RO Jurnalul Oficial al Uniunii Europene C 164/2

Rezumatul avizului AEPD referitor la propunerea de regulament privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE

(Textul integral al prezentului aviz poate fi consultat în limbile engleză, franceză și germană pe site-ul AEPD www.edps.europa.eu)

(2017/C 164/02)

Uniunea Europeană promulgă o nouă generație de standarde privind protecția datelor. Adoptarea, în urmă cu aproape un an, a Regulamentului general privind protecția datelor și a directivei pentru sectoarele poliției și justiției a reprezentat cel mai ambițios efort de până acum al legiuitorului UE de a proteja drepturile fundamentale ale persoanelor fizice în era digitală. Acum este momentul ca instituțiile UE însele să dea exemplu prin normele pe care și le aplică lor însele în calitate de operatori și de persoane împuternicite de către operator pentru procesarea datelor. În ultimele 18 luni, AEPD a început dialogul cu instituțiile UE la cel mai înalt nivel pentru a le pregăti pentru noile provocări în respectarea protecției datelor, punând accentul pe noul principiu al responsabilizării față de modul în care sunt prelucrate datele. Prin prezentul aviz, AEPD își propune să aducă experiența de doisprezece ani de supraveghere independentă, consiliere strategică și susținere, sugerând îmbunătățiri la propunerea de regulament privind prelucrarea datelor cu caracter personal de către instituțiile și organismele UE.

Regulamentul 45/2001 a avut un rol de deschizător de drumuri prevăzând obligații direct aplicabile pentru operatori, drepturi pentru persoanele vizate și un organism de supraveghere în mod clar independent. Acum UE trebuie să asigure consecvența cu Regulamentul general privind protecția datelor punând accentul mai degrabă pe responsabilizare și garanții pentru persoanele fizice decât pe proceduri. Anumite divergențe între normele aplicabile prelucrării de date de către instituțiile UE pot fi justificate, la fel cum excepțiile din sectorul public au fost incluse în Regulamentul general privind protecția datelor, însă acestea trebuie menținute la un nivel minim.

Totuși, din perspectiva persoanei fizice, este esențial ca principiile comune din întregul cadru de protecție a datelor al UE să fie aplicate în mod consecvent, indiferent de cine este operator. De asemenea, este esențial ca întregul cadru să se aplice în același timp, adică în luna mai 2018, termenul până la care Regulamentul general privind protecția datelor trebuie să devină pe deplin aplicabil.

AEPD a fost consultată de Comisie cu privire la proiectul de propunere, în baza unei înțelegeri pe termen lung între instituțiile noastre. Considerăm că Comisia a asigurat în general un bun echilibru între diferitele interese aflate în joc. Prezentul aviz scoate în evidență o serie de domenii în care propunerea ar mai putea fi îmbunătățită. Susținem îmbunătățiri la propunerea de regulament, în special în ceea ce privește restricțiile drepturilor persoanelor vizate și prevederea ca instituțiile UE să folosească mecanisme de certificare în anumite contexte. În ceea ce privește propriile noastre sarcini și prerogative ca organism independent, propunerea pare să asigure un echilibru rezonabil și să reflecte funcțiile normale ale unei autorități pentru protecția datelor independente în sensul Cartei drepturilor fundamentale și așa cum este reconfirmată în jurisprudența recentă a Curții de Justiție, în calitate de autoritate de punere în aplicare, de responsabil cu prelucrarea reclamațiilor și de consilier al legiuitorului în legătură cu politicile ce afectează protecția datelor și confidențialitatea.

Încurajăm legiuitorul UE să ajungă la o înțelegere cu privire la propunere cât mai curând posibil astfel încât să permită instituțiilor UE să beneficieze de o perioadă de tranziție rezonabilă înainte ca noul regulament să intre în vigoare.

1. INTRODUCERE ȘI CONTEXT

1.1. Context

1. La data de 10 ianuarie 2017, Comisia Europeană a adoptat o propunere de regulament al Parlamentului European și al Consiliului privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (1) („propunerea”).

2. Dreptul fundamental la protecția datelor cu caracter personal este consacrat de articolul 8 din Carta drepturilor fundamentale a Uniunii Europene („Carta”) și de articolul 16 din Tratatul privind funcționarea Uniunii Europene („TFUE”).

3. Autoritatea Europeană pentru Protecția Datelor („AEPD”) este autoritatea de supraveghere independentă însărcinată să se asigure că instituțiile, organismele, oficiile și agențiile europene („instituțiile UE”) respectă legislația privind protecția datelor atunci când prelucrează date cu caracter personal (2). Obligația de a asigura un control independent în sistemul european de protecție a datelor este consacrată în legislația primară, atât la articolul 16 alineatul (2) din TFUE, cât și la articolul 8 alineatul (3) din Cartă. Curtea de Justiție a scos în evidență în mod consecvent faptul că acest control din partea unei autorități independente este o componentă esențială a dreptului la protecția datelor și a stipulat criteriile aferente acestei independențe (3). În special, autoritatea de supraveghere trebuie să acționeze cu independență deplină, ceea ce implică o putere decizională independentă de orice influență externă directă sau indirectă (4) și eliberarea de orice suspiciune de parțialitate (5).

4. Principalul instrument juridic aplicabil prelucrării datelor cu caracter personal de către instituțiile UE este Regulamentul (CE) nr. 45/2001 (6) („Regulamentul 45/2001”), completat de Decizia nr. 1247/2002/CE (7).

5. În urma încheierii, la data de 27 aprilie 2016, a negocierilor îndelungate privind noul cadru european de protecție a datelor – Regulamentul general privind protecția datelor și directiva pentru sectoarele poliției și justiției – prezenta propunere (împreună cu propunerea Comisiei de regulament asupra confidențialității și comunicațiilor electronice) (8) marchează începutul unei etape cruciale în procesul de finalizare a acestui cadru european de protecție a datelor. Își propune să alinieze dispozițiile Regulamentului 45/2001 la normele prevăzute de Regulamentul general privind protecția datelor pentru a crea un cadru mai puternic și mai coerent de protecție a datelor în Uniune și pentru a permite ambelor instrumente să fie aplicabile în același timp (9). În plus, propunerea cuprinde și noile norme pentru protecția echipamentelor terminale ale utilizatorilor finali, prevăzute în propunerea Comisiei de nou regulament asupra confidențialității și comunicațiilor electronice.

6. În Strategia 2015-2019, AEPD s-a angajat să conlucreze cu Parlamentul European, cu Consiliul și cu Comisia pentru a se asigura că normele actuale prevăzute în Regulamentul 45/2001 sunt aliniate cu Regulamentul general privind protecția datelor și că cel târziu până la începutul anului 2018 va intra în vigoare un cadru revizuit. AEPD salută faptul că a fost consultată neoficial de Comisie înainte de adoptarea propunerii și că propunerea pare să fi luat în considerare multe elemente aduse în discuție în contribuțiile sale neoficiale până în prezent. Aceasta consideră că propunerea actuală este mai mult decât satisfăcătoare din punct de vedere al alinierii cât mai mari cu Regulamentul general privind protecția datelor, exceptând cazurile în care specificitățile definite mai restrictiv ale sectorului public UE justifică altfel, și apreciază în special echilibrul dintre diferitele interese aflate în joc, asigurat de Comisie.

7. Deși prezentul aviz precizează o serie de domenii în care propunerea ar putea fi îmbunătățită și mai mult, AEPD încurajează legiuitorul UE să ajungă la un acord cu privire la propunere cât mai repede cu putință pentru a le permite instituțiilor europene să beneficieze de o perioadă de tranziție rezonabilă înainte ca noul regulament să devină pe deplin aplicabil.

1.2. Obiectivele propunerii și termene

8. În trecut, AEPD a recomandat ca normele materiale pentru instituțiile UE să fie încorporate în proiectul (de atunci al) Regulamentului general privind protecția datelor (10). Legiuitorul UE a ales o altă opțiune: un instrument juridic separat aplicabil instituțiilor UE, aliniat cu Regulamentul general privind protecția datelor și aplicabil în același timp cu acesta. AEPD susține această abordare: ar fi de neacceptat dacă Comisia Europeană și celelalte instituții ale UE nu ar fi supuse unor norme echivalente cu cele care vor deveni în curând aplicabile la nivel de stat membru. Mai mult decât atât, nu ar fi de dorit pentru AEPD să supravegheze respectarea de către instituțiile UE a normelor materiale, care ar fi inferioare normelor supravegheate de omologii săi la nivel național, în special având în vedere că AEPD va fi membră a viitorului Comitet european pentru protecția datelor („CEPD”) (11).

9. Așadar, viitoarele norme aplicabile prelucrării datelor cu caracter personal de către instituțiile UE trebuie aliniate cu dispozițiile Regulamentului general privind protecția datelor, cu excepția cazului în care specificitățile din sectorul public interpretate mai restrictiv justifică altfel. În această privință, AEPD salută considerentul 5 din propunere care a subliniat necesitatea unei alinieri cât mai mari cu putință și clarifică faptul că „[o]ri de câte ori o dispoziție a prezentului regulament se bazează pe aceeași noțiune ca și o dispoziție a [Regulamentului general privind protecția datelor], aceste două dispoziții ar trebui să fie interpretate în mod omogen, în special pentru că structura propunerii ar trebui înțeleasă ca fiind similară structurii [Regulamentului general privind protecția datelor]”.

10. În același timp, alinierea cu Regulamentul general privind protecția datelor nu poate fi nici completă, nici automată. Regulamentul general privind protecția datelor cuprinde numeroase clauze care permit statelor membre să mențină sau să introducă o legislație specifică în anumite domenii, inclusiv pentru autoritățile publice (12). În cazurile în care Regulamentul general privind protecția datelor prevede norme specifice pentru autoritățile publice (13) sau lasă loc statelor membre pentru punerea în aplicare a dispozițiilor sale, se poate considera că propunerea joacă un rol comparabil cu o lege națională care „pune în aplicare” Regulamentul general privind protecția datelor, cum ar fi de exemplu articolul 9 „Transmiterile de date cu caracter personal către destinatari, alții decât instituțiile și organele Uniunii” sau articolul 66 „Amenzi administrative” din propunere (a se vedea punctul 2.8.1 de mai jos). În plus, este important să se asigure faptul că nivelul înalt de protecție aplicabil în prezent instituțiilor UE este păstrat. De aici rezultă nevoia de a menține anumite specificități ale Regulamentului 45/2001, precum cele de la articolul 25 „Restricții” (a se vedea punctul 2.3.1 de mai jos) și cele de la articolul 44 „Desemnarea responsabilului cu protecția datelor” (a se vedea punctul 2.4.5.1 de mai jos).

11. În afară de alinierea materială cu Regulamentul general privind protecția datelor, este esențial ca normele revizuite să devină pe deplin aplicabile în același timp cu Regulamentul general privind protecția datelor, adică la data de 25 mai 2018. Rețeaua existentă de responsabili cu protecția datelor asigură un canal eficient de schimb de informații și cooperare. Prin urmare, AEPD este încrezătoare în faptul că s-ar putea obține conformitatea după o perioadă de tranziție relativ scurtă, adică trei luni.

12. Principiul responsabilizării ce stă la baza Regulamentului general privind protecția datelor – precum și a prezentei propuneri – depășește simpla respectare a normelor și presupune o schimbare de cultură. Pentru a facilita tranziția, AEPD a lansat un „proiect de responsabilizare”. În acest context, pe parcursul anilor 2016 și 2017, AEPD s-a aflat în legătură cu șapte instituții și organisme-cheie ale UE pentru a le ajuta să se pregătească în timp util în vederea aplicării Regulamentului general privind protecția datelor.

1.3. Domeniul de aplicare și relația cu alte instrumente juridice

13. În câteva rânduri, în trecut, AEPD i-a solicitat Comisiei să propună un sistem robust și cuprinzător care să fie ambițios și să sporească eficiența și coerența protecției datelor în UE, astfel încât să asigure un mediu sănătos pentru o și mai mare dezvoltare în anii următori (14). Comisia a ales o abordare diferită și a propus un instrument juridic separat pentru protecția datelor în domeniul aplicării legii (15). A urmat o serie de propuneri de acte juridice care au introdus regimuri separate „de sine stătătoare” pentru protecția datelor (16).

14. AEPD recunoaște că actualul cadru juridic, chiar dacă fragmentat, de protecție a datelor cu caracter personal este cel mai bun rezultat care poate fi obținut astăzi (17). AEPD înțelege faptul că prezenta propunere ar continua să se aplice instituțiilor UE care intră sub incidența Regulamentului 45/2001 (18) (în esență, toate fostele instituții, organisme, oficii și agenții din „pilonii” 1 și 2) (19), însă nu ar afecta, ca atare, regimurile „de sine stătătoare” existente sau aflate în așteptare (20). Aceste regimuri vor fi afectate de prezenta propunere numai dacă și în măsura în care acest lucru este prevăzut în mod explicit în instrumentul juridic respectiv. AEPD ia notă de această abordare, însă sugerează că aceasta este enunțată mai explicit în preambulul la propunere și, eventual, și în articolul 2 „Domeniul de aplicare”. În același timp, AEPD dorește să atragă atenția asupra faptului că fragmentarea și complexitatea crescândă a cadrului juridic pentru prelucrarea datelor de către diferitele instituții ale UE active în foștii „piloni” întâi și al treilea nu reprezintă un rezultat complet satisfăcător și ar putea fi nevoie să fie remediate de legiuitorul UE pe termen mediu.

15. Regulamentul 45/2001 prevede măsuri ce vizează protecția vieții private și a confidențialității comunicărilor în cazurile în care instituțiile UE dețin controlul asupra infrastructurii folosite în comunicare. În acest scop, el cuprinde câteva dispoziții care acoperă anumite părți din obiectul de reglementare al Directivei 2002/58/CE („Directiva asupra confidențialității și comunicațiilor electronice”) (21) și stabilește principiul conform căruia normele de protecție a drepturilor fundamentale trebuie aplicate într-un mod consecvent și armonios în întreaga Uniune, făcând trimitere la instrumente relevante precum Directiva asupra confidențialității și comunicațiilor electronice (22). Nevoia de a asigura același nivel de confidențialitate a comunicărilor ce implică instituții ale UE rămâne neschimbată și, de aceea, principiul aplicării consecvente și armonioase trebuie păstrat. Așadar, AEPD consideră că propunerea trebuie să se asigure că normele relevante ale Regulamentului general privind protecția datelor și viitorul Regulament asupra confidențialității și comunicațiilor electronice se vor aplica instituțiilor UE mutatis mutandis. Acest lucru trebuie să includă atât păstrarea confidențialității cu privire la serviciile de comunicare controlate de instituțiile UE, cât și alte principii ale viitorului Regulament asupra confidențialității și comunicațiilor electronice, cum ar fi protecția dispozitivelor terminale și alte norme, ca de exemplu cele referitoare la urmărire și spam.

16. În fine, deși legislația UE de protecție a datelor se aplică și Spațiului Economic European, iar statele AELS participante sunt obligate să instituie autorități de supraveghere independente conform Regulamentului general privind protecția datelor, instituțiile AELS nu sunt supuse niciunor norme specifice de protecție a datelor și supraveghere, deși fac schimb de date cu caracter personal cu instituțiile UE. AEPD consideră că prezenta propunere ar putea fi o ocazie de remediere a acestei probleme.

3. CONCLUZII

90. Per total, AEPD consideră că propunerea este încununată de succes în ceea ce privește alinierea normelor pentru instituțiile UE la Regulamentul general privind protecția datelor, ținând cont de specificitățile sectorului public al UE. Nivelul înalt de protecție referitoare la prelucrarea datelor de către instituțiile UE este în general păstrat în propunere. În special, AEPD apreciază echilibrul dintre diferitele interese aflate în joc, asigurat de Comisie.

91. AEPD consideră că propunerea trebuie îmbunătățită și mai mult, în special cu privire la modalitățile de restricție prevăzute la articolul 25. Pentru a asigura conformitatea cu calitatea cerințelor legislative menționate mai sus, articolul 25 alineatul (1) din propunere trebuie modificat astfel încât numai actele juridice adoptate pe baza tratatelor să poată restricționa drepturile fundamentale, impunând astfel instituțiilor UE aceleași standarde care s-ar aplica statelor membre supuse Regulamentului general privind protecția datelor. În măsura în care este vorba de restricțiile de la articolul 34 Confidențialitatea comunicațiilor electronice, AEPD îi solicită legiuitorului UE să se asigure că eventualele restricții ale dreptului fundamental la confidențialitatea comunicațiilor aplicate de instituțiile UE în operațiunile proprii respectă aceleași standarde ca cele prevăzute în dreptul Uniunii, așa cum sunt interpretate de Curtea de Justiție în acest domeniu.

92. AEPD salută faptul că propunerea cuprinde un articol separat dedicat rolului AEPD de consilier al instituțiilor UE (articolul 42 din propunere). Totuși, aceasta este preocupată de faptul că exprimarea „în urma adoptării unor propuneri” [spre deosebire de „[î]n cazul în care adoptă o propunere legislativă” de la articolul 28 alineatul (2) din Regulamentul 45/2001] ar putea aduce în discuție angajamentul îndelungat al Comisiei Europene de a consulta AEPD cu privire la proiectele de propunere neoficial, de obicei în stadiul de consultare interservicii. Având în vedere importanța consultării neoficiale, AEPD ar saluta un considerent în care Comisia să își reitereze angajamentul față de această veche practică. De asemenea, aceasta ar susține păstrarea în propunere a formulării articolului 28 alineatul (2) din Regulamentul 45/2001 („în cazul în care adoptă”) care permite o marjă de manevră mai mare în privința sa. AEPD consideră că articolul 42 propus oferă suficiente clarificări în ceea ce privește sarcinile respective ale AEPD și ale CEPD încât să evite duplicarea inutilă în viitor.

93. AEPD consideră că posibilitatea de a externaliza funcția unui responsabil cu protecția datelor nu este potrivită pentru instituțiile UE care exercită autoritate publică. Așadar, a doua opțiune prevăzută la articolul 44 alineatul (4) („sau poate să își îndeplinească sarcinile în baza unui contract de servicii”) ar trebui ștearsă.

94. AEPD salută articolul 66 din propunere, care îi acordă AEPD puterea de a aplica amenzi administrative. Aceasta consideră că lipsirea autorității de supraveghere a UE de posibilitatea de a aplica amenzi administrative, după caz, ar oferi instituțiilor UE posibilitatea să beneficieze de o poziție privilegiată comparativ cu instituțiile din sectorul public din multe state membre.

95. AEPD consideră că mecanismele de certificare ar putea constitui un instrument foarte util pentru instituțiile UE și că acestea sunt deja utilizate în anumite contexte, de exemplu în certificarea conformității cu standardele general acceptate. Așadar, trimiteri la utilizarea certificării (dar nu coduri de conduită) ar trebui adăugate la articolul 26 „Responsabilitatea operatorului”, la articolul 27 „Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit”, precum și la articolul 33 „Securitatea”.

96. Deși prezentul aviz precizează o serie de domenii în care propunerea ar putea fi îmbunătățită și mai mult, AEPD încurajează legiuitorul UE să ajungă la un acord cu privire la propunere cât mai repede cu putință pentru a le permite instituțiilor europene să beneficieze de o perioadă de tranziție rezonabilă înainte ca noul regulament să devină aplicabil în același timp cu Regulamentul general privind protecția datelor, în luna mai 2018.

Bruxelles, 15 martie 2017. Giovanni BUTTARELLI Autoritatea Europeană pentru Protecția Datelor

(1) COM(2017) 8 final; 2017/0002 (COD) (later, „the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (JO L 183, 12.7.2002, p. 1).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (JO C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: „Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication „A comprehensive approach on personal data in the European Union” (JO L 181, 22.6.2011, p. 1).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in JO L 135 24.05.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor’s Office, COM(2013) 534 final. See also the Council General approach [First reading] on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf.

(17) EDPS Opinion 3/2015 „Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf.

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm.

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of theCouncil of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications, JO L 201, 31.7.2002, p. 37, as amended (later, „the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.