RO Jurnalul Oficial al Uniunii Europene C 159/83

Expunere de motive a Consiliului: Poziția în primă lectură (UE) nr. 6/2016 a Consiliului în vederea adoptării Regulamentului Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)

(2016/C 159/02)

I. INTRODUCERE

La 25 ianuarie 2012, Comisia a prezentat o reformă cuprinzătoare a protecției datelor, alcătuită din:

— propunerea sus-menționată de regulament general privind protecția datelor, care este destinat să înlocuiască Directiva din 1995 privind protecția datelor (fostul pilon 1);

— o propunere de directivă privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și libera circulație a acestor date, care este destinată să înlocuiască Decizia-cadru din 2008 privind protecția datelor (fostul pilon 3).

Parlamentul European și-a adoptat poziția în primă lectură cu privire la propunerea de regulament general privind protecția datelor la 12 martie 2014 (documentul 7427/14).

Consiliul a convenit asupra unei abordări generale la 15 iunie 2015, acordând, astfel, un mandat de negociere Președinției pentru a participa la triloguri cu Parlamentul European (documentul 9565/15).

Parlamentul European și Consiliul, la nivelul Comisiei pentru libertăți civile, justiție și afaceri interne și, respectiv, al Comitetului Reprezentanților Permanenți, la 17 și, respectiv, la 18 decembrie 2015, și-au confirmat acordul asupra textului de compromis rezultat în urma negocierilor din cadrul trilogurilor.

În cadrul reuniunii sale din 12 februarie 2016, Consiliul a ajuns la un acord politic cu privire la proiectul de regulament (documentul 5455/15). La 8 aprilie 2016, Consiliul a adoptat poziția sa în primă lectură care este în deplină conformitate cu textul de compromis privind regulamentul convenit în cadrul negocierilor informale dintre Consiliu și Parlamentul European.

Comitetul Economic și Social European a înaintat un aviz privind regulamentul în 2012 (JO C 229, 31.7.2012, p. 90).

Comitetul Regiunilor a înaintat un aviz privind regulamentul (JO C 391, 18.12.2012, p. 127).

Autoritatea Europeană pentru Protecția Datelor a fost consultată și a emis un prim aviz în 2012 (JO C 192, 30.6.2012, p. 7) și un al doilea aviz în 2015 (JO C 301, 12.9.2015, p. 1-8).

Agenția pentru Drepturi Fundamentale a emis un aviz la 1 octombrie 2012.

II. OBIECTIV

Regulamentul general privind protecția datelor armonizează normele privind protecția datelor în Uniunea Europeană. Obiectivele regulamentului sunt de a consolida drepturile persoanelor fizice în materie de protecție a datelor, de a facilita libera circulație a datelor cu caracter personal în cadrul pieței unice și de a reduce sarcina administrativă.

III. ANALIZA POZIȚIEI CONSILIULUI ÎN PRIMĂ LECTURĂ

A. Observații generale

Având în vedere obiectivul Consiliului European de a ajunge la un acord privind reforma protecției datelor până la sfârșitul lui 2015, Parlamentul European și Consiliul au desfășurat negocieri informale pentru a-și alinia pozițiile. Textul poziției Consiliului în primă lectură referitoare la Regulamentul general privind protecția datelor reflectă pe deplin compromisul la care s-a ajuns între cei doi colegiuitori, cu sprijinul Comisiei Europene.

Poziția Consiliului în primă lectură păstrează obiectivele Directivei 95/46/CE: apărarea drepturilor în materie de protecție a datelor și libera circulație a datelor. În același timp, urmărește să adapteze normele privind protecția datelor în vigoare în prezent, având în vedere volumul tot mai mare de date cu caracter personal prelucrat ca urmare a schimbărilor tehnologice și a globalizării. În vederea obținerii unui regulament care să facă față provocărilor viitoare, normele privind protecția datelor din poziția Consiliului în primă lectură sunt neutre din punct de vedere tehnologic.

Pentru a se asigura un nivel uniform de protecție pentru persoanele fizice din întreaga Uniune și pentru a preveni divergențele care împiedică libera circulație a datelor cu caracter personal în cadrul pieței interne, poziția Consiliului în primă lectură prevede în mare măsură un set unic de norme care se aplică direct în întreaga Uniune. Această armonizare va elimina fragmentarea rezultată în urma diferitelor legi ale statelor membre care pun în aplicare Directiva 95/46. Cu toate acestea, pentru a lua în considerare cerințele în situații specifice de prelucrare a datelor, inclusiv pentru sectorul public, poziția Consiliului în primă lectură permite statelor membre să detalieze suplimentar în legislația lor națională aplicarea normelor privind protecția datelor prevăzute în regulament.

Protecția datelor cu caracter personal reprezintă un drept fundamental consacrat la articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene. Mai mult, articolul 16 din Tratatul privind funcționarea Uniunii Europene prevede că orice persoană are dreptul la protecția datelor cu caracter personal care o privesc, indiferent de cetățenie sau de locul de reședință, și că ar trebui stabilite norme în acest scop, precum și norme privind libera circulație a datelor cu caracter personal. Pe această bază, poziția Consiliului în primă lectură prevede principiile și normele privind protecția persoanelor fizice referitor la prelucrarea datelor lor cu caracter personal.

Pentru a atinge obiectivele regulamentului, poziția Consiliului în primă lectură sporește responsabilitatea operatorilor (responsabili de stabilirea scopurilor și a mijloacelor de prelucrare a datelor cu caracter personal) și a persoanelor împuternicite de operator (responsabile de prelucrarea datelor cu caracter personal în numele operatorului), pentru a promova o veritabilă cultură a protecției datelor. În acest context, în tot cuprinsul regulamentului, se introduce o abordare bazată pe riscuri, care permite adaptarea obligațiilor operatorului și ale persoanei împuternicite de operator în funcție de riscul aferent prelucrării de date pe care o efectuează. În plus, codurile de conduită și mecanismele de certificare contribuie la respectarea normelor privind protecția datelor. Această abordare previne normele excesiv de prescriptive și reduce sarcina administrativă, fără a reduce respectarea lor. În plus, caracterul disuasiv al eventualelor sancțiuni care pot fi impuse creează un stimulent pentru operatori de a se conforma regulamentului.

Noile norme privind protecția datelor stabilite în poziția Consiliului în primă lectură prevăd, de asemenea, drepturi consolidate și opozabile pentru cetățeni. Acest lucru permite un mai bun control al persoanelor fizice asupra propriilor date cu caracter personal, ducând la creșterea încrederii în serviciile online la nivel transfrontalier, ceea ce va stimula piața unică digitală. Minorii au nevoie de o protecție specifică, deoarece pot fi mai puțin conștienți de drepturile lor și de riscurile legate de prelucrarea datelor cu caracter personal.

Mai mult, poziția Consiliului în primă lectură consolidează independența autorităților de supraveghere, armonizând în același timp sarcinile și competențele acestora. Normele privind cooperarea dintre autoritățile de supraveghere și, după caz, cu Comisia, în cazuri transfrontaliere - mecanismul pentru asigurarea coerenței - va contribui la o aplicare coerentă a regulamentului în întreaga Uniune Europeană. Acest lucru va asigura o mai mare securitate juridică și va reduce sarcina administrativă. Mai mult, mecanismul ghișeului unic va prevedea un interlocutor unic pentru operatori și persoanele împuternicite de operatori în ceea ce privește prelucrarea transfrontalieră, inclusiv decizii cu caracter obligatoriu ale Comitetului european pentru protecția datelor nou-înființat, în caz de litigii. Ca rezultat al acestui mecanism, aplicarea regulamentului va fi mai coerentă. În plus, acesta va asigura o mai mare securitate juridică și va reduce sarcina administrativă.

În cele din urmă, poziția Consiliului în primă lectură prevede un cadru cuprinzător pentru transferurile de date cu caracter personal din Uniunea Europeană către destinatari din țări terțe sau organizații internaționale, în care sunt prevăzute instrumente noi în comparație cu Directiva 95/46/CE.

B. Aspecte-cheie

În cadrul unor negocieri informale,Consiliul și Parlamentul European, sprijinite de Comisia Europeană, și-au aliniat pozițiile prevăzute în abordarea generală a Consiliului și, respectiv, în poziția Parlamentului în primă lectură. Poziția Consiliului în primă lectură privind Regulamentul general privind protecția datelor reflectă pe deplin compromisul găsit. Aspectele-cheie ale poziției Consiliului în primă lectură sunt prezentate în cele ce urmează.

1. Domeniul de aplicare

1.1. Domeniul de aplicare material al regulamentului și delimitarea de Directiva privind aplicarea legii

Poziția Consiliului în primă lectură prevede că Regulamentul general privind protecția datelor se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte din orice set structurat de date cu caracter personal accesibile conform unor criterii specifice sau care sunt destinate să facă parte dintr-un astfel de set structurat. Domeniul de aplicare material al Regulamentului general privind protecția datelor și domeniul de aplicare al Directivei privind protecția datelor în domeniul aplicării legii se exclud reciproc. Se precizează că regulamentul nu se aplică prelucrării de date cu caracter personal de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor, al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora. Această delimitare permite autorităților de aplicare a legii, în special poliției, să se aplice, ca regulă generală, regimul privind protecția datelor prevăzut în directivă, asigurând totodată un nivel ridicat și coerent de protecție a datelor cu caracter personal pentru persoanele fizice care fac obiectul unor operațiuni ale autorităților de aplicare a legii.

1.2. Instituții și organisme ale UE

Cu scopul de a asigura o protecție uniformă și coerentă a persoanelor vizate referitor la prelucrarea datelor lor cu caracter personal, în poziția Consiliului în primă lectură se precizează că adaptările necesare ale Regulamentului (CE) nr. 45/2001 care se aplică instituțiilor, organelor, oficiilor și agențiilor UE ar trebui să urmeze după adoptarea Regulamentului general privind protecția datelor, pentru a-i permite să poată fi aplicat în același timp cu Regulamentul general privind protecția datelor.

1.3. Derogarea privind activitățile domestice

Pentru a evita stabilirea de norme care ar crea o sarcină inutilă pentru persoanele fizice, poziția Consiliului în primă lectură prevede că regulamentul nu se aplică prelucrării datelor cu caracter personal de către o persoană fizică în cadrul unei activități exclusiv personale sau domestice, care nu are legătură, așadar, cu o activitate profesională sau comercială.

1.4. Domeniul de aplicare teritorial

Poziția Consiliului în primă lectură creează condiții de concurență echitabile pentru operatori și persoane împuternicite de operatori în ceea ce privește domeniul de aplicare teritorial, prin acoperirea tuturor operatorilor și persoanelor împuternicite de operatori, indiferent dacă sunt stabilite sau nu în Uniune.

În primul rând, regulamentul stabilește că normele privind protecția datelor se aplică prelucrării datelor cu caracter personal în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Uniunii, indiferent dacă prelucrarea are loc sau nu pe teritoriul Uniunii. În al doilea rând, pentru a se asigura că persoanele fizice nu sunt private de protecția datelor lor, regulamentul se aplică prelucrării datelor cu caracter personal ale persoanelor vizate care se află în Uniune, chiar dacă un operator sau o persoană împuternicită de operator nu își are sediul în Uniune, dar atunci când activitățile sale de prelucrare sunt legate de oferirea de bunuri sau servicii unor astfel de persoane vizate în Uniune, precum și de monitorizarea comportamentului lor în măsura în care comportamentul lor se manifestă pe teritoriul Uniunii Europene. În plus, stabilirea domeniului de aplicare în acest mod sporește securitatea juridică pentru operatori și persoanele vizate (persoanele fizice ale căror date cu caracter personal sunt prelucrate).

Poziția Consiliului în primă lectură asigură, de asemenea, faptul că persoanele vizate și autoritățile de supraveghere au un punct de contact în UE în cazul operatorilor sau al persoanelor împuternicite de operatori care nu sunt stabiliți (stabilite) în Uniune dar care intră în domeniul de aplicare al regulamentului: aceștia/acestea trebuie să desemneze în scris un reprezentant în Uniune. Pentru a se evita sarcini administrative inutile, această obligație nu se aplică în cazul prelucrării care este puțin susceptibilă să genereze un risc la adresa drepturilor și libertăților persoanelor fizice și nici în cazul prelucrării de către o autoritate sau un organism public din țara terță.

2. Principii legate de prelucrarea datelor cu caracter personal

Principiile protecției datelor se aplică oricărei informații referitoare la o persoană fizică identificabilă sau identificată, inclusiv informațiilor care nu mai pot fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare, în măsura în care aceste informații suplimentare sunt stocate separat și fac obiectul unor măsuri de natură tehnică și organizatorică destinate să garanteze neatribuirea unei persoane fizice identificate sau identificabile (pseudonimizare). În raport cu Directiva 95/46, regulamentul prevede în mare măsură continuitatea în ceea ce privește principiile care stau la baza prelucrării datelor cu caracter personal. În același timp, principiul „reducerii la minimum a datelor” a fost modificat pentru a se ține seama de realitatea digitală și în vederea stabilirii unui echilibru între protecția datelor cu caracter personal, pe de o parte, și posibilitatea operatorilor de a prelucra datele, pe de altă parte.

3. Legalitatea prelucrării

3.1. Condiții pentru garantarea legalității

În vederea asigurării securității juridice, poziția Consiliului în primă lectură se bazează pe Directiva 95/46 prin precizarea faptului că prelucrarea datelor cu caracter personal este legală numai în cazul în care cel puțin una dintre următoarele condiții este îndeplinită:

— consimțământul persoanei vizate pentru unul sau mai multe scopuri specifice;

— un contract;

— o obligație legală;

— protejarea intereselor vitale ale persoanei vizate sau ale unei alte persoane fizice;

— o sarcină care servește unui interes public sau care rezultă din exercitarea autorității oficiale cu care este învestit operatorul;

— interesele legitime urmărite de operator sau de o parte terță.

Două condiții merită a fi prezentate mai pe larg: consimțământul și interesele legitime urmărite de operator sau de o parte terță.

3.1.1. Consimțământul

Pentru a permite prelucrarea datelor sale cu caracter personal, o persoană vizată poate să își dea consimțământul pentru prelucrare printr-o acțiune pozitivă fără echivoc, prin care se stabilește o manifestare liber exprimată, specifică, informată și lipsită de ambiguitate a acordului său ca datele cu caracter personal care o privesc să fie prelucrate. Un astfel de consimțământ vizează toate activitățile de prelucrare efectuate în același scop sau în aceleași scopuri. Dacă prelucrarea datelor se face în mai multe scopuri, consimțământul trebuie dat pentru toate scopurile prelucrării. În plus, operatorul trebuie să fie în măsură să demonstreze faptul că persoana vizată și-a dat consimțământul pentru operațiunea de prelucrare. Prin urmare, absența unui răspuns, căsuțele bifate în prealabil sau absența unei acțiuni nu constituie un consimțământ. Definirea noțiunii de consimțământ asigură continuitatea cu acquis-ul dezvoltat cu privire la utilizarea acestui concept în temeiul Directivei 95/46/CE, contribuind în același timp la o înțelegere și aplicare comună a consimțământului în întreaga Uniune Europeană.

În plus, în vederea apărării drepturilor persoanei vizate în materie de protecție a datelor, se prevede că, în cazul în care persoana vizată și-a dat consimțământul în contextul unei declarații scrise care se referă și la alte aspecte, orice parte a respectivei declarații care constituie o încălcare a regulamentului nu este obligatorie. De asemenea, atunci când se evaluează dacă consimțământul este dat în mod liber, trebuie să se țină seama în cea mai mare măsură posibilă dacă, printre altele, executarea unui contract este condiționată sau nu de consimțământul cu privire la prelucrarea datelor care nu este necesară pentru executarea respectivului contract.

În cele din urmă, pentru a permite derogări de la interdicția generală de prelucrare a categoriilor speciale de date cu caracter personal, poziția Consiliului în primă lectură prevede un prag mai ridicat decât pentru alte prelucrări, întrucât persoana vizată trebuie să își dea consimțământul explicit pentru prelucrarea unor astfel de date sensibile cu caracter personal.

Cu privire la minori, poziția Consiliului în primă lectură prevede un regim specific de protecție pentru consimțământul dat de copii în ceea ce privește oferirea de servicii ale societății informaționale. Prelucrarea datelor cu caracter personal ale unui minor care nu a împlinit vârsta maximă de 16 ani este legală dacă poate fi verificat în mod rezonabil, ținând seama de tehnologia disponibilă, că un astfel de consimțământ este dat sau autorizat de titularul răspunderii părintești asupra minorului. Statele membre care consideră mai adecvată o vârstă mai mică sunt autorizate să stabilească o vârstă maximă mai mică, cu condiția ca aceasta să nu fie mai mică de 13 ani.

3.1.2. Interesul legitim al operatorului

Prelucrarea datelor cu caracter personal poate fi legală dacă prelucrarea este necesară în scopul intereselor legitime urmărite de un operator sau de o parte terță. Totuși, astfel de interese legitime nu reprezintă un motiv suficient pentru prelucrarea legală în cazul în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un minor.

Existența unui interes legitim impune o evaluare, care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod rezonabil, în momentul și în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop. Prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim. Întrucât legiuitorul trebuie să furnizeze prin lege temeiul juridic pentru prelucrarea datelor cu caracter personal de către autoritățile publice, considerentele de mai sus nu se aplică prelucrării datelor cu caracter personal de către autoritățile publice în îndeplinirea sarcinilor care le revin.

3.2. Norme specifice ale statelor membre pentru adaptarea aplicării regulamentului

Poziția Consiliului în primă lectură permite statelor membre să mențină sau să introducă dispoziții mai specifice care să adapteze aplicarea normelor regulamentului în cazul în care prelucrarea datelor cu caracter personal este necesară pentru respectarea unei obligații legale sau pentru îndeplinirea unei sarcini efectuate în interes public sau în cadrul exercitării autorității oficiale cu care este învestit operatorul. În plus, sunt prevăzute derogări, cerințe specifice și alte măsuri referitoare la operațiuni de prelucrare specifice, prin care statele membre asigură un echilibru între dreptul la protecția datelor cu caracter personal și dreptul la libertatea de exprimare și de informare, accesul public la documente oficiale, prelucrarea numerelor de identificare naționale, prelucrarea în contextul ocupării unui loc de muncă și prelucrarea în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice.

3.3. Prelucrarea ulterioară

Poziția Consiliului în primă lectură prevede că prelucrarea în alt scop decât cel pentru care datele cu caracter personal au fost colectate inițial este legală numai în cazul în care prelucrarea ulterioară este compatibilă cu scopurile pentru care datele cu caracter personal au fost prelucrate inițial. Cu toate acestea, în cazul în care persoana vizată și-a dat consimțământul sau în cazul în care prelucrarea se bazează pe dreptul Uniunii sau al statelor membre, care constituie o măsură necesară și proporțională într-o societate democratică pentru a proteja, în special, obiective importante de interes public general, operatorul are posibilitatea de a prelucra ulterior datele cu caracter personal, indiferent de compatibilitatea scopurilor. Drepturile persoanei vizate au fost consolidate în cazul prelucrării ulterioare, în special în ceea ce privește dreptul la informare și dreptul de a se opune prelucrării ulterioare în cazul în care aceasta nu este necesară pentru îndeplinirea unei sarcini din motive de interes public.

Pentru a stabili dacă scopul prelucrării ulterioare este compatibil cu scopul pentru care au fost colectate inițial datele cu caracter personal, operatorul trebuie să țină seama, printre altele, de orice legătură între scopurile inițiale și scopurile prelucrării ulterioare preconizate, de contextul în care au fost colectate datele cu caracter personal, în special de așteptările rezonabile ale persoanei vizate, bazate pe relația acesteia cu operatorul, în ceea ce privește utilizarea ulterioară a datelor cu caracter personal, de natura datelor cu caracter personal, de consecințele prelucrării ulterioare preconizate asupra persoanei vizate, precum și de existența unor garanții corespunzătoare atât în cadrul operațiunilor de prelucrare inițială, cât și în cadrul operațiunilor de prelucrare ulterioară preconizate.

3.4. Prelucrarea categoriilor speciale de date cu caracter personal

Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile necesită o protecție specifică, deoarece contextul prelucrării acestora poate genera riscuri importante la adresa drepturilor și libertăților fundamentale ale persoanelor fizice. Din acest motiv, ca regulă, poziția Consiliului în primă lectură menține abordarea din Directiva 95/46 prin interzicerea prelucrării categoriilor speciale de date cu caracter personal.

Prin derogare de la această regulă, în anumite situații enumerate în mod exhaustiv, prelucrarea datelor sensibile este permisă, de exemplu în cazul în care persoana vizată și-a dat consimțământul explicit, în cazul în care prelucrarea este necesară din motive de interes public important sau dacă prelucrarea este necesară în alte scopuri, printre altele în domeniul sănătății.

În final, poziția Consiliului în primă lectură prevede faptul că statele membre pot introduce condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea datelor genetice, a datelor biometrice sau a datelor privind sănătatea. Totuși, aceste condiții suplimentare trebuie să nu împiedice libera circulație a datelor în Uniune.

4. Consolidarea drepturilor persoanelor vizate

4.1. Introducere

Poziția Consiliului în primă lectură consolidează drepturile persoanelor vizate, oferindu-le drepturi sporite în materie de protecție a datelor și impunând obligații operatorilor. Drepturile persoanelor vizate cuprind dreptul la informare, dreptul de acces la datele cu caracter personal, dreptul la rectificare, dreptul la ștergerea datelor cu caracter personal, inclusiv „dreptul de a fi uitat”, dreptul la restricționarea prelucrării, dreptul la portabilitatea datelor, dreptul de a se opune și dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, inclusiv pe crearea de profiluri. Drepturile care au făcut obiectul unor modificări importante comparativ cu Directiva 95/46 sunt prezentate în cele ce urmează.

Operatorii au obligația de a facilita exercitarea drepturilor persoanelor vizate și de a prelucra datele cu caracter personal în conformitate cu principiul transparenței, în special prin furnizarea de informații cu privire la prelucrarea datelor cu caracter personal pe care o efectuează.

Totuși, dacă datele cu caracter personal prelucrate de un operator nu îi permit acestuia să identifice o persoană vizată, operatorul de date nu are obligația de a obține informații suplimentare în vederea identificării persoanei vizate, cu unicul scop de a respecta oricare dintre dispozițiile prezentului regulament.

În pofida acestor drepturi ale persoanelor vizate și a acestor obligații ale operatorilor, poziția Consiliului în primă lectură menține abordarea din Directiva 95/46 prin faptul că permite limitări ale principiilor generale și ale drepturilor persoanelor fizice în cazul în care o astfel de limitare este întemeiată pe dreptul Uniunii sau al statelor membre. Astfel de limitări trebuie să respecte esența drepturilor și libertăților fundamentale și să fie necesare și proporționale într-o societate democratică pentru a proteja anumite interese publice.

4.2. Transparența

În conformitate cu principiul transparenței, operatorii trebuie să furnizeze informații și comunicări referitoare la prelucrarea de date cu caracter personal într-o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, în special pentru orice informații adresate unui minor. Informațiile trebuie să fie furnizate în scris sau prin alte mijloace, iar acolo unde este oportun, prin mijloace electronice.

Poziția Consiliului în primă lectură prevede în continuare termene pentru cererile de informații, comunicări sau orice alte acțiuni ale operatorului, care trebuie să fie exercitate în mod gratuit, ca regulă generală. Cu toate acestea, în cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate percepe o taxă rezonabilă ținând cont de costurile administrative pentru furnizarea informațiilor sau a comunicării sau pentru luarea măsurilor solicitate ori poate refuza să dea curs cererii. În aceste cazuri, operatorului îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererii.

4.3. Informațiile și comunicările care urmează a fi furnizate de operator

În vederea găsirii unui echilibru între, pe de o parte, furnizarea unor informații suficiente persoanelor vizate cu privire la prelucrarea datelor lor cu caracter personal și, pe de altă parte, evitarea unor obligații împovărătoare pentru operatori, poziția Consiliului în primă lectură prevede o abordare în două etape pentru a garanta că persoanele vizate sunt informate în mod corespunzător, atât în cazurile în care datele cu caracter personal sunt colectate de la persoana vizată, cât și în cazurile în care datele cu caracter personal nu au fost obținute de la persoana vizată. Într-o primă etapă, operatorul este obligat să îi furnizeze persoanei vizate, în momentul obținerii datelor cu caracter personal, informațiile enumerate în regulament. Într-o a doua etapă, operatorul trebuie să furnizeze informațiile suplimentare enumerate în regulament și care sunt necesare pentru a se asigura o prelucrare echitabilă și eficientă. Operatorii informează de asemenea persoanele vizate în momentul în care intenționează să efectueze o prelucrare ulterioară a datelor cu caracter personal în alt scop decât cel pentru care au fost colectate inițial.

Operatorul nu este obligat să furnizeze informațiile enumerate în prima sau a doua etapă în cazul în care persoana vizată deține deja aceste informații. În cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, operatorul nu furnizează nicio informație persoanei vizate dacă înregistrarea datelor cu caracter personal sau divulgarea acestora către alte părți este prevăzută în mod expres de lege sau în cazul în care informarea persoanei vizate se dovedește imposibilă sau ar implica eforturi disproporționate.

În fine, operatorii sunt obligați să comunice fiecărui destinatar căruia i-au fost dezvăluite datele cu caracter personal orice rectificare, ștergere sau restricționare a prelucrării, cu excepția cazului în care acest lucru se dovedește imposibil sau presupune un efort disproporționat. Pe lângă aceasta, operatorul trebuie să informeze persoana vizată cu privire la destinatarii respectivi, dacă persoana vizată solicită acest lucru.

4.4. Pictograme

Conform principiilor prelucrării transparente, persoana vizată este informată cu privire la existența prelucrării și la scopurile acesteia. În acest context, poziția Consiliului în primă lectură prevede că informațiile furnizate persoanei vizate pot fi însoțite de pictograme standardizate. Operatorii pot decide în mod voluntar dacă utilizarea acestor pictograme standardizate ar fi utilă pentru prelucrarea datelor cu caracter personal pe care o efectuează. Pictogramele ar trebui să prezinte, într-un mod ușor vizibil, inteligibil și clar lizibil, o imagine de ansamblu semnificativă asupra prelucrării avute în vedere. Pictogramele trebuie să fie furnizate în același moment în care se transmit informațiile. În cazul în care pictogramele sunt prezentate în format electronic, acestea trebuie să poate fi citite automat. Pentru a contribui la utilizarea standardizată a pictogramelor în UE, regulamentul conferă Comisiei competența de a adopta acte delegate care stabilesc informațiile pe care pictogramele ar trebui să le prezinte, precum și procedurile pentru furnizarea de pictograme standardizate. Comitetul european pentru protecția datelor trebuie să emită un aviz privind pictogramele propuse de Comisie. Posibilitatea de a adopta acte delegate nu împiedică Comitetul european pentru protecția datelor să emită orientări, avize și bune practici privind pictogramele.

4.5. Dreptul de acces

Persoana vizată are dreptul de a obține din partea operatorului o confirmare a prelucrării sau nu a datelor cu caracter personal care o privesc și, în cazul în care aceste date cu caracter personal sunt prelucrate, accesul la informațiile enumerate în regulament. În acest context, regulamentul prevede că operatorul trebuie să furnizeze, gratuit, o copie a datelor cu caracter personal care fac obiectul prelucrării. Pentru orice alte copii solicitate de persoana vizată, operatorul poate percepe o taxă rezonabilă, bazată pe costurile administrative. Dreptul de a obține o copie nu trebuie să aducă atingere drepturilor și libertăților altora.

4.6. Dreptul la ștergerea datelor („dreptul de a fi uitat”)

Poziția Consiliului în primă lectură conferă persoanelor vizate dreptul la ștergerea datelor cu caracter personal care le privesc, în cazul în care prelucrarea acestor date nu este în conformitate cu regulamentul sau cu dreptul Uniunii sau al statului membru sub incidența căruia intră operatorul.

Trimiterea la „dreptul de a fi uitat” recunoaște necesitatea de a adapta dreptul la ștergere, în special într-un context digital. Operatorii care au făcut publice datele cu caracter personal în legătură cu care persoana vizată își exprimă dorința de a fi uitate trebuie să ia măsuri rezonabile, inclusiv măsuri tehnice, pentru a informa operatorii care prelucrează datele cu caracter personal cu privire la cererea persoanei vizate de ștergere a linkurilor către aceste date ori a copiilor sau a reproducerilor acestora, ținând seama de tehnologia disponibilă și de costul punerii în aplicare. Comitetul european pentru protecția datelor poate emite orientări, recomandări și bune practici privind procedurile de ștergere a linkurilor către datele cu caracter personal, a copiilor sau a reproducerilor acestora de care dispun serviciile de comunicații accesibile publicului.

Dreptul la ștergere și obligația ca operatorul să informeze alți operatori cu privire la cererea de ștergere nu se aplică în măsura în care prelucrarea datelor cu caracter personal este necesară în scopurile enumerate în mod exhaustiv în regulament, cum ar fi dreptul la libertatea de exprimare și de informare.

4.7. Dreptul la portabilitatea datelor

Poziția Consiliului în primă lectură prevede că, în cazul în care datele cu caracter personal sunt prelucrate prin mijloace automatizate, persoanele vizate au dreptul să primească datele cu caracter personal care le privesc și pe care le-au furnizat unui operator, într-un format structurat, utilizat în mod curent, prelucrabil automat și interoperabil și să transmită respectivele date unui alt operator. În plus, se precizează faptul că, atunci când este fezabil din punct de vedere tehnic, persoanele vizate au dreptul ca datele cu caracter personal să fie transmise direct de la un operator la altul. Acest lucru consolidează controlul persoanelor vizate asupra datelor proprii. Prin aceasta se încurajează, de asemenea, concurența între operatori.

Cu toate acestea, respectivul drept la portabilitatea datelor nu se aplică prelucrării necesare pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării autorității oficiale cu care este învestit operatorul. În plus, în cazul în care, într-un anumit set de date cu caracter personal, sunt implicate mai multe persoane vizate, dreptul unei persoane vizate de a primi datele sale cu caracter personal nu aduce atingere drepturilor și libertăților altor persoane.

4.8. Dreptul la opoziție

În cazurile în care datele cu caracter personal ar putea fi prelucrate în mod legal deoarece prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității oficiale cu care este învestit operatorul sau pe baza intereselor legitime ale unui operator sau ale unei părți terțe, persoana vizată are dreptul de a se opune prelucrării oricăror date cu caracter personal care se referă la situația sa particulară. În acest caz, operatorul nu mai are dreptul să prelucreze datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.

În acest context, se precizează că, în cazul în care datele cu caracter personal sunt prelucrate în scopuri de marketing direct, persoana vizată are dreptul de a se opune în orice moment prelucrării datelor cu caracter personal care o privesc. Aceasta include crearea de profiluri în măsura în care este legată de marketingul direct respectiv. Crearea de profiluri este definită drept orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea acestor date pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special pentru a analiza sau preconiza aspecte privind performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, fiabilitatea, comportamentul, locul în care se află persoana fizică respectivă sau deplasările acesteia. În cazul în care persoana vizată se opune prelucrării în scopul marketingului direct, nu mai este permisă prelucrarea datelor cu caracter personal în acest scop. Mai mult, acest drept trebuie să fie adus în atenția persoanei vizate în mod explicit și clar, cel târziu în momentul primei comunicări a operatorului care prelucrează datele cu caracter personal cu persoana vizată.

În plus, poziția Consiliului în primă lectură include o referire la caracteristicile online „fără monitorizare”, specificând că, în contextul utilizării serviciilor societății informaționale, persoana vizată își poate exercita dreptul la opoziție prin mijloace automatizate care folosesc specificații tehnice.

4.9. Procesul decizional individual automatizat, inclusiv crearea de profiluri

Persoana vizată are dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, care evaluează aspecte personale care o privesc și care produce efecte juridice care privesc persoana vizată sau o afectează în mod similar într-o măsură semnificativă. Printre exemple se numără refuzul automat al unei cereri de credit online sau practicile de recrutare pe cale electronică fără intervenție umană. Această prelucrare automată poate include crearea de profiluri. Cu toate acestea, acest drept de a nu face obiectul unor prelucrări automate nu se aplică:

— atunci când acest lucru este necesar pentru încheierea sau executarea unui contract între persoana vizată și un operator;

— atunci când este autorizat de dreptul Uniunii sau al unui stat membru care se aplică operatorului și care prevede, de asemenea, măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate, cum ar fi monitorizarea fraudei și a evaziunii fiscale; sau

— atunci când are la bază consimțământul explicit al persoanei vizate.

— Cu excepția celui de al doilea caz legat de prelucrarea autorizată de dreptul Uniunii sau al unui stat membru, operatorul care efectuează prelucrarea prin mijloace automatizate trebuie să pună în aplicare garanții adecvate pentru drepturile, libertățile și interesele legitime ale persoanelor vizate. Aceste garanții trebuie să includă cel puțin dreptul de a obține intervenția umană din partea operatorului și posibilitatea persoanei vizate de a-și exprima punctul de vedere și de a contesta decizia. În plus, pentru a asigura o prelucrare echitabilă și transparentă, operatorii ar trebui să utilizeze proceduri matematice și statistice adecvate pentru crearea de profiluri și măsuri care reduc la minimum riscurile potențiale la adresa intereselor persoanelor vizate.

Persoanei vizate îi sunt consolidate drepturile și mai mult întrucât operatorul este obligat să îi furnizeze persoanei vizate, atunci când este necesar pentru a asigura o prelucrare echitabilă și transparentă, informații despre existența unui proces decizional automatizat, incluzând crearea de profiluri, și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.

În fine, procesul decizional automatizat și crearea de profiluri pe baza unor categorii speciale de date cu caracter personal sunt permise numai în condiții specifice, incluzând dreptul persoanei vizate de a se opune unei astfel de prelucrări în cazul în care respectivele date cu caracter personal sunt prelucrate ulterior în scopuri de cercetare științifică sau istorică ori în scopuri statistice, cu excepția cazului în care prelucrarea este necesară pentru îndeplinirea unei sarcini executate în interes public.

Comitetul european pentru protecția datelor poate emite orientări, recomandări și bune practici în vederea detalierii criteriilor și condițiilor pentru deciziile bazate pe crearea de profiluri.

5. Operatorul și persoana împuternicită de operator

5.1. Introducere

Poziția Consiliului în primă lectură stabilește cadrul juridic pentru responsabilitatea și răspunderea pentru orice prelucrare a datelor cu caracter personal efectuată de către un operator sau, în numele său, de către o persoană împuternicită de operator. În conformitate cu principiul responsabilității, operatorul este obligat să pună în aplicare măsuri tehnice și organizatorice adecvate și să fie în măsură să demonstreze conformitatea operațiunilor sale de prelucrare cu regulamentul. În acest context, regulamentul prevede norme referitoare la responsabilitățile operatorului cu privire la evaluările impactului, menținerea evidențelor privind prelucrarea, încălcări ale securității datelor, desemnarea unui responsabil cu protecția datelor și coduri de conduită și mecanisme de certificare.

5.2. Evaluările impactului

Operatorul este responsabil pentru efectuarea unei evaluări a impactului asupra protecției datelor care să evalueze dacă prelucrarea este susceptibilă de a genera un risc ridicat la adresa drepturilor și libertăților persoanelor fizice. Poziția Consiliului în primă lectură stabilește cazurile în care este necesară, în mod deosebit, o evaluare a impactului asupra protecției datelor, cum ar fi anumite operațiuni specifice de prelucrare la scară largă. În cazul în care o astfel de evaluare a impactului arată că operațiunile de prelucrare implică un risc ridicat, pe care operatorul nu îl poate atenua prin măsuri adecvate sub aspectul tehnologiei disponibile și al costurilor punerii în aplicare, trebuie să aibă loc o consultare a autorității de supraveghere înainte de prelucrare. Autoritatea de supraveghere poate apoi să ofere consiliere operatorului și să își utilizeze oricare dintre competențele sale.

Comitetul european pentru protecția datelor poate să emită orientări cu privire la operațiunile de prelucrare care sunt susceptibile de a genera un risc ridicat pentru drepturile și libertățile persoanelor fizice și să indice măsurile care se pot dovedi suficiente în asemenea cazuri pentru a aborda un risc potențial.

5.3. Evidențe ale activităților de prelucrare

Pentru a permite efectuarea unor controale ex post de către autoritatea de supraveghere, operatorul sau, dacă este cazul, reprezentantul operatorului sau persoana împuternicită de operator trebuie să mențină evidențe ale activităților de prelucrare aflate în responsabilitatea sa, inclusiv cu privire la cazurile de încălcare a securității datelor. În vederea reducerii sarcinii administrative, obligația de a menține evidențe nu se aplică unei întreprinderi sau organizații cu mai puțin de 250 de angajați, cu excepția cazului în care prelucrarea pe care o efectuează este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate, prelucrarea nu este ocazională sau prelucrarea include date sensibile sau date referitoare la condamnări penale și infracțiuni.

5.4. Încălcări ale securității datelor

O încălcare a securității datelor cu caracter personal poate conduce la daune fizice, materiale sau morale aduse persoanelor fizice, cum ar fi pierderea controlului asupra datelor lor cu caracter personal sau limitarea drepturilor lor, discriminare, furt sau fraudă de identitate, pierdere financiară, inversarea neautorizată a pseudonimizării, compromiterea reputației, pierderea confidențialității datelor protejate prin secret profesional sau orice alt dezavantaj de natură economică sau socială adus persoanei fizice vizate. Poziția Consiliului în primă lectură prevede că operatorii trebuie să notifice autorităților de supraveghere încălcările securității datelor, cu excepția cazului în care încălcarea securității datelor este puțin susceptibilă să genereze un risc la adresa drepturilor și libertăților persoanelor fizice. Aceștia trebuie, de asemenea, să comunice persoanelor vizate respectivele încălcări care sunt susceptibile de a prezenta un risc ridicat. Notificarea autorităților de supraveghere le va permite acestora să intervină, dacă este necesar. În plus, comunicarea cu persoana vizată relevantă îi va permite acesteia să ia măsuri de precauție.

În vederea reducerii sarcinii administrative, poziția Consiliului în primă lectură aplică praguri diferite pentru notificările autorității de supraveghere și comunicările cu persoanele vizate relevante, cu un prag mai ridicat pentru comunicare decât pentru notificare. Operatorii au obligația, de îndată ce iau cunoștință de producerea unei încălcări a securității datelor cu caracter personal, să o notifice autorității de supraveghere competente, fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore după ce au luat cunoștință de existența acesteia. Cu toate acestea, operatorii pot să nu efectueze notificarea în cazul în care sunt în măsură să demonstreze că încălcarea securității datelor este puțin susceptibilă să genereze un risc la adresa drepturilor și libertăților persoanelor fizice. În afară de câteva excepții, operatorii sunt obligați să comunice persoanelor vizate relevante încălcarea securității datelor, fără întârzieri nejustificate, în cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat la adresa drepturilor și libertăților persoanelor vizate respective.

Comitetul european pentru protecția datelor poate emite orientări, recomandări și bune practici pentru stabilirea încălcărilor securității datelor și pentru stabilirea întârzierilor nejustificate după ce operatorul a luat cunoștință de încălcare și cu privire la circumstanțele speciale în care un operator are obligația de a notifica încălcarea securității datelor cu caracter personal, precum și cu privire la circumstanțele în care o încălcare a securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat la adresa drepturilor și libertăților persoanelor fizice.

5.5. Responsabilul cu protecția datelor

Scopul desemnării unui responsabil cu protecția datelor este de a îmbunătăți respectarea regulamentului. Prin urmare, responsabilul cu protecția datelor trebuie să fie o persoană care deține cunoștințe de specialitate în materie de legislație și practici privind protecția datelor și trebuie să acorde asistență operatorului sau persoanei împuternicite de operator pentru monitorizarea conformității, la nivel intern, cu regulamentul. Responsabilul cu protecția datelor poate fi un membru al personalului operatorului sau persoanei împuternicite de operator sau poate să își îndeplinească sarcinile în baza unui contract de servicii. De asemenea, poate fi desemnat un singur responsabil cu protecția datelor pentru un grup de întreprinderi sau în cazul în care operatorul sau persoana împuternicită de operator este o autoritate publică. Poziția Consiliului în primă lectură prevede desemnarea obligatorie a unui responsabil cu protecția datelor în cazul în care:

— prelucrarea este efectuată de o autoritate publică, cu excepția instanțelor sau a autorităților judiciare independente atunci când acționează în exercițiul funcției lor judiciare;

— activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în operațiuni de prelucrare care, prin natura, domeniul de aplicare și/sau scopurile lor, necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă; sau

— activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în prelucrarea pe scară largă a unor date sensibile și a unor date privind condamnări penale și infracțiuni.

5.6. Coduri de conduită și mecanisme de certificare

Poziția Consiliului în primă lectură stimulează aplicarea unor coduri de conduită și promovează o utilizare mai largă a unor mecanisme de certificare în domeniul protecției datelor și a unor sigilii și mărci în domeniul protecției datelor. Aceste inițiative contribuie la respectarea normelor privind protecția datelor, evitând totodată normele excesiv de prescriptive și reducând costurile pentru autoritățile publice responsabile cu asigurarea respectării legii. În plus, codurile de conduită pot să țină seama de caracteristicile specifice ale prelucrării efectuate în anumite sectoare, precum și de nevoile microîntreprinderilor și ale întreprinderilor mici și mijlocii. Mecanismele de certificare și sigiliile și mărcile din domeniul protecției datelor, la rândul lor, contribuie la respectarea regulamentului, întrucât persoanele vizate pot să evalueze cu ușurință nivelul de protecție a datelor aferent produselor și serviciilor relevante.

Poziția Consiliului în primă lectură cuprinde un set detaliat de norme cu privire la coduri de conduită și mecanisme de certificare, sigilii și mărci din domeniul protecției datelor care permit inițiative private, protejând, în același timp, standardele în materie de protecție a datelor prin implicarea autorităților de supraveghere.

5.6.1. Coduri de conduită

Autoritatea de supraveghere poate aproba coduri de conduită sau modificări sau extinderi ale unor astfel de coduri de conduită. În cazul în care proiectul de cod de conduită are legătură cu activități de prelucrare din mai multe state membre, autoritatea de supraveghere competentă trebuie să transmită Comitetului european pentru protecția datelor, înainte de aprobare, un proiect al codului, al modificării sau al extinderii acestuia, în vederea obținerii unui aviz.

Comisia poate adopta acte de punere în aplicare pentru a decide asupra valabilității generale în Uniune a noilor coduri de conduită și a modificărilor sau extinderilor la codurile de conduită existente care au fost aprobate de autoritatea de supraveghere competentă.

Comitetul european pentru protecția datelor ar trebui să încurajeze elaborarea unor coduri de conduită. Comitetul trebuie, de asemenea, să regrupeze toate codurile de conduită aprobate și modificările acestora într-un registru și să le pună la dispoziția publicului prin orice mijloc corespunzător.

5.6.2. Mecanisme de certificare, sigilii și mărci în domeniul protecției datelor

Poziția Consiliului în primă lectură prevede că fiecare stat membru trebuie să precizeze dacă organismele de certificare sunt acreditate de către autoritatea de supraveghere sau de către organismul național de acreditare. Organismele de certificare acreditate pot certifica operatori și persoane împuternicite de operatori pe baza criteriilor aprobate de autoritatea de supraveghere competentă sau, în conformitate cu mecanismul pentru asigurarea coerenței, de Comitetul european pentru protecția datelor. În acest din urmă caz, criteriile aprobate de Comitetul european pentru protecția datelor pot duce la o certificare comună, respectiv sigiliul european privind protecția datelor. Certificarea este eliberată unui operator sau unei persoane împuternicite de operator pentru o perioadă maximă de 3 ani, cu posibilitate de reînnoire. Organismul de certificare trebuie să îi transmită autorității de supraveghere motivele acordării sau retragerii certificării solicitate. Ulterior, autoritatea de supraveghere poate respinge o astfel de certificare sau o poate declara nulă.

Comisia este competentă să adopte acte delegate în scopul specificării cerințelor care trebuie luate în considerare pentru mecanismele de certificare din domeniul protecției datelor. Comitetul european pentru protecția datelor trebuie să emită un aviz cu privire la respectivele cerințe. Comisia poate adopta, de asemenea, acte de punere în aplicare privind standardele tehnice pentru mecanismele de certificare și pentru sigiliile și mărcile din domeniul protecției datelor, precum și mecanismele de promovare și recunoaștere a mecanismelor de certificare și a sigiliilor și mărcilor din domeniul protecției datelor.

În fine, Comitetul european pentru protecția datelor ar trebui să încurajeze instituirea de mecanisme de certificare în domeniul protecției datelor și de sigilii și mărci în domeniul protecției datelor.

6. Transferul de date cu caracter personal către țări terțe sau organizații internaționale

6.1. Introducere

Fluxurile transfrontaliere de date cu caracter personal către și dinspre țări situate în afara Uniunii și organizații internaționale sunt vitale în contextul comerțului mondial și al economiei digitale transfrontaliere. Nivelul de protecție garantat de Uniune nu trebuie să fie subminat dacă datele cu caracter personal ale cetățenilor UE sunt transferate în afara Uniunii.

Ca principiu general, orice transfer de date cu caracter personal către o țară terță sau către o organizație internațională poate avea loc numai în cazul în care operatorii și persoanele împuternicite de operatori respectă normele prevăzute de regulament. Poziția Consiliului în primă lectură ține seama pe deplin de jurisprudența Curții de Justiție a Uniunii Europene, inclusiv de hotărârea sa din 6 octombrie 2015 în cauza C-362/14. Poziția Consiliului menține diferitele modalități de a permite transferurile transfrontaliere de date cu caracter personal, consolidând, în același timp, garanțiile că drepturile în materie de protecție a datelor sunt respectate. Aceste modalități diferite de transfer al datelor cu caracter personal sunt deciziile privind caracterul adecvat al nivelului de protecție, garanțiile adecvate și derogările.

Poziția Consiliului în primă lectură clarifică faptul că orice hotărâre a unei instanțe și orice decizie a unei autorități administrative a unei țări terțe care impun unui operator sau unei persoane împuternicite de operator să transfere sau să divulge date cu caracter personal poate fi recunoscută sau executată în orice fel numai dacă se bazează pe un acord internațional în vigoare între țara terță solicitantă și Uniune sau un stat membru. Mai mult, în poziția Consiliului în primă lectură se precizează în mod explicit că astfel de acorduri internaționale nu aduc atingere altor temeiuri pentru efectuarea de transferuri transfrontaliere prevăzute în regulament.

6.2. Decizii privind caracterul adecvat al nivelului de protecție

Transferurile internaționale pot avea loc în temeiul unei decizii a Comisiei privind caracterul adecvat al nivelului de protecție potrivit căreia țara terță, un teritoriu ori unul sau mai multe sectoare specifice din acea țară terță sau organizația internațională în cauză asigură un nivel de protecție echivalent, în esență, cu cel garantat în cadrul Uniunii. În acest mod, se asigură în întreaga Uniune securitate juridică și uniformitate.

Comisia poate să decidă, după trimiterea unei notificări și a unei justificări complete țării terțe sau organizației internaționale, să anuleze o decizie privind caracterul adecvat al nivelului de protecție. Comisia adoptă deciziile privind caracterul adecvat al nivelului de protecție și deciziile de revocare a acestor decizii sub forma unor acte de punere în aplicare. Actele de punere în aplicare trebuie să prevadă un mecanism de revizuire periodică, cel puțin o dată la patru ani. Comisia trebuie să monitorizeze evoluțiile din țările terțe și organizațiile internaționale care ar putea afecta funcționarea deciziilor privind caracterul adecvat al nivelului de protecție. În scopul monitorizării și al efectuării revizuirilor periodice, Comisia ar trebui să ia în considerare opiniile și constatările Parlamentului European și ale Consiliului, precum și ale altor organisme și surse relevante. În contextul evaluării și revizuirii regulamentului, Comisia trebuie să transmită, de asemenea, la intervale regulate, rapoarte Consiliului și Parlamentului European. În fine, Comitetul european pentru protecția datelor trebuie să înainteze un aviz Comisiei pentru evaluarea caracterului adecvat al nivelului de protecție dintr-o țară terță sau o organizație internațională, inclusiv pentru a determina dacă nu mai este asigurat un nivel adecvat de protecție.

Deciziile adoptate de Comisie în temeiul articolului 25 alineatul (6) din Directiva 95/46/CE rămân în vigoare până când sunt modificate, înlocuite sau abrogate de o decizie a Comisiei. În același sens, autorizațiile acordate de un stat membru sau de o autoritate de supraveghere în temeiul articolului 26 alineatul (2) din Directiva 95/46/CE și deciziile adoptate de Comisie în temeiul articolului 26 alineatul (4) din Directiva 95/46/CE rămân valabile până când sunt modificate, înlocuite sau abrogate, dacă este necesar, de autoritatea de supraveghere în cauză sau, respectiv, printr-o decizie a Comisiei. Prin asigurarea continuității, poziția Consiliului în primă lectură asigură securitatea juridică.

6.3. Garanții adecvate

Pe lângă deciziile privind caracterul adecvat al nivelului de protecție, transferurile transfrontaliere pot avea loc și în cazul în care operatorul sau persoana împuternicită de operator a instituit garanții adecvate pentru a compensa lipsa protecției datelor într-o țară terță sau organizație internațională. Astfel de garanții pot consta în instrumente cu caracter obligatoriu și executoriu între autorități sau organisme publice, în reguli corporatiste cu caracter obligatoriu, în clauze standard de protecție a datelor adoptate de Comisie, în clauze standard de protecție a datelor adoptate de o autoritate de supraveghere sau în clauze contractuale autorizate de o autoritate de supraveghere. Operatorii sau persoanele împuternicite de operatori dintr-o țară terță pot, de asemenea, să ofere garanții adecvate pentru transferurile de date cu caracter personal către țări terțe sau organizații internaționale. Aceștia (acestea) pot face acest lucru prin intermediul unui cod de conduită aprobat însoțit de angajamente cu caracter obligatoriu și executoriu de a aplica garanțiile adecvate prin dispoziții contractuale sau alte instrumente cu caracter obligatoriu, inclusiv în ceea ce privește drepturile persoanelor vizate. De asemenea aceștia (acestea) pot face acest lucru prin intermediul unui mecanism de certificare aprobat de autoritatea de supraveghere competentă, însoțit de angajamente cu caracter obligatoriu și executoriu din partea operatorului sau a persoanei împuternicite de operator din țara terță de a aplica garanții adecvate, inclusiv cu privire la drepturile persoanelor vizate.

6.4. Derogări

În absența unei decizii privind caracterul adecvat al nivelului de protecție sau a unor garanții adecvate, un transfer sau o serie de transferuri de date cu caracter personal către o țară terță sau o organizație internațională poate avea loc în temeiul derogărilor care sunt enumerate în mod exhaustiv în regulament. Una dintre aceste derogări se referă la interesele legitime urmărite de operator în cazul în care interesele sau drepturile și libertățile persoanei vizate nu prevalează asupra acestor interese. În vederea oferirii unor garanții suficiente pentru transferurile transfrontaliere de date cu caracter personal, interesele legitime ale operatorului sunt strict delimitate și pot fi invocate numai drept ultimum remedium. Pentru a asigura o aplicare coerentă a regulamentului, Comitetul european pentru protecția datelor trebuie, din proprie inițiativă sau la cererea Comisiei, să elaboreze și să revizuiască orientări, recomandări și bune practici în scopul detalierii criteriilor și cerințelor aplicabile transferurilor de date în absența unei decizii privind caracterul adecvat al nivelului de protecție sau a unor garanții adecvate.

7. Autoritățile de supraveghere

7.1. Independență

În vederea protejării drepturilor și libertăților fundamentale ale persoanelor fizice referitor la prelucrarea datelor lor cu caracter personal și a facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii, fiecare stat membru trebuie să prevadă că una sau mai multe autorități publice independente sunt responsabile de monitorizarea aplicării regulamentului pe teritoriul său. Fiecare autoritate de supraveghere și membrii săi trebuie să își desfășoare activitatea în deplină independență, inclusiv cu integritate, în îndeplinirea sarcinilor și în exercitarea competențelor care le sunt încredințate respectivei autorități de supraveghere și membrilor săi.

Fiecare autoritate de supraveghere trebuie să contribuie la aplicarea coerentă a regulamentului în întreaga Uniune. În acest scop, autoritățile de supraveghere trebuie să coopereze între ele, cu Comitetul european pentru protecția datelor și cu Comisia. Se asigură suplimentar aplicarea coerentă a regulamentului prin faptul că sunt prevăzute competențele autorităților de supraveghere și prin definirea sarcinilor și a competențelor de investigare, corective, de autorizare și de consiliere minime pe care trebuie să le dețină autoritățile de supraveghere.

7.2. Secretul profesional

Poziția Consiliului în primă lectură stabilește norme privind secretul profesional pentru autoritățile de supraveghere și membrii acestora. În primul rând, un membru sau membrii și personalul fiecărei autorități de supraveghere au obligația, în conformitate cu dreptul Uniunii sau al statului membru, de a respecta atât pe parcursul mandatului, cât și după încetarea acestuia, secretul profesional în ceea ce privește informațiile confidențiale de care au luat cunoștință în cursul îndeplinirii sarcinilor sau al exercitării competențelor lor. Se mai precizează că, pe durata mandatului lor, această obligație de păstrare a secretului profesional se aplică în special în ceea ce privește raportarea de către persoane fizice a încălcărilor regulamentului. În plus, Comitetul european pentru protecția datelor are sarcina de a emite orientări, recomandări și bune practici pentru crearea unor proceduri comune pentru raportarea de către persoane fizice a încălcărilor regulamentului.

8. Cooperare și coerență

8.1. Comitetul european pentru protecția datelor

Poziția în primă lectură a Consiliului instituie Comitetul european pentru protecția datelor ca organism al Uniunii, cu personalitate juridică, cu scopul de a asigura aplicarea corectă și coerentă a regulamentului. Intervențiile Comitetului constau în special în emiterea de avize, adoptarea de decizii cu caracter obligatoriu în contextul soluționării litigiilor dintre autoritățile de supraveghere sau emiterea de orientări cu privire la orice chestiune referitoare la punerea în aplicare a acestui regulament pentru a asigura aplicarea consecventă a regulamentului.

Comitetul european pentru protecția datelor este alcătuit din șeful unei autorități de supraveghere din fiecare stat membru și din Autoritatea Europeană pentru Protecția Datelor sau reprezentanții respectivi ai acestora. Comisia are dreptul de a participa la activitățile și reuniunile Comitetului european pentru protecția datelor fără a avea drept de vot. Discuțiile din cadrul Comitetului european pentru protecția datelor sunt confidențiale în cazul în care comitetul consideră că acest lucru este necesar în conformitate cu regulamentul său de procedură.

În cazul în care Comitetul european pentru protecția datelor adoptă o decizie cu caracter obligatoriu în contextul soluționării unor litigii, Autoritatea Europeană pentru Protecția Datelor deține drept de vot numai cu privire la deciziile care privesc principiile și normele aplicabile în ceea ce privește instituțiile, organismele, oficiile și agențiile Uniunii care corespund pe fond cu cele din regulament.

8.2. Mecanismul pentru asigurarea coerenței

În cazul prelucrării transfrontaliere a datelor cu caracter personal în care sunt implicate mai multe autorități de supraveghere, mecanismul pentru asigurarea coerenței asigură faptul că se adoptă o singură decizie, care va fi aplicabilă în întreaga Uniune Europeană, luând în considerare avizul diferitelor autorități de supraveghere în cauză. Mecanismul pentru asigurarea coerenței sporește proximitatea dintre persoanele vizate și autoritatea de supraveghere competentă la nivel decizional prin implicarea autorităților de supraveghere „locale” în procesul decizional. În plus, în cazul unor litigii între autoritățile de supraveghere din diferite state membre, Comitetul european pentru protecția datelor recent-înființat are competența de a lua decizii cu caracter obligatoriu.

Normele privind mecanismul pentru asigurarea coerenței nu se aplică în cazul în care prelucrarea este efectuată de autorități publice sau organisme private în interes public. În asemenea cazuri, singura autoritate de supraveghere competentă este autoritatea de supraveghere a statului membru în care autoritatea publică sau organismul privat își are sediul.

Poziția Consiliului în primă lectură prevede că, în contextul evaluării de către Comisie a regulamentului, vor fi examinate aplicarea cooperării și a mecanismului pentru asigurarea coerenței.

9. Căi de atac, răspundere și sancțiuni

Poziția Consiliului în primă lectură stabilește un set detaliat de norme care pune la dispoziția persoanelor vizate mai multe căi de atac, inclusiv posibilitatea a solicita despăgubiri în caz de daune suferite ca urmare a încălcării dispozițiilor regulamentului.

9.1. Dreptul de a depune o plângere și dreptul la o cale de atac judiciară

Poziția Consiliului în primă lectură prevede că orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în cazul în care persoana vizată consideră că prelucrarea datelor cu caracter personal care o vizează nu respectă regulamentul. În plus, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficace împotriva unei decizii cu caracter obligatoriu a unei autorități de supraveghere care o privește. Aceasta are dreptul, de asemenea, de a exercita o cale de atac judiciară eficace în cazul în care autoritatea de supraveghere nu soluționează plângerea sau nu furnizează informații cu privire la progresele sau la soluționarea plângerii.

Fiecare persoană vizată are, de asemenea, dreptul de a exercita o cale de atac judiciară eficace în cazul în care consideră că drepturile de care beneficiază în temeiul regulamentului au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără respectarea regulamentului.

Proximitatea dintre persoana vizată și instanța națională este asigurată prin faptul că persoana vizată are dreptul ca o decizie a autorității sale de protecție a datelor să fie revizuită de către instanța sa națională, indiferent de statul membru în care este stabilit operatorul sau persoana împuternicită de operator. Acțiunile introduse împotriva unui operator sau unei persoane împuternicite de operator trebuie să fie prezentate în fața instanțelor din statul membru unde operatorul sau persoana împuternicită de operator are un sediu. Alternativ, o astfel de acțiune poate fi prezentată în fața instanțelor din statul membru în care persoana vizată își are reședința obișnuită, cu excepția cazului în care operatorul sau persoana împuternicită de operator este o autoritate publică a unui stat membru ce acționează în exercitarea competențelor sale publice.

În fine, orice persoană fizică sau juridică are dreptul de a introduce o acțiune în anulare împotriva deciziilor Comitetului european pentru protecția datelor în fața Curții de Justiție a Uniunii Europene, în conformitate cu condițiile prevăzute la articolul 263 din TFUE.

9.2. Reprezentarea persoanelor vizate

O persoană vizată are dreptul de a mandata organisme, organizații sau asociații care îndeplinesc anumite criterii, de exemplu desfășoară activități fără scop lucrativ și sunt active în domeniul protecției datelor, să depună plângerea în numele persoanei vizate, să exercite dreptul la o cale de atac în numele acesteia și să exercite dreptul de a primi despăgubiri în numele acesteia, în cazul în care acest lucru este prevăzut de dreptul statului membru. Aceste criterii specifice au drept scop evitarea dezvoltării unei culturi de acțiuni în scopuri comerciale în domeniul protecției datelor. Pe lângă acestea, statele membre pot prevedea că orice astfel de organism, organizație sau asociație, independent de mandatul unei persoanei vizate, are în statul membru respectiv dreptul de a depune o plângere la autoritatea de supraveghere competentă și de a exercita drepturile privind căile de atac judiciare, în cazul în care consideră că drepturile unei persoane vizate au fost încălcate ca urmare a prelucrării datelor cu caracter personal fără respectarea regulamentului.

9.3. Suspendarea procedurilor

Pentru a se evita situația în care pe rolul mai multor instanțe se află acțiuni cu același obiect în ceea ce privește prelucrarea efectuată de același operator sau de aceeași persoană împuternicită de operator, orice instanță competentă sesizată ulterior poate suspenda procedura sau, la cererea unei părți, poate să își decline competența.

9.4. Dreptul la despăgubiri și răspunderea

Poziția Consiliului în primă lectură prevede că orice persoană vizată care a suferit daune materiale sau morale ca urmare a unei încălcări a regulamentului are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator. Cu scopul de a oferi persoanelor vizate posibilitatea de a solicita despăgubiri în caz de daune, oferind în același timp securitate juridică operatorilor și persoanelor împuternicite de operatori, regulamentul precizează răspunderea acestora. Orice operator implicat în operațiunile de prelucrare este răspunzător pentru daunele pe care le-a cauzat. O persoană împuternicită de operator este răspunzătoare numai în cazul în care nu a respectat obligațiile din regulament care revin în mod specific persoanelor împuternicite de operator sau în cazul în care a acționat în afara sau în contradicție cu instrucțiunile legale ale operatorului. Cu toate acestea, un operator sau o persoană împuternicită de operator este exonerat (exonerată) de răspundere dacă dovedește că nu este răspunzător (răspunzătoare) în niciun fel pentru evenimentul care a cauzat daunele.

În cazul în care mai mulți operatori sau mai multe persoane împuternicite de operator sau un operator și o persoană împuternicită de operator sunt implicate în aceeași operațiune de prelucrare și sunt responsabile pentru orice daune cauzate de prelucrare, fiecare operator sau persoană împuternicită de operator este răspunzător (răspunzătoare) pentru totalitatea daunelor pentru a asigura despăgubirea efectivă a persoanei vizate. Totuși, în cazul în care un operator sau o persoană împuternicită de operator a plătit despăgubiri integrale pentru daunele suferite, respectivul operator sau respectiva persoană împuternicită de operator are dreptul să solicite de la ceilalți operatori sau celelalte persoane împuternicite de operator implicați (implicate) în aceeași operațiune de prelucrare recuperarea părții din despăgubiri care corespunde părții lor de răspundere pentru daune.

9.5. Sancțiuni

Cu scopul de a asigura respectarea regulamentului, poziția Consiliului în primă lectură prevede că autoritățile de supraveghere pot impune amenzi administrative. Respectivele amenzi trebuie să fie eficace, proporționale și disuasive. Fiecare stat membru poate prevedea norme prin care să se stabilească dacă și în ce măsură pot fi impuse amenzi administrative autorităților publice și organismelor publice stabilite în statul membru respectiv. În afară de impunerea unor amenzi administrative, autoritățile de supraveghere își pot exercita, de asemenea, alte competențe corective, cum ar fi avertismentele sau mustrările. Pentru a spori armonizarea, Comitetul european pentru protecția datelor trebuie să elaboreze orientări destinate autorităților de supraveghere, referitoare la aplicarea competențelor corective ale autorității de supraveghere și la stabilirea amenzilor administrative.

Poziția Consiliului în primă lectură conține o listă de criterii pentru autoritatea de supraveghere, de utilizat atunci când se decide dacă să se impună o amendă administrativă și, în caz afirmativ, care ar trebui să fie cuantumul amenzii. Aceste criterii se referă, printre altele, la natura, gravitatea, durata și caracterul intenționat sau din neglijență al încălcării dispozițiilor regulamentului. Regulamentul enumeră atât încălcările, cât și amenzile administrative maxime corespunzătoare. Fără a depăși respectivele amenzi administrative maxime, autoritatea de supraveghere trebuie să stabilească cuantumul corespunzător în funcție de circumstanțele fiecărei încălcări în parte. În vederea asigurării securității juridice pentru operatori și persoanele împuternicite de operatori și în vederea unei mai bune armonizări a amenzilor administrative în cadrul Uniunii, păstrând totodată o marjă de apreciere pentru autoritățile de supraveghere, aceste încălcări sunt împărțite în trei categorii. Încălcările din prima categorie referitoare la obligațiile operatorilor și ale persoanelor împuternicite de operatori pot face obiectul unor amenzi de până la 10 000 000 EUR sau, în cazul unei întreprinderi, de până la 2 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându-se în calcul cea mai mare valoare. Cea de a doua categorie de încălcări ale drepturilor persoanelor vizate și ale principiilor generale are un plafon de 20 000 000 EUR sau de 4 % din cifra de afaceri. Cea de a treia categorie de încălcări se referă la nerespectarea unui ordin emis de autoritatea de supraveghere și are, de asemenea, o amendă maximă de 20 000 000 EUR sau de 4 % din cifra de afaceri.

10. Situații specifice de prelucrare a datelor

10.1. Prelucrarea datelor cu caracter personal și libertatea de exprimare și de informare

Statele membre trebuie să prevadă prin lege asigurarea unui echilibru între dreptul la protecția datelor cu caracter personal și dreptul la libertatea de exprimare și de informare, inclusiv prelucrarea datelor cu caracter personal în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare. În vederea garantării transparenței în ceea ce privește asigurarea unui echilibru între aceste drepturi, fiecare stat membru este obligat să notifice Comisiei dispozițiile relevante din dreptul său și modificările la respectivele dispoziții, precum și noile dispoziții relevante.

10.2. Prelucrarea în contextul ocupării unui loc de muncă

Prin lege sau prin acorduri colective, statele membre pot prevedea norme mai specifice pentru a asigura protecția drepturilor și a libertăților cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă.

Aceste norme trebuie să includă măsuri corespunzătoare și specifice pentru garantarea demnității umane, a intereselor legitime și a drepturilor fundamentale ale persoanei vizate. Fiecare stat membru trebuie să notifice Comisiei dispozițiile relevante din dreptul său și modificările la respectivele dispoziții, precum și noile dispoziții relevante.

10.3. Garanții și derogări pentru prelucrarea datelor cu caracter personal în scopuri de arhivare în interes public sau în scopuri de cercetare științifică sau istorică ori în scopuri statistice

Poziția Consiliului în primă lectură stabilește norme speciale pentru prelucrarea datelor cu caracter personal în scopuri de arhivare în interes public sau în scopuri de cercetare științifică sau istorică ori în scopuri statistice.Aceste norme vizează asigurarea unui echilibru între, pe de o parte, interesul disponibilității datelor cu caracter personal pentru a menține arhive, a furniza statistici și a face cercetare și, pe de altă parte, drepturile în materie de protecție a datelor.

Prelucrarea datelor cu caracter personal în scopuri de arhivare în interes public sau în scopuri de cercetare științifică sau istorică ori în scopuri statistice trebuie să facă obiectul unor garanții adecvate pentru drepturile și libertățile persoanei vizate în temeiul regulamentului. Statele membre sunt autorizate să prevadă, în anumite condiții și sub rezerva unor garanții adecvate pentru persoanele vizate, condiții specifice și derogări referitoare la cerințele de informare și dreptul la rectificare, dreptul de ștergere, dreptul de a fi uitat, dreptul la restricționarea prelucrării, dreptul la portabilitatea datelor și dreptul de a se opune în cazul prelucrării datelor cu caracter personal în scopuri de arhivare în interes public, de cercetare științifică sau istorică ori în scopuri statistice.

Poziția Consiliului în primă lectură permite, de asemenea, o derogare de la interdicția de a prelucra date cu caracter personal sensibile în cazul prelucrării în scopuri de arhivare în interes public sau în scopuri de cercetare științifică sau istorică ori în scopuri statistice. O astfel de derogare este permisă dacă prelucrarea în cauză se întemeiază pe dreptul Uniunii sau al statelor membre, fiind necesar să fie proporțională cu obiectivul urmărit, să respecte esența dreptului la protecția datelor și să prevadă măsuri corespunzătoare și specifice pentru protejarea drepturilor fundamentale și a intereselor persoanei vizate.

11. Acorduri încheiate anterior

Poziția Consiliului în primă lectură precizează că acordurile internaționale care implică transferul de date cu caracter personal către țări terțe sau organizații internaționale, care au fost încheiate de statele membre înainte de intrarea în vigoare a regulamentului și care sunt în conformitate cu dreptul Uniunii aplicabil înainte de intrarea în vigoare a regulamentului, rămân în vigoare până când sunt modificate, înlocuite sau revocate. Acest lucru asigură securitate juridică pentru operatori și previne o sarcină administrativă inutilă pentru statele membre. Poziția Consiliului în primă lectură ia, de asemenea, în considerare faptul că statele membre depind de cooperarea cu țara terță sau cu organizația internațională în vederea modificării acordurilor existente.

IV. CONCLUZIE

Poziția Consiliului în primă lectură reflectă compromisul la care s-a ajuns în cadrul negocierilor informale dintre Consiliu și Parlamentul European, facilitat de Comisie. Consiliul invită Parlamentul European să aprobe în mod oficial poziția Consiliului în primă lectură fără amendamente, astfel încât să poată fi stabilit noul cadru legislativ al UE pentru protecția datelor, care va consolida drepturile în materie de protecție a datelor, facilitând totodată fluxul de date cu caracter personal în piața digitală.