor. Common law este relevantă în contextul competențelor de care dispune poliția, care derivă din această sursă de drept datoria sa principală de a proteja publicul prin depistarea și prevenirea criminalității (48). Cu toate acestea, forțele de poliție au atât competențe în domeniul common law, cât și competențe legislative (49) pentru a îndeplini o astfel de obligație. În cazul în care poliția are o competență statutară, aceasta înlocuiește orice competență în domeniul common law (50). |
| --- | --- |

(30)

Competențele autorităților competente sunt, în general, reglementate prin statute, ceea ce înseamnă că funcțiile și competențele acestora sunt stabilite în mod clar în legislațiile adoptate de Parlament (46). În anumite cazuri, poliția, precum și alte autorități competente enumerate în anexa 7 la DPA din 2018 se pot baza pe common law pentru prelucrarea datelor (47). Common law s-a dezvoltat prin precedente stabilite prin hotărâri ale instanțelor. Common law este relevantă în contextul competențelor de care dispune poliția, care derivă din această sursă de drept datoria sa principală de a proteja publicul prin depistarea și prevenirea criminalității (48). Cu toate acestea, forțele de poliție au atât competențe în domeniul common law, cât și competențe legislative (49) pentru a îndeplini o astfel de obligație. În cazul în care poliția are o competență statutară, aceasta înlocuiește orice competență în domeniul common law (50).

46

47

48

49

50

| (31) | Extinderea competențelor și obligațiilor în domeniul common law ale funcționarului de poliție a fost recunoscută de instanțe ca incluzând „toate măsurile care se dovedesc necesare pentru menținerea păcii, prevenirea infracțiunilor sau protejarea bunurilor împotriva vătămărilor cauzate de infracțiuni” (51). Competențele în domeniul common law nu sunt competențe necalificate. Acestea sunt supuse unei serii de limitări, inclusiv limitelor stabilite de instanțe (52) și de lege, în special Legea privind drepturile omului din 1998 (Human Rights Act) și Legea privind egalitatea din 2010 (Equality Act) (53). În plus, pentru autoritățile competente care prelucrează date în temeiul DPA din 2018, partea 3, aceasta include exercitarea competențelor în domeniul common law în conformitate cu cerințele prevăzute în DPA din 2018 (54). În plus, o decizie de a efectua orice tip de prelucrare a datelor trebuie să ia în considerare cerințele orientărilor aplicabile, cum ar fi Codul de bune practici privind MoPI, precum și orientările specifice uneia dintre țările din Regatul Unit (55). Guvernul și serviciile de poliție operaționale emit o serie de documente de orientare pentru a se asigura că funcționarii de poliție își exercită competențele în limitele stabilite de common law sau de statutul relevant (56). |
| --- | --- |

(31)

Extinderea competențelor și obligațiilor în domeniul common law ale funcționarului de poliție a fost recunoscută de instanțe ca incluzând „toate măsurile care se dovedesc necesare pentru menținerea păcii, prevenirea infracțiunilor sau protejarea bunurilor împotriva vătămărilor cauzate de infracțiuni” (51). Competențele în domeniul common law nu sunt competențe necalificate. Acestea sunt supuse unei serii de limitări, inclusiv limitelor stabilite de instanțe (52) și de lege, în special Legea privind drepturile omului din 1998 (Human Rights Act) și Legea privind egalitatea din 2010 (Equality Act) (53). În plus, pentru autoritățile competente care prelucrează date în temeiul DPA din 2018, partea 3, aceasta include exercitarea competențelor în domeniul common law în conformitate cu cerințele prevăzute în DPA din 2018 (54). În plus, o decizie de a efectua orice tip de prelucrare a datelor trebuie să ia în considerare cerințele orientărilor aplicabile, cum ar fi Codul de bune practici privind MoPI, precum și orientările specifice uneia dintre țările din Regatul Unit (55). Guvernul și serviciile de poliție operaționale emit o serie de documente de orientare pentru a se asigura că funcționarii de poliție își exercită competențele în limitele stabilite de common law sau de statutul relevant (56).

51

52

53

54

55

56

| (32) | Prerogativele regale reprezintă o altă componentă a „legii” și se referă la anumite competențe conferite Coroanei, care pot fi exercitate de puterea executivă și care nu se bazează pe statut, ci decurg din suveranitatea monarhului (57). Există foarte puține exemple de prerogative relevante în contextul asigurării respectării legii. Printre acestea se numără, de exemplu, cadrul de asistență judiciară reciprocă ce permite schimbul de date de către un secretar de stat cu țări terțe în scopul asigurării respectării aplicării legii, iar competența de a face schimb de date în acest mod nu este întotdeauna prevăzută în statut (58). Prerogativele regale sunt supuse principiilor common law (59) și sunt subordonate statutului, prin urmare, se află sub rezerva limitelor prevăzute de Legea privind drepturile omului din 1998 și de DPA din 2018 (60). |
| --- | --- |

(32)

Prerogativele regale reprezintă o altă componentă a „legii” și se referă la anumite competențe conferite Coroanei, care pot fi exercitate de puterea executivă și care nu se bazează pe statut, ci decurg din suveranitatea monarhului (57). Există foarte puține exemple de prerogative relevante în contextul asigurării respectării legii. Printre acestea se numără, de exemplu, cadrul de asistență judiciară reciprocă ce permite schimbul de date de către un secretar de stat cu țări terțe în scopul asigurării respectării aplicării legii, iar competența de a face schimb de date în acest mod nu este întotdeauna prevăzută în statut (58). Prerogativele regale sunt supuse principiilor common law (59) și sunt subordonate statutului, prin urmare, se află sub rezerva limitelor prevăzute de Legea privind drepturile omului din 1998 și de DPA din 2018 (60).

57

58

59

60

| (33) | În mod similar cu articolul 8 din Directiva (UE) 2016/680, regimul din Regatul Unit prevede că, pentru a respecta principiul legalității, autoritățile competente ar trebui să se asigure că, atunci când prelucrarea se bazează pe lege, aceasta trebuie să fie, de asemenea, „necesară” pentru îndeplinirea unei sarcini în scopul asigurării respectării legii. ICO oferă orientări în acest sens, clarificând faptul că „trebuie să fie o modalitate specifică și proporțională de atingere a scopului. Temeiul legal nu se va aplica dacă puteți atinge obiectivul în mod rezonabil prin alte mijloace mai puțin intruzive. Nu este suficient să susțineți că prelucrarea este necesară deoarece ați ales să vă desfășurați activitatea într-un anumit mod. Întrebarea este dacă prelucrarea este necesară pentru scopul declarat” (61). |
| --- | --- |

(33)

În mod similar cu articolul 8 din Directiva (UE) 2016/680, regimul din Regatul Unit prevede că, pentru a respecta principiul legalității, autoritățile competente ar trebui să se asigure că, atunci când prelucrarea se bazează pe lege, aceasta trebuie să fie, de asemenea, „necesară” pentru îndeplinirea unei sarcini în scopul asigurării respectării legii. ICO oferă orientări în acest sens, clarificând faptul că „trebuie să fie o modalitate specifică și proporțională de atingere a scopului. Temeiul legal nu se va aplica dacă puteți atinge obiectivul în mod rezonabil prin alte mijloace mai puțin intruzive. Nu este suficient să susțineți că prelucrarea este necesară deoarece ați ales să vă desfășurați activitatea într-un anumit mod. Întrebarea este dacă prelucrarea este necesară pentru scopul declarat” (61).

61

2.4.1.2.   Prelucrarea pe baza „consimțământului” persoanei vizate

Prelucrarea pe baza „consimțământului” persoanei vizate

| (34) | Astfel cum se menționează în considerentul 28, secțiunea 35 alineatul (2) din DPA din 2018 prevede posibilitatea prelucrării datelor cu caracter personal pe baza „consimțământului” persoanei fizice. |
| --- | --- |

(34)

Astfel cum se menționează în considerentul 28, secțiunea 35 alineatul (2) din DPA din 2018 prevede posibilitatea prelucrării datelor cu caracter personal pe baza „consimțământului” persoanei fizice.

| (35) | Cu toate acestea, consimțământul nu pare a fi un temei juridic relevant pentru operațiunile de prelucrare care intră în domeniul de aplicare al prezentei decizii. În fapt, operațiunile de prelucrare care fac obiectul prezentei decizii vor viza întotdeauna datele care au fost transferate în temeiul Directivei (UE) 2016/680 de către o autoritate competentă a unui stat membru către o autoritate competentă din Regatul Unit. Prin urmare, acestea nu vor implica, de regulă, tipul de interacțiune (colectare) directă între o autoritate publică și persoanele vizate care se poate baza pe consimțământ în temeiul secțiunii 35 punctul 2 litera (a) din DPA din 2018. |
| --- | --- |

(35)

Cu toate acestea, consimțământul nu pare a fi un temei juridic relevant pentru operațiunile de prelucrare care intră în domeniul de aplicare al prezentei decizii. În fapt, operațiunile de prelucrare care fac obiectul prezentei decizii vor viza întotdeauna datele care au fost transferate în temeiul Directivei (UE) 2016/680 de către o autoritate competentă a unui stat membru către o autoritate competentă din Regatul Unit. Prin urmare, acestea nu vor implica, de regulă, tipul de interacțiune (colectare) directă între o autoritate publică și persoanele vizate care se poate baza pe consimțământ în temeiul secțiunii 35 punctul 2 litera (a) din DPA din 2018.

| (36) | Deși recurgerea la consimțământ nu este, prin urmare, considerată relevantă pentru evaluarea efectuată în temeiul prezentei decizii, trebuie remarcat, din motive de exhaustivitate, faptul că, într-un context de asigurare a respectării legii, prelucrarea nu se bazează niciodată exclusiv pe consimțământ, întrucât o autoritate competentă trebuie să aibă întotdeauna o competență subiacentă care să îi permită să prelucreze datele (62). Mai precis, și în mod similar cu ceea ce este permis în temeiul Directivei (UE) 2016/680 (63), aceasta înseamnă că respectivul consimțământ servește drept condiție suplimentară pentru a permite anumite operațiuni de prelucrare limitate și specifice care altfel nu ar putea fi efectuate, de exemplu colectarea și prelucrarea unui eșantion de ADN al unei persoane fizice care nu are calitatea de suspect. În acest caz, prelucrarea nu ar fi efectuată în cazul în care consimțământul nu este acordat sau este retras (64). |
| --- | --- |

(36)

Deși recurgerea la consimțământ nu este, prin urmare, considerată relevantă pentru evaluarea efectuată în temeiul prezentei decizii, trebuie remarcat, din motive de exhaustivitate, faptul că, într-un context de asigurare a respectării legii, prelucrarea nu se bazează niciodată exclusiv pe consimțământ, întrucât o autoritate competentă trebuie să aibă întotdeauna o competență subiacentă care să îi permită să prelucreze datele (62). Mai precis, și în mod similar cu ceea ce este permis în temeiul Directivei (UE) 2016/680 (63), aceasta înseamnă că respectivul consimțământ servește drept condiție suplimentară pentru a permite anumite operațiuni de prelucrare limitate și specifice care altfel nu ar putea fi efectuate, de exemplu colectarea și prelucrarea unui eșantion de ADN al unei persoane fizice care nu are calitatea de suspect. În acest caz, prelucrarea nu ar fi efectuată în cazul în care consimțământul nu este acordat sau este retras (64).

62

63

64

| (37) | În cazurile în care se impune consimțământul persoanei fizice, acest consimțământ trebuie să fie lipsit de ambiguitate și să implice o acțiune pozitivă fără echivoc (65). Forțele de poliție trebuie să aibă la dispoziție o declarație de confidențialitate care să includă, printre altele, informațiile necesare referitoare la utilizarea valabilă a consimțământului. În plus, unele dintre acestea publică materiale suplimentare privind modul în care respectă legislația privind protecția datelor, inclusiv modul și momentul în care ar utiliza consimțământul ca temei juridic (66). |
| --- | --- |

(37)

În cazurile în care se impune consimțământul persoanei fizice, acest consimțământ trebuie să fie lipsit de ambiguitate și să implice o acțiune pozitivă fără echivoc (65). Forțele de poliție trebuie să aibă la dispoziție o declarație de confidențialitate care să includă, printre altele, informațiile necesare referitoare la utilizarea valabilă a consimțământului. În plus, unele dintre acestea publică materiale suplimentare privind modul în care respectă legislația privind protecția datelor, inclusiv modul și momentul în care ar utiliza consimțământul ca temei juridic (66).

65

66

2.4.1.3.   Prelucrarea datelor sensibile

Prelucrarea datelor sensibile

| (38) | Ar trebui să existe garanții specifice în cazul în care sunt prelucrate „categorii speciale” de date. În acest sens, în mod similar cu dispozițiile articolului 10 din Directiva (UE) 2016/680, partea 3 din DPA din 2018 prevede garanții mai solide pentru așa-numita „prelucrare a datelor sensibile” (67). |
| --- | --- |

(38)

Ar trebui să existe garanții specifice în cazul în care sunt prelucrate „categorii speciale” de date. În acest sens, în mod similar cu dispozițiile articolului 10 din Directiva (UE) 2016/680, partea 3 din DPA din 2018 prevede garanții mai solide pentru așa-numita „prelucrare a datelor sensibile” (67).

67

| (39) | În conformitate cu secțiunea 35 punctul 3 din DPA din 1998, datele cu caracter sensibil pot fi prelucrate de autoritățile competente în scopul asigurării respectării legii numai în două cazuri: (1) persoana vizată și-a dat consimțământul pentru prelucrare în scopul asigurării respectării legii și, în momentul în care prelucrarea este efectuată, operatorul dispune de un document de politică adecvat (68) sau (2) prelucrarea este strict necesară în scopul asigurării respectării legii, prelucrarea îndeplinește cel puțin una dintre condițiile din anexa 8 la DPA din 2018 și, la momentul efectuării prelucrării, operatorul dispune de un document de politică adecvat (69). |
| --- | --- |

(39)

În conformitate cu secțiunea 35 punctul 3 din DPA din 1998, datele cu caracter sensibil pot fi prelucrate de autoritățile competente în scopul asigurării respectării legii numai în două cazuri: (1) persoana vizată și-a dat consimțământul pentru prelucrare în scopul asigurării respectării legii și, în momentul în care prelucrarea este efectuată, operatorul dispune de un document de politică adecvat (68) sau (2) prelucrarea este strict necesară în scopul asigurării respectării legii, prelucrarea îndeplinește cel puțin una dintre condițiile din anexa 8 la DPA din 2018 și, la momentul efectuării prelucrării, operatorul dispune de un document de politică adecvat (69).

68

69

| (40) | În ceea ce privește primul caz și astfel cum se explică în considerentul 38, recurgerea la consimțământ nu este considerată relevantă în cazul transferului care face obiectul prezentei decizii (70). |
| --- | --- |

(40)

În ceea ce privește primul caz și astfel cum se explică în considerentul 38, recurgerea la consimțământ nu este considerată relevantă în cazul transferului care face obiectul prezentei decizii (70).

70

| (41) | Atunci când prelucrarea datelor cu caracter sensibil nu se bazează pe consimțământ, aceasta poate fi efectuată utilizând una dintre condițiile enumerate în anexa 8 la DPA din 2018. Aceste condiții se referă la prelucrarea necesară în scopuri prevăzute de lege; administrarea justiției; protecția intereselor vitale ale persoanei vizate sau ale altei persoane fizice; protejarea copiilor și a persoanelor expuse riscului; acțiuni în justiție; acte judiciare; prevenirea fraudei; arhivarea; în cazul în care datele cu caracter personal sunt făcute publice în mod manifest de către persoana vizată. Cu excepția cazului în care datele sunt făcute publice în mod manifest, toate condițiile prevăzute în anexa 8 sunt supuse unui test de „strictă necesitate”. Astfel cum a clarificat ICO, „strict necesar în acest context înseamnă că prelucrarea trebuie să corespundă unei nevoi sociale presante, pe care nu o puteți realiza în mod rezonabil prin mijloace mai puțin intruzive” (71). În plus, unele condiții fac obiectul unor restricții suplimentare. De exemplu, pentru a se baza pe condiția „scopurilor statutare” și pe „condiția de salvgardare” (anexa 8, punctul 1 și punctul 4), trebuie să fie îndeplinit un test suplimentar privind interesul public substanțial. În plus, în ceea ce privește condițiile referitoare la protecția copilului (anexa 8, punctul 4), persoana vizată trebuie, de asemenea, să aibă o anumită vârstă și să fie considerată ca fiind expusă riscului. În plus, operatorul poate aplica condiția prevăzută la punctul 4 din anexa 8 numai în cazul unor circumstanțe specifice (72). În mod similar, există restricții în ceea ce privește condițiile privind „actele judiciare” și „prevenirea fraudei” (punctele 7 și, respectiv, 8 din anexa 8). Ambele sunt aplicabile numai anumitor operatori. În cazul actelor judiciare, numai o instanță sau o altă autoritate judiciară poate utiliza o astfel de condiție, iar în cazul prevenirii fraudei numai operatorii care sunt organizații antifraudă se pot baza pe această condiție. |
| --- | --- |

(41)

Atunci când prelucrarea datelor cu caracter sensibil nu se bazează pe consimțământ, aceasta poate fi efectuată utilizând una dintre condițiile enumerate în anexa 8 la DPA din 2018. Aceste condiții se referă la prelucrarea necesară în scopuri prevăzute de lege; administrarea justiției; protecția intereselor vitale ale persoanei vizate sau ale altei persoane fizice; protejarea copiilor și a persoanelor expuse riscului; acțiuni în justiție; acte judiciare; prevenirea fraudei; arhivarea; în cazul în care datele cu caracter personal sunt făcute publice în mod manifest de către persoana vizată. Cu excepția cazului în care datele sunt făcute publice în mod manifest, toate condițiile prevăzute în anexa 8 sunt supuse unui test de „strictă necesitate”. Astfel cum a clarificat ICO, „strict necesar în acest context înseamnă că prelucrarea trebuie să corespundă unei nevoi sociale presante, pe care nu o puteți realiza în mod rezonabil prin mijloace mai puțin intruzive” (71). În plus, unele condiții fac obiectul unor restricții suplimentare. De exemplu, pentru a se baza pe condiția „scopurilor statutare” și pe „condiția de salvgardare” (anexa 8, punctul 1 și punctul 4), trebuie să fie îndeplinit un test suplimentar privind interesul public substanțial. În plus, în ceea ce privește condițiile referitoare la protecția copilului (anexa 8, punctul 4), persoana vizată trebuie, de asemenea, să aibă o anumită vârstă și să fie considerată ca fiind expusă riscului. În plus, operatorul poate aplica condiția prevăzută la punctul 4 din anexa 8 numai în cazul unor circumstanțe specifice (72). În mod similar, există restricții în ceea ce privește condițiile privind „actele judiciare” și „prevenirea fraudei” (punctele 7 și, respectiv, 8 din anexa 8). Ambele sunt aplicabile numai anumitor operatori. În cazul actelor judiciare, numai o instanță sau o altă autoritate judiciară poate utiliza o astfel de condiție, iar în cazul prevenirii fraudei numai operatorii care sunt organizații antifraudă se pot baza pe această condiție.

71

72

| (42) | În cele din urmă, atunci când prelucrarea se bazează pe una dintre condițiile enumerate în anexa 8 și, respectiv, în conformitate cu secțiunea 42 din DPA din 2018, trebuie să existe un „document de politică adecvat” – care să explice procedurile operatorului de asigurare a conformității cu principiile privind protecția datelor și politicile operatorului în ceea ce privește păstrarea și ștergerea datelor cu caracter personal – și se aplică obligațiile privind ținerea unei evidențe consolidate. |
| --- | --- |

(42)

În cele din urmă, atunci când prelucrarea se bazează pe una dintre condițiile enumerate în anexa 8 și, respectiv, în conformitate cu secțiunea 42 din DPA din 2018, trebuie să existe un „document de politică adecvat” – care să explice procedurile operatorului de asigurare a conformității cu principiile privind protecția datelor și politicile operatorului în ceea ce privește păstrarea și ștergerea datelor cu caracter personal – și se aplică obligațiile privind ținerea unei evidențe consolidate.

2.4.2.   Limitarea scopului

Limitarea scopului

| (43) | Datele cu caracter personal ar trebui să fie prelucrate într-un scop anume și să fie utilizate ulterior numai în măsura în care acest lucru nu este incompatibil cu scopul prelucrării. Acest principiu privind protecția datelor este garantat de secțiunea 36 din DPA din 2018. Această dispoziție, în mod similar cu articolul 4 alineatul (1) litera (b) din Directiva (UE) 2016/680, prevede că (a) scopul asigurării respectării legii pentru care datele cu caracter personal sunt colectate în orice moment trebuie să fie determinat, explicit și legitim și (b) datele cu caracter personal colectate astfel nu trebuie să fie prelucrate într-un mod incompatibil cu scopul pentru care au fost colectate. |
| --- | --- |

(43)

Datele cu caracter personal ar trebui să fie prelucrate într-un scop anume și să fie utilizate ulterior numai în măsura în care acest lucru nu este incompatibil cu scopul prelucrării. Acest principiu privind protecția datelor este garantat de secțiunea 36 din DPA din 2018. Această dispoziție, în mod similar cu articolul 4 alineatul (1) litera (b) din Directiva (UE) 2016/680, prevede că (a) scopul asigurării respectării legii pentru care datele cu caracter personal sunt colectate în orice moment trebuie să fie determinat, explicit și legitim și (b) datele cu caracter personal colectate astfel nu trebuie să fie prelucrate într-un mod incompatibil cu scopul pentru care au fost colectate.

| (44) | În cazul în care autoritățile competente prelucrează date în scopul asigurării respectării legii, acesta poate viza arhivarea, cercetarea științifică sau istorică și scopurile statistice (73). În aceste cazuri, DPA din 2018 clarifică, de asemenea, faptul că arhivarea (sau prelucrarea în scopuri de cercetare științifică sau istorică și în scopuri statistice) nu este permisă în cazul în care aceasta este efectuată cu privire la deciziile luate în legătură cu o anumită persoană vizată sau în cazul în care aceasta este susceptibilă să îi cauzeze prejudicii sau suferințe substanțiale (74). |
| --- | --- |

(44)

În cazul în care autoritățile competente prelucrează date în scopul asigurării respectării legii, acesta poate viza arhivarea, cercetarea științifică sau istorică și scopurile statistice (73). În aceste cazuri, DPA din 2018 clarifică, de asemenea, faptul că arhivarea (sau prelucrarea în scopuri de cercetare științifică sau istorică și în scopuri statistice) nu este permisă în cazul în care aceasta este efectuată cu privire la deciziile luate în legătură cu o anumită persoană vizată sau în cazul în care aceasta este susceptibilă să îi cauzeze prejudicii sau suferințe substanțiale (74).

73

74

2.4.3.   Exactitatea și reducerea la minimum a datelor

Exactitatea și reducerea la minimum a datelor

| (45) | Datele trebuie să fie exacte și, dacă este cazul, actualizate. De asemenea, trebuie să fie adecvate, relevante și neexcesive în raport cu scopurile în care sunt prelucrate. În mod similar cu articolul 4 alineatul (1) literele (c), (d) și (e) din Directiva (UE) 2016/680, aceste principii sunt asigurate în secțiunile 37 și 38 din DPA din 2018. Trebuie luate toate măsurile care se impun pentru a se asigura că datele cu caracter personal inexacte (75) sunt șterse sau rectificate fără întârziere (76), având în vedere scopul asigurării respectării legii pentru care sunt prelucrate (77), precum și pentru a se asigura că datele cu caracter personal inexacte, incomplete sau care nu mai sunt actualizate nu sunt transmise sau puse la dispoziție în oricare dintre scopurile de asigurare a respectării legii (78). |
| --- | --- |

(45)

Datele trebuie să fie exacte și, dacă este cazul, actualizate. De asemenea, trebuie să fie adecvate, relevante și neexcesive în raport cu scopurile în care sunt prelucrate. În mod similar cu articolul 4 alineatul (1) literele (c), (d) și (e) din Directiva (UE) 2016/680, aceste principii sunt asigurate în secțiunile 37 și 38 din DPA din 2018. Trebuie luate toate măsurile care se impun pentru a se asigura că datele cu caracter personal inexacte (75) sunt șterse sau rectificate fără întârziere (76), având în vedere scopul asigurării respectării legii pentru care sunt prelucrate (77), precum și pentru a se asigura că datele cu caracter personal inexacte, incomplete sau care nu mai sunt actualizate nu sunt transmise sau puse la dispoziție în oricare dintre scopurile de asigurare a respectării legii (78).

75

76

77

78

| (46) | În plus, în mod similar cu articolul 7 din Directiva (UE) 2016/680, regimul de protecție a datelor din Regatul Unit prevede că, pe cât posibil, trebuie să se facă o distincție între datele cu caracter personal bazate pe fapte și datele cu caracter personal bazate pe evaluări personale (79). Atunci când este relevant și în măsura posibilului, trebuie făcută o distincție clară între datele cu caracter personal referitoare la diferite categorii de persoane vizate, cum ar fi suspecți, persoane condamnate pentru comiterea unei infracțiuni, victime ale unei infracțiuni și martori (80). |
| --- | --- |

(46)

În plus, în mod similar cu articolul 7 din Directiva (UE) 2016/680, regimul de protecție a datelor din Regatul Unit prevede că, pe cât posibil, trebuie să se facă o distincție între datele cu caracter personal bazate pe fapte și datele cu caracter personal bazate pe evaluări personale (79). Atunci când este relevant și în măsura posibilului, trebuie făcută o distincție clară între datele cu caracter personal referitoare la diferite categorii de persoane vizate, cum ar fi suspecți, persoane condamnate pentru comiterea unei infracțiuni, victime ale unei infracțiuni și martori (80).

79

80

2.4.4.   Limitarea stocării

Limitarea stocării

| (47) | În conformitate cu articolul 5 din Directiva (UE) 2016/680, în principiu, datele ar trebui să fie păstrate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate datele cu caracter personal. În conformitate cu secțiunea 39 din DPA din 2018 și în mod similar cu articolul 5 din directiva menționată, este interzisă păstrarea datelor cu caracter personal prelucrate în oricare dintre scopurile de asigurare a respectării legii pe o perioadă care depășește perioada necesară îndeplinirii scopului pentru care sunt prelucrate. Regimul juridic din Regatul Unit impune stabilirea unor termene adecvate pentru revizuirea periodică a necesității de a continua stocarea datelor cu caracter personal pentru oricare dintre scopurile de asigurare a respectării legii. Norme suplimentare privind practicile legate de păstrarea datelor cu caracter personal și termenele aplicabile au fost stabilite în legislația relevantă și în orientările care reglementează competențele și funcționarea serviciului de poliție. De exemplu, în Anglia și Țara Galilor, Codul de bune practici privind MoPI al Colegiului de Poliție, împreună cu Orientările APP privind gestionarea informațiilor cu caracter polițienesc, oferă un cadru pentru a asigura un proces coerent de păstrare, revizuire și eliminare bazat pe riscuri pentru gestionarea informațiilor serviciilor de poliție operaționale (81). Acest cadru stabilește așteptări clare în cadrul serviciului cu privire la modul în care ar trebui create, partajate, utilizate și gestionate informațiile la nivelul și între forțele de poliție individuale și alte agenții (82). Poliția trebuie să respecte Codul de bune practici, iar conformitatea este verificată de Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83). |
| --- | --- |

(47)

În conformitate cu articolul 5 din Directiva (UE) 2016/680, în principiu, datele ar trebui să fie păstrate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate datele cu caracter personal. În conformitate cu secțiunea 39 din DPA din 2018 și în mod similar cu articolul 5 din directiva menționată, este interzisă păstrarea datelor cu caracter personal prelucrate în oricare dintre scopurile de asigurare a respectării legii pe o perioadă care depășește perioada necesară îndeplinirii scopului pentru care sunt prelucrate. Regimul juridic din Regatul Unit impune stabilirea unor termene adecvate pentru revizuirea periodică a necesității de a continua stocarea datelor cu caracter personal pentru oricare dintre scopurile de asigurare a respectării legii. Norme suplimentare privind practicile legate de păstrarea datelor cu caracter personal și termenele aplicabile au fost stabilite în legislația relevantă și în orientările care reglementează competențele și funcționarea serviciului de poliție. De exemplu, în Anglia și Țara Galilor, Codul de bune practici privind MoPI al Colegiului de Poliție, împreună cu Orientările APP privind gestionarea informațiilor cu caracter polițienesc, oferă un cadru pentru a asigura un proces coerent de păstrare, revizuire și eliminare bazat pe riscuri pentru gestionarea informațiilor serviciilor de poliție operaționale (81). Acest cadru stabilește așteptări clare în cadrul serviciului cu privire la modul în care ar trebui create, partajate, utilizate și gestionate informațiile la nivelul și între forțele de poliție individuale și alte agenții (82). Poliția trebuie să respecte Codul de bune practici, iar conformitatea este verificată de Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83).

81

82

83

| (48) | Serviciul de Poliție din Irlanda de Nord (PSNI) nu este obligat prin lege să respecte Codul de bune practici privind MoPI. Cu toate acestea, cadrul MoPI adoptat în 2011 este completat de un manual PSNI (84), care stabilește politici și proceduri privind modul în care Codul de bune practici privind MoPI este aplicat în Irlanda de Nord. |
| --- | --- |

(48)

Serviciul de Poliție din Irlanda de Nord (PSNI) nu este obligat prin lege să respecte Codul de bune practici privind MoPI. Cu toate acestea, cadrul MoPI adoptat în 2011 este completat de un manual PSNI (84), care stabilește politici și proceduri privind modul în care Codul de bune practici privind MoPI este aplicat în Irlanda de Nord.

84

| (49) | În Scoția, forțele de poliție se bazează pe procedura operațională standard privind păstrarea evidențelor (SOP) (85), care sprijină politica de gestionare a evidențelor (86) Serviciului de Poliție din Scoția. SOP stabilește norme specifice de păstrare a evidențelor deținute de serviciul de poliție din Scoția. |
| --- | --- |

(49)

În Scoția, forțele de poliție se bazează pe procedura operațională standard privind păstrarea evidențelor (SOP) (85), care sprijină politica de gestionare a evidențelor (86) Serviciului de Poliție din Scoția. SOP stabilește norme specifice de păstrare a evidențelor deținute de serviciul de poliție din Scoția.

85

86

| (50) | În plus față de cerința generală de revizuire a evidențelor care se aplică pe întreg teritoriul Regatului Unit, sunt furnizate detalii suplimentare în normele localizate. Pentru a da câteva exemple, în ceea ce privește Anglia și Țara Galilor, Legea privind funcționarea Poliției și administrarea probelor penale, astfel cum a fost modificată prin Legea din 2012 privind apărarea libertăților (PoFA), prevede păstrarea amprentelor digitale și a profilurilor ADN, precum și un regim specific pentru persoanele fizice care nu au fost condamnate (87). De asemenea, PoFA a creat funcția de comisar pentru păstrarea și utilizarea materialelor biometrice (denumit în continuare „comisarul pentru biometrie”) (88). Normele specifice privind imaginile de custodie sunt prevăzute în revista „Custody Image Review” din 2017 (89). În ceea ce privește Scoția, Legea scoțiană privind procedura penală din 1995 prevede normele pentru obținerea și păstrarea amprentelor digitale și a probelor biologice (90). La fel ca în cazul Angliei și Țării Galilor, legislația reglementează păstrarea datelor biometrice în diferite cazuri (91). |
| --- | --- |

(50)

În plus față de cerința generală de revizuire a evidențelor care se aplică pe întreg teritoriul Regatului Unit, sunt furnizate detalii suplimentare în normele localizate. Pentru a da câteva exemple, în ceea ce privește Anglia și Țara Galilor, Legea privind funcționarea Poliției și administrarea probelor penale, astfel cum a fost modificată prin Legea din 2012 privind apărarea libertăților (PoFA), prevede păstrarea amprentelor digitale și a profilurilor ADN, precum și un regim specific pentru persoanele fizice care nu au fost condamnate (87). De asemenea, PoFA a creat funcția de comisar pentru păstrarea și utilizarea materialelor biometrice (denumit în continuare „comisarul pentru biometrie”) (88). Normele specifice privind imaginile de custodie sunt prevăzute în revista „Custody Image Review” din 2017 (89). În ceea ce privește Scoția, Legea scoțiană privind procedura penală din 1995 prevede normele pentru obținerea și păstrarea amprentelor digitale și a probelor biologice (90). La fel ca în cazul Angliei și Țării Galilor, legislația reglementează păstrarea datelor biometrice în diferite cazuri (91).

87

88

89

90

91

2.4.5.   Securitatea datelor

Securitatea datelor

| (51) | Datele cu caracter personal ar trebui prelucrate într-un mod care să le asigure securitatea, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale. În acest scop, autoritățile publice trebuie să ia măsurile tehnice sau organizatorice adecvate pentru a proteja datele cu caracter personal împotriva eventualelor amenințări. Aceste măsuri trebuie să fie evaluate luând în considerare cunoștințele actuale și costurile aferente. |
| --- | --- |

(51)

Datele cu caracter personal ar trebui prelucrate într-un mod care să le asigure securitatea, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale. În acest scop, autoritățile publice trebuie să ia măsurile tehnice sau organizatorice adecvate pentru a proteja datele cu caracter personal împotriva eventualelor amenințări. Aceste măsuri trebuie să fie evaluate luând în considerare cunoștințele actuale și costurile aferente.

| (52) | Aceste principii sunt reflectate în secțiunea 40 din DPA din 2018, potrivit căreia, în mod similar cu articolul 4 alineatul (1) litera (f) din Directiva (UE) 2016/680, datele cu caracter personal prelucrate pentru oricare dintre scopurile de asigurare a respectării legii trebuie prelucrate într-un mod care să asigure securitatea adecvată a datelor cu caracter personal, prin luarea de măsuri tehnice sau organizatorice corespunzătoare. Aceasta include protecția datelor împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale (92). Secțiunea 66 din DPA din 2018 precizează în continuare că fiecare operator și fiecare persoană împuternicită de operator trebuie să pună în aplicare măsuri tehnice și organizatorice corespunzătoare pentru a asigura un nivel de securitate corespunzător riscurilor care decurg din prelucrarea datelor cu caracter personal. Conform notelor explicative, operatorul trebuie să evalueze riscurile și să pună în aplicare măsuri de securitate corespunzătoare pe baza acestei evaluări, de exemplu criptarea sau niveluri specifice de autorizare de securitate pentru personalul care prelucrează datele (93). De asemenea, evaluarea trebuie să țină seama, de exemplu, de natura datelor prelucrate și de orice alți factori sau circumstanțe relevante care ar putea afecta securitatea prelucrării. |
| --- | --- |

(52)

Aceste principii sunt reflectate în secțiunea 40 din DPA din 2018, potrivit căreia, în mod similar cu articolul 4 alineatul (1) litera (f) din Directiva (UE) 2016/680, datele cu caracter personal prelucrate pentru oricare dintre scopurile de asigurare a respectării legii trebuie prelucrate într-un mod care să asigure securitatea adecvată a datelor cu caracter personal, prin luarea de măsuri tehnice sau organizatorice corespunzătoare. Aceasta include protecția datelor împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale (92). Secțiunea 66 din DPA din 2018 precizează în continuare că fiecare operator și fiecare persoană împuternicită de operator trebuie să pună în aplicare măsuri tehnice și organizatorice corespunzătoare pentru a asigura un nivel de securitate corespunzător riscurilor care decurg din prelucrarea datelor cu caracter personal. Conform notelor explicative, operatorul trebuie să evalueze riscurile și să pună în aplicare măsuri de securitate corespunzătoare pe baza acestei evaluări, de exemplu criptarea sau niveluri specifice de autorizare de securitate pentru personalul care prelucrează datele (93). De asemenea, evaluarea trebuie să țină seama, de exemplu, de natura datelor prelucrate și de orice alți factori sau circumstanțe relevante care ar putea afecta securitatea prelucrării.

92

93

| (53) | Regimul care reglementează respectarea principiilor de securitate a datelor este foarte asemănător cu cel stabilit la articolele 29-31 din Directiva (UE) 2016/680. În special, în cazul unei încălcări a securității datelor cu caracter personal în legătură cu datele cu caracter personal pentru care operatorul este responsabil, în conformitate cu secțiunea 67 punctul 1 din DPA din 2018, operatorul trebuie, fără întârzieri nejustificate și, dacă este posibil, în termen de 72 de ore de la data la care a luat cunoștință de încălcare, să notifice încălcarea securității datelor cu caracter personal comisarului pentru informații (94). Obligația de notificare nu se aplică atunci când este puțin probabil ca încălcarea securității datelor cu caracter personal să genereze un risc pentru drepturile și libertățile persoanelor fizice (95). Operatorul trebuie să documenteze faptele referitoare la eventuale încălcări ale securității datelor cu caracter personal, efectele acesteia și măsurile de remediere adoptate într-un mod care să permită comisarului pentru informații să verifice conformitatea cu DPA (96). În cazul în care o persoană împuternicită de operator ia cunoștință de o încălcare a securității, aceasta trebuie să informeze operatorul fără întârzieri nejustificate (97). |
| --- | --- |

(53)

Regimul care reglementează respectarea principiilor de securitate a datelor este foarte asemănător cu cel stabilit la articolele 29-31 din Directiva (UE) 2016/680. În special, în cazul unei încălcări a securității datelor cu caracter personal în legătură cu datele cu caracter personal pentru care operatorul este responsabil, în conformitate cu secțiunea 67 punctul 1 din DPA din 2018, operatorul trebuie, fără întârzieri nejustificate și, dacă este posibil, în termen de 72 de ore de la data la care a luat cunoștință de încălcare, să notifice încălcarea securității datelor cu caracter personal comisarului pentru informații (94). Obligația de notificare nu se aplică atunci când este puțin probabil ca încălcarea securității datelor cu caracter personal să genereze un risc pentru drepturile și libertățile persoanelor fizice (95). Operatorul trebuie să documenteze faptele referitoare la eventuale încălcări ale securității datelor cu caracter personal, efectele acesteia și măsurile de remediere adoptate într-un mod care să permită comisarului pentru informații să verifice conformitatea cu DPA (96). În cazul în care o persoană împuternicită de operator ia cunoștință de o încălcare a securității, aceasta trebuie să informeze operatorul fără întârzieri nejustificate (97).

94

95

96

97

| (54) | În conformitate cu secțiunea 68 punctul 1 din DPA din 2018, în cazul în care o încălcare a securității datelor cu caracter personal este susceptibilă să prezinte un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul trebuie să informeze persoana vizată cu privire la încălcare, fără întârzieri nejustificate (98). Notificarea trebuie să includă aceleași informații ca și notificarea către comisarul pentru informații descrisă în considerentul 53. Această obligație nu se aplică în cazul în care operatorul a implementat măsuri de protecție tehnice și organizatorice adecvate, iar aceste măsuri au fost aplicate în cazul datelor cu caracter personal afectate de încălcare. De asemenea, nu se aplică în cazul în care operatorul a luat măsuri ulterioare prin care se asigură că riscul ridicat pentru drepturile și libertățile persoanelor vizate nu mai este susceptibil să se materializeze. În cele din urmă, operatorul nu are obligația de a notifica persoana vizată în cazul în care acest lucru ar implica un efort disproporționat (99). În acest caz, informațiile trebuie puse la dispoziția persoanei vizate într-un alt mod la fel de eficient, de exemplu, prin intermediul unei comunicări publice (100). În cazul în care operatorul nu a informat persoana vizată cu privire la încălcare, comisarul pentru informații, după ce a fost notificat în temeiul secțiunii 67 din DPA și după analizarea probabilității încălcării care generează un risc ridicat, poate solicita operatorului să notifice persoana vizată cu privire la încălcare (101). |
| --- | --- |

(54)

În conformitate cu secțiunea 68 punctul 1 din DPA din 2018, în cazul în care o încălcare a securității datelor cu caracter personal este susceptibilă să prezinte un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul trebuie să informeze persoana vizată cu privire la încălcare, fără întârzieri nejustificate (98). Notificarea trebuie să includă aceleași informații ca și notificarea către comisarul pentru informații descrisă în considerentul 53. Această obligație nu se aplică în cazul în care operatorul a implementat măsuri de protecție tehnice și organizatorice adecvate, iar aceste măsuri au fost aplicate în cazul datelor cu caracter personal afectate de încălcare. De asemenea, nu se aplică în cazul în care operatorul a luat măsuri ulterioare prin care se asigură că riscul ridicat pentru drepturile și libertățile persoanelor vizate nu mai este susceptibil să se materializeze. În cele din urmă, operatorul nu are obligația de a notifica persoana vizată în cazul în care acest lucru ar implica un efort disproporționat (99). În acest caz, informațiile trebuie puse la dispoziția persoanei vizate într-un alt mod la fel de eficient, de exemplu, prin intermediul unei comunicări publice (100). În cazul în care operatorul nu a informat persoana vizată cu privire la încălcare, comisarul pentru informații, după ce a fost notificat în temeiul secțiunii 67 din DPA și după analizarea probabilității încălcării care generează un risc ridicat, poate solicita operatorului să notifice persoana vizată cu privire la încălcare (101).

98

99

100

101

2.4.6.   Transparența

Transparența

| (55) | Persoanele vizate trebuie să fie informate cu privire la principalele caracteristici ale prelucrării datelor lor cu caracter personal. Acest principiu privind protecția datelor este reflectat în secțiunea 44 din DPA din 2018, care, în mod similar cu articolul 13 din Directiva (UE) 2016/680, prevede că operatorul are obligația generală de a pune la dispoziția persoanelor vizate informații privind prelucrarea datelor lor cu caracter personal (fie prin punerea informațiilor la dispoziția publicului larg, fie prin orice alt mijloc) (102). Printre informațiile care trebuie puse la dispoziție se numără (a) identitatea și datele de contact ale operatorului; (b) datele de contact ale responsabilului cu protecția datelor, după caz; (c) scopurile în care sunt prelucrate datele cu caracter personal; (d) existența drepturilor persoanelor vizate de a solicita operatorului acces la datele cu caracter personal, rectificarea datelor cu caracter personal și ștergerea datelor cu caracter personal sau restricționarea prelucrării acestora și (e) existența dreptului de a depune o plângere în fața comisarului pentru informații și datele de contact ale comisarului (103). |
| --- | --- |

(55)

Persoanele vizate trebuie să fie informate cu privire la principalele caracteristici ale prelucrării datelor lor cu caracter personal. Acest principiu privind protecția datelor este reflectat în secțiunea 44 din DPA din 2018, care, în mod similar cu articolul 13 din Directiva (UE) 2016/680, prevede că operatorul are obligația generală de a pune la dispoziția persoanelor vizate informații privind prelucrarea datelor lor cu caracter personal (fie prin punerea informațiilor la dispoziția publicului larg, fie prin orice alt mijloc) (102). Printre informațiile care trebuie puse la dispoziție se numără (a) identitatea și datele de contact ale operatorului; (b) datele de contact ale responsabilului cu protecția datelor, după caz; (c) scopurile în care sunt prelucrate datele cu caracter personal; (d) existența drepturilor persoanelor vizate de a solicita operatorului acces la datele cu caracter personal, rectificarea datelor cu caracter personal și ștergerea datelor cu caracter personal sau restricționarea prelucrării acestora și (e) existența dreptului de a depune o plângere în fața comisarului pentru informații și datele de contact ale comisarului (103).

102

103

| (56) | De asemenea, în cazuri specifice pentru a permite exercitarea drepturilor unei persoane vizate în temeiul DPA din 2018 (de exemplu, atunci când datele cu caracter personal care sunt prelucrate au fost colectate fără cunoștința persoanei vizate), operatorul trebuie să furnizeze persoanei vizate informații cu privire la (a) temeiul juridic al prelucrării; (b) informații cu privire la perioada pentru care vor fi stocate datele cu caracter personal sau, în cazul în care nu este posibil, criteriile utilizate pentru a stabili respectiva perioadă; (c) dacă este cazul, informații cu privire la categoriile de destinatari ai datelor cu caracter personal (inclusiv destinatarii din țări terțe sau organizații internaționale); (d) informații suplimentare necesare pentru a permite exercitarea drepturilor persoanei vizate în temeiul părții 3 din DPA din 2018 (104). |
| --- | --- |

(56)

De asemenea, în cazuri specifice pentru a permite exercitarea drepturilor unei persoane vizate în temeiul DPA din 2018 (de exemplu, atunci când datele cu caracter personal care sunt prelucrate au fost colectate fără cunoștința persoanei vizate), operatorul trebuie să furnizeze persoanei vizate informații cu privire la (a) temeiul juridic al prelucrării; (b) informații cu privire la perioada pentru care vor fi stocate datele cu caracter personal sau, în cazul în care nu este posibil, criteriile utilizate pentru a stabili respectiva perioadă; (c) dacă este cazul, informații cu privire la categoriile de destinatari ai datelor cu caracter personal (inclusiv destinatarii din țări terțe sau organizații internaționale); (d) informații suplimentare necesare pentru a permite exercitarea drepturilor persoanei vizate în temeiul părții 3 din DPA din 2018 (104).

104

2.4.7.   Drepturi individuale

Drepturi individuale

| (57) | Persoanelor vizate trebuie să li se acorde o serie de drepturi opozabile. Partea 3 capitolul 3 din DPA din 2018 oferă persoanelor fizice drepturi de acces, de rectificare, de ștergere și de restricționare (105), care sunt comparabile cu cele prevăzute în capitolul 3 din Directiva (UE) 2016/680. |
| --- | --- |

(57)

Persoanelor vizate trebuie să li se acorde o serie de drepturi opozabile. Partea 3 capitolul 3 din DPA din 2018 oferă persoanelor fizice drepturi de acces, de rectificare, de ștergere și de restricționare (105), care sunt comparabile cu cele prevăzute în capitolul 3 din Directiva (UE) 2016/680.

105

| (58) | Dreptul de acces este prevăzut la secțiunea 45 din DPA din 2018. În primul rând, o persoană fizică are dreptul de a obține o confirmare din partea operatorului dacă datele sale cu caracter personal sunt prelucrate sau nu (106). În al doilea rând, în cazul în care datele cu caracter personal sunt prelucrate, persoana vizată are dreptul de a accesa datele respective și de a primi următoarele informații cu privire la prelucrare: (a) scopurile și temeiurile juridice ale prelucrării; (b) categoriile de date în cauză; (c) destinatarul căruia i-au fost divulgate datele; (d) perioada de stocare a datelor cu caracter personal; (e) existența dreptului persoanei vizate la rectificarea și ștergerea datelor cu caracter personal; (f) dreptul de a depune o plângere și (g) orice informație privind originea datelor cu caracter personal în cauză (107). |
| --- | --- |

(58)

Dreptul de acces este prevăzut la secțiunea 45 din DPA din 2018. În primul rând, o persoană fizică are dreptul de a obține o confirmare din partea operatorului dacă datele sale cu caracter personal sunt prelucrate sau nu (106). În al doilea rând, în cazul în care datele cu caracter personal sunt prelucrate, persoana vizată are dreptul de a accesa datele respective și de a primi următoarele informații cu privire la prelucrare: (a) scopurile și temeiurile juridice ale prelucrării; (b) categoriile de date în cauză; (c) destinatarul căruia i-au fost divulgate datele; (d) perioada de stocare a datelor cu caracter personal; (e) existența dreptului persoanei vizate la rectificarea și ștergerea datelor cu caracter personal; (f) dreptul de a depune o plângere și (g) orice informație privind originea datelor cu caracter personal în cauză (107).

106

107

| (59) | În conformitate cu secțiunea 46 din DPA din 2018, persoana vizată are dreptul de a solicita operatorului să rectifice datele cu caracter personal inexacte care o privesc. Operatorul trebuie să rectifice datele (sau, în cazul în care datele sunt inexacte deoarece sunt incomplete, să le completeze), fără întârzieri nejustificate. Dacă datele cu caracter personal trebuie să fie păstrate ca mijloace de probă, operatorul trebuie (în loc să rectifice datele cu caracter personal) să restricționeze prelucrarea acestora (108). |
| --- | --- |

(59)

În conformitate cu secțiunea 46 din DPA din 2018, persoana vizată are dreptul de a solicita operatorului să rectifice datele cu caracter personal inexacte care o privesc. Operatorul trebuie să rectifice datele (sau, în cazul în care datele sunt inexacte deoarece sunt incomplete, să le completeze), fără întârzieri nejustificate. Dacă datele cu caracter personal trebuie să fie păstrate ca mijloace de probă, operatorul trebuie (în loc să rectifice datele cu caracter personal) să restricționeze prelucrarea acestora (108).

108

| (60) | Secțiunea 47 din DPA din 2018 oferă persoanelor fizice dreptul la ștergerea datelor și la restricționarea prelucrării. Operatorul trebuie (109) să șteargă datele cu caracter personal fără întârzieri nejustificate în cazul în care prelucrarea datelor cu caracter personal ar încălca oricare dintre principiile privind protecția datelor, temeiurile juridice ale prelucrării sau garanțiile legate de arhivare și de prelucrarea datelor sensibile. De asemenea, operatorul trebuie să șteargă datele dacă are o obligație legală în acest sens. Dacă datele cu caracter personal trebuie să fie păstrate ca mijloace de probă, operatorul trebuie (în loc să șteargă datele cu caracter personal) să restricționeze prelucrarea acestora (110). Operatorul trebuie să restricționeze prelucrarea datelor cu caracter personal în cazul în care o persoană vizată contestă exactitatea datelor cu caracter personal, dar nu este posibil să se stabilească dacă datele sunt exacte sau nu (111). |
| --- | --- |

(60)

Secțiunea 47 din DPA din 2018 oferă persoanelor fizice dreptul la ștergerea datelor și la restricționarea prelucrării. Operatorul trebuie (109) să șteargă datele cu caracter personal fără întârzieri nejustificate în cazul în care prelucrarea datelor cu caracter personal ar încălca oricare dintre principiile privind protecția datelor, temeiurile juridice ale prelucrării sau garanțiile legate de arhivare și de prelucrarea datelor sensibile. De asemenea, operatorul trebuie să șteargă datele dacă are o obligație legală în acest sens. Dacă datele cu caracter personal trebuie să fie păstrate ca mijloace de probă, operatorul trebuie (în loc să șteargă datele cu caracter personal) să restricționeze prelucrarea acestora (110). Operatorul trebuie să restricționeze prelucrarea datelor cu caracter personal în cazul în care o persoană vizată contestă exactitatea datelor cu caracter personal, dar nu este posibil să se stabilească dacă datele sunt exacte sau nu (111).

109

110

111

| (61) | În cazul în care o persoană vizată solicită rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării acestora, operatorul trebuie să informeze în scris persoana vizată dacă cererea a fost aprobată și, în cazul în care a fost refuzată, să informeze persoana vizată cu privire la motivele refuzului și căile de atac disponibile (dreptul persoanei vizate de a adresa o cerere comisarului pentru informații pentru a investiga dacă restricția a fost aplicată în mod legal, dreptul de a depune o plângere la comisarul pentru informații și dreptul de a solicita un ordin de conformitate unei instanțe) (112). |
| --- | --- |

(61)

În cazul în care o persoană vizată solicită rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării acestora, operatorul trebuie să informeze în scris persoana vizată dacă cererea a fost aprobată și, în cazul în care a fost refuzată, să informeze persoana vizată cu privire la motivele refuzului și căile de atac disponibile (dreptul persoanei vizate de a adresa o cerere comisarului pentru informații pentru a investiga dacă restricția a fost aplicată în mod legal, dreptul de a depune o plângere la comisarul pentru informații și dreptul de a solicita un ordin de conformitate unei instanțe) (112).

112

| (62) | În cazul în care operatorul rectifică datele cu caracter personal primite de la o altă autoritate competentă, acesta trebuie să informeze cealaltă autoritate (113). În cazul în care operatorul rectifică, șterge sau restricționează prelucrarea datelor cu caracter personal care au fost dezvăluite de către operator, operatorul trebuie să informeze destinatarii, iar destinatarii trebuie, în mod similar, să rectifice, să șteargă sau să restricționeze prelucrarea datelor cu caracter personal (în măsura în care aceștia își păstrează responsabilitățile în acest sens) (114). |
| --- | --- |

(62)

În cazul în care operatorul rectifică datele cu caracter personal primite de la o altă autoritate competentă, acesta trebuie să informeze cealaltă autoritate (113). În cazul în care operatorul rectifică, șterge sau restricționează prelucrarea datelor cu caracter personal care au fost dezvăluite de către operator, operatorul trebuie să informeze destinatarii, iar destinatarii trebuie, în mod similar, să rectifice, să șteargă sau să restricționeze prelucrarea datelor cu caracter personal (în măsura în care aceștia își păstrează responsabilitățile în acest sens) (114).

113

114

| (63) | În plus, persoana vizată are dreptul de a fi informată fără întârzieri nejustificate de către operator cu privire la o încălcare a securității datelor cu caracter personal atunci când este posibil ca aceasta să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice (115). |
| --- | --- |

(63)

În plus, persoana vizată are dreptul de a fi informată fără întârzieri nejustificate de către operator cu privire la o încălcare a securității datelor cu caracter personal atunci când este posibil ca aceasta să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice (115).

115

| (64) | În ceea ce privește toate aceste drepturi ale persoanei vizate și în mod similar cu ceea ce se prevede la articolul 12 din Directiva (UE) 2016/680, operatorul are obligația de a se asigura că orice informație adresată persoanei vizate este furnizată într-o formă concisă, inteligibilă și ușor accesibilă (116) și, dacă este posibil, că informațiile ar trebui transmise în același format în care a fost primită cererea (117). Operatorul trebuie să se conformeze unei cereri a persoanei vizate fără întârzieri nejustificate sau, în orice caz, înainte, în principiu, de sfârșitul unei perioade de o lună de la depunerea cererii (118). În cazul în care operatorul are îndoieli întemeiate cu privire la identitatea unei persoane fizice, acesta poate solicita informații suplimentare și poate întârzia tratarea cererii până la stabilirea identității. Operatorul poate solicita o taxă rezonabilă sau poate refuza să acționeze atunci când consideră cererea ca fiind vădit nefondată (119). ICO a furnizat orientări cu privire la momentul în care o cerere este considerată în mod evident nefondată sau excesivă și cu privire la momentul în care poate fi solicitată o taxă (120). |
| --- | --- |

(64)

În ceea ce privește toate aceste drepturi ale persoanei vizate și în mod similar cu ceea ce se prevede la articolul 12 din Directiva (UE) 2016/680, operatorul are obligația de a se asigura că orice informație adresată persoanei vizate este furnizată într-o formă concisă, inteligibilă și ușor accesibilă (116) și, dacă este posibil, că informațiile ar trebui transmise în același format în care a fost primită cererea (117). Operatorul trebuie să se conformeze unei cereri a persoanei vizate fără întârzieri nejustificate sau, în orice caz, înainte, în principiu, de sfârșitul unei perioade de o lună de la depunerea cererii (118). În cazul în care operatorul are îndoieli întemeiate cu privire la identitatea unei persoane fizice, acesta poate solicita informații suplimentare și poate întârzia tratarea cererii până la stabilirea identității. Operatorul poate solicita o taxă rezonabilă sau poate refuza să acționeze atunci când consideră cererea ca fiind vădit nefondată (119). ICO a furnizat orientări cu privire la momentul în care o cerere este considerată în mod evident nefondată sau excesivă și cu privire la momentul în care poate fi solicitată o taxă (120).

116

117

118

119

120

| (65) | În plus, în temeiul secțiunii 53 punctul 4 din DPA din 2018, secretarul de stat poate stabili, prin reglementări, cuantumul maxim al unei taxe. |
| --- | --- |

(65)

În plus, în temeiul secțiunii 53 punctul 4 din DPA din 2018, secretarul de stat poate stabili, prin reglementări, cuantumul maxim al unei taxe.

2.4.7.1.   Restricționarea drepturilor persoanei vizate și obligațiile în materie de transparență

Restricționarea drepturilor persoanei vizate și obligațiile în materie de transparență

| (66) | În anumite circumstanțe, o autoritate competentă poate restricționa anumite drepturi ale persoanei vizate: dreptul de acces (121), de a fi informat (122), de a avea cunoștință cu privire la o încălcare a securității datelor cu caracter personal (123) și de a fi informat cu privire la motivul respingerii unei cereri de rectificare sau de ștergere (124). În mod similar cu regimul prevăzut în capitolul III din Directiva (UE) 2016/680, autoritatea competentă poate aplica restricția numai în cazul în care, având în vedere drepturile fundamentale și interesele legitime ale persoanei vizate, aceasta este necesară și proporțională: (a) pentru a nu obstrucționa cercetări, investigații sau proceduri oficiale ori judiciare; (b) pentru a nu prejudicia prevenirea, detectarea, investigarea sau urmărirea penală a infracțiunilor sau executarea sancțiunilor penale; (c) pentru a proteja securitatea publică; (d) pentru a proteja securitatea națională; (e) pentru a proteja drepturile și libertățile celorlalți. |
| --- | --- |

(66)

În anumite circumstanțe, o autoritate competentă poate restricționa anumite drepturi ale persoanei vizate: dreptul de acces (121), de a fi informat (122), de a avea cunoștință cu privire la o încălcare a securității datelor cu caracter personal (123) și de a fi informat cu privire la motivul respingerii unei cereri de rectificare sau de ștergere (124). În mod similar cu regimul prevăzut în capitolul III din Directiva (UE) 2016/680, autoritatea competentă poate aplica restricția numai în cazul în care, având în vedere drepturile fundamentale și interesele legitime ale persoanei vizate, aceasta este necesară și proporțională: (a) pentru a nu obstrucționa cercetări, investigații sau proceduri oficiale ori judiciare; (b) pentru a nu prejudicia prevenirea, detectarea, investigarea sau urmărirea penală a infracțiunilor sau executarea sancțiunilor penale; (c) pentru a proteja securitatea publică; (d) pentru a proteja securitatea națională; (e) pentru a proteja drepturile și libertățile celorlalți.

121

122

123

124

| (67) | ICO a furnizat orientări cu privire la aplicarea acestor restricții. Potrivit acestor orientări, operatorii trebuie să efectueze o analiză de la caz la caz pentru a echilibra drepturile persoanei fizice cu prejudiciul cauzat de divulgare. În special, aceștia trebuie să justifice orice restricție aplicată ca fiind necesară și proporțională și pot limita ceea ce este prevăzut numai în cazul în care aceasta ar aduce atingere scopurilor menționate anterior (125). |
| --- | --- |

(67)

ICO a furnizat orientări cu privire la aplicarea acestor restricții. Potrivit acestor orientări, operatorii trebuie să efectueze o analiză de la caz la caz pentru a echilibra drepturile persoanei fizice cu prejudiciul cauzat de divulgare. În special, aceștia trebuie să justifice orice restricție aplicată ca fiind necesară și proporțională și pot limita ceea ce este prevăzut numai în cazul în care aceasta ar aduce atingere scopurilor menționate anterior (125).

125

| (68) | Există, de asemenea, o serie de alte orientări emise de autoritățile competente care oferă informații detaliate cu privire la toate aspectele legislației privind protecția datelor, inclusiv cu privire la aplicarea restricțiilor privind drepturile persoanelor vizate (126). De exemplu, în ceea ce privește secțiunea 45 punctul 4, Manualul privind protecția datelor elaborat de Consiliul național al responsabililor serviciilor de poliție prevede: „Este important de remarcat faptul că restricțiile pot fi aplicate numai în măsura în care este necesar și pot fi aplicate numai atât timp cât este necesar. Prin urmare, nu este permisă o aplicare generalizată a restricției la toate datele cu caracter personal ale solicitantului sau aplicarea permanentă a restricției. În ceea ce privește acest din urmă punct, este adesea necesar ca datele cu caracter personal colectate fără cunoștința persoanei vizate care are calitatea de suspect în cadrul unei anchete să fie protejate inițial împotriva divulgării lor, pentru a evita prejudicierea anchetei în timpul desfășurării anchetei, dar la o dată ulterioară nu ar exista niciun prejudiciu din cauza divulgării în cazul în care datele cu caracter personal ar fi fost divulgate persoanei fizice în timpul interviului. Forțele de poliție trebuie să adopte proceduri care să asigure aplicarea acestor restricții numai în măsura necesară și numai pe durata necesară” (127). Aceste orientări oferă, de asemenea, exemple de situații în care este probabil ca fiecare dintre restricții să fie aplicată (128). |
| --- | --- |

(68)

Există, de asemenea, o serie de alte orientări emise de autoritățile competente care oferă informații detaliate cu privire la toate aspectele legislației privind protecția datelor, inclusiv cu privire la aplicarea restricțiilor privind drepturile persoanelor vizate (126). De exemplu, în ceea ce privește secțiunea 45 punctul 4, Manualul privind protecția datelor elaborat de Consiliul național al responsabililor serviciilor de poliție prevede: „Este important de remarcat faptul că restricțiile pot fi aplicate numai în măsura în care este necesar și pot fi aplicate numai atât timp cât este necesar. Prin urmare, nu este permisă o aplicare generalizată a restricției la toate datele cu caracter personal ale solicitantului sau aplicarea permanentă a restricției. În ceea ce privește acest din urmă punct, este adesea necesar ca datele cu caracter personal colectate fără cunoștința persoanei vizate care are calitatea de suspect în cadrul unei anchete să fie protejate inițial împotriva divulgării lor, pentru a evita prejudicierea anchetei în timpul desfășurării anchetei, dar la o dată ulterioară nu ar exista niciun prejudiciu din cauza divulgării în cazul în care datele cu caracter personal ar fi fost divulgate persoanei fizice în timpul interviului. Forțele de poliție trebuie să adopte proceduri care să asigure aplicarea acestor restricții numai în măsura necesară și numai pe durata necesară” (127). Aceste orientări oferă, de asemenea, exemple de situații în care este probabil ca fiecare dintre restricții să fie aplicată (128).

126

127

128

| (69) | În plus, în ceea ce privește posibilitatea de a restricționa oricare dintre drepturile menționate mai sus pentru protecția „securității naționale”, un operator poate solicita un certificat semnat de un ministru din cadrul Cabinetului sau de procurorul general (sau de avocatul general pentru Scoția) care să ateste că restricționarea acestor drepturi este o măsură necesară și proporțională pentru protecția securității naționale (129). Guvernul Regatului Unit a emis orientări privind certificatele de securitate națională în temeiul DPA din 2018, care subliniază în special faptul că orice limitare a drepturilor persoanelor vizate în ceea ce privește protejarea securității naționale trebuie să fie proporțională și necesară (130) (pentru mai multe detalii privind certificatele de securitate națională, a se vedea considerentele 131-134). |
| --- | --- |

(69)

În plus, în ceea ce privește posibilitatea de a restricționa oricare dintre drepturile menționate mai sus pentru protecția „securității naționale”, un operator poate solicita un certificat semnat de un ministru din cadrul Cabinetului sau de procurorul general (sau de avocatul general pentru Scoția) care să ateste că restricționarea acestor drepturi este o măsură necesară și proporțională pentru protecția securității naționale (129). Guvernul Regatului Unit a emis orientări privind certificatele de securitate națională în temeiul DPA din 2018, care subliniază în special faptul că orice limitare a drepturilor persoanelor vizate în ceea ce privește protejarea securității naționale trebuie să fie proporțională și necesară (130) (pentru mai multe detalii privind certificatele de securitate națională, a se vedea considerentele 131-134).

129

130

| (70) | În plus, în cazul în care se aplică o restricție a dreptului unei persoane vizate, autoritatea competentă trebuie să informeze persoana vizată, fără întârzieri nejustificate, că drepturile sale au fost restricționate, motivele restricționării și căile de atac disponibile, cu excepția cazului în care furnizarea informațiilor respective ar submina motivul aplicării restricției (131). Ca o garanție suplimentară împotriva utilizării abuzive a restricțiilor, operatorul trebuie să înregistreze motivele restricționării informațiilor și să pună evidențele la dispoziția comisarului pentru informații, la cerere (132). |
| --- | --- |

(70)

În plus, în cazul în care se aplică o restricție a dreptului unei persoane vizate, autoritatea competentă trebuie să informeze persoana vizată, fără întârzieri nejustificate, că drepturile sale au fost restricționate, motivele restricționării și căile de atac disponibile, cu excepția cazului în care furnizarea informațiilor respective ar submina motivul aplicării restricției (131). Ca o garanție suplimentară împotriva utilizării abuzive a restricțiilor, operatorul trebuie să înregistreze motivele restricționării informațiilor și să pună evidențele la dispoziția comisarului pentru informații, la cerere (132).

131

132

| (71) | În cazul în care operatorul refuză să furnizeze informații suplimentare privind transparența, sau accesul, ori refuză o cerere de rectificare, ștergere sau restricționare a prelucrării, persoana fizică poate solicita comisarului pentru informații să investigheze dacă operatorul a utilizat restricția în mod legal (133). De asemenea, persoana vizată poate depune o plângere la comisarul pentru informații sau poate sesiza o instanță să oblige operatorul să dea curs cererii (134). |
| --- | --- |

(71)

În cazul în care operatorul refuză să furnizeze informații suplimentare privind transparența, sau accesul, ori refuză o cerere de rectificare, ștergere sau restricționare a prelucrării, persoana fizică poate solicita comisarului pentru informații să investigheze dacă operatorul a utilizat restricția în mod legal (133). De asemenea, persoana vizată poate depune o plângere la comisarul pentru informații sau poate sesiza o instanță să oblige operatorul să dea curs cererii (134).

133

134

2.4.7.2.   Procesul decizional automatizat

Procesul decizional automatizat

| (72) | Secțiunile 49 și 50 din DPA din 2018 reglementează drepturile legate de procesul decizional automatizat și, respectiv, garanțiile care trebuie aplicate (135). În mod similar cu articolul 11 din Directiva (UE) 2016/680, operatorul poate lua o decizie semnificativă bazată exclusiv pe prelucrarea automată a datelor cu caracter personal numai dacă acest lucru este prevăzut sau autorizat prin lege (136). O decizie este semnificativă dacă ar produce un efect juridic negativ asupra persoanei vizate sau ar afecta în mod semnificativ persoana vizată (137). |
| --- | --- |

(72)

Secțiunile 49 și 50 din DPA din 2018 reglementează drepturile legate de procesul decizional automatizat și, respectiv, garanțiile care trebuie aplicate (135). În mod similar cu articolul 11 din Directiva (UE) 2016/680, operatorul poate lua o decizie semnificativă bazată exclusiv pe prelucrarea automată a datelor cu caracter personal numai dacă acest lucru este prevăzut sau autorizat prin lege (136). O decizie este semnificativă dacă ar produce un efect juridic negativ asupra persoanei vizate sau ar afecta în mod semnificativ persoana vizată (137).

135

136

137

| (73) | În cazul în care operatorul este obligat sau autorizat prin lege să ia o decizie semnificativă, secțiunea 50 din DPA din 2018 prevede garanțiile care se vor aplica unei astfel de decizii (care este definită ca o „decizie semnificativă eligibilă”). În cel mai scurt timp posibil din punct de vedere practic, operatorul trebuie să informeze persoana vizată cu privire la luarea unei astfel de decizii. Persoana vizată poate apoi, în termen de o lună, să solicite operatorului să reexamineze decizia sau să ia o nouă decizie care nu se bazează exclusiv pe prelucrarea automată. Operatorul trebuie să analizeze cererea și să informeze persoana vizată cu privire la rezultatul acestei analize. DPA din 2018 conferă secretarului de stat competența de a adopta regulamente pentru garanții suplimentare (138). Până în prezent nu au fost adoptate astfel de regulamente. |
| --- | --- |

(73)

În cazul în care operatorul este obligat sau autorizat prin lege să ia o decizie semnificativă, secțiunea 50 din DPA din 2018 prevede garanțiile care se vor aplica unei astfel de decizii (care este definită ca o „decizie semnificativă eligibilă”). În cel mai scurt timp posibil din punct de vedere practic, operatorul trebuie să informeze persoana vizată cu privire la luarea unei astfel de decizii. Persoana vizată poate apoi, în termen de o lună, să solicite operatorului să reexamineze decizia sau să ia o nouă decizie care nu se bazează exclusiv pe prelucrarea automată. Operatorul trebuie să analizeze cererea și să informeze persoana vizată cu privire la rezultatul acestei analize. DPA din 2018 conferă secretarului de stat competența de a adopta regulamente pentru garanții suplimentare (138). Până în prezent nu au fost adoptate astfel de regulamente.

138

2.4.8.   Transferurile ulterioare

Transferurile ulterioare

| (74) | Nivelul de protecție acordat datelor cu caracter personal transferate de la o autoritate de aplicare a legii a unui stat membru către o autoritate de aplicare a legii din Regatul Unit nu trebuie să fie subminat de transferul suplimentar al acestor date către destinatari dintr-o țară terță. Astfel de „transferuri ulterioare”, care, din perspectiva unei autorități de aplicare a legii din Regatul Unit, constituie transferuri internaționale din Regatul Unit, ar trebui să fie permise numai în cazul în care destinatarul suplimentar din afara Regatului Unit intră el însuși sub incidența unor norme care asigură un nivel de protecție similar cu cel garantat în cadrul ordinii juridice a Regatului Unit. |
| --- | --- |

(74)

Nivelul de protecție acordat datelor cu caracter personal transferate de la o autoritate de aplicare a legii a unui stat membru către o autoritate de aplicare a legii din Regatul Unit nu trebuie să fie subminat de transferul suplimentar al acestor date către destinatari dintr-o țară terță. Astfel de „transferuri ulterioare”, care, din perspectiva unei autorități de aplicare a legii din Regatul Unit, constituie transferuri internaționale din Regatul Unit, ar trebui să fie permise numai în cazul în care destinatarul suplimentar din afara Regatului Unit intră el însuși sub incidența unor norme care asigură un nivel de protecție similar cu cel garantat în cadrul ordinii juridice a Regatului Unit.

| (75) | Regimul din Regatul Unit privind transferurile internaționale este reglementat de partea 3 capitolul 5 din DPA din 2018 (139) și reflectă abordarea adoptată în capitolul V din Directiva (UE) 2016/680. În special, pentru a transfera date cu caracter personal către o țară terță, o autoritate competentă trebuie să îndeplinească trei condiții: (a) transferul trebuie să fie necesar în scopul asigurării respectării legii; (b) transferul trebuie să se bazeze pe: (i) un regulament privind caracterul adecvat al nivelului de protecție în ceea ce privește țara terță, (ii) dacă nu se bazează pe un regulament privind caracterul adecvat al nivelului de protecție, existența unor garanții adecvate sau (iii) dacă nu se bazează pe o decizie privind caracterul adecvat al nivelului de protecție sau pe garanții adecvate, acesta trebuie să se întemeieze pe circumstanțe speciale: și (c) destinatarul transferului trebuie să fie: (i) o autoritate relevantă (și anume echivalentul unei autorități competente) din țara terță; (ii) o „organizație internațională relevantă”, de exemplu un organism internațional care îndeplinește funcții corespunzătoare oricăruia dintre scopurile de asigurare a respectării legii; sau (iii) o persoană, alta decât o autoritate relevantă, dar numai în cazul în care transferul este strict necesar pentru îndeplinirea unuia dintre scopurile de asigurare a respectării legii; niciunul dintre drepturile și libertățile fundamentale ale persoanei vizate în cauză nu prevalează în fața interesului public care necesită transferul; transferul datelor cu caracter personal către o autoritate relevantă din țara terță ar fi ineficient sau inadecvat; iar destinatarul este informat cu privire la scopurile în care datele pot fi prelucrate (140). |
| --- | --- |

(75)

Regimul din Regatul Unit privind transferurile internaționale este reglementat de partea 3 capitolul 5 din DPA din 2018 (139) și reflectă abordarea adoptată în capitolul V din Directiva (UE) 2016/680. În special, pentru a transfera date cu caracter personal către o țară terță, o autoritate competentă trebuie să îndeplinească trei condiții: (a) transferul trebuie să fie necesar în scopul asigurării respectării legii; (b) transferul trebuie să se bazeze pe: (i) un regulament privind caracterul adecvat al nivelului de protecție în ceea ce privește țara terță, (ii) dacă nu se bazează pe un regulament privind caracterul adecvat al nivelului de protecție, existența unor garanții adecvate sau (iii) dacă nu se bazează pe o decizie privind caracterul adecvat al nivelului de protecție sau pe garanții adecvate, acesta trebuie să se întemeieze pe circumstanțe speciale: și (c) destinatarul transferului trebuie să fie: (i) o autoritate relevantă (și anume echivalentul unei autorități competente) din țara terță; (ii) o „organizație internațională relevantă”, de exemplu un organism internațional care îndeplinește funcții corespunzătoare oricăruia dintre scopurile de asigurare a respectării legii; sau (iii) o persoană, alta decât o autoritate relevantă, dar numai în cazul în care transferul este strict necesar pentru îndeplinirea unuia dintre scopurile de asigurare a respectării legii; niciunul dintre drepturile și libertățile fundamentale ale persoanei vizate în cauză nu prevalează în fața interesului public care necesită transferul; transferul datelor cu caracter personal către o autoritate relevantă din țara terță ar fi ineficient sau inadecvat; iar destinatarul este informat cu privire la scopurile în care datele pot fi prelucrate (140).

139

140

| (76) | Secretarul de stat adoptă reglementări privind caracterul adecvat al nivelului de protecție în ceea ce privește o țară terță, un teritoriu sau un sector dintr-o țară terță, o organizație internațională sau o descriere (141) a țării, teritoriului, sectorului sau organizației respective. În ceea ce privește standardul care trebuie îndeplinit, secretarul de stat trebuie să evalueze dacă un astfel de teritoriu/sector sau o astfel de organizație asigură un nivel adecvat de protecție a datelor cu caracter personal. Secțiunea 74A punctul 4 din DPA din 2018 prevede că, în acest scop, secretarul de stat trebuie să ia în considerare o serie de elemente care le reflectă pe cele enumerate la articolul 36 din Directiva (UE) 2016/680 (142). În acest sens, de la încheierea perioadei de tranziție, partea 3 din DPA din 2018 constituie „legislație națională derivată din dreptul Uniunii” care, astfel cum s-a explicat, va fi interpretată de instanțele din Regatul Unit în conformitate cu jurisprudența relevantă a Curții de Justiție din perioada anterioară ieșirii Regatului Unit din Uniune și cu principiile generale ale dreptului Uniunii, întrucât acestea au produs efecte imediat înainte de încheierea perioadei de tranziție. Aceasta include standardul „echivalenței esențiale” care se va aplica, prin urmare, evaluărilor privind caracterul adecvat al nivelului de protecție efectuate de autoritățile Regatului Unit. |
| --- | --- |

(76)

Secretarul de stat adoptă reglementări privind caracterul adecvat al nivelului de protecție în ceea ce privește o țară terță, un teritoriu sau un sector dintr-o țară terță, o organizație internațională sau o descriere (141) a țării, teritoriului, sectorului sau organizației respective. În ceea ce privește standardul care trebuie îndeplinit, secretarul de stat trebuie să evalueze dacă un astfel de teritoriu/sector sau o astfel de organizație asigură un nivel adecvat de protecție a datelor cu caracter personal. Secțiunea 74A punctul 4 din DPA din 2018 prevede că, în acest scop, secretarul de stat trebuie să ia în considerare o serie de elemente care le reflectă pe cele enumerate la articolul 36 din Directiva (UE) 2016/680 (142). În acest sens, de la încheierea perioadei de tranziție, partea 3 din DPA din 2018 constituie „legislație națională derivată din dreptul Uniunii” care, astfel cum s-a explicat, va fi interpretată de instanțele din Regatul Unit în conformitate cu jurisprudența relevantă a Curții de Justiție din perioada anterioară ieșirii Regatului Unit din Uniune și cu principiile generale ale dreptului Uniunii, întrucât acestea au produs efecte imediat înainte de încheierea perioadei de tranziție. Aceasta include standardul „echivalenței esențiale” care se va aplica, prin urmare, evaluărilor privind caracterul adecvat al nivelului de protecție efectuate de autoritățile Regatului Unit.

141

142

| (77) | În ceea ce privește procedura, regulamentele fac obiectul cerințelor de procedură „generale” prevăzute în secțiunea 182 din DPA din 2018. În cadrul acestei proceduri, secretarul de stat trebuie să consulte comisarul pentru informații atunci când propune elaborarea unor viitoare regulamente ale Regatului Unit privind caracterul adecvat al nivelului de protecție (143). Odată adoptate de secretarul de stat, aceste regulamente sunt prezentate Parlamentului și fac obiectul procedurii de „rezoluție negativă”, în cadrul căreia ambele camere ale Parlamentului pot examina regulamentul și pot adopta o propunere de anulare a regulamentului în termen de 40 de zile (144). |
| --- | --- |

(77)

În ceea ce privește procedura, regulamentele fac obiectul cerințelor de procedură „generale” prevăzute în secțiunea 182 din DPA din 2018. În cadrul acestei proceduri, secretarul de stat trebuie să consulte comisarul pentru informații atunci când propune elaborarea unor viitoare regulamente ale Regatului Unit privind caracterul adecvat al nivelului de protecție (143). Odată adoptate de secretarul de stat, aceste regulamente sunt prezentate Parlamentului și fac obiectul procedurii de „rezoluție negativă”, în cadrul căreia ambele camere ale Parlamentului pot examina regulamentul și pot adopta o propunere de anulare a regulamentului în termen de 40 de zile (144).

143

144

| (78) | În conformitate cu secțiunea 74B punctul 1 din DPA din 2018, regulamentele privind caracterul adecvat al nivelului de protecție trebuie revizuite la intervale de cel mult patru ani, iar secretarul de stat trebuie să monitorizeze în permanență evoluțiile din țările terțe și la nivelul organizațiilor internaționale, care ar putea afecta deciziile de adoptare a unor regulamente privind caracterul adecvat al nivelului de protecție sau de modificare sau de revocare a unor astfel de regulamente. În cazul în care secretarul de stat constată că o anumită țară sau organizație nu mai asigură un nivel adecvat de protecție a datelor cu caracter personal, acesta trebuie, în măsura în care este necesar, să modifice sau să revoce regulamentele și să inițieze consultări cu țara terță sau cu organizația internațională în cauză pentru a remedia lipsa unui nivel adecvat de protecție. |
| --- | --- |

(78)

În conformitate cu secțiunea 74B punctul 1 din DPA din 2018, regulamentele privind caracterul adecvat al nivelului de protecție trebuie revizuite la intervale de cel mult patru ani, iar secretarul de stat trebuie să monitorizeze în permanență evoluțiile din țările terțe și la nivelul organizațiilor internaționale, care ar putea afecta deciziile de adoptare a unor regulamente privind caracterul adecvat al nivelului de protecție sau de modificare sau de revocare a unor astfel de regulamente. În cazul în care secretarul de stat constată că o anumită țară sau organizație nu mai asigură un nivel adecvat de protecție a datelor cu caracter personal, acesta trebuie, în măsura în care este necesar, să modifice sau să revoce regulamentele și să inițieze consultări cu țara terță sau cu organizația internațională în cauză pentru a remedia lipsa unui nivel adecvat de protecție.

| (79) | În mod similar cu prevederile articolului 37 din Directiva (UE) 2016/680, în absența unui regulament privind caracterul adecvat al nivelului de protecție, un transfer de date cu caracter personal în contextul sectorului asigurării respectării legii ar fi posibil atunci când sunt instituite garanții adecvate. Aceste garanții sunt asigurate fie prin (a) un act juridic obligatoriu care conține garanții adecvate pentru protecția datelor cu caracter personal, fie prin (b) o evaluare efectuată de operator care, după evaluarea tuturor circumstanțelor legate de transfer, concluzionează că există garanții adecvate pentru protecția datelor (145). În plus, atunci când transferurile se bazează pe garanții adecvate, DPA din 2018 prevede că, pe lângă rolul normal de supraveghere al ICO, autoritățile competente trebuie să furnizeze informații specifice cu privire la transferurile către ICO (146). |
| --- | --- |

(79)

În mod similar cu prevederile articolului 37 din Directiva (UE) 2016/680, în absența unui regulament privind caracterul adecvat al nivelului de protecție, un transfer de date cu caracter personal în contextul sectorului asigurării respectării legii ar fi posibil atunci când sunt instituite garanții adecvate. Aceste garanții sunt asigurate fie prin (a) un act juridic obligatoriu care conține garanții adecvate pentru protecția datelor cu caracter personal, fie prin (b) o evaluare efectuată de operator care, după evaluarea tuturor circumstanțelor legate de transfer, concluzionează că există garanții adecvate pentru protecția datelor (145). În plus, atunci când transferurile se bazează pe garanții adecvate, DPA din 2018 prevede că, pe lângă rolul normal de supraveghere al ICO, autoritățile competente trebuie să furnizeze informații specifice cu privire la transferurile către ICO (146).

145

146

| (80) | În cazul în care un transfer nu se bazează pe o decizie privind caracterul adecvat al nivelului de protecție sau pe garanții adecvate, acesta poate avea loc numai în anumite circumstanțe specificate, denumite „circumstanțe speciale” (147). Acest lucru este valabil atunci când transferul este necesar: (a) pentru protejarea intereselor vitale ale persoanei vizate sau ale unei alte persoane; (b) pentru protejarea intereselor legitime ale persoanei vizate; (c) pentru prevenirea unei amenințări imediate și grave la adresa securității publice a unei țări terțe; (d) în cazuri individuale, în oricare dintre scopurile de asigurare a respectării legii; sau (e) în cazuri individuale, în scopuri juridice (de exemplu, în legătură cu proceduri judiciare sau pentru obținerea de consultanță juridică) (148). Se poate observa că literele (d) și (e) nu se aplică dacă drepturile și libertățile persoanei vizate prevalează asupra interesului public în ceea ce privește transferul (149). Acest set de circumstanțe corespunde situațiilor și condițiilor specifice care se califică drept „derogări” în temeiul articolului 38 din Directiva (UE) 2016/680. |
| --- | --- |

(80)

În cazul în care un transfer nu se bazează pe o decizie privind caracterul adecvat al nivelului de protecție sau pe garanții adecvate, acesta poate avea loc numai în anumite circumstanțe specificate, denumite „circumstanțe speciale” (147). Acest lucru este valabil atunci când transferul este necesar: (a) pentru protejarea intereselor vitale ale persoanei vizate sau ale unei alte persoane; (b) pentru protejarea intereselor legitime ale persoanei vizate; (c) pentru prevenirea unei amenințări imediate și grave la adresa securității publice a unei țări terțe; (d) în cazuri individuale, în oricare dintre scopurile de asigurare a respectării legii; sau (e) în cazuri individuale, în scopuri juridice (de exemplu, în legătură cu proceduri judiciare sau pentru obținerea de consultanță juridică) (148). Se poate observa că literele (d) și (e) nu se aplică dacă drepturile și libertățile persoanei vizate prevalează asupra interesului public în ceea ce privește transferul (149). Acest set de circumstanțe corespunde situațiilor și condițiilor specifice care se califică drept „derogări” în temeiul articolului 38 din Directiva (UE) 2016/680.

147

148

149

| (81) | În aceste condiții, data, ora și motivul transferului, numele și orice altă informație pertinentă cu privire la destinatar, precum și o descriere a datelor cu caracter personal transferate trebuie să fie documentate și furnizate, la cerere, comisarului pentru informații (150). |
| --- | --- |

(81)

În aceste condiții, data, ora și motivul transferului, numele și orice altă informație pertinentă cu privire la destinatar, precum și o descriere a datelor cu caracter personal transferate trebuie să fie documentate și furnizate, la cerere, comisarului pentru informații (150).

150

| (82) | Secțiunea 78 din DPA din 2018 reglementează scenariul „transferurilor ulterioare”, și anume atunci când datele cu caracter personal care au fost transferate din Regatul Unit către o țară terță sunt transferate ulterior către o altă țară terță sau către o organizație internațională. În conformitate cu secțiunea 78 punctul 1, operatorul care efectuează transferul din Regatul Unit trebuie să impună în cadrul transferului o condiție ca datele să nu fie transferate ulterior către o țară terță fără autorizarea operatorului care efectuează transferul. În plus, în conformitate cu secțiunea 78 punctul 3 și în mod similar cu ceea ce se prevede la articolul 35 alineatul (1) litera (e) din Directiva (UE) 2016/680, în cazul în care o astfel de autorizație este necesară, se aplică o serie de cerințe de fond. Mai precis, atunci când decide dacă să autorizeze sau nu transferul, o autoritate competentă trebuie să se asigure că transferul ulterior este necesar în scopul asigurării respectării legii și ar trebui să ia în considerare, printre alți factori, (a) gravitatea circumstanțelor care au condus la cererea de autorizare, (b) scopul pentru care datele cu caracter personal au fost transferate inițial și (c) standardele de protecție a datelor cu caracter personal care se aplică în țara terță sau în organizația internațională către care ar urma să fie transferate datele cu caracter personal. |
| --- | --- |

(82)

Secțiunea 78 din DPA din 2018 reglementează scenariul „transferurilor ulterioare”, și anume atunci când datele cu caracter personal care au fost transferate din Regatul Unit către o țară terță sunt transferate ulterior către o altă țară terță sau către o organizație internațională. În conformitate cu secțiunea 78 punctul 1, operatorul care efectuează transferul din Regatul Unit trebuie să impună în cadrul transferului o condiție ca datele să nu fie transferate ulterior către o țară terță fără autorizarea operatorului care efectuează transferul. În plus, în conformitate cu secțiunea 78 punctul 3 și în mod similar cu ceea ce se prevede la articolul 35 alineatul (1) litera (e) din Directiva (UE) 2016/680, în cazul în care o astfel de autorizație este necesară, se aplică o serie de cerințe de fond. Mai precis, atunci când decide dacă să autorizeze sau nu transferul, o autoritate competentă trebuie să se asigure că transferul ulterior este necesar în scopul asigurării respectării legii și ar trebui să ia în considerare, printre alți factori, (a) gravitatea circumstanțelor care au condus la cererea de autorizare, (b) scopul pentru care datele cu caracter personal au fost transferate inițial și (c) standardele de protecție a datelor cu caracter personal care se aplică în țara terță sau în organizația internațională către care ar urma să fie transferate datele cu caracter personal.

| (83) | În plus, atunci când persoana vizată de un transfer ulterior din Regatul Unit a fost inițial transferată din Uniunea Europeană, se aplică garanții suplimentare. |
| --- | --- |

(83)

În plus, atunci când persoana vizată de un transfer ulterior din Regatul Unit a fost inițial transferată din Uniunea Europeană, se aplică garanții suplimentare.

| (84) | În primul rând, secțiunea 73 punctul 1 litera (b) din DPA din 2018 prevede – în mod similar cu articolul 35 alineatul (1) litera (c) din Directiva (UE) 2016/680 – că, în cazul în care datele cu caracter personal au fost transmise inițial sau puse în alt mod la dispoziția operatorului sau a unei alte autorități competente de către un stat membru, acel stat membru sau orice persoană cu sediul în statul membru respectiv care este o autoritate competentă în sensul Directivei (UE) 2016/680 trebuie să fi autorizat transferul în conformitate cu legislația statului membru. |
| --- | --- |

(84)

În primul rând, secțiunea 73 punctul 1 litera (b) din DPA din 2018 prevede – în mod similar cu articolul 35 alineatul (1) litera (c) din Directiva (UE) 2016/680 – că, în cazul în care datele cu caracter personal au fost transmise inițial sau puse în alt mod la dispoziția operatorului sau a unei alte autorități competente de către un stat membru, acel stat membru sau orice persoană cu sediul în statul membru respectiv care este o autoritate competentă în sensul Directivei (UE) 2016/680 trebuie să fi autorizat transferul în conformitate cu legislația statului membru.

| (85) | Cu toate acestea, în mod similar cu articolul 35 alineatul (2) din Directiva (UE) 2016/680, o astfel de autorizare nu este obligatorie atunci când (a) transferul este necesar pentru prevenirea unei amenințări imediate și grave la adresa securității publice a unui stat membru sau a unei țări terțe sau a intereselor fundamentale ale unui stat membru, iar (b) autorizarea nu poate fi obținută în timp util. În acest caz, autoritatea din statul membru care ar fi fost responsabilă de decizia de autorizare a transferului trebuie informată fără întârziere (151). |
| --- | --- |

(85)

Cu toate acestea, în mod similar cu articolul 35 alineatul (2) din Directiva (UE) 2016/680, o astfel de autorizare nu este obligatorie atunci când (a) transferul este necesar pentru prevenirea unei amenințări imediate și grave la adresa securității publice a unui stat membru sau a unei țări terțe sau a intereselor fundamentale ale unui stat membru, iar (b) autorizarea nu poate fi obținută în timp util. În acest caz, autoritatea din statul membru care ar fi fost responsabilă de decizia de autorizare a transferului trebuie informată fără întârziere (151).

151

| (86) | În al doilea rând, aceeași abordare se aplică în cazul datelor transferate inițial din Uniunea Europeană către Regatul Unit, apoi transferate ulterior de Regatul Unit către o țară terță care le-ar transfera ulterior unei alte țări terțe. În acest caz, în conformitate cu secțiunea 78 punctul 4, autoritatea competentă din Regatul Unit nu poate autoriza acest din urmă transfer, în temeiul articolului 78 alineatul (1), cu excepția cazului în care „statul membru [care a transferat inițial datele în cauză] sau orice persoană cu sediul în statul membru respectiv care este o autoritate competentă în sensul Directivei privind protecția datelor în materie de asigurare a respectării legii a autorizat transferul în conformitate cu dreptul statului membru”. Aceste garanții sunt importante, deoarece permit autorităților statelor membre să asigure continuitatea protecției, în conformitate cu legislația UE privind protecția datelor, de-a lungul „lanțului de transfer”. |
| --- | --- |

(86)

În al doilea rând, aceeași abordare se aplică în cazul datelor transferate inițial din Uniunea Europeană către Regatul Unit, apoi transferate ulterior de Regatul Unit către o țară terță care le-ar transfera ulterior unei alte țări terțe. În acest caz, în conformitate cu secțiunea 78 punctul 4, autoritatea competentă din Regatul Unit nu poate autoriza acest din urmă transfer, în temeiul articolului 78 alineatul (1), cu excepția cazului în care „statul membru [care a transferat inițial datele în cauză] sau orice persoană cu sediul în statul membru respectiv care este o autoritate competentă în sensul Directivei privind protecția datelor în materie de asigurare a respectării legii a autorizat transferul în conformitate cu dreptul statului membru”. Aceste garanții sunt importante, deoarece permit autorităților statelor membre să asigure continuitatea protecției, în conformitate cu legislația UE privind protecția datelor, de-a lungul „lanțului de transfer”.

| (87) | Acest nou cadru pentru transferurile internaționale a devenit aplicabil la sfârșitul perioadei de tranziție (152). Cu toate acestea, punctele 10-12 din anexa 21 (introduse prin regulamentele DPPC) prevăd că, la sfârșitul perioadei de tranziție, anumite transferuri de date cu caracter personal sunt tratate ca și cum s-ar baza pe regulamente privind caracterul adecvat al nivelului de protecție. Aceste transferuri includ transferurile către un stat membru, un stat AELS, o țară terță care face obiectul unei decizii a UE privind caracterul adecvat al nivelului de protecție la încheierea perioadei de tranziție, precum și teritoriul Gibraltarului. În consecință, transferurile către aceste țări pot continua la fel ca înainte de retragerea Regatului Unit din Uniune. După încheierea perioadei de tranziție, secretarul de stat trebuie să efectueze o revizuire a acestor constatări privind caracterul adecvat al nivelului de protecție pe o perioadă de patru ani, și anume până la sfârșitul lunii decembrie 2024. Potrivit explicației furnizate de autoritățile Regatului Unit, deși secretarul de stat trebuie să efectueze o astfel de revizuire până la sfârșitul lunii decembrie 2024, dispozițiile tranzitorii nu includ o dispoziție de caducitate, iar dispozițiile tranzitorii relevante nu vor înceta în mod automat să producă efecte dacă revizuirea nu este finalizată până la sfârșitul lunii decembrie 2024. |
| --- | --- |

(87)

Acest nou cadru pentru transferurile internaționale a devenit aplicabil la sfârșitul perioadei de tranziție (152). Cu toate acestea, punctele 10-12 din anexa 21 (introduse prin regulamentele DPPC) prevăd că, la sfârșitul perioadei de tranziție, anumite transferuri de date cu caracter personal sunt tratate ca și cum s-ar baza pe regulamente privind caracterul adecvat al nivelului de protecție. Aceste transferuri includ transferurile către un stat membru, un stat AELS, o țară terță care face obiectul unei decizii a UE privind caracterul adecvat al nivelului de protecție la încheierea perioadei de tranziție, precum și teritoriul Gibraltarului. În consecință, transferurile către aceste țări pot continua la fel ca înainte de retragerea Regatului Unit din Uniune. După încheierea perioadei de tranziție, secretarul de stat trebuie să efectueze o revizuire a acestor constatări privind caracterul adecvat al nivelului de protecție pe o perioadă de patru ani, și anume până la sfârșitul lunii decembrie 2024. Potrivit explicației furnizate de autoritățile Regatului Unit, deși secretarul de stat trebuie să efectueze o astfel de revizuire până la sfârșitul lunii decembrie 2024, dispozițiile tranzitorii nu includ o dispoziție de caducitate, iar dispozițiile tranzitorii relevante nu vor înceta în mod automat să producă efecte dacă revizuirea nu este finalizată până la sfârșitul lunii decembrie 2024.

152

2.4.9.   Responsabilitate

Responsabilitate

| (88) | Conform principiului responsabilității, autorităților publice care prelucrează date li se solicită să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a-și respecta în mod efectiv obligațiile în materie de protecție a datelor și pentru a putea demonstra această conformitate, în special autorității de supraveghere competente. |
| --- | --- |

(88)

Conform principiului responsabilității, autorităților publice care prelucrează date li se solicită să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a-și respecta în mod efectiv obligațiile în materie de protecție a datelor și pentru a putea demonstra această conformitate, în special autorității de supraveghere competente.

| (89) | Acest principiu este reflectat în secțiunea 56 din DPA din 2018, care introduce o obligație generală de responsabilitate pentru operator, și anume obligația de a pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura și a fi în măsură să demonstreze că prelucrarea datelor cu caracter personal respectă cerințele părții 3 din DPA din 2018. Măsurile puse în aplicare trebuie să fie revizuite și actualizate atunci când este necesar și, în cazul în care sunt proporționale în materie de prelucrare, trebuie să includă politici adecvate de protecție a datelor. |
| --- | --- |

(89)

Acest principiu este reflectat în secțiunea 56 din DPA din 2018, care introduce o obligație generală de responsabilitate pentru operator, și anume obligația de a pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura și a fi în măsură să demonstreze că prelucrarea datelor cu caracter personal respectă cerințele părții 3 din DPA din 2018. Măsurile puse în aplicare trebuie să fie revizuite și actualizate atunci când este necesar și, în cazul în care sunt proporționale în materie de prelucrare, trebuie să includă politici adecvate de protecție a datelor.

| (90) | În conformitate cu capitolul IV din Directiva (UE) 2016/680, secțiunile 55-71 din DPA din 2018 prevăd diferite mecanisme pentru a asigura responsabilitatea și pentru a permite operatorilor și persoanelor împuternicite de operatori să demonstreze conformitatea. În special, operatorii au obligația de a pune în aplicare măsuri de protecție a datelor începând cu momentul conceperii și în mod implicit, și anume de a se asigura că principiile privind protecția datelor sunt puse în aplicare în mod eficient și au obligația de a menține o evidență a tuturor categoriilor de activități de prelucrare aflate în responsabilitatea operatorului (inclusiv informații privind identitatea operatorului, datele de contact ale responsabilului cu protecția datelor, scopurile prelucrării, categoriile de destinatari ai divulgărilor și o descriere a categoriilor de persoane vizate și a categoriilor de date cu caracter personal), precum și de a păstra aceste evidențe la dispoziția comisarului pentru informații, la cerere. Operatorul și persoana împuternicită de operator trebuie, de asemenea, să înregistreze anumite operațiuni de prelucrare și să pună înregistrările la dispoziția comisarului pentru informații (153). De asemenea, operatorii au obligația specifică de a coopera cu comisarul pentru informații în vederea îndeplinirii sarcinilor acestuia. |
| --- | --- |

(90)

În conformitate cu capitolul IV din Directiva (UE) 2016/680, secțiunile 55-71 din DPA din 2018 prevăd diferite mecanisme pentru a asigura responsabilitatea și pentru a permite operatorilor și persoanelor împuternicite de operatori să demonstreze conformitatea. În special, operatorii au obligația de a pune în aplicare măsuri de protecție a datelor începând cu momentul conceperii și în mod implicit, și anume de a se asigura că principiile privind protecția datelor sunt puse în aplicare în mod eficient și au obligația de a menține o evidență a tuturor categoriilor de activități de prelucrare aflate în responsabilitatea operatorului (inclusiv informații privind identitatea operatorului, datele de contact ale responsabilului cu protecția datelor, scopurile prelucrării, categoriile de destinatari ai divulgărilor și o descriere a categoriilor de persoane vizate și a categoriilor de date cu caracter personal), precum și de a păstra aceste evidențe la dispoziția comisarului pentru informații, la cerere. Operatorul și persoana împuternicită de operator trebuie, de asemenea, să înregistreze anumite operațiuni de prelucrare și să pună înregistrările la dispoziția comisarului pentru informații (153). De asemenea, operatorii au obligația specifică de a coopera cu comisarul pentru informații în vederea îndeplinirii sarcinilor acestuia.

153

| (91) | De asemenea, DPA din 2018 stabilește cerințe suplimentare privind prelucrarea, care este posibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice. Printre acestea se numără obligația de a efectua evaluări ale impactului asupra protecției datelor și de a consulta comisarul pentru informații înainte de prelucrare, în cazul în care o astfel de evaluare indică faptul că prelucrarea ar genera un risc ridicat la adresa drepturilor și libertăților persoanelor fizice (în absența unor măsuri de atenuare a riscului). |
| --- | --- |

(91)

De asemenea, DPA din 2018 stabilește cerințe suplimentare privind prelucrarea, care este posibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice. Printre acestea se numără obligația de a efectua evaluări ale impactului asupra protecției datelor și de a consulta comisarul pentru informații înainte de prelucrare, în cazul în care o astfel de evaluare indică faptul că prelucrarea ar genera un risc ridicat la adresa drepturilor și libertăților persoanelor fizice (în absența unor măsuri de atenuare a riscului).

| (92) | În plus, operatorii trebuie să numească un responsabil cu protecția datelor, cu excepția cazului în care operatorul este o instanță judecătorească sau o altă autoritate judiciară, care acționează în exercițiul funcției sale judiciare (154). Operatorul trebuie să se asigure că responsabilul cu protecția datelor este implicat în toate aspectele legate de protecția datelor cu caracter personal, are resursele necesare și are acces la datele cu caracter personal și la operațiunile de prelucrare și își poate îndeplini sarcinile în mod independent. Sarcinile responsabilului cu protecția datelor sunt prevăzute în secțiunea 71 din DPA din 2018, inclusiv furnizarea de informații și consiliere, monitorizarea conformității, precum și cooperarea cu comisarul pentru informații și îndeplinirea rolului de punct de contact al acestuia. În îndeplinirea sarcinilor sale, responsabilul cu protecția datelor trebuie să țină seama de riscurile asociate operațiunilor de prelucrare, luând în considerare natura, domeniul de aplicare, contextul și scopurile prelucrării. |
| --- | --- |

(92)

În plus, operatorii trebuie să numească un responsabil cu protecția datelor, cu excepția cazului în care operatorul este o instanță judecătorească sau o altă autoritate judiciară, care acționează în exercițiul funcției sale judiciare (154). Operatorul trebuie să se asigure că responsabilul cu protecția datelor este implicat în toate aspectele legate de protecția datelor cu caracter personal, are resursele necesare și are acces la datele cu caracter personal și la operațiunile de prelucrare și își poate îndeplini sarcinile în mod independent. Sarcinile responsabilului cu protecția datelor sunt prevăzute în secțiunea 71 din DPA din 2018, inclusiv furnizarea de informații și consiliere, monitorizarea conformității, precum și cooperarea cu comisarul pentru informații și îndeplinirea rolului de punct de contact al acestuia. În îndeplinirea sarcinilor sale, responsabilul cu protecția datelor trebuie să țină seama de riscurile asociate operațiunilor de prelucrare, luând în considerare natura, domeniul de aplicare, contextul și scopurile prelucrării.

154

2.5.   Supraveghere și asigurarea respectării normelor

Supraveghere și asigurarea respectării normelor

2.5.1.   Supravegherea independentă

Supravegherea independentă

| (93) | Pentru a garanta și în practică un nivel adecvat de protecție a datelor, trebuie instituită o autoritate de supraveghere independentă care să aibă competența de a monitoriza și de a asigura respectarea normelor de protecție a datelor. Această autoritate trebuie să acționeze cu deplină independență și imparțialitate în îndeplinirea sarcinilor sale și în exercitarea competențelor sale. |
| --- | --- |

(93)

Pentru a garanta și în practică un nivel adecvat de protecție a datelor, trebuie instituită o autoritate de supraveghere independentă care să aibă competența de a monitoriza și de a asigura respectarea normelor de protecție a datelor. Această autoritate trebuie să acționeze cu deplină independență și imparțialitate în îndeplinirea sarcinilor sale și în exercitarea competențelor sale.

| (94) | În Regatul Unit, supravegherea și asigurarea respectării RGPD al Regatului Unit și a DPA din 2018 sunt efectuate de comisarul pentru informații (155). De asemenea, comisarul pentru informații supraveghează prelucrarea datelor cu caracter personal de către autoritățile competente care intră sub incidența părții 3 din DPA din 2018 (156). Comisarul pentru informații este o „întreprindere individuală” (Corporation Sole): o entitate juridică separată constituită dintr-o singură persoană. Comisarul pentru informații este sprijinit în activitatea sa de un birou. La 31 martie 2020, Biroul comisarului pentru informații avea 768 de angajați permanenți (157). Ministerul finanțator al comisarului pentru informații este Ministerul pentru Digitalizare, Cultură, Mass-Media și Sport (158). |
| --- | --- |

(94)

În Regatul Unit, supravegherea și asigurarea respectării RGPD al Regatului Unit și a DPA din 2018 sunt efectuate de comisarul pentru informații (155). De asemenea, comisarul pentru informații supraveghează prelucrarea datelor cu caracter personal de către autoritățile competente care intră sub incidența părții 3 din DPA din 2018 (156). Comisarul pentru informații este o „întreprindere individuală” (Corporation Sole): o entitate juridică separată constituită dintr-o singură persoană. Comisarul pentru informații este sprijinit în activitatea sa de un birou. La 31 martie 2020, Biroul comisarului pentru informații avea 768 de angajați permanenți (157). Ministerul finanțator al comisarului pentru informații este Ministerul pentru Digitalizare, Cultură, Mass-Media și Sport (158).

155

156

157

158

| (95) | Independența comisarului este stabilită în mod explicit la articolul 52 din RGPD al Regatului Unit, care reflectă cerințele prevăzute la articolul 52 alineatele (1)-(3) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (159). Comisarul trebuie să beneficieze de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu RGPD al Regatului Unit, să rămână independent de orice influență externă directă sau indirectă în legătură cu aceste sarcini și competențe și să nu solicite, nici să nu accepte instrucțiuni de la o parte externă. De asemenea, comisarul trebuie să se abțină de la a întreprinde acțiuni incompatibile cu atribuțiile sale, iar pe durata mandatului, nu desfășoară activități incompatibile, remunerate sau nu. |
| --- | --- |

(95)

Independența comisarului este stabilită în mod explicit la articolul 52 din RGPD al Regatului Unit, care reflectă cerințele prevăzute la articolul 52 alineatele (1)-(3) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (159). Comisarul trebuie să beneficieze de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu RGPD al Regatului Unit, să rămână independent de orice influență externă directă sau indirectă în legătură cu aceste sarcini și competențe și să nu solicite, nici să nu accepte instrucțiuni de la o parte externă. De asemenea, comisarul trebuie să se abțină de la a întreprinde acțiuni incompatibile cu atribuțiile sale, iar pe durata mandatului, nu desfășoară activități incompatibile, remunerate sau nu.

159

| (96) | Condițiile pentru numirea și revocarea comisarului pentru informații sunt prevăzute în anexa 12 la DPA din 2018. Comisarul pentru informații este numit de Regină la recomandarea Guvernului, în urma unui concurs general echitabil. Candidatul trebuie să dețină calificările, aptitudinile și competențele corespunzătoare. În conformitate cu Codul de guvernanță privind numirile publice (160), o listă de candidați care pot fi numiți este întocmită de un comitet consultativ de evaluare. Înainte ca secretarul de stat din cadrul Ministerului pentru Digitalizare, Cultură, Mass-Media și Sport să ia o decizie finală, comisia specială competentă din cadrul Parlamentului trebuie să efectueze un control prealabil numirii. Poziția Comitetului este făcută publică (161). |
| --- | --- |

(96)

Condițiile pentru numirea și revocarea comisarului pentru informații sunt prevăzute în anexa 12 la DPA din 2018. Comisarul pentru informații este numit de Regină la recomandarea Guvernului, în urma unui concurs general echitabil. Candidatul trebuie să dețină calificările, aptitudinile și competențele corespunzătoare. În conformitate cu Codul de guvernanță privind numirile publice (160), o listă de candidați care pot fi numiți este întocmită de un comitet consultativ de evaluare. Înainte ca secretarul de stat din cadrul Ministerului pentru Digitalizare, Cultură, Mass-Media și Sport să ia o decizie finală, comisia specială competentă din cadrul Parlamentului trebuie să efectueze un control prealabil numirii. Poziția Comitetului este făcută publică (161).

160

161

| (97) | Comisarul pentru informații are un mandat de până la șapte ani. Comisarul pentru informații poate fi revocat din funcție de Majestatea Sa în urma unei propuneri („address”) formulate de ambele camere ale Parlamentului (162). Nicio cerere de revocare a comisarului pentru informații nu poate fi prezentată niciunei camere a Parlamentului decât în cazul în care un ministru a prezentat un raport camerei respective în care afirmă că este convins că comisarul pentru informații este vinovat de comiterea unei abateri grave și/sau comisarul nu mai îndeplinește condițiile necesare pentru exercitarea funcțiilor sale (163). |
| --- | --- |

(97)

Comisarul pentru informații are un mandat de până la șapte ani. Comisarul pentru informații poate fi revocat din funcție de Majestatea Sa în urma unei propuneri („address”) formulate de ambele camere ale Parlamentului (162). Nicio cerere de revocare a comisarului pentru informații nu poate fi prezentată niciunei camere a Parlamentului decât în cazul în care un ministru a prezentat un raport camerei respective în care afirmă că este convins că comisarul pentru informații este vinovat de comiterea unei abateri grave și/sau comisarul nu mai îndeplinește condițiile necesare pentru exercitarea funcțiilor sale (163).

162

163

| (98) | Finanțarea comisarului pentru informații provine din trei surse: (i) taxele pentru protecția datelor plătite de operatori, care sunt stabilite prin regulamentele secretarului de stat (164) și se ridică la 85-90 % din bugetul anual al Biroului (165); (ii) grantul sub formă de ajutor care poate fi plătit de guvern comisarului pentru informații și este utilizat în principal pentru finanțarea cheltuielilor de funcționare ale comisarului pentru informații în ceea ce privește sarcinile care nu au legătură cu protecția datelor (166) și (iii) taxele percepute pentru servicii (167). În prezent, nu se percep astfel de taxe. |
| --- | --- |

(98)

Finanțarea comisarului pentru informații provine din trei surse: (i) taxele pentru protecția datelor plătite de operatori, care sunt stabilite prin regulamentele secretarului de stat (164) și se ridică la 85-90 % din bugetul anual al Biroului (165); (ii) grantul sub formă de ajutor care poate fi plătit de guvern comisarului pentru informații și este utilizat în principal pentru finanțarea cheltuielilor de funcționare ale comisarului pentru informații în ceea ce privește sarcinile care nu au legătură cu protecția datelor (166) și (iii) taxele percepute pentru servicii (167). În prezent, nu se percep astfel de taxe.

164

165

166

167

| (99) | Funcțiile generale ale comisarului pentru informații în ceea ce privește prelucrarea datelor cu caracter personal care intră sub incidența părții 3 din DPA din 2018 sunt prevăzute în anexa 13 la DPA din 2018. Sarcinile includ monitorizarea și punerea în aplicare a părții 3 din DPA din 2018, promovarea sensibilizării publicului, consilierea Parlamentului, a guvernului și a altor instituții cu privire la măsurile legislative și administrative, promovarea sensibilizării operatorilor și a persoanelor împuternicite de operatori cu privire la obligațiile ce le revin, furnizarea de informații unei persoane vizate cu privire la exercitarea drepturilor persoanei vizate și desfășurarea de anchete. Pentru a menține independența sistemului judiciar, comisarul pentru informații nu este autorizat să își exercite funcțiile în legătură cu prelucrarea datelor cu caracter personal de către o persoană care acționează în exercițiul unei funcții judiciare sau de către o instanță sau tribunal care acționează în exercițiul funcției sale judiciare. Cu toate acestea, supravegherea sistemului judiciar este asigurată de organisme specializate, abordate în continuare. |
| --- | --- |

(99)

Funcțiile generale ale comisarului pentru informații în ceea ce privește prelucrarea datelor cu caracter personal care intră sub incidența părții 3 din DPA din 2018 sunt prevăzute în anexa 13 la DPA din 2018. Sarcinile includ monitorizarea și punerea în aplicare a părții 3 din DPA din 2018, promovarea sensibilizării publicului, consilierea Parlamentului, a guvernului și a altor instituții cu privire la măsurile legislative și administrative, promovarea sensibilizării operatorilor și a persoanelor împuternicite de operatori cu privire la obligațiile ce le revin, furnizarea de informații unei persoane vizate cu privire la exercitarea drepturilor persoanei vizate și desfășurarea de anchete. Pentru a menține independența sistemului judiciar, comisarul pentru informații nu este autorizat să își exercite funcțiile în legătură cu prelucrarea datelor cu caracter personal de către o persoană care acționează în exercițiul unei funcții judiciare sau de către o instanță sau tribunal care acționează în exercițiul funcției sale judiciare. Cu toate acestea, supravegherea sistemului judiciar este asigurată de organisme specializate, abordate în continuare.

2.5.1.1   Asigurarea respectării normelor, inclusiv sancțiuni

Asigurarea respectării normelor, inclusiv sancțiuni

| (100) | Comisarul are competențe generale de investigare, de corecție, de autorizare și de consiliere în ceea ce privește prelucrarea datelor cu caracter personal cărora li se aplică partea 3 din DPA din 2018. Comisarul are competența de a notifica operatorul sau persoana împuternicită de operator cu privire la o presupusă încălcare a părții 3, de a emite avertismente în atenția unui operator sau a unei persoane împuternicite de operator cu privire la posibilitatea ca operațiunile de prelucrare prevăzute să încalce dispozițiile părții 3, precum și de a emite mustrări adresate unui operator sau unei persoane împuternicite de operator în cazul în care operațiunile de prelucrare au încălcat dispozițiile părții 3. În plus, din proprie inițiativă sau la cerere, comisarul poate emite avize adresate Parlamentului Regatului Unit, guvernului sau altor instituții și organisme, precum și publicului, cu privire la orice aspect legat de protecția datelor cu caracter personal (168). |
| --- | --- |

(100)

Comisarul are competențe generale de investigare, de corecție, de autorizare și de consiliere în ceea ce privește prelucrarea datelor cu caracter personal cărora li se aplică partea 3 din DPA din 2018. Comisarul are competența de a notifica operatorul sau persoana împuternicită de operator cu privire la o presupusă încălcare a părții 3, de a emite avertismente în atenția unui operator sau a unei persoane împuternicite de operator cu privire la posibilitatea ca operațiunile de prelucrare prevăzute să încalce dispozițiile părții 3, precum și de a emite mustrări adresate unui operator sau unei persoane împuternicite de operator în cazul în care operațiunile de prelucrare au încălcat dispozițiile părții 3. În plus, din proprie inițiativă sau la cerere, comisarul poate emite avize adresate Parlamentului Regatului Unit, guvernului sau altor instituții și organisme, precum și publicului, cu privire la orice aspect legat de protecția datelor cu caracter personal (168).

168

| (101) | În plus, comisarul are competența de:






  — | a ordona operatorului și persoanei împuternicite de operator (și, în anumite circumstanțe, oricărei alte persoane) să furnizeze informațiile necesare prin transmiterea unei notificări de informare („notificare de informare”) (169); |
| --- | --- | --- |

(101)

În plus, comisarul are competența de:

—

a ordona operatorului și persoanei împuternicite de operator (și, în anumite circumstanțe, oricărei alte persoane) să furnizeze informațiile necesare prin transmiterea unei notificări de informare („notificare de informare”) (169);

169

| — | a efectua investigații și audituri prin transmiterea unei notificări de evaluare, care poate impune operatorului sau persoanei împuternicite de operator să permită comisarului să intre în incinte specificate, să inspecteze sau să examineze documente sau echipamente, să intervieveze persoane care prelucrează date cu caracter personal în numele operatorului („notificare de evaluare”) (170); |
| --- | --- |

—

a efectua investigații și audituri prin transmiterea unei notificări de evaluare, care poate impune operatorului sau persoanei împuternicite de operator să permită comisarului să intre în incinte specificate, să inspecteze sau să examineze documente sau echipamente, să intervieveze persoane care prelucrează date cu caracter personal în numele operatorului („notificare de evaluare”) (170);

170

| — | a obține în alt mod acces la documente ale operatorilor și ale persoanelor împuternicite de operatori și acces la sediile acestora în conformitate cu secțiunea 154 din DPA din 2018 („competențe de intrare și de inspecție”); |
| --- | --- |

—

a obține în alt mod acces la documente ale operatorilor și ale persoanelor împuternicite de operatori și acces la sediile acestora în conformitate cu secțiunea 154 din DPA din 2018 („competențe de intrare și de inspecție”);

| — | a exercita competențe corective, inclusiv prin avertismente și mustrări sau a emite ordine prin intermediul unei notificări de executare, care impune operatorilor/persoanelor împuternicite de operatori să întreprindă sau să se abțină de la a întreprinde anumite măsuri („notificare de executare”) (171); precum și |
| --- | --- |

—

a exercita competențe corective, inclusiv prin avertismente și mustrări sau a emite ordine prin intermediul unei notificări de executare, care impune operatorilor/persoanelor împuternicite de operatori să întreprindă sau să se abțină de la a întreprinde anumite măsuri („notificare de executare”) (171); precum și

171

| — | a emite amenzi administrative sub forma unei notificări de sancționare („notificare de sancționare”) (172). |
| --- | --- |

—

a emite amenzi administrative sub forma unei notificări de sancționare („notificare de sancționare”) (172).

172

| (102) | Politica ICO privind acțiunile de reglementare stabilește circumstanțele în care comisarul va emite o notificare de informare, de evaluare, de executare și, respectiv, de sancționare (173). O notificare de executare poate impune cerințe pe care comisarul le consideră adecvate în scopul remedierii neîndeplinirii obligațiilor. O notificare de sancționare impune persoanei în cauză să plătească comisarului pentru informații o sumă specificată în notificare. O notificare de sancționare poate fi transmisă în cazul nerespectării anumitor dispoziții ale DPA din 2018 (174) sau poate fi transmisă unui operator sau unei persoane împuternicite de operator care nu a respectat o notificare de informare, o notificare de evaluare sau o notificare de executare. |
| --- | --- |

(102)

Politica ICO privind acțiunile de reglementare stabilește circumstanțele în care comisarul va emite o notificare de informare, de evaluare, de executare și, respectiv, de sancționare (173). O notificare de executare poate impune cerințe pe care comisarul le consideră adecvate în scopul remedierii neîndeplinirii obligațiilor. O notificare de sancționare impune persoanei în cauză să plătească comisarului pentru informații o sumă specificată în notificare. O notificare de sancționare poate fi transmisă în cazul nerespectării anumitor dispoziții ale DPA din 2018 (174) sau poate fi transmisă unui operator sau unei persoane împuternicite de operator care nu a respectat o notificare de informare, o notificare de evaluare sau o notificare de executare.

173

174

| (103) | Mai precis, atunci când stabilește dacă să transmită o notificare de sancționare unui operator sau unei persoane împuternicite de operator și cuantumul sancțiunii, comisarul pentru informații trebuie să aibă în vedere aspectele enumerate în secțiunea 155 punctul 3 din DPA din 2018, inclusiv natura și gravitatea situației de nerespectare, caracterul intenționat sau neglijent al nerespectării, orice acțiuni întreprinse de operator sau de persoana împuternicită de operator pentru a reduce prejudiciile suferite de persoanele vizate, gradul de responsabilitate al operatorului sau al persoanei împuternicite de operator (ținându-se seama de măsurile tehnice și organizatorice puse în aplicare de operator sau de persoana împuternicită de operator), eventuale încălcări anterioare relevante comise de operator sau de persoana împuternicită de operator; categoriile de date cu caracter personal afectate de situația de nerespectare și dacă sancțiunea ar fi eficace, proporțională și disuasivă. |
| --- | --- |

(103)

Mai precis, atunci când stabilește dacă să transmită o notificare de sancționare unui operator sau unei persoane împuternicite de operator și cuantumul sancțiunii, comisarul pentru informații trebuie să aibă în vedere aspectele enumerate în secțiunea 155 punctul 3 din DPA din 2018, inclusiv natura și gravitatea situației de nerespectare, caracterul intenționat sau neglijent al nerespectării, orice acțiuni întreprinse de operator sau de persoana împuternicită de operator pentru a reduce prejudiciile suferite de persoanele vizate, gradul de responsabilitate al operatorului sau al persoanei împuternicite de operator (ținându-se seama de măsurile tehnice și organizatorice puse în aplicare de operator sau de persoana împuternicită de operator), eventuale încălcări anterioare relevante comise de operator sau de persoana împuternicită de operator; categoriile de date cu caracter personal afectate de situația de nerespectare și dacă sancțiunea ar fi eficace, proporțională și disuasivă.

| (104) | Cuantumul maxim al sancțiunii care poate fi impusă printr-o notificare de sancționare este de (a) 17 500 000 GBP pentru nerespectarea principiilor privind protecția datelor (secțiunile 35, 36, 37, secțiunea 38 punctul 1, secțiunea 39 punctul 1 și secțiunea 40 din DPA din 2018), a obligațiilor de transparență și a drepturilor individuale (secțiunile 44, 45, 46, 47, 48, 49, 52 și 53 din DPA din 2018) și a principiilor privind transferurile internaționale de date cu caracter personal (secțiunile 73, 75, 76, 77 sau 78 din DPA din 2018); și (b) 8 700 000 GBP în caz contrar (175). În cazul nerespectării unei notificări de informare, a unei notificări de evaluare sau a unei notificări de executare, cuantumul maxim al sancțiunii care poate fi impusă printr-o notificare de sancționare este de 17 500 000 GBP. |
| --- | --- |

(104)

Cuantumul maxim al sancțiunii care poate fi impusă printr-o notificare de sancționare este de (a) 17 500 000 GBP pentru nerespectarea principiilor privind protecția datelor (secțiunile 35, 36, 37, secțiunea 38 punctul 1, secțiunea 39 punctul 1 și secțiunea 40 din DPA din 2018), a obligațiilor de transparență și a drepturilor individuale (secțiunile 44, 45, 46, 47, 48, 49, 52 și 53 din DPA din 2018) și a principiilor privind transferurile internaționale de date cu caracter personal (secțiunile 73, 75, 76, 77 sau 78 din DPA din 2018); și (b) 8 700 000 GBP în caz contrar (175). În cazul nerespectării unei notificări de informare, a unei notificări de evaluare sau a unei notificări de executare, cuantumul maxim al sancțiunii care poate fi impusă printr-o notificare de sancționare este de 17 500 000 GBP.

175

| (105) | Conform ultimelor sale rapoarte anuale [2018-2019 (176), 2019-2020 (177)], comisarul pentru informații a efectuat o serie de investigații în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile de asigurare a respectării dreptului penal. De exemplu, comisarul a efectuat o investigație și a publicat un aviz în octombrie 2019 în ceea ce privește utilizarea de către autoritățile de aplicare a legii a tehnologiei de recunoaștere facială în locuri publice. Investigația s-a axat cu precădere pe utilizarea capacităților de recunoaștere facială în direct de către poliția din sudul Țării Galilor și de către Serviciul de poliție metropolitană (MPS). În plus, comisarul a investigat „matricea Gangs” (178) a MPS și a constatat o serie de încălcări grave ale legislației privind protecția datelor, care erau de natură să submineze încrederea publicului în matrice și în utilizarea datelor. |
| --- | --- |

(105)

Conform ultimelor sale rapoarte anuale [2018-2019 (176), 2019-2020 (177)], comisarul pentru informații a efectuat o serie de investigații în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile de asigurare a respectării dreptului penal. De exemplu, comisarul a efectuat o investigație și a publicat un aviz în octombrie 2019 în ceea ce privește utilizarea de către autoritățile de aplicare a legii a tehnologiei de recunoaștere facială în locuri publice. Investigația s-a axat cu precădere pe utilizarea capacităților de recunoaștere facială în direct de către poliția din sudul Țării Galilor și de către Serviciul de poliție metropolitană (MPS). În plus, comisarul a investigat „matricea Gangs” (178) a MPS și a constatat o serie de încălcări grave ale legislației privind protecția datelor, care erau de natură să submineze încrederea publicului în matrice și în utilizarea datelor.

176

177

178

| (106) | În noiembrie 2018, comisarul pentru informații a emis o notificare de executare, iar ulterior MPS a luat măsurile necesare pentru a spori securitatea și responsabilitatea și pentru a se asigura că datele sunt utilizate în mod proporțional. |
| --- | --- |

(106)

În noiembrie 2018, comisarul pentru informații a emis o notificare de executare, iar ulterior MPS a luat măsurile necesare pentru a spori securitatea și responsabilitatea și pentru a se asigura că datele sunt utilizate în mod proporțional.

| (107) | Un alt exemplu de acțiune recentă de asigurare a respectării legii este amenda de 325 000 GBP aplicată ministerului public de către comisar în luna mai 2018, pentru pierderea unor DVD-uri necriptate care conțineau înregistrări ale interogatoriilor efectuate de poliție. Pe lângă acestea, comisarul pentru informații a desfășurat investigații cu privire la subiecte mai ample, de exemplu în prima jumătate a anului 2020, cu privire la utilizarea criminalisticii mobile în scopuri polițienești și la prelucrarea datelor victimelor de către poliție. |
| --- | --- |

(107)

Un alt exemplu de acțiune recentă de asigurare a respectării legii este amenda de 325 000 GBP aplicată ministerului public de către comisar în luna mai 2018, pentru pierderea unor DVD-uri necriptate care conțineau înregistrări ale interogatoriilor efectuate de poliție. Pe lângă acestea, comisarul pentru informații a desfășurat investigații cu privire la subiecte mai ample, de exemplu în prima jumătate a anului 2020, cu privire la utilizarea criminalisticii mobile în scopuri polițienești și la prelucrarea datelor victimelor de către poliție.

| (108) | Pe lângă competențele comisarului pentru informații în materie de asigurare a respectării legii, anumite încălcări ale legislației privind protecția datelor constituie infracțiuni și, prin urmare, pot face obiectul unor sancțiuni penale (secțiunea 196 din DPA din 2018). Acest lucru se aplică, de exemplu, obținerii sau divulgării datelor cu caracter personal fără consimțământul operatorului și permiterii divulgării datelor cu caracter personal unei alte persoane fără consimțământul operatorului (179); reidentificării informațiilor care sunt date cu caracter personal anonimizate fără consimțământul operatorului responsabil de anonimizarea datelor cu caracter personal (180); împiedicării intenționate a comisarului de a-și exercita competențele în ceea ce privește examinarea datelor cu caracter personal în conformitate cu obligațiile internaționale (181), prezentării de declarații false ca răspuns la o notificare de informare sau distrugerii informațiilor în legătură cu notificările de informare și de evaluare (182). |
| --- | --- |

(108)

Pe lângă competențele comisarului pentru informații în materie de asigurare a respectării legii, anumite încălcări ale legislației privind protecția datelor constituie infracțiuni și, prin urmare, pot face obiectul unor sancțiuni penale (secțiunea 196 din DPA din 2018). Acest lucru se aplică, de exemplu, obținerii sau divulgării datelor cu caracter personal fără consimțământul operatorului și permiterii divulgării datelor cu caracter personal unei alte persoane fără consimțământul operatorului (179); reidentificării informațiilor care sunt date cu caracter personal anonimizate fără consimțământul operatorului responsabil de anonimizarea datelor cu caracter personal (180); împiedicării intenționate a comisarului de a-și exercita competențele în ceea ce privește examinarea datelor cu caracter personal în conformitate cu obligațiile internaționale (181), prezentării de declarații false ca răspuns la o notificare de informare sau distrugerii informațiilor în legătură cu notificările de informare și de evaluare (182).

179

180

181

182

| (109) | În temeiul secțiunii 139 din DPA din 2018, comisarul pentru informații are, de asemenea, obligația de a prezenta în fața fiecărei camere a Parlamentului un raport general privind exercitarea funcțiilor sale în temeiul legii (183). |
| --- | --- |

(109)

În temeiul secțiunii 139 din DPA din 2018, comisarul pentru informații are, de asemenea, obligația de a prezenta în fața fiecărei camere a Parlamentului un raport general privind exercitarea funcțiilor sale în temeiul legii (183).

183

2.5.2.   Supravegherea sistemului judiciar

Supravegherea sistemului judiciar

| (110) | Supravegherea prelucrării datelor cu caracter personal de către instanțe și sistemul judiciar este dublă. În cazul în care un titular al unei funcții judiciare sau o instanță nu acționează în exercițiul unei funcții judiciare, supravegherea este asigurată de comisarul pentru informații. În cazul în care operatorul își desfășoară activitatea în exercițiul unei funcții judiciare, ICO nu își poate exercita funcțiile de supraveghere (184), iar supravegherea este efectuată de organisme speciale. Aceasta reflectă abordarea adoptată la articolul 32 din Directiva (UE) 2016/680. |
| --- | --- |

(110)

Supravegherea prelucrării datelor cu caracter personal de către instanțe și sistemul judiciar este dublă. În cazul în care un titular al unei funcții judiciare sau o instanță nu acționează în exercițiul unei funcții judiciare, supravegherea este asigurată de comisarul pentru informații. În cazul în care operatorul își desfășoară activitatea în exercițiul unei funcții judiciare, ICO nu își poate exercita funcțiile de supraveghere (184), iar supravegherea este efectuată de organisme speciale. Aceasta reflectă abordarea adoptată la articolul 32 din Directiva (UE) 2016/680.

184

| (111) | În special, în cel de al doilea scenariu, pentru instanțele din Anglia și Țara Galilor, precum și pentru Tribunalul de Primă Instanță și Tribunalul Superior din Anglia și Țara Galilor, această supraveghere este asigurată de Grupul pentru protecția datelor judiciare (185). În plus, președintele Curții Supreme (Lord Chief Justice) și președintele sistemului de tribunale (Senior President of Tribunals) au emis o declarație de confidențialitate (186) care stabilește modul în care instanțele din Anglia și Țara Galilor prelucrează datele cu caracter personal pentru o funcție judiciară. O declarație similară a fost emisă de autoritățile judiciare din Irlanda de Nord (187) și de cele din Scoția (188). |
| --- | --- |

(111)

În special, în cel de al doilea scenariu, pentru instanțele din Anglia și Țara Galilor, precum și pentru Tribunalul de Primă Instanță și Tribunalul Superior din Anglia și Țara Galilor, această supraveghere este asigurată de Grupul pentru protecția datelor judiciare (185). În plus, președintele Curții Supreme (Lord Chief Justice) și președintele sistemului de tribunale (Senior President of Tribunals) au emis o declarație de confidențialitate (186) care stabilește modul în care instanțele din Anglia și Țara Galilor prelucrează datele cu caracter personal pentru o funcție judiciară. O declarație similară a fost emisă de autoritățile judiciare din Irlanda de Nord (187) și de cele din Scoția (188).

185

186

187

188

| (112) | În plus, în Irlanda de Nord, președintele Curții Supreme din Irlanda de Nord a numit un judecător din cadrul Înaltei Curți în calitate de judecător în materie de supraveghere a datelor (DSJ – Data Supervisory Judge) (189). Aceștia au emis, de asemenea, orientări pentru sistemul judiciar din Irlanda de Nord cu privire la acțiunile care trebuie întreprinse în cazul unei pierderi sau potențiale pierderi de date și la procesul de abordare a oricăror probleme care decurg din acest fapt (190). |
| --- | --- |

(112)

În plus, în Irlanda de Nord, președintele Curții Supreme din Irlanda de Nord a numit un judecător din cadrul Înaltei Curți în calitate de judecător în materie de supraveghere a datelor (DSJ – Data Supervisory Judge) (189). Aceștia au emis, de asemenea, orientări pentru sistemul judiciar din Irlanda de Nord cu privire la acțiunile care trebuie întreprinse în cazul unei pierderi sau potențiale pierderi de date și la procesul de abordare a oricăror probleme care decurg din acest fapt (190).

189

190

| (113) | În Scoția, președintele Curții Supreme (Lord President) a numit un judecător în materie de supraveghere a datelor pentru a investiga orice plângeri pe motive de protecție a datelor. Acest fapt este prevăzut în normele privind plângerile judiciare, care le reflectă pe cele stabilite pentru Anglia și Țara Galilor (191). |
| --- | --- |

(113)

În Scoția, președintele Curții Supreme (Lord President) a numit un judecător în materie de supraveghere a datelor pentru a investiga orice plângeri pe motive de protecție a datelor. Acest fapt este prevăzut în normele privind plângerile judiciare, care le reflectă pe cele stabilite pentru Anglia și Țara Galilor (191).

191

| (114) | În cele din urmă, în cadrul Curții Supreme, unul dintre judecătorii Curții Supreme este desemnat să supravegheze protecția datelor. |
| --- | --- |

(114)

În cele din urmă, în cadrul Curții Supreme, unul dintre judecătorii Curții Supreme este desemnat să supravegheze protecția datelor.

2.5.3.   Căi de atac

Căi de atac

| (115) | Pentru a asigura o protecție adecvată și, în special, asigurarea respectării drepturilor individuale, persoanei vizate ar trebui să i se ofere căi de atac administrative și judiciare eficace, inclusiv despăgubiri pentru prejudiciile suferite. |
| --- | --- |

(115)

Pentru a asigura o protecție adecvată și, în special, asigurarea respectării drepturilor individuale, persoanei vizate ar trebui să i se ofere căi de atac administrative și judiciare eficace, inclusiv despăgubiri pentru prejudiciile suferite.

| (116) | În primul rând, o persoană vizată are dreptul de a depune o plângere la comisarul pentru informații, în cazul în care consideră că, în ceea ce privește datele cu caracter personal care o vizează, există o încălcare a părții 3 din DPA din 2018 (192). Astfel cum se descrie în considerentele 100 și 109, comisarul pentru informații are competența de a evalua conformitatea operatorului și a persoanei împuternicite de operator cu DPA din 2018, de a le impune sau de a se abține de la luarea măsurilor necesare în caz de nerespectare și de a impune amenzi. |
| --- | --- |

(116)

În primul rând, o persoană vizată are dreptul de a depune o plângere la comisarul pentru informații, în cazul în care consideră că, în ceea ce privește datele cu caracter personal care o vizează, există o încălcare a părții 3 din DPA din 2018 (192). Astfel cum se descrie în considerentele 100 și 109, comisarul pentru informații are competența de a evalua conformitatea operatorului și a persoanei împuternicite de operator cu DPA din 2018, de a le impune sau de a se abține de la luarea măsurilor necesare în caz de nerespectare și de a impune amenzi.

192

| (117) | În al doilea rând, DPA din 2018 prevede dreptul la o cale de atac împotriva comisarului pentru informații. În cazul în care comisarul nu „înregistrează progrese” (193) în ceea ce privește o plângere depusă de persoana vizată, reclamantul are acces la o cale de atac judiciară, deoarece acesta se poate adresa unui tribunal de primă instanță (194) pentru a obliga comisarul să ia măsurile adecvate pentru a răspunde plângerii sau pentru a informa reclamantul în legătură cu progresele înregistrate cu privire la plângere (195). În plus, orice persoană căreia i se transmite oricare dintre notificările de mai sus (notificare de informare, de evaluare, de executare sau de sancționare) din partea comisarului poate introduce o cale de atac în fața unui tribunal de primă instanță. În cazul în care tribunalul consideră că decizia comisarului nu este conformă cu legea sau că, în ceea ce privește comisarul pentru informații, acesta ar fi trebuit să își exercite puterea de apreciere în mod diferit, tribunalul trebuie să admită calea de atac sau să înlocuiască o altă notificare sau decizie pe care comisarul pentru informații ar fi putut să o emită sau să o adopte (196). |
| --- | --- |

(117)

În al doilea rând, DPA din 2018 prevede dreptul la o cale de atac împotriva comisarului pentru informații. În cazul în care comisarul nu „înregistrează progrese” (193) în ceea ce privește o plângere depusă de persoana vizată, reclamantul are acces la o cale de atac judiciară, deoarece acesta se poate adresa unui tribunal de primă instanță (194) pentru a obliga comisarul să ia măsurile adecvate pentru a răspunde plângerii sau pentru a informa reclamantul în legătură cu progresele înregistrate cu privire la plângere (195). În plus, orice persoană căreia i se transmite oricare dintre notificările de mai sus (notificare de informare, de evaluare, de executare sau de sancționare) din partea comisarului poate introduce o cale de atac în fața unui tribunal de primă instanță. În cazul în care tribunalul consideră că decizia comisarului nu este conformă cu legea sau că, în ceea ce privește comisarul pentru informații, acesta ar fi trebuit să își exercite puterea de apreciere în mod diferit, tribunalul trebuie să admită calea de atac sau să înlocuiască o altă notificare sau decizie pe care comisarul pentru informații ar fi putut să o emită sau să o adopte (196).

193

194

195

196

| (118) | În al treilea rând, persoanele fizice pot introduce o cale de atac împotriva operatorilor și a persoanelor împuternicite de operatori direct în fața instanțelor în temeiul secțiunii 167 din DPA din 2018. În cazul în care, la cererea unei persoane vizate, o instanță constată că a avut loc o încălcare a drepturilor persoanei vizate în temeiul legislației privind protecția datelor, instanța poate obliga operatorul în ceea ce privește prelucrarea, sau persoana împuternicită de operator care acționează în numele operatorului respectiv, să ia măsurile specificate în ordonanță sau să se abțină de la luarea măsurilor specificate în ordonanță. În plus, în temeiul secțiunii 169 din DPA din 2018, orice persoană care suferă un prejudiciu din cauza unei încălcări a unei cerințe prevăzute de legislația privind protecția datelor (inclusiv partea 3 din DPA din 2018), alta decât RGPD al Regatului Unit, are dreptul la despăgubiri din partea operatorului sau a persoanei împuternicite de operator pentru prejudiciul respectiv, cu excepția cazului în care operatorul sau persoana împuternicită de operator dovedește că operatorul sau persoana împuternicită de operator nu este responsabilă în niciun fel pentru evenimentul care a cauzat prejudiciul. Prejudiciul include atât pierderi financiare, cât și prejudicii care nu implică pierderi financiare, cum ar fi suferințele clinice. |
| --- | --- |

(118)

În al treilea rând, persoanele fizice pot introduce o cale de atac împotriva operatorilor și a persoanelor împuternicite de operatori direct în fața instanțelor în temeiul secțiunii 167 din DPA din 2018. În cazul în care, la cererea unei persoane vizate, o instanță constată că a avut loc o încălcare a drepturilor persoanei vizate în temeiul legislației privind protecția datelor, instanța poate obliga operatorul în ceea ce privește prelucrarea, sau persoana împuternicită de operator care acționează în numele operatorului respectiv, să ia măsurile specificate în ordonanță sau să se abțină de la luarea măsurilor specificate în ordonanță. În plus, în temeiul secțiunii 169 din DPA din 2018, orice persoană care suferă un prejudiciu din cauza unei încălcări a unei cerințe prevăzute de legislația privind protecția datelor (inclusiv partea 3 din DPA din 2018), alta decât RGPD al Regatului Unit, are dreptul la despăgubiri din partea operatorului sau a persoanei împuternicite de operator pentru prejudiciul respectiv, cu excepția cazului în care operatorul sau persoana împuternicită de operator dovedește că operatorul sau persoana împuternicită de operator nu este responsabilă în niciun fel pentru evenimentul care a cauzat prejudiciul. Prejudiciul include atât pierderi financiare, cât și prejudicii care nu implică pierderi financiare, cum ar fi suferințele clinice.

| (119) | În al patrulea rând, orice persoană care consideră că drepturile sale, inclusiv dreptul la viață privată și la protecția datelor, au fost încălcate de autoritățile publice, poate obține reparații în fața instanțelor din Regatul Unit în temeiul Legii privind drepturile omului din 1998. Operatorii în temeiul părții 3 din DPA din 2018, și anume autoritățile competente, sunt întotdeauna autorități publice în sensul Legii privind drepturile omului din 1998. O persoană care susține că o autoritate publică a acționat (sau propune să acționeze) într-un mod care este incompatibil cu un drept conferit prin convenție și, prin urmare, ilegal în temeiul secțiunii 6 punctul 1 din Legea privind drepturile omului din 1998 poate introduce o acțiune împotriva autorității respective în fața instanței sau a tribunalului competent(e) sau poate invoca drepturile în cauză în cadrul oricărei proceduri judiciare, atunci când este (sau ar fi) victimă a actului ilegal (197). |
| --- | --- |

(119)

În al patrulea rând, orice persoană care consideră că drepturile sale, inclusiv dreptul la viață privată și la protecția datelor, au fost încălcate de autoritățile publice, poate obține reparații în fața instanțelor din Regatul Unit în temeiul Legii privind drepturile omului din 1998. Operatorii în temeiul părții 3 din DPA din 2018, și anume autoritățile competente, sunt întotdeauna autorități publice în sensul Legii privind drepturile omului din 1998. O persoană care susține că o autoritate publică a acționat (sau propune să acționeze) într-un mod care este incompatibil cu un drept conferit prin convenție și, prin urmare, ilegal în temeiul secțiunii 6 punctul 1 din Legea privind drepturile omului din 1998 poate introduce o acțiune împotriva autorității respective în fața instanței sau a tribunalului competent(e) sau poate invoca drepturile în cauză în cadrul oricărei proceduri judiciare, atunci când este (sau ar fi) victimă a actului ilegal (197).

197

| (120) | În cazul în care constată că un act al unei autorități publice este ilegal, instanța poate admite o astfel de reparație sau cale de atac sau poate dispune, în limitele competențelor sale, după cum consideră corect și adecvat (198). De asemenea, instanța poate declara că o dispoziție de drept primar este incompatibilă cu un drept garantat în temeiul CEDO. |
| --- | --- |

(120)

În cazul în care constată că un act al unei autorități publice este ilegal, instanța poate admite o astfel de reparație sau cale de atac sau poate dispune, în limitele competențelor sale, după cum consideră corect și adecvat (198). De asemenea, instanța poate declara că o dispoziție de drept primar este incompatibilă cu un drept garantat în temeiul CEDO.

198

| (121) | În cele din urmă, după epuizarea căilor de atac naționale, o persoană poate obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate de CEDO. |
| --- | --- |

(121)

În cele din urmă, după epuizarea căilor de atac naționale, o persoană poate obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate de CEDO.

2.6.   Transferul ulterior

Transferul ulterior

| (122) | Legislația Regatului Unit autorizează schimbul de date dintre o autoritate de aplicare a legii și alte autorități ale Regatului Unit în alte scopuri decât cele pentru care au fost colectate inițial (așa-numita „comunicare ulterioară”), sub rezerva anumitor condiții. |
| --- | --- |

(122)

Legislația Regatului Unit autorizează schimbul de date dintre o autoritate de aplicare a legii și alte autorități ale Regatului Unit în alte scopuri decât cele pentru care au fost colectate inițial (așa-numita „comunicare ulterioară”), sub rezerva anumitor condiții.

| (123) | În mod similar prevederilor de la articolul 4 alineatul (2) din Directiva (UE) 2016/680, secțiunea 36 punctul 3 din DPA din 2018 permite ca datele cu caracter personal colectate de o autoritate competentă în scopul asigurării respectării legii să poată fi prelucrate în continuare (fie de către operatorul inițial, fie de către un alt operator) în orice alt scop de asigurare a respectării legii, cu condiția ca operatorul să fie autorizat prin lege să prelucreze date în celălalt scop, iar prelucrarea să fie necesară și proporțională (199). În acest caz, toate garanțiile prevăzute în partea 3 din DPA din 2018 și analizate mai sus se aplică prelucrării efectuate de autoritatea destinatară. |
| --- | --- |

(123)

În mod similar prevederilor de la articolul 4 alineatul (2) din Directiva (UE) 2016/680, secțiunea 36 punctul 3 din DPA din 2018 permite ca datele cu caracter personal colectate de o autoritate competentă în scopul asigurării respectării legii să poată fi prelucrate în continuare (fie de către operatorul inițial, fie de către un alt operator) în orice alt scop de asigurare a respectării legii, cu condiția ca operatorul să fie autorizat prin lege să prelucreze date în celălalt scop, iar prelucrarea să fie necesară și proporțională (199). În acest caz, toate garanțiile prevăzute în partea 3 din DPA din 2018 și analizate mai sus se aplică prelucrării efectuate de autoritatea destinatară.

199

| (124) | În ordinea juridică a Regatului Unit, diferite legi permit în mod explicit transferul ulterior. În special, (i) Legea privind economia digitală din 2017 permite schimbul de informații între autoritățile publice în mai multe scopuri, de exemplu în cazul oricărei fraude asupra sectorului public care ar implica pierderi sau un risc de pierdere pentru autoritățile publice (200) sau în cazul unei datorii către o autoritate publică sau către Coroană (201); (ii) Legea privind criminalitatea și instanțele din 2013, care permite schimbul de informații cu Agenția Națională pentru Combaterea Criminalității (NCA – National Crime Agency) (202) pentru combaterea, investigarea și urmărirea penală a infracțiunilor grave și a criminalității organizate; (iii) Legea privind formele grave de criminalitate din 2007, care permite autorităților publice să divulge informații organizațiilor antifraudă în scopul prevenirii fraudei (203). |
| --- | --- |

(124)

În ordinea juridică a Regatului Unit, diferite legi permit în mod explicit transferul ulterior. În special, (i) Legea privind economia digitală din 2017 permite schimbul de informații între autoritățile publice în mai multe scopuri, de exemplu în cazul oricărei fraude asupra sectorului public care ar implica pierderi sau un risc de pierdere pentru autoritățile publice (200) sau în cazul unei datorii către o autoritate publică sau către Coroană (201); (ii) Legea privind criminalitatea și instanțele din 2013, care permite schimbul de informații cu Agenția Națională pentru Combaterea Criminalității (NCA – National Crime Agency) (202) pentru combaterea, investigarea și urmărirea penală a infracțiunilor grave și a criminalității organizate; (iii) Legea privind formele grave de criminalitate din 2007, care permite autorităților publice să divulge informații organizațiilor antifraudă în scopul prevenirii fraudei (203).

200

201

202

203

| (125) | Aceste legi prevăd în mod explicit că schimbul de informații ar trebui să fie în conformitate cu principiile stabilite în DPA din 2018. În plus, Colegiul de Poliție (College of Policing) a emis practici profesionale autorizate privind schimbul de informații (Authorised Professional Practice on Information Sharing) (204) pentru a ajuta poliția să își respecte obligațiile în materie de protecție a datelor în temeiul RGPD al Regatului Unit, al DPA și al Legii privind drepturile omului din 1998. Conformitatea schimbului de informații cu cadrul juridic aplicabil în materie de protecție a datelor poate fi, desigur, supusă controlului jurisdicțional (205). |
| --- | --- |

(125)

Aceste legi prevăd în mod explicit că schimbul de informații ar trebui să fie în conformitate cu principiile stabilite în DPA din 2018. În plus, Colegiul de Poliție (College of Policing) a emis practici profesionale autorizate privind schimbul de informații (Authorised Professional Practice on Information Sharing) (204) pentru a ajuta poliția să își respecte obligațiile în materie de protecție a datelor în temeiul RGPD al Regatului Unit, al DPA și al Legii privind drepturile omului din 1998. Conformitatea schimbului de informații cu cadrul juridic aplicabil în materie de protecție a datelor poate fi, desigur, supusă controlului jurisdicțional (205).

204

205

| (126) | În plus, în mod similar prevederilor de la articolul 9 din Directiva (UE) 2016/680, DPA din 2018 prevede că datele cu caracter personal colectate în orice scop de asigurare a respectării legii pot fi prelucrate într-un scop care nu este unul de asigurare a respectării legii atunci când prelucrarea este autorizată prin lege (206). Acest tip de schimb de informații se referă la două scenarii: 1) atunci când o autoritate de asigurare a respectării dreptului penal face schimb de date cu o autoritate de asigurare a respectării dreptului nepenal, alta decât o agenție de informații (cum ar fi, de exemplu, o autoritate financiară sau fiscală, o autoritate de concurență, un oficiu de asistență pentru bunăstarea tinerilor); 2) atunci când o autoritate de asigurare a respectării dreptului penal face schimb de date cu o agenție de informații. În primul scenariu, prelucrarea datelor cu caracter personal va intra sub incidența RGPD al Regatului Unit, precum și a părții 2 din DPA din 2018. Astfel cum se specifică în decizia adoptată în temeiul Regulamentului (UE) 2016/679, garanțiile prevăzute de RGPD al Regatului Unit și de partea 2 din DPA din 2018 oferă un nivel de protecție care este în esență echivalent cu cel oferit în Uniune (207). |
| --- | --- |

(126)

În plus, în mod similar prevederilor de la articolul 9 din Directiva (UE) 2016/680, DPA din 2018 prevede că datele cu caracter personal colectate în orice scop de asigurare a respectării legii pot fi prelucrate într-un scop care nu este unul de asigurare a respectării legii atunci când prelucrarea este autorizată prin lege (206). Acest tip de schimb de informații se referă la două scenarii: 1) atunci când o autoritate de asigurare a respectării dreptului penal face schimb de date cu o autoritate de asigurare a respectării dreptului nepenal, alta decât o agenție de informații (cum ar fi, de exemplu, o autoritate financiară sau fiscală, o autoritate de concurență, un oficiu de asistență pentru bunăstarea tinerilor); 2) atunci când o autoritate de asigurare a respectării dreptului penal face schimb de date cu o agenție de informații. În primul scenariu, prelucrarea datelor cu caracter personal va intra sub incidența RGPD al Regatului Unit, precum și a părții 2 din DPA din 2018. Astfel cum se specifică în decizia adoptată în temeiul Regulamentului (UE) 2016/679, garanțiile prevăzute de RGPD al Regatului Unit și de partea 2 din DPA din 2018 oferă un nivel de protecție care este în esență echivalent cu cel oferit în Uniune (207).

206

207

| (127) | În al doilea scenariu, în ceea ce privește schimbul de date colectate între o autoritate de asigurare a respectării dreptului penal și o agenție de informații în scopuri de securitate națională, temeiul juridic care autorizează un astfel de schimb este Counter Terrorism Act 2008 (Legea privind combaterea terorismului din 2008) (CTA din 2008) (208). În temeiul CTA din 2008, orice persoană poate furniza informații oricărui serviciu de informații în scopul îndeplinirii oricăreia dintre funcțiile serviciului respectiv, inclusiv „securitatea națională”. |
| --- | --- |

(127)

În al doilea scenariu, în ceea ce privește schimbul de date colectate între o autoritate de asigurare a respectării dreptului penal și o agenție de informații în scopuri de securitate națională, temeiul juridic care autorizează un astfel de schimb este Counter Terrorism Act 2008 (Legea privind combaterea terorismului din 2008) (CTA din 2008) (208). În temeiul CTA din 2008, orice persoană poate furniza informații oricărui serviciu de informații în scopul îndeplinirii oricăreia dintre funcțiile serviciului respectiv, inclusiv „securitatea națională”.

208

| (128) | În ceea ce privește condițiile în care datele pot fi partajate în scopuri de securitate națională, Intelligence Services Act (Legea privind serviciile de informații) și Security Services Act (Legea privind serviciile de securitate) limitează capacitatea serviciilor de informații de a obține date la ceea ce este necesar pentru îndeplinirea funcțiilor lor legale. Autoritățile competente, care intră sub incidența părții 3 din DPA din 2018 și care doresc să facă schimb de date cu serviciile de informații vor trebui să ia în considerare o serie de factori/limitări, pe lângă funcțiile statutare ale agențiilor prevăzute în Legea privind serviciile de informații și în Legea privind serviciile de securitate (209). Secțiunea 20 din CTA din 2008 clarifică faptul că orice schimb de date în temeiul secțiunii 19 din CTA din 2008 trebuie să respecte în continuare legislația privind protecția datelor, ceea ce înseamnă că se aplică toate limitările și cerințele prevăzute în DPA din 2018. În plus, autoritățile de aplicare a legii și serviciile de informații sunt autorități publice în sensul Legii privind drepturile omului din 1998, iar acestea trebuie să se asigure că acționează în conformitate cu drepturile conferite în temeiul CEDO, inclusiv cu articolul 8. Cu alte cuvinte, aceste cerințe înseamnă că toate schimburile de date între agențiile de aplicare a legii și serviciile de informații trebuie să respecte legislația privind protecția datelor și Convenția europeană a drepturilor omului. |
| --- | --- |

(128)

În ceea ce privește condițiile în care datele pot fi partajate în scopuri de securitate națională, Intelligence Services Act (Legea privind serviciile de informații) și Security Services Act (Legea privind serviciile de securitate) limitează capacitatea serviciilor de informații de a obține date la ceea ce este necesar pentru îndeplinirea funcțiilor lor legale. Autoritățile competente, care intră sub incidența părții 3 din DPA din 2018 și care doresc să facă schimb de date cu serviciile de informații vor trebui să ia în considerare o serie de factori/limitări, pe lângă funcțiile statutare ale agențiilor prevăzute în Legea privind serviciile de informații și în Legea privind serviciile de securitate (209). Secțiunea 20 din CTA din 2008 clarifică faptul că orice schimb de date în temeiul secțiunii 19 din CTA din 2008 trebuie să respecte în continuare legislația privind protecția datelor, ceea ce înseamnă că se aplică toate limitările și cerințele prevăzute în DPA din 2018. În plus, autoritățile de aplicare a legii și serviciile de informații sunt autorități publice în sensul Legii privind drepturile omului din 1998, iar acestea trebuie să se asigure că acționează în conformitate cu drepturile conferite în temeiul CEDO, inclusiv cu articolul 8. Cu alte cuvinte, aceste cerințe înseamnă că toate schimburile de date între agențiile de aplicare a legii și serviciile de informații trebuie să respecte legislația privind protecția datelor și Convenția europeană a drepturilor omului.

209

| (129) | Prelucrarea de către serviciile de informații a datelor cu caracter personal primite sau obținute de la autoritățile de aplicare a legii în scopuri de securitate națională face obiectul unei serii de condiții și garanții (210). Partea 4 din DPA din 2018 se aplică tuturor prelucrărilor efectuate de serviciile de informații sau în numele acestora. Aceasta stabilește principalele principii privind protecția datelor (legalitate, echitate și transparență (211); limitări legate de scop (212); reducerea la minimum a datelor (213); exactitate (214); limitări legate de stocare (215) și securitate (216), impune condiții pentru prelucrarea categoriilor speciale de date (217), prevede drepturi ale persoanelor vizate (218), impune protecția datelor începând cu momentul conceperii (219) și reglementează transferurile internaționale de date cu caracter personal (220). |
| --- | --- |

(129)

Prelucrarea de către serviciile de informații a datelor cu caracter personal primite sau obținute de la autoritățile de aplicare a legii în scopuri de securitate națională face obiectul unei serii de condiții și garanții (210). Partea 4 din DPA din 2018 se aplică tuturor prelucrărilor efectuate de serviciile de informații sau în numele acestora. Aceasta stabilește principalele principii privind protecția datelor (legalitate, echitate și transparență (211); limitări legate de scop (212); reducerea la minimum a datelor (213); exactitate (214); limitări legate de stocare (215) și securitate (216), impune condiții pentru prelucrarea categoriilor speciale de date (217), prevede drepturi ale persoanelor vizate (218), impune protecția datelor începând cu momentul conceperii (219) și reglementează transferurile internaționale de date cu caracter personal (220).

210

211

212

213

214

215

216

217

218

219

220

| (130) | În același timp, secțiunea 110 din DPA din 2018 prevede o derogare de la dispozițiile specificate în partea 4 din DPA din 2018, în cazul în care o astfel de derogare este necesară pentru protejarea securității naționale. Secțiunea 110 punctul 2 din DPA din 2018 enumeră dispozițiile de la care se permite o derogare. Aceasta include principiile privind protecția datelor (cu excepția principiului legalității), drepturile persoanei vizate, obligația de a informa comisarul pentru informații cu privire la o încălcare a securității datelor, competențele de inspecție ale comisarului pentru informații în conformitate cu obligațiile internaționale, anumite competențe ale comisarului pentru informații în materie de asigurare a respectării legii, dispozițiile care fac din anumite încălcări ale protecției datelor o infracțiune, precum și dispozițiile referitoare la scopurile speciale ale prelucrării, cum ar fi scopurile jurnalistice, academice sau artistice. Această derogare poate fi invocată pe baza unei analize de la caz la caz (221). Astfel cum au explicat autoritățile Regatului Unit și după cum este confirmat de jurisprudența instanțelor Regatului Unit, „(a) un operator trebuie să ia în considerare consecințele reale pentru securitatea națională sau apărare dacă ar trebui să respecte dispoziția specifică privind protecția datelor și dacă ar putea respecta în mod rezonabil regula obișnuită fără a afecta securitatea națională sau apărarea” (222). Utilizarea corespunzătoare sau necorespunzătoare a derogării face obiectul supravegherii ICO (223). |
| --- | --- |

(130)

În același timp, secțiunea 110 din DPA din 2018 prevede o derogare de la dispozițiile specificate în partea 4 din DPA din 2018, în cazul în care o astfel de derogare este necesară pentru protejarea securității naționale. Secțiunea 110 punctul 2 din DPA din 2018 enumeră dispozițiile de la care se permite o derogare. Aceasta include principiile privind protecția datelor (cu excepția principiului legalității), drepturile persoanei vizate, obligația de a informa comisarul pentru informații cu privire la o încălcare a securității datelor, competențele de inspecție ale comisarului pentru informații în conformitate cu obligațiile internaționale, anumite competențe ale comisarului pentru informații în materie de asigurare a respectării legii, dispozițiile care fac din anumite încălcări ale protecției datelor o infracțiune, precum și dispozițiile referitoare la scopurile speciale ale prelucrării, cum ar fi scopurile jurnalistice, academice sau artistice. Această derogare poate fi invocată pe baza unei analize de la caz la caz (221). Astfel cum au explicat autoritățile Regatului Unit și după cum este confirmat de jurisprudența instanțelor Regatului Unit, „(a) un operator trebuie să ia în considerare consecințele reale pentru securitatea națională sau apărare dacă ar trebui să respecte dispoziția specifică privind protecția datelor și dacă ar putea respecta în mod rezonabil regula obișnuită fără a afecta securitatea națională sau apărarea” (222). Utilizarea corespunzătoare sau necorespunzătoare a derogării face obiectul supravegherii ICO (223).

221

222

223

| (131) | În plus, în ceea ce privește posibilitatea de a restricționa oricare dintre drepturile menționate anterior pentru protecția „securității naționale”, secțiunea 79 din DPA din 2018 prevede posibilitatea ca un operator să poată solicita un certificat semnat de un ministru din cadrul Cabinetului sau de procurorul general, care să ateste că restricționarea acestor drepturi este o măsură necesară și proporțională pentru protecția securității naționale (224). Guvernul Regatului Unit a emis orientări privind certificatele de securitate națională în temeiul DPA din 2018, care subliniază în special faptul că orice limitare a drepturilor persoanelor vizate în ceea ce privește protejarea securității naționale trebuie să fie proporțională și necesară (225). Toate certificatele de securitate națională trebuie publicate pe site-ul internet al ICO (226). |
| --- | --- |

(131)

În plus, în ceea ce privește posibilitatea de a restricționa oricare dintre drepturile menționate anterior pentru protecția „securității naționale”, secțiunea 79 din DPA din 2018 prevede posibilitatea ca un operator să poată solicita un certificat semnat de un ministru din cadrul Cabinetului sau de procurorul general, care să ateste că restricționarea acestor drepturi este o măsură necesară și proporțională pentru protecția securității naționale (224). Guvernul Regatului Unit a emis orientări privind certificatele de securitate națională în temeiul DPA din 2018, care subliniază în special faptul că orice limitare a drepturilor persoanelor vizate în ceea ce privește protejarea securității naționale trebuie să fie proporțională și necesară (225). Toate certificatele de securitate națională trebuie publicate pe site-ul internet al ICO (226).

224

225

226

| (132) | Certificatul ar trebui să fie emis pe o durată determinată de maximum cinci ani, astfel încât să fie revizuit periodic de către executiv (227). Certificatul identifică datele cu caracter personal sau categoriile de date cu caracter personal care fac obiectul derogării, precum și dispozițiile DPA din 2018 cărora li se aplică derogarea (228). |
| --- | --- |

(132)

Certificatul ar trebui să fie emis pe o durată determinată de maximum cinci ani, astfel încât să fie revizuit periodic de către executiv (227). Certificatul identifică datele cu caracter personal sau categoriile de date cu caracter personal care fac obiectul derogării, precum și dispozițiile DPA din 2018 cărora li se aplică derogarea (228).

227

228

| (133) | Este important de remarcat faptul că certificatele de securitate națională nu oferă un temei suplimentar pentru restricționarea drepturilor privind protecția datelor din motive de securitate națională. Cu alte cuvinte, operatorul sau persoana împuternicită de operator poate invoca un certificat numai atunci când a ajuns la concluzia că este necesar să invoce derogarea în materie de securitate națională care trebuie aplicată de la caz la caz. Chiar dacă un certificat de securitate națională se aplică chestiunii în cauză, ICO poate investiga dacă invocarea derogării în materie de securitate națională a fost sau nu justificată într-un caz specific (229). |
| --- | --- |

(133)

Este important de remarcat faptul că certificatele de securitate națională nu oferă un temei suplimentar pentru restricționarea drepturilor privind protecția datelor din motive de securitate națională. Cu alte cuvinte, operatorul sau persoana împuternicită de operator poate invoca un certificat numai atunci când a ajuns la concluzia că este necesar să invoce derogarea în materie de securitate națională care trebuie aplicată de la caz la caz. Chiar dacă un certificat de securitate națională se aplică chestiunii în cauză, ICO poate investiga dacă invocarea derogării în materie de securitate națională a fost sau nu justificată într-un caz specific (229).

229

| (134) | Orice persoană direct afectată de emiterea certificatului poate introduce o cale de atac la Tribunalul Superior (230) împotriva certificatului (231) sau, în cazul în care certificatul identifică date prin intermediul unei descrieri generale, poate contesta aplicarea certificatului la o serie de date specifice (232). |
| --- | --- |

(134)

Orice persoană direct afectată de emiterea certificatului poate introduce o cale de atac la Tribunalul Superior (230) împotriva certificatului (231) sau, în cazul în care certificatul identifică date prin intermediul unei descrieri generale, poate contesta aplicarea certificatului la o serie de date specifice (232).

230

231

232

| (135) | Tribunalul va examina decizia de emitere a certificatului și va decide dacă au existat motive întemeiate pentru emiterea certificatului (233). Acesta poate lua în considerare o gamă largă de aspecte, printre care se numără și necesitatea, proporționalitatea și legalitatea, având în vedere impactul asupra drepturilor persoanelor vizate și punând în balanță necesitatea de a proteja securitatea națională. În consecință, tribunalul poate stabili că certificatul nu se aplică datelor cu caracter personal specifice care fac obiectul căii de atac (234). |
| --- | --- |

(135)

Tribunalul va examina decizia de emitere a certificatului și va decide dacă au existat motive întemeiate pentru emiterea certificatului (233). Acesta poate lua în considerare o gamă largă de aspecte, printre care se numără și necesitatea, proporționalitatea și legalitatea, având în vedere impactul asupra drepturilor persoanelor vizate și punând în balanță necesitatea de a proteja securitatea națională. În consecință, tribunalul poate stabili că certificatul nu se aplică datelor cu caracter personal specifice care fac obiectul căii de atac (234).

233

234

| (136) | Un set diferit de restricții posibile se referă la cele care se aplică, în temeiul anexei 11 la DPA din 2018, anumitor dispoziții ale părții 4 din DPA din 2018 (235) pentru a proteja alte obiective importante de interes public general sau interese protejate, cum ar fi, de exemplu, privilegiul parlamentar, secretul profesional al avocatului, desfășurarea procedurilor judiciare sau eficacitatea de luptă a forțelor armate. Aplicarea acestor dispoziții fie este exceptată pentru anumite categorii de informații („bazată pe categorii”), fie este exceptată în măsura în care aplicarea acestor dispoziții ar putea aduce atingere interesului protejat („bazată pe prejudicii”) (236). Derogările bazate pe prejudicii pot fi invocate numai în măsura în care aplicarea dispoziției enumerate privind protecția datelor ar putea aduce atingere interesului specific în cauză. Prin urmare, utilizarea unei derogări trebuie să fie întotdeauna justificată prin trimiterea la prejudiciul relevant care ar putea apărea în fiecare caz în parte. Derogările bazate pe categorii pot fi invocate numai în ceea ce privește categoria specifică, definită în mod strict, de informații pentru care se acordă derogarea. Acestea sunt similare, în ceea ce privește scopul și efectul, mai multor excepții de la RGPD al Regatului Unit (în temeiul anexei 2 la DPA din 2018) care, la rândul lor, reflectă cele prevăzute la articolul 23 din RGPD. |
| --- | --- |

(136)

Un set diferit de restricții posibile se referă la cele care se aplică, în temeiul anexei 11 la DPA din 2018, anumitor dispoziții ale părții 4 din DPA din 2018 (235) pentru a proteja alte obiective importante de interes public general sau interese protejate, cum ar fi, de exemplu, privilegiul parlamentar, secretul profesional al avocatului, desfășurarea procedurilor judiciare sau eficacitatea de luptă a forțelor armate. Aplicarea acestor dispoziții fie este exceptată pentru anumite categorii de informații („bazată pe categorii”), fie este exceptată în măsura în care aplicarea acestor dispoziții ar putea aduce atingere interesului protejat („bazată pe prejudicii”) (236). Derogările bazate pe prejudicii pot fi invocate numai în măsura în care aplicarea dispoziției enumerate privind protecția datelor ar putea aduce atingere interesului specific în cauză. Prin urmare, utilizarea unei derogări trebuie să fie întotdeauna justificată prin trimiterea la prejudiciul relevant care ar putea apărea în fiecare caz în parte. Derogările bazate pe categorii pot fi invocate numai în ceea ce privește categoria specifică, definită în mod strict, de informații pentru care se acordă derogarea. Acestea sunt similare, în ceea ce privește scopul și efectul, mai multor excepții de la RGPD al Regatului Unit (în temeiul anexei 2 la DPA din 2018) care, la rândul lor, reflectă cele prevăzute la articolul 23 din RGPD.

235

236

| (137) | Din cele de mai sus rezultă că există limitări și condiții în temeiul dispozițiilor legale aplicabile din Regatul Unit, astfel cum sunt interpretate, de asemenea, de instanțe și de comisarul pentru informații, pentru a se asigura că aceste derogări și restricții rămân în limitele a ceea ce este necesar și proporțional pentru protejarea securității naționale. |
| --- | --- |

(137)

Din cele de mai sus rezultă că există limitări și condiții în temeiul dispozițiilor legale aplicabile din Regatul Unit, astfel cum sunt interpretate, de asemenea, de instanțe și de comisarul pentru informații, pentru a se asigura că aceste derogări și restricții rămân în limitele a ceea ce este necesar și proporțional pentru protejarea securității naționale.

| (138) | Prelucrarea datelor cu caracter personal efectuată de serviciile de informații în temeiul părții 4 din DPA din 2018 este supravegheată de comisarul pentru informații (237). |
| --- | --- |

(138)

Prelucrarea datelor cu caracter personal efectuată de serviciile de informații în temeiul părții 4 din DPA din 2018 este supravegheată de comisarul pentru informații (237).

237

| (139) | Funcțiile generale ale comisarului pentru informații în ceea ce privește prelucrarea datelor cu caracter personal de către serviciile de informații în temeiul părții 4 din DPA din 2018 sunt prevăzute în anexa 13 la DPA din 2018. Sarcinile includ, însă nu se limitează, în special, la monitorizarea și punerea în aplicare a părții 4 din DPA din 2018, promovarea sensibilizării publicului, consilierea Parlamentului, a guvernului și a altor instituții cu privire la măsurile legislative și administrative, promovarea sensibilizării operatorilor și a persoanelor împuternicite de operatori cu privire la obligațiile ce le revin, furnizarea de informații unei persoane vizate cu privire la exercitarea drepturilor persoanei vizate și desfășurarea de anchete. |
| --- | --- |

(139)

Funcțiile generale ale comisarului pentru informații în ceea ce privește prelucrarea datelor cu caracter personal de către serviciile de informații în temeiul părții 4 din DPA din 2018 sunt prevăzute în anexa 13 la DPA din 2018. Sarcinile includ, însă nu se limitează, în special, la monitorizarea și punerea în aplicare a părții 4 din DPA din 2018, promovarea sensibilizării publicului, consilierea Parlamentului, a guvernului și a altor instituții cu privire la măsurile legislative și administrative, promovarea sensibilizării operatorilor și a persoanelor împuternicite de operatori cu privire la obligațiile ce le revin, furnizarea de informații unei persoane vizate cu privire la exercitarea drepturilor persoanei vizate și desfășurarea de anchete.

| (140) | În ceea ce privește partea 3 din DPA din 2018, comisarul are competența de a informa operatorii cu privire la o presupusă încălcare și de a emite avertismente cu privire la probabilitatea ca o prelucrare să încalce normele și de a emite mustrări atunci când încălcarea este confirmată. De asemenea, acesta poate emite notificări de executare și de sancționare pentru încălcarea anumitor dispoziții ale legii (238). Cu toate acestea, spre deosebire de alte părți din DPA din 2018, comisarul nu poate emite o notificare de evaluare a securității naționale (239). |
| --- | --- |

(140)

În ceea ce privește partea 3 din DPA din 2018, comisarul are competența de a informa operatorii cu privire la o presupusă încălcare și de a emite avertismente cu privire la probabilitatea ca o prelucrare să încalce normele și de a emite mustrări atunci când încălcarea este confirmată. De asemenea, acesta poate emite notificări de executare și de sancționare pentru încălcarea anumitor dispoziții ale legii (238). Cu toate acestea, spre deosebire de alte părți din DPA din 2018, comisarul nu poate emite o notificare de evaluare a securității naționale (239).

238

239

| (141) | În plus, secțiunea 110 din DPA din 2018 prevede o excepție de la utilizarea anumitor competențe ale comisarului atunci când acest lucru este necesar în scopul protejării securității naționale. Aceasta include competența comisarului de a emite (orice tip de) notificări în temeiul DPA (notificări de informare, de evaluare, de executare și de sancționare), competența de a efectua inspecții în conformitate cu obligațiile internaționale, competențe de intrare și de inspecție, precum și norme privind infracțiunile (240). Astfel cum se explică în considerentul 136, aceste excepții se vor aplica numai dacă sunt necesare și proporționale și de la caz la caz. Aplicarea acestor excepții poate face obiectul unui control jurisdicțional (241). |
| --- | --- |

(141)

În plus, secțiunea 110 din DPA din 2018 prevede o excepție de la utilizarea anumitor competențe ale comisarului atunci când acest lucru este necesar în scopul protejării securității naționale. Aceasta include competența comisarului de a emite (orice tip de) notificări în temeiul DPA (notificări de informare, de evaluare, de executare și de sancționare), competența de a efectua inspecții în conformitate cu obligațiile internaționale, competențe de intrare și de inspecție, precum și norme privind infracțiunile (240). Astfel cum se explică în considerentul 136, aceste excepții se vor aplica numai dacă sunt necesare și proporționale și de la caz la caz. Aplicarea acestor excepții poate face obiectul unui control jurisdicțional (241).

240

241

| (142) | ICO și serviciile de informații din Regatul Unit au semnat un memorandum de înțelegere (242) care stabilește un cadru de cooperare cu privire la o serie de aspecte, inclusiv notificări privind încălcarea securității datelor și tratarea plângerilor persoanelor vizate. În special, acesta prevede că, la primirea unei plângeri, ICO va evalua dacă a fost invocată în mod corespunzător vreo derogare în materie de securitate națională. Răspunsurile la întrebările adresate de ICO în contextul examinării plângerilor individuale trebuie să fie furnizate în termen de 20 de zile lucrătoare prin Orientările Guvernului Regatului Unit privind certificatele de securitate națională în temeiul Legii privind protecția datelor, utilizând canale securizate adecvate, în cazul în care acestea implică informații clasificate. Din aprilie 2018 până în prezent, ICO a primit 21 de plângeri de la persoane fizice cu privire la serviciile de informații. Fiecare plângere a fost evaluată, iar rezultatul a fost comunicat persoanei vizate (243). |
| --- | --- |

(142)

ICO și serviciile de informații din Regatul Unit au semnat un memorandum de înțelegere (242) care stabilește un cadru de cooperare cu privire la o serie de aspecte, inclusiv notificări privind încălcarea securității datelor și tratarea plângerilor persoanelor vizate. În special, acesta prevede că, la primirea unei plângeri, ICO va evalua dacă a fost invocată în mod corespunzător vreo derogare în materie de securitate națională. Răspunsurile la întrebările adresate de ICO în contextul examinării plângerilor individuale trebuie să fie furnizate în termen de 20 de zile lucrătoare prin Orientările Guvernului Regatului Unit privind certificatele de securitate națională în temeiul Legii privind protecția datelor, utilizând canale securizate adecvate, în cazul în care acestea implică informații clasificate. Din aprilie 2018 până în prezent, ICO a primit 21 de plângeri de la persoane fizice cu privire la serviciile de informații. Fiecare plângere a fost evaluată, iar rezultatul a fost comunicat persoanei vizate (243).

242

243

| (143) | În plus, Comisia pentru Informații și Securitate (ISC) exercită o supraveghere parlamentară asupra prelucrării datelor de către agențiile de informații. Această comisie își are temeiul juridic în Legea din 2013 privind justiția și securitatea (JSA din 2013) (244). Legea instituie ISC ca o comisie a Parlamentului Regatului Unit. ISC este alcătuită din membri care aparțin uneia dintre camerele Parlamentului și sunt numiți de prim-ministru după consultarea liderului opoziției (245). ISC trebuie să prezinte Parlamentului un raport anual privind îndeplinirea funcțiilor sale, precum și alte rapoarte pe care le consideră adecvate (246). |
| --- | --- |

(143)

În plus, Comisia pentru Informații și Securitate (ISC) exercită o supraveghere parlamentară asupra prelucrării datelor de către agențiile de informații. Această comisie își are temeiul juridic în Legea din 2013 privind justiția și securitatea (JSA din 2013) (244). Legea instituie ISC ca o comisie a Parlamentului Regatului Unit. ISC este alcătuită din membri care aparțin uneia dintre camerele Parlamentului și sunt numiți de prim-ministru după consultarea liderului opoziției (245). ISC trebuie să prezinte Parlamentului un raport anual privind îndeplinirea funcțiilor sale, precum și alte rapoarte pe care le consideră adecvate (246).

244

245

246

| (144) | Începând din 2013, ISC a beneficiat de competențe sporite, inclusiv supravegherea activităților operaționale ale serviciilor de securitate. În temeiul secțiunii 2 din JSA din 2013, ISC are sarcina de a supraveghea cheltuielile, administrarea, politicile și operațiunile agențiilor de securitate națională. JSA din 2013 specifică faptul că ISC este în măsură să desfășoare investigații cu privire la aspecte operaționale atunci când acestea nu se referă la operațiuni în curs (247). Memorandumul de înțelegere convenit între prim-ministru și ISC (248) precizează în detaliu elementele care trebuie luate în considerare atunci când se analizează dacă o activitate nu face parte din nicio operațiune în curs (249). De asemenea, ISC poate fi invitată să investigheze operațiunile în curs de desfășurare de către prim-ministru și poate revizui informațiile furnizate în mod voluntar de agenții. |
| --- | --- |

(144)

Începând din 2013, ISC a beneficiat de competențe sporite, inclusiv supravegherea activităților operaționale ale serviciilor de securitate. În temeiul secțiunii 2 din JSA din 2013, ISC are sarcina de a supraveghea cheltuielile, administrarea, politicile și operațiunile agențiilor de securitate națională. JSA din 2013 specifică faptul că ISC este în măsură să desfășoare investigații cu privire la aspecte operaționale atunci când acestea nu se referă la operațiuni în curs (247). Memorandumul de înțelegere convenit între prim-ministru și ISC (248) precizează în detaliu elementele care trebuie luate în considerare atunci când se analizează dacă o activitate nu face parte din nicio operațiune în curs (249). De asemenea, ISC poate fi invitată să investigheze operațiunile în curs de desfășurare de către prim-ministru și poate revizui informațiile furnizate în mod voluntar de agenții.

247

248

249

| (145) | În conformitate cu anexa 1 la JSA din 2013, ISC poate solicita șefilor oricăruia dintre cele trei servicii de informații să divulge informații. Agenția trebuie să pună la dispoziție aceste informații, cu excepția cazului în care secretarul de stat își exercită un drept de veto în acest sens (250). Autoritățile Regatului Unit au explicat că, în practică, foarte puține informații nu sunt comunicate ISC (251). |
| --- | --- |

(145)

În conformitate cu anexa 1 la JSA din 2013, ISC poate solicita șefilor oricăruia dintre cele trei servicii de informații să divulge informații. Agenția trebuie să pună la dispoziție aceste informații, cu excepția cazului în care secretarul de stat își exercită un drept de veto în acest sens (250). Autoritățile Regatului Unit au explicat că, în practică, foarte puține informații nu sunt comunicate ISC (251).

250

251

| (146) | În ceea ce privește căile de atac, în primul rând, în temeiul secțiunii 165 punctul 2 din DPA din 2018, o persoană vizată poate depune o plângere la ICO în cazul în care consideră că, în ceea ce privește datele cu caracter personal care o privesc, există o încălcare a părții 4 din DPA din 2018, inclusiv orice utilizare abuzivă a derogărilor și restricțiilor în materie de securitate națională. |
| --- | --- |

(146)

În ceea ce privește căile de atac, în primul rând, în temeiul secțiunii 165 punctul 2 din DPA din 2018, o persoană vizată poate depune o plângere la ICO în cazul în care consideră că, în ceea ce privește datele cu caracter personal care o privesc, există o încălcare a părții 4 din DPA din 2018, inclusiv orice utilizare abuzivă a derogărilor și restricțiilor în materie de securitate națională.

| (147) | În plus, în temeiul părții 4 din DPA din 2018, persoanele fizice au dreptul să solicite Înaltei Curți (sau Court of Session din Scoția) un ordin prin care să îi impună operatorului să respecte drepturile de acces la date (252), să se opună prelucrării (253) și să rectifice sau să șteargă datele. |
| --- | --- |

(147)

În plus, în temeiul părții 4 din DPA din 2018, persoanele fizice au dreptul să solicite Înaltei Curți (sau Court of Session din Scoția) un ordin prin care să îi impună operatorului să respecte drepturile de acces la date (252), să se opună prelucrării (253) și să rectifice sau să șteargă datele.

252

253

| (148) | De asemenea, persoanele fizice au dreptul să solicite operatorului sau unei persoane împuternicite de operator (254) despăgubiri pentru prejudiciile suferite ca urmare a încălcării unei cerințe prevăzute în partea 4 din DPA din 2018. Prejudiciul include atât pierderi financiare, cât și prejudicii care nu implică pierderi financiare, cum ar fi suferințele clinice (255). |
| --- | --- |

(148)

De asemenea, persoanele fizice au dreptul să solicite operatorului sau unei persoane împuternicite de operator (254) despăgubiri pentru prejudiciile suferite ca urmare a încălcării unei cerințe prevăzute în partea 4 din DPA din 2018. Prejudiciul include atât pierderi financiare, cât și prejudicii care nu implică pierderi financiare, cum ar fi suferințele clinice (255).

254

255

| (149) | În cele din urmă, o persoană fizică poate depune o plângere la Tribunalul cu competențe de investigare pentru orice comportament al agențiilor de informații din Regatul Unit (256) sau în numele acestora. Tribunalul cu competențe de investigare (Investigatory Powers Tribunal – IPT) este instituit prin Legea din 2000 de reglementare a competențelor de investigare pentru Anglia, Țara Galilor și Irlanda de Nord și prin Legea din 2000 de reglementare a competențelor de investigare (Scoția) pentru Scoția (RIPA din 2000) și este independent de puterea executivă (257). În conformitate cu secțiunea 65 din RIPA din 2000, membrii IPT sunt numiți de Majestatea Sa pentru o perioadă de cinci ani. |
| --- | --- |

(149)

În cele din urmă, o persoană fizică poate depune o plângere la Tribunalul cu competențe de investigare pentru orice comportament al agențiilor de informații din Regatul Unit (256) sau în numele acestora. Tribunalul cu competențe de investigare (Investigatory Powers Tribunal – IPT) este instituit prin Legea din 2000 de reglementare a competențelor de investigare pentru Anglia, Țara Galilor și Irlanda de Nord și prin Legea din 2000 de reglementare a competențelor de investigare (Scoția) pentru Scoția (RIPA din 2000) și este independent de puterea executivă (257). În conformitate cu secțiunea 65 din RIPA din 2000, membrii IPT sunt numiți de Majestatea Sa pentru o perioadă de cinci ani.

256

257

| (150) | Un membru al Tribunalului poate fi revocat din funcție de Majestatea Sa în urma unei propuneri („address”) (258) formulate de ambele camere ale Parlamentului (259). |
| --- | --- |

(150)

Un membru al Tribunalului poate fi revocat din funcție de Majestatea Sa în urma unei propuneri („address”) (258) formulate de ambele camere ale Parlamentului (259).

258

259

| (151) | Pentru a introduce o acțiune în fața IPT („cerință privind calitatea procesuală”), în conformitate cu secțiunea 65 din RIPA din 2000, o persoană fizică trebuie să aibă convingerea (i) că a avut loc un serviciu de informații în legătură cu ea, cu privire la oricare dintre bunurile sale, cu privire la orice comunicare trimisă de sau către ea ori care îi este destinată sau utilizarea oricărui serviciu poștal, serviciu de telecomunicații sau sistem de telecomunicații (260) și (ii) comportamentul a avut loc în „circumstanțe atacabile” (261) sau „a fost efectuat de către sau în numele serviciilor de informații” (262). Întrucât, în special, acest standard în materie de „convingere” a fost interpretat în sens destul de larg (263), sesizarea Tribunalului face obiectul unui nivel relativ scăzut de cerințe privind calitatea procesuală. |
| --- | --- |

(151)

Pentru a introduce o acțiune în fața IPT („cerință privind calitatea procesuală”), în conformitate cu secțiunea 65 din RIPA din 2000, o persoană fizică trebuie să aibă convingerea (i) că a avut loc un serviciu de informații în legătură cu ea, cu privire la oricare dintre bunurile sale, cu privire la orice comunicare trimisă de sau către ea ori care îi este destinată sau utilizarea oricărui serviciu poștal, serviciu de telecomunicații sau sistem de telecomunicații (260) și (ii) comportamentul a avut loc în „circumstanțe atacabile” (261) sau „a fost efectuat de către sau în numele serviciilor de informații” (262). Întrucât, în special, acest standard în materie de „convingere” a fost interpretat în sens destul de larg (263), sesizarea Tribunalului face obiectul unui nivel relativ scăzut de cerințe privind calitatea procesuală.

260

261

262

263

| (152) | În cazul în care Tribunalul examinează o plângere care îi este adresată, este de datoria Tribunalului să investigheze dacă persoanele împotriva cărora se face vreo acuzație în plângere au fost implicate în relații cu reclamantul, precum și să investigheze autoritatea care se presupune că a fost implicată în încălcări și dacă presupusul comportament a avut loc (264). În cazul în care Tribunalul judecă o procedură, acesta trebuie să aplice, în cadrul procedurii respective, aceleași principii care ar fi aplicate de o instanță cu privire la o cerere de control jurisdicțional (265). |
| --- | --- |

(152)

În cazul în care Tribunalul examinează o plângere care îi este adresată, este de datoria Tribunalului să investigheze dacă persoanele împotriva cărora se face vreo acuzație în plângere au fost implicate în relații cu reclamantul, precum și să investigheze autoritatea care se presupune că a fost implicată în încălcări și dacă presupusul comportament a avut loc (264). În cazul în care Tribunalul judecă o procedură, acesta trebuie să aplice, în cadrul procedurii respective, aceleași principii care ar fi aplicate de o instanță cu privire la o cerere de control jurisdicțional (265).

264

265

| (153) | Tribunalul trebuie să informeze reclamantul dacă a fost luată o hotărâre în favoarea sa sau nu (266). În temeiul secțiunii 67 punctele 6 și 7 din RIPA din 2000, Tribunalul are competența de a emite ordine provizorii și de a pronunța orice hotărâre de despăgubire sau orice altă ordonanță pe care o consideră adecvată (267). În conformitate cu secțiunea 67A din RIPA din 2000, o hotărâre a Tribunalului poate fi atacată, sub rezerva autorizării de către Tribunal sau de către instanța de apel competentă. |
| --- | --- |

(153)

Tribunalul trebuie să informeze reclamantul dacă a fost luată o hotărâre în favoarea sa sau nu (266). În temeiul secțiunii 67 punctele 6 și 7 din RIPA din 2000, Tribunalul are competența de a emite ordine provizorii și de a pronunța orice hotărâre de despăgubire sau orice altă ordonanță pe care o consideră adecvată (267). În conformitate cu secțiunea 67A din RIPA din 2000, o hotărâre a Tribunalului poate fi atacată, sub rezerva autorizării de către Tribunal sau de către instanța de apel competentă.

266

267

| (154) | În special, persoanele fizice pot introduce o acțiune – și pot obține reparații – în fața IPT în cazul în care consideră că o autoritate publică a acționat (sau propune să acționeze) într-un mod care este incompatibil cu un drept conferit prin Convenția europeană a drepturilor omului, inclusiv dreptul la viață privată și protecția datelor cu caracter personal și, prin urmare, este ilegal în temeiul secțiunii 6 punctul 1 din Legea privind drepturile omului din 1998. IPT i s-a acordat competență judiciară exclusivă pentru toate cererile în baza Legii privind drepturile omului în legătură cu agențiile de informații. Astfel cum a remarcat High Court (Înalta Curte), aceasta înseamnă că „dacă a existat o încălcare a HRA cu privire la situația de fapt dintr-o anumită cauză, acest fapt poate fi invocat și soluționat, în principiu, de către un tribunal independent care poate avea acces la toate elementele relevante, inclusiv la materiale secrete. [...] De asemenea, în acest context, avem în vedere faptul că IPT este în prezent supus posibilității de a introduce o cale de atac la o instanță de apel adecvată (în Anglia și Țara Galilor, aceasta este Curtea de Apel); iar Curtea Supremă a decis recent că IPT poate, în principiu, să facă obiectul unui control jurisdicțional: a se vedea R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (268). În cazul în care constată că un act al unei autorități publice este ilegal, IPT poate admite o astfel de reparație sau cale de atac sau poate dispune, în limitele competențelor sale, după cum consideră corect și adecvat (269). |
| --- | --- |

(154)

În special, persoanele fizice pot introduce o acțiune – și pot obține reparații – în fața IPT în cazul în care consideră că o autoritate publică a acționat (sau propune să acționeze) într-un mod care este incompatibil cu un drept conferit prin Convenția europeană a drepturilor omului, inclusiv dreptul la viață privată și protecția datelor cu caracter personal și, prin urmare, este ilegal în temeiul secțiunii 6 punctul 1 din Legea privind drepturile omului din 1998. IPT i s-a acordat competență judiciară exclusivă pentru toate cererile în baza Legii privind drepturile omului în legătură cu agențiile de informații. Astfel cum a remarcat High Court (Înalta Curte), aceasta înseamnă că „dacă a existat o încălcare a HRA cu privire la situația de fapt dintr-o anumită cauză, acest fapt poate fi invocat și soluționat, în principiu, de către un tribunal independent care poate avea acces la toate elementele relevante, inclusiv la materiale secrete. [...] De asemenea, în acest context, avem în vedere faptul că IPT este în prezent supus posibilității de a introduce o cale de atac la o instanță de apel adecvată (în Anglia și Țara Galilor, aceasta este Curtea de Apel); iar Curtea Supremă a decis recent că IPT poate, în principiu, să facă obiectul unui control jurisdicțional: a se vedea R (Privacy International)/Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219” (268). În cazul în care constată că un act al unei autorități publice este ilegal, IPT poate admite o astfel de reparație sau cale de atac sau poate dispune, în limitele competențelor sale, după cum consideră corect și adecvat (269).

268

269

| (155) | După epuizarea căilor de atac naționale, o persoană poate obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate de CEDO, inclusiv a dreptului la viață privată și la protecția datelor. |
| --- | --- |

(155)

După epuizarea căilor de atac naționale, o persoană poate obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate de CEDO, inclusiv a dreptului la viață privată și la protecția datelor.

| (156) | Din cele de mai sus rezultă că partajarea de către autoritățile de aplicare a dreptului penal din Regatul Unit a datelor transferate în temeiul prezentei decizii cu alte autorități publice, inclusiv cu agențiile de informații, este încadrată de limitări și condiții care asigură faptul că o astfel de partajare ulterioară va fi necesară și proporțională și va face obiectul unor garanții specifice privind protecția datelor în temeiul DPA din 2018. În plus, prelucrarea datelor de către autoritățile publice în cauză este supravegheată de organisme independente, iar persoanele afectate au acces la căi de atac judiciare eficace. |
| --- | --- |

(156)

Din cele de mai sus rezultă că partajarea de către autoritățile de aplicare a dreptului penal din Regatul Unit a datelor transferate în temeiul prezentei decizii cu alte autorități publice, inclusiv cu agențiile de informații, este încadrată de limitări și condiții care asigură faptul că o astfel de partajare ulterioară va fi necesară și proporțională și va face obiectul unor garanții specifice privind protecția datelor în temeiul DPA din 2018. În plus, prelucrarea datelor de către autoritățile publice în cauză este supravegheată de organisme independente, iar persoanele afectate au acces la căi de atac judiciare eficace.

3.   CONCLUZIE

CONCLUZIE

| (157) | Comisia consideră că partea 3 din DPA din 2018 asigură un nivel de protecție a datelor cu caracter personal transferate în scopul asigurării respectării dreptului penal de la autoritățile competente din Uniune către autoritățile competente din Regatul Unit care este în esență echivalent cu cel garantat de Directiva (UE) 2016/680. |
| --- | --- |

(157)

Comisia consideră că partea 3 din DPA din 2018 asigură un nivel de protecție a datelor cu caracter personal transferate în scopul asigurării respectării dreptului penal de la autoritățile competente din Uniune către autoritățile competente din Regatul Unit care este în esență echivalent cu cel garantat de Directiva (UE) 2016/680.

| (158) | În plus, Comisia consideră că, în ansamblu, mecanismele de supraveghere și căile de atac prevăzute în legislația Regatului Unit permit detectarea și pedepsirea în practică a încălcărilor comise și pun la dispoziția persoanelor vizate căile de atac juridice necesare pentru a obține accesul la datele cu caracter personal care le privesc și, în cele din urmă, rectificarea sau ștergerea datelor respective. |
| --- | --- |

(158)

În plus, Comisia consideră că, în ansamblu, mecanismele de supraveghere și căile de atac prevăzute în legislația Regatului Unit permit detectarea și pedepsirea în practică a încălcărilor comise și pun la dispoziția persoanelor vizate căile de atac juridice necesare pentru a obține accesul la datele cu caracter personal care le privesc și, în cele din urmă, rectificarea sau ștergerea datelor respective.

| (159) | În cele din urmă, pe baza informațiilor disponibile cu privire la ordinea juridică a Regatului Unit, Comisia consideră că orice atingere adusă, în scopuri de interes public, inclusiv în contextul schimbului de date cu caracter personal între autoritățile de aplicare a legii și alte autorități publice, cum ar fi organismele de securitate națională, de autoritățile publice ale Regatului Unit drepturilor fundamentale ale persoanelor fizice ale căror date cu caracter personal sunt transferate din Uniunea Europeană în Regatul Unit, se va limita la ceea ce este strict necesar pentru îndeplinirea obiectivului legitim în cauză, cât și că există o protecție juridică eficace împotriva unor astfel de atingeri. |
| --- | --- |

(159)

În cele din urmă, pe baza informațiilor disponibile cu privire la ordinea juridică a Regatului Unit, Comisia consideră că orice atingere adusă, în scopuri de interes public, inclusiv în contextul schimbului de date cu caracter personal între autoritățile de aplicare a legii și alte autorități publice, cum ar fi organismele de securitate națională, de autoritățile publice ale Regatului Unit drepturilor fundamentale ale persoanelor fizice ale căror date cu caracter personal sunt transferate din Uniunea Europeană în Regatul Unit, se va limita la ceea ce este strict necesar pentru îndeplinirea obiectivului legitim în cauză, cât și că există o protecție juridică eficace împotriva unor astfel de atingeri.

| (160) | Prin urmare, ar trebui să se decidă că Regatul Unit asigură un nivel adecvat de protecție în sensul articolului 36 alineatul (2) din Directiva (UE) 2016/680, interpretat în lumina Cartei drepturilor fundamentale. |
| --- | --- |

(160)

Prin urmare, ar trebui să se decidă că Regatul Unit asigură un nivel adecvat de protecție în sensul articolului 36 alineatul (2) din Directiva (UE) 2016/680, interpretat în lumina Cartei drepturilor fundamentale.

| (161) | Această concluzie se bazează atât pe regimul intern relevant al Regatului Unit, cât și pe angajamentele sale internaționale, în special aderarea la Convenția europeană a drepturilor omului și recunoașterea competenței Curții Europene a Drepturilor Omului. Respectarea în continuare a acestor obligații internaționale este, prin urmare, un element deosebit de important al evaluării pe care se bazează prezenta decizie. |
| --- | --- |

(161)

Această concluzie se bazează atât pe regimul intern relevant al Regatului Unit, cât și pe angajamentele sale internaționale, în special aderarea la Convenția europeană a drepturilor omului și recunoașterea competenței Curții Europene a Drepturilor Omului. Respectarea în continuare a acestor obligații internaționale este, prin urmare, un element deosebit de important al evaluării pe care se bazează prezenta decizie.

4.   EFECTELE PREZENTEI DECIZII ȘI ACȚIUNILE AUTORITĂȚILOR PENTRU PROTECȚIA DATELOR

EFECTELE PREZENTEI DECIZII ȘI ACȚIUNILE AUTORITĂȚILOR PENTRU PROTECȚIA DATELOR

| (162) | Statele membre și organele acestora au obligația de a lua măsurile necesare pentru a se conforma actelor instituțiilor Uniunii, întrucât se presupune că aceste acte sunt legale și, prin urmare, produc efecte juridice atât timp cât nu expiră, sunt retrase, anulate în cadrul unei acțiuni în anulare sau declarate nule ca urmare a unei trimiteri preliminare sau a unei excepții de nelegalitate. |
| --- | --- |

(162)

Statele membre și organele acestora au obligația de a lua măsurile necesare pentru a se conforma actelor instituțiilor Uniunii, întrucât se presupune că aceste acte sunt legale și, prin urmare, produc efecte juridice atât timp cât nu expiră, sunt retrase, anulate în cadrul unei acțiuni în anulare sau declarate nule ca urmare a unei trimiteri preliminare sau a unei excepții de nelegalitate.

| (163) | În consecință, o decizie a Comisiei privind caracterul adecvat al nivelului de protecție, adoptată în temeiul articolului 36 alineatul (3) din Directiva (UE) 2016/680, este obligatorie pentru toate organele statelor membre cărora li se adresează, inclusiv pentru autoritățile de supraveghere independente ale acestora. În special, în cursul perioadei de aplicare a prezentei decizii, transferurile de la un operator sau de la o persoană împuternicită de operator din Uniune către operatori sau persoane împuternicite de operatori din Regatul Unit pot avea loc fără a fi necesară obținerea unei autorizații suplimentare. |
| --- | --- |

(163)

În consecință, o decizie a Comisiei privind caracterul adecvat al nivelului de protecție, adoptată în temeiul articolului 36 alineatul (3) din Directiva (UE) 2016/680, este obligatorie pentru toate organele statelor membre cărora li se adresează, inclusiv pentru autoritățile de supraveghere independente ale acestora. În special, în cursul perioadei de aplicare a prezentei decizii, transferurile de la un operator sau de la o persoană împuternicită de operator din Uniune către operatori sau persoane împuternicite de operatori din Regatul Unit pot avea loc fără a fi necesară obținerea unei autorizații suplimentare.

| (164) | În același timp, ar trebui reamintit faptul că, în temeiul articolului 47 alineatul (5) din Directiva (UE) 2016/680 și astfel cum este explicat de Curtea de Justiție în hotărârea pronunțată în cauza Schrems, în cazul în care o autoritate națională de protecție a datelor pune sub semnul întrebării, inclusiv în urma primirii unei plângeri, compatibilitatea unei decizii a Comisiei privind caracterul adecvat al nivelului de protecție cu dreptul fundamental al unei persoane la viață privată și la protecția datelor, legislația națională trebuie să prevadă o cale de atac pentru a prezenta obiecțiile respective în fața unei instanțe naționale, care poate fi obligată să efectueze o trimitere preliminară către Curtea de Justiție (270). |
| --- | --- |

(164)

În același timp, ar trebui reamintit faptul că, în temeiul articolului 47 alineatul (5) din Directiva (UE) 2016/680 și astfel cum este explicat de Curtea de Justiție în hotărârea pronunțată în cauza Schrems, în cazul în care o autoritate națională de protecție a datelor pune sub semnul întrebării, inclusiv în urma primirii unei plângeri, compatibilitatea unei decizii a Comisiei privind caracterul adecvat al nivelului de protecție cu dreptul fundamental al unei persoane la viață privată și la protecția datelor, legislația națională trebuie să prevadă o cale de atac pentru a prezenta obiecțiile respective în fața unei instanțe naționale, care poate fi obligată să efectueze o trimitere preliminară către Curtea de Justiție (270).

270

5.   MONITORIZAREA, SUSPENDAREA, ABROGAREA SAU MODIFICAREA PREZENTEI DECIZII

MONITORIZAREA, SUSPENDAREA, ABROGAREA SAU MODIFICAREA PREZENTEI DECIZII

| (165) | În temeiul articolului 36 alineatul (4) din Directiva (UE) 2016/680, Comisia trebuie să monitorizeze în permanență evoluțiile relevante din Regatul Unit după adoptarea prezentei decizii pentru a evalua dacă aceasta garantează în continuare un nivel de protecție echivalent în esență. O astfel de monitorizare este deosebit de importantă în acest caz, întrucât Regatul Unit va administra, va aplica și va asigura respectarea unui nou regim de protecție a datelor ce nu mai intră sub incidența dreptului Uniunii, care ar putea evolua. În acest sens, se va acorda o atenție deosebită aplicării în practică a normelor Regatului Unit privind transferurile de date cu caracter personal către țări terțe, inclusiv prin încheierea de acorduri internaționale, impactului pe care aceasta l-ar putea avea asupra nivelului de protecție acordat datelor transferate în temeiul prezentei decizii, precum și eficacității exercitării drepturilor individuale în domeniile reglementate de prezenta decizie. Printre alte elemente, evoluțiile jurisprudenței și supravegherea de către ICO și alte organisme independente vor contribui la monitorizarea efectuată de Comisie. |
| --- | --- |

(165)

În temeiul articolului 36 alineatul (4) din Directiva (UE) 2016/680, Comisia trebuie să monitorizeze în permanență evoluțiile relevante din Regatul Unit după adoptarea prezentei decizii pentru a evalua dacă aceasta garantează în continuare un nivel de protecție echivalent în esență. O astfel de monitorizare este deosebit de importantă în acest caz, întrucât Regatul Unit va administra, va aplica și va asigura respectarea unui nou regim de protecție a datelor ce nu mai intră sub incidența dreptului Uniunii, care ar putea evolua. În acest sens, se va acorda o atenție deosebită aplicării în practică a normelor Regatului Unit privind transferurile de date cu caracter personal către țări terțe, inclusiv prin încheierea de acorduri internaționale, impactului pe care aceasta l-ar putea avea asupra nivelului de protecție acordat datelor transferate în temeiul prezentei decizii, precum și eficacității exercitării drepturilor individuale în domeniile reglementate de prezenta decizie. Printre alte elemente, evoluțiile jurisprudenței și supravegherea de către ICO și alte organisme independente vor contribui la monitorizarea efectuată de Comisie.

| (166) | Pentru a facilita această monitorizare, autoritățile Regatului Unit ar trebui să informeze cu promptitudine și cu regularitate Comisia cu privire la orice modificare substanțială a ordinii juridice a Regatului Unit care are un impact asupra cadrului juridic care face obiectul prezentei decizii, precum și cu privire la orice evoluție a practicilor legate de prelucrarea datelor cu caracter personal evaluate în prezenta decizie, în special în ceea ce privește elementele menționate în considerentul 165. |
| --- | --- |

(166)

Pentru a facilita această monitorizare, autoritățile Regatului Unit ar trebui să informeze cu promptitudine și cu regularitate Comisia cu privire la orice modificare substanțială a ordinii juridice a Regatului Unit care are un impact asupra cadrului juridic care face obiectul prezentei decizii, precum și cu privire la orice evoluție a practicilor legate de prelucrarea datelor cu caracter personal evaluate în prezenta decizie, în special în ceea ce privește elementele menționate în considerentul 165.

| (167) | În plus, pentru a permite Comisiei să își exercite în mod eficace funcția de monitorizare, statele membre ar trebui să informeze Comisia cu privire la orice acțiune relevantă întreprinsă de autoritățile naționale de protecție a datelor, în special în ceea ce privește solicitările sau plângerile formulate de persoanele vizate din UE cu privire la transferul de date cu caracter personal din Uniunea Europeană către autorități competente din Regatul Unit. De asemenea, Comisia ar trebui să fie informată cu privire la orice indiciu potrivit căruia acțiunile autorităților publice ale Regatului Unit responsabile cu prevenirea, investigarea, detectarea sau aducerea în fața instanței a infracțiunilor, inclusiv acțiunile oricărui organism de supraveghere, nu asigură nivelul de protecție necesar. |
| --- | --- |

(167)

În plus, pentru a permite Comisiei să își exercite în mod eficace funcția de monitorizare, statele membre ar trebui să informeze Comisia cu privire la orice acțiune relevantă întreprinsă de autoritățile naționale de protecție a datelor, în special în ceea ce privește solicitările sau plângerile formulate de persoanele vizate din UE cu privire la transferul de date cu caracter personal din Uniunea Europeană către autorități competente din Regatul Unit. De asemenea, Comisia ar trebui să fie informată cu privire la orice indiciu potrivit căruia acțiunile autorităților publice ale Regatului Unit responsabile cu prevenirea, investigarea, detectarea sau aducerea în fața instanței a infracțiunilor, inclusiv acțiunile oricărui organism de supraveghere, nu asigură nivelul de protecție necesar.

| (168) | În cazul în care informațiile disponibile, în special informațiile care rezultă din monitorizarea prezentei decizii sau cele furnizate de autoritățile Regatului Unit sau ale statelor membre, arată că nivelul de protecție oferit de Regatul Unit ar putea să nu mai fie adecvat, Comisia ar trebui să informeze autoritățile Regatului Unit competente în acest sens și să solicite luarea unor măsuri adecvate într-un termen rezonabil specificat, care nu poate depăși trei luni. Dacă este necesar, acest termen poate fi prelungit cu o anumită perioadă de timp, ținând seama de natura problemei în cauză și/sau de măsurile care trebuie luate. |
| --- | --- |

(168)

În cazul în care informațiile disponibile, în special informațiile care rezultă din monitorizarea prezentei decizii sau cele furnizate de autoritățile Regatului Unit sau ale statelor membre, arată că nivelul de protecție oferit de Regatul Unit ar putea să nu mai fie adecvat, Comisia ar trebui să informeze autoritățile Regatului Unit competente în acest sens și să solicite luarea unor măsuri adecvate într-un termen rezonabil specificat, care nu poate depăși trei luni. Dacă este necesar, acest termen poate fi prelungit cu o anumită perioadă de timp, ținând seama de natura problemei în cauză și/sau de măsurile care trebuie luate.

| (169) | În cazul în care, la expirarea termenului specificat, autoritățile competente ale Regatului Unit nu iau măsurile respective sau nu demonstrează în mod satisfăcător că prezenta decizie continuă să se bazeze pe un nivel adecvat de protecție, Comisia va iniția procedura menționată la articolul 58 alineatul (2) din Directiva (UE) 2016/680 în vederea suspendării sau abrogării parțiale sau integrale a prezentei decizii. |
| --- | --- |

(169)

În cazul în care, la expirarea termenului specificat, autoritățile competente ale Regatului Unit nu iau măsurile respective sau nu demonstrează în mod satisfăcător că prezenta decizie continuă să se bazeze pe un nivel adecvat de protecție, Comisia va iniția procedura menționată la articolul 58 alineatul (2) din Directiva (UE) 2016/680 în vederea suspendării sau abrogării parțiale sau integrale a prezentei decizii.

| (170) | Ca alternativă, Comisia va iniția această procedură în vederea modificării prezentei decizii, în special prin aplicarea unor condiții suplimentare transferurilor de date sau prin limitarea domeniului de aplicare al constatării referitoare la caracterul adecvat numai la transferurile de date pentru care se asigură în continuare un nivel adecvat de protecție. |
| --- | --- |

(170)

Ca alternativă, Comisia va iniția această procedură în vederea modificării prezentei decizii, în special prin aplicarea unor condiții suplimentare transferurilor de date sau prin limitarea domeniului de aplicare al constatării referitoare la caracterul adecvat numai la transferurile de date pentru care se asigură în continuare un nivel adecvat de protecție.

| (171) | Din motive imperioase de urgență justificate corespunzător, Comisia va face uz de posibilitatea de a adopta, în conformitate cu procedura menționată la articolul 58 alineatul (3) din Directiva (UE) 2016/680, acte de punere în aplicare imediat aplicabile de suspendare, abrogare sau modificare a deciziei. |
| --- | --- |

(171)

Din motive imperioase de urgență justificate corespunzător, Comisia va face uz de posibilitatea de a adopta, în conformitate cu procedura menționată la articolul 58 alineatul (3) din Directiva (UE) 2016/680, acte de punere în aplicare imediat aplicabile de suspendare, abrogare sau modificare a deciziei.

6.   DURATA ȘI REÎNNOIREA PREZENTEI DECIZII

DURATA ȘI REÎNNOIREA PREZENTEI DECIZII

| (172) | Ar trebui să se țină seama de faptul că, odată cu încheierea perioadei de tranziție prevăzute în Acordul de retragere și de îndată ce dispoziția provizorie prevăzută la articolul 782 din Acordul comercial și de cooperare UE- Regatul Unit va înceta să se aplice, Regatul Unit va administra, va aplica și va asigura respectarea unui nou regim de protecție a datelor în raport cu cel în vigoare în perioada în care avea obligații în temeiul dreptului Uniunii Europene. Acest lucru poate implica, în special, amendamente sau modificări ale cadrului de protecție a datelor evaluat în prezenta decizie, precum și alte evoluții relevante. |
| --- | --- |

(172)

Ar trebui să se țină seama de faptul că, odată cu încheierea perioadei de tranziție prevăzute în Acordul de retragere și de îndată ce dispoziția provizorie prevăzută la articolul 782 din Acordul comercial și de cooperare UE- Regatul Unit va înceta să se aplice, Regatul Unit va administra, va aplica și va asigura respectarea unui nou regim de protecție a datelor în raport cu cel în vigoare în perioada în care avea obligații în temeiul dreptului Uniunii Europene. Acest lucru poate implica, în special, amendamente sau modificări ale cadrului de protecție a datelor evaluat în prezenta decizie, precum și alte evoluții relevante.

| (173) | Prin urmare, este oportun să se prevadă că prezenta decizie se va aplica pentru o perioadă de patru ani de la intrarea sa în vigoare. |
| --- | --- |

(173)

Prin urmare, este oportun să se prevadă că prezenta decizie se va aplica pentru o perioadă de patru ani de la intrarea sa în vigoare.

| (174) | În cazul în care, în special, informațiile obținute în urma monitorizării prezentei decizii arată că respectivele constatări referitoare la caracterul adecvat al nivelului de protecție asigurat în Regatul Unit sunt încă justificate de fapt și de drept, Comisia ar trebui, cel târziu cu șase luni înainte de încetarea aplicării prezentei decizii, să inițieze procedura de modificare a prezentei decizii prin extinderea domeniului său de aplicare temporal, în principiu, pentru o perioadă suplimentară de patru ani. Orice act de punere în aplicare de modificare a prezentei decizii urmează să fie adoptat în conformitate cu procedura menționată la articolul 58 alineatul (2) din Directiva (UE) 2016/680. |
| --- | --- |

(174)

În cazul în care, în special, informațiile obținute în urma monitorizării prezentei decizii arată că respectivele constatări referitoare la caracterul adecvat al nivelului de protecție asigurat în Regatul Unit sunt încă justificate de fapt și de drept, Comisia ar trebui, cel târziu cu șase luni înainte de încetarea aplicării prezentei decizii, să inițieze procedura de modificare a prezentei decizii prin extinderea domeniului său de aplicare temporal, în principiu, pentru o perioadă suplimentară de patru ani. Orice act de punere în aplicare de modificare a prezentei decizii urmează să fie adoptat în conformitate cu procedura menționată la articolul 58 alineatul (2) din Directiva (UE) 2016/680.

7.   CONSIDERAȚII FINALE

CONSIDERAȚII FINALE

| (175) | Comitetul european pentru protecția datelor și-a publicat avizul (271), care a fost luat în considerare la pregătirea prezentei decizii. |
| --- | --- |

(175)

Comitetul european pentru protecția datelor și-a publicat avizul (271), care a fost luat în considerare la pregătirea prezentei decizii.

271

| (176) | Măsurile prevăzute de prezenta decizie sunt conforme cu avizul comitetului instituit în temeiul articolului 58 din Directiva (UE) 2016/680. |
| --- | --- |

(176)

Măsurile prevăzute de prezenta decizie sunt conforme cu avizul comitetului instituit în temeiul articolului 58 din Directiva (UE) 2016/680.

| (177) | În conformitate cu articolul 6a din Protocolul nr. 21 privind poziția Regatului Unit și a Irlandei în ceea ce privește spațiul de libertate, securitate și justiție, anexat la TUE și la TFUE, Irlandei nu îi revin obligații în temeiul normelor stabilite în Directiva (UE) 2016/680 și, prin urmare, în temeiul prezentei decizii de punere în aplicare, referitoare la prelucrarea datelor cu caracter personal de către statele membre în exercitarea activităților care intră în domeniul de aplicare al părții a treia titlul V capitolul 4 sau 5 din TFUE, atât timp cât Irlandei nu îi revin obligații în temeiul normelor Uniunii privind formele de cooperare judiciară în materie penală sau de cooperare polițienească care necesită respectarea dispozițiilor stabilite în temeiul articolului 16 din TFUE. În plus, în temeiul Deciziei de punere în aplicare (UE) 2020/1745 a Consiliului (272), Directiva (UE) 2016/680 urmează să fie pusă în aplicare și aplicată cu titlu provizoriu în Irlanda începând cu 1 ianuarie 2021. Prin urmare, Irlandei îi revin obligații în temeiul prezentei decizii de punere în aplicare, în aceleași condiții valabile în cazul aplicării Directivei (UE) 2016/680 în Irlanda, astfel cum se prevede în decizia de punere în aplicare (UE) 2020/1745, în ceea ce privește acquis-ul Schengen la care participă. |
| --- | --- |

(177)

În conformitate cu articolul 6a din Protocolul nr. 21 privind poziția Regatului Unit și a Irlandei în ceea ce privește spațiul de libertate, securitate și justiție, anexat la TUE și la TFUE, Irlandei nu îi revin obligații în temeiul normelor stabilite în Directiva (UE) 2016/680 și, prin urmare, în temeiul prezentei decizii de punere în aplicare, referitoare la prelucrarea datelor cu caracter personal de către statele membre în exercitarea activităților care intră în domeniul de aplicare al părții a treia titlul V capitolul 4 sau 5 din TFUE, atât timp cât Irlandei nu îi revin obligații în temeiul normelor Uniunii privind formele de cooperare judiciară în materie penală sau de cooperare polițienească care necesită respectarea dispozițiilor stabilite în temeiul articolului 16 din TFUE. În plus, în temeiul Deciziei de punere în aplicare (UE) 2020/1745 a Consiliului (272), Directiva (UE) 2016/680 urmează să fie pusă în aplicare și aplicată cu titlu provizoriu în Irlanda începând cu 1 ianuarie 2021. Prin urmare, Irlandei îi revin obligații în temeiul prezentei decizii de punere în aplicare, în aceleași condiții valabile în cazul aplicării Directivei (UE) 2016/680 în Irlanda, astfel cum se prevede în decizia de punere în aplicare (UE) 2020/1745, în ceea ce privește acquis-ul Schengen la care participă.

272

| (178) | În conformitate cu articolele 2 și 2a din Protocolul nr. 22 privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Danemarca nu este obligată să aplice normele prevăzute în Directiva (UE) 2016/680 și, prin urmare, în prezenta decizie de punere în aplicare și nici nu face obiectul aplicării lor care se referă la prelucrarea datelor cu caracter personal de către statele membre atunci când desfășoară activități care intră sub incidența părții a treia titlul V capitolul 4 sau capitolul 5 din TFUE. Cu toate acestea, având în vedere faptul că Directiva (UE) 2016/680 se întemeiază pe acquis-ul Schengen, Danemarca, în conformitate cu articolul 4 din protocolul respectiv, a notificat la data de 26 octombrie 2016 decizia sa de a pune în aplicare Directiva (UE) 2016/680. Prin urmare, Danemarca are obligația, în temeiul dreptului internațional, să pună în aplicare prezenta decizie de punere în aplicare. |
| --- | --- |

(178)

În conformitate cu articolele 2 și 2a din Protocolul nr. 22 privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Danemarca nu este obligată să aplice normele prevăzute în Directiva (UE) 2016/680 și, prin urmare, în prezenta decizie de punere în aplicare și nici nu face obiectul aplicării lor care se referă la prelucrarea datelor cu caracter personal de către statele membre atunci când desfășoară activități care intră sub incidența părții a treia titlul V capitolul 4 sau capitolul 5 din TFUE. Cu toate acestea, având în vedere faptul că Directiva (UE) 2016/680 se întemeiază pe acquis-ul Schengen, Danemarca, în conformitate cu articolul 4 din protocolul respectiv, a notificat la data de 26 octombrie 2016 decizia sa de a pune în aplicare Directiva (UE) 2016/680. Prin urmare, Danemarca are obligația, în temeiul dreptului internațional, să pună în aplicare prezenta decizie de punere în aplicare.

| (179) | În ceea ce privește Islanda și Norvegia, prezenta decizie de punere în aplicare constituie o dezvoltare a dispozițiilor acquis-ului Schengen, astfel cum prevede Acordul încheiat de Consiliul Uniunii Europene și Republica Islanda și Regatul Norvegiei privind asocierea acestor două state la implementarea, aplicarea și dezvoltarea acquis-ului Schengen (273). |
| --- | --- |

(179)

În ceea ce privește Islanda și Norvegia, prezenta decizie de punere în aplicare constituie o dezvoltare a dispozițiilor acquis-ului Schengen, astfel cum prevede Acordul încheiat de Consiliul Uniunii Europene și Republica Islanda și Regatul Norvegiei privind asocierea acestor două state la implementarea, aplicarea și dezvoltarea acquis-ului Schengen (273).

273

| (180) | În ceea ce privește Elveția, prezenta decizie de punere în aplicare constituie o dezvoltare a dispozițiilor acquis-ului Schengen, astfel cum prevede Acordul între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană cu privire la asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (274). |
| --- | --- |

(180)

În ceea ce privește Elveția, prezenta decizie de punere în aplicare constituie o dezvoltare a dispozițiilor acquis-ului Schengen, astfel cum prevede Acordul între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană cu privire la asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (274).

274

| (181) | În ceea ce privește Liechtenstein, prezenta decizie de punere în aplicare constituie o dezvoltare a dispozițiilor acquis-ului Schengen, astfel cum se prevede în Protocolul dintre Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (275), |
| --- | --- |

(181)

În ceea ce privește Liechtenstein, prezenta decizie de punere în aplicare constituie o dezvoltare a dispozițiilor acquis-ului Schengen, astfel cum se prevede în Protocolul dintre Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (275),

275

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

În sensul articolului 36 din Directiva (UE) 2016/680, Regatul Unit garantează un nivel adecvat de protecție a datelor cu caracter personal transferate din Uniunea Europeană către autoritățile publice ale Regatului Unit responsabile cu prevenirea, depistarea, investigarea sau urmărirea penală a infracțiunilor sau cu executarea pedepselor.

Articolul 2

Ori de câte ori autoritățile de supraveghere competente din statele membre, pentru a proteja persoanele fizice în ceea ce privește prelucrarea datelor cu caracter personal, își exercită competențele în temeiul articolului 47 din Directiva (UE) 2016/680 în ceea ce privește transferurile de date către autoritățile publice ale Regatului Unit care intră în domeniul de aplicare prevăzut la articolul 1, statul membru în cauză informează fără întârziere Comisia.

Articolul 3

(1)   Comisia monitorizează în permanență aplicarea cadrului juridic pe care se bazează prezenta decizie, inclusiv condițiile în care se efectuează transferurile ulterioare și se exercită drepturile individuale, pentru a evalua dacă Regatul Unit continuă să asigure un nivel adecvat de protecție în sensul articolului 1.

(2)   Statele membre și Comisia se informează reciproc cu privire la cazurile în care comisarul pentru informații, sau orice altă autoritate competentă a Regatului Unit nu asigură respectarea cadrului juridic pe care se bazează prezenta decizie.

(3)   Statele membre și Comisia se informează reciproc atât cu privire la orice indiciu potrivit căruia atingerile aduse de autoritățile publice din Regatul Unit dreptului persoanelor fizice la protecția datelor cu caracter personal depășesc ceea ce este strict necesar, cât și cu privire la faptul că nu există o protecție juridică eficace împotriva unor astfel de atingeri.

(4)   În cazul în care Comisia are indicii că nu mai este asigurat un nivel adecvat de protecție, Comisia informează autoritățile competente din Regatul Unit și poate suspenda, abroga sau modifica prezenta decizie.

(5)   Comisia poate suspenda, abroga sau modifica prezenta decizie în cazul în care lipsa de cooperare a autorităților Regatului Unit împiedică Comisia să stabilească dacă este afectată constatarea de la articolul 1.

Articolul 4

Prezenta decizie expiră la 27 iunie 2025, cu excepția cazului în care este prelungită în conformitate cu procedura menționată la articolul 58 alineatul (2) din Directiva (UE) 2016/680.

Articolul 5

Prezenta decizie se adresează statelor membre.

Adoptată la Bruxelles, 28 iunie 2021.

Pentru Comisie

Didier REYNDERS

Membru al Comisiei

---

(1)  
  JO L 119, 4.5.2016, p. 89.

1

(2)  A se vedea considerentul 64 din Directiva (UE) 2016/680.

2

(3)  A se vedea, cel mai recent, cauza C-311/18, Maximillian Schrems/Data Protection Commissioner („Schrems II”) ECLI:EU:C:2020:559.

3

(4)  A se vedea Recomandările 01/2021 cu privire la criteriile de referință privind caracterul adecvat al nivelului de protecție în temeiul Directivei privind protecția datelor în materie de asigurare a respectării legii, adoptate în februarie 2021, disponibile la următoarea adresă: https://edpb.europa.eu/our-work-tools/general-guidance/police-justice-guidelines-recommendations-best-practices_ro

4

(5)  Cauza C-362/14, Maximillian Schrems/Data Protection Commissioner („Schrems”), ECLI:EU:C:2015:650, punctul 73.

5

(6)  Schrems, punctul 74.

6

(7)  A se vedea Comunicarea Comisiei către Parlamentul European și Consiliu, „Schimbul de date cu caracter personal și protecția acestora într-o lume globalizată”, COM(2017)7 din 10.1.2017, secțiunea 3.1, p. 6-7, disponibilă la următoarea adresă: https://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:52017DC0007&from=EN

7

(8)  Legea privind protecția datelor din 2018, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2018/12/contents

8

(9)  UK Explanatory Framework for Adequacy Discussions (Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat), secțiunea F: Asigurarea respectării legii, disponibilă la următoarea adresă:https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872237/F_-_Law_Enforcement_.pdf

9

(10)  Principiile Convenției 108 au fost transpuse inițial în legislația Regatului Unit prin Legea privind protecția datelor (DPA – Data Protection Act) din 1984, care a fost înlocuită de DPA din 1998 și apoi, la rândul său, de DPA din 2018 (coroborat cu RGPD al Regatului Unit). Regatul Unit a semnat, de asemenea, Protocolul de modificare a Convenției pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (cunoscută sub denumirea de „Convenția 108+”) în 2018 și lucrează în prezent la ratificarea convenției.

10

(11)  Articolele 6 și 8 din CEDO (a se vedea, de asemenea, anexa 1 la Legea privind drepturile omului din 1998).

11

(12)  Secțiunea 6 din Legea privind drepturile omului din 1998.

12

(13)  Secțiunea 3 din Legea privind drepturile omului din 1998.

13

(14)  Acord privind retragerea Regatului Unit al Marii Britanii și Irlandei de Nord din Uniunea Europeană și din Comunitatea Europeană a Energiei Atomice 2019/C 384 I/01, XT/21054/2019/INIT (JO C 384 I, 12.11.2019, p. 1) (denumit în continuare „Acord de retragere”), disponibil la următoarea adresă: https://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=EN

14

(15)  European Union (Withdrawal) Act 2018 [Legea din 2018 privind Uniunea Europeană (retragere)], disponibil la următoarea adresă: https://www.legislation.gov.uk/ukpga/2018/16/contents

15

(16)  Legea privind protecția datelor din 2018, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2018/12/contents

16

(17)  Secțiunea 6 din EUWA 2018.

17

(18)  Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentele din 2019 privind protecția datelor, a vieții private și comunicațiile electronice (modificări etc.) (ieșirea din UE)], disponibile la următoarea adresă: https://www.legislation.gov.uk/uksi/2019/419/contents/made, astfel cum au fost modificate prin DPPEC din 2020, disponibile la următoarea adresă: https://www.legislation.gov.uk/ukdsi/2020/9780348213522

18

(19)  Regulamentele în materie de ieșire aduc o serie de modificări părții 3 din DPA din 2018. Multe dintre acestea sunt modificări de ordin tehnic, cum ar fi eliminarea trimiterilor la „statul membru” sau la „Directiva privind protecția datelor în materie de asigurare a respectării legii” [a se vedea, de exemplu, secțiunea 48 punctul 8 sau secțiunea 73 punctul 5 litera (a) din DPA din 2018 cu „dreptul intern”], astfel încât partea 3 să funcționeze efectiv ca drept intern după încheierea perioadei de tranziție. În unele cazuri au fost necesare alte tipuri de modificări, de exemplu referitor la „cine” adoptă „decizii privind caracterul adecvat al nivelului de protecție” în sensul cadrului legislativ al Regatului Unit privind protecția datelor (a se vedea secțiunea 74A din DPA din 2018), și anume secretarul de stat în locul Comisiei Europene.

19

(20)  Pentru o explicație mai detaliată privind forțele de poliție și competențele acestora în Regatul Unit, a se vedea: UK Explanatory Framework for Adequacy Discussions (Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat), secțiunea F: Asigurarea respectării legii (a se vedea nota de subsol 9).

20

(21)  Codul de bune practici în materie de principii și standarde de conduită profesională pentru profesioniștii din domeniul polițienesc din Anglia și Țara Galilor (The Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales), disponibil la următoarea adresă: https://www.college.police.uk/What-we-do/Ethics/Documents/Code_of_Ethics.pdf; Codul deontologic al Serviciului de Poliție din Irlanda de Nord (Police Service Northern Ireland Code of Ethic), disponibil la următoarea adresă: https://www.nipolicingboard.org.uk/psni-code-ethics; Codul deontologic pentru activitățile polițienești din Scoția (Code of Ethic for policing in Scotland), disponibil la următoarea adresă: https://www.scotland.police.uk/about-us/code-of-ethics-for-policing-in-scotland/

21

The Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales

Police Service Northern Ireland Code of Ethic

Code of Ethic for policing in Scotland

(22)  Codul de bune practici privind gestionarea informațiilor cu caracter polițienesc (Code of Practice on the Management of Police Information), disponibil la următoarea adresă:http://library.college.police.uk/docs/APPref/Management-of-Police-Information.pdf

22

Code of Practice on the Management of Police Information

(23)  Legea privind poliția din 1996, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/1996/16/contents

23

(24)  Codurile de bune practici ale Legii britanice din 1984 privind funcționarea Poliției și administrarea probelor penale (Police and Criminal Evidence Act – PACE), disponibile la următoarea adresă: https://www.gov.uk/guidance/police-and-criminal-evidence-act-1984-pace-codes-of-practice

24

Police and Criminal Evidence Act

(25)  Legea britanică din 1984 privind funcționarea Poliției și administrarea probelor penale (Police and Criminal Evidence Act), disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/1984/60/contents

25

Police and Criminal Evidence Act

(26)  Practici profesionale autorizate privind gestionarea informațiilor cu caracter polițienesc (Authorised Professional Practice on the Management of Police Information), disponibile la următoarea adresă: https://www.app.college.police.uk/app-content/information-management/management-of-police-information/

26

Authorised Professional Practice on the Management of Police Information

(27)  Manualul privind protecția datelor pentru profesioniștii în materie de protecție a datelor în domeniul poliției (Data Protection Manual for Police Data Protection Professionals), disponibil la următoarea adresă: https://www.npcc.police.uk/2019%20FOI/IMORCC/225%2019%20NPCC%20DP%20Manual%20Draft%200.11%20Mar%202019.pdf

27

Data Protection Manual for Police Data Protection Professionals

(28)  De exemplu, Codul de bune practici privind MoPI (a se vedea nota de subsol 22) se aplică în ceea ce privește păstrarea informațiilor serviciilor de poliție operaționale (a se vedea considerentul 47 din prezenta decizie).

28

(29)  Potrivit informațiilor furnizate de autoritățile Regatului Unit, în timpul discuțiilor privind caracterul adecvat al nivelului de protecție, Colegiul de Poliție era în curs de elaborare a unui Cod de bune practici de gestionare a informațiilor și a evidențelor pentru a înlocui MoPI. Proiectul de cod a fost publicat pentru consultare publică la 25 ianuarie 2021 și este disponibil la următoarea adresă: https://www.college.police.uk/article/information-records-management-consultation

29

(30)  În cauza R/Comisarul Poliției Metropolitane [2014] EWCA Civ 585, statutul juridic al Codului de bune practici privind MoPI a fost confirmat, iar Lord Justice Laws a declarat că, în conformitate cu secțiunea 39A din Legea privind poliția din 1996, Comisarul Poliției Metropolitane este obligat să respecte Codul de bune practici privind MoPI și Orientările APP privind gestionarea informațiilor cu caracter polițienesc.

30

(31)  Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (HMICFRS) verifică respectarea de către Poliție a Codului de bune practici privind MoPI.

31

(32)  A se vedea, în acest sens, poziția Colegiului de Poliție cu privire la respectarea orientărilor APP cu privire la toate elementele activității polițienești, care explică faptul că „APP este autorizată de organismul profesional de poliție (Colegiul de Poliție) ca sursă oficială de practică profesională în domeniul polițienesc. Funcționarii și personalul poliției trebuie să aibă în vedere APP în îndeplinirea responsabilităților care le revin. Cu toate acestea, pot exista circumstanțe în care există un motiv legitim din punct de vedere operațional pentru ca o Forță să se abată de la APP, cu condiția să existe o justificare clară în acest sens. Forța ar trebui să își asume responsabilitatea oricărui risc local și național de funcționare în afara orientărilor convenite la nivel național și, în cazul în care are loc un incident sau o anchetă în consecință (de exemplu, prin intermediul Biroului independent de conduită al poliției), Forța este răspunzătoare pentru orice risc.”, disponibilă la următoarea adresă https://www.app.college.police.uk/faq-page/

32

(33)  Ghid privind prelucrarea datelor în scopul asigurării respectării legii, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/

33

(34)  A se vedea cauza Bridges/the Chief Constable of South Wales Police [2019] EWHC 2341 (Admin), în care, deși a luat act de caracterul nestatutar al orientărilor comisarului, Înalta Curte a declarat că „[î]n contextul analizării respectării sau nu de către un operator de date a obligației prevăzute la secțiunea 64 [de realizare a unei evaluări a impactului asupra protecției datelor în ceea ce privește prelucrarea cu risc ridicat], o instanță va ține seama de orientările emise de comisarul pentru informații cu privire la evaluările impactului asupra protecției datelor”.

34

(35)  Printre acestea, anexa 7 la DPA din 2018 enumeră directorii procurorilor, directorul procurorilor din Irlanda de Nord sau comisarul pentru informații.

35

(36)  Secțiunea 43 punctul 3 din DPA din 2018.

36

(37)  Secțiunea 30 punctul 3 din DPA din 2018. Serviciile de informații (Serviciul Secret de Informații, Serviciul de Securitate și Cartierul General pentru Comunicații al Guvernului Regatului Unit) nu sunt autorități competente (a se vedea secțiunea 30 punctul 2 din DPA din 2018), iar partea 3 din DPA din 2018 nu se aplică niciuneia dintre activitățile desfășurate de acestea. Activitățile lor intră în domeniul de aplicare al DPA din 2018, partea 4.

37

(38)  Secțiunea 31 din DPA din 2018.

38

(39)  Aceasta înseamnă că DPA din 2018 și, prin urmare, prezenta decizie nu se aplică teritoriilor dependente ale Coroanei Britanice și celorlalte teritorii de peste mări ale Regatului Unit, cum ar fi, de exemplu, Insulele Falkland și teritoriul Gibraltarului.

39

(40)  Datele cu caracter personal referitoare la persoana decedată nu intră în domeniul de aplicare al DPA din 2018.

40

(41)  Secțiunea 35 punctul 8 din DPA din 2018.

41

(42)  
  „Date biometrice” înseamnă date cu caracter personal care rezultă în urma unor tehnici de prelucrare specifice, referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane fizice, care permit sau confirmă identificarea unică a respectivei persoane fizice, cum ar fi imaginile faciale sau datele dactiloscopice.

42

(43)  
  „Date privind sănătatea” înseamnă date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv acordarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia.

43

(44)  
  „Date genetice” înseamnă datele cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane fizice, care oferă informații unice privind fiziologia sau sănătatea respectivei persoane fizice, astfel cum rezultă în special în urma unei analize a unei probe biologice prelevate de la acea persoană fizică.

44

(45)  Notele explicative la DPA din 2018, punctul 181, disponibile la următoarea adresă: https://www.legislation.gov.uk/ukpga/2018/12/pdfs/ukpgaen_20180012_en.pdf

45

(46)  Agenția Națională pentru Combaterea Criminalității, de exemplu, are conferite competențe în temeiul Legii privind criminalitatea și instanțele (Crime and Courts Act) din 2013, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2013/22/contents. În mod similar, competențele Agenției pentru Standarde Alimentare sunt prevăzute în Legea privind standardele alimentare (Food Standards Act) din 1999, disponibilă la următoarea adresă:https://www.legislation.gov.uk/ukpga/1999/28/contents. Alte exemple includ Legea din 1985 privind urmărirea penală a infractorilor (Prosecution of Offenders Act), care a creat Ministerul Public (Crown Prosecution Service) (a se vedea https://www.legislation.gov.uk/ukpga/1985/23/contents); Comisarii desemnați în temeiul Legii fiscale și vamale din 2005 (Revenue and Customs Act), care au instituit Administrația Fiscală și Vamală din Regatul Unit (Her Majesty’s Revenue and Customs) (a se vedea https://www.legislation.gov.uk/ukpga/2005/11/contents); Legea din 1995 privind procedura penală (Scoția), care a creat Comisia scoțiană de revizuire a cauzelor penale (a se vedea https://www.legislation.gov.uk/ukpga/1995/46/contents); Legea justiției din 2002 (Irlanda de Nord), care a instituit Ministerul Public în Irlanda de Nord (a se vedea https://www.legislation.gov.uk/ukpga/2002/26/contents) și Oficiul de combatere a cazurilor grave de fraudă a fost creat, fiindu-i conferite competențe în temeiul Legii justiției penale din 1987 (a se vedea https://www.legislation.gov.uk/ukpga/1987/38/contents).

46

Crime and Courts Act

Food Standards Act

Prosecution of Offenders Act

Crown Prosecution Service

Revenue and Customs Act

Her Majesty’s Revenue and Customs

(47)  De exemplu, potrivit informațiilor furnizate de autoritățile Regatului Unit, în cadrul Ministerului Public (Crown Office and Procurator Fiscal Service), responsabil cu urmărirea penală a cauzelor din Scoția, Lord Advocate, care este șeful sistemului de urmărire penală din Scoția, are competența de a investiga decesele și de a urmări penal infracțiunile în temeiul common law, în timp ce o parte din atribuțiile sale sunt prevăzute în statut. În plus, Coroana și, prin extensie, diverse guverne, departamente și miniștri, își întemeiază, de asemenea, competențele pe baza unei combinații de legi, de common law și de prerogative regale (acestea sunt competențe în domeniul common law conferite Coroanei, dar care sunt exercitate de miniștri).

47

Crown Office and Procurator Fiscal Service

(48)  
  UK Explanatory Framework for adequacy Discussions (Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat), secțiunea F: Asigurarea respectării legii, pagina 8 (a se vedea nota de subsol 9).

48

UK Explanatory Framework for adequacy Discussions

(49)  Actele legislative cheie care prevăd regimul principalelor competențe polițienești (arestarea, perchezițiile, autorizarea menținerii în detenție, amprentarea, prelevarea probelor biologice, interceptarea mandatelor, accesul la datele de comunicare) sunt: (i) pentru Anglia și Țara Galilor, Legea din 1984 privind funcționarea Poliției și administrarea probelor penale (Police and Criminal Evidence Act) (PACE), disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/1984/60/contents [astfel cum a fost modificată prin Legea din 2012 privind apărarea libertăților (Protection of Freedoms Act) (PoFA)], disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2012/9/contents) și Legea din 2016 privind competențele de investigare (Investigatory Powers Act) (IPA), disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2016/25/contents), (ii) pentru Scoția, Legea scoțiană privind justiția penală din 2016, disponibilă la următoarea adresă: https://www.legislation.gov.uk/asp/2016/1/contents, și Legea scoțiană privind procedura penală din 1995, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/1995/46/contents (iii) pentru Irlanda de Nord, Ordinul nord-irlandez din 1989 privind funcționarea Poliției și administrarea probelor penale (Police and Criminal Evidence Order), disponibil la următoarea adresă: https://www.legislation.gov.uk/nisi/1989/1341/contents

49

Police and Criminal Evidence Act

Protection of Freedoms Act

Investigatory Powers Act

Police and Criminal Evidence Order

(50)  Autoritățile Regatului Unit au explicat că supremația dreptului material este consacrată de mult timp în Regatul Unit, încă de la pronunțarea hotărârii în cauza Entick/Carrington [1765] EWHC KB J98, care a recunoscut că există limitări ale exercitării competențelor de către puterea executivă și a stabilit principiul conform căruia competențele în domeniul common law și competențele prerogative ale monarhului și guvernului sunt subordonate legii țării.

50

(51)  A se vedea cauza Rice/Connolly [1966] 2 QB 414.

51

(52)  A se vedea cauza R(Catt)/Association of Chief police Officers [2015] AC 1065, în care, în ceea ce privește competența poliției de a obține și de a deține informații cu privire la o persoană fizică (care a comis o infracțiune), Lord Sumption a susținut că, în temeiul common law, poliția are competența de a obține și de a stoca informații în scopuri polițienești, și anume, în general, pentru menținerea ordinii publice și prevenirea și depistarea infracțiunilor. Aceste competențe nu autorizează metode intruzive de obținere a informațiilor, cum ar fi intrarea pe proprietăți private sau acte (altele decât arestarea în temeiul competențelor în domeniul common law) care ar constitui un atac. Judecătorul a considerat că, în această cauză, competențele în domeniul common law sunt în mare măsură suficiente pentru a autoriza obținerea și stocarea tipului de informații publice în cauză cu privire la aceste recursuri.

52

(53)  Legea privind egalitatea din 2010, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2010/15/contents

53

(54)  Pentru un exemplu de cauză în care competențele în domeniul common law ale poliției sunt evaluate în cadrul DPA din 1998, a se vedea hotărârea Înaltei Curți în cauza Bridges/the Chief Constable of South Wales Police (a se vedea nota de subsol 33). A se vedea, de asemenea, cauzele Vidal-Hall/Google Inc [2015] EWCA Civ 311 și Richard/BBC [2018] EWHC 1837 (Ch).

54

(55)  A se vedea, de exemplu, orientările Serviciului de Poliție din Irlanda de Nord cu privire la instrucțiunile serviciului de gestionare a evidențelor, disponibile la următoarea adresă: https://www.psni.police.uk/globalassets/advice--information/our-publications/policies-and-service-procedures/records-management-080819.pdf

55

(56)  Camera Comunelor a publicat un document de informare care stabilește principalele competențe legale și în domeniul common law ale serviciului de poliție din Anglia și Țara Galilor (a se vedea https://researchbriefings.files.uk/documents/CBP-8637/CBP-8637.pdf). Potrivit acestui document, de exemplu, în vreme ce competențele de a menține „pacea Coroanei” reprezintă competențe derivate din common law, ca și „utilizarea forței”, „competențele de oprire de către poliție în vederea efectuării unui control și de percheziție” derivă întotdeauna din Statut. În plus, guvernul scoțian furnizează pe site-ul său web informații cu privire la competențele poliției în materie de arestare și de oprire în vederea efectuării unui control și de percheziție (a se vedea https://www.gov.scot/policies/police/police-powers/).

56

(57)  Potrivit informațiilor furnizate de autoritățile Regatului Unit, prerogativele exercitate de guvern includ, de exemplu, elaborarea și ratificarea tratatelor, aplicarea diplomației, utilizarea forțelor armate pe teritoriul Regatului Unit pentru a menține pacea în sprijinul poliției.

57

(58)  În acest sens, a se vedea evaluarea regimului de transfer ulterior al Regatului Unit în considerentele 74-87.

58

(59)  A se vedea cauza Bancoult/Secretary of State for Foreign and Commonwealth Affairs [2008] UKHL 61, în care instanțele au considerat că prerogativa de a emite ordine în Consiliu era, de asemenea, supusă motivelor obișnuite de control jurisdicțional.

59

(60)  A se vedea cauza Attorney-General/De Keyser’s Royal Hotel Ltd [1920] [1920] AC 508, în care instanța a considerat că prerogativele nu pot fi exercitate atunci când le înlocuiesc competențele legale; cauza Laker Airways Ltd/Department of Trade [1977] QB 643, în care instanța a constatat că prerogativele nu pot fi utilizate pentru a aduce atingere dreptului material; cauza R/Secretary of State for the Home Department, ex p. Fire Brigades Union [1995] UKHL 3, în care instanța a considerat că prerogativele nu pot fi utilizate în cazul în care acestea intră în conflict cu legislația adoptată, chiar și atunci când legislația adoptată nu este încă în vigoare; cauza R (Miller)/Secretary of State for Exiting the European Union [2017] UKSC 5, în care instanța a confirmat capacitatea dreptului material de a ajusta și de a elimina prerogativele. Pentru o perspectivă generală asupra relației dintre prerogativele regale și competențele statutare sau în domeniul common law, a se vedea nota de informare a Camerei Comunelor, disponibilă la următoarea adresă: https://researchbriefings.files.parliament.uk/documents/SN03861/SN03861.pdf

60

(61)  Ghid privind prelucrarea datelor în scopul asigurării respectării legii, „Care este sensul primului principiu?” disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/principles/#ib2

61

(62)  Acest lucru rezultă din formularea dispoziției relevante din DPA din 2018, potrivit căreia prelucrarea datelor cu caracter personal în oricare dintre scopurile de asigurare a respectării legii este legală numai dacă și în măsura în care „aceasta se întemeiază pe lege” și fie (a) persoana vizată și-a dat consimțământul pentru prelucrare în acest scop, fie (b) prelucrarea este necesară pentru îndeplinirea unei sarcini în acest scop de către o autoritate competentă.

62

(63)  A se vedea considerentele 35 și 37 din Directiva (UE) 2016/680.

63

(64)  Autoritățile Regatului Unit au explicat că un exemplu de situație în care consimțământul poate constitui o bază adecvată pentru prelucrare ar fi cazul în care poliția obține un eșantion de ADN în legătură cu o persoană dispărută pentru a-l compara cu un trup neînsuflețit eventual găsit. În astfel de circumstanțe, ar fi inadecvat ca poliția să oblige persoana vizată să furnizeze un eșantion; în schimb, poliția ar trebui să solicite consimțământul persoanei fizice, care este acordat în mod liber și poate fi retras în orice moment. În cazul în care consimțământul este retras, datele nu mai pot fi prelucrate, cu excepția cazului în care s-a stabilit un nou temei juridic pentru continuarea prelucrării eșantionului (de exemplu, persoana vizată a devenit suspectă). Un alt exemplu ar putea apărea atunci când o forță de poliție investighează o infracțiune în care o victimă (ar putea fi victima unei tâlhării, a unei infracțiuni sexuale, a violenței domestice, rude ale unei omucideri sau alte victime ale infracțiunilor) ar putea beneficia de o trimitere la serviciul de sprijinire a victimelor (o organizație de caritate independentă dedicată sprijinirii persoanelor afectate de acte de criminalitate și de incidente traumatice). În astfel de circumstanțe, poliția va transmite serviciului de sprijinire a victimelor doar informații cu caracter personal referitoare la nume și date de contact, numai cu consimțământul victimei în acest sens.

64

(65)  Nu există o definiție separată a „consimțământului” în scopul prelucrării datelor cu caracter personal în temeiul părții 3 din DPA din 2018. ICO a oferit orientări cu privire la noțiunea de „consimțământ” în temeiul DPA din 2018, partea 3, clarificând faptul că acesta are același înțeles și ar trebui să fie aliniat la definiția prevăzută în RGPD, în special „consimțământul trebuie să fie acordat în mod liber, specific și în cunoștință de cauză și trebuie să existe o alegere reală în ceea ce privește acceptarea prelucrării datelor” [Ghid privind prelucrarea datelor în scopul asigurării respectării legii, „Care este sensul primului principiu?” (a se vedea nota de subsol 64) și Ghidul privind protecția datelor în materie de consimțământ, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/).

65

(66)  A se vedea, de exemplu, informațiile de pe pagina web a poliției din Lincolnshire (https://www.lincs.police.uk/resource-library/data-protection/law-enforcement-processing/) sau de pe pagina web a poliției din West Yorkshire (https://www.westyorkshire.police.uk/sites/default/files/2018-06/data_protection.pdf).

66

(67)  Secțiunea 35 punctul 8 din DPA din 2018.

67

(68)  Secțiunea 35 punctul 4 din DPA din 2018.

68

(69)  Secțiunea 35 punctul 5 din DPA din 2018.

69

(70)  Din motive de exhaustivitate, trebuie remarcat faptul că, atunci când prelucrarea se bazează pe consimțământ, acesta trebuie să fie acordat în mod liber, specific și în cunoștință de cauză și trebuie să existe o alegere specifică în ceea ce privește acceptarea datelor prelucrate. În plus, atunci când prelucrează date pe baza consimțământului persoanei vizate, operatorul trebuie să dispună de un „document de politică adecvat” (appropriate policy document – APD). Secțiunea 42 din DPA din 2018 prezintă cerințele pe care trebuie să le îndeplinească APD. În aceasta se precizează că documentul trebuie cel puțin să explice procedurile operatorului de asigurare a respectării principiilor privind protecția datelor și să explice politicile operatorului în ceea ce privește păstrarea și ștergerea datelor cu caracter personal. În conformitate cu secțiunea 42 din DPA din 2018, aceasta înseamnă că operatorul trebuie să prezinte un document care (a) explică procedurile operatorului de asigurare a conformității cu principiile privind protecția datelor; și (b) explică politicile operatorului în ceea ce privește păstrarea și ștergerea datelor cu caracter personal prelucrate pe baza consimțământului persoanei vizate sau indicând perioada probabilă de păstrare a acestor date cu caracter personal. În special, documentul de politică prevede că operatorul, respectându-și obligația de înregistrare a activităților de prelucrare, ar trebui să includă întotdeauna elementele menționate la literele (a) și (b). ICO a publicat un model de document (Ghid privind prelucrarea datelor în scopul asigurării respectării legii. „Condiții de prelucrare a datelor sensibile”, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/conditions-for-sensitive-processing) și pot lua măsuri de asigurare a respectării legii în cazul în care operatorii nu îndeplinesc aceste cerințe. APD este, de asemenea, consultat de instanțe atunci când se iau în considerare posibile încălcări ale DPA din 2018. De exemplu, în cauza recentă R (Bridges)/Chief Constable of South Wales Police, instanțele au analizat APD-ul operatorului și au constatat că acesta este adecvat, însă ar fi avut nevoie de mai multe detalii. Prin urmare, poliția din sudul Țării Galilor a revizuit APD și l-a actualizat în conformitate cu noile orientări ale ICO (a se vedea nota de subsol 33). În plus, în conformitate cu secțiunea 42 punctul 3 din DPA din 2018, APD ar trebui să facă obiectul unei revizuiri periodice de către operator. În cele din urmă, ca o garanție suplimentară, în conformitate cu secțiunea 42 punctul 4 din DPA din 2018, operatorul are obligația de a ține o evidență consolidată a activităților de prelucrare, inclusiv elemente suplimentare față de obligația generală care îi revine operatorului de a ține evidențe ale activităților de prelucrare prevăzute în secțiunea 61 din DPA din 2018.

70

(71)  Ghid privind prelucrarea datelor în scopul asigurării respectării legii, „Condiții de prelucrare a datelor sensibile” (a se vedea nota de subsol 70).

71

(72)  Prelucrarea se efectuează fără consimțământul persoanei vizate atunci când: (a) consimțământul pentru prelucrare nu poate fi acordat de persoana vizată; (b) nu se poate aștepta în mod rezonabil ca operatorul să obțină consimțământul persoanei vizate pentru prelucrare; (c) prelucrarea trebuie efectuată fără consimțământul persoanei vizate, deoarece obținerea consimțământului persoanei vizate ar aduce atingere dispoziției privind protecția menționată la subpunctul 1 litera (a).

72

(73)  A se vedea secțiunea 41 punctul 1 din DPA din 2018.

73

(74)  A se vedea secțiunea 41 punctul 2 din DPA din 2018.

74

(75)  Secțiunea 205 din DPA din 2018 definește termenul „inexact” ca referindu-se la date cu caracter personal „incorecte sau înșelătoare”. Autoritățile Regatului Unit au explicat că este tipic faptul că datele referitoare la cercetările penale vor fi adesea incomplete, dar indiferent de acest lucru, pot fi exacte.

75

(76)  Secțiunea 38 punctul 1 litera (b) din DPA din 2018.

76

(77)  În conformitate cu Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, „acest lucru asigură recunoașterea atât a drepturilor persoanelor vizate, cât și a nevoilor operaționale ale agențiilor responsabile de asigurarea respectării legii. Punctul de mai sus a fost analizat cu atenție în cursul etapelor de elaborare a proiectului de lege privind protecția datelor, întrucât pot exista motive operaționale specifice și limitate pentru care datele nu pot fi rectificate. Cel mai probabil, acest lucru se va întâmpla dacă datele cu caracter personal inexacte în cauză trebuie păstrate în forma lor originală în scopuri probatorii” (a se vedea Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, secțiunea F: Asigurarea respectării legii, pagina 21, a se vedea nota de subsol 9).

77

(78)  Secțiunea 38 punctul 4 din DPA din 2018. În plus, în temeiul secțiunii 38 punctul 5 din DPA din 2018, calitatea datelor cu caracter personal trebuie verificată înainte ca acestea să fie transmise sau puse la dispoziție, în toate cazurile de transmitere a datelor cu caracter personal, informațiile necesare ce permit destinatarului să evalueze gradul de exactitate, de exhaustivitate și de fiabilitate a datelor, precum și măsura în care acestea sunt actualizate trebuie incluse și, în cazul în care, după transmiterea datelor cu caracter personal, rezultă că datele au fost incorecte sau că transmiterea a fost ilegală, destinatarul trebuie să fie informat fără întârziere.

78

(79)  Secțiunea 38 punctul 2 din DPA din 2018.

79

(80)  Secțiunea 38 punctul 3 din DPA din 2018.

80

(81)  Acest cadru asigură coerența în ceea ce privește aplicarea stocării datelor cu caracter personal obținute. Perioada de reexaminare depinde de tipul de infracțiuni, care sunt împărțite în 4 grupe: (1) anumite aspecte legate de protecția publică; (2) alte infracțiuni violente și grave de natură sexuală; (3) toate celelalte infracțiuni; (4) diverse. Mai multe detalii sunt disponibile în Orientările APP privind gestionarea informațiilor cu caracter polițienesc (a se vedea nota de subsol 26).

81

(82)  Potrivit informațiilor furnizate de autoritățile Regatului Unit, alte organizații sunt libere să respecte principiile Codului de bune practici al MoPI dacă doresc, de exemplu, Administrația Fiscală și Vamală din Regatul Unit și Agenția Națională pentru Combaterea Criminalității adoptă în mod voluntar multe dintre principiile Codului de bune practici privind MoPI pentru a asigura coerența în materie de asigurare a respectării legii. În general, majoritatea organizațiilor vor pune la dispoziția personalului lor politici și orientări specifice pentru întregul personal cu privire la modul de gestionare a datelor cu caracter personal, ca parte a rolului lor și adaptate în funcție de fiecare organizație în parte. Aceasta ar include, de obicei, și formarea obligatorie.

82

(83)  Codul de bune practici privind MoPI a fost emis prin utilizarea competențelor prevăzute în Legea privind poliția din 1996, care permite Colegiului de Poliție să emită coduri de bune practici în legătură cu funcționarea eficientă a poliției. Orice cod de bune practici elaborat în temeiul legii trebuie să fie aprobat de secretarul de stat și face obiectul consultării Agenției Naționale pentru Combaterea Criminalității înainte de a fi transmis Parlamentului. Secțiunea 39A punctul 7 din Legea privind poliția din 1996 prevede că poliția trebuie să țină seama în mod corespunzător de codurile emise în temeiul Legii privind poliția din 1996.

83

(84)  Manualul PSNI privind MoPI, capitolele 1-6.

84

(85)  Procedura operațională standard privind păstrarea evidențelor (SOP), disponibilă la următoarea adresă: https://www.scotland.police.uk/spa-media/nhobty5i/record-retention-sop.pdf

85

(86)  Pentru mai multe detalii privind gestionarea evidențelor, a se vedea informațiile referitoare la registrele naționale din Scoția, disponibile la următoarea adresă: https://www.nrscotland.gov.uk/record-keeping/records-management

86

(87)  Perioadele de păstrare variază în funcție de faptul dacă o persoană fizică a fost condamnată sau nu (secțiunile 63I-63KI din PACE din 1984). De exemplu, în cazul unui adult condamnat pentru o infracțiune înregistrabilă, amprentele sale digitale și profilul său ADN pot fi păstrate pe o perioadă nedeterminată [secțiunea 63I punctul 2 din PACE din 1984], în timp ce păstrarea este limitată în timp dacă persoana condamnată are sub 18 ani, infracțiunea este o infracțiune „minoră” care poate fi înregistrată, iar persoana nu a fost condamnată anterior (secțiunea 63K din PACE din 1984). Păstrarea în cazul unei persoane arestate sau acuzate, dar necondamnate, este limitată în timp la trei ani (secțiunea 63F din PACE din 1984). Prelungirea acestei perioade de păstrare trebuie să fie aprobată de autoritatea judiciară [secțiunea 63F punctul 7 din PACE din 1984]. În cazul persoanelor arestate sau acuzate, dar care nu au fost condamnate pentru infracțiuni minore, nu este posibilă reținerea acestora (secțiunea 63D și secțiunea 63H din PACE din 1984).

87

(88)  Secțiunea 20 din PoFA din 2012 creează poziția comisarului pentru biometrie. Printre alte funcții, comisarul pentru biometrie decide dacă poliția poate păstra sau nu înregistrările profilurilor ADN și amprentele digitale obținute de la persoanele arestate, dar care nu sunt acuzate de o infracțiune calificată (secțiunea 63G din PACE din 1984). În plus, comisarul pentru biometrie are responsabilitatea generală de a supraveghea păstrarea și utilizarea ADN-ului și a amprentelor digitale, precum și păstrarea din motive de securitate națională (secțiunea 20 punctul 2 din PoFA din 2012). Comisarul pentru biometrie este numit în temeiul Codului privind numirile publice [codul este disponibil la următoarea adresă: Codul de guvernanță pentru numirile publice – GOV.UK (www.gov.uk)], iar condițiile numirii sale indică în mod clar faptul că acesta poate fi demis din funcție de către ministrul de interne numai în anumite circumstanțe definite în mod strict; printre acestea se numără neexercitarea atribuțiilor sale pentru o perioadă de trei luni, condamnarea pentru săvârșirea unei infracțiuni sau nerespectarea condițiilor numirii sale.

88

(89)  Review of the Use and Retention of Custody Images (Revizuirea utilizării și păstrării imaginilor de custodie), disponibil la următoarea adresă: https://www.gov.uk/government/publications/custody-images-review-of-their-use-and-retention

89

(90)  Secțiunea 18 și următoarele din Legea scoțiană privind procedura penală din 1995.

90

(91)  Perioadele de păstrare variază în funcție de condamnarea sau nu a persoanei (secțiunea 18 punctul 3 din Legea scoțiană privind procedura penală din 1995) sau de calitatea sa de minor. În acest din urmă caz, perioada de păstrare este de 3 ani de la condamnarea în cadrul audierii copiilor (secțiunea 18E punctul 8 din Legea scoțiană privind procedura penală din 1995). Datele persoanelor arestate, dar care nu au fost condamnate nu pot fi păstrate (secțiunea 18 punctul 3 din Legea scoțiană privind procedura penală din 1995), cu excepția cazurilor specifice și în funcție de gravitatea infracțiunii (secțiunea 18A din Legea scoțiană privind procedura penală din 1995). Legea din 2020 privind comisarul scoțian pentru biometrie (The Scottish Biometrics Commissioner Act 2020) (a se vedea https://www.legislation.gov.uk/asp/2020/8/contents) creează poziția de comisar scoțian pentru biometrie, care trebuie să pregătească și să revizuiască coduri de bune practici (aprobate de Parlamentul scoțian) în ceea ce privește dobândirea, păstrarea, utilizarea și distrugerea datelor biometrice în scopul justiției penale și al poliției (secțiunea 7 din Legea din 2020 privind comisarul scoțian pentru biometrie).

91

The Scottish Biometrics Commissioner Act 2020

(92)  În conformitate cu notele explicative la DPA din 2018 (a se vedea nota de subsol 45), operatorul trebuie, în special: să conceapă și să își organizeze securitatea astfel încât să corespundă naturii datelor cu caracter personal pe care le dețin și prejudiciului care ar putea rezulta dintr-o încălcare a securității; să stabilească în mod clar cine este responsabil în cadrul organizației lor pentru asigurarea securității informațiilor; să se asigure că dispun de securitatea fizică și tehnică adecvată, susținută de politici și proceduri solide și de personal de încredere și bine instruit și să fie pregătit să reacționeze rapid și eficace la eventuale situații de încălcare a securității.

92

(93)  Punctul 221 din notele explicative la DPA din 2018 (a se vedea nota de subsol 45).

93

(94)  Secțiunea 67 punctul 4 din DPA din 2018 prevede că notificarea trebuie să includă o descriere a caracterului încălcării securității datelor cu caracter personal (inclusiv, acolo unde este posibil, categoriile și numărul aproximativ al persoanelor vizate în cauză, precum și categoriile și numărul aproximativ al înregistrărilor de date cu caracter personal în cauză), numele și datele de contact ale unui punct de contact, o descriere a consecințelor probabile ale încălcării securității datelor cu caracter personal și o descriere a măsurilor luate sau propuse spre a fi luate de operator pentru a remedia încălcarea securității datelor cu caracter personal (inclusiv, dacă este cazul, măsuri de atenuare a posibilelor efecte negative ale acesteia).

94

(95)  Secțiunea 67 punctul 2 din DPA din 2018.

95

(96)  Secțiunea 67 punctul 6 din DPA din 2018.

96

(97)  Secțiunea 67 punctul 9 din DPA din 2018.

97

(98)  În temeiul secțiunii 68 punctul 7 din DPA din 2018, operatorul poate restricționa, integral sau parțial, furnizarea de informații către persoana vizată în măsura în care și atât timp cât restricția constituie o măsură necesară și proporțională, ținând seama de drepturile fundamentale și de interesele legitime ale persoanei vizate, (a) pentru a nu obstrucționa cercetări, investigații sau proceduri oficiale ori judiciare; (b) pentru a nu prejudicia prevenirea, detectarea, investigarea sau urmărirea penală a infracțiunilor sau executarea sancțiunilor penale; (c) pentru a proteja securitatea publică; (d) pentru a proteja securitatea națională; (e) pentru a proteja drepturile și libertățile celorlalți.

98

(99)  Secțiunea 68 punctul 3 din DPA din 2018.

99

(100)  Secțiunea 68 punctul 5 din DPA din 2018.

100

(101)  Secțiunea 68 punctul 6 din DPA din 2018, sub rezerva prescripției prevăzute în secțiunea 68 punctul 8 din DPA din 2018.

101

(102)  Ghidul privind prelucrarea datelor în scopul asigurării respectării legii prevede următoarele exemple: „Aveți pe site-ul dumneavoastră web o declarație generală de confidențialitate care cuprinde informații de bază despre organizație, scopul prelucrării datelor cu caracter personal, drepturile unei persoane vizate și dreptul acesteia de a depune o plângere la comisarul pentru informații. Ați primit informații potrivit cărora o persoană a fost prezentă în momentul săvârșirii unei infracțiuni. La prima intervievare a acestei persoane, trebuie să furnizați informațiile generice, precum și informațiile justificative suplimentare, pentru a permite exercitarea drepturilor sale. Puteți restricționa prelucrarea corectă a informațiilor pe care le furnizați numai dacă acestea vor afecta în mod negativ cercetarea pe care o întreprindeți” (Ghid privind prelucrarea datelor în scopul asigurării respectării legii, „Ce informații ar trebui să furnizăm unei persoane fizice?”, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib3).

102

(103)  Ghidul privind prelucrarea datelor în scopul asigurării respectării legii prevede că informațiile furnizate cu privire la prelucrarea datelor cu caracter personal trebuie să fie concise, inteligibile și ușor accesibile; sunt redactate într-un limbaj clar și simplu, adaptându-l la nevoile persoanelor vulnerabile, cum ar fi copiii, și sunt gratuite (Ghidul privind prelucrarea datelor în scopul asigurării respectării legii, „Cum ar trebui să furnizăm aceste informații?”, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib1).

103

(104)  Secțiunea 44 punctul 2 din DPA din 2018.

104

(105)  Pentru o analiză detaliată a drepturilor subiecților, a se vedea: Ghid privind prelucrarea datelor în scopul asigurării respectării legii în materie de drepturi individuale, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/

105

(106)  Secțiunea 45 punctul 1 din DPA din 2018.

106

(107)  Secțiunea 45 punctul 2 din DPA din 2018.

107

(108)  Secțiunea 46 punctul 4 din DPA din 2018.

108

(109)  O persoană vizată poate solicita operatorului să șteargă datele cu caracter personal sau să restricționeze prelucrarea acestora (dar obligațiile operatorului de a șterge datele sau de a restricționa prelucrarea acestora se aplică indiferent dacă se face sau nu o astfel de solicitare).

109

(110)  Secțiunile 46 punctul 4 și 47 punctul 2 din DPA din 2018.

110

(111)  Secțiunea 47 punctul 3 din DPA din 2018.

111

(112)  Secțiunea 48 punctul 1 din DPA din 2018.

112

(113)  Secțiunea 48 punctul 7 din DPA din 2018.

113

(114)  Secțiunea 48 punctul 9 din DPA din 2018.

114

(115)  Secțiunea 68 din DPA din 2018.

115

(116)  Secțiunea 52 punctul 1 din DPA din 2018.

116

(117)  Secțiunea 52 punctul 3 din DPA din 2018.

117

(118)  Secțiunea 54 din DPA din 2018 definește sensul expresiei „perioadă de timp aplicabilă”, care înseamnă perioada de o lună sau perioada mai lungă care poate fi specificată în reglementări, începând cu momentul relevant (când operatorul primește cererea în cauză; atunci când operatorul primește informațiile (dacă există) solicitate în legătură cu o cerere în temeiul secțiunii 52 punctul 4 din DPA; sau atunci când se achită taxa (dacă există) percepută în legătură cu cererea în temeiul secțiunii 53 din DPA.

118

(119)  Secțiunea 53 punctul 1 din DPA din 2018.

119

(120)  În conformitate cu orientările ICO, un operator poate decide să perceapă taxe unei persoane vizate în cazul în care cererea acesteia este în mod evident nefondată sau excesivă, dar alege totuși să răspundă la aceasta. Taxa trebuie să fie rezonabilă și să poată justifica costul. Ghid privind prelucrarea datelor în scopul asigurării respectării legii, „Cereri vădit nefondate și excesive”, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/manifestly-unfounded-and-excessive-requests/

120

(121)  Secțiunea 45 punctul 4 din DPA din 2018.

121

(122)  Secțiunea 44 punctul 4 din DPA din 2018.

122

(123)  Secțiunea 68 punctul 7 din DPA din 2018.

123

(124)  Secțiunea 48 punctul 3 din DPA din 2018.

124

(125)  A se vedea, de exemplu, Ghidul privind prelucrarea datelor în scopul asigurării respectării legii în materie de drept de acces, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-of-access/#ib8

125

(126)  A se vedea, de exemplu, Manualul privind protecția datelor pentru profesioniștii în materie de protecție a datelor în domeniul poliției emis de Consiliul național al responsabililor serviciilor de poliție (a se vedea nota de subsol 27) sau orientările furnizate de Oficiul de combatere a cazurilor grave de fraudă, disponibil la următoarea adresă: https://www.sfo.gov.uk/publications/guidance-policy-and-protocols/sfo-operational-handbook/data-protection/

126

(127)  Manualul privind protecția datelor emis de Consiliul național al responsabililor serviciilor de poliție, pagina 140 (a se vedea nota de subsol 27).

127

(128)  Manualul privind protecția datelor emis de Consiliul național al responsabililor serviciilor de poliție prevede că „a nu obstrucționa cercetări, investigații sau proceduri oficiale ori judiciare” poate fi relevant în cazul datelor cu caracter personal prelucrate pentru anchete, acțiuni judiciare în materie de dreptul familiei, anchete de disciplină internă fără caracter penal și anchete precum ancheta independentă privind abuzul sexual asupra copiilor; în vreme ce „a proteja drepturile și libertățile celorlalți” este relevant pentru datele cu caracter personal care s-ar referi, de asemenea, la alte persoane, precum și la solicitant” (Manualul privind protecția datelor emis de Consiliul național al responsabililor serviciilor de poliție, pagina 140, a se vedea nota de subsol 27).

128

(129)  Secțiunea 79 din DPA din 2018.

129

(130)  Orientările Guvernului Regatului Unit privind certificatele de securitate națională, disponibile la următoarea adresă:https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf

130

(131)  Secțiunea 44 punctele 5 și 6; secțiunea 45 punctele 5 și 6; secțiunea 48 punctul 4 din DPA din 2018.

131

(132)  Secțiunea 44 punctul 7; secțiunea 45 punctul 7; secțiunea 48 punctul 6 din DPA din 2018.

132

(133)  Secțiunea 51 din DPA din 2018.

133

(134)  Secțiunea 167 din DPA din 2018.

134

(135)  În ceea ce privește domeniul de aplicare al prelucrării automate, notele explicative la DPA din 2018 prevăd că: „aceste dispoziții se referă la un proces decizional complet automatizat și nu la prelucrarea automată. Prelucrarea automată (inclusiv crearea de profiluri) are loc atunci când se efectuează o operațiune asupra datelor fără a fi necesară intervenția umană. Acesta este utilizat în mod regulat în contextul asigurării respectării legii pentru a filtra seturi mari de date în cantități ușor de gestionat pe care un operator uman le poate utiliza ulterior. Procesul decizional automatizat este o formă de prelucrare automată și necesită ca decizia finală să fie luată fără interferențe umane”. (Notele explicative la DPA, punctul 204, a se vedea nota de subsol 45).

135

(136)  Pe lângă măsurile de protecție prevăzute în DPA, există și alte restricții legislative în cadrul juridic al Regatului Unit, care se aplică agențiilor de aplicare a legii și care ar împiedica prelucrarea automată (inclusiv crearea de profiluri) care conduce la discriminare ilegală. Legea privind drepturile omului din 1998 încorporează în legislația Regatului Unit drepturile cuprinse în CEDO, inclusiv dreptul prevăzut la articolul 14 din convenție, și anume interzicerea discriminării. În mod similar, Legea privind egalitatea din 2010 interzice discriminarea persoanelor cu caracteristici protejate (care includ sexul, rasa, handicapul etc.).

136

(137)  Secțiunea 49 punctul 2 din DPA din 2018.

137

(138)  Secțiunea 50 punctul 4 din DPA din 2018.

138

(139)  Acest nou cadru a devenit aplicabil la sfârșitul perioadei de tranziție, inclusiv competența secretarului de stat de a adopta regulamente privind caracterul adecvat al nivelului de protecție. Cu toate acestea, regulamentele DPPEC (în special punctele 10-12 din anexa 21 introduse prin aceste regulamente la DPA din 2018) prevăd că anumite transferuri de date cu caracter personal la sfârșitul perioadei de tranziție sau ulterior sunt tratate ca și cum s-ar baza pe regulamente privind caracterul adecvat al nivelului de protecție. Aceste transferuri includ transferurile către țări terțe care fac obiectul unei decizii UE privind caracterul adecvat al nivelului de protecție la sfârșitul perioadei de tranziție și către statele membre ale UE, statele AELS și teritoriul Gibraltarului în temeiul aplicării Directivei privind protecția datelor în materie de asigurare a respectării legii în cazul prelucrării datelor în scopul asigurării respectării legii [statele AELS aplică Directiva (UE) 2016/680 ca urmare a obligațiilor ce le revin în temeiul acquis-ului Schengen]. Aceasta înseamnă că, la sfârșitul perioadei de tranziție, transferurile către aceste țări pot continua ca înainte de ieșirea din UE. După încheierea perioadei de tranziție, secretarul de stat trebuie să efectueze o revizuire a constatărilor privind caracterul adecvat al nivelului de protecție în termen de patru ani.

139

(140)  Secțiunile 73 și 77 din DPA din 2018.

140

(141)  Autoritățile Regatului Unit au explicat că descrierea unei țări sau a unei organizații internaționale se referă la o situație în care ar fi necesar să se efectueze o determinare specifică și parțială a caracterului adecvat cu restricții specifice (de exemplu, regulamente privind caracterul adecvat al nivelului de protecție în ceea ce privește numai anumite tipuri de transferuri de date).

141

(142)  A se vedea secțiunea 74A punctul 4 din DPA din 2018, care prevede că, atunci când evaluează caracterul adecvat al nivelului de protecție, „secretarul de stat trebuie, în special, să țină seama de (a) statul de drept, respectarea drepturilor omului și a libertăților fundamentale, legislația relevantă, atât generală, cât și sectorială, inclusiv privind securitatea publică, apărarea, securitatea națională și dreptul penal, precum și accesul autorităților publice la datele cu caracter personal, precum și punerea în aplicare a acestei legislații, normele de protecție a datelor, normele profesionale și măsurile de securitate, inclusiv normele privind transferul ulterior de date cu caracter personal către o altă țară terță sau organizație internațională, care sunt respectate în țara terță respectivă sau în organizația internațională respectivă, jurisprudența, precum și existența unor drepturi efective și opozabile ale persoanelor vizate și a unor căi de atac administrative și judiciare eficace pentru persoanele vizate ale căror date cu caracter personal sunt transferate; (b) existența și funcționarea eficientă a uneia sau mai multor autorități de supraveghere independente în țara terță sau sub jurisdicția cărora intră o organizație internațională, cu responsabilitate pentru asigurarea și impunerea respectării normelor de protecție a datelor, incluzând competențe adecvate de asigurare a respectării aplicării, pentru acordarea de asistență și consiliere persoanelor vizate cu privire la exercitarea drepturilor acestora și pentru cooperarea cu comisarul și (c) angajamentele internaționale la care a aderat țara terță sau organizația internațională în cauză sau alte obligații care decurg din convenții sau instrumente obligatorii din punct de vedere juridic, precum și din participarea acesteia la sisteme multilaterale sau regionale, mai ales în domeniul protecției datelor cu caracter personal”.

142

(143)  A se vedea Memorandumul de înțelegere dintre secretarul de stat al Ministerului pentru Digitalizare, Cultură, Mass-Media și Sport și Biroul comisarului pentru informații privind rolul ICO în legătură cu noua evaluare privind caracterul adecvat al nivelului de protecție din Regatul Unit, disponibil la următoarea adresă: https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments

143

(144)  În acest termen de 40 de zile, ambele camere ale Parlamentului pot avea posibilitatea, dacă doresc, să voteze împotriva regulamentelor; în cazul în care se adoptă un astfel de vot, regulamentele vor înceta, în cele din urmă, să mai producă efecte juridice.

144

(145)  Secțiunea 75 din DPA din 2018.

145

(146)  În conformitate cu secțiunea 75 punctul 3 din DPA din 2018, în cazul în care are loc un transfer de date pe baza unor garanții adecvate: (a) transferul trebuie să fie documentat, (b) documentația trebuie furnizată comisarului la cerere și (c) documentația trebuie să includă, în special, (i) data și ora transferului, (ii) numele și orice alte informații pertinente cu privire la destinatar, (iii) justificarea transferului și (iv) o descriere a datelor cu caracter personal transferate.

146

(147)  Ghid privind prelucrarea datelor în scopul asigurării respectării legii, „Există circumstanțe speciale?”, disponibil la următoarea adresă: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/international-transfers/#ib3

147

(148)  Secțiunea 76 din DPA din 2018.

148

(149)  Secțiunea 76 din DPA din 2018.

149

(150)  Secțiunea 76 punctul 3 din DPA din 2018.

150

(151)  Secțiunea 73 punctul 5 din DPA din 2018.

151

(152)  Aplicabilitatea acestui nou cadru trebuie interpretată în lumina articolului 782 din Acordul comercial și de cooperare între Uniunea Europeană și Comunitatea Europeană a Energiei Atomice, pe de o parte, și Regatul Unit al Marii Britanii și Irlandei de Nord, pe de altă parte (JO L 444 din 31.12.2020, p. 14) („TCA UE-UK”), disponibil la următoarea adresă: https://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:22020A1231(01)&from=RO

152

(153)  Secțiunea 62 din DPA din 2018.

153

(154)  Secțiunea 69 din DPA din 2018.

154

(155)  Articolul 36 alineatul (2) litera (b) din Directiva (UE) 2016/680.

155

(156)  Secțiunea 116 din DPA din 2018.

156

(157)  Raportul anual și situațiile financiare pe 2019-2020 ale comisarului pentru informații, disponibile la următoarea adresă: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

157

(158)  Un acord de gestionare reglementează relația dintre cele două entități. Responsabilitățile principale ale DCMS, în calitate de minister finanțator, includ în special: asigurarea faptului că ICO beneficiază de finanțare și de resurse adecvate; reprezentarea intereselor ICO în fața Parlamentului și a altor departamente guvernamentale; asigurarea existenței unui cadru național solid de protecție a datelor; și furnizarea de orientări și sprijin ICO cu privire la aspecte legate de întreprinderi, cum ar fi aspecte imobiliare, contracte de leasing și achiziții publice (Acordul de gestionare 2018-2021, disponibil la următoarea adresă: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

158

(159)  Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, p. 1).

159

(160)  Codul de guvernanță privind numirile publice, disponibil la următoarea adresă: https://www.gov.uk/government/publications/governance-code-for-public-appointments

160

(161)  Al doilea raport al sesiunii 2015-2016 a Comisiei pentru cultură, mass-media și sport a Camerei Comunelor, disponibil la următoarea adresă:https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf

161

(162)  
  „Address” este o propunere prezentată Parlamentului prin care se urmărește informarea monarhului cu privire la opiniile Parlamentului referitoare la o anumită chestiune.

162

(163)  Punctul 3 din anexa 12 la DPA din 2018.

163

(164)  Secțiunea 137 din DPA din 2018.

164

(165)  Secțiunile 137 și 138 din DPA din 2018 conțin o serie de garanții pentru a se asigura că taxele sunt stabilite la un nivel corespunzător. În special secțiunea 137 punctul 4 din DPA din 2018 enumeră aspectele pe care secretarul de stat trebuie să le ia în considerare atunci când elaborează regulamente care precizează suma pe care trebuie să o plătească diferitele organizații. Secțiunea 138 punctul 1 și secțiunea 182 din DPA din 2018 conțin, de asemenea, o cerință legală potrivit căreia secretarul de stat trebuie să se consulte cu comisarul pentru informații și cu alți reprezentanți ai persoanelor care pot fi afectate de regulamentele în cauză, înainte ca acestea să fie adoptate, astfel încât opiniile lor să poată fi luate în considerare. În plus, în temeiul secțiunii 138 punctul 2 din DPA din 2018, comisarul pentru informații are obligația de a monitoriza funcționarea regulamentelor privind taxele și poate prezenta secretarului de stat propuneri de modificare a regulamentelor. În cele din urmă, cu excepția cazului în care regulamentele sunt adoptate doar pentru a lua în considerare o creștere a indicelui prețurilor cu amănuntul (caz în care vor face obiectul procedurii de rezoluție negativă), regulamentele fac obiectul procedurii de rezoluție afirmativă și nu pot fi adoptate decât după ce au fost aprobate prin rezoluția fiecărei camere a Parlamentului.

165

(166)  Acordul de gestionare a clarificat următoarele: „Secretarul de stat poate efectua plăți către CI din banii furnizați de Parlament în temeiul punctului 9 din anexa 12 la DPA din 2018. După consultarea CI, DCMS va plăti către CI sumele corespunzătoare (grantul sub formă de ajutor) pentru costurile administrative ale ICO și pentru exercitarea funcțiilor CI în legătură cu o serie de funcții specifice, inclusiv libertatea de informare” (Acordul de gestionare 2018-2021, punctul 1.12, a se vedea nota de subsol 158).

166

(167)  Secțiunea 134 din DPA din 2018.

167

(168)  Punctul 2 din anexa 13 la DPA din 2018.

168

(169)  Secțiunea 142 din DPA din 2018 (sub rezerva restricțiilor prevăzute în secțiunea 143 din DPA din 2018).

169

(170)  Secțiunea 146 din DPA din 2018 (sub rezerva restricțiilor prevăzute în secțiunea 147 din DPA din 2018).

170

(171)  Secțiunile 149-151 din DPA din 2018 (sub rezerva restricțiilor prevăzute în secțiunea 152 din DPA din 2018).

171

(172)  Secțiunea 155 din DPA din 2018 (sub rezerva restricțiilor prevăzute în secțiunea 156 din DPA din 2018).

172

(173)  Politica privind acțiunile de reglementare, disponibilă la următoarea adresă: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf

173

(174)  În special, ICO poate emite o notificare de sancționare în cazul nerespectării cerințelor prevăzute în secțiunea 149 punctele 2, 3, 4 sau 5 din DPA din 2018.

174

(175)  Secțiunea 157 din DPA din 2018.

175

(176)  Raportul anual și situațiile financiare pe 2018-2019 ale comisarului pentru informații, disponibile la următoarea adresă: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf

176

(177)  Raportul anual pe 2019-2020 al comisarului pentru informații (a se vedea nota de subsol 157).

177

(178)  O bază de date care a înregistrat informații referitoare la presupușii membri ai unor grupări criminale și la victimele infracțiunilor săvârșite de grupări criminale.

178

(179)  Secțiunea 170 din DPA din 2018.

179

(180)  Secțiunea 171 din DPA din 2018.

180

(181)  Secțiunea 119 din DPA din 2018.

181

(182)  Secțiunile 144 și 148 din DPA din 2018.

182

(183)  Astfel cum se prevede în acordul de gestionare, raportul anual trebuie: (i) să vizeze orice întreprindere, filială sau asociere în participație aflată sub controlul ICO; (ii) să respecte Manualul de raportare financiară al Trezoreriei (FReM); (iii) să conțină o declarație privind guvernanța, care să stabilească modul în care contabilul a gestionat și a controlat resursele utilizate în cadrul organizației în cursul anului, demonstrând capacitatea organizației de a gestiona riscurile pentru îndeplinirea scopurilor și obiectivelor sale; și (iv) să prezinte principalele activități și performanțe din cursul exercițiului financiar precedent și să expună planurile previzionale sub formă de rezumat (Acordul de gestionare 2018-2021, punctul 3.26, a se vedea nota de subsol 158).

183

(184)  Secțiunea 117 din DPA din 2018.

184

(185)  Grupul este responsabil de furnizarea de orientări și formare pentru sistemul judiciar. Acesta tratează, de asemenea, plângerile persoanelor vizate cu privire la prelucrarea datelor cu caracter personal de către instanțe, tribunale și persoane care acționează în exercițiul unei funcții judiciare. Grupul urmărește să ofere mijloacele prin care orice plângere ar putea fi soluționată. În cazul în care un reclamant nu a fost mulțumit de o decizie a grupului și a furnizat dovezi suplimentare, grupul ar putea să își reexamineze decizia. Deși grupul în sine nu impune sancțiuni financiare, în cazul în care grupul consideră că există o încălcare suficient de gravă a DPA din 2018, acesta o poate adresa Biroului de investigare a conduitei judiciare (JCIO – Judicial Conduct Investigation Office), care va investiga plângerea. În cazul în care plângerea este admisă, este de competența Lordului Cancelar (Lord Chancellor) și a președintelui Curții Supreme (sau a unui judecător de rang înalt delegat să acționeze în numele său) să decidă ce măsuri ar trebui luate împotriva titularului funcției. Acestea ar putea include, în ordinea gravității: recomandare formală, avertisment formal, mustrare și, în cele din urmă, revocare din funcție. În cazul în care o persoană este nemulțumită de modul în care JCIO a investigat plângerea, aceasta poate depune o plângere mai departe la Ombudsmanul pentru numiri și conduită judiciară (Judicial Appointments and Conduct Ombudsman) (a se vedea https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Ombudsmanul are competența de a solicita JCIO să investigheze din nou o plângere și poate propune ca reclamantului să i se plătească despăgubiri în cazul în care consideră că a suferit prejudicii ca urmare a administrării defectuoase.

185

(186)  Declarația de confidențialitate a președintelui Curții Supreme și a președintelui sistemului de tribunale este disponibilă la următoarea adresă: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

186

(187)  Declarația de confidențialitate emisă de președintele Curții Supreme din Irlanda de Nord este disponibilă la următoarea adresă: https://judiciaryni.uk/data-privacy

187

(188)  Declarația de confidențialitate pentru instanțele și tribunalele din Scoția este disponibilă la următoarea adresă: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

188

(189)  DSJ furnizează îndrumări sistemului judiciar și investighează încălcările și/sau plângerile referitoare la prelucrarea datelor cu caracter personal de către instanțe sau persoane care acționează în exercițiul unei funcții judiciare.

189

(190)  În cazul în care plângerea sau încălcarea este considerată gravă, aceasta este înaintată responsabilului cu tratarea plângerilor judiciare (Judicial Complaints Officer) pentru investigații suplimentare în conformitate cu Codul de bune practici în materie de plângeri al președintelui Curții Supreme din Irlanda de Nord. Rezultatul unei astfel de plângeri ar putea include următoarele: clasarea plângerii, recomandare, formare sau mentorat, avertisment informal, avertisment formal, avertisment final, restricții de practică sau sesizarea unui tribunal statutar. Codul de bune practici în materie de plângeri emis de președintele Curții Supreme din Irlanda de Nord este disponibil la următoarea adresă: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf

190

(191)  Orice plângere întemeiată este investigată de judecătorul în materie de supraveghere a datelor și înaintată președintelui Curții Supreme care are competența de a emite o recomandare, un avertisment formal sau o mustrare în cazul în care consideră că este necesar (există norme echivalente pentru membrii tribunalului, disponibile la următoarea adresă: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2)

191

(192)  Secțiunea 165 din DPA din 2018.

192

(193)  Secțiunea 166 din DPA din 2018 se referă în mod specific la următoarele situații: (a) comisarul nu ia măsurile adecvate pentru a răspunde plângerii, (b) comisarul nu furnizează reclamantului informații cu privire la evoluția plângerii sau la rezultatul acesteia înainte de sfârșitul perioadei de trei luni care începe în momentul în care comisarul a primit plângerea sau (c) în cazul în care examinarea plângerii de către comisar nu este finalizată în perioada respectivă, acesta nu furnizează reclamantului astfel de informații în cursul unei perioade ulterioare de trei luni.

193

(194)  Tribunalul de Primă Instanță este instanța competentă să soluționeze căile de atac introduse împotriva deciziilor luate de organismele de reglementare guvernamentale. În cazul deciziei comisarului pentru informații, camera competentă este „General Regulatory Chamber”, care are jurisdicție asupra întregului teritoriu al Regatului Unit.

194

(195)  Secțiunea 166 din DPA din 2018.

195

(196)  Secțiunile 161 și 162 din DPA din 2018.

196

(197)  A se vedea cauza Brown/Commissioner of the Met 2016, în care instanța a oferit reparații reclamantei în contextul protecției datelor în cadrul unei acțiuni introduse împotriva poliției. Admițând cererile reclamantei de încălcare a obligațiilor prevăzute de DPA din 1998, instanța a constatat în favoarea reclamantei încălcarea HRA din 1998 (și a dreptului conex prevăzut la articolul 8 din CEDO) și fapta ilicită de abuz de informații private (pârâtul a recunoscut, în cele din urmă, că acestea încălcau DPA și CEDO, astfel încât hotărârea s-a concentrat pe căile de atac adecvate). Ca urmare a acestor încălcări, instanța a acordat reclamantei despăgubiri financiare.

197

(198)  Secțiunea 8 punctul 1 din Legea privind drepturile omului din 1998.

198

(199)  Secțiunea 36 punctul 3 din DPA din 2018.

199

(200)  Secțiunea 56 din Legea privind economia digitală din 2017, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2017/30/contents

200

(201)  Secțiunea 48 din Digital Economy Act 2017 (Legea privind economia digitală din 2017).

201

(202)  Secțiunea 7 din Crime and Courts Act 2013 (Legea privind criminalitatea și instanțele din 2013), disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2013/22/contents

202

(203)  Secțiunea 68 din Serious Crime Act 2007 (Legea privind formele grave de criminalitate din 2007), disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2007/27/contents

203

(204)  Practicile profesionale autorizate privind schimbul de informații sunt disponibile la următoarea adresă: https://www.app.college.police.uk/app-content/information-management/sharing-police-information

204

(205)  A se vedea, de exemplu, cauza M/the Chief Constable of Sussex Police [2019] EWHC 975 (Admin), în care Înaltei Curți i s-a solicitat să analizeze schimbul de date dintre poliție și un parteneriat de reducere a criminalității din sectorul afacerilor (BCRP – Business Crime Reduction Partnership), o organizație abilitată să gestioneze sistemul de notificare de excludere, interzicând persoanelor să intre în spațiile comerciale ale membrilor săi. Instanța a examinat schimbul de date, care a avut loc pe baza unui acord având ca scop protejarea publicului și prevenirea criminalității și, în cele din urmă, a concluzionat că majoritatea aspectelor legate de schimbul de date sunt legale, cu excepția unor informații sensibile partajate între poliție și BCRP. Un alt exemplu este cauza Cooper/NCA [2019] EWCA Civ 16, în care Curtea de Apel a admis schimbul de date dintre poliție și Agenția pentru combaterea formelor grave de criminalitate organizată (SOCA – Serious Organised Crime Agency), o agenție de aplicare a legii care face parte în prezent din NCA.

205

(206)  Secțiunea 36 punctul 4 din DPA din 2018.

206

(207)  Decizia de punere în aplicare a Comisiei în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii și Irlandei de Nord, C(2021) 4800.

207

(208)  Secțiunea 19 din Legea din 2008 privind combaterea terorismului, disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2008/28/section/19

208

(209)  Secțiunea 2 punctul 2 din Legea privind serviciile de informații din 1994 (a se vedea https://www.legislation.gov.uk/ukpga/1994/13/contents) prevede următoarele: „Șeful Serviciului de Informații este responsabil de eficiența acestui serviciu, având datoria de a se asigura – (a) că există mecanisme pentru a garanta că Serviciul de Informații nu obține informații decât în măsura în care acest lucru este necesar pentru îndeplinirea corespunzătoare a funcțiilor sale și că nicio informație nu este divulgată de către acesta decât în măsura în care este necesar (i) în acest scop; (ii) în interesul securității naționale; (iii) în scopul prevenirii sau depistării infracțiunilor grave; sau (iv) în scopul oricăror proceduri penale; și (b) că Serviciul de Informații nu ia nicio măsură pentru a promova interesele niciunui partid politic din Regatul Unit”, în timp ce secțiunea 2 punctul 2 din Legea privind serviciile de securitate din 1989 (a se vedea https://www.legislation.gov.uk/ukpga/1989/5/contents) prevede următoarele: „Directorul general este responsabil de eficiența Serviciului, având datoria de a se asigura – (a) că există mecanisme pentru a garanta că Serviciul nu obține informații decât în măsura în care acest lucru este necesar pentru îndeplinirea corespunzătoare a funcțiilor sale și că nicio informație nu este divulgată de către acesta decât în măsura în care este necesar în acest scop sau în scopul prevenirii sau depistării infracțiunilor grave sau în scopul oricăror proceduri penale; și (b) că Serviciul nu ia nicio măsură pentru a promova interesele niciunui partid politic; și (c) că există mecanisme, convenite cu directorul general al Agenției Naționale pentru Combaterea Criminalității, pentru coordonarea activităților Serviciului în temeiul secțiunii 1 punctul 4 din această lege cu activitățile forțelor de poliție, ale Agenției Naționale pentru Combaterea Criminalității și ale altor agenții de aplicare a legii”.

209

(210)  Garanțiile și limitările competențelor serviciilor de informații sunt, de asemenea, reglementate de Investigatory Powers Act 2016 (Legea din 2016 privind competențele de investigare) care, împreună cu Regulation of Investigatory Powers Act 2000 (Legea din 2000 de reglementare a competențelor de investigare) pentru Anglia, Țara Galilor și Irlanda de Nord și cu Regulation of Investigatory Powers (Scotland) Act 2000 [Legea din 2000 de reglementare a competențelor de investigare (Scoția)] pentru Scoția prevăd temeiul juridic pentru utilizarea acestor competențe. Totuși, aceste competențe nu sunt relevante în contextul „transferului ulterior”, deoarece se referă la colectarea directă a datelor cu caracter personal de către serviciile de informații. Pentru o evaluare a competențelor acordate agențiilor de informații în temeiul Legii privind competențele de investigare, a se vedea Decizia de punere în aplicare a Comisiei în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția adecvată a datelor cu caracter personal de către Regatul Unit, C(2021) 4800.

210

(211)  În temeiul secțiunii 86 punctul 6 din DPA din 2018, pentru a stabili echitatea și transparența prelucrării, trebuie să se ia în considerare metoda prin care aceasta este obținută. În acest sens, cerința de echitate și transparență este îndeplinită dacă datele sunt obținute de la o persoană care este autorizată sau obligată în mod legal să le furnizeze.

211

(212)  În conformitate cu secțiunea 87 din DPA din 2018, scopurile prelucrării trebuie să fie determinate, explicite și legitime. Datele nu trebuie prelucrate într-un mod incompatibil cu scopurile pentru care sunt colectate. În temeiul secțiunii 87 punctul 3, o prelucrare suplimentară compatibilă a datelor cu caracter personal poate fi permisă numai dacă operatorul este autorizat prin lege să prelucreze datele în acest scop, iar prelucrarea este necesară și proporțională cu scopul secundar respectiv. Prelucrarea ar trebui considerată compatibilă în cazul în care aceasta constă în prelucrarea în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice și face obiectul unor garanții adecvate (secțiunea 87 punctul 4 din DPA din 2018).

212

(213)  Datele cu caracter personal trebuie să fie adecvate, relevante și neexcesive (secțiunea 88 din DPA din 2018).

213

(214)  Datele cu caracter personal trebuie să fie exacte și actualizate (secțiunea 89 din DPA din 2018).

214

(215)  Datele cu caracter personal nu trebuie păstrate mai mult decât este necesar (secțiunea 90 din DPA din 2018).

215

(216)  Al șaselea principiu privind protecția datelor este că datele cu caracter personal trebuie prelucrate într-un mod care să includă luarea unor măsuri de securitate adecvate în ceea ce privește riscurile care decurg din prelucrarea datelor cu caracter personal. Riscurile includ (dar nu se limitează la) accesul accidental sau neautorizat la datele cu caracter personal sau distrugerea, pierderea, utilizarea, modificarea sau divulgarea acestora (secțiunea 91 din DPA din 2018). Secțiunea 107 prevede, de asemenea, că (1) fiecare operator trebuie să pună în aplicare măsuri de securitate adecvate pentru riscurile care decurg din prelucrarea datelor cu caracter personal și (2) în cazul prelucrării automate, fiecare operator și fiecare persoană împuternicită de operator pun în aplicare măsuri preventive sau de atenuare pe baza unei evaluări a riscurilor.

216

(217)  Secțiunea 86 punctul 2 litera (b) și anexa 10 la DPA din 2018.

217

(218)  Partea 4 capitolul 3 din DPA din 2018, în special drepturile: de acces, rectificare și ștergere, de a se opune prelucrării și de a nu face obiectul procesului decizional automatizat, de a interveni în procesul decizional automatizat și de a fi informat cu privire la procesul decizional. În plus, operatorul trebuie să ofere persoanei vizate informații cu privire la prelucrarea datelor sale cu caracter personal.

218

(219)  Secțiunea 103 din DPA din 2018.

219

(220)  Secțiunea 109 din DPA din 2018. Transferurile de date cu caracter personal către organizații internaționale sau țări din afara Regatului Unit sunt posibile dacă transferul este o măsură necesară și proporțională întreprinsă în scopul îndeplinirii funcțiilor legale ale operatorului sau în alte scopuri prevăzute în anumite secțiuni din Legea privind serviciile de securitate din 1989 (Security Service Act 1989) și din Legea privind serviciile de informații din 1994 (Intelligence Services Act 1994).

220

(221)  A se vedea Baker/Secretary of State for the Home Department [2001] UKIT NSA2 („Baker/Secretary of State”).

221

(222)  Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, secțiunea H: National Security Data Protection and Investigatory Powers Framework (Cadrul privind protecția datelor în materie de securitate națională și competențele de investigare), paginile 15-16, disponibil la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf. A se vedea, de asemenea, Baker/Secretary of State (a se vedea nota de subsol 220 de mai sus), în care tribunalul a anulat un certificat de securitate națională emis de ministrul de interne și prin care se confirma aplicarea excepției privind securitatea națională, considerând că nu există niciun motiv pentru a prevedea o excepție generală de la obligația de a răspunde cererilor de acces și că permiterea unei astfel de excepții în toate circumstanțele, fără o analiză de la caz la caz, ar depăși ceea ce este necesar și proporțional pentru protecția securității naționale.

222

(223)  A se vedea memorandumul de înțelegere dintre ICO și UKIC, conform căruia „La primirea unei plângeri din partea unei persoane vizate, ICO va dori să se asigure că problema a fost tratată corect și, după caz, că aplicarea oricărei derogări a fost utilizată în mod corespunzător” (Memorandumul de înțelegere dintre Biroul comisarului pentru informații și serviciile de informații din Regatul Unit, punctul 16, disponibil la următoarea adresă: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf).

223

(224)  DPA din 2018 a abrogat posibilitatea de a elibera un certificat în temeiul secțiunii 28 punctul 2 din Legea privind protecția datelor din 1998. Cu toate acestea, posibilitatea de a emite „certificate vechi” există în continuare în măsura în care există o posibilitate de recurs istorică în temeiul Legii din 1998 [a se vedea punctul 17 din partea 5 a anexei 20 la DPA din 2018]. Totuși, această posibilitate pare foarte rară și se va aplica numai în cazuri limitate, cum ar fi, de exemplu, în cazul în care o persoană vizată formulează o cale de atac în ceea ce privește utilizarea derogării în materie de securitate națională în legătură cu prelucrarea de către o autoritate publică care a efectuat prelucrarea în temeiul Legii din 1998. Trebuie remarcat faptul că, în aceste cazuri, secțiunea 28 din DPA din 1998 se va aplica în întregime, incluzând, prin urmare, posibilitatea ca persoana vizată să conteste certificatul. În prezent, nu există niciun certificat de securitate națională eliberat în temeiul DPA din 1998.

224

(225)  Orientările Guvernului Regatului Unit privind certificatele de securitate națională în temeiul Legii privind protecția datelor din 2018, disponibile la următoarea adresă: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018 -_National_Security_Certificates_Guidance.pdf

225

(226)  În conformitate cu secțiunea 130 din DPA din 2018, ICO poate decide să nu publice textul sau o parte a textului certificatului, în cazul în care acest lucru ar fi contrar interesului securității naționale sau ar fi contrar interesului public sau ar putea pune în pericol siguranța oricărei persoane. În aceste cazuri, ICO va publica totuși faptul că certificatul a fost eliberat.

226

(227)  Orientările Guvernului Regatului Unit privind certificatele de securitate națională, punctul 15, a se vedea nota de subsol 225.

227

(228)  Orientările Guvernului Regatului Unit privind certificatele de securitate națională, punctul 5, nota de subsol 225.

228

(229)  Secțiunea 102 din DPA din 2018 prevede că operatorul trebuie să fie în măsură să demonstreze că s-a conformat DPA din 2018. Aceasta implică faptul că un serviciu de informații ar trebui să demonstreze ICO faptul că, atunci când invocă derogarea, a luat în considerare circumstanțele specifice ale cazului. ICO publică, de asemenea, o evidență a certificatelor de securitate națională, care este disponibilă la următoarea adresă: este disponibilă la următoarea adresă: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/

229

(230)  Tribunalul Superior este instanța competentă să soluționeze căile de atac împotriva hotărârilor pronunțate de tribunalele administrative inferioare și are competențe specifice pentru soluționarea căilor de atac directe introduse împotriva deciziilor anumitor organisme guvernamentale.

230

(231)  Secțiunea 111 punctul 3 din DPA din 2018.

231

(232)  Secțiunea 111 punctul 5 din DPA din 2018.

232

(233)  În cauza Baker/Secretary of State (a se vedea nota de subsol 221), Information Tribunal a anulat un certificat de securitate națională emis de ministrul de interne, considerând că nu există niciun motiv pentru a prevedea o excepție generală de la obligația de a răspunde cererilor de acces și că permiterea unei astfel de excepții în toate circumstanțele, fără o analiză de la caz la caz, ar depăși ceea ce este necesar și proporțional pentru protecția securității naționale.

233

(234)  Orientările Guvernului Regatului Unit privind certificatele de securitate națională, punctul 25, nota de subsol 225.

234

(235)  Acestea includ: (i) principiile privind protecția datelor prevăzute în partea 4, cu excepția legalității cerinței de prelucrare în temeiul primului principiu și a faptului că prelucrarea trebuie să îndeplinească una dintre condițiile relevante prevăzute în anexele 9 și 10; (ii) drepturile persoanelor vizate; și (iii) obligațiile legate de raportarea încălcărilor către ICO.

235

(236)  Conform Cadrului explicativ al Regatului Unit, excepțiile „bazate pe categorii” sunt: (i) informații cu privire la acordarea de distincții și demnități ale Coroanei; (ii) secretul profesional al avocatului; (iii) referințe confidențiale privind angajarea, formarea sau educația; și (iv) foi de examinare și note la examene. Excepțiile „bazate pe prejudicii” se referă la următoarele aspecte: (i) prevenirea sau depistarea infracțiunilor; arestarea și urmărirea penală a infractorilor; (ii) privilegiul parlamentar; (iii) proceduri judiciare; (iv) eficacitatea de luptă a forțelor armate ale Coroanei; (v) bunăstarea economică a Regatului Unit; (vi) negocierile cu persoana vizată; (vii) scopuri de cercetare științifică sau istorică ori scopuri statistice; (viii) arhivarea în interes public. Cadrul explicativ al Regatului Unit pentru dezbaterile privind caracterul adecvat, secțiunea H: Securitatea națională, pagina 13, a se vedea nota de subsol 222.

236

(237)  Secțiunea 116 din DPA din 2018.

237

(238)  În temeiul unei lecturi combinate a secțiunii 149 punctul 2 și a secțiunii 155 din DPA din 2018, notificările de punere în aplicare și de sancționare pot fi transmise unui operator sau unei persoane împuternicite de operator în legătură cu încălcări ale părții 4 capitolul 2 din DPA din 2018 (principiile prelucrării), ale unei dispoziții a părții 4 din DPA din 2018 ce conferă drepturi unei persoane vizate, ale cerinței de a comunica o încălcare a securității datelor cu caracter personal comisarului în temeiul secțiunii 108 din DPA din 2018 și ale principiilor privind transferurile de date cu caracter personal către țări terțe, țări care nu participă la convenție și organizații internaționale din secțiunea 109 din DPA din 2018. (Pentru detalii suplimentare privind notificările de executare și de sancționare, a se vedea considerentele 102 și 103).

238

(239)  În temeiul secțiunii 147 punctul 6 din DPA din 2018, comisarul pentru informații nu poate transmite o notificare de evaluare organismelor menționate la secțiunea 23 punctul 3 din Legea din 2000 privind liberul acces la informațiile de interes public. Printre acestea se numără Serviciul de Securitate (MI5), Serviciul Secret de Informații (MI6) și Cartierul General pentru Comunicații.

239

(240)  Dispozițiile care pot fi exceptate sunt: secțiunea 108 (informarea comisarului cu privire la încălcarea securității datelor cu caracter personal), secțiunea 119 (inspecție în conformitate cu obligațiile internaționale); secțiunile 142-154 și anexa 15 (Notificările comisarului și competențele de intrare și de inspecție); și secțiunile 170-173 (infracțiuni legate de datele cu caracter personal). În plus, în ceea ce privește prelucrarea de către serviciile de informații din anexa 13 (alte funcții generale ale comisarului), punctul 1 literele (a) și (g) și punctul 2.

240

(241)  A se vedea, de exemplu, cauza Baker/Secretary of State for the Home Department (a se vedea nota de subsol 221)

241

(242)  Memorandumul de înțelegere dintre ICO și serviciile de informații din Regatul Unit (a se vedea nota de subsol 231).

242

(243)  În șapte dintre aceste cazuri, ICO a recomandat reclamantului să prezinte problema în fața operatorului de date (acest lucru este valabil atunci când o persoană fizică a prezentat o problemă în fața ICO, dar ar fi trebuit să o prezinte mai întâi în fața operatorului de date), în unul dintre aceste cazuri, ICO a oferit consiliere generală operatorului de date (această procedură este utilizată atunci când acțiunile operatorului nu par să fi încălcat legislația, dar este posibil ca o îmbunătățire a practicilor să fi evitat prezentarea problemei în fața ICO), iar în celelalte 13 cazuri, operatorul nu a avut obligația de a întreprinde nicio acțiune (această procedură este utilizată atunci când problemele prezentate de persoana fizică intră sub incidența Legii privind protecția datelor din 2018 deoarece se referă la prelucrarea informațiilor cu caracter personal, dar, pe baza informațiilor furnizate de operator, nu par să fi încălcat legislația).

243

(244)  Astfel cum au explicat autoritățile Regatului Unit, JSA a extins domeniul de competență al ISC pentru a include un rol în supravegherea comunității serviciilor de informații dincolo de cele trei agenții și pentru a permite supravegherea retrospectivă a activităților operaționale ale agențiilor în chestiuni de interes național major.

244

(245)  Secțiunea 1 din JSA din 2013. Miniștrii nu sunt eligibili pentru statutul de membri. Membrii își exercită funcția în cadrul ISC pe durata mandatului Parlamentului în cursul căruia au fost numiți. Aceștia pot fi revocați printr-o rezoluție a Camerei prin care au fost numiți, în cazul în care nu mai au calitatea de membri sau devin miniștri. De asemenea, un membru poate demisiona.

245

(246)  Rapoartele și declarațiile comisiei sunt disponibile online la următoarea adresă: http://isc.independent.gov.uk/committee-reports. În 2015, ISC a publicat un raport privind „Dreptul la viață privată și securitatea: un cadru juridic modern și transparent” (Privacy and Security: A modern and transparent legal framework) (a se vedea: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20150312_ISC_P%2BS%2BRpt%28web%29.pdf) în care a analizat cadrul juridic pentru tehnicile de supraveghere utilizate de agențiile de informații și a emis o serie de recomandări care au fost apoi luate în considerare și integrate în proiectul de lege privind competențele de investigare, care a fost transformat în lege, IPA 2016. Răspunsul guvernului la raportul privind dreptul la viață privată și securitatea este disponibil la următoarea adresă: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf

246

Privacy and Security: A modern and transparent legal framework

(247)  Secțiunea 2 din JSA din 2013.

247

(248)  Memorandumul de înțelegere dintre prim-ministru și ISC, disponibil la următoarea adresă: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

248

(249)  Memorandumul de înțelegere dintre prim-ministru și ISC, punctul 14, a se vedea nota de subsol 248.

249

(250)  Secretarul de stat se poate opune divulgării informațiilor numai în două cazuri: informațiile sunt sensibile și nu ar trebui divulgate ISC în interesul securității naționale; sau este vorba de informații de o asemenea natură încât, în cazul în care secretarul de stat ar fi solicitat să le prezinte în fața unei comisii departamentale restrânse a Camerei Comunelor, secretarul de stat ar considera (pentru motive care nu se limitează la securitatea națională) că nu ar trebui să facă acest lucru (punctul 4 subpunctul 2 din anexa 1 la JSA din 2013).

250

(251)  Cadrul explicativ al Regatului Unit – secțiunea H: Securitatea națională, p. 43.

251

(252)  Secțiunea 94 punctul 11 din DPA din 2018.

252

(253)  Secțiunea 99 punctul 4 din DPA din 2018.

253

(254)  Secțiunea 169 din DPA din 2018, care admite cererile depuse de „o persoană care suferă prejudicii ca urmare a încălcării unei cerințe a legislației privind protecția datelor”.

254

(255)  Secțiunea 169 punctul 5 din DPA din 2018.

255

(256)  A se vedea secțiunea 65 punctul 2 litera (b) din RIPA.

256

(257)  În conformitate cu anexa 3 la RIPA din 2000, membrii trebuie să aibă o experiență judiciară specifică și să fie eligibili pentru o nouă numire.

257

(258)  În ceea ce privește noțiunea de „address”, a se vedea nota de subsol 183.

258

(259)  Punctul 1 subpunctul 5 din anexa 3 la RIPA din 2000.

259

(260)  Secțiunea 65 punctul 4 din RIPA din 2000.

260

(261)  Astfel de circumstanțe se referă la comportamentul autorităților publice cu autoritate (de exemplu, un mandat, o autorizație/notificare pentru obținerea de comunicații etc.) sau dacă circumstanțele sunt de așa natură încât (indiferent dacă există sau nu o astfel de autoritate), nu ar fi fost adecvat ca respectivul comportament să aibă loc în lipsa acestuia sau, cel puțin, fără să se fi analizat în mod corespunzător dacă o astfel de autoritate ar trebui solicitată. Se consideră că un comportament autorizat de un comisar judiciar a avut loc în circumstanțe atacabile (secțiunea 65 punctul 7ZA din RIPA din 2000), în timp ce alte comportamente care au loc cu permisiunea unei persoane care deține funcții judiciare sunt considerate a nu fi avut loc în circumstanțe atacabile (secțiunea 65 punctele 7 și 8 din RIPA din 2000).

261

(262)  Potrivit informațiilor furnizate de autoritățile Regatului Unit, pragul redus pentru depunerea unei plângeri determină că nu este neobișnuit ca ancheta Tribunalului să stabilească faptul că reclamantul nu a făcut niciodată obiectul unei anchete desfășurate de către o autoritate publică. Cel mai recent raport statistic al IPT precizează că, în 2016, Tribunalul a înregistrat 209 plângeri, 52 % dintre acestea au fost considerate neserioase sau vexatorii, iar 25 % au rămas nesoluționate. Autoritățile Regatului Unit au explicat că acest lucru înseamnă fie că nu au fost utilizate activități/competențe disimulate în legătură cu reclamantul, fie că au fost utilizate tehnici ascunse, iar tribunalul a stabilit că activitatea este legală. În plus, 11 % au fost excluse din jurisdicție, retrase sau nevalabile, 5 % au fost prescrise, 7 % au fost stabilite în favoarea reclamantului. Raportul statistic al Tribunalului cu competențe de investigare din 2016, disponibil la următoarea adresă: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf

262

(263)  A se vedea cauza Human Rights Watch/Secretary of State [2016] UKIPTrib15_165-CH. În acest caz, IPT, făcând trimitere la jurisprudența Curții Europene a Drepturilor Omului, a statuat că, în ceea ce privește convingerea că orice comportament care intră sub incidența subsecțiunii 68 punctul 5 din RIPA din 2000 a fost efectuat de către sau în numele unui serviciu de informații, testul adecvat este de a stabili dacă există un temei pentru o astfel de convingere, inclusiv faptul că o persoană poate pretinde că este victima unei încălcări determinate de simpla existență a unor măsuri secrete sau a unei legislații care permite măsuri secrete, numai în cazul în care poate demonstra că, din cauza situației sale personale, aceasta poate fi expusă riscului de a face obiectul unor astfel de măsuri (a se vedea Human Rights Watch/Secretary of State, punctul 41).

263

(264)  Secțiunea 67 punctul 3 din RIPA din 2000.

264

(265)  Secțiunea 67 punctul 2 din RIPA din 2000.

265

(266)  Secțiunea 68 punctul 4 din RIPA din 2000.

266

(267)  Aceasta poate include un ordin prin care se solicită distrugerea oricăror înregistrări de informații deținute de orice autoritate publică în legătură cu o persoană.

267

(268)  Înalta Curte de Justiție, Liberty, [2019] EWHC 2057 (Admin), punctul 170.

268

(269)  Secțiunea 8 punctul 1 din Legea privind drepturile omului din 1998.

269

(270)  Schrems, punctul 65.

270

(271)  Avizul 15/2021 privind Proiectul de decizie de punere în aplicare a Comisiei Europene în temeiul Directivei (UE) 2016/680 privind protecția adecvată a datelor cu caracter personal în Regatul Unit, disponibil la adresa https://edpb.europa.eu/our-work-tools/our-documents/opinion-led/opinion-152021-regarding-european-commission-draft_en

271

(272)  Decizia de punere în aplicare (UE) 2020/1745 a Consiliului din 18 noiembrie 2020 privind punerea în aplicare a dispozițiilor acquis-ului Schengen referitoare la protecția datelor și privind punerea în aplicare cu titlu provizoriu a unor dispoziții ale acquis-ului Schengen în Irlanda (JO L 393, 23.11.2020, p. 3).

272

(273)  
  JO L 176, 10.7.1999, p. 36.

273

(274)  
  JO L 53, 27.2.2008, p. 52.

274

(275)  
  JO L 160, 18.6.2011, p. 21.

275

---

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/108 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/108

---

DECIZIA DE PUNERE ÎN APLICARE (UE) 2021/1774 A CONSILIULUI

din 5 octombrie 2021

de modificare a Deciziei de punere în aplicare (UE) 2018/1493 de autorizare a Ungariei să introducă o măsură specială de derogare de la articolul 26 alineatul (1) litera (a) și de la articolele 168 și 168a din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Directiva 2006/112/CE a Consiliului din 28 noiembrie 2006 privind sistemul comun al taxei pe valoarea adăugată (1), în special articolul 395 alineatul (1) primul paragraf,

având în vedere propunerea Comisiei Europene,

întrucât:

| (1) | Decizia de punere în aplicare (UE) 2018/1493 a Consiliului (2) a autorizat Ungaria să aplice, până la 31 decembrie 2021, o măsură specială constând, pe de o parte, în limitarea la 50 % a dreptului de deducere a taxei pe valoarea adăugată (TVA) aferentă cheltuielilor legate de autoturismele care nu sunt utilizate integral în interes de serviciu, prin derogare de la articolele 168 și 168a din Directiva 2006/112/CE, și, pe de altă parte, în tratarea utilizării în alte scopuri decât în interes de serviciu a unui autoturism care face parte din activele comerciale ale unei persoane impozabile ca nefiind o prestare de servicii cu titlu oneros în cazul în care autoturismul a făcut obiectul unei limitări autorizate în temeiul articolului 1 din respectiva decizie de punere în aplicare, prin derogare de la articolul 26 alineatul (1) litera (a) din directivă (denumită în continuare „măsura specială”). |
| --- | --- |

(1)

Decizia de punere în aplicare (UE) 2018/1493 a Consiliului (2) a autorizat Ungaria să aplice, până la 31 decembrie 2021, o măsură specială constând, pe de o parte, în limitarea la 50 % a dreptului de deducere a taxei pe valoarea adăugată (TVA) aferentă cheltuielilor legate de autoturismele care nu sunt utilizate integral în interes de serviciu, prin derogare de la articolele 168 și 168a din Directiva 2006/112/CE, și, pe de altă parte, în tratarea utilizării în alte scopuri decât în interes de serviciu a unui autoturism care face parte din activele comerciale ale unei persoane impozabile ca nefiind o prestare de servicii cu titlu oneros în cazul în care autoturismul a făcut obiectul unei limitări autorizate în temeiul articolului 1 din respectiva decizie de punere în aplicare, prin derogare de la articolul 26 alineatul (1) litera (a) din directivă (denumită în continuare „măsura specială”).

| (2) | Prin scrisoarea înregistrată de Comisie la 25 februarie 2021, Ungaria a solicitat autorizarea de a continua să aplice măsura specială (denumită în continuare „cererea de prelungire”). |
| --- | --- |

(2)

Prin scrisoarea înregistrată de Comisie la 25 februarie 2021, Ungaria a solicitat autorizarea de a continua să aplice măsura specială (denumită în continuare „cererea de prelungire”).

| (3) | În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea de prelungire celorlalte state membre prin scrisori datate 7 aprilie 2021. Prin scrisoarea din 8 aprilie 2021, Comisia a informat Ungaria că dispune de toate informațiile necesare pentru a analiza cererea de prelungire. |
| --- | --- |

(3)

În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea de prelungire celorlalte state membre prin scrisori datate 7 aprilie 2021. Prin scrisoarea din 8 aprilie 2021, Comisia a informat Ungaria că dispune de toate informațiile necesare pentru a analiza cererea de prelungire.

| (4) | În temeiul articolului 5 din Decizia de punere în aplicare 2018/1493, Ungaria a prezentat împreună cu cererea de prelungire un raport care includea reexaminarea procentajului stabilit pentru deducerea TVA-ului. Pe baza informațiilor disponibile în prezent, și anume experiența acumulată în urma auditurilor fiscale și datele statistice referitoare la utilizarea autoturismelor în folos personal, Ungaria confirmă în cererea de prelungire că limita de 50 % se justifică în continuare și rămâne adecvată. În plus, prin simplificarea colectării TVA-ului, măsura specială a fost eficace în reducerea efectivă a sarcinilor administrative ale întreprinderilor și ale autorităților fiscale. În același timp, previne evaziunea fiscală generată prin ținerea incorectă a contabilității. Prin urmare, Ungaria ar trebui să fie autorizată să aplice în continuare măsura specială. |
| --- | --- |

(4)

În temeiul articolului 5 din Decizia de punere în aplicare 2018/1493, Ungaria a prezentat împreună cu cererea de prelungire un raport care includea reexaminarea procentajului stabilit pentru deducerea TVA-ului. Pe baza informațiilor disponibile în prezent, și anume experiența acumulată în urma auditurilor fiscale și datele statistice referitoare la utilizarea autoturismelor în folos personal, Ungaria confirmă în cererea de prelungire că limita de 50 % se justifică în continuare și rămâne adecvată. În plus, prin simplificarea colectării TVA-ului, măsura specială a fost eficace în reducerea efectivă a sarcinilor administrative ale întreprinderilor și ale autorităților fiscale. În același timp, previne evaziunea fiscală generată prin ținerea incorectă a contabilității. Prin urmare, Ungaria ar trebui să fie autorizată să aplice în continuare măsura specială.

| (5) | Prelungirea măsurii speciale ar trebui să fie limitată în timp pentru a permite evaluarea eficacității sale și determinarea procentului adecvat. Prin urmare, Ungaria ar trebui să fie autorizată să aplice în continuare măsura specială pentru o perioadă limitată, și anume până la 31 decembrie 2024. |
| --- | --- |

(5)

Prelungirea măsurii speciale ar trebui să fie limitată în timp pentru a permite evaluarea eficacității sale și determinarea procentului adecvat. Prin urmare, Ungaria ar trebui să fie autorizată să aplice în continuare măsura specială pentru o perioadă limitată, și anume până la 31 decembrie 2024.

| (6) | În cazul în care consideră că este necesară o prelungire a autorizării după anul 2024, Ungaria ar trebui să transmită Comisiei, cel târziu la 31 martie 2024, un raport care să cuprindă o reexaminare a limitei procentuale aplicate, împreună cu o cerere de prelungire. |
| --- | --- |

(6)

În cazul în care consideră că este necesară o prelungire a autorizării după anul 2024, Ungaria ar trebui să transmită Comisiei, cel târziu la 31 martie 2024, un raport care să cuprindă o reexaminare a limitei procentuale aplicate, împreună cu o cerere de prelungire.

| (7) | Măsura specială va avea doar un efect neglijabil asupra cuantumului total al încasărilor din impozite colectate în etapa de consum final și nu va afecta resursele proprii ale Uniunii provenite din TVA. |
| --- | --- |

(7)

Măsura specială va avea doar un efect neglijabil asupra cuantumului total al încasărilor din impozite colectate în etapa de consum final și nu va afecta resursele proprii ale Uniunii provenite din TVA.

| (8) | Prin urmare, Decizia de punere în aplicare (UE) 2018/1493 ar trebui modificată în consecință, |
| --- | --- |

(8)

Prin urmare, Decizia de punere în aplicare (UE) 2018/1493 ar trebui modificată în consecință,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Articolul 5 din Decizia de punere în aplicare (UE) 2018/1493 se înlocuiește cu următorul text:

„Articolul 5

Prezenta decizie se aplică de la 1 ianuarie 2019 până la 31 decembrie 2024.

Orice cerere de prelungire a autorizării prevăzute în prezenta decizie se transmite Comisiei până la 31 martie 2024 și este însoțită de un raport care cuprinde o reexaminare a procentajului prevăzut la articolul 1.”

Articolul 2

Prezenta decizie produce efecte de la data notificării.

Articolul 3

Prezenta decizie se adresează Ungariei.

Adoptată la Luxemburg, 5 octombrie 2021.

Pentru Consiliu

Președintele

A. ŠIRCELJ

---

(1)  
  JO L 347, 11.12.2006, p. 1.

1

(2)  Decizia de punere în aplicare (UE) 2018/1493 a Consiliului din 2 octombrie 2018 de autorizare a Ungariei să introducă o măsură specială de derogare de la articolul 26 alineatul (1) litera (a) și de la articolele 168 și 168a din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată (JO L 252, 8.10.2018, p. 44).

2

---

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/110 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/110

---

DECIZIA DE PUNERE ÎN APLICARE (UE) 2021/1775 A CONSILIULUI

din 5 octombrie 2021

de modificare a Deciziei de punere în aplicare (UE) 2018/789 de autorizare a Ungariei să introducă o măsură specială de derogare de la articolul 193 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Directiva 2006/112/CE a Consiliului din 28 noiembrie 2006 privind sistemul comun al taxei pe valoarea adăugată (1), în special articolul 395 alineatul (1) primul paragraf,

având în vedere propunerea Comisiei Europene,

întrucât:

| (1) | Articolul 193 din Directiva 2006/112/CE prevede că orice persoană impozabilă care efectuează o livrare de bunuri sau o prestare de servicii impozabilă are în general obligația de a plăti taxa pe valoarea adăugată (TVA) către autoritățile fiscale. |
| --- | --- |

(1)

Articolul 193 din Directiva 2006/112/CE prevede că orice persoană impozabilă care efectuează o livrare de bunuri sau o prestare de servicii impozabilă are în general obligația de a plăti taxa pe valoarea adăugată (TVA) către autoritățile fiscale.

| (2) | Decizia de punere în aplicare (UE) 2018/789 a Consiliului (2) a autorizat Ungaria să introducă o măsură de derogare de la articolul 193 din Directiva 2006/112/CE cu privire la persoana care are obligația de a plăti TVA în cazul în care anumite livrări sunt efectuate de o persoană impozabilă aflată în proces de lichidare sau vizată de orice alte proceduri care îi stabilesc în mod legal insolvabilitatea (denumită în continuare „măsura specială”). |
| --- | --- |

(2)

Decizia de punere în aplicare (UE) 2018/789 a Consiliului (2) a autorizat Ungaria să introducă o măsură de derogare de la articolul 193 din Directiva 2006/112/CE cu privire la persoana care are obligația de a plăti TVA în cazul în care anumite livrări sunt efectuate de o persoană impozabilă aflată în proces de lichidare sau vizată de orice alte proceduri care îi stabilesc în mod legal insolvabilitatea (denumită în continuare „măsura specială”).

| (3) | Prin scrisoarea înregistrată de Comisie la 18 februarie 2021, Ungaria a prezentat Comisiei o cerere de prelungire a autorizării de aplicare a măsurii speciale până la 31 decembrie 2026 (denumită în continuare „cererea”). Ungaria a prezentat împreună cu cererea un raport, incluzând o reexaminare a măsurii speciale. |
| --- | --- |

(3)

Prin scrisoarea înregistrată de Comisie la 18 februarie 2021, Ungaria a prezentat Comisiei o cerere de prelungire a autorizării de aplicare a măsurii speciale până la 31 decembrie 2026 (denumită în continuare „cererea”). Ungaria a prezentat împreună cu cererea un raport, incluzând o reexaminare a măsurii speciale.

| (4) | În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea Ungariei celorlalte state membre, prin scrisori datate 7 aprilie 2021. Printr-o scrisoare din 8 aprilie 2021, Comisia a informat Ungaria că dispune de toate informațiile necesare pentru a analiza cererea. |
| --- | --- |

(4)

În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea Ungariei celorlalte state membre, prin scrisori datate 7 aprilie 2021. Printr-o scrisoare din 8 aprilie 2021, Comisia a informat Ungaria că dispune de toate informațiile necesare pentru a analiza cererea.

| (5) | Ungaria argumentează că, deseori, persoanele impozabile aflate în proces de lichidare sau care sunt supuse unei proceduri de insolvență nu plătesc TVA-ul datorat autorităților fiscale. În același timp, cumpărătorul, fiind o persoană impozabilă cu drept de deducere, poate totuși să deducă TVA-ul datorat, producându-se astfel un efect negativ asupra bugetului și finanțându-se lichidarea. Ungaria a înregistrat și cazuri de fraudă în care societăți aflate în proces de lichidare au emis facturi fictive către societăți active, reducându-și în mare măsură taxele de plătit, fără nicio garanție că emitentul va plăti TVA-ul datorat. |
| --- | --- |

(5)

Ungaria argumentează că, deseori, persoanele impozabile aflate în proces de lichidare sau care sunt supuse unei proceduri de insolvență nu plătesc TVA-ul datorat autorităților fiscale. În același timp, cumpărătorul, fiind o persoană impozabilă cu drept de deducere, poate totuși să deducă TVA-ul datorat, producându-se astfel un efect negativ asupra bugetului și finanțându-se lichidarea. Ungaria a înregistrat și cazuri de fraudă în care societăți aflate în proces de lichidare au emis facturi fictive către societăți active, reducându-și în mare măsură taxele de plătit, fără nicio garanție că emitentul va plăti TVA-ul datorat.

| (6) | Articolul 199 alineatul (1) litera (g) din Directiva 2006/112/CE permite statelor membre să prevadă că persoana care are obligația de a plăti TVA este persoana impozabilă către care se face livrarea unui bun imobil vândut de un debitor împotriva căruia s-a pronunțat o hotărâre în cadrul unei proceduri de vânzare silită (denumit în continuare „mecanismul de taxare inversă”). Măsura specială permite Ungariei să extindă aplicarea mecanismului de taxare inversă la alte livrări efectuate de persoane impozabile supuse unei proceduri de insolvență, și anume livrarea de bunuri de capital și livrarea de alte bunuri și prestarea de servicii cu o valoare normală de piață de peste 100 000 HUF. |
| --- | --- |

(6)

Articolul 199 alineatul (1) litera (g) din Directiva 2006/112/CE permite statelor membre să prevadă că persoana care are obligația de a plăti TVA este persoana impozabilă către care se face livrarea unui bun imobil vândut de un debitor împotriva căruia s-a pronunțat o hotărâre în cadrul unei proceduri de vânzare silită (denumit în continuare „mecanismul de taxare inversă”). Măsura specială permite Ungariei să extindă aplicarea mecanismului de taxare inversă la alte livrări efectuate de persoane impozabile supuse unei proceduri de insolvență, și anume livrarea de bunuri de capital și livrarea de alte bunuri și prestarea de servicii cu o valoare normală de piață de peste 100 000 HUF.

| (7) | Pe baza informațiilor furnizate de Ungaria, aplicarea mecanismului de taxare inversă acestor tipuri de tranzacții a fost eficace în simplificarea colectării taxelor și în prevenirea evaziunii fiscale. Implementarea măsurii speciale a limitat pierderile pentru veniturile publice și a generat venituri bugetare suplimentare. Mai mult, efectele economice ale pandemiei de COVID-19 ar putea conduce la o creștere bruscă a numărului de lichidări în viitorul apropiat, evidențiind necesitatea prelungirii măsurii speciale. |
| --- | --- |

(7)

Pe baza informațiilor furnizate de Ungaria, aplicarea mecanismului de taxare inversă acestor tipuri de tranzacții a fost eficace în simplificarea colectării taxelor și în prevenirea evaziunii fiscale. Implementarea măsurii speciale a limitat pierderile pentru veniturile publice și a generat venituri bugetare suplimentare. Mai mult, efectele economice ale pandemiei de COVID-19 ar putea conduce la o creștere bruscă a numărului de lichidări în viitorul apropiat, evidențiind necesitatea prelungirii măsurii speciale.

| (8) | Derogarea solicitată ar trebui să fie limitată în timp, dar și să ofere administrației fiscale suficient timp, înainte ca măsura specială să expire, pentru a introduce alte măsuri convenționale prin care să abordeze problema respectivă și să reducă pierderile pentru bugetul public, în special cele legate de practicile frauduloase, făcând astfel ca o nouă prelungire a măsurii speciale să fie redundantă. O derogare care permite utilizarea mecanismului de taxare inversă este acordată numai în mod excepțional pentru anumite domenii unde se observă fraude și constituie un mijloc de ultimă instanță. Prin urmare, autorizarea ar trebui prelungită numai până la 31 decembrie 2024. |
| --- | --- |

(8)

Derogarea solicitată ar trebui să fie limitată în timp, dar și să ofere administrației fiscale suficient timp, înainte ca măsura specială să expire, pentru a introduce alte măsuri convenționale prin care să abordeze problema respectivă și să reducă pierderile pentru bugetul public, în special cele legate de practicile frauduloase, făcând astfel ca o nouă prelungire a măsurii speciale să fie redundantă. O derogare care permite utilizarea mecanismului de taxare inversă este acordată numai în mod excepțional pentru anumite domenii unde se observă fraude și constituie un mijloc de ultimă instanță. Prin urmare, autorizarea ar trebui prelungită numai până la 31 decembrie 2024.

| (9) | Măsura specială nu va avea un impact negativ asupra resurselor proprii ale Uniunii provenite din TVA. |
| --- | --- |

(9)

Măsura specială nu va avea un impact negativ asupra resurselor proprii ale Uniunii provenite din TVA.

| (10) | Prin urmare, Decizia de punere în aplicare (UE) 2018/789 ar trebui modificată în consecință, |
| --- | --- |

(10)

Prin urmare, Decizia de punere în aplicare (UE) 2018/789 ar trebui modificată în consecință,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

La articolul 2 din Decizia de punere în aplicare (UE) 2018/789, al doilea paragraf se înlocuiește cu următorul text:

„Prezenta decizie expiră la 31 decembrie 2024.”

Articolul 2

Prezenta decizie produce efecte de la data notificării.

Articolul 3

Prezenta decizie se adresează Ungariei.

Adoptată la Luxemburg, 5 octombrie 2021.

Pentru Consiliu

Președintele

A. ŠIRCELJ

---

(1)  
  JO L 347, 11.12.2006, p. 1.

1

(2)  Decizia de punere în aplicare (UE) 2018/789 a Consiliului din 25 mai 2018 de autorizare a Ungariei să introducă o măsură specială de derogare de la articolul 193 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată (JO L 134, 31.5.2018, p. 10).

2

---

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/112 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/112

---

DECIZIA DE PUNERE ÎN APLICARE (UE) 2021/1776 A CONSILIULUI

din 5 octombrie 2021

de modificare a Deciziei 2009/791/CE de autorizare a Republicii Federale Germania pentru aplicarea în continuare a unei măsuri de derogare de la articolul 168 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Directiva 2006/112/CE a Consiliului din 28 noiembrie 2006 privind sistemul comun al taxei pe valoarea adăugată (1), în special articolul 395 alineatul (1) primul paragraf,

având în vedere propunerea Comisiei Europene,

întrucât:

| (1) | Articolele 168 și 168a din Directiva 2006/112/CE reglementează dreptul persoanelor impozabile de a deduce taxa pe valoarea adăugată (TVA) percepută pentru bunurile și serviciile care le sunt furnizate sau prestate în scopul operațiunilor supuse impozitării. Republica Federală Germania (denumită în continuare „Germania”) a fost autorizată să introducă o măsură de derogare având obiectivul de a exclude de la dreptul de deducere TVA-ul aferent bunurilor și serviciilor utilizate de o persoană impozabilă în proporție mai mare de 90 % în scopuri personale sau în folosul angajaților săi ori, în general, în scopuri necomerciale sau pentru activități care nu au caracter economic. |
| --- | --- |

(1)

Articolele 168 și 168a din Directiva 2006/112/CE reglementează dreptul persoanelor impozabile de a deduce taxa pe valoarea adăugată (TVA) percepută pentru bunurile și serviciile care le sunt furnizate sau prestate în scopul operațiunilor supuse impozitării. Republica Federală Germania (denumită în continuare „Germania”) a fost autorizată să introducă o măsură de derogare având obiectivul de a exclude de la dreptul de deducere TVA-ul aferent bunurilor și serviciilor utilizate de o persoană impozabilă în proporție mai mare de 90 % în scopuri personale sau în folosul angajaților săi ori, în general, în scopuri necomerciale sau pentru activități care nu au caracter economic.

| (2) | Inițial, Decizia 2000/186/CE a Consiliului (2) a autorizat Germania să introducă și să aplice măsuri de derogare de la articolele 6 și 17 din Directiva 77/388/CEE a Consiliului (3) până la 31 decembrie 2002. Decizia 2003/354/CE a Consiliului (4) a autorizat Germania să aplice o măsură de derogare de la articolul 17 din Directiva 77/388/CEE până la 30 iunie 2004. Decizia 2004/817/CE a Consiliului (5) a prelungit autorizația respectivă până la 31 decembrie 2009. |
| --- | --- |

(2)

Inițial, Decizia 2000/186/CE a Consiliului (2) a autorizat Germania să introducă și să aplice măsuri de derogare de la articolele 6 și 17 din Directiva 77/388/CEE a Consiliului (3) până la 31 decembrie 2002. Decizia 2003/354/CE a Consiliului (4) a autorizat Germania să aplice o măsură de derogare de la articolul 17 din Directiva 77/388/CEE până la 30 iunie 2004. Decizia 2004/817/CE a Consiliului (5) a prelungit autorizația respectivă până la 31 decembrie 2009.

| (3) | Decizia 2009/791/CE a Consiliului (6) a autorizat Germania să continue să aplice o măsură de derogare de la articolul 168 din Directiva 2006/112/CE. În urma unor prelungiri succesive, această autorizație expiră la 31 decembrie 2021. |
| --- | --- |

(3)

Decizia 2009/791/CE a Consiliului (6) a autorizat Germania să continue să aplice o măsură de derogare de la articolul 168 din Directiva 2006/112/CE. În urma unor prelungiri succesive, această autorizație expiră la 31 decembrie 2021.

| (4) | Directiva 2009/162/UE a Consiliului (7) a introdus articolul 168a în Directiva 2006/112/CE pentru a limita deducerea la proporția utilizării efective în scopuri profesionale și pentru a aplica astfel mai eficient principiul potrivit căruia deducerea ia naștere numai în măsura în care bunurile și serviciile în cauză sunt utilizate în scopul desfășurării activității economice a persoanei impozabile. Articolul 1 din Decizia 2009/791/CE a fost modificat prin includerea unei trimiteri la articolul 168a din Directiva 2006/112/CE. Prin urmare, titlul Deciziei 2009/791/CE ar trebui să facă trimitere și la articolul 168a din Directiva 2006/112/CE. |
| --- | --- |

(4)

Directiva 2009/162/UE a Consiliului (7) a introdus articolul 168a în Directiva 2006/112/CE pentru a limita deducerea la proporția utilizării efective în scopuri profesionale și pentru a aplica astfel mai eficient principiul potrivit căruia deducerea ia naștere numai în măsura în care bunurile și serviciile în cauză sunt utilizate în scopul desfășurării activității economice a persoanei impozabile. Articolul 1 din Decizia 2009/791/CE a fost modificat prin includerea unei trimiteri la articolul 168a din Directiva 2006/112/CE. Prin urmare, titlul Deciziei 2009/791/CE ar trebui să facă trimitere și la articolul 168a din Directiva 2006/112/CE.

| (5) | Prin scrisoarea înregistrată de Comisie la 19 februarie 2021, Germania a înaintat Comisiei cererea ca autorizația de a continua aplicarea unei măsuri de derogare de la articolele 168 și 168a din Directiva 2006/112/CE, cu scopul de a exclude în totalitate de la dreptul de deducere TVA-ul aferent bunurilor și serviciilor utilizate de contribuabil în proporție de peste 90 % în scopuri personale sau în scopuri necomerciale, inclusiv pentru activități care nu au caracter economic (denumită în continuare „măsura specială”), să fie prelungită (denumită în continuare „cererea”). Cererea a fost însoțită de un raport privind aplicarea măsurii speciale, care include o reexaminare a procentajului repartizării care se aplică dreptului de deducere a TVA-ului astfel cum se prevede la articolul 2 din Decizia 2009/791/CE. |
| --- | --- |

(5)

Prin scrisoarea înregistrată de Comisie la 19 februarie 2021, Germania a înaintat Comisiei cererea ca autorizația de a continua aplicarea unei măsuri de derogare de la articolele 168 și 168a din Directiva 2006/112/CE, cu scopul de a exclude în totalitate de la dreptul de deducere TVA-ul aferent bunurilor și serviciilor utilizate de contribuabil în proporție de peste 90 % în scopuri personale sau în scopuri necomerciale, inclusiv pentru activități care nu au caracter economic (denumită în continuare „măsura specială”), să fie prelungită (denumită în continuare „cererea”). Cererea a fost însoțită de un raport privind aplicarea măsurii speciale, care include o reexaminare a procentajului repartizării care se aplică dreptului de deducere a TVA-ului astfel cum se prevede la articolul 2 din Decizia 2009/791/CE.

| (6) | În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea celorlalte state membre prin scrisorile din 17 martie 2021. Prin scrisoarea din 18 martie 2021, Comisia a comunicat Germaniei faptul că deține toate informațiile necesare pentru a analiza cererea. |
| --- | --- |

(6)

În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea celorlalte state membre prin scrisorile din 17 martie 2021. Prin scrisoarea din 18 martie 2021, Comisia a comunicat Germaniei faptul că deține toate informațiile necesare pentru a analiza cererea.

| (7) | Potrivit Germaniei, măsura specială s-a dovedit a fi foarte eficace pentru simplificarea colectării TVA-ului și pentru prevenirea evaziunii și a evitării obligațiilor fiscale. Măsura specială reduce sarcina administrativă a întreprinderilor și a administrațiilor fiscale, deoarece nu este necesară monitorizarea utilizării ulterioare a bunurilor și serviciilor cărora li s-a aplicat excluderea de la deducere la momentul achiziției. Prin urmare, Germania ar trebui să fie autorizată să aplice în continuare această măsură specială pentru o nouă perioadă limitată, și anume până la 31 decembrie 2024. |
| --- | --- |

(7)

Potrivit Germaniei, măsura specială s-a dovedit a fi foarte eficace pentru simplificarea colectării TVA-ului și pentru prevenirea evaziunii și a evitării obligațiilor fiscale. Măsura specială reduce sarcina administrativă a întreprinderilor și a administrațiilor fiscale, deoarece nu este necesară monitorizarea utilizării ulterioare a bunurilor și serviciilor cărora li s-a aplicat excluderea de la deducere la momentul achiziției. Prin urmare, Germania ar trebui să fie autorizată să aplice în continuare această măsură specială pentru o nouă perioadă limitată, și anume până la 31 decembrie 2024.

| (8) | În cazul în care consideră că este necesară o prelungire după 2024, Germania ar trebui să prezinte Comisiei până la 31 martie 2024 o cerere însoțită de un raport privind aplicarea măsurii speciale, care ar trebui să includă o reexaminare a procentajului repartizării aplicat. |
| --- | --- |

(8)

În cazul în care consideră că este necesară o prelungire după 2024, Germania ar trebui să prezinte Comisiei până la 31 martie 2024 o cerere însoțită de un raport privind aplicarea măsurii speciale, care ar trebui să includă o reexaminare a procentajului repartizării aplicat.

| (9) | Măsura specială nu va avea un impact negativ asupra resurselor proprii ale Uniunii provenind din TVA. |
| --- | --- |

(9)

Măsura specială nu va avea un impact negativ asupra resurselor proprii ale Uniunii provenind din TVA.

| (10) | Prin urmare, Decizia 2009/791/CE ar trebui modificată în consecință, |
| --- | --- |

(10)

Prin urmare, Decizia 2009/791/CE ar trebui modificată în consecință,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Decizia 2009/791/CE se modifică după cum urmează:

| 1. | Titlul se înlocuiește cu următorul text:

  „Decizia 2009/791/CE a Consiliului din 20 octombrie 2009 de autorizare a Republicii Federale Germania pentru aplicarea în continuare a unei măsuri de derogare de la articolele 168 și 168a din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată.” |
| --- | --- |

1.

Titlul se înlocuiește cu următorul text:

„Decizia 2009/791/CE a Consiliului din 20 octombrie 2009 de autorizare a Republicii Federale Germania pentru aplicarea în continuare a unei măsuri de derogare de la articolele 168 și 168a din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată.”

| 2. | Articolul 2 se înlocuiește cu următorul text:

  „Articolul 2
  Prezenta decizie expiră la 31 decembrie 2024.
  Orice cerere de prelungire a măsurii de derogare prevăzute în prezenta decizie se transmite Comisiei până la 31 martie 2024.
  Respectiva cerere este însoțită de un raport privind aplicarea acestei măsuri, incluzând o reexaminare a procentajului repartizării care se aplică dreptului de deducere a TVA în baza prezentei decizii.” |
| --- | --- |

2.

Articolul 2 se înlocuiește cu următorul text:

„Articolul 2

Prezenta decizie expiră la 31 decembrie 2024.

Orice cerere de prelungire a măsurii de derogare prevăzute în prezenta decizie se transmite Comisiei până la 31 martie 2024.

Respectiva cerere este însoțită de un raport privind aplicarea acestei măsuri, incluzând o reexaminare a procentajului repartizării care se aplică dreptului de deducere a TVA în baza prezentei decizii.”

Articolul 2

Prezenta decizie produce efecte de la data notificării.

Articolul 3

Prezenta decizie se adresează Republicii Federale Germania.

Adoptată la Luxemburg, 5 octombrie 2021.

Pentru Consiliu

Președintele

A. ŠIRCELJ

---

(1)  
  JO L 347, 11.12.2006, p. 1.

1

(2)  Decizia 2000/186/CE a Consiliului din 28 februarie 2000 de autorizare a Republicii Federale Germania să aplice măsuri de derogare de la articolele 6 și 17 din A șasea Directivă 77/388/CEE privind armonizarea legislațiilor statelor membre în materie de impozitare a cifrei de afaceri – sistemul comun al taxei pe valoarea adăugată: baza unitară de evaluare (JO L 59, 4.3.2000, p. 12).

2

(3)  A șasea directivă 77/388/CEE a Consiliului din 17 mai 1977 privind armonizarea legislațiilor statelor membre în materie de impozitare a cifrei de afaceri - sistemul comun al taxei pe valoarea adăugată: baza unitară de evaluare (JO L 145, 13.6.1977, p. 1).

3

(4)  Decizia 2003/354/CE a Consiliului din 13 mai 2003 de autorizare a Germaniei să aplice o măsură de derogare de la articolul 17 din A șasea directivă 77/388/CEE privind armonizarea legislațiilor statelor membre în materie de impozitare a cifrei de afaceri (JO L 123, 17.5.2003, p. 47).

4

(5)  Decizia 2004/817/CE a Consiliului din 19 noiembrie 2004 de autorizare a Germaniei să aplice o măsură de derogare de la articolul 17 din A șasea directivă 77/388/CEE privind armonizarea legislațiilor statelor membre în materie de impozitare a cifrei de afaceri (JO L 357, 2.12.2004, p. 33).

5

(6)  Decizia 2009/791/CE a Consiliului din 20 octombrie 2009 de autorizare a Republicii Federale Germania pentru aplicarea în continuare a unei măsuri de derogare de la articolul 168 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată (JO L 283, 30.10.2009, p. 55).

6

(7)  Directiva 2009/162/UE a Consiliului din 22 decembrie 2009 de modificare a anumitor dispoziții ale Directivei 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată (JO L 10, 15.1.2010, p. 14).

7

---

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/115 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/115

---

DECIZIA DE PUNERE ÎN APLICARE (UE) 2021/1777 A CONSILIULUI

din 5 octombrie 2021

de autorizare a Italiei să aplice rate reduse de impozitare la motorina utilizată pentru încălzire și la energia electrică furnizată în comuna Campione d’Italia

CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Directiva 2003/96/CE a Consiliului din 27 octombrie 2003 privind restructurarea cadrului comunitar de impozitare a produselor energetice și a electricității (1), în special articolul 19,

având în vedere propunerea Comisiei Europene,

întrucât:

| (1) | Prin scrisoarea din 7 august 2020, Italia a solicitat autorizarea aplicării, pentru perioada 1 ianuarie 2021-31 decembrie 2026, a unor rate reduse de impozitare la motorina utilizată pentru încălzire și la energia electrică furnizate în comuna Campione d’Italia, în temeiul articolului 19 din Directiva 2003/96/CE. Italia a furnizat informații și precizări suplimentare în sprijinul cererii la 19 ianuarie 2021. |
| --- | --- |

(1)

Prin scrisoarea din 7 august 2020, Italia a solicitat autorizarea aplicării, pentru perioada 1 ianuarie 2021-31 decembrie 2026, a unor rate reduse de impozitare la motorina utilizată pentru încălzire și la energia electrică furnizate în comuna Campione d’Italia, în temeiul articolului 19 din Directiva 2003/96/CE. Italia a furnizat informații și precizări suplimentare în sprijinul cererii la 19 ianuarie 2021.

| (2) | Comuna Campione d’Italia este o enclavă a Italiei în Elveția, cu o arie geografică foarte limitată și o populație redusă. Zona este muntoasă, ceea ce limitează dezvoltarea urbană, activitățile industriale și accesibilitatea sa globală. Având în vedere localizarea sa geografică, lipsa accesului la rețeaua de gaze naturale și condițiile climatice dificile, costurile de furnizare a produselor energetice în comuna Campione d’Italia sunt ridicate, indiferent dacă acestea sunt furnizate din Elveția sau din Italia. Mai mult, includerea comunei Campione d’Italia în teritoriul vamal al Uniunii la 1 ianuarie 2020 a condus la o creștere a costurilor energiei pentru gospodării și întreprinderi. În plus, Campione d’Italia traversează o criză economică severă, care a fost agravată de pandemia de COVID-19. |
| --- | --- |

(2)

Comuna Campione d’Italia este o enclavă a Italiei în Elveția, cu o arie geografică foarte limitată și o populație redusă. Zona este muntoasă, ceea ce limitează dezvoltarea urbană, activitățile industriale și accesibilitatea sa globală. Având în vedere localizarea sa geografică, lipsa accesului la rețeaua de gaze naturale și condițiile climatice dificile, costurile de furnizare a produselor energetice în comuna Campione d’Italia sunt ridicate, indiferent dacă acestea sunt furnizate din Elveția sau din Italia. Mai mult, includerea comunei Campione d’Italia în teritoriul vamal al Uniunii la 1 ianuarie 2020 a condus la o creștere a costurilor energiei pentru gospodării și întreprinderi. În plus, Campione d’Italia traversează o criză economică severă, care a fost agravată de pandemia de COVID-19.

| (3) | Pentru a atenua costurile ridicate ale energiei în Campione d’Italia, impozitarea anumitor produse energetice ar trebui să fie redusă. |
| --- | --- |

(3)

Pentru a atenua costurile ridicate ale energiei în Campione d’Italia, impozitarea anumitor produse energetice ar trebui să fie redusă.

| (4) | Comisia a examinat măsura solicitată și a constatat că aceasta nu denaturează concurența, nu împiedică buna funcționare a pieței interne și nu poate fi considerată incompatibilă cu politica Uniunii în domeniul mediului, al energiei și al transporturilor. Ratele reduse ale impozitării atât pentru motorină, cât și pentru energia electrică ar rămâne egale sau mai mari decât nivelurile minime de impozitare stabilite în Directiva 2003/96/CE și ar compensa parțial creșterea costurilor energiei în comuna Campione d’Italia. Reducerea fiscală nu este cumulativă cu alte tipuri de reduceri fiscale. |
| --- | --- |

(4)

Comisia a examinat măsura solicitată și a constatat că aceasta nu denaturează concurența, nu împiedică buna funcționare a pieței interne și nu poate fi considerată incompatibilă cu politica Uniunii în domeniul mediului, al energiei și al transporturilor. Ratele reduse ale impozitării atât pentru motorină, cât și pentru energia electrică ar rămâne egale sau mai mari decât nivelurile minime de impozitare stabilite în Directiva 2003/96/CE și ar compensa parțial creșterea costurilor energiei în comuna Campione d’Italia. Reducerea fiscală nu este cumulativă cu alte tipuri de reduceri fiscale.

| (5) | Prin urmare, Italia ar trebui să fie autorizată să aplice rate reduse de impozitare pentru motorina utilizată pentru încălzire și pentru energia electrică furnizate în comuna Campione d’Italia. |
| --- | --- |

(5)

Prin urmare, Italia ar trebui să fie autorizată să aplice rate reduse de impozitare pentru motorina utilizată pentru încălzire și pentru energia electrică furnizate în comuna Campione d’Italia.

| (6) | Pentru a se asigura îndeplinirea obiectivelor urmărite prin măsura de derogare, în special a celor care vizează evitarea efectelor perturbatoare cauzate de actualele circumstanțe economice și sociale și de situația geografică ale Campione d’Italia și asigurarea unor condiții de concurență echitabile prin atenuarea costurilor ridicate ale energiei, este oportun ca prezenta decizie să se aplice de la 1 ianuarie 2021. Prin prevederea aplicării măsurii de derogare de la o dată anterioară intrării în vigoare sunt respectate așteptările legitime ale operatorilor de pe piață și ale persoanelor fizice, deoarece măsura de derogare nu aduce atingere drepturilor și obligațiilor acestora. |
| --- | --- |

(6)

Pentru a se asigura îndeplinirea obiectivelor urmărite prin măsura de derogare, în special a celor care vizează evitarea efectelor perturbatoare cauzate de actualele circumstanțe economice și sociale și de situația geografică ale Campione d’Italia și asigurarea unor condiții de concurență echitabile prin atenuarea costurilor ridicate ale energiei, este oportun ca prezenta decizie să se aplice de la 1 ianuarie 2021. Prin prevederea aplicării măsurii de derogare de la o dată anterioară intrării în vigoare sunt respectate așteptările legitime ale operatorilor de pe piață și ale persoanelor fizice, deoarece măsura de derogare nu aduce atingere drepturilor și obligațiilor acestora.

| (7) | Fiecare autorizație acordată în temeiul articolului 19 alineatul (2) din Directiva 2003/96/CE trebuie să fie strict limitată în timp. Pentru a oferi comunei Campione d’Italia un grad suficient de certitudine, autorizația ar trebui acordată pe o perioadă de șase ani. Cu toate acestea, pentru a nu aduce atingere evoluțiilor viitoare ale cadrului juridic existent, este oportun să se prevadă că, în cazul în care Consiliul, hotărând în temeiul articolului 113 din Tratatul privind funcționarea Uniunii Europene, introduce un sistem general modificat de impozitare a produselor energetice cu care prezenta autorizație nu ar fi compatibilă, prezenta autorizație încetează să se aplice la data la care devin aplicabile respectivele norme generale. |
| --- | --- |

(7)

Fiecare autorizație acordată în temeiul articolului 19 alineatul (2) din Directiva 2003/96/CE trebuie să fie strict limitată în timp. Pentru a oferi comunei Campione d’Italia un grad suficient de certitudine, autorizația ar trebui acordată pe o perioadă de șase ani. Cu toate acestea, pentru a nu aduce atingere evoluțiilor viitoare ale cadrului juridic existent, este oportun să se prevadă că, în cazul în care Consiliul, hotărând în temeiul articolului 113 din Tratatul privind funcționarea Uniunii Europene, introduce un sistem general modificat de impozitare a produselor energetice cu care prezenta autorizație nu ar fi compatibilă, prezenta autorizație încetează să se aplice la data la care devin aplicabile respectivele norme generale.

| (8) | Prezenta decizie nu aduce atingere aplicării normelor Uniunii privind ajutoarele de stat, |
| --- | --- |

(8)

Prezenta decizie nu aduce atingere aplicării normelor Uniunii privind ajutoarele de stat,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Italia este autorizată să aplice rate reduse de impozitare la motorina utilizată pentru încălzire și la energia electrică furnizate în comuna Campione d’Italia, cu condiția respectării nivelurilor minime de impozitare prevăzute la articolele 9 și 10 din Directiva 2003/96/CE.

Articolul 2

Prezenta decizie se aplică de la 1 ianuarie 2021 până la 31 decembrie 2026.

Cu toate acestea, în cazul în care Consiliul, hotărând în temeiul articolului 113 sau al oricărei alte dispoziții relevante din Tratatul privind funcționarea Uniunii Europene, introduce un sistem general modificat de impozitare a produselor energetice cu care autorizația acordată la articolul 1 din prezenta decizie nu ar fi compatibilă, prezenta decizie încetează să se aplice de la data la care devin aplicabile respectivele norme generale.

Articolul 3

Prezenta decizie se adresează Republicii Italiene.

Adoptată la Luxemburg, 5 octombrie 2021.

Pentru Consiliu

Președintele

A. ŠIRCELJ

---

(1)  
  JO L 283, 31.10.2003, p. 51.

1

---

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/117 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/117

---

DECIZIA DE PUNERE ÎN APLICARE (UE) 2021/1778 A CONSILIULUI

din 5 octombrie 2021

de autorizare a Republicii Federale Germania să aplice o măsură specială de derogare de la articolul 193 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Directiva 2006/112/CE a Consiliului din 28 noiembrie 2006 privind sistemul comun al taxei pe valoarea adăugată (1), în special articolul 395 alineatul (1) primul paragraf,

având în vedere propunerea Comisiei Europene,

întrucât:

| (1) | Articolul 193 din Directiva 2006/112/CE prevede că persoana impozabilă care efectuează o livrare de bunuri sau o prestare de servicii are în general obligația de a plăti taxa pe valoarea adăugată (TVA) către autoritățile fiscale. |
| --- | --- |

(1)

Articolul 193 din Directiva 2006/112/CE prevede că persoana impozabilă care efectuează o livrare de bunuri sau o prestare de servicii are în general obligația de a plăti taxa pe valoarea adăugată (TVA) către autoritățile fiscale.

| (2) | Prin scrisoarea înregistrată de Comisie la 15 martie 2021, Republica Federală Germania (denumită în continuare „Germania”) a prezentat Comisiei o cerere de autorizare a aplicării unei măsuri speciale de derogare de la articolul 193 din Directiva 2006/112/CE în ceea ce privește persoanele obligate la plata TVA-ului în cazul transferului de certificate de emisii comercializate în cadrul unui sistem național de comercializare în temeiul Legii privind comercializarea certificatelor de emisii provenind de la combustibili (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – BEHG) din 12 decembrie 2019 (denumită în continuare „cererea”). |
| --- | --- |

(2)

Prin scrisoarea înregistrată de Comisie la 15 martie 2021, Republica Federală Germania (denumită în continuare „Germania”) a prezentat Comisiei o cerere de autorizare a aplicării unei măsuri speciale de derogare de la articolul 193 din Directiva 2006/112/CE în ceea ce privește persoanele obligate la plata TVA-ului în cazul transferului de certificate de emisii comercializate în cadrul unui sistem național de comercializare în temeiul Legii privind comercializarea certificatelor de emisii provenind de la combustibili (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – BEHG) din 12 decembrie 2019 (denumită în continuare „cererea”).

| (3) | În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, prin scrisorile din data de 7 aprilie 2021, Comisia a transmis cererea către celelalte state membre și, prin scrisoarea din 8 aprilie 2021, a informat Germania că deține toate informațiile necesare pentru a analiza cererea. |
| --- | --- |

(3)

În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, prin scrisorile din data de 7 aprilie 2021, Comisia a transmis cererea către celelalte state membre și, prin scrisoarea din 8 aprilie 2021, a informat Germania că deține toate informațiile necesare pentru a analiza cererea.

| (4) | Articolul 199a alineatul (1) literele (a) și (b) din Directiva 2006/112/CE le permite statelor membre să desemneze ca persoane obligate la plata TVA persoanele impozabile care primesc transferuri de certificate de emisii de gaze cu efect de seră, astfel cum sunt definite la articolul 3 din Directiva 2003/87/CE a Parlamentului European și a Consiliului (2), și transferuri de alte unități care pot fi utilizate de operatori pentru respectarea directivei respective (denumit în continuare „mecanismul de taxare inversă”). Respectivele dispoziții au fost incluse în Directiva 2006/112/CE prin intermediul Directivei 2010/23/UE a Consiliului (3) pentru a contribui la combaterea fraudei în domeniul TVA. Aplicarea mecanismului de taxare inversă pentru comercializarea emisiilor de gaze cu efect de seră în temeiul articolului 199a alineatul (1) literele (a) și (b) din Directiva 2006/112/CE este limitată la certificatele comercializate în cadrul sistemului UE de comercializare a certificatelor de emisii (EU ETS). |
| --- | --- |

(4)

Articolul 199a alineatul (1) literele (a) și (b) din Directiva 2006/112/CE le permite statelor membre să desemneze ca persoane obligate la plata TVA persoanele impozabile care primesc transferuri de certificate de emisii de gaze cu efect de seră, astfel cum sunt definite la articolul 3 din Directiva 2003/87/CE a Parlamentului European și a Consiliului (2), și transferuri de alte unități care pot fi utilizate de operatori pentru respectarea directivei respective (denumit în continuare „mecanismul de taxare inversă”). Respectivele dispoziții au fost incluse în Directiva 2006/112/CE prin intermediul Directivei 2010/23/UE a Consiliului (3) pentru a contribui la combaterea fraudei în domeniul TVA. Aplicarea mecanismului de taxare inversă pentru comercializarea emisiilor de gaze cu efect de seră în temeiul articolului 199a alineatul (1) literele (a) și (b) din Directiva 2006/112/CE este limitată la certificatele comercializate în cadrul sistemului UE de comercializare a certificatelor de emisii (EU ETS).

| (5) | În temeiul BEHG, Germania a creat un cadru juridic pentru un sistem național de comercializare a certificatelor de emisii, pentru a reglementa emisiile care nu intră sub incidența EU ETS. Prin urmare, articolul 199a alineatul (1) literele (a) și (b) din Directiva 2006/112/CE nu constituie un temei juridic pentru aplicarea mecanismului de taxare inversă în cazul comercializării certificatelor în temeiul BEHG. |
| --- | --- |

(5)

În temeiul BEHG, Germania a creat un cadru juridic pentru un sistem național de comercializare a certificatelor de emisii, pentru a reglementa emisiile care nu intră sub incidența EU ETS. Prin urmare, articolul 199a alineatul (1) literele (a) și (b) din Directiva 2006/112/CE nu constituie un temei juridic pentru aplicarea mecanismului de taxare inversă în cazul comercializării certificatelor în temeiul BEHG.

| (6) | Potrivit Germaniei, comerțul cu certificate de emisii este extrem de vulnerabil la frauda în materie de TVA. Comercializarea certificatelor pentru emisiile provenite de la combustibili în temeiul BEHG ar putea fi exploatată în scopuri frauduloase în același mod ca în cadrul EU ETS. Certificatele de emisii pot fi schimbate rapid, ușor și în mod repetat. În consecință, este foarte dificil pentru autorități să detecteze astfel de schimbări de proprietate și să asigurare perceperea valorii adecvate a taxei. Cumpărătorul certificatelor, în calitate de persoană impozabilă cu drept de deducere, ar putea deduce TVA-ul datorat, fără ca furnizorul să fi plătit administrației fiscale impozitul pe cifra de afaceri facturat. Mai precis, implicarea în lanțul de aprovizionare a „firmelor fantomă”, care dispar rapid sau nu dețin active, împiedică colectarea de către autorități a taxei eludate, fapt care are un impact negativ asupra bugetului. Pentru a remedia pierderile de venituri publice, Germania a solicitat autorizarea de a deroga de la articolul 193 din Directiva 2006/112/CE pentru a introduce mecanismul de taxare inversă pentru transferul certificatelor de emisii. |
| --- | --- |

(6)

Potrivit Germaniei, comerțul cu certificate de emisii este extrem de vulnerabil la frauda în materie de TVA. Comercializarea certificatelor pentru emisiile provenite de la combustibili în temeiul BEHG ar putea fi exploatată în scopuri frauduloase în același mod ca în cadrul EU ETS. Certificatele de emisii pot fi schimbate rapid, ușor și în mod repetat. În consecință, este foarte dificil pentru autorități să detecteze astfel de schimbări de proprietate și să asigurare perceperea valorii adecvate a taxei. Cumpărătorul certificatelor, în calitate de persoană impozabilă cu drept de deducere, ar putea deduce TVA-ul datorat, fără ca furnizorul să fi plătit administrației fiscale impozitul pe cifra de afaceri facturat. Mai precis, implicarea în lanțul de aprovizionare a „firmelor fantomă”, care dispar rapid sau nu dețin active, împiedică colectarea de către autorități a taxei eludate, fapt care are un impact negativ asupra bugetului. Pentru a remedia pierderile de venituri publice, Germania a solicitat autorizarea de a deroga de la articolul 193 din Directiva 2006/112/CE pentru a introduce mecanismul de taxare inversă pentru transferul certificatelor de emisii.

| (7) | Desemnarea destinatarului, fiind persoană impozabilă, drept persoană care are obligația de a plăti TVA-ul în aceste cazuri speciale ar simplifica procedura de colectare a TVA-ului și ar preveni evaziunea fiscală și evitarea obligațiilor fiscale. Prin urmare, Germania ar trebui să fie autorizată să aplice mecanismul de taxare inversă în cazul transferului de certificate de emisii comercializate în cadrul unui sistem național în temeiul BEHG (denumită în continuare „măsura specială”). |
| --- | --- |

(7)

Desemnarea destinatarului, fiind persoană impozabilă, drept persoană care are obligația de a plăti TVA-ul în aceste cazuri speciale ar simplifica procedura de colectare a TVA-ului și ar preveni evaziunea fiscală și evitarea obligațiilor fiscale. Prin urmare, Germania ar trebui să fie autorizată să aplice mecanismul de taxare inversă în cazul transferului de certificate de emisii comercializate în cadrul unui sistem național în temeiul BEHG (denumită în continuare „măsura specială”).

| (8) | Măsura specială ar trebui să fie limitată în timp. Prin urmare, Germania ar trebui să fie autorizată să aplice măsura specială până la 31 decembrie 2024. |
| --- | --- |

(8)

Măsura specială ar trebui să fie limitată în timp. Prin urmare, Germania ar trebui să fie autorizată să aplice măsura specială până la 31 decembrie 2024.

| (9) | Dat fiind domeniul de aplicare și elementul de noutate al măsurii speciale, este important ca efectul acesteia să fie evaluat. Prin urmare, în cazul în care dorește prelungirea măsurii speciale după 2024, Germania ar trebui să transmită Comisiei, până la 31 martie 2024, un raport care să includă o reexaminare a măsurii speciale, împreună cu cererea de prelungire. Raportul ar trebui să includă o evaluare a impactului măsurii speciale asupra combaterii fraudei în domeniul TVA și a numărului de comercianți și de tranzacții afectate de măsura specială. |
| --- | --- |

(9)

Dat fiind domeniul de aplicare și elementul de noutate al măsurii speciale, este important ca efectul acesteia să fie evaluat. Prin urmare, în cazul în care dorește prelungirea măsurii speciale după 2024, Germania ar trebui să transmită Comisiei, până la 31 martie 2024, un raport care să includă o reexaminare a măsurii speciale, împreună cu cererea de prelungire. Raportul ar trebui să includă o evaluare a impactului măsurii speciale asupra combaterii fraudei în domeniul TVA și a numărului de comercianți și de tranzacții afectate de măsura specială.

| (10) | Măsura specială nu va avea un impact negativ asupra resurselor proprii ale Uniunii provenind din TVA, |
| --- | --- |

(10)

Măsura specială nu va avea un impact negativ asupra resurselor proprii ale Uniunii provenind din TVA,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Prin derogare de la articolul 193 din Directiva 2006/112/CE, Republica Federală Germania este autorizată să prevadă că persoana obligată la plata TVA-ului este persoana impozabilă căreia i se efectuează transferul certificatelor de emisii comercializate în cadrul unui sistem național de comercializare în temeiul Legii privind comercializarea certificatelor de emisii provenind de la combustibili (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen) din 12 decembrie 2019.

Articolul 2

Prezenta decizie expiră la 31 decembrie 2024.

Orice cerere de prelungire a măsurii speciale prevăzute în prezenta decizie se transmite Comisiei până la 31 martie 2024 și este însoțită de un raport privind aplicarea acestei măsuri, care include o evaluare a impactului măsurii asupra combaterii fraudei în domeniul TVA și a numărului de comercianți și de tranzacții afectate de măsură.

Articolul 3

Prezenta decizie produce efecte de la data notificării.

Articolul 4

Prezenta decizie se adresează Republicii Federale Germania.

Adoptată la Luxemburg, 5 octombrie 2021.

Pentru Consiliu

Președintele

A. ŠIRCELJ

---

(1)  
  JO L 347, 11.12.2006, p. 1.

1

(2)  Directiva 2003/87/CE a Parlamentului European și a Consiliului din 13 octombrie 2003 de stabilire a unui sistem de comercializare a cotelor de emisie de gaze cu efect de seră în cadrul Uniunii și de modificare a Directivei 96/61/CE a Consiliului (JO L 275, 25.10.2003, p. 32).

2

(3)  Directiva 2010/23/UE a Consiliului din 16 martie 2010 de modificare a Directivei 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată, cu privire la aplicarea opțională și temporară a mecanismului de taxare inversă pentru prestarea anumitor servicii care prezintă risc de fraudă (JO L 72, 20.3.2010, p. 1).

3

---

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/120 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/120

---

DECIZIA DE PUNERE ÎN APLICARE (UE) 2021/1779 A CONSILIULUI

din 5 octombrie 2021

de modificare a Deciziei de punere în aplicare 2009/1013/UE de autorizare a Republicii Austria în vederea aplicării în continuare a unei măsuri de derogare de la articolul 168 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Directiva 2006/112/CE a Consiliului din 28 noiembrie 2006 privind sistemul comun al taxei pe valoarea adăugată (1), în special articolul 395 alineatul (1) primul paragraf,

având în vedere propunerea Comisiei Europene,

întrucât:

| (1) | Decizia de punere în aplicare 2009/1013/UE a Consiliului (2) a autorizat Republica Austria (denumită în continuare „Austria”) să aplice o măsură specială de derogare de la Directiva 2006/112/CE (denumită în continuare „măsura specială”). În urma unor prelungiri succesive, această autorizație expiră la 31 decembrie 2021. |
| --- | --- |

(1)

Decizia de punere în aplicare 2009/1013/UE a Consiliului (2) a autorizat Republica Austria (denumită în continuare „Austria”) să aplice o măsură specială de derogare de la Directiva 2006/112/CE (denumită în continuare „măsura specială”). În urma unor prelungiri succesive, această autorizație expiră la 31 decembrie 2021.

| (2) | Directiva 2009/162/UE a Consiliului (3) a introdus articolul 168a în Directiva 2006/112/CE pentru a limita deducerea la proporția utilizării efective în scopul activității economice și pentru a aplica astfel mai eficient principiul potrivit căruia deducerea ia naștere numai în măsura în care bunurile și serviciile în cauză sunt utilizate în scopul desfășurării activității economice a persoanei impozabile. Articolul 1 din Decizia de punere în aplicare 2009/1013/UE a fost modificat prin includerea unei trimiteri la articolul 168a din Directiva 2006/112/CE. Prin urmare, titlul Deciziei de punere în aplicare 2009/1013/UE ar trebui să facă trimitere și la articolul 168a din Directiva 2006/112/CE. |
| --- | --- |

(2)

Directiva 2009/162/UE a Consiliului (3) a introdus articolul 168a în Directiva 2006/112/CE pentru a limita deducerea la proporția utilizării efective în scopul activității economice și pentru a aplica astfel mai eficient principiul potrivit căruia deducerea ia naștere numai în măsura în care bunurile și serviciile în cauză sunt utilizate în scopul desfășurării activității economice a persoanei impozabile. Articolul 1 din Decizia de punere în aplicare 2009/1013/UE a fost modificat prin includerea unei trimiteri la articolul 168a din Directiva 2006/112/CE. Prin urmare, titlul Deciziei de punere în aplicare 2009/1013/UE ar trebui să facă trimitere și la articolul 168a din Directiva 2006/112/CE.

| (3) | Măsura specială reprezintă o derogare de la articolele 168 și 168a din Directiva 2006/112/CE care reglementează dreptul persoanelor impozabile de a deduce taxa pe valoarea adăugată (TVA) percepută pentru bunurile și serviciile care le sunt furnizate sau prestate în scopul operațiunilor supuse impozitării. Obiectivul măsurii speciale este acela de a exclude de la dreptul de deducere TVA aferentă bunurilor și serviciilor utilizate de persoana impozabilă în proporție mai mare de 90 % în scopuri personale sau în folosul angajaților acestora ori, în general, în scopuri necomerciale sau pentru activități care nu au caracter economic. |
| --- | --- |

(3)

Măsura specială reprezintă o derogare de la articolele 168 și 168a din Directiva 2006/112/CE care reglementează dreptul persoanelor impozabile de a deduce taxa pe valoarea adăugată (TVA) percepută pentru bunurile și serviciile care le sunt furnizate sau prestate în scopul operațiunilor supuse impozitării. Obiectivul măsurii speciale este acela de a exclude de la dreptul de deducere TVA aferentă bunurilor și serviciilor utilizate de persoana impozabilă în proporție mai mare de 90 % în scopuri personale sau în folosul angajaților acestora ori, în general, în scopuri necomerciale sau pentru activități care nu au caracter economic.

| (4) | Obiectivul măsurii speciale este acela de a simplifica procedura de percepere și de colectare a TVA. Valoarea taxei datorate în stadiul consumului final este afectată doar într-o măsură neglijabilă. |
| --- | --- |

(4)

Obiectivul măsurii speciale este acela de a simplifica procedura de percepere și de colectare a TVA. Valoarea taxei datorate în stadiul consumului final este afectată doar într-o măsură neglijabilă.

| (5) | Prin scrisoarea înregistrată de Comisie la 19 martie 2021, Austria a solicitat autorizarea de a continua să aplice această măsură specială (denumită în continuare „cererea”). |
| --- | --- |

(5)

Prin scrisoarea înregistrată de Comisie la 19 martie 2021, Austria a solicitat autorizarea de a continua să aplice această măsură specială (denumită în continuare „cererea”).

| (6) | În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea celorlalte state membre prin scrisorile din 7 aprilie 2021. Prin scrisoarea din 8 aprilie 2021, Comisia a înștiințat Austria că deține toate informațiile necesare pentru a analiza cererea. |
| --- | --- |

(6)

În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea celorlalte state membre prin scrisorile din 7 aprilie 2021. Prin scrisoarea din 8 aprilie 2021, Comisia a înștiințat Austria că deține toate informațiile necesare pentru a analiza cererea.

| (7) | Potrivit Austriei, măsura specială s-a dovedit a fi foarte eficace pentru simplificarea colectării TVA-ului și pentru prevenirea evaziunii și a fraudei fiscale. Aceasta reduce sarcinile administrative pentru întreprinderi și administrațiile fiscale, deoarece nu este necesară monitorizarea utilizării ulterioare a bunurilor și serviciilor cărora li s-a aplicat excluderea de la deducere la momentul achiziției. Prin urmare, Austria ar trebui să fie autorizată să aplice în continuare măsura specială pentru o nouă perioadă limitată, și anume până la 31 decembrie 2024. |
| --- | --- |

(7)

Potrivit Austriei, măsura specială s-a dovedit a fi foarte eficace pentru simplificarea colectării TVA-ului și pentru prevenirea evaziunii și a fraudei fiscale. Aceasta reduce sarcinile administrative pentru întreprinderi și administrațiile fiscale, deoarece nu este necesară monitorizarea utilizării ulterioare a bunurilor și serviciilor cărora li s-a aplicat excluderea de la deducere la momentul achiziției. Prin urmare, Austria ar trebui să fie autorizată să aplice în continuare măsura specială pentru o nouă perioadă limitată, și anume până la 31 decembrie 2024.

| (8) | În cazul în care consideră că este necesară o prelungire după 2024, Austria ar trebui să prezinte Comisiei până la 31 martie 2024 o cerere însoțită de un raport privind aplicarea măsurii speciale, inclusiv o reexaminare a procentajului repartizării aplicat. |
| --- | --- |

(8)

În cazul în care consideră că este necesară o prelungire după 2024, Austria ar trebui să prezinte Comisiei până la 31 martie 2024 o cerere însoțită de un raport privind aplicarea măsurii speciale, inclusiv o reexaminare a procentajului repartizării aplicat.

| (9) | Măsura specială nu va avea un impact negativ asupra resurselor proprii ale Uniunii provenite din TVA. |
| --- | --- |

(9)

Măsura specială nu va avea un impact negativ asupra resurselor proprii ale Uniunii provenite din TVA.

| (10) | Prin urmare, Decizia de punere în aplicare 2009/1013/UE ar trebui modificată în consecință, |
| --- | --- |

(10)

Prin urmare, Decizia de punere în aplicare 2009/1013/UE ar trebui modificată în consecință,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Decizia de punere în aplicare 2009/1013/UE se modifică după cum urmează:

| 1. | Titlul se înlocuiește cu următorul text:

  „Decizia de punere în aplicare 2009/1013/UE a Consiliului din 22 decembrie 2009 de autorizare a Republicii Austria în vederea aplicării în continuare a unei măsuri de derogare de la articolele 168 și 168a din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată”. |
| --- | --- |

1.

Titlul se înlocuiește cu următorul text:

„Decizia de punere în aplicare 2009/1013/UE a Consiliului din 22 decembrie 2009 de autorizare a Republicii Austria în vederea aplicării în continuare a unei măsuri de derogare de la articolele 168 și 168a din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată”.

| 2. | Articolele 1 și 2 se înlocuiesc cu următorul text:

  „Articolul 1
  Prin derogare de la articolele 168 și 168a din Directiva 2006/112/CE, Republica Austria este autorizată să excludă complet taxa pe valoarea adăugată (TVA) aplicată bunurilor și serviciilor de la dreptul de deducere a TVA în cazul în care bunurile și serviciile în cauză sunt utilizate, în proporție mai mare de 90 %, în scopuri personale de către o persoană impozabilă sau de către angajații acesteia sau, în sens mai general, în scopuri necomerciale sau pentru activități care nu au caracter economic.


  Articolul 2
  Prezenta decizie expiră la 31 decembrie 2024.
  Orice cerere de prelungire a măsurii de derogare prevăzute de prezenta decizie se transmite Comisiei până la 31 martie 2024.
  Respectiva cerere este însoțită de un raport privind aplicarea acestei măsuri care să includă o reexaminare a procentajului repartizării care se aplică dreptului de deducere a TVA în baza prezentei decizii.” |
| --- | --- |

2.

Articolele 1 și 2 se înlocuiesc cu următorul text:

„Articolul 1

Prin derogare de la articolele 168 și 168a din Directiva 2006/112/CE, Republica Austria este autorizată să excludă complet taxa pe valoarea adăugată (TVA) aplicată bunurilor și serviciilor de la dreptul de deducere a TVA în cazul în care bunurile și serviciile în cauză sunt utilizate, în proporție mai mare de 90 %, în scopuri personale de către o persoană impozabilă sau de către angajații acesteia sau, în sens mai general, în scopuri necomerciale sau pentru activități care nu au caracter economic.

Articolul 2

Prezenta decizie expiră la 31 decembrie 2024.

Orice cerere de prelungire a măsurii de derogare prevăzute de prezenta decizie se transmite Comisiei până la 31 martie 2024.

Respectiva cerere este însoțită de un raport privind aplicarea acestei măsuri care să includă o reexaminare a procentajului repartizării care se aplică dreptului de deducere a TVA în baza prezentei decizii.”

Articolul 2

Prezenta decizie produce efecte de la data notificării.

Articolul 3

Prezenta decizie se adresează Republicii Austria.

Adoptată la Luxemburg, 5 octombrie 2021.

Pentru Consiliu

Președintele

A. ŠIRCELJ

---

(1)  
  JO L 347, 11.12.2006, p. 1.

1

(2)  Decizia de punere în aplicare 2009/1013/UE a Consiliului din 22 decembrie 2009 de autorizare a Republicii Austria în vederea aplicării în continuare a unei măsuri de derogare de la articolul 168 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată (JO L 348, 29.12.2009, p. 21).

2

(3)  Directiva 2009/162/UE a Consiliului din 22 decembrie 2009 de modificare a anumitor dispoziții ale Directivei 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată (JO L 10, 15.1.2010, p. 14).

3

---

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/122 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/122

---

DECIZIA DE PUNERE ÎN APLICARE (UE) 2021/1780 A CONSILIULUI

din 5 octombrie 2021

de modificare a Deciziei 2009/790/CE de autorizare a Republicii Polone de a aplica o măsură derogatorie de la dispozițiile articolului 287 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată

CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Directiva 2006/112/CE a Consiliului din 28 noiembrie 2006 privind sistemul comun al taxei pe valoarea adăugată (1), în special articolul 395 alineatul (1) primul paragraf,

având în vedere propunerea Comisiei Europene,

întrucât:

| (1) | În conformitate cu articolul 287 punctul 14 din Directiva 2006/112/CE, Republica Polonă (denumită în continuare „Polonia”) poate acorda o scutire de la plata taxei pe valoarea adăugată (TVA) persoanelor impozabile a căror cifră de afaceri anuală nu depășește echivalentul în moneda națională a 10 000 EUR, la cursul de schimb din ziua aderării sale. |
| --- | --- |

(1)

În conformitate cu articolul 287 punctul 14 din Directiva 2006/112/CE, Republica Polonă (denumită în continuare „Polonia”) poate acorda o scutire de la plata taxei pe valoarea adăugată (TVA) persoanelor impozabile a căror cifră de afaceri anuală nu depășește echivalentul în moneda națională a 10 000 EUR, la cursul de schimb din ziua aderării sale.

| (2) | Decizia (UE) 2009/790/CE a Consiliului (2) autorizează Polonia să introducă o măsură specială de derogare de la articolul 287 din Directiva 2006/112/CE pentru a scuti de plata TVA persoanele impozabile a căror cifră de afaceri anuală nu depășește echivalentul în moneda națională a 40 000 EUR (denumită în continuare „măsura de derogare”). |
| --- | --- |

(2)

Decizia (UE) 2009/790/CE a Consiliului (2) autorizează Polonia să introducă o măsură specială de derogare de la articolul 287 din Directiva 2006/112/CE pentru a scuti de plata TVA persoanele impozabile a căror cifră de afaceri anuală nu depășește echivalentul în moneda națională a 40 000 EUR (denumită în continuare „măsura de derogare”).

| (3) | Decizia de punere în aplicare (UE) 2018/1919 a Consiliului (3) a autorizat Polonia să continue să aplice măsura de derogare până la 31 decembrie 2021 sau până la data intrării în vigoare a unei directive de modificare a dispozițiilor articolelor 281-294 din Directiva 2006/112/CE, dacă această dată este anterioară. |
| --- | --- |

(3)

Decizia de punere în aplicare (UE) 2018/1919 a Consiliului (3) a autorizat Polonia să continue să aplice măsura de derogare până la 31 decembrie 2021 sau până la data intrării în vigoare a unei directive de modificare a dispozițiilor articolelor 281-294 din Directiva 2006/112/CE, dacă această dată este anterioară.

| (4) | Prin scrisoarea înregistrată de Comisie la 1 martie 2021, Polonia a înaintat o cerere Comisiei prin care solicita autorizarea de a continua să aplice măsura de derogare până la 31 decembrie 2024 (denumită în continuare „cererea”). |
| --- | --- |

(4)

Prin scrisoarea înregistrată de Comisie la 1 martie 2021, Polonia a înaintat o cerere Comisiei prin care solicita autorizarea de a continua să aplice măsura de derogare până la 31 decembrie 2024 (denumită în continuare „cererea”).

| (5) | În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea celorlalte state membre, cu excepția Ciprului, prin scrisoarea din 25 martie 2021, și Ciprului, prin scrisoarea din 26 martie 2021. Printr-o scrisoare din data de 29 martie 2021, Comisia a informat Polonia că dispune de toate informațiile necesare pentru a analiza cererea. |
| --- | --- |

(5)

În temeiul articolului 395 alineatul (2) al doilea paragraf din Directiva 2006/112/CE, Comisia a transmis cererea celorlalte state membre, cu excepția Ciprului, prin scrisoarea din 25 martie 2021, și Ciprului, prin scrisoarea din 26 martie 2021. Printr-o scrisoare din data de 29 martie 2021, Comisia a informat Polonia că dispune de toate informațiile necesare pentru a analiza cererea.

| (6) | Măsura de derogare este conformă cu obiectivele prezentate în Comunicarea Comisiei din 25 iunie 2008 intitulată „«Gândiți mai întâi la scară mică»: Prioritate pentru IMM-uri – Un «Small Business Act» pentru Europa”. |
| --- | --- |

(6)

Măsura de derogare este conformă cu obiectivele prezentate în Comunicarea Comisiei din 25 iunie 2008 intitulată „«Gândiți mai întâi la scară mică»: Prioritate pentru IMM-uri – Un «Small Business Act» pentru Europa”.

| (7) | În conformitate cu informațiile furnizate de Polonia, măsura de derogare va avea un impact neglijabil asupra cuantumului total al veniturilor fiscale ale Poloniei colectate în etapa consumului final. Persoanele impozabile vor putea opta în continuare pentru regimul normal de TVA. |
| --- | --- |

(7)

În conformitate cu informațiile furnizate de Polonia, măsura de derogare va avea un impact neglijabil asupra cuantumului total al veniturilor fiscale ale Poloniei colectate în etapa consumului final. Persoanele impozabile vor putea opta în continuare pentru regimul normal de TVA.

| (8) | După intrarea în vigoare a Regulamentului (UE, Euratom) 2021/769 al Consiliului (4), Polonia nu va efectua niciun calcul de compensare în ceea ce privește declarația privind resursa proprie provenită din TVA pentru exercițiul financiar 2021 și ulterior. |
| --- | --- |

(8)

După intrarea în vigoare a Regulamentului (UE, Euratom) 2021/769 al Consiliului (4), Polonia nu va efectua niciun calcul de compensare în ceea ce privește declarația privind resursa proprie provenită din TVA pentru exercițiul financiar 2021 și ulterior.

| (9) | Având în vedere impactul potențial pozitiv al măsurii de derogare în ceea ce privește simplificarea obligațiilor în materie de TVA prin reducerea sarcinii administrative și a costurilor pentru întreprinderile mici, Polonia ar trebui să fie autorizată să aplice măsura de derogare pentru o perioadă suplimentară. |
| --- | --- |

(9)

Având în vedere impactul potențial pozitiv al măsurii de derogare în ceea ce privește simplificarea obligațiilor în materie de TVA prin reducerea sarcinii administrative și a costurilor pentru întreprinderile mici, Polonia ar trebui să fie autorizată să aplice măsura de derogare pentru o perioadă suplimentară.

| (10) | Directiva (UE) 2020/285 a Consiliului (5) a modificat articolele 281-294 din Directiva 2006/112/CE în ceea ce privește regimul special pentru întreprinderile mici, stabilind noi norme pentru întreprinderile mici, inclusiv introducerea pragului maxim al cifrei de afaceri anuale la nivel de stat membru de 85 000 EUR sau echivalentul în moneda națională al acestei sume. |
| --- | --- |

(10)

Directiva (UE) 2020/285 a Consiliului (5) a modificat articolele 281-294 din Directiva 2006/112/CE în ceea ce privește regimul special pentru întreprinderile mici, stabilind noi norme pentru întreprinderile mici, inclusiv introducerea pragului maxim al cifrei de afaceri anuale la nivel de stat membru de 85 000 EUR sau echivalentul în moneda națională al acestei sume.

| (11) | Autorizația de a aplica măsura de derogare ar trebui să fie limitată în timp. Termenul ar trebui să fie suficient pentru a permite evaluarea eficacității și a caracterului adecvat al pragului. În plus, Directiva (UE) 2020/285 impune statelor membre să adopte și să publice, până la 31 decembrie 2024, actele cu putere de lege și actele administrative necesare pentru a se conforma dispozițiilor articolului 1 din directiva respectivă și să aplice aceste dispoziții începând de la 1 ianuarie 2025. Prin urmare, este oportun ca Polonia să fie autorizată să aplice măsura de derogare până la 31 decembrie 2024. |
| --- | --- |

(11)

Autorizația de a aplica măsura de derogare ar trebui să fie limitată în timp. Termenul ar trebui să fie suficient pentru a permite evaluarea eficacității și a caracterului adecvat al pragului. În plus, Directiva (UE) 2020/285 impune statelor membre să adopte și să publice, până la 31 decembrie 2024, actele cu putere de lege și actele administrative necesare pentru a se conforma dispozițiilor articolului 1 din directiva respectivă și să aplice aceste dispoziții începând de la 1 ianuarie 2025. Prin urmare, este oportun ca Polonia să fie autorizată să aplice măsura de derogare până la 31 decembrie 2024.

| (12) | Prin urmare, Decizia 2009/790/CE ar trebui modificată în consecință, |
| --- | --- |

(12)

Prin urmare, Decizia 2009/790/CE ar trebui modificată în consecință,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Articolul 2 din Decizia 2009/790/CE se înlocuiește cu următorul text:

„Articolul 2

Prezenta decizie se aplică de la 1 ianuarie 2010 până la 31 decembrie 2024.”

Articolul 2

Prezenta decizie produce efecte de la data notificării.

Articolul 3

Prezenta decizie se adresează Republicii Polone.

Adoptată la Luxemburg, 5 octombrie 2021.

Pentru Consiliu

Președintele

A. ŠIRCELJ

---

(1)  
  JO L 347, 11.12.2006, p. 1.

1

(2)  Decizia 2009/790/CE a Consiliului din 20 octombrie 2009 de autorizare a Republicii Polone de a aplica o măsură derogatorie de la dispozițiile articolului 287 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată (JO L 283, 30.10.2009, p. 53).

2

(3)  Decizia de punere în aplicare (UE) 2018/1919 a Consiliului din 4 decembrie 2018 de modificare a Deciziei 2009/790/CE de autorizare a Republicii Polone de a aplica o măsură derogatorie de la dispozițiile articolului 287 din Directiva 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată (JO L 311, 7.12.2018, p. 32).

3

(4)  Regulamentul (UE, Euratom) 2021/769 al Consiliului din 30 aprilie 2021 de modificare a Regulamentului (CEE, Euratom) nr. 1553/89 privind regimul unitar definitiv de colectare a resurselor proprii provenite din taxa pe valoarea adăugată (JO L 165, 11.5.2021, p. 9).

4

(5)  Directiva (UE) 2020/285 a Consiliului din 18 februarie 2020 de modificare a Directivei 2006/112/CE privind sistemul comun al taxei pe valoarea adăugată în ceea ce privește regimul special pentru întreprinderile mici și a Regulamentului (UE) nr. 904/2010 în ceea ce privește cooperarea administrativă și schimbul de informații în scopul monitorizării aplicării corecte a regimului special pentru întreprinderile mici (JO L 62, 2.3.2020, p. 13).

5

---

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/124 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/124

---

DECIZIA DE PUNERE ÎN APLICARE (UE) 2021/1781 A CONSILIULUI

din 7 octombrie 2021

privind suspendarea anumitor dispoziții ale Regulamentului (CE) nr. 810/2009 al Parlamentului European și al Consiliului pentru Gambia

CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (CE) nr. 810/2009 al Parlamentului European și al Consiliului din 13 iulie 2009 privind instituirea unui Cod comunitar de vize (Codul de vize) (1), în special articolul 25a alineatul (5) litera (a),

având în vedere propunerea Comisiei Europene,

întrucât:

| (1) | La sfârșitul lunii februarie 2019, autoritățile gambiene au decis în mod unilateral să impună un moratoriu asupra tuturor operațiunilor de returnare forțată, ceea ce a împiedicat returnările efective pentru cea mai mare parte a anului 2019. După ridicarea moratoriului în ianuarie 2020, statele membre s-au confruntat cu obstacole recurente impuse de Gambia în ceea ce privește organizarea și punerea în aplicare a operațiunilor de returnare. De asemenea, cooperarea fluctuantă a Gambiei a obstrucționat toate etapele procesului de returnare, inclusiv atunci când se aplică bunele practici existente și alte acorduri operaționale convenite anterior între Uniune și Gambia. La 6 aprilie 2021, autoritățile gambiene au indicat faptul că țara nu este în măsură să primească persoane returnate până la noi dispoziții, iar în iunie 2021 aceste autorități au confirmat existența „unui moratoriu privind returnarea forțată sau repatrierea până după alegerile din decembrie”. |
| --- | --- |

(1)

La sfârșitul lunii februarie 2019, autoritățile gambiene au decis în mod unilateral să impună un moratoriu asupra tuturor operațiunilor de returnare forțată, ceea ce a împiedicat returnările efective pentru cea mai mare parte a anului 2019. După ridicarea moratoriului în ianuarie 2020, statele membre s-au confruntat cu obstacole recurente impuse de Gambia în ceea ce privește organizarea și punerea în aplicare a operațiunilor de returnare. De asemenea, cooperarea fluctuantă a Gambiei a obstrucționat toate etapele procesului de returnare, inclusiv atunci când se aplică bunele practici existente și alte acorduri operaționale convenite anterior între Uniune și Gambia. La 6 aprilie 2021, autoritățile gambiene au indicat faptul că țara nu este în măsură să primească persoane returnate până la noi dispoziții, iar în iunie 2021 aceste autorități au confirmat existența „unui moratoriu privind returnarea forțată sau repatrierea până după alegerile din decembrie”.

| (2) | Începând cu anul 2019 Comisia a luat măsuri pentru a îmbunătăți nivelul de cooperare al Gambiei în ceea ce privește readmisia resortisanților țărilor terțe aflați în situație de ședere ilegală. Aceste măsuri au constat în mai multe reuniuni cu autoritățile gambiene, atât la nivel tehnic, cât și la nivel politic, pentru a găsi soluții reciproc acceptabile și pentru a conveni asupra unor proiecte de sprijin suplimentare în beneficiul Gambiei. În paralel, au avut loc schimburi la nivel înalt între Comisie și Gambia. Aspecte legate de readmisie au fost, de asemenea, abordate cu Gambia în cadrul altor reuniuni organizate de SEAE. |
| --- | --- |

(2)

Începând cu anul 2019 Comisia a luat măsuri pentru a îmbunătăți nivelul de cooperare al Gambiei în ceea ce privește readmisia resortisanților țărilor terțe aflați în situație de ședere ilegală. Aceste măsuri au constat în mai multe reuniuni cu autoritățile gambiene, atât la nivel tehnic, cât și la nivel politic, pentru a găsi soluții reciproc acceptabile și pentru a conveni asupra unor proiecte de sprijin suplimentare în beneficiul Gambiei. În paralel, au avut loc schimburi la nivel înalt între Comisie și Gambia. Aspecte legate de readmisie au fost, de asemenea, abordate cu Gambia în cadrul altor reuniuni organizate de SEAE.

| (3) | Ținând seama de măsurile luate până în prezent de Comisie pentru a îmbunătăți nivelul de cooperare și relațiile globale ale Uniunii cu Gambia, cooperarea Gambiei cu Uniunea în materie de readmisie este considerată insuficientă și, prin urmare, sunt necesare acțiuni din partea Uniunii. |
| --- | --- |

(3)

Ținând seama de măsurile luate până în prezent de Comisie pentru a îmbunătăți nivelul de cooperare și relațiile globale ale Uniunii cu Gambia, cooperarea Gambiei cu Uniunea în materie de readmisie este considerată insuficientă și, prin urmare, sunt necesare acțiuni din partea Uniunii.

| (4) | Prin urmare, aplicarea anumitor dispoziții ale Regulamentului (CE) nr. 810/2009 ar trebui suspendată temporar pentru resortisanții Gambiei care sunt supuși obligației de a deține viză în temeiul Regulamentului (UE) 2018/1806 al Parlamentului European și al Consiliului (2). Această aplicare ar trebui să încurajeze autoritățile gambiene să întreprindă acțiunile necesare pentru îmbunătățirea cooperării în materie de readmisie. |
| --- | --- |

(4)

Prin urmare, aplicarea anumitor dispoziții ale Regulamentului (CE) nr. 810/2009 ar trebui suspendată temporar pentru resortisanții Gambiei care sunt supuși obligației de a deține viză în temeiul Regulamentului (UE) 2018/1806 al Parlamentului European și al Consiliului (2). Această aplicare ar trebui să încurajeze autoritățile gambiene să întreprindă acțiunile necesare pentru îmbunătățirea cooperării în materie de readmisie.

| (5) | Dispozițiile suspendate temporar sunt cele prevăzute la articolul 25a alineatul (5) litera (a) din Codul de vize: suspendarea posibilității de renunțare la cerințele privind documentele justificative care trebuie prezentate de solicitanții de viză, menționate la articolul 14 alineatul (6), suspendarea perioadei generale de prelucrare de 15 zile calendaristice menționată la articolul 23 alineatul (1) (care, în consecință, exclude, de asemenea, aplicarea regulii privind prelungirea acestei perioade cu maximum 45 de zile în cazuri individuale), suspendarea eliberării vizelor cu intrări multiple în conformitate cu articolul 24 alineatele (2) și (2c) și suspendarea scutirii opționale de la plata taxei de viză pentru titularii de pașapoarte diplomatice și de serviciu în conformitate cu articolul 16 alineatul (5) litera (b). |
| --- | --- |

(5)

Dispozițiile suspendate temporar sunt cele prevăzute la articolul 25a alineatul (5) litera (a) din Codul de vize: suspendarea posibilității de renunțare la cerințele privind documentele justificative care trebuie prezentate de solicitanții de viză, menționate la articolul 14 alineatul (6), suspendarea perioadei generale de prelucrare de 15 zile calendaristice menționată la articolul 23 alineatul (1) (care, în consecință, exclude, de asemenea, aplicarea regulii privind prelungirea acestei perioade cu maximum 45 de zile în cazuri individuale), suspendarea eliberării vizelor cu intrări multiple în conformitate cu articolul 24 alineatele (2) și (2c) și suspendarea scutirii opționale de la plata taxei de viză pentru titularii de pașapoarte diplomatice și de serviciu în conformitate cu articolul 16 alineatul (5) litera (b).

| (6) | Articolul 21 alineatul (1) din Tratatul privind funcționarea Uniunii Europene (TFUE) prevede că orice cetățean al Uniunii are dreptul de liberă circulație și ședere pe teritoriul statelor membre, sub rezerva limitărilor și condițiilor prevăzute de tratate și de dispozițiile adoptate în vederea aplicării acestora. Directiva 2004/38/CE a Parlamentului European și a Consiliului (3) pune în aplicare aceste limitări și condiții. Prezenta decizie nu aduce atingere aplicării directivei respective, care extinde dreptul la liberă circulație la membrii familiei, indiferent de cetățenia lor, atunci când însoțesc sau se alătură cetățeanului Uniunii. Prin urmare, prezenta decizie nu se aplică membrilor familiei unui cetățean al Uniunii cărora li se aplică Directiva 2004/38/CE sau membrilor familiei unui resortisant al unei țări terțe care beneficiază de un drept la liberă circulație echivalent cu cel al cetățenilor Uniunii în temeiul unui acord încheiat între Uniune și statele sale membre, pe de o parte, și o țară terță, pe de altă parte. |
| --- | --- |

(6)

Articolul 21 alineatul (1) din Tratatul privind funcționarea Uniunii Europene (TFUE) prevede că orice cetățean al Uniunii are dreptul de liberă circulație și ședere pe teritoriul statelor membre, sub rezerva limitărilor și condițiilor prevăzute de tratate și de dispozițiile adoptate în vederea aplicării acestora. Directiva 2004/38/CE a Parlamentului European și a Consiliului (3) pune în aplicare aceste limitări și condiții. Prezenta decizie nu aduce atingere aplicării directivei respective, care extinde dreptul la liberă circulație la membrii familiei, indiferent de cetățenia lor, atunci când însoțesc sau se alătură cetățeanului Uniunii. Prin urmare, prezenta decizie nu se aplică membrilor familiei unui cetățean al Uniunii cărora li se aplică Directiva 2004/38/CE sau membrilor familiei unui resortisant al unei țări terțe care beneficiază de un drept la liberă circulație echivalent cu cel al cetățenilor Uniunii în temeiul unui acord încheiat între Uniune și statele sale membre, pe de o parte, și o țară terță, pe de altă parte.

| (7) | Măsurile prevăzute în prezenta decizie nu ar trebui să aducă atingere obligațiilor de drept internațional care le revin statelor membre în calitate de țări-gazdă ale organizațiilor interguvernamentale internaționale sau ale conferințelor internaționale convocate de organizațiile interguvernamentale internaționale găzduite de statele membre. Prin urmare, suspendarea temporară nu ar trebui să se aplice resortisanților Gambiei care solicită o viză în măsura în care acest lucru este necesar pentru ca statele membre să își îndeplinească obligațiile care le revin în calitate de țări-gazdă ale unor astfel de organizații sau ale unor astfel de conferințe. |
| --- | --- |

(7)

Măsurile prevăzute în prezenta decizie nu ar trebui să aducă atingere obligațiilor de drept internațional care le revin statelor membre în calitate de țări-gazdă ale organizațiilor interguvernamentale internaționale sau ale conferințelor internaționale convocate de organizațiile interguvernamentale internaționale găzduite de statele membre. Prin urmare, suspendarea temporară nu ar trebui să se aplice resortisanților Gambiei care solicită o viză în măsura în care acest lucru este necesar pentru ca statele membre să își îndeplinească obligațiile care le revin în calitate de țări-gazdă ale unor astfel de organizații sau ale unor astfel de conferințe.

| (8) | În conformitate cu articolele 1 și 2 din Protocolul nr. 22 privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Danemarca nu participă la adoptarea prezentei decizii, aceasta nu este obligatorie pentru respectivul stat membru și nu i se aplică. Deoarece această decizie constituie o dezvoltare a acquis-ului Schengen, Danemarca decide, în conformitate cu articolul 4 din protocolul respectiv, în termen de șase luni de la data la care Consiliul decide cu privire la prezenta decizie dacă o va pune în aplicare în legislația sa națională. |
| --- | --- |

(8)

În conformitate cu articolele 1 și 2 din Protocolul nr. 22 privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Danemarca nu participă la adoptarea prezentei decizii, aceasta nu este obligatorie pentru respectivul stat membru și nu i se aplică. Deoarece această decizie constituie o dezvoltare a acquis-ului Schengen, Danemarca decide, în conformitate cu articolul 4 din protocolul respectiv, în termen de șase luni de la data la care Consiliul decide cu privire la prezenta decizie dacă o va pune în aplicare în legislația sa națională.

| (9) | Prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen la care Irlanda nu participă, în conformitate cu Decizia 2002/192/CE a Consiliului (4); prin urmare, Irlanda nu participă la adoptarea prezentei decizii, aceasta nu este obligatorie pentru respectivul stat membru și nu i se aplică. |
| --- | --- |

(9)

Prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen la care Irlanda nu participă, în conformitate cu Decizia 2002/192/CE a Consiliului (4); prin urmare, Irlanda nu participă la adoptarea prezentei decizii, aceasta nu este obligatorie pentru respectivul stat membru și nu i se aplică.

| (10) | În ceea ce privește Islanda și Norvegia, prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Acordului încheiat de Consiliul Uniunii Europene și Republica Islanda și Regatul Norvegiei privind asocierea acestora din urmă la implementarea, aplicarea și dezvoltarea acquis-ului Schengen (5), care se află sub incidența articolului 1 punctul B din Decizia 1999/437/CE a Consiliului (6). |
| --- | --- |

(10)

În ceea ce privește Islanda și Norvegia, prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Acordului încheiat de Consiliul Uniunii Europene și Republica Islanda și Regatul Norvegiei privind asocierea acestora din urmă la implementarea, aplicarea și dezvoltarea acquis-ului Schengen (5), care se află sub incidența articolului 1 punctul B din Decizia 1999/437/CE a Consiliului (6).

| (11) | În ceea ce privește Elveția, prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Acordului între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană cu privire la asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (7), care se află sub incidența articolului 1 punctul B din Decizia 1999/437/CE, coroborat cu articolul 3 din Decizia 2008/146/CE a Consiliului (8). |
| --- | --- |

(11)

În ceea ce privește Elveția, prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Acordului între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană cu privire la asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (7), care se află sub incidența articolului 1 punctul B din Decizia 1999/437/CE, coroborat cu articolul 3 din Decizia 2008/146/CE a Consiliului (8).

| (12) | În ceea ce privește Liechtenstein, prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Protocolului dintre Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în practică, aplicarea și dezvoltarea acquis-ului Schengen (9), care se află sub incidența articolului 1 punctul B din Decizia 1999/437/CE, coroborat cu articolul 3 din Decizia 2011/350/UE a Consiliului (10). |
| --- | --- |

(12)

În ceea ce privește Liechtenstein, prezenta decizie constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Protocolului dintre Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în practică, aplicarea și dezvoltarea acquis-ului Schengen (9), care se află sub incidența articolului 1 punctul B din Decizia 1999/437/CE, coroborat cu articolul 3 din Decizia 2011/350/UE a Consiliului (10).

| (13) | Prezenta decizie constituie un act care se întemeiază pe acquis-ul Schengen sau care se raportează la acesta în înțelesul articolului 3 alineatul (2) din Actul de aderare din 2003, al articolului 4 alineatul (2) din Actul de aderare din 2005 și, respectiv, al articolului 4 alineatul (2) din Actul de aderare din 2011, |
| --- | --- |

(13)

Prezenta decizie constituie un act care se întemeiază pe acquis-ul Schengen sau care se raportează la acesta în înțelesul articolului 3 alineatul (2) din Actul de aderare din 2003, al articolului 4 alineatul (2) din Actul de aderare din 2005 și, respectiv, al articolului 4 alineatul (2) din Actul de aderare din 2011,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Domeniul de aplicare

(1)   Prezenta decizie se aplică resortisanților Gambiei care sunt supuși obligației de a deține viză în temeiul Regulamentului (UE) 2018/1806.

(2)   Prezenta decizie nu se aplică resortisanților Gambiei care sunt exonerați de obligația de a deține viză în temeiul articolului 4 sau al articolului 6 din Regulamentul (UE) 2018/1806.

(3)   Prezenta decizie nu se aplică resortisanților Gambiei care solicită o viză sau care sunt membri ai familiei unui cetățean al Uniunii cărora li se aplică Directiva 2004/38/CE sau membri ai familiei unui resortisant al unei țări terțe care beneficiază de dreptul la liberă circulație echivalent cu cel al cetățenilor Uniunii, în temeiul unui acord încheiat între Uniune și statele sale membre, pe de o parte, și o țară terță, pe de altă parte.

(4)   Prezenta decizie nu aduce atingere cazurilor în care unui stat membru îi revine o obligație de drept internațional, și anume:

| (a) | în calitate de țară-gazdă a unei organizații interguvernamentale internaționale; |
| --- | --- |

(a)

în calitate de țară-gazdă a unei organizații interguvernamentale internaționale;

| (b) | în calitate de țară-gazdă a unei conferințe internaționale convocate de Organizația Națiunilor Unite sau de alte organizații interguvernamentale internaționale găzduite de un stat membru sau desfășurate sub auspiciile acestora; |
| --- | --- |

(b)

în calitate de țară-gazdă a unei conferințe internaționale convocate de Organizația Națiunilor Unite sau de alte organizații interguvernamentale internaționale găzduite de un stat membru sau desfășurate sub auspiciile acestora;

| (c) | în temeiul unui acord multilateral care conferă privilegii și imunități; sau |
| --- | --- |

(c)

în temeiul unui acord multilateral care conferă privilegii și imunități; sau

| (d) | în temeiul Tratatului de conciliere (Tratatul de la Lateran) încheiat în 1929 între Sfântul Scaun (Statul Cetății Vaticanului) și Italia, astfel cum a fost modificat ultima dată. |
| --- | --- |

(d)

în temeiul Tratatului de conciliere (Tratatul de la Lateran) încheiat în 1929 între Sfântul Scaun (Statul Cetății Vaticanului) și Italia, astfel cum a fost modificat ultima dată.

Articolul 2

Suspendarea temporară a aplicării anumitor dispoziții ale Regulamentului (CE) nr. 810/2009

Aplicarea următoarelor dispoziții ale Regulamentului (CE) nr. 810/2009 se suspendă temporar:

| (a) | articolul 14 alineatul (6); |
| --- | --- |

(a)

articolul 14 alineatul (6);

| (b) | articolul 16 alineatul (5) litera (b); |
| --- | --- |

(b)

articolul 16 alineatul (5) litera (b);

| (c) | articolul 23 alineatul (1); |
| --- | --- |

(c)

articolul 23 alineatul (1);

| (d) | articolul 24 alineatele (2) și (2c). |
| --- | --- |

(d)

articolul 24 alineatele (2) și (2c).

Articolul 3

Destinatari

Prezenta decizie se adresează Regatului Belgiei, Republicii Bulgaria, Republicii Cehe, Republicii Federale Germania, Republicii Estonia, Republicii Elene, Regatului Spaniei, Republicii Franceze, Republicii Croația, Republicii Italiene, Republicii Cipru, Republicii Letonia, Republicii Lituania, Marelui Ducat al Luxemburgului, Ungariei, Republicii Malta, Regatului Țărilor de Jos, Republicii Austria, Republicii Polone, Republicii Portugheze, României, Republicii Slovenia, Republicii Slovace, Republicii Finlanda și Regatului Suediei.

Adoptată la Luxemburg, 7 octombrie 2021.

Pentru Consiliu

Președintele

M. DIKAUČIČ

---

(1)  
  JO L 243, 15.9.2009, p. 1.

1

(2)  Regulamentul (UE) 2018/1806 al Parlamentului European și al Consiliului din 14 noiembrie 2018 de stabilire a listei țărilor terțe ai căror resortisanți trebuie să dețină viză pentru trecerea frontierelor externe și a listei țărilor terțe ai căror resortisanți sunt exonerați de această obligație (JO L 303, 28.11.2018, p. 39).

2

(3)  Directiva 2004/38/CE a Parlamentului European și a Consiliului din 29 aprilie 2004 privind dreptul la liberă circulație și ședere pe teritoriul statelor membre pentru cetățenii Uniunii și membrii familiilor acestora, de modificare a Regulamentului (CEE) nr. 1612/68 și de abrogare a Directivelor 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE și 93/96/CEE (JO L 158, 30.4.2004, p. 77).

3

(4)  Decizia 2002/192/CE a Consiliului din 28 februarie 2002 privind solicitarea Irlandei de a participa la unele dintre dispozițiile acquis-ului Schengen (JO L 64, 7.3.2002, p. 20).

4

(5)  
  JO L 176, 10.7.1999, p. 36.

5

(6)  Decizia 1999/437/CE a Consiliului din 17 mai 1999 privind anumite modalități de aplicare a Acordului încheiat între Consiliul Uniunii Europene și Republica Islanda și Regatul Norvegiei în ceea ce privește asocierea acestor două state în vederea punerii în aplicare, a asigurării respectării și dezvoltării acquis-ului Schengen (JO L 176, 10.7.1999, p. 31).

6

(7)  
  JO L 53, 27.2.2008, p. 52.

7

(8)  Decizia 2008/146/CE a Consiliului din 28 ianuarie 2008 privind încheierea, în numele Comunității Europene, a Acordului între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană cu privire la asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (JO L 53, 27.2.2008, p. 1).

8

(9)  
  JO L 160, 18.6.2011, p. 21.

9

(10)  Decizia 2011/350/UE a Consiliului din 7 martie 2011 privind încheierea, în numele Uniunii Europene, a Protocolului dintre Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen, în ceea ce privește eliminarea controalelor la frontierele interne și circulația persoanelor (JO L 160, 18.6.2011, p. 19).

10

---

RECOMANDĂRI

| 11.10.2021 | RO | Jurnalul Oficial al Uniunii Europene | L 360/128 |
| --- | --- | --- | --- |

11.10.2021

RO

Jurnalul Oficial al Uniunii Europene

L 360/128

---

RECOMANDAREA (UE) 2021/1782 A CONSILIULUI

din 8 octombrie 2021

de modificare a Recomandării (UE) 2020/912 privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții

CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 77 alineatul (2) literele (b) și (e) și articolul 292 prima și a doua teză,

întrucât:

| (1) | La 30 iunie 2020, Consiliul a adoptat o recomandare privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții (1) (denumită în continuare „recomandarea Consiliului”). |
| --- | --- |

(1)

La 30 iunie 2020, Consiliul a adoptat o recomandare privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții (1) (denumită în continuare „recomandarea Consiliului”).

| (2) | De atunci, Consiliul a adoptat Recomandările (UE) 2020/1052 (2), (UE) 2020/1144 (3), (UE) 2020/1186 (4), (UE) 2020/1551 (5), (UE) 2020/2169 (6), (UE) 2021/89 (7), (UE) 2021/132 (8), (UE) 2021/767 (9), (UE) 2021/892 (10), (UE) 2021/992 (11), (UE) 2021/1085 (12), (UE) 2021/1170 (13), (UE) 2021/1346 (14), (UE) 2021/1459 (15) și (UE) 2021/1712 (16) de modificare a Recomandării (UE) 2020/912 a Consiliului privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții. |
| --- | --- |

(2)

De atunci, Consiliul a adoptat Recomandările (UE) 2020/1052 (2), (UE) 2020/1144 (3), (UE) 2020/1186 (4), (UE) 2020/1551 (5), (UE) 2020/2169 (6), (UE) 2021/89 (7), (UE) 2021/132 (8), (UE) 2021/767 (9), (UE) 2021/892 (10), (UE) 2021/992 (11), (UE) 2021/1085 (12), (UE) 2021/1170 (13), (UE) 2021/1346 (14), (UE) 2021/1459 (15) și (UE) 2021/1712 (16) de modificare a Recomandării (UE) 2020/912 a Consiliului privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții.

| (3) | La 20 mai 2021, Consiliul a adoptat Recomandarea 2021/816 de modificare a Recomandării (UE) 2020/912 a Consiliului privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții (17), în scopul actualizării criteriilor utilizate pentru a evalua dacă călătoriile neesențiale din țări terțe sunt sigure și ar trebui să fie permise. |
| --- | --- |

(3)

La 20 mai 2021, Consiliul a adoptat Recomandarea 2021/816 de modificare a Recomandării (UE) 2020/912 a Consiliului privind restricția temporară asupra călătoriilor neesențiale către UE și posibila eliminare a acestei restricții (17), în scopul actualizării criteriilor utilizate pentru a evalua dacă călătoriile neesențiale din țări terțe sunt sigure și ar trebui să fie permise.

| (4) | Recomandarea Consiliului prevede că statele membre ar trebui să elimine treptat restricția temporară asupra călătoriilor neesențiale către UE începând cu 1 iulie 2020, într-un mod coordonat, în ceea ce privește rezidenții țărilor terțe enumerate în anexa I la recomandarea Consiliului. O dată la două săptămâni, după o strânsă consultare cu Comisia, precum și cu agențiile și serviciile relevante din cadrul UE, Consiliul ar trebui să revizuiască și, dacă este cazul, să actualizeze lista țărilor terțe care figurează în anexa I, în urma unei evaluări globale bazate pe metodologia, criteriile și informațiile menționate în recomandarea Consiliului. |
| --- | --- |

(4)

Recomandarea Consiliului prevede că statele membre ar trebui să elimine treptat restricția temporară asupra călătoriilor neesențiale către UE începând cu 1 iulie 2020, într-un mod coordonat, în ceea ce privește rezidenții țărilor terțe enumerate în anexa I la recomandarea Consiliului. O dată la două săptămâni, după o strânsă consultare cu Comisia, precum și cu agențiile și serviciile relevante din cadrul UE, Consiliul ar trebui să revizuiască și, dacă este cazul, să actualizeze lista țărilor terțe care figurează în anexa I, în urma unei evaluări globale bazate pe metodologia, criteriile și informațiile menționate în recomandarea Consiliului.

| (5) | De atunci, în cadrul Consiliului au avut loc discuții, în strânsă consultare cu Comisia, precum și cu agențiile și serviciile relevante din cadrul UE, cu privire la revizuirea listei țărilor terțe care figurează în anexa I la recomandarea Consiliului și cu aplicarea criteriilor și a metodologiei prevăzute în recomandarea Consiliului, astfel cum a fost modificată prin Recomandarea 2021/816. Ca urmare a acestor discuții, lista țărilor terțe care figurează în anexa I ar trebui modificată. În special, Bahrainul și Emiratele Arabe Unite ar trebui adăugate pe listă. |
| --- | --- |

(5)

De atunci, în cadrul Consiliului au avut loc discuții, în strânsă consultare cu Comisia, precum și cu agențiile și serviciile relevante din cadrul UE, cu privire la revizuirea listei țărilor terțe care figurează în anexa I la recomandarea Consiliului și cu aplicarea criteriilor și a metodologiei prevăzute în recomandarea Consiliului, astfel cum a fost modificată prin Recomandarea 2021/816. Ca urmare a acestor discuții, lista țărilor terțe care figurează în anexa I ar trebui modificată. În special, Bahrainul și Emiratele Arabe Unite ar trebui adăugate pe listă.

| (6) | Controlul la frontiere există în interesul nu doar al statului membru la ale cărui frontiere externe se aplică, ci al tuturor statelor membre care au eliminat controlul la frontierele lor interne. Prin urmare, statele membre ar trebui să se asigure că măsurile luate la frontierele externe sunt coordonate, pentru a garanta o bună funcționare a spațiului Schengen. În acest scop, începând cu 8 octombrie 2021, statele membre ar trebui să continue eliminarea restricției temporare asupra călătoriilor neesențiale către UE, în mod coordonat, în ceea ce privește rezidenții țărilor terțe, ai regiunilor administrative speciale și ai altor entități și autorități teritoriale enumerate în anexa I la recomandarea Consiliului, astfel cum este modificată prin prezenta recomandare. |
| --- | --- |

(6)

Controlul la frontiere există în interesul nu doar al statului membru la ale cărui frontiere externe se aplică, ci al tuturor statelor membre care au eliminat controlul la frontierele lor interne. Prin urmare, statele membre ar trebui să se asigure că măsurile luate la frontierele externe sunt coordonate, pentru a garanta o bună funcționare a spațiului Schengen. În acest scop, începând cu 8 octombrie 2021, statele membre ar trebui să continue eliminarea restricției temporare asupra călătoriilor neesențiale către UE, în mod coordonat, în ceea ce privește rezidenții țărilor terțe, ai regiunilor administrative speciale și ai altor entități și autorități teritoriale enumerate în anexa I la recomandarea Consiliului, astfel cum este modificată prin prezenta recomandare.

| (7) | În conformitate cu articolele 1 și 2 din Protocolul nr. 22 privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la TFUE, Danemarca nu participă la adoptarea prezentei recomandări, aceasta nu este obligatorie pentru respectivul stat membru și nu i se aplică. Deoarece prezenta recomandare constituie o dezvoltare a acquis-ului Schengen, Danemarca decide, în conformitate cu articolul 4 din protocolul respectiv, în termen de șase luni de la data la care Consiliul decide cu privire la prezenta recomandare, dacă o va pune în aplicare. |
| --- | --- |

(7)

În conformitate cu articolele 1 și 2 din Protocolul nr. 22 privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la TFUE, Danemarca nu participă la adoptarea prezentei recomandări, aceasta nu este obligatorie pentru respectivul stat membru și nu i se aplică. Deoarece prezenta recomandare constituie o dezvoltare a acquis-ului Schengen, Danemarca decide, în conformitate cu articolul 4 din protocolul respectiv, în termen de șase luni de la data la care Consiliul decide cu privire la prezenta recomandare, dacă o va pune în aplicare.

| (8) | Prezenta recomandare constituie o dezvoltare a dispozițiilor acquis-ului Schengen la care Irlanda nu participă, în conformitate cu Decizia 2002/192/CE a Consiliului (18); prin urmare, Irlanda nu participă la adoptarea prezentei recomandări, aceasta nu este obligatorie pentru respectivul stat membru și nu i se aplică. |
| --- | --- |

(8)

Prezenta recomandare constituie o dezvoltare a dispozițiilor acquis-ului Schengen la care Irlanda nu participă, în conformitate cu Decizia 2002/192/CE a Consiliului (18); prin urmare, Irlanda nu participă la adoptarea prezentei recomandări, aceasta nu este obligatorie pentru respectivul stat membru și nu i se aplică.

| (9) | În ceea ce privește Islanda și Norvegia, prezenta recomandare constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Acordului încheiat de Consiliul Uniunii Europene și Republica Islanda și Regatul Norvegiei privind asocierea acestora din urmă la implementarea, aplicarea și dezvoltarea acquis-ului Schengen, care se află sub incidența articolului 1 punctul A din Decizia 1999/437/CE a Consiliului (19). |
| --- | --- |

(9)

În ceea ce privește Islanda și Norvegia, prezenta recomandare constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Acordului încheiat de Consiliul Uniunii Europene și Republica Islanda și Regatul Norvegiei privind asocierea acestora din urmă la implementarea, aplicarea și dezvoltarea acquis-ului Schengen, care se află sub incidența articolului 1 punctul A din Decizia 1999/437/CE a Consiliului (19).

| (10) | În ceea ce privește Elveția, prezenta recomandare constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Acordului între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană cu privire la asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen, care se află sub incidența articolului 1 punctul A din Decizia 1999/437/CE (20), coroborat cu articolul 3 din Decizia 2008/146/CE a Consiliului (21). |
| --- | --- |

(10)

În ceea ce privește Elveția, prezenta recomandare constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Acordului între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană cu privire la asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen, care se află sub incidența articolului 1 punctul A din Decizia 1999/437/CE (20), coroborat cu articolul 3 din Decizia 2008/146/CE a Consiliului (21).

| (11) | În ceea ce privește Liechtensteinul, prezenta recomandare constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Protocolului între Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în practică, aplicarea și dezvoltarea acquis-ului Schengen, care se află sub incidența articolului 1 punctul A din Decizia 1999/437/CE (22), coroborat cu articolul 3 din Decizia 2011/350/UE a Consiliului (23), |
| --- | --- |

(11)

În ceea ce privește Liechtensteinul, prezenta recomandare constituie o dezvoltare a dispozițiilor acquis-ului Schengen în înțelesul Protocolului între Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în practică, aplicarea și dezvoltarea acquis-ului Schengen, care se află sub incidența articolului 1 punctul A din Decizia 1999/437/CE (22), coroborat cu articolul 3 din Decizia 2011/350/UE a Consiliului (23),

ADOPTĂ PREZENTA RECOMANDARE:

Recomandarea (UE) 2020/912 a Consiliului, astfel cum a fost modificată prin Recomandările (UE) 2020/1052, (UE) 2020/1144, (UE) 2020/1186, (UE) 2020/1551, (UE) 2020/2169, (UE) 2021/89, (UE) 2021/132, (UE) 2021/767, (UE) 2021/816, (UE) 2021/892, (UE) 2021/992, (UE) 2021/1085, (UE) 2021/1170, (UE) 2021/1346, (UE) 2021/1459 și (UE) 2021/1712, se modifică după cum urmează:

| 1. | Punctul 1 primul paragraf din recomandarea Consiliului se înlocuiește cu următorul text:






  „1. | Începând cu 8 octombrie 2021, statele membre ar trebui să elimine treptat restricția temporară asupra călătoriilor neesențiale către UE, în mod coordonat, în ceea ce privește rezidenții țărilor terțe enumerate în anexa I.” |
| --- | --- | --- |

1.

Punctul 1 primul paragraf din recomandarea Consiliului se înlocuiește cu următorul text:

„1.

| 2. | Anexa I la recomandare se înlocuiește cu următorul text:


  „ANEXA I
  Țările terțe, regiunile administrative speciale și alte entități și autorități teritoriale ai căror rezidenți nu ar trebui să fie afectați de restricția temporară de la frontierele externe asupra călătoriilor neesențiale către UE:






  I. | STATE






  1. | AUSTRALIA |
| --- | --- | --- | --- |

2.

Anexa I la recomandare se înlocuiește cu următorul text:

„ANEXA I

Țările terțe, regiunile administrative speciale și alte entități și autorități teritoriale ai căror rezidenți nu ar trebui să fie afectați de restricția temporară de la frontierele externe asupra călătoriilor neesențiale către UE:

I.

STATE

1.

AUSTRALIA

| 2. | BAHRAIN |
| --- | --- |

2.

BAHRAIN

| 3. | CANADA |
| --- | --- |

3.

CANADA

| 4. | CHILE |
| --- | --- |

4.

CHILE

| 5. | IORDANIA |
| --- | --- |

5.

IORDANIA

| 6. | KUWEIT |
| --- | --- |

6.

KUWEIT

| 7. | NOUA ZEELANDĂ |
| --- | --- |

7.

NOUA ZEELANDĂ

| 8. | QATAR |
| --- | --- |

8.

QATAR

| 9. | RWANDA |
| --- | --- |

9.

RWANDA

| 10. | ARABIA SAUDITĂ |
| --- | --- |

10.

ARABIA SAUDITĂ

| 11. | SINGAPORE |
| --- | --- |

11.

SINGAPORE

| 12. | COREEA DE SUD |
| --- | --- |

12.

COREEA DE SUD

| 13. | UCRAINA |
| --- | --- |

13.

UCRAINA

| 14. | EMIRATELE ARABE UNITE |
| --- | --- |

14.

EMIRATELE ARABE UNITE

| 15. | URUGUAY |
| --- | --- |

15.

URUGUAY

| 16. | CHINA (*1) |
| --- | --- |

16.

CHINA (*1)

| II. | REGIUNI ADMINISTRATIVE SPECIALE ALE REPUBLICII POPULARE CHINEZE





  RAS Hong Kong |
| --- | --- |

II.

REGIUNI ADMINISTRATIVE SPECIALE ALE REPUBLICII POPULARE CHINEZE

RAS Hong Kong

| RAS Macao |
| --- |

RAS Macao

| III. | ENTITĂȚI ȘI AUTORITĂȚI TERITORIALE NERECUNOSCUTE CA STATE DE CEL PUȚIN UN STAT MEMBRU





  Taiwan |
| --- | --- |

III.

ENTITĂȚI ȘI AUTORITĂȚI TERITORIALE NERECUNOSCUTE CA STATE DE CEL PUȚIN UN STAT MEMBRU

Taiwan

(*1)  sub rezerva confirmării reciprocității"

*1

Adoptată la Luxemburg, 8 octombrie 2021.

Pentru Consiliu

Președintele

M. DIKAUČIČ

---

(1)  
  JO L 208 I, 1.7.2020, p. 1.

1

(2)  
  JO L 230, 17.7.2020, p. 26.

2

(3)  
  JO L 248, 31.7.2020, p. 26.

3

(4)  
  JO L 261, 11.8.2020, p. 83.

4

(5)  
  JO L 354, 26.10.2020, p. 19.

5

(6)  
  JO L 431, 21.12.2020, p. 75.

6

(7)  
  JO L 33, 29.1.2021, p. 1.

7

(8)  
  JO L 41, 4.2.2021, p. 1.

8

(9)  
  JO L 165 I, 11.5.2021, p. 66.

9

(10)  
  JO L 198, 4.6.2021, p. 1.

10

(11)  
  JO L 221, 21.6.2021, p. 12.

11

(12)  
  JO L 235, 2.7.2021, p. 27.

12

(13)  
  JO L 255, 16.7.2021, p. 3.

13

(14)  
  JO L 306, 31.8.2021, p. 4.

14

(15)  
  JO L 320, 10.9.2021, p. 1.

15

(16)  
  JO L 341, 24.9.2021, p. 1.

16

(17)  
  JO L 182, 21.5.2021, p. 1.

17

(18)  Decizia 2002/192/CE a Consiliului din 28 februarie 2002 privind solicitarea Irlandei de a participa la unele dintre dispozițiile acquis-ului Schengen (JO L 64, 7.3.2002, p. 20).

18

(19)  
  JO L 176, 10.7.1999, p. 31.

19

(20)  
  JO L 53, 27.2.2008, p. 52.

20

(21)  Decizia 2008/146/CE a Consiliului din 28 ianuarie 2008 privind încheierea, în numele Comunității Europene, a Acordului între Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană cu privire la asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (JO L 53, 27.2.2008, p. 1).

21

(22)  
  JO L 160, 18.6.2011, p. 21.

22

(23)  Decizia 2011/350/UE a Consiliului din 7 martie 2011 privind încheierea, în numele Uniunii Europene, a Protocolului dintre Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen, în ceea ce privește eliminarea controalelor la frontierele interne și circulația persoanelor (JO L 160, 18.6.2011, p. 19).

23

---