RO Jurnalul Ofícial al Uniunii Europene 64

32000D0520



JURNALUL OFÍCIAL AL UNIUNII EUROPENE

DECIZIA COMISIEI

din 26 iulie 2000

în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind caracterul adecvat al protecției oferite de principiile „sferei de siguranță” privind protecția vieții private și întrebările de bază aferente, publicate de Departamentul Comerțului al S.U.A.

[notificată cu numărul C(2000) 2441]

(Text cu relevanță pentru SEE)

(2000/520/CE)

COMISIA COMUNITĂȚILOR EUROPENE,

având în vedere Tratatul de instituire a Comunității Europene,

având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1) și, în special, articolul 25 alineatul (6) al acesteia,

întrucât:

(1) În temeiul Directivei 95/46/CE, statelor membre li se cere să ia măsuri astfel încât transferul datelor cu caracter personal către o țară terță să poată avea loc numai în cazul în care țara terță în cauză asigură un nivel adecvat de protecție și în cazul în care legile statelor membre care pun în aplicare alte dispoziții ale directivei sunt respectate înainte de transfer.

(2) Comisia poate constata că o țară terță asigură un nivel adecvat de protecție. În acest caz, datele cu caracter personal pot fi transferate din statele membre fără a mai fi necesare garanții suplimentare.

(3) În temeiul Directivei 95/46/CE, nivelul de protecție a datelor trebuie evaluat având în vedere toate circumstanțele în care se desfășoară o operațiune de transfer de date sau un set de operațiuni de transfer de date și ținând seama de condițiile date. Grupul de lucru privind protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, înființat în temeiul directivei menționate anterior (2), a emis indicații referitoare la efectuarea acestor evaluări (3).

(4) Ținând seama de diferitele abordări ale protecției datelor în țările terțe, ar trebui efectuată evaluarea caracterului adecvat al acestei protecții, iar orice decizie întemeiată pe articolul 25 alineatul (6) din Directiva 95/46/CE ar trebui aplicată astfel încât să nu producă discriminări arbitrare sau nejustificate împotriva țărilor terțe sau între acestea acolo unde există condiții similare și nici să nu constituie o barieră ascunsă în calea comerțului, ținând seama de angajamentele internaționale actuale ale Comunității.

(5) Nivelul adecvat de protecție pentru transferul de date din Comunitate către Statele Unite ale Americii, recunoscut prin prezenta decizie, ar trebui obținut în cazul în care organizațiile respectă principiile „sferei de siguranță” privind protecția vieții private pentru protecția datelor cu caracter personal transferate dintr-un stat membru în Statele Unite ale Americii (denumite în continuare „principiile”) și întrebările de bază, „frequently asked questions” (denumite în continuare „FAQ”), care oferă indicații pentru punerea în aplicare a principiilor publicate de Guvernul Statelor Unite ale Americii la 21 iulie 2000. Mai mult, organizațiile ar trebui să-și facă publice politicile de confidențialitate și să se supună jurisdicției Comisiei Federale pentru Comerț (Comisia Federală pentru Comerț – FTC) în temeiul articolului 5 din Federal Trade Commission Act care interzice actele sau practicile neloiale sau frauduloase în comerț sau care afectează comerțul, sau altui organism oficial care asigură punerea în aplicare cu eficacitate a principiilor în conformitate cu FAQ.

(6) Sectoarele și/sau prelucrarea de date care nu intră sub jurisdicția nici unuia dintre organismele administrative ale Statelor Unite ale Americii enumerate în anexa VII la prezenta decizie ar trebui să nu intre în domeniul de aplicare al prezentei decizii.

(7) Pentru a asigura buna aplicare a prezentei decizii, este necesar ca organizațiile care aderă la principii și la FAQ să poată fi recunoscute de către părțile interesate, ca de exemplu persoanele vizate, exportatorii de date și autoritățile însărcinate cu protecția datelor. În acest scop, Departamentul Comerțului al Statelor Unite ale Americii sau reprezentantul acestuia ar trebui să își ia angajamentul de a păstra și a face publică o listă a organizațiilor care își declară adeziunea la principiile puse în aplicare în conformitate cu FAQ și care intră sub jurisdicția a cel puțin unuia dintre organismele administrative enumerate în anexa VII la prezenta decizie.

(8) În scopul transparenței și pentru a permite autorităților competente din statele membre să asigure protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, este necesar ca în prezenta decizie să se indice circumstanțele excepționale în care suspendarea anumitor fluxuri de date ar fi justificată în ciuda constatării unei protecții adecvate.

(9) Ar putea fi necesar ca „sfera de siguranță” creată de principii și de FAQ să fie revizuită în lumina experienței, a evoluției protecției vieții private în circumstanțe în care tehnologia facilitează din ce în ce mai mult transferul și prelucrarea datelor cu caracter personal și în lumina rapoartelor privind punerea în aplicare elaborate de autoritățile competente.

(10) Grupul de lucru privind protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal înființat în temeiul articolului 29 din Directiva 95/46/CE a emis avize privind nivelul de protecție pe care îl asigură principiile „sferei de siguranță” în Statele Unite ale Americii, avize luate în considerare la elaborarea prezentei decizii (4).

(11) Măsurile prevăzute de prezenta decizie sunt conforme cu avizul comitetului constituit în temeiul articolului 31 din Directiva 95/46/CE.

(12) În temeiul Deciziei 1999/468/CE a Consiliului și, în special, al articolului 8 din aceasta, la 5 iulie 2000 Parlamentul European a adoptat Rezoluția A5-0177/2000 cu privire la proiectul de decizie a Comisiei privind caracterul adecvat al protecției oferite de principiile „sferei de siguranță” privind protecția vieții private și întrebările de bază aferente, publicate de Departamentul Comerțului al Statelor Unite ale Americii (5). Comisia a reexaminat proiectul de decizie în lumina acelei rezoluții și a concluzionat că, deși Parlamentul European și-a exprimat opinia că sunt necesare anumite îmbunătățiri ale principiilor „sferei de siguranță” și întrebărilor de bază aferente înainte de a putea considera că oferă o „protecție adecvată”, acesta nu a stabilit că s-ar depăși competențele Comisiei în cazul în care aceasta adoptă decizia,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

(1) În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, pentru toate activitățile care intră în domeniul de aplicare al acelei directive, principiile „sferei de siguranță” privind protecția vieții private (denumite în continuare „principiile”), cuprinse în anexa I la prezenta decizie, puse în aplicare în conformitate cu orientările furnizate de întrebările de bază („frequently asked questions” – denumite în continuare „FAQ”) publicate de Departamentul Comerțului al Statelor Unite ale Americii la 21 iulie 2000, cuprinse în anexa II la prezenta decizie, asigură un nivel adecvat de protecție a datelor personale transferate din Comunitate către organizații stabilite în Statele Unite ale Americii, ținând seama de următoarele documente emise de Departamentul Comerțului al Statelor Unite ale Americii:

(a) studiul privind punerea în aplicare a principiilor „sferei de siguranță” menționat la anexa III;

(b) un memorandum privind despăgubirile pentru încălcarea vieții private și autorizațiile exprese prevăzute de legislația Statelor Unite ale Americii, menționat la anexa IV;

(c) o scrisoare din partea Comisiei Federale pentru Comerț, menționată la anexa V;

(d) o scrisoare din partea Departamentului Transporturilor al Statelor Unite ale Americii, menționată la anexa VI.

(2) În ceea ce privește fiecare transfer de date, trebuie respectate următoarele condiții:

(a) organizația care primește datele își declară în mod public și clar angajamentul de a respecta principiile puse în aplicare în conformitate cu FAQ și

(b) organizația intră sub jurisdicția unui organism administrativ din Statele Unite ale Americii menționat la anexa VII la prezenta decizie care este împuternicit să ancheteze plângerile și să obțină măsuri de reparare împotriva practicilor neloiale sau frauduloase precum și despăgubirea persoanelor în cauză, indiferent de țara de reședință sau de cetățenia acestora, în cazul nerespectării principiilor puse în aplicare în conformitate cu FAQ.

(3) Se consideră că sunt îndeplinite condițiile prevăzute la alineatul (2) de fiecare organizație care își declară adeziunea la principiile puse în aplicare în conformitate cu FAQ, de la data la care organizația notifică Departamentului Comerțului al Statelor Unite ale Americii (sau reprezentantului acestuia) declararea publică a angajamentului menționat la alineatul (2) litera (a) și identitatea organismului administrativ menționat la alineatul (2) litera (b).

Articolul 2

Prezenta decizie se referă numai la caracterul adecvat al protecției oferite în Statele Unite ale Americii de principiile puse în aplicare în conformitate cu FAQ în vederea respectării cerințelor prevăzute la articolul 25 alineatul (1) din Directiva 95/46/CE și nu afectează aplicarea altor dispoziții din directiva menționată care privesc prelucrarea de date cu caracter personal în statele membre, în special articolul 4.

Articolul 3

(1) Fără a aduce atingere competențelor lor de a lua măsuri în vederea asigurării respectării dispozițiilor naționale adoptate în temeiul unor dispoziții altele decât cele prevăzute la articolul 25 din Directiva 95/46/CE, autoritățile competente din statele membre își pot exercita competențele de care dispun pentru a suspenda fluxurile de date către o organizație care și-a declarat adeziunea la principiile puse în aplicare în conformitate cu FAQ în vederea protejării persoanelor cu privire la prelucrarea datelor cu caracter personal ale acestora în cazurile în care:

(a) organismul administrativ din Statele Unite ale Americii menționat la anexa VII la prezenta decizie sau o instanță de recurs independentă în sensul literei (a) din principiul de punere în aplicare menționat la anexa I la prezenta decizie a constatat că organizația încalcă principiile puse în aplicare în conformitate cu FAQ sau

(b) este foarte probabil ca principiile să fie încălcate; există motive serioase pentru a crede că organismul de aplicare în cauză nu ia sau nu va lua din timp măsuri adecvate pentru a soluționa cauza respectivă; continuarea transferului ar crea pentru persoanele în cauză un risc iminent de a suferi prejudicii grave; iar autoritățile competente din statul membru au depus eforturi rezonabile, ținând seama de circumstanțe, de a avertiza organizația și a îi oferi posibilitatea de a răspunde.

Suspendarea încetează de îndată ce se asigură respectarea principiilor puse în aplicare în conformitate cu FAQ, iar autoritățile competente în cauză din Comunitate sunt informate în consecință.

(2) Statele membre informează fără întârziere Comisia atunci când sunt adoptate măsuri în temeiul alineatului (1).

(3) De asemenea, statele membre și Comisia se informează reciproc asupra cazurilor în care măsurile luate de organismele însărcinate cu asigurarea respectării principiilor puse în aplicare în conformitate cu FAQ în Statele Unite ale Americii nu asigură această respectare.

(4) În cazul în care informațiile strânse în aplicarea alineatelor (1), (2) și (3) demonstrează că un organism însărcinat cu asigurarea respectării principiilor puse în aplicare în conformitate cu FAQ în Statele Unite ale Americii nu își îndeplinește eficient rolul, Comisia informează Departamentul Comerțului al Statelor Unite ale Americii și, în cazul în care este necesar, prezintă un proiect de măsuri în conformitate cu procedura menționată la articolul 31 din Directiva 95/46/CE în vederea abrogării sau suspendării prezentei decizii ori a limitării domeniului de aplicare al acesteia.

Articolul 4

(1) Prezenta decizie poate fi oricând adaptată în lumina experienței dobândite în timpul punerii ei în aplicare și/sau în cazul în care nivelul de protecție oferit de principii și FAQ este depășit de exigențele legislației SUA.

În orice caz, Comisia evaluează punerea în aplicare a prezentei decizii pe baza informațiilor disponibile la trei ani de la notificarea ei statelor membre și raportează comitetului înființat în temeiul articolului 31 din Directiva 95/46/CE orice constatare pertinentă, inclusiv orice dovadă care ar putea afecta evaluarea conform căreia dispozițiile de la articolul 1 din prezenta decizie asigură un nivel adecvat de protecție în sensul articolului 25 din Directiva 95/46/CE și orice dovadă care indică faptul că prezenta decizie este aplicată în mod discriminatoriu.

(2) În cazul în care este necesar, Comisia prezintă un proiect de măsuri în conformitate cu procedura menționată la articolul 31 din Directiva 95/46/CE.

Articolul 5

Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii în termen de 90 de zile de la data notificării acesteia către statele membre.

Articolul 6

Prezenta decizie se adresează statelor membre.

Adoptată la Bruxelles, 26 iulie 2000. Pentru Comisie Frederik BOLKESTEIN Membru al Comisiei

(1) JO L 281, 23.11.1995, p. 31.

(2) Adresa web a grupului de lucru este: http://www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm

(3) WP 12: Transferurile de date cu caracter personal către țări terțe: aplicarea articolelor 25 și 26 din Directiva UE privind protecția datelor, document adoptat de grupul de lucru la 24 iulie 1998.

(4) WP 15: Avizul 1/99 privind nivelul de protecție a datelor în Statele Unite și discuțiile în curs dintre Comisia Europeană și Statele Unite.

WP 19: Avizul 2/99 privind caracterul adecvat al principiilor internaționale ale „sferei de siguranță” publicat de Departamentul Comerțului al Statelor Unite la 19 aprilie 1999.

WP 21: Avizul 4/99 privind „întrebările de bază” care urmează să fie publicate de Departamentul Comerțului al Statelor Unite în legătură cu principiile „sferei de siguranță” propuse în legătură cu caracterul adecvat al principiilor „sferei de siguranță”.

WP 23: Document de lucru privind stadiul actual al discuțiilor dintre Comisia Europeană și Guvernul Statelor Unite cu privire la principiile „sferei de siguranță”.

WP 27: Avizul 7/99 privind nivelul de protecție a datelor oferit de principiile „sferei de siguranță”, publicate alături de „întrebările de bază” (Frequently Asked Questions – FAQ) și alte documente conexe la 15 și 16 noiembrie 1999 de Departamentul Comerțului al Statelor Unite.

WP 31: Avizul 3/200 privind dialogul UE/SUA referitor la acordul privind „sfera de siguranță”.

WP 32: Avizul 4/2000 privind nivelul de protecție oferit de „principiile sferei de siguranță”.

(5) Rezoluția nu a fost încă publicată în Jurnalul Oficial.

ANEXA I

PRINCIPIILE „SFEREI DE SIGURANȚĂ” PRIVIND PROTECȚIA VIEȚII PRIVATE

publicate de Departamentul Comerțului al Statelor Unite ale Americii la 21 iulie 2000

Directiva europeană privind protecția datelor (denumită în continuare „directiva”), care constituie un cadru legislativ detaliat în ceea ce privește protecția vieții private, a intrat în vigoare la 25 octombrie 1998. Aceasta prevede că datele cu caracter personal nu pot fi transferate decât către țări terțe care asigură un nivel „adecvat” de protecție a vieții private. Deși Statele Unite ale Americii și Uniunea Europeană au ca obiectiv comun asigurarea unei mai bune protecții a vieții private a cetățenilor lor, Statele Unite ale Americii abordează în mod diferit acest domeniu față de Uniunea Europeană. Statele Unite ale Americii utilizează o abordare sectorială care se bazează pe un ansamblu de dispoziții legislative, regulamente și coduri de auto-reglementare. Date fiind aceste diferențe, multe organizații din Statele Unite ale Americii și-au exprimat incertitudinea cu privire la impactul „nivelului adecvat de protecție” cerut de Uniunea Europeană asupra transferurilor de date cu caracter personal din Uniunea Europeană către Statele Unite ale Americii.

Pentru a reduce această incertitudine și pentru a oferi un cadru mai clar pentru astfel de transferuri de date, Departamentul Comerțului publică prezentul document („principiile”) precum și „întrebările de bază” („FAQ”) în calitate de autoritate competentă cu scopul de a stimula, promova și dezvolta comerțul internațional. Principiile au fost elaborate prin consultări cu întreprinderile și publicul larg în scopul facilitării comerțului și relațiilor de afaceri dintre Statele Unite ale Americii și Uniunea Europeană. Ele sunt destinate exclusiv organizațiilor din Statele Unite ale Americii care primesc date cu caracter personal din Uniunea Europeană cu scopul de a permite acestor organizații să îndeplinească condițiile privind „sfera de siguranță” și prezumția de „nivel de protecție adecvat” pe care aceasta o creează. Deoarece principiile au fost concepute pentru a servi exclusiv acestui scop, adoptarea lor în alte scopuri ar putea fi inadecvată. Principiile nu pot înlocui dispozițiile naționale de punere în aplicare a directivei care se aplică prelucrării datelor cu caracter personal în statele membre.

Îndeplinirea sau nu a condițiilor privind „sfera de siguranță” rămâne la latitudinea organizațiilor, care dispun de diferite mijloace pentru a se conforma acestor condiții. Organizațiile care decid să adere la principii trebuie să le respecte pentru a obține și a păstra avantajele „sferei de siguranță” și trebuie să-și anunțe public decizia. De exemplu, în cazul în care o organizație participă la un program privind protecția confidențialității pus la punct de sectorul privat care aderă la principii, aceasta îndeplinește condițiile menționate anterior. De asemenea, organizațiile se pot conforma acestor condiții și prin elaborarea propriilor regulamente privind protecția datelor, cu condiția ca acestea să fie conforme cu principiile. Orice organizație care a optat pentru una din aceste două soluții și care încalcă principiile trebuie sancționată în conformitate cu articolul 5 din Federal Trade Commission Act care interzice practicile neloiale sau frauduloase, sau în conformitate cu altă lege de acest tip (a se vedea, în anexă, lista organismelor competente americane recunoscute de UE). Pe lângă aceasta, organizațiile care se supun unui ansamblu de dispoziții juridice, de reglementare, administrative sau de alt tip (ori unui ansamblu de reguli) care asigură o protecție eficientă a datelor cu caracter personal, pot, de asemenea, beneficia de avantajele „sferei de siguranță”. În toate cazurile, fiecare organizație beneficiază de aceste avantaje de la data la care a notificat Departamentului Comerțului (sau reprezentantului acestuia) aderarea sa la principii, în conformitate cu recomandările stabilite în FAQ cu privire la autocertificare.

Aderarea la aceste principii poate fi limitată de: (a) cerințele privind securitatea națională, interesul public și respectarea legilor Statelor Unite ale Americii; (b) textele legislative, regulamentele administrative sau jurisprudența care creează obligații contradictorii sau prevăd autorizații exprese, cu condiția ca organizația care a recurs la o asemenea autorizație să poată demonstra că nerespectarea principiilor se limitează la măsurile necesare pentru garantarea intereselor legitime superioare pe care această autorizație urmărește să le servească; (c) excepțiile sau derogările prevăzute de directivă sau de legislația statului membru, cu condiția ca aceste excepții sau derogări să fie aplicate în contexte comparabile. În conformitate cu obiectivul de a consolida protecția vieții private, organizațiile trebuie să facă eforturi să aplice aceste principii integral și transparent, inclusiv să indice în codurile lor de protejare a vieții private domeniile în care excepțiile menționate la litera (b) de mai sus se vor aplica cu regularitate. Din același motiv, atunci când principiile și/sau legile Statelor Unite ale Americii permit organizațiilor să aleagă, acestea sunt invitate să opteze, în limita posibilului, pentru nivelul cel mai înalt de protecție.

Din motive practice sau de altă natură, unele organizații vor dori poate să aplice principiile ansamblului datelor lor, însă ele nu sunt obligate să le aplice decât pentru datele transferate ulterior aderării lor la „sfera de siguranță”. Pentru integrarea acesteia, nu este necesară aplicarea principiilor la datele prelucrate manual. Organizațiile care doresc să beneficieze de avantajele „sferei de siguranță” pentru a accesa date ce provin din fișiere ale Uniunii Europene prelucrate manual trebuie să aplice principiile oricărei informații transferate după aderarea la principiile menționate anterior. Organizațiile care doresc să extindă avantajele „sferei de siguranță” la informațiile cu caracter personal obținute din fișiere de tip „resurse umane” provenind din Uniunea Europeană pentru a le utiliza în cadrul unui raport de muncă trebuie să menționeze această intenție atunci când își autocertifică angajamentul la Departamentul Comerțului (sau la reprezentantul acestuia) și trebuie să se conformeze cerințelor stabilite în FAQ privind autocertificarea. De asemenea, organizațiile vor putea furniza garanțiile prevăzute la articolul 26 din directivă în cazul în care aplică principiile, în cadrul acordurilor încheiate în scris cu părțile care transferă date din Uniunea Europeană, dispozițiilor normative privind protecția vieții private, după ce celelalte dispoziții privind aceste contracte-tip sunt aprobate de Comisie și statele membre.

Se aplică legislația americană în ceea ce privește interpretarea și respectarea principiilor „sferei de siguranță” (inclusiv „întrebările de bază”) și a măsurilor de protecție a vieții private puse în aplicare de organizațiile care aderă la „sfera de siguranță”, cu excepția cazurilor în care organizațiile s-au angajat să coopereze cu autoritățile europene însărcinate cu protecția datelor. Cu excepția cazurilor în care se prevede altfel, sunt aplicabile toate dispozițiile „sferei de siguranță” și ale „întrebărilor de bază”.

Prin „date sau informații cu caracter personal” trebuie înțeles orice dată sau informație despre o persoană identificată sau identificabilă care intră în domeniul de aplicare al directivei, transferată din Uniunea Europeană către o organizație din Statele Unite ale Americii și înregistrată sub orice formă.

NOTIFICAREA

Orice organizație trebuie să informeze persoanele în cauză cu privire la motivele strângerii și utilizării informațiilor cu caracter personal, la modul în care pot contacta organizația pentru orice întrebări sau plângeri, la terții cărora le sunt comunicate informațiile, la opțiunile și mijloacele pe care organizația le oferă persoanelor în cauză pentru limitarea utilizării și divulgării acestor date. Notificarea trebuie formulată într-un limbaj clar și lizibil. Trebuie comunicată persoanelor în cauză atunci când acestea sunt invitate pentru prima dată să furnizeze informații cu caracter personal sau cât mai curând posibil după această invitație, dar, în orice caz, înainte ca datele să fie folosite într-un scop diferit de cel pentru care au fost inițial strânse sau prelucrate de organizația care a efectuat transferul sau înainte ca ele să fie comunicate pentru prima dată unui terț (1).

OPȚIUNEA

Orice organizație trebuie să ofere persoanelor în cauză posibilitatea de a decide (refuza) dacă informațiile lor cu caracter personal (a) pot fi divulgate unui terț (1) sau (b) pot fi utilizate într-un scop incompatibil cu scopul sau scopurile pentru care au fost inițial strânse sau într-un scop aprobat ulterior de persoana în cauză. Persoanele în cauză trebuie să dispună de mecanisme clare și vizibile, ușor accesibile și cu un cost rezonabil pentru a-și exercita opțiunea.

În ceea ce privește informațiile sensibile (de exemplu datele privind dosarul medical sau starea de sănătate a unei persoane, originea rasială sau etnică, opiniile politice, credințele religioase sau convingerile filosofice, apartenența sindicală sau orientarea sexuală), orice persoană trebuie să aibă în mod pozitiv sau expres posibilitatea de a decide (consimțământ) dacă datele pot fi divulgate unui terț sau pot fi utilizate într-un scop care diferă de obiectivul inițial pentru care au fost strânse sau într-un scop aprobat ulterior de persoana în cauză prin exercitarea dreptului de consimțământ. În orice caz, o organizație va considera drept informații sensibile orice informații primite de la un terț în cazul în care terțul arată că această informație este sensibilă și o tratează în consecință.

TRANSFERUL ULTERIOR

Pentru a divulga informații unui terț, organizațiile trebuie să aplice principiile notificării și opțiunii. Organizațiile care doresc pot transfera informații unui terț care acționează ca mandatar, în conformitate cu descrierea cuprinsă în nota finală, în cazul în care certifică în prealabil faptul că terțul subscrie la principiile „sferei de siguranță” sau se supune dispozițiilor directivei sau a altui mecanism care atestă nivelul adecvat de protecție sau în cazul în care încheie un acord scris cu acest terț prin care acesta se angajează să ofere cel puțin același nivel de protecție ca acela prevăzut în principii. În cazul în care organizația se conformează acestor cerințe, nu este considerată responsabilă (decât în cazul în care decide altfel) în cazul în care un terț căruia organizația îi transferă asemenea date le prelucrează într-un mod contrar dispozițiilor sau restricțiilor convenite, excepție făcând cazurile în care organizația avea cunoștință sau ar fi trebuit să aibă cunoștință de faptul că terțul le va prelucra într-un asemenea mod, iar organizația nu a luat măsurile necesare pentru a preveni sau a opri această prelucrare.

SECURITATEA

Organizațiile care creează, administrează, utilizează sau difuzează date cu caracter personal trebuie să ia măsurile necesare pentru a preveni pierderea, utilizarea abuzivă, consultarea neautorizată, divulgarea, modificarea și distrugerea acestor date.

INTEGRITATEA DATELOR

Ținând seama de aceste principii, informațiile cu caracter personal trebuie să fie relevante pentru scopurile cărora le sunt destinate. O organizație nu poate prelucra date cu caracter personal într-un mod incompatibil cu scopul pentru care acestea au fost strânse sau cu scopurile aprobate ulterior de persoana în cauză. În limita acestor obiective, orice organizație trebuie să ia măsurile necesare pentru a asigura fiabilitatea datelor în raport cu utilizarea prevăzută, precum și acuratețea, exhaustivitatea și actualitatea lor.

ACCESUL

Persoanele trebuie să aibă acces la informațiile cu caracter personal pe care le deține în legătură cu ele o organizație și să le poată corecta, modifica sau șterge atunci când sunt incorecte, cu excepția cazurilor în care eforturile sau costurile ocazionate de acordarea dreptului de acces sunt disproporționate în raport cu riscurile pe care le creează pentru viața privată a persoanei în cauză sau a cazurilor în care ar fi încălcate drepturile altor persoane.

APLICAREA

Pentru o protecție eficientă a vieții private trebuie puse la punct mecanisme care să permită asigurarea respectării principiilor „sferei de siguranță”, posibilitatea de recurs pentru persoanele în cauză care au fost afectate de nerespectarea principiilor și de sancționare a organizațiilor care nu au respectat principiile atunci când s-au angajat să le aplice. Aceste mecanisme trebuie să includă cel puțin: (a) mecanisme independente de recurs, ușor accesibile și necostisitoare, care să permită studierea și rezolvarea oricăror plângeri și litigii care fac trimitere la principii, și acordarea de despăgubiri în cazurile prevăzute de legea aplicabilă sau de inițiativele din sectorul privat; (b) proceduri de monitorizare pentru verificarea exactității informațiilor și indicațiilor pe care societățile comerciale le furnizează cu privire la practicile lor în ceea ce privește protecția vieții private și pentru verificarea punerii în aplicare a acestor practici în conformitate cu declarațiile întreprinderilor; (c) declarații care obligă organizațiile care subscriu la principii să rezolve problemele care izvorăsc din nerespectarea principiilor și declarații care prevăd sancțiuni pentru contravenienți. Aceste sancțiuni trebuie să fie suficient de severe pentru a garanta respectarea principiilor.

(1) Nu este necesară notificarea sau opțiunea în cazul în care informațiile sunt comunicate unui terț care este însărcinat să îndeplinească sarcini în numele organizației și în conformitate cu instrucțiunile acesteia. Pe de altă parte, principiul transferului ulterior se aplică în asemenea cazuri.

ANEXĂ

Lista organismelor oficiale ale Statelor Unite ale Americii recunoscute de Uniunea Europeană

Uniunea Europeană recunoaște următoarele organisme guvernamentale ale Statelor Unite ale Americii ca fiind autorizate să analizeze plângeri și să beneficieze de asistență împotriva practicilor neloiale, precum și pentru despăgubirile pentru persoane în cazul nerespectării principiilor în vigoare în conformitate cu FAQ:

— Comisia Federală pentru Comerț, pe baza atribuțiilor care îi sunt conferite în temeiul articolului 5 din Federal Trade Commission Act;

— Departamentul Transporturilor, pe baza atribuțiilor care îi sunt conferite în temeiul titlului 49 din United States Code articolul 41712.

ANEXA II

ÎNTREBĂRI DE BAZĂ (FAQ)

FAQ 1 – Datele sensibile

Î: O organizație trebuie să ofere întotdeauna o opțiune expresă (consimțământ) cu privire la datele sensibile?

R: Nu, o asemenea opțiune nu este obligatorie atunci când prelucrarea: (1) este în interesul vital al persoanei în cauză sau al unei alte persoane; (2) este necesară pentru stabilirea unui drept sau a unei apărări în justiție; (3) este necesară în vederea acordării îngrijirii medicale sau a stabilirii unui diagnostic; (4) este efectuată în cadrul activităților legitime de către o fundație, o asociație sau orice alt organism cu scop nelucrativ și cu un obiectiv politic, filosofic, religios sau sindical și cu condiția ca prelucrarea să privească exclusiv membrii acestui organism sau persoanele care au contacte frecvente cu acesta în legătură cu scopurile sale, iar datele să nu fie comunicate unor terți fără consimțământul persoanelor în cauză; (5) este necesară pentru respectarea obligațiilor organizației în domeniul dreptului muncii; (6) are legătură cu date care sunt în mod clar făcute publice de către persoana în cauză.

FAQ 2 – Excepțiile jurnalistice

Î: Ținând seama de garanțiile pe care le oferă Constituția Statelor Unite ale Americii în ceea ce privește libertatea presei și derogările din directivă cu privire la informațiile utilizate de jurnaliști, se aplică principiile „sferei de siguranță” informațiilor cu caracter personal strânse, păstrate sau difuzate în scopuri jurnalistice?

R: Atunci când drepturile presei menționate la primul amendament al Constituției Statelor Unite ale Americii nu sunt compatibile cu protecția vieții private, primul amendament trebuie să primeze pentru activitățile persoanelor sau organizațiilor din Statele Unite ale Americii. Informațiile cu caracter personal care sunt strânse în vederea publicării, difuzării sau comunicării publice prin alte forme, indiferent dacă sunt utilizate sau nu, precum și informațiile care au fost publicate anterior și apoi arhivate nu sunt supuse principiilor „sferei de siguranță”.

FAQ 3 – Responsabilitatea secundară

Î: Furnizorii de servicii de internet (FSI), societățile de telecomunicații și alte organisme se supun principiilor „sferei de siguranță” atunci când se limitează la transmiterea, direcționarea, înlocuirea sau mascarea, pe seama altui organism, a informațiilor care pot să contravină acestor principii?

R: Nu. La fel ca în cazul directivei, „sfera de siguranță” nu creează o responsabilitate secundară. În măsura în care un organism funcționează doar ca vector pentru datele transmise de terți și nu stabilește nici obiectivele și nici mijloacele de prelucrare a acestor date cu caracter personal, responsabilitatea sa nu este angajată.

FAQ 4 – Băncile de investiții și auditul

Î: Activitățile auditorilor și ale băncilor de investiții pot presupune prelucrarea de date cu caracter personal fără consimțământul sau cunoștința persoanei. Care sunt circumstanțele în principiile notificării, opțiunii și accesului care permit aceasta?

R: Băncile de investiții și auditorii pot prelucra informații fără cunoștința persoanei în cauză numai în măsura și pe perioada necesară îndeplinirii dispozițiilor de reglementare sau cerințelor legate de interesul general, precum și în alte circumstanțe în care aplicarea acestor principii ar aduce atingere intereselor legitime ale organismului. Aceste interese legitime includ supravegherea respectării de către societățile comerciale a obligațiilor lor legale, a activităților lor contabile legitime și a confidențialității care trebuie să fie respectată în contextul eventualelor achiziții, fuziuni, asociații în participațiune sau al altor tranzacții similare efectuate de băncile de investiții sau de auditori.

FAQ 5 – Rolul autorităților însărcinate cu protecția datelor (1)

Î: Cum pot întreprinderile care doresc să coopereze cu autoritățile însărcinate cu protecția datelor din Uniunea Europeană (DPA) să își ia acest angajament și cum vor fi acestea puse în aplicare?

R: În cadrul „sferei de siguranță”, organizațiile din Statele Unite ale Americii care primesc date cu caracter personal din Uniunea Europeană trebuie să își ia angajamentul de a utiliza mecanisme eficiente pentru a garanta respectarea principiilor „sferei de siguranță”. Mai exact, după cum prevede principiul punerii în aplicare, aceste mecanisme trebuie să prevadă: (a) căi de recurs pentru persoanele la care se referă aceste date; (b) proceduri de urmărire pentru verificarea veridicității afirmațiilor și declarațiilor pe care le fac organizațiile cu privire la respectarea vieții private și (c) dispoziții privind condițiile în care organizațiile trebuie să remedieze problemele care decurg din nerespectarea principiilor, precum și asumarea consecințelor care rezultă din aceasta. O organizație trebuie să îndeplinească literele (a) și (c) din principiul punerii în aplicare în cazul în care aderă la angajamentul de cooperare cu DPA menționat de prezenta FAQ.

O organizație își poate lua angajamentul de a coopera cu DPA declarând în certificarea sa de aderare la „sfera sa de siguranță” adresată Departamentului Comerțului (vezi FAQ 6 privind autocertificarea) că organizația:

1. decide să îndeplinească cerințele de la literele (a) și (c) ale principiului punerii în aplicare a „sferei de siguranță”, luându-și angajamentul de a coopera cu DPA;

2. va coopera cu DPA la analizarea și soluționarea plângerilor înaintate în temeiul „sferei de siguranță”;

3. va respecta orice aviz emis de DPA conform căruia organizația trebuie să adopte măsuri specifice în vederea respectării principiilor „sferei de siguranță”, inclusiv măsuri de despăgubire sau reparație în beneficiul persoanelor afectate de nerespectarea principiilor, și va informa DPA în scris de măsurile adoptate în acest sens.

Cooperarea DPA-urilor se traduce prin informații și avize acordate în modul următor:

— DPA vor fi consultate prin intermediul unui comitet neoficial al DPA înființat la nivel european care, inter alia, va contribui la elaborarea unei abordări armonizate și coerente;

— comitetul va oferi sfaturi organizațiilor din Statele Unite ale Americii cu privire la plângerile nesoluționate din partea unor persoane privind prelucrarea informațiilor cu caracter personal care au fost transferate din Uniunea Europeană în temeiul „sferei de siguranță”. Aceste sfaturi au ca obiectiv asigurarea unei aplicări corecte a principiilor „sferei de siguranță” și privesc, de asemenea, mecanismele de reglementare a litigiilor pe care DPA le consideră corespunzătoare pentru persoana (persoanele) în cauză;

— comitetul își va da avizul ca răspuns la trimiterile organizațiilor în cauză și/sau la plângerile introduse direct de persoane fizice împotriva organizațiilor care și-au luat angajamentul de a coopera cu DPA în sensul respectării principiilor „sferei de siguranță”, încurajând și ajutând, după caz, aceste persoane fizice să utilizeze mai întâi mecanismele interne de instrumentare a plângerilor pe care le oferă organizația;

— avizul va fi emis numai după ce ambele părți au avut posibilitatea de a-și prezenta observațiile și, după caz, de a aduce toate dovezile pe care doresc să le prezinte. Comitetul va încerca să emită avizul cât mai repede posibil, respectând totodată principiile procesului echitabil. În principiu, comitetul se va pronunța în termen de cel mult 60 de zile de la primirea plângerii sau a trimiterilor;

— în cazul în care consideră necesar, comitetul va face publice rezultatele analizelor plângerilor care îi sunt înaintate;

— avizul comitetului nu creează obligații pentru comitet sau pentru oricare dintre DPA.

Organizațiile care optează pentru acest mod de soluționare a litigiilor trebuie să-și ia angajamentul de a se conforma avizului emis de DPA. În cazul în care o organizație nu se conformează în termen de 25 de zile de la notificarea avizului și nu oferă o explicație satisfăcătoare, comitetul ar putea decide să înainteze cauza către Comisia Federală pentru Comerț sau către un alt organism de reglementare din Statele Unite ale Americii menționat în anexa la principiile „sferei de siguranță” sau să constate că angajamentul de cooperare a fost grav încălcat și prin urmare trebuie considerat nul și neavenit. În acest ultim caz, comitetul informează Departamentul Comerțului (sau pe reprezentantul acestuia) astfel încât lista participanților la „sfera de siguranță” să poată fi modificată în consecință. Orice încălcare a angajamentului de cooperare cu comitetul, precum și orice nerespectare a principiilor „sferei de siguranță” se consideră elemente constitutive ale unui act fraudulos în temeiul articolului 5 din Federal Trade Commission Act sau în temeiul unui text legislativ similar.

Organizațiile care optează pentru această formulă trebuie să plătească o cotizație anuală care să acopere costurile de gestionare ale comitetului și, după caz, vor fi invitate să participe la costurile pentru traducerile pe care le presupune analizarea de către comitet a acțiunilor și a plângerilor depuse împotriva lor. Cotizația anuală nu poate depăși 500 USD, iar în cazul societăților comerciale mai mici se acordă o reducere.

Posibilitatea cooperării cu DPA este oferită organizațiilor care aderă la „sfera de siguranță” în cursul unei perioade de trei ani. DPA va revizui dispozițiile înainte de expirarea acestei perioade în cazul în care numărul de organizații din Statele Unite ale Americii care optează pentru această formulă se dovedește a fi excesiv.

FAQ 6 – Autocertificarea

Î: Cum autocertifică o organizație faptul că aderă la principiile „sferei de siguranță”?

R: Avantajele „sferei de siguranță” sunt asigurate de la data la care o organizație autocertifică Departamentului Comerțului (sau reprezentantului acestuia) că aderă la principii în conformitate cu normele de mai jos.

Pentru autocertificarea aderării la „sfera de siguranță”, organizațiile pot adresa Departamentului Comerțului (sau reprezentantului acestuia) o scrisoare semnată de un funcționar al organizației care trebuie să conțină cel puțin următoarele informații:

1. numele organizației, adresa poștală, adresa electronică, numerele de telefon și de fax ale acesteia;

2. descrierea activităților organizației cu privire la informațiile cu caracter personal primite din Uniunea Europeană;

3. descrierea dispozițiilor organizației cu privire la protecția vieții private în cazul informațiilor menționate anterior, precizând: (a) locul în care textul acestor dispoziții poate fi consultat de către public; (b) data punerii în aplicare a acestor dispoziții; (c) serviciul care poate fi contactat pentru rezolvarea plângerilor, pentru cererile de acces sau pentru orice altă problemă legată de „sfera de siguranță”; (d) denumirea instanței de reglementare specifice care este însărcinată să hotărască în privința plângerilor depuse, după caz, împotriva organizației pentru practici neloiale sau frauduloase și pentru încălcări ale legilor sau reglementărilor privind protecția vieții private (și care este menționată în anexa la principii); (e) numele oricărui program privind protecția vieții private la care participă organizația; (f) metoda de verificare (de exemplu internă sau printr-un terț) (2) și (g) instanța independentă de recurs care poate ancheta plângerile nesoluționate.

O organizație poate extinde avantajele „sferei sale de siguranță” la informații de tip „resurse umane” transferate din UE pentru a fi utilizate în cadrul raporturilor de muncă, atunci când una dintre instanțele de reglementare menționată în anexa la principii are competența de a ancheta plângerile depuse, după caz, împotriva organizației menționate în domeniul informațiilor de tip „resurse umane”. Pe lângă aceasta, organizația trebuie să indice în scrisoarea sa de autocertificare că dorește acest lucru, că se angajează să coopereze cu autoritățile competente ale Uniunii Europene în conformitate cu FAQ 9 și FAQ 5 și că se conformează sfaturilor date de aceste autorități.

Departamentul (sau reprezentantul acestuia) va păstra o listă a tuturor organizațiilor care urmează această procedură, garantând astfel avantajele „sferei de siguranță”, și va actualiza această listă pe baza scrisorilor și notificărilor anuale primite în conformitate cu FAQ 11. Aceste scrisori de autocertificare vor fi trimise cel puțin o dată pe an. În caz contrar, organizația va fi ștearsă de pe listă și avantajele „sferei de siguranță” nu îi vor mai fi asigurate. Lista și scrisorile de autocertificare prezentate de organizații vor fi făcute publice. Orice organizațiile care își autocertifică aderarea la principiile „sferei de siguranță” trebuie, de asemenea, să indice în declarațiile sale publice referitoare la politica sa în ceea ce privește protecția vieții private faptul că aderă la principiile „sferei de siguranță”.

Angajamentul de aderare la principii nu este limitat în timp în ceea ce privește datele primite pe perioada în care organizația beneficiază de avantajele „sferei de siguranță”. Angajamentul luat de o organizație înseamnă că va continua să aplice principiile acestor date pe toată perioada în care organizația le păstrează, le utilizează sau le divulgă, chiar dacă părăsește ulterior, dintr-un motiv sau altul, „sfera de siguranță”.

Atunci când o organizație încetează să existe ca persoană juridică distinctă, ca urmare a unei fuziuni sau absorbții, trebuie să notifice înainte acest lucru Departamentului Comerțului (sau reprezentantului acestuia). Notificarea trebuie, de asemenea, să indice dacă entitatea care o absoarbe sau entitatea care rezultă în urma fuziunii (1) rămâne supusă în continuare principiilor „sferei de siguranță” în virtutea dispozițiilor juridice care reglementează absorbția sau fuziunea sau (2) decide să-și autocertifice aderarea la principiile „sferei de siguranță” sau oferă alte garanții, ca de exemplu un acord scris privind aderarea sa la aceste principii. În cazul în care nu este pusă în aplicare nici una dintre soluțiile menționate la punctele (1) și (2), orice date care au fost obținute în cadrul „sferei de siguranță” trebuie șterse fără întârziere.

O organizație nu este obligată să aplice principiile „sferei de siguranță” tuturor informațiilor cu caracter personal, dar trebuie să supună principiilor „sferei de siguranță” ansamblul datelor cu caracter personal primite de la Uniunea Europeană după aderarea sa la „sfera de siguranță”.

Orice declarație falsă adresată publicului general cu privire la aderarea unei organizații la principiile „sferei de siguranță” poate da naștere unei acțiuni intentate la Comisia Federală pentru Comerț sau altă instanță administrativă competentă. Orice declarație falsă adresate Departamentului Comerțului (sau reprezentantului acestuia) poate da naștere unei acțiuni intentate în temeiul legii privind declarațiile false (18 U.S.C., articolul 1001).

FAQ 7 – Verificarea

Î: Care sunt practicile de monitorizare utilizate de organizații pentru a verifica dacă atestările și declarațiile întreprinderilor cu privire la practicile lor în ceea ce privește protecția vieții private în cadrul „sferei de siguranță” sunt adevărate și dacă aceste practici au fost puse în aplicare în conformitate cu declarațiile acestora și cu principiile „sferei de siguranță”?

R: Pentru a răspunde cerințelor de verificare a principiului punerii în aplicare, organizațiile pot să verifice asemenea atestări și declarații prin organizarea unei autoevaluări sau a unui control extern al conformității.

În cadrul autoevaluării, verificarea ar trebui să indice faptul că politica privind protecția vieții private, în ceea ce privește informațiile cu caracter personal primite de la Uniunea Europeană, care este făcută publică de organizație, este exactă, completă, prezentată în mod vizibil, pusă în aplicare în totalitate și accesibilă. De asemenea, ar trebui să arate că această politică este conformă cu principiile „sferei de siguranță”, că persoanele sunt informate de existența mecanismelor interne de rezolvare a plângerilor și a mecanismelor independente prin intermediul cărora pot depune plângeri, că organizația dispune de proceduri de formare a angajaților în acest scop și de sancționare a acestora în cazul în care nu le respectă, și că există proceduri interne privind controlul obiectiv și periodic al respectării acestei politici. O declarație care verifică autoevaluarea trebuie semnată cel puțin o dată pe an, de către un funcționar al organizației sau de un alt reprezentant autorizat al acesteia și trebuie pusă la dispoziția persoanelor în cauză la cerere sau în cadrul unei anchete sau al unei plângeri pentru neconformitate.

Organizațiile trebuie să păstreze arhive privind punerea în aplicare a practicilor lor cu privire la protecția vieții private în „sfera de siguranță” și să le pună la dispoziție, la cerere, organismului independent însărcinat cu analizarea reclamațiilor sau agenției cu competență în materie de practici neloiale și frauduloase, în cadrul unei anchete sau al unei plângeri pentru neconformitate.

În cazul în care organizația optează pentru controlul extern al conformității, acest control trebuie să demonstreze că politica organizației în ceea ce privește protecția vieții private cu privire la informațiile primite de la Uniunea Europeană respectă principiile „sferei de siguranță”, că această politică este respectată și că persoanele sunt informate cu privire la mecanismele prin care își pot depune plângerile. Metodele de control sunt diverse și pot include (listă neexhaustivă) un audit, o verificare aleatorie, utilizarea de „momeli” sau diferite alte instrumente tehnologice. O declarație care confirmă că a fost efectuat un control extern al conformității trebuie semnată, cel puțin o dată pe an, de către cel care a efectuat controlul, de către responsabilul organizației sau de către orice alt reprezentat al acesteia și trebuie transmisă, la cerere, persoanelor în cauză sau în cadrul unei anchete sau al unei reclamații pentru neconformitate.

FAQ 8 – Accesul

Principiul accesului:

Orice persoană trebuie să aibă acces la informațiile cu caracter personal pe care le deține o organizație despre ea și să poată corecta, modifica sau șterge aceste informații în cazul în care sunt inexacte, cu excepția cazurilor în care acest acces nu implică o dificultate sau costuri disproporționate în raport cu riscurile la adresa protecției vieții private a persoanei în cauză sau încălcarea drepturilor legitime ale unor terți.

Î 1: Dreptul de acces este absolut?

R 1: Nu. În conformitate cu principiile „sferei de siguranță”, dreptul de acces este fundamental pentru protecția vieții private. Acesta permite fiecărei persoane să verifice acuratețea informațiilor care îl privesc. Cu toate acestea, obligația care incumbă unei organizații de a oferi acces la informațiile cu caracter personal pe care le deține depinde de principiul proporționalității sau de caracterul rezonabil al cererii de acces și trebuie limitată în anumite cazuri. Într-adevăr, expunerea de motive la liniile directoare ale OCDE privind protecția vieții private (1980) specifică faptul că obligația unei organizații de a asigura accesul nu este absolută. Dreptul de acces nu necesită o investigare la fel de aprofundată ca, de exemplu, pentru o citație și nici nu înseamnă acces la toate formele de păstrare a datelor de către organizație.

Experiența a arătat că, atunci când răspunde cererilor de acces individuale, organizația trebuie, înainte de toate, să fie ghidată de motivul (motivele) autorului solicitării. De exemplu, în cazul în care o cerere de acces este vagă sau extrem de amplă, organizația poate iniția un dialog cu solicitantul pentru a înțelege mai bine motivele acestui demers și pentru a găsi informațiile pertinente. Organizația poate încerca să stabilească cu care din serviciile organizației a avut contacte persoana în cauză și/sau care este natura (sau utilizarea) informațiilor care fac obiectul cererii de acces. Cu toate acestea, nimeni nu este obligat să justifice o cerere de acces cu privire la propriile date.

Costurile și dificultatea sunt factori importanți care trebuie luați în considerare, dar care nu au un rol decisiv în stabilirea caracterului rezonabil al accesului. Astfel, în conformitate cu celelalte dispoziții din prezentele FAQ, în cazul în care informațiile sunt utilizate în scopul luării unor decizii care vor avea consecințe importante asupra persoanei în cauză (de exemplu, refuzarea sau acordarea unor avantaje importante, precum o asigurare, o ipotecă sau un loc de muncă), atunci organizația trebuie să le comunice, chiar dacă acest lucru este destul de dificil sau presupune costuri ridicate.

Atunci când informațiile solicitate nu sunt sensibile sau nu sunt utilizate în scopul luării unor decizii care vor avea consecințe importante asupra persoanei în cauză (de exemplu, date de marketing care nu sunt sensibile, utilizate pentru trimiterea de cataloage), dar sunt ușor accesibile iar transmiterea lor este puțin costisitoare, organizația trebuie să permită oricărei persoane accesul la informațiile factuale care privesc persoana respectivă. Informațiile în cauză pot include date obținute de la persoană, date obținute în urma unei tranzacții sau date transmise de terți care au avut o legătură cu persoana în cauză.

Dreptul la acces fiind un element fundamental al protecției vieții private, organizațiile trebuie să facă întotdeauna eforturi de bună credință pentru a furniza accesul. De exemplu, în cazul în care anumite informații trebuie protejate și pot fi separate cu ușurință de informațiile care fac obiectul unei cereri de acces, organizația trebuie să separe datele confidențiale și să răspundă la cerere făcând disponibile celelalte informații. În cazul în care organizația decide să refuze accesul într-un anumit caz, aceasta trebuie să își motiveze decizia și să comunice datele unei persoane de contact pentru informații suplimentare.

Î 2: Ce sunt informațiile comerciale confidențiale și organizațiile pot refuza accesul la acestea din motive de salvgardare?

R 2: Informațiile comerciale confidențiale (în sensul Codului federal de procedură privind comunicarea de date) sunt informații pe care o organizație veghează să nu fie divulgate întrucât ar favoriza concurenții săi de pe piață. Poate fi vorba de un anumit program de calculator (de exemplu un program de modelare) sau detaliile despre acest program. În cazul în care informațiile comerciale confidențiale pot fi separate ușor de informațiile care fac obiectul unei cereri de acces, organizația trebuie să separe datele confidențiale și să răspundă la cerere. Organizațiile pot refuza sau limita accesul în cazul în care acordarea acestuia ar conduce la divulgarea propriilor sale informații comerciale confidențiale, în sensul definiției de mai sus – în special concluziile sau clasificările comerciale stabilite de organizație – sau a informațiilor comerciale confidențiale aparținând altor organizații, în cazul în care aceste informații fac obiectul unei obligații contractuale de confidențialitate în cazurile în care o asemenea obligație ar fi în mod normal pusă în aplicare sau impusă.

Î 3: Atunci când acordă accesul, o organizație poate comunica persoanelor în cauză informații cu caracter personal extrase din bazele sale de date sau poate permite accesul la această bază de date?

R 3: Accesul poate fi furnizat sub forma unui transfer de informații către persoana în cauză și nu implică obligatoriu consultarea bazei de date a organizației.

Î 4: Organizația trebuie să-și restructureze bazele de date pentru a permite accesul?

R 4: Accesul trebuie furnizat numai în măsura în care organizația stochează informațiile. Principiul accesului în sine nu creează nici o obligație de conservare, gestionare, reorganizare sau restructurare a fișierelor care cuprind informații cu caracter personal.

Î 5: Aceste răspunsuri stabilesc în mod clar că accesul poate fi refuzat în anumite circumstanțe. În ce alte circumstanțe poate refuza o organizație acordarea unei persoane dreptul de acces la informațiile cu caracter personal?

R 5: Aceste circumstanțe sunt limitate, iar motivele pentru care accesul este refuzat trebuie specificate. Organizația poate refuza accesul la anumite informații în măsura în care difuzarea acestora riscă să aducă atingere unor importante interese publice, cum ar fi siguranța națională, apărarea sau siguranța publică. Atunci când informațiile cu caracter personal sunt prelucrate exclusiv în scopuri statistice sau de cercetare, accesul poate fi, de asemenea, refuzat. Alte motive pentru refuzarea sau restricționarea accesului:

a. o barieră în calea execuției sau punerii în aplicare a legii, inclusiv în calea prevenirii criminalității, detectării și anchetării infracțiunilor și delictelor sau în calea dreptului la un proces echitabil;

b. o barieră în calea acțiunilor civile în justiție, inclusiv în calea prevenirii și detectării acțiunilor în justiție și în calea dreptului la un proces echitabil;

c. difuzarea de informații care fac referință la una sau mai multe alte persoane în cazul în care aceste informații nu pot fi prelucrate;

d. încălcarea unui privilegiu sau a unei obligații legale sau profesionale;

e. încălcarea confidențialității necesare în cadrul negocierilor viitoare sau în curs, precum cele privind achiziționarea de societăți comerciale cotate la Bursă;

f. o barieră în calea anchetelor privind la securitatea angajaților și a procedurilor de arbitraj;

g. compromiterea confidențialității care poate fi necesară pe perioade limitate în legătură cu organizarea înlocuirilor și a restructurărilor;

h. faptul de a aduce atingere confidențialității care poate fi necesară în legătură cu funcțiile de control, de inspecție sau de reglementare în raport cu o gestiune economică sau financiară sănătoasă sau

i. alte circumstanțe în care accesul ar atrage o dificultate sau costuri disproporționate și în care ar avea loc încălcarea drepturilor sau intereselor legitime ale terților.

Organizația care invocă o excepție trebuie demonstreze aplicabilitatea acesteia (după cum se întâmplă în mod normal). După cum s-a arătat deja, solicitanților trebuie să li se indice motivele pentru refuzul sau restricționarea accesului și datele unei persoane de contact pentru informații suplimentare.

Î 6: O organizație poate solicita o taxă pentru acordarea accesului pentru a-și acoperi cheltuielile?

R 6: Da. Liniile directoare ale OCDE prevăd că organizațiile pot solicita o redevență, cu condiția ca aceasta să nu fie excesivă. Așadar, organizațiile pot stabili o participație echitabilă la cheltuielile de acces. Această taxă poate contribui și la descurajarea solicitărilor repetate și vexatorii.

Organizațiile specializate în vânzarea de informații accesibile publicului pot solicita taxa practicată în mod obișnuit de organizație ca răspuns la cererile de acces. De asemenea, fiecare persoană poate obține informațiile care o privesc adresându-se direct primei organizații care a adunat inițial datele.

Accesul nu poate fi refuzat pe motive legate de costuri în cazul în care persoana în cauză se oferă să plătească cheltuielile.

Î 7: O organizație este obligată să permită accesul la informațiile cu caracter personal extrase din registrele publice?

R 7: Trebuie precizat, întâi de toate, că registrele publice sunt registre păstrate de autorități guvernamentale sau de alte administrații publice la orice nivel și care pot fi consultate de publicul larg. Nu este necesar să se aplice principiile accesului în cazul acestor informații în cazul în care acestea nu sunt asociate cu alte date cu caracter personal, exceptând cazurile în care cantități mici de informații care nu au caracter public sunt utilizate pentru indexarea sau organizarea registrelor publice. Cu toate acestea, trebuie respectate condițiile privind consultarea acestora stabilite de instanțele competente. Atunci când informații din aceste registre sunt asociate cu alte date care nu au caracter public (altele decât cele menționate mai sus), organizația trebuie să permită accesul la aceste informații, în cazul în care aceste informații nu fac obiectul altor derogări.

Î 8: Principiul accesului trebuie aplicat informațiilor cu caracter personal accesibile publicului?

R 8: La fel ca în cazul informațiilor extrase din registrele publice (a se vedea Î 7), nu este necesar să se acorde accesul la informații care sunt deja disponibile publicului, atâta timp cât acestea nu sunt asociate cu alte date care nu sunt disponibile publicului.

Î 9: Ce măsuri de protecție poate lua organizația împotriva solicitărilor repetate sau vexatorii?

R 9: Organizația nu este obligată să răspundă la asemenea cereri de acces. Din acest motiv poate solicita plata unei taxe echitabile și poate stabili o limită acceptabilă a numărului de cereri de acces depuse într-o perioadă de timp dată. Atunci când stabilește aceste limite, organizația trebuie să ia în considerare factori precum frecvența actualizării informațiilor, scopul în care sunt utilizate datele și natura informațiilor.

Î 10: Cum se poate proteja organizația împotriva cererilor de acces frauduloase?

R 10: Organizația nu este obligată să ofere accesul în cazul în care nu primește informațiile necesare pentru identificarea solicitantului.

Î 11: Există o limită de timp în care trebuie să se răspundă cererilor de acces?

R 11: Da, organizațiile trebuie să răspundă într-un termen rezonabil. Această condiție poate fi îndeplinită în moduri diferite, conform expunerii de motive la liniile directoare ale OCDE privind protecția vieții private (din 1980). Astfel, un responsabil de date care furnizează cu regularitate informații persoanelor în cauză poate fi scutit de obligația de a răspunde imediat cererilor individuale.

FAQ 9 – Resursele umane

Î 1: Sunt incluse în „sfera de siguranță” transferurile din Uniunea Europeană către Statele Unite ale Americii de informații cu caracter personal strânse în cadrul unui raport de muncă?

R 1: Da, în cazul în care o societate comercială din Uniunea Europeană transferă informații cu caracter personal despre foștii sau actualii săi angajați și care au fost strânse în cadrul unui raport de muncă către o societate-mamă, afiliată sau neafiliată, care prestează servicii în Statele Unite ale Americii și care aderă la principiile „sferei de siguranță”, acest transfer beneficiază de avantajele „sferei de siguranță”. În acest caz, colectarea de informații precum și prelucrarea lor înainte de transfer sunt supuse legilor naționale ale statului membru al Uniunii Europene în care are loc colectarea și toate condițiile sau restricțiile stabilite în domeniu de acesta trebuie să fie respectate.

Principiile „sferei de siguranță” sunt relevante numai în caz de transfer sau de acces la dosare identificate individual. Declarația statistică bazată pe date globale cu privire la ocuparea forței de muncă și/sau utilizarea datelor anonime sau pseudoanonime nu prezintă riscuri pentru viața privată.

Î 2: Cum se aplică principiile notificării și opțiunii în cazul acestor date?

R 2: O organizație din Statele Unite ale Americii care a primit din Uniunea Europeană informații despre angajați în cadrul „sferei de siguranță” le poate comunica unor terți și/sau le poate utiliza în alte scopuri numai în cazul în care principiul notificării și opțiunii sunt respectate. De exemplu, în cazul în care o organizație intenționează să utilizeze informațiile cu caracter personal strânse în cadrul unui raport de muncă într-un scop care nu are legătură cu acest raport de muncă – cum ar fi trimiterea de mesaje de marketing –, organizația trebuie în prealabil să lase persoanelor în cauză posibilitatea opțiunii, exceptând cazurile în care acestea și-au dat deja acceptul pentru utilizarea acestor informații în astfel de scopuri. Pe lângă aceasta, angajatorul nu poate utiliza opțiunile exprimate pentru a împiedica dezvoltarea carierei profesionale a angajaților săi sau pentru a lua sancțiuni împotriva lor.

Trebuie remarcat că anumite condiții cu aplicabilitate generală cu privire la transferul din unele state membre pot exclude alte utilizări ale acestor informații chiar și după transferul lor în afara Uniunii Europene, iar aceste condiții trebuie respectate.

De asemenea, angajatorii ar trebui să facă toate eforturile posibile pentru a ține seama de preferințele angajatului cu privire la protecția vieții sale private. Aceasta poate include restricționarea accesului la date, transformarea anumitor date în anonime sau atribuirea de coduri sau pseudonime atunci când numele reale nu sunt necesare în scopuri administrative.

În măsura și pe durata necesară, pentru a evita lezarea intereselor legitime ale organizației în cadrul promovărilor, angajamentelor sau altor decizii similare privind ocuparea forței de muncă, o organizație nu este obligată să respecte principiul notificării și pe cel al opțiunii.

Î 3: Cum se aplică principiul accesului?

R 3: Întrebările de bază referitoare la principiul accesului oferă indicații cu privire la motivele care pot justifica refuzarea sau limitarea accesului solicitat în contextul resurselor umane. Desigur, angajatorii din Uniunea Europeană trebuie să se conformeze regulamentelor locale și să se asigure că salariații din Uniunea Europeană au acces la aceste informații în conformitate cu legile din țările lor, indiferent de locul în care datele sunt prelucrate și păstrate. În contextul „sferei de siguranță” o organizație care prelucrează asemenea date în Statele Unite ale Americii trebuie să coopereze prin furnizarea acestui acces, fie direct, fie prin angajatorul din Uniunea Europeană.

Î 4: Cum este asigurată punerea în aplicare cu privire la datele referitoare la salariați în cadrul „sferei de siguranță”?

R 4: În măsura în care informațiile sunt utilizate numai în cadrul unui raport de muncă, responsabilitatea principală pentru date față de angajat revine societății comerciale din Uniunea Europeană. Din acest motiv, în cazul în care un salariat european depune o plângere cu privire la încălcarea dreptului său la protecția datelor și nu este mulțumit de rezultatele procedurilor interne de evaluare, de reclamație și de apel (sau orice procedură de arbitraj aplicabilă în temeiul unui contract încheiat cu un sindicat), trebuie orientat spre autoritățile naționale responsabile de problemele de muncă sau de protecția datelor în jurisdicția în care muncește angajatul. Aceasta include, de asemenea, cazurile în care pretinsa utilizare necorespunzătoare a informațiilor cu caracter personal a avut loc în Statele Unite ale Americii și este responsabilitatea organizației din Statele Unite ale Americii care a primit informațiile de la angajator, nu a angajatorului și prin urmare implică o pretinsă violare a principiilor „sferei de siguranță” și nu a actelor naționale cu putere de lege de transpunere a directivei. Acesta este modul cel mai eficient de soluționare a suprapunerilor care există adesea între drepturile și obligațiile stabilite de legislația muncii și de convențiile colective de muncă locale, precum și de legislația privind protecția datelor.

O organizație din Statele Unite ale Americii care aderă la principiile „sferei de siguranță” și care utilizează date din Uniunea Europeană privind resursele umane transferate din Uniunea Europeană în cadrul unui raport de muncă și care dorește ca aceste transferuri să fie reglementate de „sfera de siguranță” trebuie să își ia angajamentul în acest sens de a coopera la anchetele autorităților competente din Uniunea Europeană și să respecte avizele acestora. Autoritățile însărcinate cu protecția datelor care au consimțit să coopereze în acest sens vor informa Comisia Europeană și Departamentul Comerțului. În cazul în care o organizație din Statele Unite ale Americii care aderă la principiile „sferei de siguranță” dorește să transfere date privind resursele umane dintr-un stat membru în care autoritatea însărcinată cu protecția datelor nu a încheiat un astfel de acord, se aplică dispozițiile de la FAQ 5.

FAQ 10 – Contracte în temeiul articolului 17

Î: Transferul de date din Uniunea Europeană în Statele Unite ale Americii efectuat doar în scopul prelucrării necesită un contract independent de participarea responsabilului cu prelucrarea datelor la „sfera de siguranță”?

R: Da. Responsabilii cu prelucrarea datelor din Uniunea Europeană au întotdeauna obligația de a încheia un contract când are loc un transfer pentru prelucrare de date, indiferent dacă această operațiune este efectuată în Uniunea Europeană sau în afara acesteia. Scopul contractului este de a proteja interesele responsabilului cu prelucrarea datelor, adică persoana sau organismul care stabilește obiectivele și mijloacele de procesare și care poartă întreaga responsabilitate pentru date față de persoanele în cauză. Prin urmare, contractul specifică prelucrarea care urmează să fie efectuată și măsurile necesare pentru a garanta siguranța datelor.

În consecință, o organizație din Statele Unite ale Americii reglementată de „sfera de siguranță” și care primește informații cu caracter personal din Uniunea Europeană pentru prelucrare nu este obligată să aplice principiile față de aceste informații deoarece responsabilul de prelucrarea datelor din Uniunea Europeană rămâne responsabil față de persoanele în cauză, în conformitate cu dispozițiile comunitare din domeniu (care pot fi mai riguroase decât principiile echivalente ale „sferei de siguranță”).

Întrucât participanții la „sfera de siguranță” asigură o protecție adecvată a datelor, contractele de prelucrare încheiate cu aceștia nu necesită o autorizație prealabilă (sau această autorizație este acordată automat de statele membre), contrar contractelor ai căror beneficiari nu participă la „sfera de siguranță” sau nu asigură o protecție adecvată.

FAQ 11 – Soluționarea litigiilor și punerea în aplicare a deciziilor

Î: Cum trebuie puse în aplicare cerințele privind soluționarea litigiilor formulate în principiul punerii în aplicare și ce măsuri vor fi luate în cazul nerespectării repetate a principiilor de către o organizație?

R: Principiul punerii în aplicare stabilește cerințele pentru punerea în aplicare a „sferei de siguranță”. Modul în care sunt îndeplinite cerințele de la litera (b) a principiului este prezentat în FAQ privind verificarea (FAQ 7). Prezenta FAQ 11 vizează literele (a) și (c), ambele necesitând instanțe de recurs independente. Aceste instanțe pot lua forme diferite, dar trebuie să îndeplinească cerințele principiului punerii în aplicare. Organizațiile care participă la „sfera de siguranță” pot satisface aceste cerințe în următoarele moduri: (1) participând la programele organizate de sectorul privat cu privire la protecția vieții private care integrează principiile „sferei de siguranță” în normele lor și care includ mecanisme de punere în aplicare eficiente de tipul celor descrise în principiul punerii în aplicare; (2) conformându-se instrucțiunilor organelor de supraveghere sau de reglementare legale care asigură prelucrarea plângerilor persoanelor și soluționarea litigiilor; (3) luându-și angajamentul de a coopera cu autoritățile însărcinate cu protecția datelor în cadrul Uniunii Europene sau cu reprezentanții autorizați ale acestora. Prezenta listă are valoare ilustrativă și nu este restrictivă. Sectorul privat poate elabora alte mecanisme de punere în aplicare, cu condiția ca acestea să întrunească cerințele principiului punerii în aplicare și ale FAQ. Trebuie remarcat faptul că cerințele principiului punerii în aplicare vin în completarea cerinței stabilite la paragraful al treilea din introducerea la principii, în conformitate cu care inițiativele de autoreglementare trebuie să fie aplicate în conformitate cu articolul 5 din Federal Trade Commission Act sau cu o lege similară.

Instanțe de recurs

Consumatorii ar trebui să fie încurajați să adreseze eventualele plângeri organizației în cauză înainte de a face apel la instanțe de recurs independente. Independența unei instanțe de recurs se apreciază în funcție de criterii obiective, cum ar fi transparența componenței sale și a finanțării sau un bilanț pozitiv în domeniul său de activitate. În conformitate cu principiul punerii în aplicare, recursul disponibil persoanelor particulare trebuie să fie ușor disponibile și accesibile financiar. Organismele de instrumentare a litigiilor trebuie să analizeze fiecare plângere primită de la persoane particulare, exceptând cazurile în care acestea sunt în mod evident nefondate sau abuzive. Această condiție nu împiedică stabilirea, de către instanța de recurs, de criterii de eligibilitate, însă acestea trebuie să fie transparente și justificate (de exemplu, excluderea plângerilor care nu intră în domeniul de aplicare al programului sau care sunt de competența altei instanțe) și nu trebuie să aibă ca rezultat compromiterea angajamentului de a analiza plângerile legitime. Pe lângă aceasta, instanțele de recurs trebuie să ofere persoanelor particulare informații complete și ușor accesibile cu privire la modul în care funcționează procedura de soluționare a litigiilor când acestea depun o plângere. Aceste informații trebuie să includă o descriere a practicilor aplicate în materie de protecție a vieții private, în conformitate cu principiile „sferei de siguranță” (3). De asemenea, instanțele trebuie să coopereze pentru a pune la punct instrumente, cum ar fi formularele tip pentru plângeri, pentru a facilita procedura de soluționare a litigiilor.

Recursuri și sancțiuni

Orice recurs la organismul de instrumentare a litigiilor ar trebui să ducă la anularea sau corectarea, în măsura în care este posibil, a efectelor nerespectării principiilor de către organizație, la respectarea principiilor în timpul prelucrărilor viitoare de către aceeași organizație și, după caz, la încetarea prelucrării datelor cu caracter personal ale persoanei care a depus plângerea. Sancțiunile trebuie să fie suficient de severe pentru a garanta respectarea principiilor de către organizație. O serie de sancțiuni cu grade diferite de severitate va permite instanțelor de soluționare a litigiilor să răspundă în mod corespunzător diferitelor niveluri de nerespectare a principiilor. Sancțiunile trebuie să includă atât publicarea nerespectărilor cât și obligația de a șterge datele în anumite circumstanțe (4). Alte sancțiuni pot include suspendarea sau anularea mărcii de conformitate, despăgubirea persoanelor pentru pierderile suferite ca urmare a nerespectării principiilor, precum și injoncțiuni. Organismele de soluționare a litigiilor și de autoreglementare a sectorului privat trebuie să semnaleze tribunalelor sau organului administrativ competent, după caz, organizațiile care aderă la „sfera de siguranță” și care nu respectă deciziile lor și să informeze Departamentul Comerțului (sau reprezentantul acestuia).

Acțiunea FTC

FTC s-a angajat să acorde prioritate analizării sesizărilor prezentate de organizațiile de autoreglementare, precum BBBOnline și TRUSTe, precum și de statele membre ale Uniunii Europene în ceea ce privește nerespectarea principiilor „sferei de siguranță”, pentru a stabili dacă a fost încălcat articolul 5 din Federal Trade Commission Act care interzice actele sau practicile comerciale neloiale sau frauduloase. În cazul în care FTC stabilește că există motiv(e) pentru a considera că articolul 5 a fost încălcat, poate soluționa această problemă obținând un ordin administrativ de încetare care să interzică practicile contestate sau depunând o plângere la un tribunal districtual federal, care, în cazul în care plângerea este soluționată favorabil, poate emite un ordin care să producă același efect. FTC poate cere sancțiuni civile pentru încălcarea unui ordin administrativ de încetare și poate urmări contravenientul pentru ultraj într-un tribunal civil sau penal în cazul încălcării ordinului unei curți federale. FTC informează Departamentul Comerțului de orice acțiune de acest tip întreprinsă. Departamentul Comerțului încurajează celelalte organisme administrative să îi comunice toate cauzele similare sau alte decizii care determină aderarea la principii.

Încălcarea sistematică a principiilor

În cazul în care o organizație încalcă sistematic principiile, aceasta nu mai are dreptul să beneficieze de avantajele „sferei de siguranță”. Principiile sunt încălcate sistematic atunci când o organizație care și-a declarat aderarea la principii la Departamentul Comerțului (sau la reprezentantul acestuia) refuză să se conformeze unei decizii definitive luate de un organism de autoreglementare sau de un organism public sau atunci când un asemenea organism constată că aceasta încalcă frecvent principiile astfel încât declarația ei de aderare nu mai este credibilă. Organizația trebuie să informeze neîntârziat aceste fapte Departamentului Comerțului (sau reprezentantului acestuia). În caz contrar, este pasibilă de sancțiuni în temeiul False Statements Act (18 U.S.C. § 1001).

Departamentul Comerțului (sau reprezentantul acestuia) va introduce pe lista publică, pe care o gestionează, a organizațiilor care și-au declarat aderarea la principiile „sferei de siguranță” orice notificare de încălcare sistematică, indiferent dacă aceasta provine de la organizație însăși, de la un organism de autoreglementare sau de la un organism public, însă numai după ce a acordat organizației în cauză un preaviz de treizeci (30) de zile și posibilitatea de a răspunde. În consecință, lista publică gestionată de Departamentul Comerțului (sau de reprezentantul acestuia) va preciza care organizații beneficiază de avantajele „sferei de siguranță” și care organizații nu mai beneficiază de acestea.

Orice organizație care solicită să fie supusă autorității unui organism de autoreglementare pentru a putea beneficia din nou de avantajele „sferei de siguranță” trebuie să furnizeze acestui organism informații complete cu privire la aderarea ei anterioară la principii.

FAQ 12 – Opțiune (dreptul de a refuza) – Când poate fi exercitat?

Î: Principiul opțiunii permite persoanei în cauză să își exercite dreptul la opțiune numai la începutul unei relații sau în orice moment?

R: În general, obiectivul principiului opțiunii este de a asigura că informațiile cu caracter personal sunt utilizate și comunicate în conformitate cu așteptările și opțiunile persoanelor în cauză. În consecință, atunci când informații cu caracter personal sunt utilizate în cadrul unei acțiuni de marketing direct, orice persoană ar trebui să poată să își exercite dreptul de a refuza (sau de opțiune) în orice moment, în anumite limite definite de organizație (de exemplu termenul pentru a permite organizației punerea în aplicare a refuzului). De asemenea, organizația poate solicita un anumit număr de informații pentru a confirma identitatea persoanei care și-a exprimat refuzul. În Statele Unite ale Americii, acest drept poate fi exercitat prin intermediul unui program central de refuz, cum ar fi „Mail Preference Service” al Direct Marketing Association. Organizațiile care participă la „Mail Preference Service” al Direct Marketing Association ar trebui să promoveze disponibilitatea acestuia în rândul consumatorilor care nu doresc să primească informații comerciale. În orice caz, exercitarea acestei opțiuni trebuie să fie ușor accesibilă și puțin costisitoare.

În mod similar, o organizație poate utiliza informații în anumite scopuri de marketing direct atunci când condițiile nu permit exprimarea opțiunii persoanelor în cauză înainte de utilizarea informațiilor, cu condiția ca organizația să ofere apoi, cu promptitudine, (și, la cerere, în orice moment) posibilitatea persoanelor în cauză de a refuza (fără a plăti vreo taxă) să primească orice alte informații de marketing direct și să se conformeze dorințelor acestor persoane.

FAQ 13 – Informații cu privire la călătorii

Î: Când pot fi comunicate organizațiilor situate în afara Uniunii Europene informațiile cu privire la pasagerii din transporturile aeriene (furnizate în special în momentul rezervărilor), precum cele privind clienții frecvenți sau rezervările la hotel, precum și cererile speciale – de exemplu mâncăruri care sunt în conformitate cu anumite principii religioase sau cu o asistență fizică?

R: Aceste informații pot fi transferate in diferite circumstanțe. În conformitate cu articolul 26 din directivă, datele cu caracter personal pot fi transferate spre o țară terță care nu asigură un nivel adecvat de protecție în sensul articolului 25 alineatul (2) cu condiția ca (1) transferul să fie necesar pentru prestarea serviciilor solicitate de client sau pentru execuția unui contract, cum este acordul „client frecvent al zborurilor aeriene”; sau (2) pasagerul și-a dat acordul în mod neechivoc. Organizațiile din Statele Unite ale Americii care aderă la „sfera de siguranță” oferă o protecție adecvată a datelor cu caracter personal și, în consecință, pot primi aceste date din Uniunea Europeană fără a îndeplini aceste condiții și nici alte condiții menționate la articolul 26 din directivă. Întrucât principiile „sferei de siguranță” cuprind reguli specifice cu privire la informațiile sensibile, acest tip de informație (care pot privi, de exemplu, necesitatea clientului de a beneficia de asistență fizică) poate fi inclusă în datele transferate organizațiilor care aderă la principiile „sferei de siguranță”. Organizația care transferă informațiile trebuie să aplice legislația națională a statului membru al Uniunii Europene în care operează, care poate impune, inter alia, condiții speciale pentru prelucrarea datelor sensibile.

FAQ 14 – Produse farmaceutice și medicale

Î 1: În cazul în care datele cu caracter personal sunt strânse în Uniunea Europeană și transferate către Statele Unite ale Americii pentru cercetare farmaceutică și/sau alte scopuri, se aplică legislațiile statelor membre sau principiile „sferei de siguranță”?

R 1: Legislația statelor membre se aplică colectării de date cu caracter personal și oricărei prelucrări care are loc înainte de transferul către Statele Unite ale Americii. Principiile „sferei de siguranță” se aplică datelor atunci când au fost transferate către Statele Unite ale Americii. Datele utilizate pentru cercetarea farmaceutică și în alte scopuri trebuie transmise, după caz, anonime.

Î 2: Datele cu caracter personal elaborate în cadrul studiilor medicale sau farmaceutice joacă de multe ori un rol important în cercetarea științifică. Atunci când datele cu caracter personal adunate pentru un studiu sunt transferate unei organizații din Statele Unite ale Americii care a aderat la „sfera de siguranță”, poate această organizație să utilizeze datele pentru o nouă activitate de cercetare științifică?

R 2: Da, în cazul în care au fost prevăzute de la început o notificare și o opțiune corespunzătoare. Notificarea trebuie să ofere informații cu privire la orice utilizare specifică viitoare a datelor, cum ar fi controlul periodic, studiile asociate sau comercializarea. Nu pot fi precizate toate utilizările viitoare ale datelor, întrucât o nouă examinare a datelor, descoperiri și progrese medicale noi și evoluția în domeniul sănătății publice și al reglementării ar putea determina noi utilizări ale datelor. Prin urmare, notificarea ar trebui să includă, după caz, o mențiune că datele cu caracter personal pot fi utilizate pentru activități medicale și farmaceutice de cercetare viitoare neanticipate. În cazul în care această utilizare a datelor nu este conformă cu scopurile de cercetare generale pentru care datele au fost inițial colectate sau pentru care persoana în cauză a consimțit, trebuie obținut un nou consimțământ al acestei persoane.

Î 3: Ce se întâmplă cu datele cu caracter personal în cazul în care un participant decide voluntar sau la cererea sponsorului să se retragă din studiul clinic?

R 3: Participanții pot decide sau pot fi rugați să se retragă dintr-un studiu clinic în orice moment. Totuși, datele colectate înaintea retragerii pot fi prelucrate în continuare împreună cu celelalte date colectate în cadrul studiului clinic, cu condiția ca acest fapt să fi fost comunicat participantului în notificare în momentul în care și-a dat acordul.

Î 4: Societățile producătoare de aparate farmaceutice și medicale au dreptul de a furniza date cu caracter personal extrase din testele clinice efectuate în Uniunea Europeană către autoritățile din Statele Unite ale Americii în scopul reglementării și controlului. Acest tip de transferuri este permis și altor părți, cum ar fi întreprinderi și alți cercetători?

R 4: Da, în conformitate cu principiile notificării și opțiunii.

Î 5: Pentru a asigura obiectivitatea testelor clinice, accesul la informațiile privind tratamentul de care beneficiază fiecare pacient este interzis participanților și, deseori, chiar și cercetătorilor. Accesul la aceste informații ar periclita validitatea testului și a rezultatelor. Participanții la asemenea teste clinice (denumite „teste mascate”) vor avea acces la datele privind tratamentul lor pe parcursul testului?

R 5: Nu, accesul nu trebuie să fie acordat participantului în cazul în care această restricție i-a fost explicată la începutul testului și în cazul în care publicarea acestor informații ar periclita integritatea eforturilor de cercetare. Acordul de a participa la test în aceste condiții presupune renunțarea la dreptul de acces. La încheierea testului și după analizarea rezultatelor, participanții ar trebui să aibă acces la datele lor, dacă doresc acest lucru. Ar trebui să ceară aceste date în primul rând medicului sau altui prestator de servicii de sănătate de la care au primit tratamentul în cadrul testului clinic, sau, în al doilea rând, societății comerciale care a sponsorizat programul.

Î 6: Societățile producătoare de aparate farmaceutice sau medicale trebuie să aplice în activitățile lor de control al securității și eficacității produsului principiile „sferei de siguranță” cu privire la notificare, opțiune, transfer și acces, inclusiv semnalarea incidentelor și urmărirea pacienților/subiecților care folosesc anumite medicamente sau aparate medicale (de exemplu, un stimulator cardiac)?

R 6: Nu, în măsura în care respectarea acestor principii contravine cerințelor de reglementare. Acest lucru este valabil în ceea ce privește, de exemplu, rapoartele efectuate atât de prestatorii de servicii de sănătate către societățile comerciale producătoare de aparate farmaceutice și medicale, cât și cele efectuate de aceste din urmă societăți comerciale către agenții guvernamentale precum Food and Drug Administration (autoritatea pentru supravegherea alimentelor și medicamentelor).

Î 7: Datele referitoare la cercetare sunt, de obicei, codificate la sursă de către cercetătorul principal pentru a nu fi dezvăluită identitatea părților interesate. Societățile comerciale farmaceutice care sponsorizează aceste cercetări nu primesc codul de acces. Codul de acces unic este deținut numai de către cercetător, astfel încât acesta/aceasta să poată identifica persoana în cauză în circumstanțe speciale (de exemplu în cazul în care este necesară o monitorizare medicală). Transferul din Uniunea Europeană către Statele Unite ale Americii de date cu caracter personal codificate în acest fel reprezintă un transfer de date supus principiilor „sferei de siguranță”?

R 7: Nu. Acest transfer nu constituie un transfer de date cu caracter personal supus acestor principii.

FAQ 15 – Informații din registre publice și informații accesibile publicului

Î: Este necesar să se aplice principiile notificării, opțiunii și transferului ulterior informațiilor din registrele publice sau informațiilor accesibile publicului?

R: Nu este necesar să se aplice principiul notificării, opțiunii și transferului ulterior informațiilor din registrele publice, în cazul în care acestea din urmă nu sunt asociate cu informații care nu sunt accesibile publicului și în cazul în care sunt respectate toate condițiile de consultare stabilite de instanța competentă.

De asemenea, nu este necesară aplicarea principiilor notificării, opțiunii și transferului ulterior în cazul informațiilor accesibile publicului decât în cazul în care entitatea europeană care efectuează transferul indică faptul că aceste informații fac obiectul restricțiilor care necesită aplicarea acestor principii de către organizație în timpul utilizării lor. Organizația nu are nici o responsabilitate cu privire la modul în care sunt utilizate aceste informații de către cei care obțin aceste informații din materiale publicate.

În cazul în care se constată că o organizație a făcut publice în mod intenționat informații cu caracter personal încălcând principiile astfel încât ea însăși sau alte părți terțe să poată beneficia de aceste excepții, va fi exclusă din „sfera de siguranță”.

(1) Includerea acestei FAQ în acord depinde de acordul DPA-urilor. Acestea au examinat prezentul text în cadrul grupului de lucru menționat la articolul 29 și cele mai multe dintre ele l-au considerat acceptabil, dar încă nu doresc să se pronunțe definitiv decât în contextul avizului global pe care grupul de lucru îl va emite în acordul final.

(2) A se vedea FAQ 7 cu privire la verificare.

(3) Organismele pentru soluționarea litigiilor nu sunt obligate să respecte principiul punerii în aplicare. De asemenea, ele pot face excepții de la principii în cazurile în care se confruntă cu obligații contradictorii sau primesc autorizări exprese în timpul realizării misiunilor lor specifice.

(4) Circumstanțele în care trebuie aplicate aceste sancțiuni sunt lăsate la aprecierea organismelor de soluționare a litigiilor. Atunci când se stabilește dacă trebuie cerută ștergerea datelor trebuie luat în considerare caracterul sensibil al informațiilor în cauză și trebuie stabilit dacă organizația a colectat, utilizat sau publicat informațiile încălcând în mod manifest principiile.

ANEXA III

Studiu privind punerea în aplicare a principiilor „sferei de siguranță”

Atribuțiile autorităților federale și ale statelor membre ale federației în domeniul practicilor neloiale și frauduloase și protecția vieții private

Prezentul memorandum prezintă o sinteză a atribuțiilor pe care le are Comisia Federală pentru Comerț (FTC) în temeiul articolul 5 din Federal Trade Commission Act (15 U.S.C. §§ 41-58, astfel cum a fost modificat) de a lua măsuri împotriva persoanelor care nu asigură protecția informațiilor cu caracter personal în conformitate cu declarațiile lor și/sau angajamentele luate în acest sens. De asemenea, tratează derogările de la aceste atribuții și posibilitățile de intervenție de care dispun alte agenții federale și ale statelor membre ale federației în cazurile care nu sunt de competența FTC (1).

Competența FTC în domeniul practicilor neloiale sau frauduloase

Articolul 5 din Federal Trade Commission Act declară ca ilegale „actele și practicile neloiale sau frauduloase din domeniul comerțului sau care afectează comerțul” [15 U.S.C. § 45 (a) (1)]. Articolul 5 conferă FTC puteri depline pentru a împiedica asemenea acte și practici [15 U.S.C. § 45 (a) (2)]. În consecință, FTC poate, la finalizarea unei audieri oficiale, să emită o dispoziție de întrerupere și încetare a activității pentru a pune capăt comportamentului infracțional [15 U.S.C. § 45 (b)]. În cazul în care este în interesul public, FTC poate, de asemenea, solicita instanțe federale districtuale din Statele Unite ale Americii emiterea unei dispoziții de încetare temporară a activității sau un ordin judecătoresc temporar sau permanent [15 U.S.C. § 53 (b)]. Atunci când actele sau practicile neloiale sau frauduloase au un caracter sistematic sau în cazul în care FTC a emis deja dispoziții de întrerupere și încetare a activității, aceasta poate adopta dispoziții administrative privind actele sau practicile în cauză [15 U.S.C. § 57 (a)].

Orice persoană care nu se conformează unei ordonanțe FTC este pasibilă de o amendă stabilită prin hotărâre judecătorească civilă de până la 11 000 USD, fiecare zi de continuare a încălcării constituind o încălcare separată (2) [15 U.S.C. § 45 (1)]. De asemenea, orice persoană care încalcă cu bună știință o dispoziție FTC este pasibilă de o amendă de 11 000 USD pentru fiecare încălcare [15 U.S.C. § 45 (m)]. Acțiunile vizând asigurarea aplicării legislației pot fi intentate fie de către Departamentul de Justiție sau, în lipsa acțiunii acestuia, de către FTC (15 U.S.C. § 56).

Competența FTC și protecția vieții private

Atunci când își exercită competențele în temeiul articolului 5, FTC consideră că orice declarație falsă cu privire la motivele pentru care sunt strânse informațiile de la consumatori și la modul în care informațiile vor fi utilizate constituie o practică frauduloasă (3). De exemplu, în 1998 FTC a depus o plângere împotriva societății comerciale GeoCities care, în mod contrar declarațiilor sale și fără o permisiune prealabilă, a divulgat unor terți, în scopuri publicitare, informații strânse pe site-ul său web (4). Reprezentanții FTC au arătat, de asemenea, că strângerea de informații cu caracter personal de la copii, precum și vânzarea și divulgarea acestor informații fără consimțământul părinților, este susceptibilă de a constitui o practică neloială (5).

Într-o scrisoare adresată domnului John Mogg, director general al Comisiei Europene, domnul Pitofsky, președintele FTC, a remarcat că atribuțiile FTC cu privire la protecția vieții private erau limitate în absența unei declarații false (sau în absența oricărei declarații) cu privire la utilizarea ulterioară a informațiilor (A se vedea scrisoarea domnului Pitofsky, președintele FTC, adresată domnului John Mogg la 23 septembrie 1998). Cu toate acestea, întreprinderile care doresc să beneficieze de avantajele „sferei de siguranță” propuse vor trebui să certifice că vor proteja informațiile pe care le strâng în conformitate cu liniile directoare prescrise. În consecință, orice societate comercială care certifică faptul că va garanta confidențialitatea informațiilor și care nu va respecta acest angajament se va face vinovată de declarație falsă și va comite o „practică frauduloasă” în sensul articolului 5.

Competența FTC cuprinde actele și practicile neloiale sau frauduloase „din comerț” și nu acoperă colectarea și utilizarea de informații cu caracter personal în scopuri necomerciale (de exemplu, strângerile de fonduri în scopuri de binefacere) (scrisoarea domnului Pitofsky, p. 3). Cu toate acestea, utilizarea informațiilor cu caracter personal în cadrul oricărei tranzacții comerciale intră în competența FTC. Atunci când un angajator vinde, de exemplu, informații cu caracter personal privind salariații săi unei societăți comerciale de marketing direct, tranzacția intră în domeniul de aplicare al articolului 5.

Derogări prevăzute la articolul 5

Articolul 5 prevede derogări de la competența FTC în materie de acte și practici neloiale sau frauduloase pentru următoarele sectoare de activitate:

— instituțiile financiare, inclusiv băncile, societățile financiare de economii și împrumut și cooperativele de credit;

— societățile de telecomunicații și societățile publice de transport interstatal;

— transportatorii aerieni;

— operatorii din sectorul de ambalare și cei din sectorul zootehnic.

A se vedea 15 U.S.C. § 45 (a) (2). Fiecare derogare și organismele de reglementare care se substituie FTC-ului sunt examinate mai jos.

Instituții financiare (6)

Prima derogare se referă la „bănci, societăți de economii și împrumut în sensul articolului 18 (f) (3) [15 U.S.C. § 57 (a) (f) (3)]” precum și „cooperativele federale de credit în sensul articolului 18 (f) (4) [15 U.S.C. § 57 (a) (f) (4)]” (7). Aceste instituții financiare se supun în schimb dispozițiilor emise de Federal Reserve Board, Office of Thrift Supervision (8) și National Credit Union Administration Board [15 U.S.C. § 57 (a) (f)]. Aceste organe de reglementare au obligația de a adopta dispozițiile necesare pentru a preveni practicile neloiale și frauduloase ale acestor instituții financiare (9) și de a înființa servicii distincte însărcinate să se ocupe de plângerile consumatorilor [15 U.S.C. § 57 (a) (f) (1)]. În sfârșit, competențele de punere în aplicare decurg din articolul 8 din Federal Deposit Insurance Act (12 U.S.C. § 1818) în cazul băncilor și al societăților de economii și împrumut și din articolele 120 și 206 din Federal Credit Union Act în cazul cooperativelor federale de credit [15 U.S.C. §§ 57 (a) (f) (2)-4)].

Deși societățile de asigurări nu sunt în mod expres incluse pe lista derogărilor din articolul 5, legea McCarran-Ferguson (15 U.S.C. § 1011 și urm.) prevede că, în general, reglementarea activităților de asigurare revine fiecărui stat membru al federației în parte (10). Pe lângă aceasta, în temeiul articolului 2 (b) din legea McCarran-Ferguson, nici o lege federală nu poate abroga, modifica sau înlocui reglementarea unui stat membru al federației „decât în cazul în care o astfel de lege se referă în mod expres la activitățile de asigurare” [15 U.S.C. § 1012 (b)]. Cu toate acestea, dispozițiile din legea privind Comisia Federală pentru Comerț se aplică sectorului asigurărilor „în măsura în care această activitate nu este reglementată de către statele membre ale federației” (Idem). Mai trebuie menționat că legea McCarran-Ferguson nu conferă competență statelor membre ale federației decât cu privire la „activitățile de asigurare”. În consecință, FTC rămâne autoritatea competentă, cu titlu supletiv, pentru actele și practicile neloiale sau frauduloase comise de societățile de asigurări în cadrul activităților care nu intră în domeniul asigurărilor. Acestea pot include, de exemplu, vânzarea de către asigurator de informații cu caracter personal cu privire la clienții săi către comercianții direcți de produse din afara sectorului asigurărilor (11).

Transportatorii publici

A doua derogare prevăzută la articolul 5 îi privește pe transportatorii publici „supuși legilor vizând reglementarea comerțului” [15 U.S.C. § 45 (a) (2)]. În acest caz, „legile vizând reglementarea comerțului” corespund subtitlului IV din titlul 49 din United States Code și Communications Act din 1934 (47 U.S.C. § 151 și urm.) [15 U.S.C. § 44].

Subtitlul IV din titlul 49 din U.S.C. (transportul interstatal) include transportatorii pe cale ferată, rutieră și navigabilă, brokerii, comisionarii de transport și transportatorii prin conducte (49 U.S.C. § 10101 și urm.). Acești transportatori publici sunt supuși reglementărilor emise de Surface Transportation Board, un organism independent din cadrul Departamentului Transporturilor (49 U.S.C. §§ 10501, 13501 și 15301). În toate cazurile, transportatorului i se interzice divulgarea de informații cu privire la natura, destinația și alte aspecte ale încărcăturii sale care ar putea fi utilizate în detrimentul expeditorului (49 U.S.C. §§ 11904, 14908 și 16103). Trebuie observat că aceste dispoziții se referă la informații privind încărcătura expeditorului și nu privesc datele cu caracter personal referitoare la expeditor și care nu au legătură cu mărfurile expediate.

Communications Act prevede că reglementarea „comerțului interstatal și internațional cu comunicații prin cablu și prin radio” revine Federal Communications Commission (FCC) (47 U.S.C. §§ 151 și 152). Pe lângă întreprinderilor de telecomunicații publice, această lege se aplică și altor întreprinderi precum teledifuzorii, radiodifuzorii și furnizorii de servicii prin cablu, care nu sunt transportatori publici și care nu îndeplinesc condițiile cerute pentru a beneficia de derogarea prevăzută la articolul 5 din FTC Act. În consecință, FTC are competența de a investiga aceste societăți comerciale pentru practici neloiale și frauduloase, în timp ce FCC are o competență concurentă care îi permite să exercite atribuții independente în acest domeniu, după cum este descris mai jos.

În temeiul Communications Act, „orice societate de telecomunicații”, inclusiv societățile comerciale locale, are datoria de a proteja confidențialitatea informațiilor exclusive cu privire la clienți (12) [47 U.S.C. § 222 (a)]. Pe lângă această dispoziție generală privind protecția vieții private, Communications Act a fost modificat de Cable Communications Policy Act din 1984 (denumit în continuare Cable Act) (47 U.S.C. § 521 și urm.), astfel încât să prevadă în mod clar că operatorii de servicii prin cablu trebuie să protejeze confidențialitatea „informațiilor identificabile personal” cu privire la abonații serviciilor prin cablu (47 U.S.C. § 551) (13). Cable Act limitează colectarea de informații cu caracter personal de către operatorii de servicii prin cablu și îi obligă pe aceștia din urmă să informeze abonații cu privire la natura și la utilizarea ulterioară a informațiilor colectate. Cable Act dă abonaților dreptul de acces la informațiile despre ei și îi obligă pe operatorii de servicii prin cablu să distrugă aceste informații atunci când nu le mai sunt necesare.

Communications Act acordă FCC competență pentru punerea în aplicare – din proprie inițiativă sau ca răspuns la o plângere din exterior – a acestor două dispoziții privind confidențialitatea (14) (47 U.S.C. §§ 205, 403; § 208). În cazul în care FCC stabilește că o societate de telecomunicații (inclusiv un operator de servicii prin cablu) a încălcat normele privind protecția vieții private menționate la articolele 222 și 551, acesta poate lua trei măsuri diferite. În primul rând, în urma unei audieri și după ce încălcarea dispozițiilor a fost constatată, FCC poate ordona transportatorului să plătească daune-interese (15) (47 U.S.C. § 209). Alternativ, FCC poate emite o ordonanță de încetare împotriva transportatorului, pentru ca acesta să înceteze practica sau omisiunea incriminată [47 U.S.C. § 205 (a)]. În sfârșit, FCC poate, de asemenea, ordona transportatorului contravenient să „se conformeze și să respecte orice reglementare sau practică” pe care ar putea-o prescrie FCC (Idem).

Persoanele private care consideră că o societate de telecomunicații sau un operator de servicii prin cablu a încălcat dispozițiile corespondente din Communications Act sau din Cable Act pot fie să depună o plângere la FCC, fie să sesizeze o instanță federal districtuală (47 U.S.C. § 207). Reclamanții care au câștig de cauză într-o acțiune intentată în fața unei i