MT Il-Ġurnal Uffiċjali tal-Unjoni Ewropea C 164/2

Sommarju tal-Opinjoni tal-KEPD dwar il-proposta għal Regolament dwar il-protezzjoni ta’ individwi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, mill-korpi, mill-uffiċċji u mill-aġenziji tal-Unjoni u dwar il-moviment liberu tat-tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d-Deċiżjoni Nru 1247/2002/KE

(It-test sħiħ ta’ din l-Opinjoni jista’ jinstab bl-Ingiż, bil-Franċiż u bil-Ġermaniż fuq is-sit web tal-KEPD www.edps.europa.eu)

(2017/C 164/02)

Qiegħda tiġi promulgata ġenerazzjoni ġdida ta’ standards għall-protezzjoni tad-data mill-Unjoni Ewropea. Kważi sena ilu, l-adozzjoni tar-Regolament Ġenerali dwar il-Protezzjoni tad-Data u d-Direttiva għas-setturi tal-pulizija u l-ġustizzja rrappreżentat l-impenn l-aktar ambizzjuż s'issa tal-leġiżlatur tal-UE sabiex jiġu ggarantiti d-drittijiet fundamentali tal-individwu fl-era diġitali. Issa huwa l-waqt għall-istituzzjonijiet tal-UE nfushom biex jagħtu eżempju bir-regoli li japplikaw għalihom stess bħala kontrolluri tad-data u proċessuri tad-data. Matul dawn l-aħħar 18-il xahar, il-KEDP nieda djalogu mal-istituzzjonijiet tal-UE fl-għola livell sabiex iħejjihom għall-isfidi l-ġodda dwar il-konformità mal-protezzjoni tad-data, b’enfasi fuq il-prinċipju l-ġdid ta’ akkontabilità fir-rigward ta’ kif tiġi proċessata d-data. B’din l-Opinjoni, l-KEDP għandu l-għan li jħaddan tnax il-sena esperjenza ta’ sorveljanza indipendenti, pariri ta’ politika u appoġġ sabiex jissuġġerixxi titjib tar-Regolament propost dwar l-ipproċessar ta’ data personali mill-istituzzjonijiet u l-korpi tal-UE.

Ir-Regolament 45/2001 serva bħala gwida billi jipprovdi obbligazzjonijiet applikabbli direttament għal kontrolluri, drittijiet għas-suġġetti tad-data u korp ta’ sorveljenza evidentement indipendenti. Issa, l-UE trid tiżgura konsistenza mal-GDPR permezz ta’ enfasi fuq l-akkontabilità u s-salvagwardji għal individwi aktar milli proċeduri. Xi ftit diverġenza tar-regoli applikabbli għall-ipproċessar tad-data tal-istituzzjonijiet tal-UE hija ġustifikabbli, bl-istess mod li l-eċċezzjonijiet għas-settur pubbliku ġew inklużi fil-GDPR, iżda din trid tinżamm f’livell minimu.

Madankollu, mill-perspettiva tal-individwu, huwa essenzjali li l-prinċipji komuni fil-qafas dwar il-protezzjoni tad-data tal-UE jiġu applikati b’mod konsistenti irrispettivament min jinzerta jkun il-kontrollur tad-data. Huwa essenzjali wkoll li l-qafas kollu japplika fl-istess żmien, jiġifieri, f’Mejju 2018, data ta’ skadenza biex il-GDPR ikun applikabbli bis-sħiħ.

Il-KEDP ġie kkonsultat mill-Kummissjoni dwar l-abbozz ta’ proposta f’konformità ma’ ftehim li ilu mwaqqaf bejn l-istituzzjonijiet tagħna. Aħna nikkunsidraw li l-Kummissjoni, b’mod ġenerali, kisbet bilanċ tajjeb tal-interessi varji kkonċernati. Din l-Opinjoni tistabbilixxi għadd ta’ oqsma li fihom il-proposta tista tittejjeb aktar. Aħna nsostnu li hemm bżonn ta’ titjib fir-Regolament propost, partikolarment fir-rigward tar-restrizzjonijiet fuq id-drittijiet tas-suġġett tad-data u l-faċilità għall-istituzzjonijiet tal-UE li f’ċertu kuntesti jużaw mekkaniżmi ta’ ċertifikazzjoni. Fir-rigward tal-kompiti u s-setgħat tagħna stess bħala korp indipendenti, il-proposta tidher li toħloq bilanċ raġonevoli u tirrifletti l-funzjonijiet normali ta’ Awtorità għall-Protezzjoni tad-Data indipendenti skont il-Karta tad-Drittijiet Fundamentali u kif affermat mill-ġdid fil-każistika riċenti tal-Qorti tal-Ġustizzja, kemm jekk bħala dak li jinforza, dak li jieħu ħsieb l-ilmenti u konsulent lil-leġislatur dwar politiki li jaffettwaw il-protezzjoni tad-data u l-privatezza.

Aħna ninkoraġġixxu lil-leġiżlatur tal-UE biex jilħaq ftehim dwar il-proposta malajr kemm jista’ jkun sabiex l-istituzzjonijiet tal-UE jkunu jistgħu jibbenefikaw minn perjodu ta’ tranżizzjoni raġonevoli qabel ma jkun jista’ jsir applikabbli r-Regolament il-ġdid.

1. INTRODUZZJONI U SFOND

1.1 Kuntest

1. Fl-10 ta’ Jannar 2017, il-Kummissjoni Ewropea adottat Proposta għal Regolament tal-Parlament Ewropew u tal-Kunsill dwar il-protezzjoni ta’ individwi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, mill-korpi, mill-uffiċċji u mill-aġenziji tal-Unjoni u dwar il-moviment liberu tat-tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d-Deċiżjoni Nru 1247/2002/KE (1) (“il-Proposta”).

2. Id-dritt fundamentali għall-protezzjoni tad-data personali huwa stabbilit fl-Artikolu 8 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (“il-Karta”) u l-Artikolu 16 tat-Trattat dwar il-Funzjonament tal-Unjoni Ewropea (“it-TFUE”).

3. Il-Kontrollur Ewropew għall-Protezzjoni tad-Dejta (“KEDP”) huwa l-awtorità ta’ sorveljanza indipendenti responsabbli għall-iżgurar li l-istituzzjonijiet, il-korpi, l-uffiċċji u l-aġenziji Ewropej (“istituzzjonijiet tal-UE”) jikkonformaw mal-liġi dwar il-protezzjoni tad-data meta jipproċessaw data personali (2). Ir-rekwiżit li jipprevedi l-kontroll indipendenti fis-sistema ta’ protezzjoni tad-data tal-UE huwa stabbilit fil-liġi primarja, kemm fl-Artikolu 16(2) tat-TFUE kif ukoll fl-Artikolu 8(3) tal-Karta. Il-Qorti tal-Ġustizzja konsistentement enfasizzat li l-kontroll minn awtorità indipendenti huwa komponent essenzjali tad-dritt għall-protezzjoni tad-data u stabbilixxiet il-kriterji għal tali indipendenza (3). B’mod partikolari, l-awtorità superviżorja trid taġixxi b’indipendenza totali, li jimplika setgħa għat-teħid ta’ deċiżjonijiet indipendenti minn kwalunkwe influwenza esterna diretta jew indiretta (4) u l-ħelsien minn kwalunkwe suspett ta’ parzjalità (5).

4. L-istrument legali ewlieni applikabbli għall-ipproċessar ta’ data personali mill-istituzzjonijiet tal-UE huwa r-Regolament (KE) Nru 45/2001 (6) (“Regolament 45/2001”), ikkumplimentat bid-Deċiżjoni Nru 1247/2002/KE (7).

5. Wara l-konklużjoni fis-27 ta’ April 2016 tan-negozjati fit-tul dwar il-qafas ġdid tal-protezzjoni tad-data tal-UE -Ir-Regolament Ġenerali dwar il-Protezzjoni tad-Data (“il-GDPR”) u d-Direttiva għas-setturi tal-pulizija u l-ġustizzja- din il-Proposta (flimkien mal-proposta tal-Kummissjoni għal Regolament dwar il-Privatezza u l-Komunikazzjoni Elettronika (“Regolament dwar il-Privatezza Elettronika” (8)) timmarka l-bidu ta’ fażi kruċjali fil-proċess tat-tlestija ta’ dan il-qafas ta’ protezzjoni tad-data tal-UE. Għandha l-għan li tallinja d-dispożizzjonijiet tar-Regolament 45/2001 mar-regoli stabbiliti fil-GDPR sabiex jinħoloq qafas ta’ protezzjoni tad-data aktar b’saħħtu u iżjed koerenti fl-Unjoni u sabiex iż-żewġ strumenti jkunu jistgħu jiġu applikati fl-istess ħin (9). Barra minn hekk, il-Proposta tinkorpora wkoll ir-regoli l-ġodda għall-protezzjoni tat-tagħmir terminali tal-utenti finali, stabbiliti fil-proposta tal-Kummissjoni għar-Regolament il-ġdid dwar il-Privatezza Elettronika.

6. Fl-Istrateġija 2015-2019, il-KEDP impenja ruħu biex jaħdem mal-Parlament Ewropew, il-Kunsill u l-Kummissjoni sabiex jiżgura li r-regoli attwali stabbiliti fir-Regolament 45/2001 jiġu allinjati mal-GDPR u li jidħol fis-seħħ qafas rivedut sa mhux aktar tard mill-bidu tal-2018. Il-KEDP b’sodisfazzjoni jilqa’ l-fatt li ġie kkonsultat informalment mill-Kummissjoni qabel l-adozzjoni tal-Proposta u li l-proposta tidher li ħadet inkunsiderazzjoni bosta elementi li tqajjmu fil-kontribuzzjonijiet informali tiegħu s'issa. Huwa jqis il-Proposta attwali sodisfaċenti ferm mil-lat ta’ konformità massima mal-GDPR, sakemm l-ispeċifitajiet tas-settur pubbliku tal-UE definiti b’mod ristrett ma jiġġustifikawx mod ieħor, u japprezza b’mod partikolari l-bilanċ li ntlaħaq mill-Kummissjoni tal-interessi varji involuti.

7. Filwaqt li din l-Opinjoni tindika għadd ta’ oqsma li fihom il-proposta tista’ tittejjeb aktar, il-KEDP jinkoraġġixxi lill-leġiżlatur tal-UE biex jilħaq ftehim dwar il-proposta malajr kemm jista’ jkun sabiex l-istituzzjonijiet tal-UE jkunu jistgħu jibbenefikaw minn perjodu ta’ tranżizzjoni raġonevoli qabel ma jkun jista’ jsir applikabbli bis-sħiħ ir-Regolament il-ġdid.

1.2 Għanijiet tal-proposta u żmien

8. Fil-passat, il-KEDP irrakkomanda li r-regoli sostantivi għall-istituzzjonijiet tal-UE jiġu inkorporati fl-abbozz (dak iż-żmien) tal-GDPR (10). Il-leġiżlatur tal-UE għażel alternattiva oħra: strument legali separat applikabbli għall-istituzzjonijiet tal-UE allinjati u applikabbli fl-istess żmien bħall-GDPR. Il-KEDP jappoġġja dan l-approċċ: kien ikun inaċċettabbli kieku l-Kummissjoni Ewropea u l-istituzzjonijiet l-oħra tal-UE ma kinux marbuta b’regoli ekwivalenti għal dawk li daqt ser ikunu applikabbli fil-livell tal-Istati Membri. Barra minn hekk, tkun xi ħaġa mhux mixtieqa għall-KEDP li jissorvelja l-konformità tal-istituzzjonijiet tal-UE ma’ regoli sostantivi li jkunu inferjuri għar-regoli sorveljati mill-kontropartijiet tiegħu f'livell nazzjonali, speċjalment minħabba li l-KEDP ser ikun membru tal-Bord Ewropew għall-Protezzjoni tad-Data futur (“EDPB”) (11).

9. Għalhekk, ir-regoli futuri applikabbli għall-ipproċessar ta’ data personali mill-istituzzjonijiet tal-UE għandhom jiġu allinjati mad-dispożizzjonijiet tal-GDPR, sakemm speċifitajiet tas-settur pubbliku interpretati b’mod ristrett ma jiġġustifikawx mod ieħor. F’dan ir-rigward, il-KEDP jilqa’ l-premessa 5 għall-Proposta li enfasizzat il-bżonn ta’ allinjament massimu possibbli u jikkjarifika li “kull meta d-dispożizzjonijiet ta’ dan ir-Regolament huma bbażati fuq l-istess kunċett bħad-dispożizzjonijiet (tal-GDPR), dawk iż-żewġ dispożizzjonijiet għandhom jiġu interpretati b’mod omoġenju, partikolarment minħabba li l-iskema ta’ dan ir-Regolament għandha tinftiehem bħala ekwivalenti għall-iskema (tal-GDPR).”,

10. Fl-istess waqt, l-allinjament mal-GDPR ma jista’ jkun la sħiħ u lanqas awtomatiku. Il-GDPR jinkludi bosta klawżoli li jippermettu lill-Istati Membri jżommu jew jintroduċu leġiżlazzjoni speċifika f’ċerti oqsma, inkluż għall-awtoritajiet pubbliċi (12). F’dawk il-każijiet fejn il-GDPR jipprovdi regoli speċifiċi għal awtoritajiet pubbliċi (13) jew iħalli lok għall-implimentazzjoni tad-dispożizzjonijiet tiegħu mill-Istati Membri, il-Proposta tista’ titqies bħala li għandha rwol kumparabbli għal liġi nazzjonali “li timplimenta” il-GDPR, bħal pereżempju fl-Artikolu 9 “Trażmissjonijiet ta’ data personali lil riċevituri għajr istituzzjonijiet u korpi tal-Unjoni” jew l-Artikolu 66 “Multi amministrattivi” tal-Proposta (ara t-Taqsima 2.8.1 hawn taħt). Barra minn hekk, huwa importanti li jiġi żgurat li jinżamm il-livell għoli ta’ protezzjoni attwalment applikabbli għall-istituzzjonijiet tal-UE. Huwa għalhekk li teżisti l-ħtieġa li jinżammu ċerti speċifitajiet tar-Regolament 45/2001, bħall-Artikolu 25 Restrizzjonijiet (ara t-Taqsima 2.3.1 hawn taħt) u l-Artikolu 44 Deżinjazzjoni ta’ Uffiċjal tal-Protezzjoni tad-Data (ara t-Taqsima 2.4.5.1 hawn taħt).

11. Apparti l-allinjament sostantiv mal-GDPR, huwa essenzjali li r-regoli riveduti jsiru applikabbli bis-sħiħ fl-istess żmien bħall-GDPR jiġifieri fil-25 ta’ Mejju 2018. In-netwerk ta’ Uffiċjali tal-Protezzjoni tad-Data eżistenti (“UPD”) jipprevedi mezz effiċjenti ta’ kondiviżjoni ta' informazzjoni u kooperazzjoni. B’konsegwenza, il-KEDP huwa kunfidenti li l-konformità tista’ tintlaħaq wara perjodu ta’ tranżizzjoni relattivament qasir, eż. tliet xhur.

12. Il-prinċipju ta’ akkontabilità li fuqu huwa bbażat il-GDPR -kif ukoll il-Proposta attwali-imur lil hinn mis-sempliċi konformità mar-regoli u jimplika bidla kulturali. Sabiex it-tranżizzjoni tiġi ffaċilitata, il-KEDP nieda “proġett ta’ akkontabilità”. F’dan il-kuntest, matul l-2016 u l-2017, il-KEDP kien f’kuntatt ma’ seba’ istituzzjonijiet u korpi prinċipali tal-UE sabiex jgħin fit-tħejjija fi żmien xieraq tal-applikazzjoni tal-GDPR.

1.3 Ambitu u relazzjoni ma’ strumenti legali oħra

13. F’diversi okkażjonijiet fil-passat, il-KEDP stieden lill-Kummissjoni biex tipproponi sistema b’saħħitha u komprensiva li tkun ambizzjuża u li ssaħħaħ l-effettività u l-koerenza tal-protezzjoni tad-data fl-UE, sabiex tiżgura ambjent sikur għal aktar żvilupp fis-snin li ġejjin (14). Il-Kummissjoni għażlet approċċ differenti u proponiet strument legali separat għall-protezzjoni tad-data fil-qasam tal-infurzar tal-liġi (15). Dan kien segwit minn għadd ta’ proposti għal atti legali li jintroduċu reġimi ta’ protezzjoni tad-data “awtonomi” separati (16).

14. Il-KEDP jirrikonoxxi li l-qafas legali għall-protezzjoni tad-data personali, attwali, għalkemm frammentat, huwa l-aħjar eżitu li jista’ jinkiseb illum (17). Il-KEDP jifhem li l-Proposta attwali tkompli tapplika għall-dawk l-istituzzjonijiet tal-UE li jaqgħu taħt l-ambitu tar-Regolament 45/2001 illum (18) (essenzjalment, l-istituzzjonijiet, korpi, uffiċċji u aġenziji li qabel kienu tal-ewwel u t-tieni “pilastru” (19)), iżda effettivament ma taffettwax ir-reġimi “awtonomi” eżistenti jew pendenti (20). Tali reġimi ser jiġu affettwati mill-proposta attwali biss u sal-punt li huwa previst b’mod espliċitu fl-istrument legali rilevanti. Il-KEDP jieħu nota ta’ dan l-approċċ iżda jissuġġerixxi li dan jiġi ddikjarat b’mod aktar espliċitu fil-preambolu għall-Proposta u, possibilment, anke fl-Artikolu 2 tagħha Ambitu. Fl-istess waqt, il-KEDP jisħaq li l-frammentazzjoni u l-kumplessità dejjem akbar tal-qafas legali għall-ipproċessar tad-data mill-istituzzjonijiet varji tal-UE attivi fl-ewwel u t-tielet “pilastri” ta’ qabel mhuwiex eżitu kompletament sodisfaċenti u jista’ jkun hemm il-bżonn li jiġi indirizzat mill-leġiżlatur tal-UE fuq perjodu medju.

15. Ir-Regolament 45/2001 jipprevedi miżuri li għandhom l-għan li l-privatezza u l-kunfidenzjalità tal-kommunikazzjonijiet jiġu mħarsa f’każijiet fejn l-istituzzjonijiet tal-UE jikkontrollaw l-infrastruttura użata għall-komunikazzjoni. Għal dan il-għan, jinkludi xi dispożizzjonijiet li jkopru partijiet mill-ambitu regolatorju tad-Direttiva 2002/58/KE (“Direttiva dwar il-Privatezza Elettronika”) (21), u jistabbilixxi l-prinċipju li r-regoli għall-protezzjoni tad-drittijiet fundamentali għandhom jiġu applikati b’mod konsistenti u armonjuż madwar l-Unjoni, b’referenza għal strumenti rilevanti bħad-Direttiva dwar il-privatezza u l-komunikazzjonijiet elettroniċi (22). Il-ħtieġa li jiġi żgurat l-istess livell ta’ privatezza u kunfidenzjalità tal-komunikazzjonijiet li jinvolvu istituzzjonijiet tal-UE ma tinbidilx, u għalhekk il-prinċipju ta’ applikazzjoni konsistenti u armonjuża għandu jinżamm. Għaldaqstant, il-KEDP jikkunsidra li l-Proposta għandha tiżgura li r-regoli rilevanti tal-GDPR u r-Regolament futur dwar il-Privatezza Elettronika japplikaw għall-istituzzjonijiet tal-UE mutatis mutandis. Dan għandu jinkludi kemm il-preżervazzjoni tal-kunfidenzjalità u l-privatezza fir-rigward tas-servizzi ta’ komunikazzjoni kkontrollati mill-istituzzjonijiet tal-UE kif ukoll prinċipji oħra tar-Regolament futur dwar il-Privatezza Elettronika, bħall-protezzjoni ta’ apparat terminali u regoli oħra, eż. dwar trekkjar u spam.

16. Finalment, filwaqt li l-leġiżlazzjoni dwar il-protezzjoni tad-data tal-UE tapplika wkoll għaż-Żona Ekonomika Ewropea, u l-pajjiżi tal-EFTA parteċipanti huma obbligati jistabbilixxu awtoritajiet ta’ superviżjoni indipendenti skont il-GDPR, l-istituzzjonijiet tal-EFTA mhumiex soġġetti għal kwalunkwe regola speċifika dwar il-protezzjoni tad-data, għalkemm qegħdin jiskambjaw data personali mal-istituzzjonijiet tal-UE. Il-KEDP iqis li l-Proposta attwali tista’ tkun opportunità sabiex din il-kwistjoni tiġi indirizzata.

3. KONKLUŻJONIJIET

90. B’mod ġenerali, il-KEDP iqis il-Proposta suċċess fl-allinjament tar-regoli għall-istituzzjonijiet tal-UE mal-GDPR, filwaqt li jieħu inkunsiderazzjoni l-ispeċifiċitajiet tas-settur pubbliku tal-UE. Ġeneralment, fil-Proposta huwa preżervat il-livell għoli ta’ protezzjoni fir-rigward tal-ipproċessar tad-data mill-istituzzjonijiet tal-UE. B’mod partikolari, il-KEDP japprezza l-bilanċ tal-interessi varji kkonċernati milħuq mill-Kummissjoni.

91. Il-KEDP iqis li l-Proposta għandha tittejjeb aktar, b’mod partikolari fir-rigward tal-modalitajiet għal restrizzjonijiet taħt l-Artikolu 25. Sabiex tiġi żgurata l-konformità mal-kwalità tar-rekwiżiti tal-liġi msemmija hawn fuq, l-Artikolu 25(1) tal-Proposta jkun irid jiġi emendat sabiex atti legali adottati abbażi tat-Trattati biss ikunu jistgħu jillimitaw id-drittijiet fundamentali, u b’hekk jimponu fuq l-istituzzjonijiet tal-UE l-istess standards li jkunu japplikaw għall-Istati Membri taħt il-GDPR. Sal-punt li r-restrizzjonijiet tal-Artikolu 34 Kunfidenzjalità tal-komunikazzjonijiet elettroniċi huma kkontemplati, il-KEDP jistieden lill-leġiżlatur tal-UE biex jiżgura li r-restrizzjonijiet possibbli tad-dritt fundamentali għall-privatezza ta’ komunikazzjonijiet mill-istituzzjonijiet tal-UE fl-operazzjonijiet tagħhom stess isegwu l-istess standards kif stabbilit fid-dritt tal-Unjoni kif interpretat mill-Qorti tal-Ġustizzja f’dan id-dominju.

92. Il-KEDP jilqa’ l-fatt li l-Proposta tinkludi artikolu separat iddedikat għall-irwol tal-KEDP bħala konsulent għall-istituzzjonijiet tal-UE (Artikolu 42 tal-Proposta). Madankollu, huwa mħasseb li l-formulazzjoni “wara l-adozzjoni ta’ proposti” (meta mqabbla ma’ “meta tadotta proposta leġiżlattiva” fl-Artikolu 28(2) tar-Regolament 45/2001) tista’ tqajjem dubji dwar l-impenn li ilu stabbilit tal-Kummissjoni Ewropea biex tikkonsulta lill-KEPD dwar abbozzi ta’ proposti b’mod informali, normalment fl-istadju tal-konsultazzjoni interservizz. Minħabba l-importanza ta’ konsultazzjoni informali, il-KEDP jilqa’ premessa li fiha l-Kummissjoni ttenn l-impenn tagħha għal din il-prattika li ilha stabbilita. Huwa jappoġġja wkoll li l-Proposta żżomm il-formulazzjoni tal-Artikolu 28(2) tar-Regolament 45/2001 (“meta tadotta”) li tippermetti marġni usa' ta’ manuvrar fir-rigward tiegħu. Huwa jqis li l-Artikolu 42, kif propost, jipprovdi kjarifika suffiċjenti fir-rigward tal-kompiti rispettivi tal-KEPD u l-EDPB sabiex tiġi evitata d-duplikazzjoni bla bżonn fil-futur.

93. Il-KEDP iqis li l-possibbiltà li tiġi esternalizzata l-funzjoni ta’ UPD mhijiex adatta għall-istituzzjonijiet tal-UE li jeżerċitaw awtorità pubblika. B’konsegwenza, it-tieni alternattiva tal-Artikolu 44(4) (“jew iwettaq il-kompiti tiegħu fuq il-bażi ta' kuntratt ta' servizz”) għandha titħassar.

94. Il-KEDP jilqa’ l-Artikolu 66 tal-Proposta li jagħti lill-KEDP is-setgħa li jimponi multi amministrattivi. Huwa jqis li jekk l-awtorità superviżorja tal-UE tiċċaħħad mill-possibbiltà li timponi multi amministrattivi, fejn xieraq, dan iwassal sabiex istituzzjonijiet tal-UE jgawdu pożizzjoni privileġġjata meta mqabbla ma’ istituzzjonijiet tas-settur pubbliku f’bosta Stati Membri.

95. Il-KEDP iqis li mekkaniżmi ta’ ċertifikazzjoni jistgħu jkunu strument utli ħafna għall-istituzzjonijiet tal-UE u diġà qegħdin jintużaw f’ċerti kuntesti, eż. iċ-ċertifikazzjoni tal-konformità ma’ standards aċċettati b’mod ġenerali. Għaldaqstant, ir-referenzi għall-użu ta’ ċertifikazzjoni (iżda mhux kodiċi ta’ kondotta) għandhom jiġu miżjuda mal-Artikolu 26 Responsabbiltà tal-kontrollur, mal-Artikolu 27 Protezzjoni tad-data mid-disinn u b’mod awtomatiku, kif ukoll mal-Artikolu 33 Sigurtà.

96. Filwaqt li din l-Opinjoni tindika għadd ta’ oqsma li fihom il-proposta tista’ tittejjeb aktar, il-KEDP jinkoraġġixxi lill-leġiżlatur tal-UE biex jilħaq ftehim dwar il-proposta malajr kemm jista’ jkun sabiex l-istituzzjonijiet tal-UE jkunu jistgħu jibbenefikaw minn perjodu ta’ tranżizzjoni raġonevoli qabel ma jkun jista’ jsir applikabbli r-Regolament il-ġdid fl-istess żmien bħall-GDPR, f’Mejju 2018.

Brussell, il-15 ta’ Marzu 2017. Giovanni BUTTARELLI Kontrollur Ewropew għall-Protezzjoni tad-Data

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OJ L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union” (OJ L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135 24.05.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach [First reading] on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications (OJ L 201, 31.7.2002, p. 37), as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.