REGULAMENTUL DE PUNERE ÎN APLICARE (UE) 2021/1772 AL COMISIEI

din 28 iunie 2021

în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii și Irlandei de Nord

[notificată cu numărul C(2021) 4800]

(Text cu relevanță pentru SEE)

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (1), în special articolul 45 alineatul (3),

întrucât:

1. INTRODUCERE

(1) Regulamentul (UE) 2016/679 stabilește normele pentru transferul de date cu caracter personal de la operatori sau persoane împuternicite de către operatori din Uniunea Europeană către țări terțe și organizații internaționale, în măsura în care astfel de transferuri intră în domeniul său de aplicare. Normele privind transferurile internaționale de date sunt prevăzute în capitolul V din regulamentul menționat, mai precis la articolele 44-50. Deși fluxul de date cu caracter personal către și dinspre țări situate în afara Uniunii Europene este esențial pentru dezvoltarea cooperării internaționale și a comerțului transfrontalier, nivelul de protecție conferit datelor cu caracter personal din Uniunea Europeană nu trebuie să fie subminat de transferurile către țări terțe (2).

(2) În temeiul articolului 45 alineatul (3) din Regulamentul (UE) 2016/679, Comisia poate decide, prin intermediul unui act de punere în aplicare, că o țară terță, un teritoriu sau unul ori mai multe sectoare specificate dintr-o țară terță sau o organizație internațională asigură un nivel de protecție adecvat. În astfel de condiții, transferurile de date cu caracter personal către o țară terță pot avea loc fără a fi necesar să se obțină autorizări suplimentare, astfel cum se prevede la articolul 45 alineatul (1) și în considerentul 103 din regulamentul menționat.

(3) În conformitate cu articolul 45 alineatul (2) din Regulamentul (UE) 2016/679, adoptarea unei decizii privind caracterul adecvat al nivelului de protecție trebuie să se bazeze pe o analiză cuprinzătoare a ordinii juridice a țării terțe, în ceea ce privește atât normele aplicabile importatorilor de date, cât și limitările și garanțiile referitoare la accesul autorităților publice la datele cu caracter personal. În evaluare, Comisia trebuie să stabilească dacă țara terță în cauză garantează un nivel de protecție „echivalent în esență” cu cel garantat în cadrul Uniunii Europene [considerentul 104 din Regulamentul (UE) 2016/679]. Standardul în raport cu care este evaluată „echivalența substanțială” este cel stabilit de legislația Uniunii Europene, în special de Regulamentul (UE) 2016/679, precum și de jurisprudența Curții de Justiție a Uniunii Europene (3). Criteriile de referință privind caracterul adecvat al nivelului de protecție ale Comitetului european pentru protecția datelor (CEPD) sunt, de asemenea, importante în această privință (4).

(4) Conform clarificărilor aduse de Curtea de Justiție a Uniunii Europene, aceasta nu necesită găsirea unui nivel identic de protecție (5). În special, mijloacele la care țara terță în cauză recurge pentru protecția datelor cu caracter personal pot fi diferite de cele utilizate în cadrul Uniunii Europene, cu condiția ca acestea să se dovedească, în practică, eficace pentru asigurarea unui nivel adecvat de protecție (6). Prin urmare, standardul caracterului adecvat nu necesită o reproducere punct cu punct a normelor Uniunii. Mai curând, testul constă în a stabili dacă, prin esența drepturilor în materie de protecție a datelor și punerea în aplicare efectivă, supravegherea și exercitarea acestora, sistemul străin în cauză, în ansamblul său, oferă nivelul de protecție necesar (7).

(5) Comisia a analizat cu atenție legislația și practica din Regatul Unit al Marii Britanii și Irlandei de Nord. Pe baza constatărilor prezentate în considerentele 8-270, Comisia concluzionează că Regatul Unit asigură un nivel adecvat de protecție pentru datele cu caracter personal care intră în domeniul de aplicare al Regulamentului (UE) 2016/679, transferate din Uniunea Europeană către Regatul Unit.

(6) Această concluzie nu se referă la datele cu caracter personal transferate în scopul controlului imigrației în Regatul Unit sau care intră în domeniul de aplicare al derogării de la anumite drepturi ale persoanelor vizate în scopul menținerii unui control eficace al imigrației („derogarea în materie de imigrație”) în temeiul punctului 4 alineatul (1) din anexa 2 la Legea Regatului Unit privind protecția datelor. Validitatea și interpretarea derogării în materie de imigrație în temeiul legislației Regatului Unit nu sunt soluționate în urma unei hotărâri a Curții de Apel din Regatul Unit din 26 mai 2021. Deși recunoaște că, în principiu, drepturile persoanelor vizate pot fi restricționate în scopul controlului imigrației ca și „aspect important al interesului public”, Curtea de Apel a constatat că derogarea în materie de imigrație este, în forma sa actuală, incompatibilă cu legislația Regatului Unit, deoarece măsura legislativă nu conține dispoziții specifice care să stabilească garanțiile enumerate la articolul 23 alineatul (2) din Regulamentul general al Regatului Unit privind protecția datelor (RGPD al Regatului Unit) (8). În aceste condiții, transferurile de date cu caracter personal din Uniune către Regatul Unit cărora li se poate aplica derogarea în materie de imigrație ar trebui excluse din domeniul de aplicare al prezentei decizii (9). Odată ce este remediată incompatibilitatea cu legislația Regatului Unit, derogarea în materie de imigrație ar trebui reevaluată, precum și necesitatea de a menține limitarea domeniului de aplicare al prezentei decizii.

(7) Prezenta decizie nu ar trebui să aducă atingere aplicării directe a Regulamentului (UE) 2016/679 în cazul organizațiilor stabilite în Regatul Unit în cazul în care sunt îndeplinite condițiile privind domeniul de aplicare teritorial al regulamentului respectiv, astfel cum se prevede la articolul 3.

2. NORMELE APLICABILE PRELUCRĂRII DATELOR CU CARACTER PERSONAL

2.1. Cadrul constituțional

(8) Regatul Unit este o democrație parlamentară care are un suveran constituțional în calitate de șef de stat. Acesta are un parlament suveran, care exercită o autoritate supremă asupra tuturor celorlalte instituții guvernamentale, un executiv ai cărui membri provin din parlament și care este responsabil în fața acestuia, precum și un sistem judiciar independent. Executivul își bazează autoritatea pe capacitatea sa de a atrage încrederea Camerei Comunelor alese și răspunde în fața ambelor camere ale Parlamentului, care sunt responsabile de controlul Guvernului și de dezbaterea și adoptarea legilor.

(9) Parlamentul Regatului Unit a delegat Parlamentului scoțian, Parlamentului Țării Galilor (Senedd Cymru) și Adunării Irlandei de Nord responsabilitatea pentru legiferarea chestiunilor interne din Scoția, Țara Galilor și Irlanda de Nord pe care Parlamentul Regatului Unit nu și le-a rezervat. În timp ce protecția datelor reprezintă o chestiune rezervată, și anume aceeași legislație se aplică în întreaga țară, alte domenii de politică relevante pentru prezenta decizie sunt descentralizate. De exemplu, sistemele de justiție penală, inclusiv poliția, din Scoția și Irlanda de Nord sunt transferate Parlamentului scoțian și, respectiv, Adunării Irlandei de Nord. Regatul Unit nu are o constituție codificată în sensul unui document constitutiv cu vechime. Principiile constituționale au apărut de-a lungul timpului, provenind în special din jurisprudență și din convenție. Valoarea constituțională a anumitor statute, cum ar fi Magna Carta, Declarația drepturilor din 1689 (Bill of Rights 1689) și Legea privind drepturile omului din 1998 (Human Rights Act 1998), a fost recunoscută de instanțe. Drepturile fundamentale ale persoanelor au fost dezvoltate, ca parte a constituției, prin intermediul common law, al acestor statute și al tratatelor internaționale, în special al Convenției europene a drepturilor omului, pe care Regatul Unit a ratificat-o în 1951. În 1987, Regatul Unit a ratificat, de asemenea, Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (Convenția 108) (10).

(10) Legea privind drepturile omului din 1998 încorporează în legislația Regatului Unit drepturile cuprinse în Convenția europeană a drepturilor omului. Legea privind drepturile omului acordă oricărei persoane drepturile și libertățile fundamentale prevăzute la articolele 2-12 și articolul 14 din Convenția europeană a drepturilor omului, la articolele 1, 2 și 3 din Protocolul nr. 1 și la articolul 1 din Protocolul nr. 13, coroborate cu articolele 16, 17 și 18 din convenția menționată. Aceasta include dreptul la respectarea vieții private și de familie (și dreptul la protecția datelor ca parte a acestui drept) și dreptul la un proces echitabil (11). În special, în temeiul articolului 8 din convenția menționată, nu este admis amestecul unei autorități publice în exercitarea dreptului la viață privată decât în măsura în care acest amestec este prevăzut de lege, dacă constituie o măsură care, într-o societate democratică, este necesară pentru securitatea națională, siguranța publică, bunăstarea economică a țării, apărarea ordinii și prevenirea faptelor penale, protecția sănătății sau a moralei, ori protecția drepturilor și libertăților altora.

(11) În conformitate cu Legea privind drepturile omului din 1998, orice acțiune a autorităților publice trebuie să fie compatibilă cu un drept conferit prin convenție (12). În plus, legislația primară și cea secundară trebuie interpretate și puse în aplicare într-un mod compatibil cu drepturile conferite prin convenție (13).

2.2. Cadrul de protecție a datelor din Regatul Unit

(12) Regatul Unit s-a retras din Uniunea Europeană la 31 ianuarie 2020. Pe baza Acordului privind retragerea Regatului Unit al Marii Britanii și Irlandei de Nord din Uniunea Europeană și din Comunitatea Europeană a Energiei Atomice (14), dreptul Uniunii a continuat să se aplice pe teritoriul Regatului Unit pe parcursul perioadei de tranziție până la 31 decembrie 2020. Înainte de retragere și pe parcursul perioadei de tranziție, cadrul legislativ privind protecția datelor cu caracter personal în Regatul Unit consta în legislația relevantă a UE [în special Regulamentul (UE) 2016/679 și Directiva (UE) 2016/680 a Parlamentului European și a Consiliului (15)] și în legislația națională, în special Legea privind protecția datelor din 2018 (DPA din 2018) (16) care prevedea norme de drept intern, în cazul în care erau permise de Regulamentul (UE) 2016/679, care specificau și restricționau aplicarea normelor din Regulamentul (UE) 2016/679, și transpunea Directiva (UE) 2016/680.

(13) Pentru a pregăti retragerea din Uniunea Europeană, Guvernul Regatului Unit a adoptat European Union (Withdrawal) Act 2018 [Legea din 2018 privind Uniunea Europeană (retragere)] (17), care încorporează legislația direct aplicabilă a Uniunii în legislația Regatului Unit (18). Acest așa-numit „drept menținut al Uniunii” include Regulamentul (UE) 2016/679 în întregime (inclusiv considerentele acestuia) (19). Conform actului respectiv, dreptul menținut nemodificat al Uniunii trebuie să fie interpretat de instanțele din Regatul Unit în conformitate cu jurisprudența relevantă a Curții de Justiție a Uniunii Europene și cu principiile generale ale dreptului Uniunii, întrucât acestea produc efecte imediat înainte de încheierea perioadei de tranziție (denumite „jurisprudența menținută a Uniunii” și, respectiv, „principiile generale menținute ale dreptului Uniunii”) (20).

(14) În temeiul Legii din 2018 privind Uniunea Europeană (retragere), miniștrii Regatului Unit au competența de a introduce legislație secundară, prin intermediul instrumentelor statutare, pentru a aduce modificările necesare dreptului menținut al Uniunii Europene ca urmare a retragerii Regatului Unit din Uniunea Europeană. Această competență a fost exercitată prin adoptarea Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 [Regulamentele din 2019 privind protecția datelor, a vieții private și comunicațiile electronice (modificări etc.) (ieșirea din UE)] (Regulamentele DPPEC) (21). Regulamentele DPPEC modifică Regulamentul (UE) 2016/679 astfel cum a fost introdus în legislația Regatului Unit prin Legea din 2018 privind Uniunea Europeană (retragere), prin DPA din 2018 și prin alte acte legislative privind protecția datelor pentru a se potrivi în contextul național (22).

(15) În consecință, cadrul juridic privind protecția datelor cu caracter personal în Regatul Unit după încheierea perioadei de tranziție constă în: — RGPD al Regatului Unit, astfel cum a fost încorporat în legislația Regatului Unit în temeiul Legii din 2018 privind Uniunea Europeană (retragere) și modificat prin Regulamentele DPPEC (23); și — DPA din 2018 (24), astfel cum a fost modificată prin Regulamentele DPPEC.

(16) Întrucât RGPD al Regatului Unit este întemeiat pe legislația UE, normele privind protecția datelor din Regatul Unit reflectă îndeaproape, în numeroase aspecte, normele corespunzătoare aplicabile în cadrul Uniunii Europene.

(17) Pe lângă competențele conferite secretarului de stat prin Legea din 2018 privind Uniunea Europeană (retragere), mai multe dispoziții ale DPA din 2018 conferă secretarului de stat competența de a adopta legislație secundară pentru a modifica anumite dispoziții ale legii sau pentru a prevedea norme suplimentare și adiționale (25). Până în prezent, secretarul de stat și-a exercitat competența în temeiul secțiunii 137 din DPA din 2018 doar pentru a adopta Data Protection (Charges and Information) (Amendment) Regulations 2019 [Regulamentele din 2019 privind protecția datelor (taxe și informații) (modificare)], care stabilesc circumstanțele în care operatorii de date sunt obligați să plătească o taxă anuală autorității independente pentru protecția datelor din Regatul Unit, Information Commissioner (comisarul pentru informații).

(18) În cele din urmă, orientări suplimentare privind legislația Regatului Unit în materie de protecție a datelor sunt furnizate în codurile de bune practici și în alte orientări adoptate de comisarul pentru informații. Deși nu au caracter juridic obligatoriu din punct de vedere formal, aceste orientări au o pondere interpretativă și demonstrează modul în care se aplică legislația privind protecția datelor și în care aceasta este pusă în practică de către comisar. În special, secțiunile 121-125 din DPA din 2018 impun comisarului să elaboreze coduri de bune practici privind schimbul de date, marketingul direct, proiectarea adecvată vârstei, protecția datelor și jurnalismul.

(19) Prin urmare, în structura și componentele sale principale, cadrul juridic al Regatului Unit care se aplică datelor transferate în temeiul prezentei decizii este foarte similar cu cel aplicabil în Uniunea Europeană. Aceasta include faptul că acest cadru nu se bazează numai pe obligațiile prevăzute în dreptul intern, care au fost conturate de dreptul Uniunii, ci și pe obligațiile consacrate în dreptul internațional public, în special prin aderarea Regatului Unit la CEDO și la Convenția 108, precum și prin recunoașterea de către acesta a competenței Curții Europene a Drepturilor Omului. Aceste obligații care decurg din instrumentele internaționale obligatorii din punct de vedere juridic, în special în ceea ce privește protecția datelor cu caracter personal, reprezintă, prin urmare, un element deosebit de important al cadrului juridic evaluat în prezenta decizie.

2.3. Domeniul de aplicare material și teritorial

(20) La fel ca în cazul Regulamentului (UE) 2016/679, RGPD al Regatului Unit se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, sau altor tipuri de prelucrare, în cazul în care datele cu caracter personal fac parte dintr-un sistem de evidență a datelor (26). Definițiile termenilor „date cu caracter personal”, „persoană vizată” și „prelucrarea datelor cu caracter personal” din RGPD al Regatului Unit sunt identice cu cele prevăzute în Regulamentul (UE) 2016/679 (27). În plus, RGPD al Regatului Unit se aplică prelucrării nestructurate manuale a datelor cu caracter personal (28) deținute de anumite autorități publice din Regatul Unit (29), deși secțiunile 24 și 25 din DPA din 2018 nu aplică principiile și drepturile prevăzute în RGPD al Regatului Unit care nu sunt relevante pentru aceste date cu caracter personal. În mod similar cu dispozițiile Regulamentului (UE) 2016/679, RGPD al Regatului Unit nu se aplică prelucrării datelor cu caracter personal efectuate de către o persoană fizică în cursul unei activități exclusiv personale sau domestice (30).

(21) RGPD al Regatului Unit își extinde domeniul de aplicare și la prelucrarea în cursul unei activități care, imediat înainte de încheierea perioadei de tranziție, nu intra în domeniul de aplicare al dreptului Uniunii Europene (de exemplu, securitatea națională) (31) sau se încadra în domeniul de aplicare al titlului 5 capitolul 2 din Tratatul privind Uniunea Europeană (activități din domeniul politicii externe și de securitate comună) (32). La fel ca în sistemul Uniunii Europene, RGPD al Regatului Unit nu se aplică prelucrării datelor cu caracter personal de către o autoritate competentă în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora (așa-numitele „scopuri de asigurare a respectării legii”) – această prelucrare este reglementată, în schimb, de partea 3 din DPA din 2018, așa cum este cazul Directivei (UE) 2016/680 în temeiul dreptului Uniunii Europene – sau prelucrarea datelor cu caracter personal de către serviciile de informații [Security Service (Serviciul de Securitate), Secret Intelligence Service (Serviciul Secret de Informații) și Government Communications Headquarters (Cartierul General pentru Comunicații)], care este reglementată de partea 4 din DPA din 2018 (33).

(22) Domeniul de aplicare teritorial al RGPD al Regatului Unit este descris la articolul 3 din RGPD al Regatului Unit (34) și include prelucrarea datelor cu caracter personal (indiferent de locul în care se desfășoară) în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Regatului Unit, precum și prelucrarea datelor cu caracter personal ale unor persoane vizate care se află în Regatul Unit, în cazul în care activitățile de prelucrare sunt legate de oferirea de bunuri sau servicii unor astfel de persoane vizate sau de monitorizarea comportamentului acestora (35). Aceasta reflectă abordarea adoptată la articolul 3 din Regulamentul (UE) 2016/679.

2.4. Definițiile datelor cu caracter personal și conceptele de operator și persoană împuternicită de operator

(23) Definițiile următorilor termeni: date cu caracter personal, prelucrare, operator, persoană împuternicită de operator și pseudonimizare, prevăzute în Regulamentul (UE) 2016/679, au fost menținute fără modificări substanțiale în RGPD al Regatului Unit (36). În plus, categoriile speciale de date sunt definite la articolul 9 alineatul (1) din RGPD al Regatului Unit în același mod ca în Regulamentul (UE) 2016/679 („originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, afilierea sindicală, prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice sau prelucrarea datelor privind sănătatea sau a datelor privind viața sexuală și orientarea sexuală a unei persoane fizice”). Secțiunea 205 din DPA din 2018 prevede definiția „datelor biometrice” (37), a „datelor privind sănătatea” (38) și a „datelor genetice” (39).

2.5. Garanții, drepturi și obligații

2.5.1. Legalitatea și corectitudinea prelucrării

(24) Datele cu caracter personal ar trebui prelucrate în mod legal și echitabil.

(25) Principiile legalității, echității și transparenței, precum și motivele prelucrării legale sunt garantate în legislația Regatului Unit prin articolul 5 alineatul (1) litera (a) și prin articolul 6 alineatul (1) din RGPD al Regatului Unit, care sunt identice cu dispozițiile corespunzătoare din Regulamentul (UE) 2016/679 (40). Secțiunea 8 din DPA din 2018 completează articolul 6 alineatul (1) litera (e) prin stipularea faptului că prelucrarea datelor cu caracter personal în temeiul articolului 6 alineatul (1) litera (e) din RGPD al Regatului Unit (necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul) include prelucrarea datelor cu caracter personal care este necesară pentru administrarea justiției, exercitarea unei funcții a oricăreia dintre camerele Parlamentului, exercitarea unei funcții conferite unei persoane de o lege sau o normă juridică, exercitarea unei funcții a Coroanei, a unui ministru al Coroanei sau a unui departament guvernamental sau a unei activități care sprijină sau promovează angajamentul democratic.

(26) În ceea ce privește consimțământul (unul dintre motivele prelucrării legale), RGPD al Regatului Unit menține, de asemenea, nemodificate condițiile prevăzute la articolul 7 din Regulamentul (UE) 2016/679, și anume operatorul trebuie să fie în măsură să demonstreze că persoana vizată și-a dat consimțământul, o cerere scrisă privind consimțământul trebuie prezentată utilizând un limbaj clar și simplu, persoana vizată trebuie să aibă dreptul de a-și retrage în orice moment consimțământul, iar atunci când se evaluează dacă consimțământul este dat în mod liber, ar trebui să se țină seama de faptul că executarea unui contract este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract. În plus, în temeiul articolului 8 din RGPD al Regatului Unit, în contextul furnizării de servicii ale societății informaționale, consimțământul unui copil este legal numai atunci când copilul are o vârstă de cel puțin 13 ani. Aceasta se încadrează în categoria de vârstă stabilită la articolul 8 din Regulamentul (UE) 2016/679.

2.5.2. Prelucrarea de categorii speciale de date cu caracter personal

(27) Ar trebui să existe garanții specifice în cazul în care sunt prelucrate „categorii speciale” de date.

(28) RGPD al Regatului Unit și DPA din 2018 conțin norme specifice în ceea ce privește prelucrarea categoriilor speciale de date cu caracter personal, care sunt definite la articolul 9 alineatul (1) din RGPD al Regatului Unit în același mod ca în Regulamentul (UE) 2016/679 (a se vedea considerentul 23). În conformitate cu articolul 9 din RGPD al Regatului Unit, prelucrarea categoriilor speciale de date este, în principiu, interzisă, cu excepția cazului în care se aplică o excepție specifică.

(29) Aceste excepții [enumerate la articolul 9 alineatele (2) și (3) din RGPD al Regatului Unit] nu aduc nicio modificare de substanță celor de la articolul 9 alineatele (2) și (3) din Regulamentul (UE) 2016/679. Cu excepția cazului în care persoana vizată și-a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal, prelucrarea unor categorii speciale de date cu caracter personal este permisă numai în circumstanțe specifice și limitate. În majoritatea cazurilor, prelucrarea datelor sensibile trebuie să fie necesară pentru un scop specific definit în dispoziția relevantă [a se vedea articolul 9 alineatul (2) literele (b), (c), (f), (g), (h), (i) și (j)].

(30) În plus, în cazul în care o excepție în temeiul articolului 9 alineatul (2) din RGPD al Regatului Unit impune o autorizare prin lege sau se referă la interesul public, secțiunea 10 din DPA din 2018, împreună cu anexa 1 la DPA din 2018, precizează condițiile care trebuie îndeplinite pentru ca excepțiile să fie invocate. De exemplu, în cazul prelucrării datelor sensibile în scopul protejării „sănătății publice” [articolul 9 alineatul 2 litera (i) din RGPD al Regatului Unit], anexa 1 partea 1 punctul 3 litera (b) impune ca, pe lângă testul necesității, o astfel de prelucrare să fie efectuată „de către sau sub responsabilitatea unui cadru medical” sau „de către o altă persoană care are obligația de a păstra confidențialitatea în temeiul unei legi sau a unei norme juridice”, inclusiv în temeiul obligației bine stabilite de common law privind confidențialitatea.

(31) În cazul în care datele sensibile sunt prelucrate din motive de interes public major [articolul 9 alineatul (2) litera (g) din RGPD al Regatului Unit], partea 2 din anexa 1 la DPA din 2018 prevede o listă exhaustivă a scopurilor care pot fi considerate de interes public major și, pentru fiecare dintre aceste scopuri, stabilește condiții suplimentare specifice. De exemplu, promovarea diversității rasiale și etnice la nivelurile superioare ale organizațiilor este recunoscută ca fiind un interes public major. Prelucrarea datelor sensibile în acest scop specific face obiectul unor cerințe detaliate, inclusiv cerința ca prelucrarea să fie efectuată în cadrul unui proces de identificare a persoanelor potrivite pentru a deține funcții de conducere, să fie necesară pentru promovarea diversității rasiale și etnice și să nu fie susceptibilă de a cauza prejudicii sau suferințe clinice substanțiale persoanei vizate.

(32) Secțiunea 11 punctul 1 din DPA din 2018 stabilește condițiile pentru prelucrarea datelor cu caracter personal în circumstanțele descrise la articolul 9 alineatul (3) din RGPD al Regatului Unit în ceea ce privește obligația de păstrare a confidențialității. Aceasta include circumstanțele în care este efectuată de către sau sub responsabilitatea unui cadru medical sau a unui profesionist din domeniul asistenței sociale sau de către o altă persoană care, în circumstanțele respective, are obligația de păstrare a confidențialității în temeiul unei legi sau al unei norme juridice.

(33) În plus, multe dintre excepțiile enumerate la articolul 9 alineatul (2) din RGPD al Regatului Unit impun garanții adecvate și specifice pentru a fi utilizate. În funcție de natura prelucrării și de nivelul de risc pentru drepturile și libertățile persoanelor vizate, condițiile de prelucrare prevăzute în anexa 1 la DPA din 2018 stabilesc garanții diferite. Anexa 1 stabilește, pe rând, condițiile pentru fiecare situație de prelucrare.

(34) În unele cazuri, DPA din 2018 reglementează și limitează tipul de date sensibile care pot fi prelucrate pentru ca un anumit temei juridic să fie respectat. De exemplu, punctul 8 din anexa 1 autorizează prelucrarea datelor sensibile în scopul promovării egalității de șanse sau de tratament. Această condiție de prelucrare poate fi utilizată numai dacă datele dezvăluie originea rasială sau etnică, convingerile religioase sau filozofice, orientarea sexuală sau dacă este vorba despre date privind sănătatea.

(35) În unele cazuri, DPA din 2018 limitează tipul de operator care poate utiliza condiția de prelucrare. De exemplu, punctul 23 din anexa 1 prevede prelucrarea datelor sensibile în ceea ce privește răspunsurile reprezentanților aleși către public. Această condiție de prelucrare poate fi utilizată numai în cazul în care operatorul este reprezentantul ales sau acționează sub autoritatea acestuia.

(36) În alte cazuri, DPA din 2018 stabilește limite privind categoriile de persoane vizate pentru condiția de prelucrare care urmează să fie utilizată. De exemplu, punctul 21 din anexa 1 reglementează prelucrarea datelor sensibile pentru sistemele de pensii ocupaționale. Această condiție poate fi utilizată numai în cazul în care persoanele vizate în cauză sunt frați/surori, părinți, bunici sau străbunici ai membrului afiliat.

(37) În plus, atunci când se bazează pe excepțiile prevăzute la articolul 9 alineatul (2) din RGPD al Regatului Unit, care sunt specificate mai detaliat în secțiunea 10 din DPA din 2018, împreună cu anexa 1 la DPA din 2018, operatorul trebuie să elaboreze, în majoritatea cazurilor, un „document de politică adecvat”. Acesta trebuie să prezinte procedurile operatorului de asigurare a conformității cu principiile prevăzute la articolul 5 din RGPD al Regatului Unit. Acesta trebuie, de asemenea, să stabilească politici de păstrare și ștergere, cu indicarea perioadei probabile de stocare. Operatorii trebuie să revizuiască și să actualizeze acest document, după caz. Operatorul trebuie să păstreze documentul de politică pentru o perioadă de șase luni de la finalizarea prelucrării și, la cerere, să îl pună la dispoziția comisarului pentru informații (41).

(38) În temeiul punctului 41 din anexa 1 la DPA din 2018, documentul de politică trebuie să fie întotdeauna însoțit de o înregistrare suplimentară a prelucrării. Această înregistrare trebuie să urmărească angajamentele incluse în documentul de politică, și anume dacă datele sunt șterse sau menținute în conformitate cu politicile. În cazul în care politicile nu au fost respectate, motivele trebuie să se înregistreze în registru. Înregistrarea trebuie să descrie, de asemenea, modul în care prelucrarea respectă articolul 6 din RGPD al Regatului Unit (legalitatea prelucrării) și condiția specifică din anexa 1 la DPA din 2018 invocată.

(39) În cele din urmă, la fel ca Regulamentul (UE) 2016/679, RGPD al Regatului Unit prevede, de asemenea, garanții generale pentru anumite operațiuni de prelucrare a unor categorii speciale de date. Articolul 35 din RGPD al Regatului Unit prevede efectuarea unei evaluări a impactului asupra protecției datelor în cazul în care categorii speciale de date sunt prelucrate pe scară largă. În temeiul articolului 37 din RGPD al Regatului Unit, un operator sau o persoană împuternicită de operator trebuie să desemneze un responsabil cu protecția datelor în cazul în care activitățile sale principale constau în prelucrarea pe scară largă a unor categorii speciale de date.

(40) În ceea ce privește datele cu caracter personal referitoare la condamnări penale și infracțiuni, articolul 10 din RGPD al Regatului Unit este identic cu articolul 10 din Regulamentul (UE) 2016/679. Acesta permite prelucrarea de date cu caracter personal referitoare la condamnări penale și infracțiuni numai sub controlul unei autorități de stat sau atunci când prelucrarea este autorizată de dreptul intern care prevede garanții adecvate pentru drepturile și libertățile persoanelor vizate.

(41) În cazul în care prelucrarea datelor referitoare la condamnări penale și infracțiuni nu se efectuează sub controlul unei autorități de stat, secțiunea 10 punctul 5 din DPA din 2018 prevede că o astfel de prelucrare poate avea loc numai în scopurile specifice/în situațiile specifice prevăzute în părțile 1, 2 și 3 din anexa 1 la DPA din 2018 și face obiectul cerințelor specifice care sunt stabilite pentru fiecare dintre aceste scopuri/situații. De exemplu, datele privind condamnările penale pot fi prelucrate de organisme fără scop lucrativ dacă prelucrarea este efectuată: (a) în cadrul activităților lor legitime și cu garanții adecvate de către o fundație, o asociație sau un alt organism fără scop lucrativ și cu specific politic, filozofic, religios sau sindical; și (b) cu condiția ca: (i) prelucrarea să se refere numai la membrii sau la foștii membri ai organismului sau la persoane cu care acesta are contacte permanente în legătură cu scopurile sale; și (ii) ca datele cu caracter personal să nu fie comunicate terților fără consimțământul persoanelor vizate.

(42) În plus, partea 3 din anexa 1 la DPA din 2018 stabilește circumstanțele suplimentare în care pot fi utilizate date privind condamnările penale care corespund temeiurilor juridice pentru prelucrarea datelor sensibile de la articolul 9 alineatul (2) din Regulamentul (UE) 2016/679 și din RGPD al Regatului Unit (de exemplu, consimțământul persoanei vizate, interesele vitale ale unei persoane în cazul în care persoana vizată se află în imposibilitatea legală sau fizică de a-și da consimțământul, dacă datele au fost deja făcute publice în mod evident de către persoana vizată, dacă prelucrarea este necesară pentru stabilirea, exercitarea sau apărarea unui drept în instanță etc.).

2.5.3. Limitări legate de scop, exactitate, reducerea la minimum a datelor, limitări legate de stocare și securitatea datelor

(43) Datele cu caracter personal ar trebui să fie prelucrate într-un scop anume și să fie utilizate ulterior numai în măsura în care acest lucru nu este incompatibil cu scopul prelucrării.

(44) Acest principiu este prevăzut la articolul 5 alineatul (1) litera (b) din Regulamentul (UE) 2016/679 și a fost menținut fără modificări la articolul 5 alineatul (1) litera (b) din RGPD al Regatului Unit. Condițiile privind prelucrarea compatibilă ulterioară în temeiul articolului 6 alineatul (4) din Regulamentul (UE) 2016/679 au fost, de asemenea, menținute fără modificări semnificative la articolul 6 alineatul (4) literele (a)-(e) din RGPD al Regatului Unit.

(45) În plus, datele ar trebui să fie exacte și, dacă este necesar, actualizate. De asemenea, ar trebui să fie adecvate, relevante și neexcesive în raport cu scopurile în care sunt prelucrate și, în principiu, păstrate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele cu caracter personal.

(46) Aceste principii privind reducerea la minimum a datelor, exactitatea și limitările legate de stocare sunt prevăzute la articolul 5 alineatul (1) literele (c)-(e) din Regulamentul (UE) 2016/679 și sunt menținute fără modificări la articolul 5 alineatul (1) literele (c)-(e) din RGPD al Regatului Unit.

(47) Datele cu caracter personal ar trebui prelucrate într-un mod care să le asigure securitatea, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale. În acest scop, operatorii economici ar trebui să ia măsurile tehnice sau organizatorice adecvate pentru a proteja datele cu caracter personal împotriva eventualelor amenințări. Aceste măsuri ar trebui să fie evaluate luând în considerare cunoștințele actuale și costurile aferente.

(48) Securitatea datelor este consacrată în legislația Regatului Unit prin principiul integrității și confidențialității prevăzut la articolul 5 alineatul (1) litera (f) din RGPD al Regatului Unit și la articolul 32 din RGPD al Regatului Unit privind securitatea prelucrării. Dispozițiile menționate sunt identice cu dispozițiile corespunzătoare din Regulamentul (UE) 2016/679. În plus, în aceleași condiții ca cele prevăzute la articolele 33 și 34 din Regulamentul (UE) 2016/679, RGPD al Regatului Unit prevede notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal (articolul 33 din RGPD al Regatului Unit) și informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal (articolul 34 din RGPD al Regatului Unit).

2.5.4. Transparența

(49) Persoanele vizate ar trebui să fie informate cu privire la principalele caracteristici ale prelucrării datelor lor cu caracter personal.

(50) Acest lucru este garantat prin articolele 13 și 14 din RGPD al Regatului Unit, care, pe lângă un principiu general al transparenței, prevăd norme privind informațiile care trebuie furnizate persoanei vizate (42). RGPD al Regatului Unit nu introduce nicio modificare substanțială a acestor norme în comparație cu articolele corespunzătoare din Regulamentul (UE) 2016/679. Cu toate acestea, la fel ca în Regulamentul (UE) 2016/679, cerințele de transparență prevăzute la articolele respective fac obiectul mai multor excepții prevăzute în DPA din 2018 (a se vedea considerentele 55-72).

2.5.5. Drepturi individuale

(51) Persoanele vizate ar trebui să aibă anumite drepturi care pot fi impuse operatorului sau persoanei împuternicite de operator, în special dreptul de acces la date, dreptul de a se opune prelucrării și dreptul la rectificarea și ștergerea datelor. În același timp, aceste drepturi pot face obiectul unor restricții, în măsura în care aceste restricții sunt necesare și proporționale pentru a proteja securitatea publică sau alte obiective importante de interes public general.

2.5.5.1. Drepturi materiale

(52) RGPD al Regatului Unit acordă persoanelor aceleași drepturi opozabile ca Regulamentul (UE) 2016/679. Dispozițiile care prevăd drepturile persoanelor au fost menținute în RGPD al Regatului Unit fără modificări semnificative.

(53) Drepturile includ dreptul de acces al persoanei vizate (articolul 15 din RGPD al Regatului Unit), dreptul la rectificare (articolul 16 din RGPD al Regatului Unit), dreptul la ștergerea datelor (articolul 17 din RGPD al Regatului Unit), dreptul la restricționarea prelucrării (articolul 18 din RGPD al Regatului Unit), o obligație de notificare privind rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării (articolul 19 din RGPD al Regatului Unit), dreptul la portabilitatea datelor (articolul 20 din RGPD al Regatului Unit) și dreptul la opoziție (articolul 21 din RGPD al Regatului Unit) (43). Acesta din urmă include, de asemenea, dreptul unei persoane vizate de a se opune prelucrării datelor cu caracter personal în scopul marketingului direct prevăzut la articolul 21 alineatele (2) și (3) din Regulamentul (UE) 2016/679. În plus, în temeiul secțiunii 122 din DPA din 2018, comisarul pentru informații trebuie să elaboreze un cod de bune practici în ceea ce privește realizarea marketingului direct în conformitate cu cerințele legislației privind protecția datelor [și cu Privacy and Electronic Communications (EC Directive) Regulations 2003 – Regulamentele din 2003 privind confidențialitatea și comunicațiile electronice (Directiva CE)], precum și alte orientări pentru promovarea bunelor practici în materie de marketing direct pe care comisarul le consideră adecvate. Biroul comisarului pentru informații elaborează în prezent codul de marketing direct (44).

(54) Dreptul persoanei vizate de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, care produce efecte juridice care privesc persoana vizată sau o afectează în mod similar într-o măsură semnificativă, astfel cum se prevede la articolul 22 din RGPD, a fost, de asemenea, menținut în RGPD al Regatului Unit fără modificări substanțiale. Cu toate acestea, a fost adăugat un nou alineat (3A) pentru a menționa că secțiunea 14 din DPA din 2018 stabilește garanții pentru drepturile, libertățile și interesele legitime ale persoanelor vizate atunci când prelucrarea este efectuată în temeiul articolului 22 alineatul (2) litera (b) din RGPD al Regatului Unit. Acesta se aplică numai atunci când temeiul unei astfel de decizii este o autorizație sau o cerință în temeiul legislației Regatului Unit și nu se aplică în cazul în care decizia este necesară în temeiul unui contract sau este luată cu consimțământul explicit al persoanei vizate. În cazul în care se aplică secțiunea 14 din DPA din 2018, operatorul trebuie să notifice în scris persoanei vizate, cât mai curând posibil din punct de vedere practic, că a fost luată o decizie bazată exclusiv pe prelucrarea automată. Persoana vizată are dreptul de a solicita operatorului – în termen de o lună de la primirea notificării – să reexamineze decizia sau să ia o nouă decizie care nu se bazează exclusiv pe prelucrarea automată. Secretarul de stat este împuternicit să adopte garanții suplimentare în ceea ce privește procesul decizional automatizat. Această competență nu a fost încă exercitată.

2.5.5.2. Restricții privind drepturile individuale și alte dispoziții

(55) DPA din 2018 stabilește o serie de restricții privind drepturile individuale, în conformitate cu articolul 23 din RGPD al Regatului Unit. În acest cadru nu sunt introduse restricții în ceea ce privește dreptul de a se opune marketingului direct, astfel cum se prevede la articolul 21 alineatele (2) și (3) din RGPD al Regatului Unit, sau dreptul de a nu face obiectul procesului decizional automatizat, astfel cum se prevede la articolul 22 din RGPD al Regatului Unit.

(56) Restricțiile sunt detaliate în anexele 2-4 la DPA din 2018. Autoritățile Regatului Unit au explicat că sunt ghidate de două principii: principiul specificității (adoptarea unei abordări granulare, împărțirea restricțiilor ample în dispoziții multiple, mai specifice) și principiul condiționalității (fiecare dispoziție este completată de garanții sub formă de limitări sau condiții pentru a preveni abuzurile) (45).

(57) Restricțiile descrise la articolul 23 alineatul (1) din RGPD al Regatului Unit sunt menite să garanteze că acestea se aplică numai în circumstanțe specifice, atunci când acest lucru este necesar într-o societate democratică și proporțional cu obiectivul legitim pe care îl urmăresc. În plus, în conformitate cu jurisprudența constantă privind interpretarea restricțiilor, o derogare de la regimul de protecție a datelor poate fi aplicată în orice caz particular numai dacă acest lucru este necesar și proporțional (46). Testul necesității a trebuit să fie „strict, impunând ca orice ingerință în drepturile persoanei vizate să fie proporțională cu gravitatea amenințării la adresa interesului public. Prin urmare, exercițiul implică o analiză clasică a proporționalității (47)”.

(58) Obiectivele urmărite de aceste restricții corespund celor enumerate la articolul 23 din Regulamentul (UE) 2016/679, cu excepția restricțiilor privind apărarea și securitatea națională, care sunt reglementate în schimb de secțiunea 26 din DPA din 2018, dar fac obiectul acelorași cerințe de necesitate și proporționalitate (a se vedea considerentele 63-66).

(59) Unele dintre restricții, de exemplu cele legate de prevenirea sau depistarea infracțiunilor, de arestarea sau urmărirea penală a infractorilor, precum și de stabilirea sau colectarea impozitelor sau a taxelor (48), permit restricționarea tuturor drepturilor individuale și a obligațiilor în materie de transparență [cu excepția drepturilor prevăzute la articolul 21 alineatul (2) și la articolul 22]. Domeniul de aplicare al altor restricții se limitează la obligațiile de transparență și la drepturile de acces, cum ar fi restricțiile referitoare la secretul profesional al avocatului (49), la dreptul de a nu fi supus obligației de a furniza informații care ar conduce la autoincriminare (50), precum și la finanțarea întreprinderilor, în special la prevenirea utilizării abuzive a informațiilor privilegiate (51). Puține dintre restricții permit o limitare a obligației operatorului de a informa o persoană vizată cu privire la încălcarea securității datelor și a principiilor limitărilor legate de scop, legalității, echității și transparenței prelucrării (52).

(60) Unele restricții se aplică automat „integral” unui anumit tip de prelucrare a datelor cu caracter personal (de exemplu, aplicarea obligațiilor de transparență și a drepturilor individuale este exclusă în cazul în care datele cu caracter personal sunt prelucrate în scopul evaluării capacității unei persoane de a ocupa o funcție judiciară sau atunci când datele cu caracter personal sunt prelucrate de către o instanță judecătorească, un tribunal sau o persoană care acționează în exercițiul unei funcții judiciare).

(61) Cu toate acestea, în majoritatea cazurilor, punctul relevant din anexa 2 la DPA din 2018 precizează că restricția se aplică numai în cazul în care (și în măsura în care) aplicarea dispozițiilor „ar putea aduce atingere” obiectivului legitim urmărit de restricția respectivă: de exemplu, dispozițiile enumerate din RGPD al Regatului Unit nu se aplică datelor cu caracter personal prelucrate în scopul prevenirii sau depistării infracțiunilor, al arestării sau urmăririi penale a infractorilor sau al stabilirii sau colectării impozitelor sau a taxelor „în măsura în care aplicarea dispozițiilor respective ar putea aduce atingere” oricăruia dintre aceste aspecte (53).

(62) Standardul referitor la „ar putea aduce atingere” a fost interpretat în mod consecvent de instanțele din Regatul Unit ca însemnând „o probabilitate foarte semnificativă și hotărâtoare de a aduce atingere intereselor publice identificate” (54). Prin urmare, o restricție care face obiectul testului prejudiciului poate fi invocată numai dacă și în măsura în care există o șansă semnificativă ca acordarea unui anumit drept să aducă atingere interesului public în cauză. Operatorul este responsabil de evaluarea de la caz la caz a îndeplinirii acestor condiții (55).

(63) Pe lângă restricțiile cuprinse în anexa 2 la DPA din 2018, secțiunea 26 din DPA din 2018 prevede o derogare care poate fi aplicată anumitor dispoziții din RGPD al Regatului Unit și din DPA din 2018 dacă derogarea respectivă este necesară în scopul protejării securității naționale sau în scopuri de apărare. Această derogare se aplică principiilor privind protecția datelor (cu excepția principiului legalității), obligațiilor în materie de transparență, drepturilor persoanei vizate, obligației de a notifica o încălcare a securității datelor, normelor privind transferurile internaționale, unora dintre sarcinile și competențele comisarului pentru informații și normelor privind căile de atac, răspunderile și sancțiunile, cu excepția dispoziției privind condițiile generale pentru impunerea amenzilor administrative prevăzute la articolul 83 din RGPD al Regatului Unit și a dispoziției privind sancțiunile de la articolul 84 din RGPD al Regatului Unit. În plus, secțiunea 28 din DPA din 2018 modifică aplicarea articolului 9 alineatul (1) pentru a permite prelucrarea categoriilor speciale de date de la articolul 9 alineatul (1) din RGPD al Regatului Unit, în măsura în care prelucrarea este efectuată pentru apărarea securității naționale sau în scopuri de apărare, precum și cu garanții adecvate pentru drepturile și libertățile persoanelor vizate (56).

(64) Derogarea poate fi aplicată numai în măsura în care este necesară pentru a proteja securitatea națională sau apărarea. La fel ca și în cazul celorlalte derogări prevăzute de DPA din 2018, aceasta trebuie luată în considerare și invocată de operator de la caz la caz. În plus, orice aplicare a derogării trebuie să fie în conformitate cu standardele privind drepturile omului (bazate pe Legea privind drepturile omului din 1998), conform cărora orice ingerință în viața privată ar trebui să fie necesară și proporțională într-o societate democratică (57).

(65) Această interpretare a derogării este confirmată de ICO care a emis orientări detaliate privind aplicarea derogării în materie de securitate națională și apărare, clarificând faptul că aceasta trebuie luată în considerare și aplicată de către operator de la caz la caz (58). În special, orientările subliniază că „aceasta nu este o derogare generală” și că, pentru a o invoca, „nu este suficient ca datele să fie prelucrate în scopuri de securitate națională”. În schimb, operatorul care se bazează pe aceasta trebuie „să demonstreze că există o posibilitate reală de a avea un efect negativ asupra securității naționale” și, atunci când este necesar, operatorul trebuie să „furnizeze [ICO] dovezi cu privire la motivele pentru care a utilizat această derogare”. Orientările conțin o listă de verificare și o serie de exemple pentru a clarifica mai bine condițiile în care poate fi invocată această derogare.

(66) Prin urmare, faptul că datele sunt prelucrate în scopuri de securitate națională sau de apărare nu este suficient în sine pentru ca derogarea să fie aplicată. Un operator trebuie să ia în considerare consecințele reale pentru securitatea națională dacă ar trebui să respecte dispoziția specifică privind protecția datelor. Derogarea poate fi aplicată numai acelor dispoziții specifice care au fost identificate ca prezentând riscul respectiv și trebuie să fie aplicată cât mai restrictiv posibil (59).

(67) Această abordare a fost confirmată de Information Tribunal (60). În cauza Baker/Secretary of State for the Home Department („Baker/Secretary of State”), s-a stabilit că este ilegal să se aplice derogarea referitoare la securitatea națională ca derogare generală pentru cererile de acces primite de serviciile de informații. În schimb, derogarea a trebuit să fie aplicată de la caz la caz, analizând fiecare cerere pe fond și având în vedere dreptul persoanelor la respectarea vieții lor private (61).

2.5.6. Restricții privind datele cu caracter personal prelucrate în scopuri jurnalistice, artistice, academice și literare, precum și în scopuri de arhivare și cercetare

(68) Articolul 85 alineatul (2) din RGPD al Regatului Unit permite ca datele cu caracter personal prelucrate în scopuri jurnalistice, artistice, academice și literare să fie exceptate de la aplicarea mai multor dispoziții din RGPD al Regatului Unit. Partea 5 din anexa 2 la DPA din 2018 stabilește derogările pentru prelucrarea în aceste scopuri. Aceasta prevede derogări de la principiile privind protecția datelor (cu excepția principiului integrității și confidențialității), temeiurile juridice pentru prelucrare (inclusiv categoriile speciale de date și date privind condamnări penale etc.), condițiile pentru consimțământ, obligațiile în materie de transparență, drepturile persoanelor vizate, obligația de a notifica încălcarea securității datelor, cerința de a consulta comisarul pentru informații înainte de prelucrarea cu risc ridicat și normele privind transferurile internaționale (62). În această privință, RGPD al Regatului Unit nu se abate în mod substanțial de la Regulamentul (UE) 2016/679 care, la articolul 85, prevede, de asemenea, posibilitatea de a excepta prelucrarea efectuată în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare de la o serie de cerințe ale Regulamentului (UE) 2016/679. Dispozițiile DPA din 2018, în special partea 5 din anexa 2 , sunt compatibile cu RGPD al Regatului Unit.

(69) Principalul exercițiu de echilibru care trebuie efectuat în temeiul articolului 85 din RGPD al Regatului Unit se referă la întrebarea dacă o derogare de la normele de protecție a datelor menționate în considerentul 68 este „necesară pentru a asigura un echilibru între dreptul la protecția datelor cu caracter personal și libertatea de exprimare și de informare” (63). În conformitate cu punctul 26 subpunctele 2 și 3 din anexa 2 la DPA din 2018, Regatul Unit aplică un test al „convingerii rezonabile” pentru a se ajunge la acest echilibru. Pentru ca o derogare să fie justificată, operatorul trebuie să considere în mod rezonabil (i) că publicarea este în interes public; și (ii) aplicarea dispoziției relevante din RGPD ar fi incompatibilă cu scopurile jurnalistice, academice, artistice sau literare. Astfel cum este confirmat de jurisprudență (64), testul „convingerii rezonabile” are atât o componentă subiectivă, cât și una obiectivă: este insuficient ca operatorul să demonstreze că el însuși a considerat conformitatea ca fiind incompatibilă. Convingerea sa trebuie să fie rezonabilă, și anume ar putea fi crezută de o persoană rezonabilă, cunoscând faptele relevante. Prin urmare, pentru a putea demonstra caracterul rezonabil, operatorul trebuie să depună diligența necesară atunci când își formează convingerea. Conform explicațiilor furnizate de autoritățile din Regatul Unit, testul „convingerii rezonabile” trebuie să fie efectuat de la derogare la derogare (65). În cazul în care condițiile sunt îndeplinite, derogarea este considerată necesară și proporțională în temeiul legislației Regatului Unit.

(70) În conformitate cu secțiunea 124 din DPA din 2018, ICO trebuie să elaboreze un cod de bune practici privind protecția datelor și jurnalismul. Lucrările cu privire la acest cod sunt în curs de desfășurare. Au fost emise orientări cu privire la această chestiune în temeiul Legii privind protecția datelor din 1998, care subliniază în special faptul că, pentru a se prevala de această derogare, nu este suficient să se afirme doar că respectarea ar reprezenta un inconvenient pentru activitățile jurnalistice, ci trebuie să existe un argument clar potrivit căruia dispoziția în cauză reprezintă un obstacol în calea jurnalismului responsabil (66). Orientări privind aplicarea testului privind interesul public și asigurarea unui echilibru între interesul public și interesul unei persoane față de viața privată au fost, de asemenea, publicate de autoritatea de reglementare în domeniul telecomunicațiilor din Regatul Unit, OFCOM, și BBC în liniile sale directoare editoriale (67). Liniile directoare oferă în special exemple de informații care pot fi considerate a fi în interesul public și explică necesitatea de a putea demonstra că interesul public prevalează asupra drepturilor la viață privată în circumstanțele specifice ale cazului.

(71) În mod similar cu ceea ce se prevede la articolul 89 din RGPD, datele cu caracter personal prelucrate în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice pot fi, de asemenea, exceptate de la o serie de dispoziții enumerate în RGPD al Regatului Unit (68). În ceea ce privește cercetarea și statisticile, sunt posibile derogări de la dispozițiile RGPD al Regatului Unit referitoare la confirmarea prelucrării, accesul la date și garanții pentru transferurile către țări terțe; dreptul la rectificare; restricționarea prelucrării și opoziția la prelucrare. În ceea ce privește arhivarea în interes public, sunt, de asemenea, posibile derogări de la obligația de notificare privind rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării și de la dreptul la portabilitatea datelor.

(72) În conformitate cu punctul 27 subpunctul 1 și cu punctul 28 subpunctul 1 din anexa 2 la DPA din 2018, derogările de la dispozițiile enumerate din RGPD al Regatului Unit sunt posibile în cazul în care aplicarea dispozițiilor ar „împiedica sau ar afecta în mod grav realizarea” scopurilor în cauză (69).

(73) Având în vedere relevanța acestora pentru exercitarea efectivă a drepturilor individuale, orice evoluție relevantă în ceea ce privește interpretarea și aplicarea în practică a derogărilor menționate anterior (în plus față de cea referitoare la menținerea unui control eficace al imigrației, astfel cum se explică în considerentul 6), inclusiv orice evoluție ulterioară a jurisprudenței, a orientărilor ICO și a măsurilor de asigurare a respectării legii, va fi luată în considerare în mod corespunzător în contextul monitorizării continue a prezentei decizii (70).

2.5.7. Restricții privind transferurile ulterioare de date

(74) Nivelul de protecție oferit datelor cu caracter personal transferate din Uniunea Europeană către operatorii sau persoanele împuternicite de operatori din Regatul Unit nu trebuie să fie subminat de transferul suplimentar al acestor date către destinatari dintr-o țară terță. Astfel de „transferuri ulterioare”, care, din perspectiva operatorului sau al persoanei împuternicite de operator din Regatul Unit, constituie transferuri internaționale din Regatul Unit, ar trebui să fie permise numai în cazul în care destinatarul suplimentar din afara Regatului Unit intră el însuși sub incidența unor norme care asigură un nivel de protecție similar cu cel garantat în cadrul ordinii juridice a Regatului Unit. Din acest motiv, aplicarea normelor din RGPD al Regatului Unit și din DPA din 2018 privind transferurile internaționale de date cu caracter personal este un factor important pentru a asigura continuitatea protecției în cazul datelor cu caracter personal transferate din Uniunea Europeană către Regatul Unit în temeiul prezentei decizii.

(75) Regimul transferurilor internaționale de date cu caracter personal din Regatul Unit este prevăzut la articolele 44-49 din RGPD al Regatului Unit, completat de DPA din 2018, și este în esență identic cu normele prevăzute în capitolul V din Regulamentul (UE) 2016/679 (71). Transferurile de date cu caracter personal către o țară terță sau o organizație internațională pot avea loc numai în baza regulamentelor privind caracterul adecvat al nivelului de protecție [echivalentul din Regatul Unit al unei decizii privind caracterul adecvat al nivelului de protecție în temeiul Regulamentului (UE) 2016/679] sau, în absența unor regulamente privind caracterul adecvat al nivelului de protecție, în cazul în care operatorul sau persoana împuternicită de operator a oferit garanții adecvate în conformitate cu articolul 46 din RGPD al Regatului Unit. În absența unor regulamente privind caracterul adecvat al nivelului de protecție sau a unor garanții adecvate, un transfer poate avea loc numai pe baza derogărilor prevăzute la articolul 49 din RGPD al Regatului Unit.

(76) Regulamentele privind caracterul adecvat al nivelului de protecție adoptate de secretarul de stat pot stipula ca o țară terță (sau un teritoriu sau un sector dintr-o țară terță), o organizație internațională sau o descriere (72) a țării, teritoriului, sectorului sau organizației respective să asigure un nivel adecvat de protecție a datelor cu caracter personal. Atunci când evaluează caracterul adecvat al nivelului de protecție, secretarul de stat trebuie să ia în considerare aceleași elemente pe care Comisia trebuie să le evalueze în temeiul articolului 45 alineatul (2) literele (a)-(c) din Regulamentul (UE) 2016/679, interpretat împreună cu considerentul 104 din Regulamentul (UE) 2016/679 și cu jurisprudența menținută a Uniunii. Aceasta înseamnă că, atunci când se evaluează nivelul adecvat de protecție al unei țări terțe, standardul relevant va fi dacă țara terță în cauză asigură un nivel de protecție „echivalent în esență” cu cel garantat în Regatul Unit.

(77) În ceea ce privește procedura, regulamentele privind caracterul adecvat al nivelului de protecție fac obiectul cerințelor de procedură „generale” prevăzute în secțiunea 182 din DPA din 2018. În cadrul acestei proceduri, secretarul de stat trebuie să consulte comisarul pentru informații atunci când propune adoptarea unor regulamente ale Regatului Unit privind caracterul adecvat al nivelului de protecție (73). Odată adoptate de secretarul de stat, aceste regulamente sunt prezentate Parlamentului și fac obiectul procedurii de „rezoluție negativă”, în cadrul căreia ambele camere ale Parlamentului pot examina regulamentele și pot adopta o propunere de anulare a regulamentelor în termen de 40 de zile (74).

(78) În conformitate cu secțiunea 17B punctul 1 din DPA din 2018, regulamentele privind caracterul adecvat al nivelului de protecție trebuie revizuite la intervale de cel mult patru ani, iar secretarul de stat trebuie să monitorizeze în permanență evoluțiile din țările terțe și la nivelul organizațiilor internaționale, care ar putea afecta deciziile de adoptare a unor regulamente privind caracterul adecvat al nivelului de protecție sau de modificare sau de revocare a unor astfel de regulamente. În cazul în care secretarul de stat constată că o țară sau o organizație specificată nu mai asigură un nivel adecvat de protecție a datelor cu caracter personal, acesta trebuie, în măsura în care este necesar, să modifice sau să revoce regulamentele și să inițieze consultări cu țara terță sau cu organizația internațională în cauză pentru a remedia lipsa unui nivel adecvat de protecție. Aceste aspecte procedurale reflectă, de asemenea, cerințele corespunzătoare din Regulamentul (UE) 2016/679.

(79) În absența unor regulamente privind caracterul adecvat al nivelului de protecție, transferurile internaționale pot avea loc în cazul în care operatorul sau persoana împuternicită de operator a oferit garanții adecvate în conformitate cu articolul 46 din RGPD al Regatului Unit. Aceste garanții sunt similare celor prevăzute la articolul 46 din Regulamentul (UE) 2016/679. Garanțiile includ instrumente obligatorii din punct de vedere juridic și executorii între autoritățile sau organismele publice, reguli corporatiste obligatorii (75), clauze standard de protecție a datelor, coduri de conduită aprobate, mecanisme de certificare aprobate și cu autorizarea comisarului pentru informații, clauze contractuale între operatori (sau persoane împuternicite de operatori) sau acorduri administrative între autoritățile publice. Cu toate acestea, normele au fost modificate, din punct de vedere procedural, pentru a funcționa în cadrul Regatului Unit, în special clauzele standard de protecție a datelor pot fi adoptate de secretarul de stat (secțiunea 17C) sau de comisarul pentru informații (secțiunea 119A) în conformitate cu DPA din 2018.

(80) În absența unei decizii privind caracterul adecvat al nivelului de protecție sau a unor garanții adecvate, un transfer poate avea loc numai pe baza derogărilor prevăzute la articolul 49 din RGPD al Regatului Unit (76). RGPD al Regatului Unit nu introduce nicio modificare semnificativă a derogărilor în comparație cu normele corespunzătoare din Regulamentul (UE) 2016/679. În temeiul RGPD al Regatului Unit, la fel ca în cazul Regulamentului (UE) 2016/679, anumite derogări pot fi invocate numai dacă transferul este ocazional (77). În plus, în orientările sale privind transferurile internaționale, ICO clarifică următoarele aspecte: „Ar trebui să le utilizați doar ca «excepții» reale de la regula generală conform căreia nu ar trebui să efectuați un transfer restricționat decât dacă acesta face obiectul unei decizii privind caracterul adecvat al nivelului de protecție sau dacă există garanții adecvate în vigoare” (78). În ceea ce privește transferurile care sunt necesare din motive importante de interes public [articolul 49 alineatul (1) litera (d)], secretarul de stat poate adopta regulamente pentru a preciza circumstanțele în care un transfer de date cu caracter personal către o țară terță sau o organizație internațională nu este necesar din motive importante de interes public. În plus, secretarul de stat poate, prin regulamente, să restricționeze transferul unei categorii de date cu caracter personal către o țară terță sau către o organizație internațională în cazul în care transferul nu poate avea loc pe baza unor regulamente privind caracterul adecvat al nivelului de protecție, iar secretarul de stat consideră că restricția este necesară din motive importante de interes public. Până în prezent nu au fost adoptate astfel de regulamente.

(81) Acest cadru pentru transferurile internaționale a devenit aplicabil la sfârșitul perioadei de tranziție (79). Cu toate acestea, punctul 4 din anexa 21 la DPA din 2018 (introdus prin regulamentele DPPEC) prevede că, la sfârșitul perioadei de tranziție, anumite transferuri de date cu caracter personal sunt tratate ca și cum s-ar baza pe regulamente privind caracterul adecvat al nivelului de protecție. Aceste transferuri includ transferurile către un stat SEE, teritoriul Gibraltarului, o instituție, un organism, un oficiu sau o agenție a(l) Uniunii înființat(ă) prin Tratatul UE sau în temeiul acestuia, precum și către țări terțe care au făcut obiectul unei decizii a UE privind caracterul adecvat al nivelului de protecție la încheierea perioadei de tranziție. În consecință, transferurile către aceste țări pot continua la fel ca înainte de retragerea Regatului Unit din UE. După încheierea perioadei de tranziție, secretarul de stat trebuie să efectueze o revizuire a acestor constatări privind caracterul adecvat al nivelului de protecție pe o perioadă de patru ani, și anume până la sfârșitul lunii decembrie 2024. Potrivit explicației furnizate de autoritățile Regatului Unit, deși secretarul de stat trebuie să efectueze o astfel de revizuire până la sfârșitul lunii decembrie 2024, dispozițiile tranzitorii nu includ o dispoziție de caducitate, iar dispozițiile tranzitorii relevante nu vor înceta în mod automat să producă efecte dacă revizuirea nu este finalizată până la sfârșitul lunii decembrie 2024.

(82) În cele din urmă, în ceea ce privește evoluția viitoare a regimului transferurilor internaționale al Regatului Unit – prin adoptarea unor noi regulamente privind caracterul adecvat al nivelului de protecție, încheierea de acorduri internaționale sau dezvoltarea altor mecanisme de transfer – Comisia va monitoriza îndeaproape situația, va evalua dacă diferitele mecanisme de transfer sunt utilizate într-un mod care să asigure continuitatea protecției și, dacă este necesar, va lua măsurile adecvate pentru a aborda posibilele efecte negative asupra acestei continuități (a se vedea considerentele 278-287). Întrucât UE și Regatul Unit au norme similare privind transferurile internaționale, se preconizează că divergențele problematice ar putea fi, de asemenea, evitate prin cooperare, schimb de informații și schimb de experiență, inclusiv între ICO și CEPD.

2.5.8. Responsabilitate

(83) Conform principiului responsabilității, entităților care prelucrează date li se solicită să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a-și respecta în mod efectiv obligațiile în materie de protecție a datelor și pentru a putea demonstra această conformitate, în special autorității de supraveghere competente.

(84) Principiul responsabilității prevăzut în Regulamentul (UE) 2016/679 a fost menținut la articolul 5 alineatul (2) din RGPD al Regatului Unit fără modificări substanțiale și același lucru se aplică articolului 24 privind responsabilitatea operatorului, articolului 25 privind protecția datelor începând cu momentul conceperii și în mod implicit și articolului 30 privind evidențele activităților de prelucrare. Articolele 35 și 36 privind evaluarea impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere au fost, de asemenea, menținute. Articolele 37-39 din Regulamentul (UE) 2016/679 privind desemnarea și sarcinile responsabililor cu protecția datelor au fost menținute în RGPD al Regatului Unit fără modificări semnificative. În plus, dispozițiile articolelor 40 și 42 din Regulamentul (UE) 2016/679 privind codurile de conduită și certificarea au fost menținute în RGPD al Regatului Unit (80).

2.6. Supraveghere și asigurarea respectării normelor

2.6.1. Supravegherea independentă

(85) Pentru a garanta în practică un nivel adecvat de protecție a datelor, ar trebui instituită o autoritate de supraveghere independentă care să aibă competența de a monitoriza și de a asigura respectarea normelor de protecție a datelor. Această autoritate ar trebui să acționeze cu deplină independență și imparțialitate în îndeplinirea sarcinilor sale și în exercitarea competențelor sale.

(86) În Regatul Unit, supravegherea și asigurarea respectării RGPD al Regatului Unit și a DPA din 2018 sunt efectuate de comisarul pentru informații. Comisarul pentru informații este o „întreprindere individuală” (Corporation Sole): o entitate juridică separată constituită dintr-o singură persoană. Comisarul pentru informații este sprijinit în activitatea sa de un birou. La 31 martie 2020, Biroul comisarului pentru informații avea 768 de angajați permanenți (81). Ministerul finanțator al comisarului pentru informații este Ministerul pentru Digitalizare, Cultură, Mass-Media și Sport (82).

(87) Independența comisarului este stabilită în mod explicit la articolul 52 din RGPD al Regatului Unit, care nu aduce nicio modificare de fond articolului 52 alineatele (1)-(3) din RGPD. Comisarul trebuie să beneficieze de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu RGPD al Regatului Unit, să rămână independent de orice influență externă directă sau indirectă în legătură cu aceste sarcini și competențe și să nu solicite, nici să nu accepte instrucțiuni de la o parte externă. De asemenea, comisarul trebuie să se abțină de la a întreprinde acțiuni incompatibile cu atribuțiile sale, iar pe durata mandatului, nu desfășoară activități incompatibile, remunerate sau nu.

(88) Condițiile pentru numirea și revocarea comisarului pentru informații sunt prevăzute în anexa 12 la DPA din 2018. Comisarul pentru informații este numit de Majestatea Sa la recomandarea Guvernului, în urma unui concurs general echitabil. Candidatul trebuie să dețină calificările, aptitudinile și competențele corespunzătoare. În conformitate cu Codul de guvernanță privind numirile publice (83), o listă de candidați care pot fi numiți este întocmită de un comitet consultativ de evaluare. Înainte ca secretarul de stat din cadrul Ministerului pentru Digitalizare, Cultură, Mass-Media și Sport să ia o decizie finală, comisia specială competentă din cadrul Parlamentului trebuie să efectueze un control prealabil numirii. Poziția Comitetului este făcută publică (84).

(89) Comisarul pentru informații are un mandat de până la șapte ani. O persoană nu poate fi numită în calitate de comisar pentru informații de mai multe ori. Comisarul pentru informații poate fi revocat din funcție de Majestatea Sa în urma unei propuneri („address”) formulate de ambele camere ale Parlamentului (85). Nicio cerere de revocare a comisarului pentru informații nu poate fi prezentată nici unei camere a Parlamentului decât în cazul în care un ministru a prezentat un raport în care afirmă că este convins că comisarul pentru informații este vinovat de comiterea unei abateri grave și/sau comisarul nu mai îndeplinește condițiile necesare pentru exercitarea funcțiilor sale (86).

(90) Finanțarea comisarului pentru informații provine din trei surse: (i) taxele pentru protecția datelor plătite de operatori, care sunt stabilite prin regulamentele secretarului de stat (87) [Regulamentele din 2018 privind protecția datelor (taxe și informații)] și se ridică la 85-90 % din bugetul anual al Biroului (88); (ii) grant sub formă de ajutor plătit de Guvern comisarului pentru informații. Grantul sub formă de ajutor este utilizat în principal pentru finanțarea cheltuielilor de funcționare ale comisarului pentru informații în ceea ce privește sarcinile care nu au legătură cu protecția datelor (89) și (iii) taxele percepute pentru servicii (90). În prezent, nu se percep astfel de taxe.

(91) Funcțiile generale ale comisarului pentru informații în ceea ce privește prelucrarea datelor cu caracter personal cărora li se aplică RGPD al Regatului Unit sunt prevăzute la articolul 57 din RGPD al Regatului Unit, reflectând îndeaproape normele corespunzătoare din Regulamentul (UE) 2016/679. Printre funcțiile sale se numără monitorizarea și asigurarea respectării RGPD al Regatului Unit, promovarea acțiunilor de sensibilizare în rândul publicului, tratarea plângerilor depuse de persoanele vizate, desfășurarea de investigații etc. În plus, secțiunea 115 din DPA din 2018 stabilește alte funcții generale ale comisarului, printre care se numără obligația de a oferi consiliere Parlamentului, Guvernului și altor instituții și organisme cu privire la măsurile legislative și administrative referitoare la protecția drepturilor și libertăților persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, precum și competența de a emite, din proprie inițiativă sau la cerere, avize adresate Parlamentului, guvernului sau altor instituții și organisme, precum și publicului cu privire la orice aspect legat de protecția datelor cu caracter personal. Pentru a menține independența sistemului judiciar, comisarul pentru informații nu este autorizat să își exercite funcțiile în legătură cu prelucrarea datelor cu caracter personal de către o persoană care acționează în exercițiul unei funcții judiciare sau de către o instanță sau tribunal care acționează în exercițiul funcției sale judiciare. Cu toate acestea, supravegherea sistemului judiciar este asigurată de organisme specializate (a se vedea considerentele 99-103).

2.6.2. Asigurarea respectării normelor, inclusiv sancțiuni

(92) Competențele comisarului pentru informații sunt prevăzute la articolul 58 din RGPD al Regatului Unit, care nu introduce nicio modificare substanțială a articolului corespunzător din Regulamentul (UE) 2016/679. DPA din 2018 stabilește norme suplimentare privind modul în care pot fi exercitate aceste competențe. În special, comisarul are competența de: (a) a ordona operatorului și persoanei împuternicite de operator (și, în anumite circumstanțe, oricărei alte persoane) să furnizeze informațiile necesare prin transmiterea unei notificări de informare („notificare de informare”) (91); (b) a efectua investigații și audituri prin transmiterea unei notificări de evaluare, care poate impune operatorului sau persoanei împuternicite de operator să permită comisarului să intre în incinte specificate, să inspecteze sau să examineze documente sau echipamente, să intervieveze persoane care prelucrează date cu caracter personal în numele operatorului etc. („notificare de evaluare”) (92); (c) a obține în alt mod acces la documente etc. ale operatorilor și ale persoanelor împuternicite de operatori și acces la sediile acestora în conformitate cu secțiunea 154 din DPA din 2018 („competențe de intrare și de inspecție”); (d) a exercita competențe corective, inclusiv prin avertismente și mustrări sau a emite ordine prin intermediul unei notificări de executare, care impune operatorilor/persoanelor împuternicite de operatori să întreprindă sau să se abțină de la a întreprinde anumite măsuri, inclusiv obligarea operatorului sau a persoanei împuternicite de operator să întreprindă orice acțiune prevăzută la articolul 58 alineatul (2) literele (c)-(g) și (j) din RGPD al Regatului Unit („notificare de executare”) (93); (e) și a emite amenzi administrative sub forma unei notificări de sancționare („notificare de sancționare”) (94). Aceasta din urmă poate fi emisă și în cazul în care o autoritate publică nu a respectat dispozițiile RGPD al Regatului Unit (95).

(93) Politica ICO privind acțiunile de reglementare stabilește circumstanțele în care acesta va emite o notificare de informare, de evaluare, de executare sau de sancționare (96). O notificare de executare transmisă ca răspuns la o neîndeplinire a obligațiilor de către un operator sau o persoană împuternicită de operator poate impune numai cerințele pe care comisarul le consideră adecvate în scopul remedierii neîndeplinirii obligațiilor. Notificarea de executare și cea de sancționare pot fi emise unui operator sau unei persoane împuternicite de operator în legătură cu încălcări ale capitolului II din RGPD al Regatului Unit (principiile prelucrării), ale articolelor 12-22 (drepturile persoanei vizate), ale articolelor 25-39 (obligațiile operatorilor și ale persoanelor împuternicite de operatori) și ale articolelor 44-49 (transferurile internaționale) din RGPD al Regatului Unit. De asemenea, se poate emite o notificare de executare în cazul în care un operator nu a respectat cerința de a plăti o taxă prevăzută în reglementările adoptate în temeiul articolului 137 din DPA din 2018. În plus, un organism de monitorizare prevăzut la articolul 41 sau un furnizor de certificare poate primi o notificare de executare în cazul în care nu își respectă obligațiile care îi revin în temeiul RGPD al Regatului Unit. O notificare de sancționare poate fi transmisă, de asemenea, unei persoane care nu a respectat o notificare de informare, o notificare de evaluare sau o notificare de executare.

(94) Notificarea de sancționare impune persoanei în cauză să plătească Comisarului pentru informații o sumă specificată în notificare. Pentru a decide dacă să transmită o notificare de sancționare unei persoane și pentru a stabili cuantumul sancțiunii, comisarul pentru informații trebuie să aibă în vedere aspectele enumerate la articolul 83 alineatele (1) și (2) din RGPD al Regatului Unit, care sunt identice cu normele corespunzătoare din Regulamentul (UE) 2016/679 (97). În conformitate cu articolul 83 alineatele (4) și (5), cuantumurile maxime ale amenzilor administrative în cazul nerespectării obligațiilor menționate în aceste dispoziții sunt de 8 700 000 GBP sau, respectiv, 17 500 000 GBP. În cazul unei întreprinderi, comisarul pentru informații poate, de asemenea, să impună amenzi ca procent din cifra de afaceri mondială anuală, dacă are valoare mai mare. La fel ca în dispozițiile echivalente din Regulamentul (UE) 2016/679, aceste sume sunt stabilite la 2 % și, respectiv, 4 % la articolul 83 alineatele (4) și (5). În cazul nerespectării unei notificări de informare, a unei notificări de evaluare sau a unei notificări de executare, cuantumul maxim al sancțiunii care poate fi impusă printr-o notificare de sancționare este valoarea mai mare dintre 17 500 000 GBP sau, în cazul unei întreprinderi, 4 % din cifra de afaceri mondială anuală.

(95) RGPD al Regatului Unit, împreună cu DPA din 2018, au consolidat și alte competențe ale comisarului pentru informații. De exemplu, în prezent, comisarul poate efectua audituri obligatorii cu privire la toți operatorii și persoanele împuternicite de operatori prin utilizarea notificărilor de evaluare, în timp ce, în temeiul legislației anterioare, Legea privind protecția datelor din 1998, comisarul avea această competență doar în ceea ce privește administrația centrală și organizațiile din domeniul sănătății, fiind necesar ca alte entități să își dea acordul cu privire la efectuarea unui audit.

(96) De la introducerea Regulamentului (UE) 2016/679, ICO tratează anual aproximativ 40 000 de plângeri din partea persoanelor vizate (98) și, în plus, efectuează aproximativ 2 000 de investigații din oficiu (99). Majoritatea plângerilor se referă la drepturile de acces la date și de divulgare a acestora. În urma investigațiilor efectuate, comisarul ia măsuri de aplicare a legii într-o gamă largă de sectoare. Mai precis, în conformitate cu cel mai recent raport anual al comisarului pentru informații (2019-2020) (100), acesta a emis 54 de notificări de informare, 8 notificări de evaluare, 7 notificări de executare, 4 avertismente, 8 urmăriri penale și 15 amenzi în cursul perioadei de raportare (101).

(97) Printre acestea se numără mai multe sancțiuni financiare semnificative impuse în temeiul Regulamentului (UE) 2016/679 și al DPA din 2018. În special, în octombrie 2020, comisarul pentru informații a amendat o companie aeriană britanică cu 20 de milioane GBP pentru o încălcare a securității datelor care afectează peste 400 000 de clienți. La sfârșitul lunii octombrie 2020, un lanț hotelier internațional a fost amendat cu 18,4 milioane GBP pentru că nu a păstrat securitatea datelor cu caracter personal ale milioane de clienți, iar în noiembrie 2020 un furnizor britanic de servicii care vinde bilete pentru evenimente online a fost amendat cu 1,25 milioane GBP pentru că nu a protejat detaliile de plată ale clienților (102).

(98) Pe lângă competențele comisarului pentru informații în materie de asigurare a respectării aplicării descrise în considerentul 92, anumite încălcări ale legislației privind protecția datelor constituie infracțiuni și, prin urmare, pot face obiectul unor sancțiuni penale (secțiunea 196 din DPA din 2018). Acest lucru este valabil, de exemplu, pentru obținerea sau divulgarea în cunoștință de cauză sau din neglijență a datelor cu caracter personal fără consimțământul operatorului, cauzarea divulgării de date cu caracter personal unei alte persoane fără consimțământul operatorului (103), reidentificarea informațiilor care sunt date cu caracter personal anonimizate fără consimțământul operatorului responsabil de anonimizarea datelor cu caracter personal (104), obstrucționarea intenționată a competenței comisarului de a-și exercita competențele în ceea ce privește examinarea datelor cu caracter personal în conformitate cu obligațiile internaționale (105), prezentarea de declarații false ca răspuns la o notificare de informare sau distrugerea informațiilor în legătură cu notificările de informare și de evaluare (106).

2.6.3. Supravegherea sistemului judiciar

(99) Supravegherea prelucrării datelor cu caracter personal de către instanțe și sistemul judiciar este dublă. În cazul în care un titular al unei funcții judiciare sau o instanță nu acționează în exercițiul unei funcții judiciare, supravegherea este asigurată de ICO. În cazul în care operatorul își desfășoară activitatea în exercițiul unei funcții judiciare, ICO nu își poate exercita funcțiile de supraveghere (107), iar supravegherea este efectuată de organisme speciale. Aceasta reflectă abordarea adoptată în Regulamentul (UE) 2016/679 [articolul 55 alineatul (3)].

(100) În special, în cel de al doilea scenariu, pentru instanțele din Anglia și Țara Galilor, precum și pentru Tribunalul de Primă Instanță și Tribunalul Superior din Anglia și Țara Galilor, această supraveghere este asigurată de Grupul pentru protecția datelor judiciare (108). În plus, președintele Curții Supreme (Lord Chief Justice) și președintele sistemului de tribunale (Senior President of Tribunals) au emis o declarație de confidențialitate (109) care stabilește modul în care instanțele din Anglia și Țara Galilor prelucrează datele cu caracter personal pentru o funcție judiciară. O declarație similară a fost emisă de autoritățile judiciare din Irlanda de Nord (110) și de cele din Scoția (111).

(101) În plus, în Irlanda de Nord, președintele Curții Supreme din Irlanda de Nord a numit un judecător din cadrul Înaltei Curți în calitate de judecător în materie de supraveghere a datelor (DSJ – Data Supervisory Judge) (112). Aceștia au emis, de asemenea, orientări pentru sistemul judiciar din Irlanda de Nord cu privire la acțiunile care trebuie întreprinse în cazul unei pierderi sau potențiale pierderi de date și la procesul de abordare a oricăror probleme care decurg din acest fapt (113).

(102) În Scoția, președintele Curții Supreme (Lord President) a numit un judecător în materie de supraveghere a datelor pentru a investiga orice plângeri pe motive de protecție a datelor. Acest fapt este prevăzut în normele privind plângerile judiciare, care le reflectă pe cele stabilite pentru Anglia și Țara Galilor (114).

(103) În cele din urmă, în cadrul Curții Supreme, unul dintre judecătorii Curții Supreme este desemnat să supravegheze protecția datelor.

2.6.4. Căi de atac

(104) Pentru a asigura o protecție adecvată și, în special, asigurarea respectării drepturilor individuale, persoanei vizate ar trebui să i se ofere căi de atac administrative și judiciare eficace, inclusiv despăgubiri pentru prejudiciile suferite.

(105) În primul rând, o persoană vizată are dreptul de a depune o plângere la comisarul pentru informații, în cazul în care consideră că, în ceea ce privește datele cu caracter personal care o vizează, există o încălcare a RGPD al Regatului Unit (115). RGPD al Regatului Unit menține normele prevăzute la articolul 77 din Regulamentul (UE) 2016/679 cu privire la acest drept, fără modificări substanțiale. Același lucru este valabil și pentru articolul 57 alineatul (1) litera (f) și alineatul (2), care stabilesc sarcinile comisarului în ceea ce privește tratarea plângerilor. Astfel cum se descrie în considerentele 92-98, comisarul pentru informații are competența de a evalua respectarea de către operator și persoana împuternicită de operator a RGPD al Regatului Unit și a DPA din 2018, de a le impune să întreprindă sau să se abțină de la a întreprinde măsurile necesare în caz de nerespectare și de a aplica amenzi.

(106) În al doilea rând, RGPD al Regatului Unit și DPA din 2018 prevăd dreptul la o cale de atac împotriva comisarului pentru informații. În temeiul articolului 78 alineatul (1) din RGPD al Regatului Unit, o persoană are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a comisarului care o vizează. În contextul controlului jurisdicțional, judecătorul examinează decizia contestată în cerere și analizează dacă acțiunile comisarului pentru informații au fost legale. În plus, în temeiul articolului 78 alineatul (2) din RGPD al Regatului Unit, în cazul în care comisarul nu tratează în mod corespunzător o plângere depusă de persoana vizată, (116) reclamantul are acces la o cale de atac judiciară. Acesta se poate adresa unui tribunal de primă instanță care să îl oblige pe comisar să ia măsurile necesare pentru a răspunde plângerii sau să îl informeze pe reclamant cu privire la evoluția plângerii (117). În plus, orice persoană căreia comisarul îi comunică una dintre notificările menționate mai sus (notificare de informare, de evaluare, de executare sau de sancționare) poate introduce o cale de atac în fața unui tribunal de primă instanță (118). În cazul în care tribunalul consideră că decizia comisarului nu este conformă cu legea sau că, în ceea ce privește comisarul pentru informații, acesta ar fi trebuit să își exercite puterea de apreciere în mod diferit, tribunalul trebuie să admită calea de atac sau să înlocuiască decizia comisarului cu o altă notificare sau decizie pe care comisarul pentru informații ar fi putut să o emită sau să o adopte.

(107) În al treilea rând, persoanele fizice pot introduce o cale de atac împotriva operatorilor și a persoanelor împuternicite de operatori direct în fața instanțelor în temeiul articolului 79 din RGPD al Regatului Unit și al secțiunii 167 din DPA din 2018. În cazul în care, la cererea unei persoane vizate, o instanță constată că a avut loc o încălcare a drepturilor persoanei vizate în temeiul legislației privind protecția datelor, instanța poate obliga operatorul în ceea ce privește prelucrarea, sau persoana împuternicită de operator care acționează în numele operatorului respectiv, să ia măsurile specificate în ordonanță sau să se abțină de la luarea măsurilor specificate în ordonanță.

(108) În plus, în temeiul articolului 82 din RGPD al Regatului Unit și al secțiunii 168 din DPA din 2018, orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a RGPD al Regatului Unit are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit. Normele privind despăgubirile și răspunderea prevăzute la articolul 82 alineatele (1)-(5) din RGPD al Regatului Unit sunt identice cu normele corespunzătoare din Regulamentul (UE) 2016/679. În temeiul secțiunii 168 din DPA din 2018, prejudiciile morale includ, de asemenea, suferințele clinice. În temeiul articolului 80 din RGPD al Regatului Unit, persoana vizată are, de asemenea, dreptul de a mandata un organism sau o organizație reprezentativ(ă) să depună plângerea la comisar în numele său (în temeiul articolului 77 din RGPD al Regatului Unit) și să exercite în numele său drepturile menționate la articolele 78 (dreptul la o cale de atac judiciară eficientă împotriva comisarului), 79 (dreptul la o cale de atac judiciară eficientă împotriva unui operator sau unei persoane împuternicite de operator) și 82 (dreptul la despăgubiri și răspunderea) din RGPD al Regatului Unit.

(109) În al patrulea rând, pe lângă căile de atac descrise mai sus, orice persoană care consideră că drepturile sale, inclusiv dreptul la viață privată și la protecția datelor, au fost încălcate de autoritățile publice, poate obține reparații în fața instanțelor din Regatul Unit în temeiul Legii privind drepturile omului din 1998 (119). O persoană care susține că o autoritate publică a acționat (sau propune să acționeze) într-un mod care este incompatibil cu un drept conferit prin convenție și, prin urmare, ilegal în temeiul secțiunii 6 punctul 1 din Legea privind drepturile omului din 1998 poate introduce o acțiune împotriva autorității respective în fața instanței sau a tribunalului competent(e) sau poate invoca drepturile în cauză în cadrul oricărei proceduri judiciare, atunci când este (sau ar fi) victimă a actului ilegal.

(110) În cazul în care constată că un act al unei autorități publice este ilegal, instanța poate admite o astfel de reparație sau cale de atac sau poate dispune, în limitele competențelor sale, după cum consideră corect și adecvat (120). Instanța poate, de asemenea, să declare o dispoziție din legislația primară ca fiind incompatibilă cu un drept conferit prin convenție.

(111) În cele din urmă, după epuizarea căilor de atac naționale, o persoană poate obține reparații în fața Curții Europene a Drepturilor Omului pentru încălcarea drepturilor garantate de Convenția europeană a drepturilor omului.

3. ACCESAREA ȘI UTILIZAREA DE CĂTRE AUTORITĂȚILE PUBLICE DIN REGATUL UNIT A DATELOR CU CARACTER PERSONAL TRANSFERATE DIN UNIUNEA EUROPEANĂ

(112) Comisia a evaluat, de asemenea, cadrul juridic al Regatului Unit pentru colectarea și utilizarea ulterioară a datelor cu caracter personal transferate operatorilor economici din Regatul Unit de către autoritățile publice din Regatul Unit din motive de interes public, în special în scopul asigurării respectării dreptului penal și în scopuri de asigurare a securității naționale (denumit în continuare „accesul administrației publice”). Pentru a evalua dacă condițiile în care accesul administrației publice la datele transferate către Regatul Unit în temeiul prezentei decizii ar îndeplini criteriul „echivalenței substanțiale” în temeiul articolului 45 alineatul (1) din Regulamentul (UE) 2016/679, astfel cum a fost interpretat de Curtea de Justiție a Uniunii Europene în lumina Cartei drepturilor fundamentale, Comisia a luat în considerare în special următoarele criterii.

(113) În primul rând, orice restrângere a dreptului la protecția datelor cu caracter personal trebuie să fie prevăzută de lege, iar temeiul juridic care permite ingerința în acest drept trebuie să definească el însuși întinderea restrângerii exercitării dreptului vizat (121).

(114) În al doilea rând, pentru a îndeplini cerința proporționalității potrivit căreia derogările de la protecția datelor cu caracter personal și restrângerile acesteia trebuie să fie efectuate în limitele strictului necesar într-o societate democratică pentru a îndeplini obiective specifice de interes general echivalente cu cele recunoscute de Uniune, legislația țării terțe în cauză care permite o ingerință trebuie să prevadă norme clare și precise care să reglementeze conținutul și aplicarea măsurilor respective și să impună o serie de cerințe minime, astfel încât persoanele ale căror date au fost transferate să dispună de garanții suficiente care să permită protejarea în mod eficient a datelor lor cu caracter personal împotriva riscurilor de abuz (122). Legislația trebuie în special să indice în ce împrejurări și în ce condiții poate fi luată o măsură care prevede prelucrarea unor asemenea date (123), precum și să supună îndeplinirea acestor cerințe unei supravegheri independente (124).

(115) În al treilea rând, legislația respectivă trebuie să fie obligatorie din punct de vedere juridic în temeiul dreptului intern, iar aceste cerințe legale trebuie să fie nu numai obligatorii pentru autorități, ci și opozabile autorităților din țara terță în cauză în fața instanțelor judecătorești (125). În special, persoanele vizate trebuie să dispună de posibilitatea de a exercita căi legale în fața unei instanțe judecătorești independente și imparțiale pentru a avea acces la date cu caracter personal care le privesc sau de a obține rectificarea sau ștergerea unor astfel de date (126).

3.1. Cadrul juridic general

(116) Ca exercitare a puterii de către o autoritate publică, accesul administrației publice în Regatul Unit trebuie să se realizeze cu respectarea deplină a legii. Regatul Unit a ratificat Convenția europeană a drepturilor omului (a se vedea considerentul 9) și toate autoritățile publice din Regatul Unit au obligația de a acționa în conformitate cu convenția (127). Articolul 8 din convenție prevede că orice ingerință în viața privată trebuie să fie în conformitate cu legea, în interesul unuia dintre obiectivele stabilite la articolul 8 alineatul (2) și proporțională în raport cu acest obiectiv. Articolul 8 impune, de asemenea, ca ingerința să fie „previzibilă”, și anume să aibă un temei juridic clar și accesibil și ca legea să conțină garanții adecvate pentru a preveni abuzurile.

(117) În plus, în jurisprudența sa, Curtea Europeană a Drepturilor Omului a precizat că orice ingerință în dreptul la viață privată și la protecția datelor ar trebui să facă obiectul unui sistem de supraveghere eficace, independent și imparțial, care trebuie să fie asigurat fie de un judecător, fie de un alt organism independent (128) (de exemplu, o autoritate administrativă sau un organ parlamentar).

(118) În plus, persoanelor trebuie să li se furnizeze o cale de atac eficientă, iar Curtea Europeană a Drepturilor Omului a clarificat faptul că această cale de atac trebuie oferită de un organism independent și imparțial care și-a adoptat propriul regulament de procedură, alcătuit din membri care trebuie să dețină sau să fi deținut o funcție judiciară de înalt nivel sau să fie avocați experimentați, și că nu trebuie să existe nicio sarcină a probei care trebuie îndeplinită pentru a depune o cerere la aceasta. Atunci când examinează plângerile depuse de persoane, organismul independent și imparțial ar trebui să aibă acces la toate informațiile relevante, inclusiv la materialele confidențiale. În cele din urmă, acesta ar trebui să aibă competența de a remedia cazurile de neconformitate (129).

(119) Regatul Unit a ratificat, de asemenea, Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (Convenția 108) și a semnat Protocolul de modificare a Convenției pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (cunoscută sub denumirea de „Convenția 108+”) în 2018 (130). Articolul 9 din Convenția 108 prevede că derogările de la principiile generale privind protecția datelor (articolul 5 Calitatea datelor), de la normele care reglementează categoriile speciale de date (articolul 6 Categorii speciale de date) și de la drepturile persoanelor vizate (articolul 8 Garanții suplimentare pentru persoana vizată) sunt permise numai în cazul în care o astfel de derogare este prevăzută de legislația părții și constituie o măsură necesară într-o societate democratică în interesul protejării siguranței statului, a siguranței publice, a intereselor monetare ale statului sau în interesul eliminării infracțiunilor, ori pentru protejarea persoanei vizate sau a drepturilor și libertăților altora (131).

(120) Prin urmare, prin calitatea de membru al Consiliului Europei, aderarea la Convenția europeană a drepturilor omului și recunoașterea competenței Curții Europene a Drepturilor Omului, Regatul Unit este supus unei serii de obligații, consacrate în dreptul internațional public, care încadrează sistemul său de acces al administrației publice pe baza unor principii, garanții și drepturi individuale similare cu cele garantate de dreptul Uniunii și aplicabile statelor membre. Astfel cum se subliniază în considerentul 19, aderarea continuă la astfel de instrumente este, prin urmare, un element deosebit de important al evaluării pe care se întemeiază prezenta decizie.

(121) În plus, DPA din 2018 prevede garanții și drepturi specifice în materie de protecție a datelor atunci când datele sunt prelucrate de autorități publice, inclusiv de autoritățile de asigurare a respectării legii și de organismele de asigurare a securității naționale.

(122) În special, regimul de prelucrare a datelor cu caracter personal în contextul asigurării respectării dreptului penal este prevăzut în partea 3 din DPA din 2018 care a fost adoptată pentru a transpune Directiva (UE) 2016/680. Partea 3 din DPA din 2018 se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora (132).

(123) Conceptul de „autoritate competentă” este definit în secțiunea 30 din DPA ca fiind o persoană prevăzută în anexa 7 la DPA din 2018, precum și orice altă persoană, în măsura în care persoana are funcții statutare în oricare dintre scopurile de asigurare a respectării legii (133). Astfel cum se explică mai jos (a se vedea considerentul 139), anumite autorități competente (de exemplu, Agenția Națională pentru Combaterea Criminalității) pot face uz, în anumite condiții, de competențele conferite de Legea din 2016 de reglementare a competențelor de investigare (IPA din 2016). În acest caz, garanțiile prevăzute de IPA din 2016 se vor aplica în plus față de cele prevăzute în partea 3 din DPA din 2018. Serviciile de informații (Serviciul Secret de Informații, Serviciul de Securitate și Cartierul General pentru Comunicații) nu sunt „autorități competente” (134) care intră sun incidența părții 3 din DPA din 2018 și, prin urmare, normele prevăzute de aceasta nu se aplică niciuneia dintre activitățile lor. O parte specifică din DPA din 2018 (partea 4) este dedicată prelucrării datelor cu caracter personal de către serviciile de informații (pentru mai multe detalii, a se vedea considerentul 125).

(124) În mod similar Directivei (UE) 2016/680, partea 3 din DPA din 2018 stabilește principiile legalității și echității (135), limitărilor legate de scop (136), reducerii la minimum a datelor (137), exactității (138), limitărilor legate de stocare (139) și securității (140). Legislația impune obligații specifice în materie de transparență (141) și oferă persoanelor dreptul de acces (142), rectificare și ștergere (143), precum și dreptul de a nu face obiectul procesului decizional automatizat (144). Autoritățile competente au, de asemenea, obligația de a pune în aplicare protecția datelor începând cu momentul conceperii și în mod implicit, de a ține evidențe ale activităților de prelucrare și, pentru anumite operațiuni de prelucrare, de a efectua evaluări ale impactului asupra protecției datelor și de a consulta în prealabil comisarul pentru informații (145). În conformitate cu secțiunea 56 din DPA din 2018, acestea trebuie să demonstreze conformitatea. În plus, autoritățile trebuie să instituie măsuri adecvate pentru a asigura securitatea prelucrării (146) și sunt supuse unor obligații specifice în cazul unei încălcări a securității datelor, inclusiv notificarea comisarului pentru informații și persoanelor vizate cu privire la aceste încălcări (147). La fel ca în cazul Directivei (UE) 2016/680, există, de asemenea, o cerință ca un operator (cu excepția cazului în care acesta este o instanță sau o altă autoritate judiciară care acționează în exercițiul unei funcții judiciare) să desemneze un responsabil cu protecția datelor (148) care asistă operatorul în îndeplinirea obligațiilor sale, precum și în monitorizarea conformității menționate (149). În plus, legislația impune cerințe specifice pentru transferurile internaționale de date cu caracter personal în scopul asigurării respectării legii către țări terțe sau organizații internaționale pentru a asigura continuitatea protecției (150). La aceeași dată cu prezenta decizie, Comisia a adoptat o decizie privind caracterul adecvat al nivelului de protecție în temeiul articolului 36 alineatul (3) din Directiva (UE) 2016/680, prin care constata că regimul de protecție a datelor aplicabil prelucrării de către autoritățile de aplicare a dreptului penal din Regatul Unit asigură un nivel de protecție echivalent în esență cu cel garantat de Directiva (UE) 2016/680.

(125) Partea 4 din DPA din 2018 se aplică tuturor prelucrărilor efectuate de serviciile de informații sau în numele acestora. În special, aceasta stabilește principalele principii pr