Deși este încă devreme pentru un astfel de demers, pot fi deja identificate o serie de realizări și provocări, care sunt prezentate în continuare. Ele arată că, până în prezent, autoritățile pentru protecția datelor au utilizat în mod eficient instrumentele de cooperare, preferând soluții mai flexibile.

Ghișeul unic

Ca regulă generală, în cazurile transfrontaliere, o autoritate pentru protecția datelor dintr-un stat membru poate fi implicată fie (i) ca autoritate principală, în cazul în care sediul principal al operatorului în cauză este situat în acest stat membru, fie (ii) ca autoritate vizată, în cazul în care operatorul deține un sediu pe teritoriul acestui stat membru, în situația în care persoanele din acest stat membru sunt afectate semnificativ sau în situația în care le-a fost înaintată o plângere.

O astfel de cooperare strânsă a devenit o practică cotidiană: de la data aplicării RGPD, autoritățile pentru protecția datelor din toate statele membre s-au identificat, la un moment dat, fie ca autorități principale, fie ca autorități vizate în cazuri transfrontaliere, însă într-un grad diferit.

Între 25 mai 2018 și 31 decembrie 2019, 141 de proiecte de decizie au fost prezentate prin procedura ghișeului unic, iar pentru 79 dintre acestea s-au emis decizii finale. La data publicării prezentului raport, sunt în curs de adoptare mai multe decizii importante cu o dimensiune transfrontalieră, care fac obiectul mecanismului ghișeului unic. Unele dintre aceste decizii implică activitățile unor mari companii multinaționale din domeniul tehnologiei informației. Se preconizează că aceste decizii vor oferi clarificări și vor contribui la o mai bună armonizare a interpretării RGPD.

Asistență reciprocă

Autoritățile pentru protecția datelor au utilizat pe scară largă instrumentul de asistență reciprocă.

Marea majoritate a autorităților consideră asistența reciprocă drept un instrument foarte util de cooperare și nu au întâmpinat vreun obstacol deosebit în legătură cu aplicarea procedurii de asistență reciprocă. Schimbul voluntar în baza procedurii de asistență reciprocă, ce nu face obiectul vreunui termen legal sau al unei obligații stricte de a răspunde, a fost utilizat mai frecvent, și anume în 2 427 de proceduri. Autoritatea pentru protecția datelor din Irlanda a transmis și a primit cel mai mare număr de cereri de asistență reciprocă (527 transmise și 359 primite), fiind urmată de autoritățile germane (260 transmise/356 primite).

Pe de altă parte, nu s-au desfășurat încă operațiuni comune, care ar da posibilitatea autorităților pentru protecția datelor din mai multe state membre să se implice deja la nivel de investigație în cazurile transfrontaliere. Comitetul analizează în prezent aplicarea în practică a acestui instrument, precum și modul de promovare a utilizării sale.

Mecanismul pentru asigurarea coerenței

Până în prezent, s-a utilizat doar prima parte a mecanismului pentru asigurarea coerenței, și anume emiterea de avize de către comitet. Pe de altă parte, nu a fost inițiată încă nicio procedură de urgență sau de soluționare a litigiilor la nivel de comitet.

Între 25 mai 2018 și 31 decembrie 2019, comitetul a emis 36 de avize în contextul adoptării de măsuri de către unul dintre membrii săi. Majoritatea (31) acestor decizii au vizat adoptarea listelor naționale de operațiuni de prelucrare care necesită o evaluare a impactului asupra protecției datelor. Două avize se referă la normele corporative obligatorii, alte două avize au legătură cu proiectul de cerințe de acreditare pentru un organism de monitorizare a codurilor de conduită, iar un altul vizează clauzele contractuale standard.

În plus, comitetul a adoptat, la cerere, șase avize. Trei dintre aceste avize se referă la listele naționale de operațiuni de prelucrare care nu necesită o evaluare a impactului asupra protecției datelor. Celelalte vizează un acord administrativ de transfer al datelor cu caracter personal între autorități de supraveghere financiară din SEE și din afara SEE, respectiv interacțiunea dintre Directiva asupra confidențialității și comunicațiilor electronice și RGPD și competența unei autorități de supraveghere în cazul schimbării circumstanțelor cu privire la sediul principal sau sediul unic.