C 378/399

P7_TA(2014)0212

Protecţia persoanelor fizice referitor la prelucrarea datelor cu caracter personal ***I

Rezoluţia legislativă a Parlamentului European din 12 martie 2014 referitoare la propunerea de regulament al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor) (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD))

(Procedura legislativă ordinară: prima lectură)

(2017/C 378/55)

Parlamentul European,

(1) JO C 229, 31.7.2012, p. 90.

(2) JO C 192, 30.6.2012, p. 7.

P7_TC1-COD(2012)0011

Poziția Parlamentului European adoptată în primă lectură la 12 martie 2014 în vederea adoptării Regulamentului (UE) nr. …/2014 al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor)

(Text cu relevanță pentru SEE)

PARLAMENTUL EUROPEAN ȘI CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 16 alineatul (2) și articolul 114 alineatul (1),

având în vedere propunerea Comisiei Europene,

după transmiterea proiectului de act legislativ către parlamentele naționale,

având în vedere avizul Comitetului Economic și Social European (1),

după consultarea Comitetului Regiunilor,

având în vedere avizulAutorității Europene pentru Protecția Datelor (2),

hotărând în conformitate cu procedura legislativă ordinară (3),

întrucât:

(1) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental. Articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene (Carta) și articolul 16 alineatul (1) din tratat prevăd că orice persoană are dreptul la protecția datelor cu caracter personal care o privesc.

(2) Prelucrarea datelor cu caracter personal este în serviciul cetățeanului; principiile și normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal ar trebui, indiferent de cetățenia sau de locul de reședință al persoanelor fizice, să respecte drepturile și libertățile fundamentale ale acestora, în special dreptul la protecția datelor cu caracter personal. Aceasta ar trebui să contribuie la realizarea unui spațiu de libertate, securitate și justiție și a unei uniuni economice, la progresul economic și social, la consolidarea și convergența economiilor în cadrul pieței interne și la bunăstarea persoanelor fizice.

(3) Directiva 95/46/CE a Parlamentului European și a Consiliului (4) vizează armonizarea nivelului de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește activitățile de prelucrare și garantarea liberei circulații a datelor cu caracter personal între statele membre.

(4) Integrarea economică și socială care rezultă din funcționarea pieței interne a condus la o creștere substanțială a fluxurilor transfrontaliere. Schimbul de date între actorii economici și sociali, publici și privați s-a intensificat în întreaga Uniune. Conform dreptului Uniunii, autoritățile naționale sunt chemate să coopereze și să facă schimb de date cu caracter personal pentru a putea să își îndeplinească atribuțiile sau să execute sarcini în numele unei autorități într-un alt stat membru.

(5) Evoluțiile tehnologice rapide și globalizarea au generat noi provocări pentru protecția datelor cu caracter personal. Amploarea schimbului și a colectării de date a crescut spectaculos. Tehnologia permite atât societăților private, cât și autorităților publice să utilizeze date cu caracter personal la un nivel fără precedent în cadrul activităților lor. Din ce în ce mai multe persoane fizice fac publice la nivel mondial informații cu caracter personal. Tehnologia a transformat deopotrivă economia și viața socială și necesită facilitarea în continuare a liberei circulații a datelor în cadrul Uniunii și a transferului către țări terțe și organizații internaționale, asigurând, totodată, un nivel ridicat de protecție a datelor cu caracter personal.

(6) Aceste evoluții impun construirea unui cadru solid și mai coerent în materie de protecție a datelor în Uniune, însoțit de o aplicare riguroasă a normelor, luând în considerare importanța creării unui climat de încredere care va permite economiei digitale să se dezvolte pe piața internă. Persoanele fizice ar trebui să aibă control asupra propriilor date cu caracter personal, iar securitatea juridică și practică pentru persoane fizice, operatori economici și autorități publice ar trebui să fie consolidată.

(7) Obiectivele și principiile Directivei 95/46/CE rămân solide, dar aceasta nu a prevenit fragmentarea modului în care protecția datelor este pusă în aplicare în Uniune, incertitudinea juridică și percepția publică larg răspândită conform căreia există riscuri semnificative pentru protecția persoanelor fizice care au legătură, în special, cu activitatea online. Diferențele dintre nivelurile de protecție a drepturilor și libertăților persoanelor fizice, în special a dreptului la protecția datelor cu caracter personal, în ceea ce privește prelucrarea datelor cu caracter personal permisă în statele membre pot împiedica libera circulație a datelor cu caracter personal în întreaga Uniune. Aceste diferențe pot constitui, prin urmare, un obstacol în desfășurarea de activități economice la nivelul Uniunii, pot denatura concurența și pot împiedica autoritățile să îndeplinească responsabilitățile care le revin în temeiul dreptului Uniunii. Această diferență între nivelurile de protecție este cauzată de existența unor deosebiri în ceea ce privește transpunerea și aplicarea Directivei 95/46/CE.

(8) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date trebuie să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune.

(9) Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea și detalierea drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal, ci și competențe echivalente pentru monitorizarea și asigurarea conformității cu normele de protecție a datelor cu caracter personal și sancțiuni echivalente pentru autorii infracțiunilor în statele membre.

(10) Articolul 16 alineatul (2) din tratat mandatează Parlamentul European și Consiliul să stabilească normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal, precum și normele privind libera circulație a acestor date.

(11) În vederea asigurării unui nivel uniform de protecție pentru persoanele fizice în întreaga Uniune și a preîntâmpinării discrepanțelor care împiedică libera circulație a datelor în cadrul pieței interne, este necesar un regulament în scopul de a furniza securitate juridică și transparență pentru operatorii economici, inclusiv microîntreprinderile și întreprinderile mici și mijlocii, precum și de a oferi persoanelor fizice în toate statele membre același nivel de drepturi garantate din punct de vedere juridic, de obligații și de responsabilități pentru operatori și persoanele împuternicite de aceștia, pentru a se asigura o monitorizare coerentă a prelucrării datelor cu caracter personal, sancțiuni echivalente în toate statele membre, precum și cooperarea efectivă a autorităților de supraveghere ale diferitelor state membre. Pentru a se lua în considerare situația specifică a microîntreprinderilor și a întreprinderilor mici și mijlocii, prezentul regulament include mai multe derogări. În plus, instituțiile și organismele Uniunii, statele membre și autoritățile lor de supraveghere sunt încurajate să ia în considerare necesitățile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii în aplicarea prezentului regulament. Noțiunea de microîntreprinderi și de întreprinderi mici și mijlocii ar trebui să se bazeze pe Recomandarea 2003/361/CE a Comisiei (5).

(12) Protecția conferită de prezentul regulament vizează persoanele fizice, indiferent de cetățenia sau de locul de reședință al acestora, în ceea ce privește prelucrarea datelor cu caracter personal. Referitor la prelucrarea datelor care privesc persoane juridice și, în special, întreprinderi cu personalitate juridică, inclusiv numele și tipul de persoană juridică și detaliile de contact ale persoanei juridice, protecția conferită de prezentul regulament nu ar trebui să poată fi invocată de nicio persoană. Aceasta ar trebui să se aplice, de asemenea, în cazul în care numele persoanei juridice conține numele uneia sau mai multor persoane fizice.

(13) Protecția persoanelor fizice ar trebui să fie neutră din punct de vedere tehnologic și să nu depindă de tehnicile utilizate, în caz contrar, creându-se un risc serios de eludare. Protecția persoanelor fizice ar trebui să se aplice prelucrării datelor cu caracter personal prin mijloace automate, precum și prelucrării manuale, în cazul în care datele sunt cuprinse sau destinate să fie cuprinse într-un sistem de evidență. Dosarele sau seturile de dosare, precum și copertele acestora, care nu sunt structurate în conformitate cu criterii specifice, nu ar trebui să intre în domeniul de aplicare a prezentului regulament.

(14) Prezentul regulament nu se referă nici la chestiuni de protecție a drepturilor și libertăților fundamentale, nici la libera circulație a datelor referitoare la activități care nu intră în domeniul de aplicare a dreptului Uniunii, nici la prelucrarea datelor cu caracter personal de către instituțiile, organismele, oficiile și agențiile Uniunii. , care fac obiectul Regulamentului Regulamentul (CE) nr. 45/2001, și nici la prelucrarea datelor cu caracter personal de către statele membre atunci când desfășoară activități legate de politica externă și de securitate comună a Uniunii. al Parlamentului European și al Consiliului (6) ar trebui adaptat la prezentul regulament și aplicat în conformitate cu prezentul regulament . [AM 1]

(15) Prezentul regulament nu ar trebui să se aplice prelucrării datelor cu caracter personal de către o persoană fizică, care sunt exclusiv personale , familiale sau casnice, cum ar fi corespondența și repertoriul de adrese fără niciun scop lucrativ și, prin urmare, sau vânzarea directă și fără nicio legătură cu o activitate profesională sau comercială. Exceptarea ar trebui, de asemenea, Cu toate acestea, prezentul regulament ar trebui să nu se aplice operatorilor și persoanelor împuternicite de către operatori care furnizează mijloacele de prelucrare a datelor cu caracter personal pentru astfel de activități personale sau domestice. [AM 2]

(16) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și libera circulație a acestor date fac obiectul unui instrument juridic specific la nivelul Uniunii. Prin urmare, prezentul regulament nu ar trebui să se aplice activităților de prelucrare în aceste scopuri. Cu toate acestea, datele prelucrate de către autoritățile publice în temeiul prezentului regulament, în cazul în care sunt utilizate în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor ar trebui să fie reglementate de un instrument juridic mai specific la nivelul Uniunii (Directiva 2014/…/UE a Parlamentului European și a Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și la libera circulație a acestor date).

(17) Prezentul regulament nu ar trebui să aducă atingere aplicării Directivei 2000/31/CE a Parlamentului European și a Consiliului (7), în special normelor privind răspunderea furnizorilor intermediari de servicii prevăzute la articolele 12 – 15 din directiva menționată.

(18) Prezentul regulament permite luarea în considerare a principiului accesului publicului la documente oficiale, în aplicarea dispozițiilor prevăzute de acesta. Datele cu caracter personal din documentele deținute de către o autoritate publică sau un organism public pot fi divulgate de respectiva autoritate sau de respectivul organism în conformitate cu dreptul Uniunii sau legislația statelor membre privind accesul public la documentele oficiale, care conciliază dreptul la protecția datelor cu caracter personal cu dreptul publicului de acces la documentele oficiale și servește în mod echitabil diversele interese în joc. [AM 3]

(19) Orice prelucrare în Uniune a datelor cu caracter personal în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de către operator ar trebui efectuată în conformitate cu prezentul regulament, indiferent dacă procesul de prelucrare în sine are loc sau nu în cadrul Uniunii. Stabilirea implică exercitarea efectivă și reală a unei activități în cadrul unor înțelegeri stabile. Forma juridică a unor astfel de înțelegeri, prin intermediul unei sucursale sau al unei filiale cu personalitate juridică, nu este factorul determinant în această privință.

(20) Pentru a se asigura că persoanele fizice nu sunt lipsite de protecția la care au dreptul în temeiul prezentului regulament, prelucrarea datelor cu caracter personal ale persoanelor vizate care își au reședința în din Uniune de către un operator care nu este stabilit în Uniune ar trebui să facă obiectul prezentului regulament în cazul în care activitățile de prelucrare au legătură cu oferirea de bunuri sau servicii , indiferent dacă sunt sau nu cu plată, unor astfel de persoane vizate sau cu monitorizarea comportamentului acestor persoane vizate . Pentru a determina dacă un astfel de operator oferă bunuri sau servicii unor astfel de persoane vizate în Uniune, ar trebui să se stabilească dacă reiese că operatorul intenționează să furnizeze servicii persoanelor vizate din unul sau mai multe state membre din Uniune. [AM 4]

(21) Pentru a se determina dacă o activitate de prelucrare poate fi considerată ca „monitorizare” a comportamentului persoanelor vizate, ar trebui să se analizeze dacă persoanele fizice sunt urmărite pe internet cu , indiferent de sursa datelor, sau dacă alte date referitoare la aceste persoane sunt colectate, inclusiv din registre și anunțuri publice din Uniune care sunt accesibile din afara Uniunii, inclusiv cu intenția de a utiliza sau în vederea unei eventuale utilizări ulterioare a unor tehnici de prelucrare a datelor care constau în aplicarea unui „profil”unei persoane fizice, în special în scopul de a lua decizii cu privire la aceasta sau de a analiza sau de a face previziuni referitoare la preferințele personale, comportamentele și atitudinile acesteia. [AM 5]

(22) În cazul în care legislația națională a unui stat membru se aplică în temeiul dreptului internațional public, prezentul regulament ar trebui să se aplice, de asemenea, unui operator care nu este stabilit în Uniune, ci, de exemplu, într-o misiune diplomatică sau într-un oficiu consular al unui stat membru.

(23) Principiile protecției datelor ar trebui să se aplice oricărei informații referitoare la o persoană fizică identificată sau identificabilă. Pentru a se determina dacă o persoană este identificabilă, ar trebui să se ia în considerare toate mijloacele care pot fi utilizate în mod rezonabil fie de operator, fie de orice altă persoană în scopul identificării sau scoaterii în evidență a persoanei fizice respective , în mod direct sau indirect . Pentru a determina ce mijloace este posibil, în mod rezonabil, să fie utilizate pentru identificarea persoanei, ar trebui luați în considerare toți factorii obiectivi, precum costurile și intervalul de timp necesare pentru identificare, ținându-se seama atât de tehnologia disponibilă la momentul prelucrării, cât și de dezvoltarea tehnologică. Principiile protecției datelor nu ar trebui astfel să se aplice datelor anonimizate astfel încât persoana vizată să nu mai fie identificabilă anonime, care reprezintă informații care nu se referă la o persoană fizică identificată sau identificabilă. Prin urmare, prezentul regulament nu se aplică prelucrării unor astfel de date anonime, inclusiv în cazul în care acestea sunt utilizate în scopuri statistice sau pentru cercetare. [AM 6]

(24) Atunci când utilizează servicii online, persoanele fizice pot fi asociate cu Prezentul regulament ar trebui să se aplice operațiunile de prelucrare care implică identificatorii online furnizați de dispozitivele, aplicațiile, instrumentele și protocoalele lor, cum ar fi adresele IP sau identificatorii cookie sau etichetele de identificare prin frecvențe radio, cu excepția cazului în care acești identificatori nu se referă la o persoană fizică identificată sau identificabilă . Aceștia pot lăsa urme care, combinate cu identificatorii unici și alte informații primite de servere, pot fi utilizate pentru crearea de profiluri ale persoanelor fizice și pentru identificarea lor. Prin urmare, numerele de identificare, datele de localizare, identificatorii online sau alți factori specifici nu trebuie neapărat să fie considerați ca atare date cu caracter personal în toate circumstanțele. [AM 7]

(25) Consimțământul ar trebui acordat în mod explicit prin orice metodă corespunzătoare care permite manifestarea liberă, specifică și informată a voinței persoanei vizate, fie printr-o declarație sau printr-un act neechivoc al acesteia care este rezultatul alegerii făcute de aceasta , asigurându-se că persoana fizică este conștientă de faptul că își dă consimțământul pentru prelucrarea datelor cu caracter personal, inclusiv prin . Actul neechivoc ar putea include bifarea unei căsuțe atunci când persoana vizitează un site internet sau prin orice altă declarație sau acțiune care indică în mod clar în acest context acceptarea de către persoana vizată a prelucrării propuse a datelor sale cu caracter personal. Prin urmare, absența unui răspuns , simpla utilizare a unui serviciu sau a unei acțiuni nu ar trebui să constituie un consimțământ. Consimțământul ar trebui să vizeze toate activitățile de prelucrare efectuate în același scop sau în aceleași scopuri. În cazul în care consimțământul persoanei vizate trebuie acordat în urma unei cereri electronice, aceasta trebuie să fie clară și concisă și să nu perturbe în mod inutil utilizarea serviciului pentru care se acordă consimțământul. [AM 8]

(26) Datele cu caracter personal referitoare la sănătate ar trebui să includă, în special, toate datele având legătură cu starea de sănătate a persoanei vizate; informații privind înscrierea persoanei fizice pentru acordarea de servicii medicale; informații privind plățile pentru asistență medicală efectuate de persoana fizică sau privind eligibilitatea acesteia pentru acordarea de asistență medicală; un număr, simbol sau semn distinctiv atribuit unei persoane fizice pentru identificarea unică a acesteia în scopuri medicale; orice informații privind persoana fizică respectivă colectate în cadrul furnizării de servicii de sănătate pentru aceasta; informații rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale, inclusiv eșantioane de material biologic; identificarea unei persoane ca furnizor de asistență medicală pentru persoana fizică respectivă sau orice informații privind, de exemplu, o boală, un handicap, un risc de îmbolnăvire, un tratament clinic sau o boală, istoricul medical, tratamentul clinic sau starea psihologică sau biomedicală efectivă a persoanei vizate, indiferent de sursa acestora, cum ar fi de exemplu, un medic sau un alt cadru medical, un spital, un dispozitiv medical sau un test de diagnostic in vitro.

(27) Sediul principal al unui operator în Uniune ar trebui să fie determinat conform unor criterii obiective și ar trebui să implice exercitarea efectivă și reală a unor activități de gestionare care să determine principalele decizii cu privire la scopurile, condițiile și mijloacele de prelucrare în cadrul unor înțelegeri stabile. Acest criteriu nu ar trebui să depindă de realizarea efectivă a prelucrării datelor cu caracter personal în locul respectiv; prezența și utilizarea mijloacelor tehnice și a tehnologiilor de prelucrare a datelor cu caracter personal sau activitățile de prelucrare nu constituie, în sine, un astfel de sediu principal și, prin urmare, nu sunt criteriul determinant în acest sens. Sediul principal al persoanei împuternicite de către operator ar trebui să fie locul în care se află administrația centrală a acestuia în Uniune.

(28) Un grup de întreprinderi ar trebui cuprindă o întreprindere care exercită controlul și întreprinderile controlate de aceasta, în cadrul căruia întreprinderea care exercită controlul ar trebui să fie întreprinderea care poate exercita o influență dominantă asupra celorlalte întreprinderi, de exemplu, în temeiul proprietății, al participării financiare sau al regulilor care o reglementează sau al competenței de a pune în aplicare normele în materie de protecție a datelor cu caracter personal.

(29) Copii au nevoie de o protecție specifică a datelor lor cu caracter personal, întrucât pot fi mai puțin conștienți de riscurile, consecințele, garanțiile și drepturile lor în ceea ce privește prelucrarea datelor cu caracter personal. Pentru a se determina condițiile în care o persoană fizică este minor, prezentul regulament ar trebui să preia definiția stabilită în Convenția Organizației Națiunilor Unite privind drepturile copilului. Atunci când prelucrarea datelor se bazează pe exprimarea consimțământului de către persoana vizată cu privire la oferirea de bunuri sau servicii în mod direct unui minor, consimțământul ar trebui să fie acordat de părintele sau tutorele acestuia în cazul minorilor cu vârsta sub 13 ani. Atunci când publicul vizat este constituit din copii, ar trebui utilizat un limbaj adecvat vârstei. Alte motive pentru legalitatea prelucrării, precum motive de interes public ar trebui să rămână aplicabile, ca, de exemplu, prelucrarea în contextul serviciilor de prevenire sau consiliere oferite direct copiilor. [AM 9]

(30) Orice prelucrare a datelor cu caracter personal ar trebui să fie legală, echitabilă și transparentă în raport cu persoanele fizice vizate. În special, scopurile specifice în care datele sunt prelucrate ar trebui să fie explicite și legitime și să fie determinate la momentul colectării datelor. Datele ar trebui să fie adecvate, relevante și limitate la minimum necesar scopurilor în care datele sunt prelucrate; aceasta necesită, în special, asigurarea faptului că datele colectate nu sunt excesive și că perioada pentru care datele sunt stocate este limitată strict la minimum. Datele cu caracter personal ar trebui prelucrate doar în cazul în care scopul prelucrării nu ar putea fi îndeplinit prin alte mijloace. Ar trebui să fie luate toate măsurile rezonabile pentru a se asigura că datele cu caracter personal care sunt inexacte sunt rectificate sau șterse. În vederea asigurării faptului că datele nu sunt păstrate mai mult timp decât este necesar, ar trebui să se stabilească de către operator termene pentru ștergere sau revizuire periodică.

(31) Pentru ca prelucrarea datelor cu caracter personal să fie legală, aceasta ar trebui efectuată pe baza consimțământului persoanei în cauză sau în temeiul unui alt motiv legitim, prevăzut de lege, fie în prezentul regulament, fie în alt act legislativ al Uniunii sau al statului membru la care se face referire în prezentul regulament. În cazul unui minor sau al unei persoane lipsite de capacitate juridică, legislația aplicabilă a Uniunii sau a statutului membru ar trebui să determine condițiile în care consimțământul este exprimat sau autorizat de persoana respectivă. [AM 10]

(32) În cazul în care prelucrarea se bazează pe consimțământul persoanei vizate, sarcina probei cu privire la faptul că persoana vizată și-a dat consimțământul pentru operațiunea de prelucrare îi revine operatorului. În special, în contextul unei declarații scrise cu privire la un alt aspect, garanțiile ar trebui să asigure că persoana vizată este conștientă de faptul că și-a dat consimțământul și în ce măsură a făcut acest lucru. În vederea respectării principiului de reducere la minimum a datelor, sarcina probei nu ar trebui să presupună identificarea pozitivă a persoanelor vizate, decât dacă acest lucru este necesar. La fel ca dispozițiile de drept civil (Directiva 93/13/CEE) (8) , politicile privind protecția datelor ar trebui să fie cât mai clare și mai transparente posibil. Acestea nu ar trebui să conțină clauze ascunse sau dezavantajoase. Nu poate fi acordat consimțământul pentru prelucrarea datelor cu caracter personal ale unor terțe persoane. [AM 11]

(33) Pentru a se asigura consimțământul liber, ar trebui să se precizeze că un consimțământ nu constituie un temei juridic valabil în cazul în care persoana fizică nu dispune cu adevărat de libertatea de a alegere și ulterior nu poate să refuze sau să își retragă consimțământul fără a fi prejudiciată. Aceasta se aplică, în special, în cazul în care operatorul este o autoritate publică care poate impune o obligație în virtutea competențelor sale publice relevante, iar consimțământul nu poate fi considerat ca fiind acordat în mod liber. Utilizarea unor opțiuni automate pe care persoana vizată trebuie să le modifice pentru a se opune prelucrării datelor, cum ar fi căsuțele pre-marcate, nu exprimă liberul consimțământ. Consimțământul pentru prelucrarea unor date cu caracter personal suplimentare, care nu sunt necesare pentru furnizarea unui serviciu, nu ar trebui solicitate pentru utilizarea serviciului respectiv. Atunci când consimțământul este retras se poate permite terminarea sau neexecutarea unui serviciu care depinde de datele respective. Atunci când atingerea scopului urmărit este neclară, operatorul ar trebui să ofere periodic persoanei vizate informații cu privire la prelucrare și cererea de reafirmare a consimțământului. [AM 12]

(34) Consimțământul nu ar trebui să constituie un temei juridic valabil pentru prelucrarea datelor cu caracter personal în cazul în care există un dezechilibru evident între persoana vizată și operator. Acest lucru este valabil, în special, atunci când persoana vizată se află într-o situație de dependență în raport cu operatorul, printre altele, în cazul în care datele cu caracter personal ale angajaților sunt prelucrate de către angajator în contextul ocupării unui loc de muncă. În cazul în care operatorul este o autoritate publică, nu ar exista un dezechilibru decât în ceea ce privește operațiuni specifice de prelucrare a datelor în cadrul cărora autoritatea publică poate impune o obligație în temeiul competențelor sale publice relevante, iar consimțământul nu poate fi considerat ca fiind acordat în mod liber, ținându-se cont de interesul persoanei vizate. [AM 13]

(35) Prelucrarea ar trebui să fie legală în cazul în care este necesară în cadrul unui contract sau în vederea încheierii unui contract.

(36) În cazul în care prelucrarea este efectuată în conformitate cu o obligație legală a operatorului sau în cazul în care prelucrarea este necesară pentru îndeplinirea unei sarcini de interes public sau în exercitarea autorității publice, prelucrarea ar trebui să aibă un temei juridic în dreptul Uniunii sau în legislația unui stat membru care îndeplinește cerințele prevăzute de Carta, pentru orice limitare a drepturilor și libertăților. Acest lucru ar trebui să se aplice, de asemenea, acordurilor colective care pot fi recunoscute în temeiul legislației naționale ca având validitate generală. De asemenea, este de competența dreptului Uniunii sau a legislației naționale să determine dacă operatorul care îndeplinește o sarcină de interes public sau în exercitarea autorității publice ar trebui să fie o administrație publică sau altă persoană fizică sau juridică de drept public sau privat, cum ar fi o asociație profesională. [AM 14]

(37) Prelucrarea datelor cu caracter personal ar trebui, de asemenea, să fie considerată legală în cazul în care este necesară în scopul asigurării protecției unui interes care este esențial pentru viața persoanei vizate.

(38) Interesele legitime ale operatorului sau, în cazul divulgării, ale părții terțe ale cărei date sunt divulgate, pot constitui un temei juridic pentru prelucrare, cu condiția să răspundă așteptărilor rezonabile ale persoanei vizate în baza raportului acesteia cu operatorul și să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate. Aceasta ar necesita o evaluare atentă, în special în cazul în care persoana vizată este un minor, întrucât minorii necesită o protecție specifică. Ar trebui considerat că prelucrarea de date pseudonime îndeplinește așteptările rezonabile ale persoanei vizate în baza raportului acesteia cu operatorul, cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate. Persoana vizată ar trebui să aibă dreptul gratuit la opoziție în ceea ce privește prelucrarea, din motive legate de situația sa particulară. Pentru a se asigura transparența, operatorul ar trebui să aibă obligația de a informa în mod explicit persoana vizată cu privire la interesele legitime urmărite și dreptul la opoziție și, de asemenea, ar trebui să aibă obligația de a documenta aceste interese legitime. Interesele sau drepturile și libertățile fundamentale ale persoanei vizate pot prevala în special în raport cu interesul operatorului de date atunci când datele sunt prelucrate în circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o prelucrare suplimentară. Întrucât legiuitorul trebuie să furnizeze temeiul juridic pentru prelucrarea datelor de către autoritățile publice, acest temei juridic nu ar trebui să se aplice prelucrării de către autoritățile publice în îndeplinirea sarcinilor care le revin. [AM 15]

(39) Prelucrarea datelor în măsura strict necesară și proporțională în scopul asigurării securității rețelelor și a informațiilor, și anume capacitatea unei rețele sau a unui sistem de informații de a face față, la un anumit nivel de încredere, evenimentelor accidentale sau acțiunilor ilegale sau rău intenționate care compromit disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor stocate sau transmise, precum și securitatea serviciilor conexe oferite de aceste rețele și sisteme sau accesibile prin intermediul acestora, de către autoritățile publice, echipele de intervenție în caz de urgență informatică (CERT), echipele de intervenție în cazul producerii unor incidente care afectează securitatea informatică (CSIRT), furnizorii de rețele și servicii de comunicații electronice, precum și de către furnizorii de servicii și tehnologii de securitate, constituie un interes legitim al operatorului de date în cauză. Acesta ar putea include, de exemplu, prevenirea accesului neautorizat la rețelele de comunicații electronice și a difuzării de coduri dăunătoare și oprirea atacurilor de „blocare a serviciului”, precum și prevenirea daunelor aduse calculatoarelor și sistemelor de comunicații electronice. Acest principiu se aplică de asemenea prelucrării de date cu caracter personal în vederea restricționării accesului abuziv la rețele sau sisteme informatice disponibile în mod public, sau a utilizării abuzive a acestora, cum ar fi introducerea pe o listă neagră a unor identificatori electronici. [AM 16]

(39a) Cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, prevenirea sau limitarea daunelor pentru operatorul de date ar trebui considerate ca fiind realizate în interesul legitim al operatorului de date sau, în cazul divulgării, al unei părți terțe căreia îi sunt divulgate datele, și ca satisfăcând așteptările legitime ale persoanei vizate în baza raportului acesteia cu operatorul. Același principiu se aplică, de asemenea, obținerii drepturilor în instanță în legătură cu o persoană vizată, precum recuperarea unei datorii sau obținerea unor despăgubiri sau reparații. [AM 17]

(39b) Cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, prelucrare datelor cu caracter personal în scopuri de marketing direct pentru propriile produse și servicii sau pentru produse și servicii similare sau în scopuri marketing direct prin poștă ar trebui considerată ca fiind realizată în interesul legitim al operatorului de date sau, în cazul divulgării, al unei părți terțe căreia îi sunt divulgate datele, și ca satisfăcând așteptările legitime ale persoanei vizate în baza raportului acesteia cu operatorul, dacă informațiile cu privire la dreptul de a se opune sunt în mod evident vizibile și este oferită sursa datelor cu caracter personal. Prelucrarea datelor de contact comerciale ar trebui considerată în general ca fiind realizată în interesul legitim al operatorului de date sau, în cazul divulgării, al unei părți terțe căreia îi sunt divulgate datele, și ca satisfăcând așteptările legitime ale persoanei vizate în baza raportului acesteia cu operatorul. Același lucru se aplică și prelucrării de date făcute în mod evident publice de persoana vizată. [AM 18]

(40) Prelucrarea datelor cu caracter personal în alte scopuri ar trebui să fie permisă doar atunci când prelucrarea este compatibilă cu scopurile în care datele au fost inițial colectate, în special în cazul în care prelucrarea este necesară în scopuri de cercetare istorică, statistică sau științifică. În cazul în care celălalt scop nu este compatibil cu scopul inițial în care datele sunt colectate, operatorul ar trebuie să obțină consimțământul persoanei vizate cu privire la acest alt scop sau ar trebui să întemeieze prelucrarea legală pe un alt motiv legitim, în special în cazul în care acest fapt este prevăzut de dreptul Uniunii sau de legislația statului membru care se aplică operatorului. În orice caz, aplicarea principiilor stabilite de prezentul regulament și, în special, informarea persoanei vizate cu privire la aceste alte scopuri ar trebui să fie garantată. [AM 19]

(41) Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile și de vulnerabile în ceea ce privește drepturile fundamentale sau viața privată, necesită o protecție specifică. Astfel de date nu ar trebui să fie prelucrate, cu excepția cazului în care persoana vizată își dă consimțământul explicit. Cu toate acestea, derogări de la interdicția respectivă ar trebui prevăzute în mod explicit în ceea ce privește nevoile specifice, în special atunci când prelucrarea este efectuată în cadrul activităților legitime de către anumite asociații sau fundații al căror scop este de a permite exercitarea libertăților fundamentale. [AM 20]

(42) Derogarea de la interdicția prelucrării categoriilor de date sensibile ar trebui să fie permisă, de asemenea, în cazul în care este prevăzută de lege, sub rezerva unor garanții corespunzătoare, pentru a se asigura protecția datelor cu caracter personal și a altor drepturi fundamentale, atunci când motive de interes public justifică acest lucru și, în special, în scopuri medicale, inclusiv sănătatea publică, protecția socială și gestionarea serviciilor de asistență medicală, în special în scopul garantării calității și eficienței din punct de vedere al costurilor în ceea ce privește procedurile utilizate pentru soluționarea cererilor de prestații și servicii în sistemul asigurărilor de sănătate sau, în scopuri de cercetare istorică, statistică și științifică , sau pentru servicii de arhivare . [AM 21]

(43) În plus, prelucrarea datelor cu caracter personal de către autoritățile publice în vederea realizării obiectivelor prevăzute de dreptul constituțional sau de dreptul internațional public, ale asociațiilor religioase recunoscute oficial se efectuează din motive de interes public.

(44) În cazul în care, în cadrul activităților electorale, funcționarea sistemului democratic necesită, într-un stat membru, ca partidele politice să colecteze date privind opiniile politice ale persoanelor, prelucrarea unor astfel de date poate fi permisă din motive de interes public, cu condiția să se prevadă garanțiile corespunzătoare.

(45) Dacă datele prelucrate de către un operator nu îi permit acestuia să identifice o persoană fizică, operatorul de date nu ar trebui să aibă obligația de a obține informații suplimentare în vederea identificării persoanei vizate, cu unicul scop de a respecta una dintre dispozițiile prezentului regulament. În cazul unei cereri de acces, operatorul ar trebui să aibă dreptul de a solicita persoanei vizate mai multe informații pentru a putea să localizeze datele cu caracter personal pe care le caută persoana respectivă. Dacă persoana vizată poate furniza aceste date, operatorii nu ar trebui să fie în măsură să invoce lipsa informațiilor pentru a refuza o cerere de acces. [AM 22]

(46) Principiul transparenței prevede că orice informații care se adresează publicului sau persoanei vizate ar trebui să fie ușor accesibile și ușor de înțeles și că se utilizează un limbaj simplu și clar. Acesta este important în special în cazul în care, în situații cum ar fi publicitatea online, multitudinea actorilor și complexitatea, din punct de vedere tehnologic, a practicii, este dificil ca persoana vizată să știe și să se înțeleagă dacă datele cu caracter personal care o privesc sunt colectate, de către cine și în ce scop. Întrucât copiii necesită o protecție specifică, orice informații și orice comunicare, în cazul în care prelucrarea vizează în mod specific un minor, ar trebui să fie exprimate într-un limbaj simplu și clar, astfel încât acesta să îl poată înțelege cu ușurință.

(47) Ar trebui prevăzute modalități de facilitare a exercitării de către persoana vizată a drepturile sale stipulate de prezentul regulament, inclusiv mecanismele de a solicita obține , în mod gratuit, în special, accesul la date, rectificarea și ștergerea acestora, precum și exercitarea dreptului la opoziție. Operatorul ar trebui să fie aibă obligația de a răspunde cererilor persoanelor vizate într-un termen fix rezonabil și, în cazul în care nu se conformează cererii persoanei vizate, să motiveze acest refuz. [AM 23]

(48) Conform principiilor prelucrării echitabile și transparente, persoana vizată ar trebui să fie informată, în special, cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia, durata probabilă a stocării datelor în fiecare scop, dacă datele urmează să fie transferate unor părți terțe sau unor țări terțe, existența măsurilor pentru a se opune și a dreptului de acces, rectificare sau ștergere a datelor și dreptul de a înainta o plângere. Atunci când datele sunt colectate de la persoana vizată, aceasta ar trebui, de asemenea, să fie informată dacă are obligația de a furniza datele și care sunt consecințele în cazul unui refuz. Aceste informații ar trebui furnizate, ceea ce poate să însemne de asemenea că vor fi rapid disponibile, persoanei vizate după oferirea unor informații simplificate sub forma unor pictograme standardizate. Acest lucru ar trebui să însemne, de asemenea, că datele cu caracter personal sunt prelucrate într-un mod care permite efectiv persoanei vizate să își exerseze drepturile. [AM 24]

(49) Informațiile în legătură cu prelucrarea datelor cu caracter personal referitoare la persoana vizată ar trebui furnizate acesteia la momentul colectării sau, în cazul în care datele nu sunt colectate de la persoana vizată, într-o perioadă rezonabilă, în funcție de circumstanțele cazului. În cazul în care datele pot fi divulgate în mod legitim unui alt destinatar, persoana vizată ar trebui informată atunci când datele sunt divulgate pentru prima dată destinatarului.

(50) Cu toate acestea, nu este necesară impunerea obligației respective în cazul în care persoana vizată dispune cunoaște deja de aceste informații sau în cazul în care înregistrarea sau divulgarea datelor este prevăzută în mod expres de lege sau în cazul în care informarea persoanei vizate se dovedește imposibilă sau implică eforturi disproporționate. Acesta din urmă ar putea fi cazul în special atunci când prelucrarea se efectuează în scopuri de cercetare istorică, statistică sau științifică; în această privință, pot fi luate în considerare numărul persoanelor vizate, vechimea datelor și măsurile compensatorii adoptate. [AM 25]

(51) Orice persoană ar trebui să aibă dreptul de acces la datele colectate care o privesc și de a exercita acest drept cu ușurință, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica, în special, în ce scopuri sunt prelucrate datele cu caracter personal, pentru aproximativ ce perioadă, identitatea destinatarilor datelor cu caracter personal, care este logica generală de prelucrare a datelor cu caracter personal și care ar putea fi consecințele unei astfel de prelucrări. Acest drept nu ar trebui să aducă atingere drepturilor și libertăților altora, inclusiv secretului comercial sau proprietății intelectuale, precum în legătură cu drepturile de autor care asigură protecția programelor software. Cu toate acestea, considerațiile de mai sus nu ar trebui aibă drept rezultat refuzul de a furniza toate informațiile persoanei vizate. [AM 26]

(52) Operatorul ar trebui să ia toate măsurile rezonabile pentru a verifica identitatea unei persoane vizate care solicită acces la date, în special în contextul serviciilor online și al identificatorilor online. Un operator nu ar trebui să rețină datele cu caracter personal în scopul exclusiv de a fi în măsură să reacționeze la cereri potențiale.

(53) Orice persoană ar trebui să aibă dreptul de rectificare a datelor cu caracter personal care o privesc și „dreptul de a fi uitată la ștergere ”, în cazul în care păstrarea acestor date nu este în conformitate cu prezentul regulament. În special, persoanele vizate ar trebui să aibă dreptul ca datele lor cu caracter personal să fie șterse și să nu mai fie prelucrate, în cazul în care datele nu mai sunt necesare pentru scopurile în care sunt colectate sau sunt prelucrate, în cazul în care persoanele vizate și-au retras consimțământul pentru prelucrare sau în cazul în care acestea se opun prelucrării datelor cu caracter personal care le privesc sau în cazul în care prelucrarea datelor cu caracter personal ale acestora nu este conformă cu prezentul regulament. Acest drept este relevant în special în cazul în care persoana vizată și-a dat consimțământul când era minor și nu cunoștea pe deplin riscurile pe care le implică prelucrarea, iar ulterior dorește să elimine astfel de date cu caracter personal, în special de pe internet. Cu toate acestea, păstrarea în continuare a datelor ar trebui să fie permisă în cazul în care este necesară în scopuri de cercetare istorică, statistică și științifică, din motive de interes public în domeniul sănătății publice, pentru exercitarea dreptului la libertatea de exprimare, atunci când acest lucru este prevăzut de lege sau în cazul în care există un motiv pentru a restricționa prelucrarea datelor, în loc ca acestea să fie șterse. De asemenea, dreptul la ștergere nu ar trebui să se aplice atunci când păstrarea datelor cu caracter personal este necesară pentru executarea unui contract încheiat cu persoana vizată sau atunci când există o obligație legală de a păstra aceste date. [AM 27]

(54) Pentru a se consolida „dreptul de a fi uitat ștergere ” în mediul on-line, dreptul de ștergere ar trebui, de asemenea, să fie extins astfel încât un operator care a făcut publice date cu caracter personal fără a avea un temei juridic ar trebui să aibă obligația de a informa terții care prelucrează astfel de date că o persoană vizată le solicită să șteargă orice linkuri către datele cu caracter personal respective sau copii sau reproduceri ale acestora. În scopul asigurării acestor informații, operatorul ar trebui să ia toate măsurile rezonabile, inclusiv măsuri tehnice, în ceea ce privește datele de a căror publicare este responsabil. În legătură cu publicarea datelor cu caracter personal de către un terț, operatorul ar trebui să fie considerat responsabil de publicare, în cazul în care acesta a autorizat publicarea de către terț necesare pentru ștergerea datelor, inclusive de către terți, fără a aduce însă atingere dreptului persoanei vizate de a solicita despăgubiri. [AM 28]

(54a) Datele contestate de persoana vizată și a căror exactitate sau lipsă de exactitate nu poate fi determinată ar trebui să fie blocate până la clarificarea chestiunii. [AM 29]

(55) Pentru a se consolida în continuare controlul asupra propriilor date și dreptul lor de acces, persoanele vizate ar trebui să aibă dreptul, în cazul în care datele cu caracter personal sunt prelucrate prin mijloace electronice într-un format structurat și utilizat în mod curent, de a obține, de asemenea, o copie a datelor care le privesc într-un format electronic utilizat în mod curent. Persoana vizată ar trebui, de asemenea, să fie autorizată să transmită datele respective, pe care le-a furnizat, dintr-o aplicație automată, cum ar fi o rețea socială, către alta. Operatorii de date ar trebui să fie încurajați să dezvolte formate interoperabile care să permită portabilitatea datelor. Aceasta ar trebui să se aplice în cazul în care persoana vizată a furnizat datele sistemului de prelucrare automată, pe baza consimțământului său sau în cadrul executării unui contract. Furnizorii de servicii ale societății informaționale nu ar trebui să condiționeze furnizarea serviciilor lor de transferul acestor date . [AM 30]

(56) În cazurile în care datele cu caracter personal ar putea fi prelucrate în mod legal în scopul asigurării protecției intereselor vitale ale persoanei vizate sau din motive de interes public, de exercitare a autorității publice sau de urmărire a intereselor legitime ale unui operator, orice persoană vizată ar trebui, cu toate acestea, să aibă dreptul de a se opune prelucrării oricăror date care o privesc , gratuit și într-un mod care să poată fi invocate cu ușurință și în mod efectiv . Sarcina probei ar trebui să revină operatorului pentru a demonstra că interesele sale legitime pot prevala asupra intereselor sau a drepturilor și libertăților fundamentale ale persoanei vizate. [AM 31]

(57) În cazul în care datele cu caracter personal sunt prelucrate în scopuri de marketing direct, persoana vizată ar trebui să aibă gratuit are dreptul la opoziție cu privire la o astfel de prelucrare, care să poată fi invocat cu ușurință și în mod efectiv operatorul ar trebui să îl propună persoanei vizate într-un mod și sub o formă inteligibile, folosind un limbaj clar și simplu și care trebui să se distingă clar acest drept de alte informații . [AM 32]

(58) Fără a aduce atingere legalității prelucrării datelor, orice persoană fizică ar trebui să aibă dreptul de a nu fi supusă unei măsuri care se bazează pe se opune creării de profiluri. Crearea de profiluri prin mijloace de prelucrare automată a datelor. Cu toate acestea, o astfel de măsură care duce la măsuri care dau naștere unor efecte juridice privind persoana vizată sau care are în mod similar un impact semnificativ asupra intereselor, drepturilor și libertăților persoanei vizate ar trebui să fie permisă în cazul în care este autorizată în mod expres de lege, este efectuată în cadrul încheierii sau al executării unui contract sau în cazul în care persoana vizată și-a dat consimțământul. În orice caz, o astfel de prelucrare ar trebui să facă obiectul unor garanții corespunzătoare, inclusiv o informare specifică a persoanei vizate și dreptul de a obține apreciere umană, iar o astfel de măsură nu ar trebui să se refere la un minor. În orice caz, o astfel de prelucrare ar trebui să facă obiectul unor garanții corespunzătoare, inclusiv o informare specifică a persoanei vizate și dreptul de a obține aprecierea umană, iar o astfel de măsură nu ar trebui să se refere la un minor. Aceste măsuri nu ar trebui să ducă la discriminarea persoanelor pe baza originii rasiale sau etnice, a opiniilor politice, a religiei sau a convingerilor, a apartenenței sindicale, a orientării sexuale sau a identității de gen. [AM 33]

(58a) Crearea de profiluri bazate exclusive pe prelucrarea de date pseudonime ar trebui considerat că nu afectează semnificativ interesele, drepturile sau libertățile persoanei vizate. Atunci când crearea de profiluri, fie că se bazează pe o sursă unică de date pseudonime sau pe agregarea de date pseudonime provenite din surse diferite, permite operatorului să atribuie date pseudonime unei anume persoane vizate, datele prelucrate nu ar trebui să mai fie considerate ca fiind pseudonime. [AM 34]

(59) Dreptul Uniunii sau legislația unui stat membru pot impune restricții ale principiilor specifice, ale drepturilor de informare, acces, rectificare și ștergere sau ale dreptului la portabilitatea de acces și de obținere a datelor, ale dreptului la opoziție, ale măsurilor bazate pe crearea al creării de profiluri, precum și ale comunicării unei încălcări a securității datelor cu caracter personal persoanei vizate și ale anumitor obligații conexe ale operatorilor, în măsura în care acest lucru este necesar și proporțional într-o societate democratică pentru a se garanta siguranța publică, inclusiv protecția vieții oamenilor, în special ca răspuns la dezastre naturale sau provocate de om, prevenirea, investigarea și urmărirea penală a infracțiunilor sau a încălcării eticii în cazul profesiunilor profesiilor reglementate, alte interese publice specifice și bine definite ale Uniunii sau ale unui stat membru, în special un interes economic sau financiar important al Uniunii sau al unui stat membru, sau protecția persoanei vizate sau a drepturilor și libertăților unor terți. Aceste restricții ar trebui să fie conforme cu cerințele prevăzute de Carta și de Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale. [AM 35]

(60) Ar trebui să se stabilească responsabilitatea și răspunderea generală a operatorului pentru orice prelucrare a datelor cu caracter personal efectuată de către acesta sau în numele său , în special în ceea ce privește documentarea, securitatea datelor, evaluările de impact, responsabilul cu protecția datelor și supravegherea de către autoritățile pentru protecția datelor . În special, operatorul ar trebui să asigure și să aibă obligația de a poată demonstra conformitatea fiecărei operațiuni de prelucrare cu prezentul regulament. Aceasta ar trebui verificată de auditori interni sau externi independenți. [AM 36]

(61) Protecția drepturilor și libertăților persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal necesită adoptarea de măsuri tehnice și organizatorice corespunzătoare, atât în momentul conceperii prelucrării, cât și în cel al prelucrării în sine, pentru a se asigura îndeplinirea cerințelor prezentului regulament. În scopul asigurării și al demonstrării conformității cu prezentul regulament, operatorul ar trebui să adopte politici interne și să pună în aplicare măsuri corespunzătoare, care să respecte, în special, principiul luării în considerare a protecției datelor începând cu momentul conceperii și cel al protecției implicite a datelor. Principiul protecției datelor încă din faza de concepție necesită integrarea protecției datelor în întregul ciclu de viață al tehnologiei, de la prima fază de concepție până la distribuirea, utilizarea și eliminarea sa finală. Aceasta ar trebui să includă și responsabilitatea pentru produsele și serviciile utilizate de operator sau de persoana împuternicită de către operator. Principiul protecției implicite a datelor presupune că parametrii de confidențialitate ai serviciilor și produselor ar trebui să respecte implicit principiile generale de protecție a datelor, precum minimizarea datelor și limitarea scopului. [AM 37]

(62) Protecția drepturilor și libertăților persoanelor vizate, precum și responsabilitatea și răspunderea operatorilor și a persoanei împuternicite de operator, în ceea ce privește, de asemenea, monitorizarea de către autoritățile de supraveghere și măsurile adoptate de acestea, necesită o atribuire clară a responsabilităților în temeiul prezentului regulament, inclusiv în cazul în care un operator stabilește scopurile și modalitățile prelucrării împreună cu alți operatori sau în cazul în care o operațiune de prelucrare este efectuată în numele unui operator. Acordul dintre operatorii asociați ar trebui să reflecte rolurile lor efective și relațiile lor. În cadrul prelucrării de date cu caracter personal în temeiul prezentului regulament, ar trebui să i se permită unui operator să transmită datele unui operator asociat sau unei persoane împuternicite de către operator în vederea prelucrării datelor de către aceștia în numele lui. [AM 38]

(63) Atunci când un operator care nu este stabilit în Uniune prelucrează date cu caracter personal ale unor persoane vizate care își au reședința în din Uniune, iar activitățile de prelucrare ale operatorului au legătură cu oferirea de bunuri și servicii unor astfel de persoane vizate sau cu monitorizarea comportamentului acestora, operatorul ar trebui să desemneze un reprezentant, cu excepția cazului în care operatorul este stabilit într-o țară terță care asigură un nivel adecvat de protecție sau în care prelucrarea vizează mai puțin de 5 000 de persoane în cursul unei perioade de 12 luni consecutive și nu privește categorii speciale de date cu caracter personal sau operatorul este o întreprindere mică sau mijlocie sau o autoritate publică sau un organism public sau în care operatorul oferă doar ocazional bunuri sau servicii unor astfel de persoane vizate. Reprezentantul ar trebui să acționeze în numele operatorului, putând fi contactat de orice autoritate de supraveghere. [AM 39]

(64) Pentru a se stabili dacă un operator oferă doar ocazional bunuri și servicii persoanelor vizate care își au reședința în din Uniune, ar trebui să se analizeze dacă din ansamblul activităților desfășurate de către operator rezultă că oferirea de bunuri și servicii unor astfel de persoane vizate este auxiliară activităților principale respective. [AM 40]

(65) Pentru a putea demonstra conformitatea cu prezentul regulament, operatorul sau persoana împuternicită de către operator ar trebui să actualizeze documentația necesară pentru a respecta cerințele prevăzute de prezentul regulament. Fiecare operator și fiecare persoană împuternicită de către operator ar trebui să aibă obligația de a coopera cu autoritatea de supraveghere și de a pune la dispoziția acesteia, la cerere, documentația respectivă, pentru a putea fi utilizată în scopul de a evalua respectarea prezentului regulament. Cu toate acestea, ar trebui să se acorde o atenție și o importanță egală bunelor practici și respectării obligațiilor, pe lângă cerința referitoare la o documentație completă. [AM 41]

(66) În vederea menținerii securității și a prevenirii prelucrărilor care încalcă dispozițiile prezentului regulament, operatorul sau persoana împuternicită de către operator ar trebui să evalueze riscurile inerente prelucrării și să pună în aplicare măsuri pentru atenuarea acestor riscuri. Măsurile respective ar trebui să asigure un nivel corespunzător de securitate, luând în considerare stadiul actual al tehnologiei și costurile punerii lor în aplicare în raport cu riscurile și natura datelor cu caracter personal a căror protecție trebuie asigurată. Atunci când se stabilesc standarde tehnice și măsuri organizatorice menite să asigure securitatea prelucrării, Comisia ar trebui să promoveze promovate neutralitatea tehnologică, interoperabilitatea și inovarea, și, dacă este cazul, ar trebui încurajată cooperarea cu țările terțe. [AM 42]

(67) Dacă nu este soluționată la timp și într-un mod adecvat, o încălcare a securității datelor cu caracter personal poate cauza persoanei fizice în cauză pierderi economice substanțiale și daune sociale, inclusiv fraudarea identității. Prin urmare, de îndată ce a luat cunoștință de producerea unei astfel de încălcări, operatorul ar trebui să o notifice autorității de supraveghere, fără întârziere nejustificată și, dacă este posibil, în termen de 24 maxim 72 de ore. În Dacă este cazul în care termenul de 24 de ore nu este respectat, o explicație a motivelor întârzierii ar trebui să însoțească notificarea. Persoanele fizice ale căror date cu caracter personal ar putea fi afectate negativ de încălcare ar trebui să fie notificate fără întârziere nejustificată pentru a putea să ia măsurile de precauție necesare. Ar trebui să se considere că o încălcare afectează în mod negativ datele cu caracter personal sau viața privată a unei persoane vizate în cazul în care aceasta ar putea avea drept rezultat, de exemplu, furtul sau fraudarea identității, vătămarea corporală, umilirea gravă sau afectarea reputației. Notificarea ar trebui să descrie natura încălcării securității datelor cu caracter personal și să formuleze recomandări pentru persoana fizică în cauză în scopul atenuării eventualelor efecte negative. Notificările persoanelor vizate ar trebui efectuate în cel mai scurt timp posibil în mod rezonabil și în strânsă cooperare cu autoritatea de supraveghere, respectându-se orientările furnizate de aceasta sau de alte autorități competente (de exemplu, autoritățile de aplicare a legii). De exemplu, pentru ca persoanele vizate să poată atenua un risc imediat de prejudiciere, acestea ar trebui notificate cu promptitudine, în timp ce necesitatea de a pune în aplicare măsuri corespunzătoare împotriva încălcării în continuare a securității datelor sau împotriva unor încălcări similare ale securității datelor ar putea justifica un termen mai îndelungat. [AM 43]

(68) Pentru a se determina dacă o încălcare a securității datelor cu caracter personal este notificată fără întârziere nejustificată autorității de supraveghere și persoanei vizate, ar trebui să se analizeze dacă operatorul a implementat și a aplicat măsuri tehnologice de protecție și organizatorice corespunzătoare în scopul de a stabili imediat dacă s-a produs o încălcare a securității datelor cu caracter personal și de a informa cu promptitudine autoritatea de supraveghere și persoana vizată, înainte de prejudicierea intereselor sale personale și economice, luându-se în considerare, în special, natura și gravitatea încălcării securității datelor cu caracter personal, precum și consecințele și efectele negative ale acesteia asupra persoanei vizate.

(69) La stabilirea de norme detaliate privind formatul și procedurile aplicabile notificării referitoare la încălcările securității datelor cu caracter personal, ar trebui să se acorde atenția cuvenită circumstanțelor în care a avut loc încălcarea, stabilindu-se inclusiv dacă protecția datelor cu caracter personal a fost sau nu a fost asigurată prin măsuri tehnice de protecție corespunzătoare, care să limiteze efectiv probabilitatea fraudării identității sau a altor forme de utilizare abuzivă. În plus, astfel de norme și proceduri ar trebui să țină cont de interesele legitime ale autorităților de aplicare a legii în cazurile în care divulgarea timpurie ar putea îngreuna în mod inutil investigarea circumstanțelor în care a avut loc o încălcare.

(70) Directiva 95/46/CE prevede o obligație generală de a notifica prelucrarea datelor cu caracter personal autorităților de supraveghere. Cu toate că obligația respectivă generează sarcini administrative și financiare, aceasta nu contribuie întotdeauna la îmbunătățirea protecției datelor cu caracter personal. Prin urmare, o astfel de obligație de notificare generală nediferențiată ar trebui să fie abrogată și înlocuită cu proceduri și mecanisme eficace care să pună accentul, în schimb, pe operațiunile de prelucrare care pot prezenta riscuri specifice pentru drepturile și libertățile persoanelor vizate prin însăși natura lor, prin domeniul lor de aplicare sau prin scopurile lor. În astfel de cazuri, operatorul sau persoana împuternicită de către operator ar trebui să efectueze, înainte de prelucrare, o evaluare a impactului asupra protecției datelor, care ar trebui să includă, în special, măsurile avute în vedere, garanții și mecanisme pentru asigurarea protecției datelor cu caracter personal și pentru demonstrarea conformității cu prezentul regulament.

(71) Aceasta ar trebui să se aplice, în special, sistemelor de evidență de mari dimensiuni recent instituite, care au drept obiectiv prelucrarea unui volum considerabil de date cu caracter personal la nivel regional, național sau supranațional și care ar putea afecta un număr mare de persoane vizate.

(71a) Evaluările de impact reprezintă elementul central al oricărui cadru sustenabil de protecție a datelor, garantând faptul că întreprinderile înțeleg de la început toate consecințele posibile ale operațiunilor lor de prelucrare a datelor. Dacă evaluările impactului sunt riguroase, posibilitatea apariției unei încălcări a securității datelor sau a unor operațiuni de invadare a vieții private poate fi limitată în mod fundamental. Prin urmare, evaluările impactului asupra protecției datelor ar trebui să ia în considerare gestionarea întregului ciclu de viață a datelor cu caracter personal, de la colectare la prelucrare și ștergere și să descrie în detaliu operațiunile de prelucrare avute în vedere, riscurile prezentate pentru drepturile și libertățile persoanelor vizate, măsurile avute în vedere pentru abordarea riscurilor, garanțiile, măsurile de securitate și mecanismele menite să asigure respectarea dispozițiilor prezentului regulament. [AM 44]

(71b) Operatorii ar trebui să se concentreze pe protecția datelor cu caracter personal pe durata întregului ciclu de viață al datelor, de la culegere la prelucrare și eliminare, investind de la început într-un cadru de gestionare sustenabilă a datelor și instituind un mecanism cuprinzător de asigurare a conformității. [AM 45]

(72) În unele circumstanțe ar putea fi judicios și economic ca o evaluare a impactului asupra protecției datelor să aibă o perspectivă mai extinsă decât cea a unui singur proiect, de exemplu, în cazul în care autorități sau organisme publice intenționează să instituie o aplicație sau o platformă de prelucrare comună sau în cazul în care mai mulți operatori preconizează să introducă o aplicație comună sau un mediu de prelucrare comun în cadrul unui sector sau segment industrial sau pentru o activitate orizontală utilizată pe scară largă.

(73) Evaluările impactului asupra protecției datelor ar trebui efectuate de către o autoritate publică sau un organism public în cazul în care o astfel de evaluare nu a fost deja realizată în contextul adoptării legislației naționale pe care se bazează îndeplinirea sarcinilor autorității publice sau ale organismului public și care reglementează anumite operațiuni sau serii de operațiuni de prelucrare în cauză. [AM 46]

(74) În cazul în care o evaluare a impactului asupra protecției datelor arată că operațiunile de prelucrare implică un nivel ridicat al riscurilor specifice pentru drepturile și libertățile persoanelor vizate, cum ar fi privarea persoanelor fizice de un drept, sau prin utilizarea noilor tehnologii specifice, responsabilul cu protecția datelor sau autoritatea de supraveghere ar trebui să fie consultată, înainte de începerea operațiunilor, cu privire la o prelucrare riscantă care ar putea să nu fie conformă cu prezentul regulament și pentru a face propuneri în vederea remedierii unei astfel de situații. Această O consultare a autorității de supraveghere ar trebui, de asemenea, să aibă loc în timpul elaborării fie a unei măsuri a parlamentului național, fie a unei măsuri întemeiate pe o astfel de măsură legislativă, care definește natura prelucrării și stabilește garanțiile corespunzătoare. [AM 47]

(74a) Evaluările de impact pot fi utile numai dacă operatorii își respectă angajamentele prevăzute inițial în acestea. Prin urmare, operatorii de date ar trebui să efectueze periodic evaluări ale conformității care să demonstreze că actualele mecanisme de prelucrare a datelor respectă garanțiile din evaluarea impactului asupra protecției datelor. Acestea ar trebui să demonstreze și capacitatea operatorului de date de a respecta alegerile libere ale persoanelor vizate. În plus, în cazul în care la evaluarea conformității se constată nereguli, acestea ar trebui evidențiate și ar trebui să se prezinte recomandări cu privire la modul în care se poate realiza o conformitate deplină. [AM 48]

(75) În cazul în care prelucrarea este efectuată în sectorul public sau în cazul în care, în sectorul privat, prelucrarea este efectuată de o întreprindere de mari dimensiuni privește mai mult de 5000 de persoane vizate în cursul a 12 luni sau în cazul în care activitățile de bază ale întreprinderii, indiferent de dimensiunea acesteia, implică operațiuni de prelucrare a unor date confidențiale sau operațiuni de prelucrare care necesită o monitorizare regulată și sistematică, o persoană ar trebui să acorde asistență operatorului sau persoanei împuternicite de către operator pentru monitorizarea conformității, la nivel intern, cu prezentul regulament. Atunci când se stabilește dacă se prelucrează date referitoare la un număr mare de persoane vizate, nu ar trebui luate în considerare datele arhivate care sunt protejate pentru a nu face obiectul unor operațiuni normale de acces și de prelucrare și care nu mai pot fi modificate. Acești responsabilii responsabili cu protecția datelor, fie că sunt sau nu sunt angajați ai operatorului și fie că îndeplinesc sau nu această sarcină cu normă întreagă , ar trebui să fie în măsură să își îndeplinească atribuțiile și sarcinile în mod independent și beneficiază de o protecție specială împotriva concedierii . Responsabilitatea finală ar trebui să îi revină conducerii unei organizații. Responsabilul cu protecția datelor ar trebui să fie consultat în special înaintea conceperii, achiziționării, dezvoltării și instalării de sisteme pentru prelucrarea automată a datelor cu caracter personal, pentru a se garanta respectarea principiilor luării în considerare a vieții private începând cu momentul conceperii și al respectării implicite a vieții private. [AM 49]

(75a) Responsabilul cu protecția datelor ar trebui să aibă cel puțin următoarele calificări: cunoștințe temeinice privind conținutul și punerea în aplicare a legislației privind protecția datelor, inclusiv privind măsurile și procedurile tehnice și organizatorice; cunoștințe solide privind cerințele tehnice referitoare la protecția datelor începând cu momentul conceperii și protecția implicită a datelor; cunoștințe specifice sectorului în conformitate cu dimensiunea operatorului sau a persoanei împuternicite de operator și cu gradul de sensibilitate a datelor care trebuie prelucrate; capacitatea de a efectua inspecții, consultări, documentări și analize ale fișierelor-jurnal; și capacitatea de a lucra cu reprezentanți ai lucrătorilor. Operatorul ar trebui să permită responsabilului cu protecția datelor să participe la măsuri de formare avansată pentru a-și menține nivelul de cunoștințe specializate necesare pentru îndeplinirea sarcinilor sale. Desemnarea funcției de responsabil cu protecția datelor nu presupune în mod obligatoriu ocuparea cu normă întreagă a lucrătorului respective. [AM 50]

(76) Asociațiile sau alte organisme care reprezintă categorii de operatori ar trebui încurajate, după consultarea reprezentanților angajaților, să elaboreze coduri de conduită, în limitele prezentului regulament, astfel încât să se faciliteze aplicarea efectivă a prezentului regulament, luându-se în considerare caracteristicile specifice ale prelucrării efectuate în anumite sectoare. Aceste coduri ar trebui să simplifice respectarea prezentului regulament de către întreprinderi. [AM 51]

(77) Pentru a se îmbunătăți transparența și conformitatea cu prezentul regulament, ar trebui să se încurajeze instituirea de mecanisme de certificare, precum și de sigilii și mărci standardizate în materie de protecție a datelor, care să permită persoanelor vizate să evalueze în mod rapid, fiabil și verificabil nivelul de protecție a datelor aferent produselor și serviciilor relevante. Un „sigiliu european privind protecția datelor” ar trebui să fie stabilit la nivel european pentru a crea un climat de încredere în rândul persoanelor vizate, certitudine juridică pentru operatori și, în același timp, pentru a exporta standardele europene în domeniul protecției datelor, permițând întreprinderilor din afara Europei să pătrundă mai ușor pe piețele europene prin obținerea certificării. [AM 52]

(78) Fluxurile transfrontaliere de date cu caracter personal sunt necesare pentru dezvoltarea comerțului internațional și a cooperării internaționale. Creșterea acestor fluxuri a generat noi provocări și preocupări cu privire la protecția datelor cu caracter personal. Cu toate acestea, în cazul în care se transferă date cu caracter personal din Uniune către țări terțe sau organizații internaționale, nivelul de protecție a persoanelor fizice garantat în Uniune prin prezentul regulament nu ar trebui să fie diminuat. În orice caz, transferurile către țările terțe nu pot fi efectuate decât în deplină conformitate cu prezentul regulament.

(79) Prezentul regulament nu aduce atingere acordurilor internaționale încheiate între Uniune și țări terțe în vederea reglementării transferului de date cu caracter personal, inclusiv garanții garanțiilor corespunzătoare pentru persoanele vizate , care asigură un nivel adecvat de protecție a drepturilor fundamentale ale cetățenilor . [AM 53]

(80) Comisia poate decide, cu efect în întreaga Uniune, că anumite țări terțe sau un teritoriu sau un sector de prelucrare dintr-o țară terță sau o organizație internațională oferă un nivel adecvat de protecție a datelor, furnizând astfel securitate juridică și uniformitate în Uniune în ceea ce privește țările terțe sau organizațiile internaționale care sunt considerate a furniza un astfel de nivel de protecție. În aceste cazuri, transferurile de date cu caracter personal către țările respective pot avea loc fără a fi necesar să se obțină o autorizație suplimentară. De asemenea, Comisia poate să decidă, după trimiterea unei notificări și a unei justificări complete țării terțe, să anuleze o astfel de decizie. [AM 54]

(81) În conformitate cu valorile fundamentale pe care se întemeiază Uniunea, în special protecția drepturilor omului, Comisia ar trebui, în evaluarea sa referitoare la țara terță, să ia în considerare modul în care aceasta respectă statul de drept, accesul la justiție, precum și normele și standardele internaționale în materie de drepturi ale omului.

(82) Comisia poate, de asemenea, să recunoască faptul că o țară terță sau un teritoriu sau un sector de prelucrare dintr-o țară terță sau o organizație internațională nu oferă un nivel adecvat de protecție a datelor. Orice dispoziție legislativă care prevede accesul extrateritorial la datele cu caracter personal prelucrate pe teritoriul Uniunii, fără să existe o autorizare în conformitate cu dreptul Uniunii sau al unui stat membru, ar trebui să fie considerată drept o indicație a absenței unui nivel adecvat de protecție. În consecință, transferul de date cu caracter personal către țara terță respectivă ar trebui să fie interzis. În acest caz, ar trebui să se prevadă dispoziții pentru consultări între Comisie și astfel de țări terțe sau organizații internaționale. [AM 55]

(83) În absența unei decizii privind caracterul adecvat al protecției, operatorul sau persoana împuternicită de către operator ar trebui să adopte măsuri pentru a compensa lipsa protecției datelor într-o țară terță prin intermediul unor garanții corespunzătoare pentru persoana vizată. Astfel de garanții corespunzătoare pot consta în utilizarea regulilor corporatiste obligatorii, a clauzelor standard de protecție a datelor adoptate de către Comisie, a clauzelor standard în materie de protecție a datelor adoptate de către o autoritate de supraveghere sau a clauzelor contractuale autorizate de o autoritate de supraveghere sau a altor măsuri adecvate și proporționale care sunt justificate având în vedere toate circumstanțele aferente unei operațiuni de transfer de date sau unui set de operațiuni de transfer de date și în cazurile autorizate de o autoritate de supraveghere. Respectivele garanții corespunzătoare ar trebui să sprijine respectarea adecvată a drepturilor persoanei vizate în cadrul prelucrării în interiorul UE, în special a dreptului la limitarea scopului, a dreptului de acces, rectificare și ștergere, precum și a dreptului la compensații. Respectivele garanții ar trebui să asigure în special respectarea principiilor de prelucrare a datelor cu caracter personal, să protejeze drepturile persoanelor vizate și să ofere căi de atac efective, să asigure respectarea principiilor de protecție a datelor începând cu momentul conceperii, precum și de protecție implicită a datelor, să garanteze existența unui responsabil cu protecția datelor. [AM 56]

(84) Posibilitatea ca operatorul sau persoana împuternicită de către operator să utilizeze clauze standard în materie de protecție a datelor adoptate de către Comisie sau de către o autoritate de supraveghere nu ar trebui să împiedice operatorii sau persoanele împuternicite de către aceștia să includă clauze standard în materie de protecție a datelor într-un contract mai amplu și nici să adauge alte clauze sau garanții suplimentare , atât timp acestea cât cât acestea nu contravin, direct sau indirect, clauzelor contractuale standard adoptate de către Comisie sau de către o autoritate de supraveghere sau nu prejudiciază drepturile sau libertățile fundamentale ale persoanelor vizate. Clauzele standard în materie de protecție a datelor adoptate de către Comisie ar putea acoperi situații diferite, și anume transferul de la operatori stabiliți pe teritoriul Uniunii către operatori stabiliți în afara Uniunii și de la operatori stabiliți pe teritoriul Uniunii către persoane împuternicite de către operatori, inclusiv subcontractanți, stabiliți în afara Uniunii . Operatorii și persoanele împuternicite de către operatori ar trebui să fie încurajați să ofere garanții și mai solide prin intermediul unor angajamente contractuale suplimentare care să completeze clauzele standard în materie de protecție. [AM 57]

(85) Un grup corporatist ar trebui să poată utiliza regulile corporatiste obligatorii aprobate pentru transferurile sale internaționale dinspre Uniune către organizații din cadrul aceluiași grup de întreprinderi, atâta timp cât astfel de reguli corporatiste includ principii toate principiile esențiale și drepturi exercitabile în scopul asigurării unor garanții corespunzătoare pentru transferurile sau categoriile de transferuri de date cu caracter personal. [AM 58]

(86) Ar trebui să se prevadă posibilitatea de a se efectua transferuri în anumite circumstanțe în care persoana vizată și-a dat consimțământul, în care transferul este necesar în legătură cu un contract sau cu o acțiune în justiție, în care motive importante de interes public stabilite de dreptul Uniunii sau de legislația unui stat membru impun acest lucru sau în care transferul se efectuează dintr-un registru instituit prin lege și destinat să fie consultat de către public sau de către persoane care au un interes legitim. În acest ultim caz, un astfel de transfer nu ar trebui să implice totalitatea datelor sau ansamblul categoriilor de date conținute în registru, iar atunci când registrul este destinat să fie consultat de către persoane care au un interes legitim, transferul ar trebui să fie efectuat doar la cererea persoanelor respective sau dacă acestea sunt destinatarii , luând pe deplin în considerare interesele și drepturile fundamentale ale persoanei vizate . [AM 59]

(87) Aceste derogări ar trebui să se aplice, în special, transferurilor de date solicitate și necesare pentru protecția unor motive importante de interes public, de exemplu în cazurile transferurilor internaționale de date între autoritățile din domeniul concurenței, între administrațiile fiscale sau vamale, între autoritățile de supraveghere financiară, între serviciile competente în materie de securitate socială sau de sănătate publică, sau către autoritățile competente în scopul prevenirii, identificării, investigării și urmăririi penale a infracțiunilor , inclusiv a prevenirii spălării banilor și combaterii finanțării terorismului . Transferul de date cu caracter personal ar trebui, de asemenea, să fie considerat legal în cazul în care acesta este necesar în scopul asigurării protecției unui interes esențial pentru viața persoanei vizate sau pentru viața unei alte persoane, dacă persoana vizată se află în incapacitatea de a-și da consimțământul. Transferul de date cu caracter personal pentru protecția unor astfel de motive importante de interes public ar trebui să fie utilizate doar ocazional. În fiecare caz ar trebui să se efectueze o evaluare atentă a tuturor circumstanțelor transferului. [AM 60]

(88) Transferurile care nu pot fi considerate ca fiind frecvente sau masive, ar putea, de asemenea, să fie efectuate în scopul realizării intereselor legitime urmărite de operator sau de persoana împuternicită de către operator, după ce aceștia au evaluat toate circumstanțele aferente transferului de date. Pentru prelucrarea datelor în scopuri de cercetare istorică, statistică și științifică, ar trebui să se ia în considerare așteptările legitime ale societății cu privire la creșterea nivelului de cunoștințe. [AM 61]

(89) În orice caz, atunci când Comisia nu a luat o decizie cu privire la nivelul adecvat de protecție a datelor într-o țară terță, operatorul sau persoana împuternicită de operator ar trebui să utilizeze soluții care să ofere persoanelor vizate garanția obligatorie din punct de vedere juridic că vor continua să beneficieze de drepturi fundamentale și garanții în ceea ce privește prelucrarea datelor lor în Uniune, odată ce aceste date au fost transferate, în măsura în care prelucrarea nu are un caracter masiv, repetitiv și structural . Garanția ar trebui să includă despăgubiri financiare în cazul pierderii datelor sau al accesului sau prelucrării neautorizate a acestora, precum și obligația, indiferent de legislația națională, de a furniza informații detaliate și complete cu privire la toate accesele la date de către autoritățile publice din țara terță. [AM 62]

(90) Unele țări terțe au adoptat legi, regulamente și alte instrumente legislative care au drept obiectiv să reglementeze în mod direct activitățile de prelucrare a datelor persoanelor fizice și juridice aflate sub jurisdicția statelor membre. Aplicarea extrateritorială a acestor legi, regulamente și alte instrumente legislative poate încălca dreptul internațional și poate împiedica asigurarea protecției persoanelor fizice garantată în Uniune prin prezentul regulament. Transferurile ar trebui să fie permise numai în cazul îndeplinirii condițiilor prevăzute de prezentul regulament pentru un transfer către țări terțe. Acesta ar putea fi cazul, inter alia, atunci când divulgarea este necesară dintr-un motiv important de interes public recunoscut în dreptul Uniunii sau în legislația unui stat membru care se aplică operatorului. Condițiile în care există un motiv important de interes public ar trebui precizate pe larg de către Comisie într-un act delegat. În cazurile în care operatorii și persoanele împuternicite de către operatori se confruntă cu un conflict de competență între Uniune, pe de o parte, și o țară terță, pe de altă parte, în ceea ce privește cerințele de conformitate, Comisia ar trebui să se asigure că dreptul Uniunii prevalează în toate situațiile. Comisia ar trebui să ofere îndrumare și asistență operatorului și persoanei împuternicite de către operator și ar trebui să încerce să soluționeze conflictul de competență cu țara terță în cauză. [AM 63]

(91) Fluxul transfrontalier de date cu caracter personal poate expune unui risc sporit capacitatea persoanelor fizice de a-și exercita drepturile în materie de protecție a datelor, în special pentru a-și asigura protecția împotriva utilizării sau a divulgării ilegale a acestor informații. În același timp, autoritățile de supraveghere pot constata că se află în imposibilitatea de a trata plângeri sau de a efectua investigații referitoare la activitățile desfășurate în afara frontierelor lor. Eforturile acestora de a conlucra în context transfrontalier pot fi, de asemenea, îngreunate de insuficiența competențelor de prevenire sau remediere, de caracterul eterogen al regimurilor juridice și de existența unor obstacole de ordin practic, cum ar fi constrângerile în materie de resurse. Prin urmare, este necesar să se promoveze o cooperare mai strânsă între autoritățile de supraveghere a protecției datelor pentru a putea face schimb de informații și a desfășura investigații împreună cu omologii lor internaționali.

(92) Instituirea în statele membre a unor autorități de supraveghere care să își exercite atribuțiile în deplină independență este un element esențial al protecției persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. Statele membre pot institui mai multe autorități de supraveghere, pentru a reflecta structura lor constituțională, organizatorică și administrativă. O astfel de autoritate dispune de resurse financiare și de personal adecvate pentru a-și îndeplini pe deplin rolul, ținând seama de mărimea populației și de volumul de prelucrare a datelor cu caracter personal. [AM 64]

(93) În cazul în care un stat membru instituie mai multe autorități de supraveghere, acesta ar trebui să stabilească prin lege mecanisme care să asigure participarea efectivă a autorităților de supraveghere respective la mecanismul pentru asigurarea coerenței. Statul membru respectiv ar trebui, în special, să desemneze autoritatea de supraveghere care îndeplinește funcția de punct unic de contact pentru participarea efectivă a acestor autorități la mecanism, în scopul asigurării unei cooperări rapide și armonioase cu alte autorități de supraveghere, cu Comitetul european pentru protecția datelor și cu Comisia.

(94) Fiecare autoritate de supraveghere ar trebui să beneficieze de resurse financiare și umane adecvate, asigurându-se în special că personalul dispune de competențe tehnice și juridice adecvate, de localuri și de infrastructura necesară infrastructuri necesare pentru îndeplinirea cu eficacitate a sarcinilor lor, inclusiv a celor legate de asistența reciprocă și cooperarea cu alte autorități de supraveghere în întreaga Uniune. [AM 65]

(95) Condițiile generale pentru membrii autorității de supraveghere ar trebui stabilite de lege în fiecare stat membru și ar trebui, în special, să prevadă că acești membri ar trebui să fie numiți de parlamentul sau de guvernul statului membru , acordându-se atenția cuvenită minimizării posibilității de interferență politică, și să includă dispoziții privind calificarea personală , prevenirea conflictelor de interese și funcția membrilor respectivi. [AM 66]

(96) Autoritățile de supraveghere ar trebui să monitorizeze aplicarea dispozițiilor prevăzute de prezentul regulament și să contribuie la aplicarea consecventă a acestuia în întreaga Uniune, în scopul asigurării protecției persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal și al facilitării liberei circulații a datelor cu caracter personal în interiorul pieței interne. În acest sens, autoritățile de supraveghere ar trebui să coopereze reciproc și cu Comisia.

(97) În cazul în care, în Uniune, prelucrarea datelor cu caracter personal în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de către operator se efectuează în mai multe state membre, o singură autoritate de supraveghere ar trebui să aibă competența de a monitoriza activitățile să dețină rolul de ghișeu unic și autoritate principală responsabilă de supravegherea operatorului sau a persoanei împuternicite de către operator în întreaga Uniune și de a adopta să adopte deciziile aferente, în scopul intensificării aplicării consecvente, al furnizării securității juridice și al reducerii sarcinii administrative pentru astfel de operatori și de persoane împuternicite de operatori. [AM 67]

(98) Autoritatea competentă principală , care furnizează un astfel de ghișeu unic, ar trebui să fie autoritatea de supraveghere a statului membru în care operatorul sau persoana împuternicită de către operator își are sediul principal sau reprezentantul său . Comitetul european pentru protecția datelor poate, în anumite cazuri, desemna autoritatea principală prin intermediul mecanismului pentru asigurarea coerenței, la cererea unei autorități competente. [AM 68]

(98a) Persoanele vizate ale căror date cu caracter personal sunt prelucrate de un operator de date sau de o persoană împuternicită de către operator într-un alt stat membru ar trebui să aibă posibilitatea de a adresa o plângere autorității de supraveghere la alegerea lor. Autoritatea principală de protecție a datelor ar trebui să-și coordoneze activitatea cu cea a celorlalte autorități implicate. [AM 69]

(99) Cu toate că prezentul regulament se aplică, de asemenea, activităților instanțelor naționale, prelucrarea datelor cu caracter personal nu ar trebui să fie de competența autorităților de supraveghere, în cazul în care instanțele își exercită atribuțiile judiciare, în scopul asigurării protecției independenței judecătorilor în îndeplinirea sarcinilor lor judiciare. Cu toate acestea, derogarea ar trebui să se limiteze strict la activități pur judiciare în cadrul acțiunilor în instanță și să nu se aplice altor activități în care judecătorii ar putea fi implicați, în conformitate cu legislația națională.

(100) Pentru a se asigura consecvența monitorizării și a aplicării prezentului regulament în întreaga Uniune, autoritățile de supraveghere ar trebui să aibă în fiecare stat membru aceleași atribuții și competențe efective, inclusiv competențe de investigare, de intervenție cu forță juridică obligatorie, de decizie și sancționare, în special în cazul plângerilor depuse de persoane fizice, precum și de a acționa în justiție. Competențele de investigare ale autorităților de supraveghere în ceea ce privește accesul în localuri ar trebui exercitate în conformitate cu dreptul Uniunii și cu legislația națională. Aceasta se referă, în special, la cerința de a obține în prealabil o autorizare judiciară.

(101) Fiecare autoritate de supraveghere ar trebui să răspundă plângerilor depuse de orice persoană vizată sau asociație care acționează în interesul public și ar trebui să investigheze cazul. Investigația în urma unei plângeri ar trebui să fie efectuată, sub control judiciar, în măsura în care este necesar, în funcție de caz. Autoritatea de supraveghere ar trebui să informeze persoana vizată sau asociația cu privire la evoluția și soluționarea plângerii într-un termen rezonabil. În eventualitatea în care cazul necesită o investigare suplimentară sau coordonarea cu o altă autoritate de supraveghere, ar trebui să se furnizeze informații intermediare persoanei vizate. [AM 70]

(102) Activitățile de creștere a gradului de conștientizare organizate pentru public de autoritățile de supraveghere ar trebui să includă măsuri specifice care să vizeze operatorii și persoanele împuternicite de către operatori, inclusiv microîntreprinderile și întreprinderile mici și mijlocii, precum și persoanele vizate.

(103) Autoritățile de supraveghere ar trebui să își acorde reciproc asistență în îndeplinirea atribuțiilor care le revin, pentru a se asigura consecvența aplicării și a asigurării aplicării prezentului regulament în piața internă.

(104) Fiecare autoritate de supraveghere ar trebui să aibă dreptul de a participa la operațiuni comune între autoritățile de supraveghere. Autoritatea de supraveghere căreia i s-a adresat solicitarea ar trebui să aibă obligația de a răspunde cererii într-un anumit termen.

(105) Pentru a se asigura aplicarea consecventă a prezentului regulament în întreaga Uniune, ar trebui să se instituie un mecanism pentru asigurarea coerenței în cadrul căruia autoritățile de supraveghere și Comisia să coopereze. Acest mecanism ar trebui să se aplice, în special, în cazul în care o autoritate de supraveghere intenționează să ia o măsură în ceea ce privește operațiunile de prelucrare care au legătură cu oferirea de bunuri sau servicii persoanelor vizate în mai multe state membre sau cu monitorizarea comportamentului unor astfel de persoane vizate sau care ar putea afecta în mod substanțial libera circulație a datelor cu caracter personal. Mecanismul ar trebui să se aplice, de asemenea, în cazul în care o autoritate de supraveghere sau Comisia solicită ca aspectul respectiv să fie abordat în cadrul mecanismului pentru asigurarea coerenței. În plus, persoanele vizate ar trebui să aibă dreptul de a solicita coerență în cazul în care consideră că o măsură luată de autoritatea de protecție a datelor a unui stat membru nu îndeplinește acest criteriu. Acest mecanism nu ar trebui să aducă atingere măsurilor pe care Comisia le poate adopta în exercitarea competențelor care îi revin în temeiul tratatelor. [AM 71]

(106) În aplicarea mecanismului pentru asigurarea coerenței, Comitetul european pentru protecția datelor ar trebui, într-un anumit termen, să emită un aviz în cazul în care o majoritate simplă a membrilor săi decide astfel sau în cazul în care o autoritate de supraveghere sau Comisia solicită acest lucru.

(106a) Pentru a asigura punerea în aplicare coerentă a prezentului regulament, Comitetul european pentru protecția datelor poate adopta, în cazuri specifice, o măsură obligatorie pentru autoritatea de supraveghere competentă. [AM 72]

(107) Pentru a se asigura conformitatea cu prezentul regulament, Comisia poate adopta un aviz privind aspectul respectiv sau o decizie, prin care să se solicite autorității de supraveghere suspendarea proiectului său de măsură. [AM 73]

(108) Este posibil să existe o necesitate urgentă de a se acționa pentru asigurarea protecției intereselor persoanelor vizate, în special în cazul în care există pericolul ca exercitarea unui drept al unei persoane vizate să fie împiedicată în mod considerabil. Prin urmare, atunci când aplică mecanismul pentru asigurarea coerenței, o autoritate de supraveghere ar trebui să poată adopta măsuri provizorii, cu o anumită perioadă de valabilitate.

(109) Aplicarea acestui mecanism ar trebui să fie o condiție pentru valabilitatea juridică și executarea deciziei respective de către o autoritate de supraveghere. În alte cazuri cu relevanță transfrontalieră, autoritățile de supraveghere în cauză ar putea să își acorde reciproc asistență și să efectueze investigații comune, pe bază bilaterală sau multilaterală, fără declanșarea mecanismului pentru asigurarea coerenței.

(110) La nivelul Uniunii, ar trebui să se înființeze Comitetul european pentru protecția datelor. Acesta ar trebui să înlocuiască Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, instituit prin Directiva 95/46/CE. Acesta ar trebui să fie format din șefii autorității de supraveghere a fiecărui stat membru și din șeful Autorității Europene pentru Protecția Datelor. Comisia ar trebui să participe la activitățile sale. Comitetul european pentru protecția datelor ar trebui să contribuie la aplicarea consecventă a prezentului regulament în întreaga Uniune, inclusiv prin oferirea de consultanță Comisiei instituțiilor Uniunii Europene și prin promovarea cooperării autorităților de supraveghere în întreaga Uniune , inclusiv a coordonării operațiunilor comune . Comitetul european pentru protecția datelor ar trebui să acționeze în mod independent în exercitarea sarcinilor sale. Comitetul european pentru protecția datelor ar trebui să consolideze dialogul cu părțile interesate, precum asociațiile persoanelor vizate, organizațiile consumatorilor, operatorii de date și alte părți interesate relevante și experți. [AM 74]

(111) Orice persoană vizată Persoanele vizate ar trebui să aibă dreptul de a depune o plângere la o autoritate de supraveghere în orice stat membru și dreptul la o cale de atac efectivă în conformitate cu articolul 47 din Carta , în cazul în care consideră că drepturile pe care le are în temeiul prezentului regulament sunt încălcate sau în cazul în care autoritatea de supraveghere nu reacționează la o plângere sau nu acționează atunci când o astfel de acțiune este necesară pentru asigurarea protecției drepturilor persoanei vizate. [AM 75]

(112) Orice organism, organizație sau asociație care are drept obiectiv asigurarea protecției drepturilor și intereselor persoanelor vizate în ceea ce privește protecția datelor acestora acționează în interesul public și este constituit(ă) în conformitate cu legislația unui stat membru ar trebui să aibă dreptul de a depune o plângere la o autoritate de supraveghere în numele persoanelor vizate, cu acordul acestora, sau să exercite dreptul la o cale de atac în numele persoanelor vizate dacă sunt împuternicite de către persoana vizată sau să depună, independent de plângerea înaintată de o persoană vizată, o plângere în nume propriu în cazul în care consideră că a avut loc o încălcare a securității datelor cu caracter personal prezentului regulament . [AM 76]

(113) Orice persoană fizică sau juridică ar trebui să aibă dreptul la o cale de atac împotriva deciziilor unei autorități de supraveghere care o privesc. Acțiunile inițiate împotriva unei autorități de supraveghere ar trebui să fie aduse în fața instanțelor statului membru în care este stabilită autoritatea de supraveghere.

(114) Pentru a se consolida protecția judiciară a persoanelor vizate în situațiile în care autoritatea de supraveghere competentă este stabilită în alt stat membru decât cel în care persoana vizată își are reședința, persoana vizată poate solicita oricărui împuternici orice organism, oricărei organizații sau oricărei asociații care are drept obiectiv asigurarea protecției drepturilor și intereselor persoanelor vizate în ceea ce privește protecția datelor acestora organizație sau asociație care acționează în interesul public să introducă o acțiune în numele său împotriva autorității de supraveghere respective în fața instanței competente din celălalt stat membru. [AM 77]

(115) În situațiile în care autoritatea de supraveghere competentă stabilită în alt stat membru nu acționează sau a adoptat măsuri insuficiente în legătură cu o plângere, persoana vizată poate solicita autorității de supraveghere din statul membru în care își are reședința obișnuită să introducă o acțiune împotriva autorității de supraveghere respective în fața instanței competente din celălalt stat membru. Acest lucru nu se aplică persoanelor care nu au reședința pe teritoriul UE. Autoritatea de supraveghere poate decide, sub control judiciar, dacă este sau nu este oportun să se dea curs cererii. [AM 78]

(116) În ceea ce privește acțiunile inițiate împotriva unui operator sau unei persoane împuternicite de către operator, reclamantul ar trebui să aibă posibilitatea de a introduce acțiunea în fața instanțelor din statele membre în care operatorul sau persoana împuternicită de către operator are un sediu sau , în cazul în care persoana vizată dispune de o reședință pe teritoriul UE, în statul membru în care persoana vizată își are reședința, cu excepția cazului în care operatorul este o autoritate publică a Uniunii sau a unui stat membru care acționează în exercitarea competențelor sale publice. [AM 79]

(117) În cazul în care există indicii conform cărora acțiuni paralele sunt pendinte în fața instanțelor din state membre diferite, instanțele ar trebui să aibă obligația de a se contacta reciproc. Instanțele ar trebui să aibă posibilitatea de a suspenda o acțiune atunci când o cauză paralelă este pendinte în alt stat membru. Statele membre ar trebui să se asigure că acțiunile în justiție, pentru a fi eficiente, permit adoptarea rapidă de măsuri în scopul remedierii sau al prevenirii încălcării prezentului regulament.

(118) Orice daună , patrimonială sau nepatrimonială, pe care o persoană o poate suferi ca urmare a unei prelucrări ilegale ar trebui să fie despăgubită de operator sau de persoana împuternicită de către operator, care poate fi exonerat(ă) de răspundere doar dacă dovedește că nu este răspunzător (răspunzătoare) pentru prejudiciu, în special în cazul în care acesta (aceasta) stabilește vina persoanei vizate sau în caz de forță majoră. [AM 80]

(119) Ar trebui impuse sancțiuni oricărei persoane, de drept privat sau public, care nu respectă prezentul regulament. Statele membre ar trebui să se asigure că sancțiunile sunt eficace, proporționale și cu efect de descurajare și ar trebui să adopte toate măsurile pentru punerea în aplicare a sancțiunilor. Normele privind sancțiunile ar trebui să facă obiectul unor garanții procedurale adecvate în conformitate cu principiile generale ale dreptului Uniunii și cu Carta drepturilor fundamentale, inclusiv cele referitoare la dreptul la o cale de atac efectivă în justiție, la un proces echitabil, precum și principiul ne bis in idem. [AM 81]

(119a) La aplicarea sancțiunilor, statele membre ar trebui să dovedească respectarea deplină a garanțiilor procedurale adecvate, inclusiv dreptul la o cale de atac efectivă în justiție, la un proces echitabil, precum și principiul ne bis in idem. [AM 82]

(120) Pentru consolidarea și armonizarea sancțiunilor administrative în cazul încălcării prezentului regulament, fiecare autoritate de supraveghere ar trebui să aibă competența de a sancționa infracțiunile administrative. Prezentul regulament ar trebui să indice aceste infracțiuni și limita maximă a amenzilor administrative aferente, care ar trebui să fie stabilite în fiecare caz, proporțional cu situația specifică, luându-se în considerare în mod corespunzător, în special, natura, gravitatea și durata încălcării. Mecanismul pentru asigurarea coerenței poate fi, de asemenea, utilizat în scopul remedierii divergențelor în aplicarea sancțiunilor administrative.

(121) Prelucrarea datelor cu caracter personal exclusiv în scopuri jurnalistice, artistice sau literare ar trebui să îndeplinească criteriile pentru aplicarea unor derogări Ori de câte ori este necesar, excepțiile sau derogările de la cerințele anumitor dispoziții din prezentul regulament, ar trebui să acordate în vederea stabilirii unui echilibru între dreptul la protecția datelor cu caracter personal și dreptul la libertatea de exprimare și, mai ales, dreptul de a primi și de a comunica informații, astfel cum este garantat în special prin articolul 11 din Carta. Acest lucru ar trebui să se aplice în special prelucrării datelor cu caracter personal din domeniul audiovizualului, precum și din arhivele de știri și din bibliotecile de ziare. Prin urmare, statele membre ar trebui să adopte măsuri legislative care să prevadă excepțiile și derogările necesare în vederea asigurării echilibrului între aceste drepturi fundamentale. Astfel de excepții și derogări ar trebui să fie adoptate de statele membre în ceea ce privește principiile generale, drepturile p