Propunere de REGULAMENT AL PARLAMENTULUI EUROPEAN ŞI AL CONSILIULUI privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor) /* COM/2012/011 final - 2012/0011 (COD) */





EXPUNERE DE MOTIVE 1. CONTEXTUL PROPUNERII Prezenta expunere de motive descrie în detaliu noua propunere de cadru juridic privind protecția datelor cu caracter personal în UE, prevăzut în Comunicarea COM (2012) 9 final[1]. Noul cadru legislativ propus constă în două propuneri legislative: – o propunere de regulament al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor) și – o propunere de directivă a Parlamentului European și a Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și libera circulație a acestor date[2]. Prezenta expunere de motive se referă la propunerea de regulament general privind protecția datelor. Documentul care stă la baza legislației UE existente privind protecția datelor cu caracter personal, Directiva 95/46/CE[3], a fost adoptat în 1995, aceasta având două obiective: protejarea dreptului fundamental la protecția datelor și garantarea liberei circulații a datelor cu caracter personal între statele membre. Aceasta a fost completată de Decizia­cadru 2008/977/JAI, un instrument general, la nivelul Uniunii, în scopul protecției datelor cu caracter personal în domeniul cooperării polițienești și judiciare în materie penală[4]. Evoluțiile tehnologice rapide au generat noi provocări în domeniul protecției datelor cu caracter personal. Amploarea schimbului și a colectării de date a crescut spectaculos. Tehnologia permite atât societăților private, cât și autorităților publice să utilizeze date cu caracter personal la un nivel fără precedent în cadrul activităților desfășurate. Din ce în ce mai multe persoane fizice la nivel mondial fac publice informații cu caracter personal. Tehnologia a transformat atât economia, cât și viața socială. Consolidarea încrederii în mediul online este esențială pentru dezvoltarea economică. Lipsa de încredere îi determină pe consumatori să ezită să cumpere online și să apeleze la noi servicii. Aceasta poate conduce la încetinirea dezvoltării utilizărilor inovatoare ale noilor tehnologii. Prin urmare, protecția datelor cu caracter personal joacă un rol central în cadrul Agendei digitale pentru Europa[5] și, în mod mai general, în cadrul Strategiei Europa 2020[6]. Articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene (TFUE), astfel cum a fost introdus prin Tratatul de la Lisabona, stabilește principiul conform căruia orice persoană are dreptul la protecția datelor cu caracter personal care o privesc. Mai mult, prin articolul 16 alineatul (2) din TFUE, Tratatul de la Lisabona a introdus un temei juridic specific pentru adoptarea de norme în materie de protecție a datelor cu caracter personal. Articolul 8 din Carta drepturilor fundamentale a Uniunii Europene consacră protecția datelor cu caracter personal ca drept fundamental. Consiliul European a invitat Comisia să evalueze funcționarea instrumentelor UE privind protecția datelor și să prezinte, dacă este cazul, alte inițiative legislative și fără caracter legislativ[7]. În rezoluția sa privind Programul de la Stockholm, Parlamentul European[8] a salutat inițiativa unui regim cuprinzător de protecție a datelor în UE și, printre altele, a făcut apel la revizuirea deciziei-cadru. Comisia a subliniat în planul său de acțiune pentru punerea în aplicare a programului de la Stockholm[9], necesitatea de a se asigura că dreptul fundamental la protecția datelor cu caracter personal este aplicat în mod consecvent în contextul tuturor politicilor UE. În comunicarea sa privind „O abordare globală a protecției datelor cu caracter personal în Uniunea Europeană”[10], Comisia a concluzionat că UE are nevoie de o politică mai cuprinzătoare și mai coerentă privind dreptul fundamental la protecția datelor cu caracter personal. Cadrul actual rămâne în continuare satisfăcător în ceea ce privește obiectivele și principiile, însă acesta nu a împiedicat fragmentarea modului în care protecția datelor cu caracter personal este pusă în aplicare pe întreg teritoriul Uniunii, incertitudinea juridică și percepția publică larg răspândită conform căreia există riscuri semnificative, în special asociate cu activitatea online[11]. Din acest motiv, ar trebui elaborat un cadru mai solid și mai coerent privind protecția datelor în UE, care, împreună cu o aplicare riguroasă a normelor în acest domeniu, vor permite economiei digitale să se dezvolte pe tot cuprinsul pieței interne, vor facilita deținerea controlului de către persoane asupra propriilor date și vor consolida securitatea juridică și practică pentru operatorii economici și autoritățile publice. 2. REZULTATELE CONSULTĂRILOR CU PĂRȚILE INTERESATE ȘI ALE EVALUĂRII IMPACTULUI Prezenta inițiativă este rezultatul unor ample consultări cu principalele părți interesate privind o revizuire a actualului cadru juridic privind protecția datelor cu caracter personal, care au durat peste doi ani, incluzând o conferință la nivel înalt desfășurată în mai 2009[12] și două faze ale consultării publice: – în perioada 9 iulie - 31 decembrie 2009, consultarea referitoare la cadrul juridic privind dreptul fundamental la protecția datelor cu caracter personal. Comisia a primit 168 de răspunsuri, din care 127 de la persoane fizice, organizații și asociații profesionale și 12 de la autoritățile publice[13]; – în perioada 4 noiembrie 2010 - 15 ianuarie 2011, consultarea privind abordarea cuprinzătoare a Comisiei cu privire la protecția datelor cu caracter personal în Uniunea Europeană. Comisia a primit 305 de răspunsuri, din care 54 de la cetățeni, 31 de la autoritățile publice și 220 de la organizațiile private, în special asociații de afaceri și organizații neguvernamentale[14]. De asemenea, s-au desfășurat consultări specifice cu principalele părți interesate; în iunie și iulie 2010, au fost organizate evenimente specifice cu autoritățile statelor membre și cu părțile interesate din sectorul privat, precum și cu organizații din domeniul protecției vieții private, a datelor și a consumatorilor[15]. În noiembrie 2010, vicepreședintele Comisiei Europene, Viviane Reding, a organizat o masă rotundă privind reforma în materie de protecție a datelor. La 28 ianuarie 2011 (Ziua protecției datelor), Comisia Europeană și Consiliul Europei au organizat o conferință comună la nivel înalt pentru a discuta aspecte referitoare la reforma cadrului juridic al UE, precum și la necesitatea unor standarde comune privind protecția datelor la nivel mondial[16]. Două conferințe privind protecția datelor au fost găzduite de președințiile ungară și poloneză ale Consiliului la 16-17 iunie 2011 și, respectiv, la 21 septembrie 2011. Pe tot parcursul anului 2011, s-au organizat ateliere și seminarii pe teme specifice. În ianuarie, ENISA[17]a organizat un atelier privind notificările referitoare la încălcarea securității datelor în Europa[18]. În februarie, Comisia a organizat un atelier cu autoritățile din statele membre pentru a discuta aspecte legate de protecția datelor în domeniul cooperării polițienești și judiciare în materie penală, inclusiv punerea în aplicare a deciziei-cadru, iar Agenția pentru Drepturi Fundamentale a Uniunii Europene a organizat o reuniune de consultare cu părțile interesate privind „protecția datelor și a vieții private”. La 13 iulie 2011, a avut loc o dezbatere cu autoritățile naționale pentru protecția datelor pe tema aspectelor-cheie ale reformei. Cetățenii UE au fost consultați prin intermediul unui sondaj Eurobarometru organizat în perioada noiembrie-decembrie 2010[19]. De asemenea, a fost lansată a serie de studii[20]. Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal[21] a furnizat mai multe avize și informații utile Comisiei[22]. De asemenea, Autoritatea Europeană pentru Protecția Datelor a emis un aviz cuprinzător privind problemele ridicate în comunicarea Comisiei din noiembrie 2010[23]. Parlamentul European a aprobat, prin rezoluția sa din 6 iulie 2011, un raport care susținea abordarea Comisiei în legătură cu reforma cadrului privind protecția datelor[24]. La 24 februarie 2011, Consiliul Uniunii Europene a adoptat concluzii în care sprijină în mare măsură intenția Comisiei de a reforma cadrul privind protecția datelor și aprobă numeroase elemente ale abordării Comisiei. De asemenea, Comitetul Economic și Social European s-a declarat în favoarea unei revizuiri a Directivei 95/46/CE, sprijinind obiectivul Comisiei de a asigura o aplicare mai coerentă a normelor UE în materie de protecție a datelor[25] în toate statele membre[26]. Pe parcursul consultărilor privind abordarea globală, o mare majoritate a părților interesate au fost de acord că principiile generale rămân valabile, însă este necesară adaptarea cadrului actual pentru a răspunde mai bine provocărilor generate de dezvoltarea rapidă a noilor tehnologii (în special, cele online) și de globalizarea în continuă creștere, menținând totodată neutralitatea tehnologică a cadrului juridic. Fragmentarea actuală a protecției datelor cu caracter personal în Uniunea Europeană a făcut obiectul unor critici vehemente, în special din partea părților interesate din domeniul economic care au solicitat o mai mare securitate juridică și armonizarea normelor privind protecția datelor cu caracter personal. În conformitate cu opinia părților, complexitatea normelor privind transferurile internaționale de date cu caracter personal constituie un impediment considerabil pentru operațiunile desfășurate, deoarece acestea trebuie să transfere în mod regulat date cu caracter personal din UE către alte părți ale lumii. În conformitate cu politica sa privind „o mai bună legiferare”, Comisia a realizat o evaluare a impactului privind politicile alternative. Studiul a avut la bază trei obiective de politică: îmbunătățirea dimensiunii privind piața internă a protecției datelor, o exercitare mai eficientă de către persoanele fizice a drepturilor pe care le au în materie de protecție a datelor și elaborarea unui cadru cuprinzător și coerent care acoperă toate domeniile de competență ale Uniunii, inclusiv cooperarea polițienească și judiciară în materie penală. Au fost evaluate trei opțiuni de politică cu grade de intervenție diferite: prima opțiune consta în aducerea unor modificări legislative minime și în utilizarea unor comunicări interpretative și a unor măsuri de sprijin în materie de politici, cum ar fi programe de finanțare și instrumente tehnice; a doua opțiune cuprindea un set de dispoziții legislative care să abordeze toate aspectele identificate în studiu, iar a treia opțiune consta în centralizarea protecției datelor la nivelul UE prin intermediul unor norme precise și detaliate cu privire la toate sectoarele, precum și crearea unei agenții a UE pentru monitorizarea și punerea în aplicare a dispozițiilor. În conformitate cu metodologia consacrată a Comisiei, fiecare opțiune de politică a fost evaluată cu ajutorul unui grup de coordonare interservicii în ceea ce privește eficiența acesteia în vederea îndeplinirii obiectivelor de politică, impactul său economic asupra părților interesate (inclusiv asupra bugetului instituțiilor UE), impactul său social și efectele acesteia asupra drepturilor fundamentale. Nu a fost analizat impactul asupra mediului. În urma analizei impactului global al diferitelor opțiuni, a fost privilegiată o opțiune de politică care se bazează pe cea de-a doua opțiune menționată anterior, la care se adaugă anumite elemente din cadrul celorlalte opțiuni și care este încorporată în prezenta propunere. Conform studiului de impact, punerea în aplicare a acestei opțiuni va conduce, printre altele, la îmbunătățiri considerabile în ceea ce privește securitatea juridică pentru operatorii de date și cetățeni, la reducerea sarcinilor administrative, la o aplicare mai coerentă a legislației privind protecția datelor în Uniune, la posibilitatea efectivă a persoanelor de a-și exercita drepturile în materie de protecție a datelor, la protejarea datelor cu caracter personal în cadrul UE și la o îmbunătățire a eficienței în ceea ce privește supravegherea și controlul aplicării normelor în acest domeniu. De asemenea, se așteaptă ca punerea în aplicare a opțiunilor de politică preferate să contribuie la îndeplinirea obiectivului Comisiei privind simplificarea și reducerea sarcinii administrative și a obiectivelor Agendei digitale pentru Europa, Planului de acțiune de la Stockholm și Strategiei Europa 2020. Comitetul de evaluare a impactului a emis, la 9 septembrie 2011, un aviz cu privire la proiectul de evaluare a impactului, pe baza căruia i-au fost aduse următoarele modificări: – au fost clarificate obiectivele cadrului juridic actual (măsura în care au fost atinse sau nu), precum și obiectivele reformei preconizate; – au fost adăugate mai multe dovezi și explicații/clarificări suplimentare la secțiunea privind definirea problemelor; – a fost adăugată o secțiune privind proporționalitatea; – au fost pe deplin revizuite toate calculele și estimările privind sarcina administrativă din scenariul de bază și din opțiunea preferată, iar relația dintre costurile notificărilor și costurile generale ale fragmentării a fost clarificată (inclusiv anexa 10); – au fost mai bine precizate impacturile asupra microîntreprinderilor și asupra întreprinderilor mici și mijlocii, în special cele privind desemnarea unor responsabili cu protecția datelor și realizarea unor studii de impact privind protecția datelor. Raportul privind studiul de impact și rezumatul acestuia sunt publicate împreună cu propunerile. 3. ELEMENTELE JURIDICE ALE PROPUNERII 3.1. Temei juridic Prezenta propunere se bazează pe articolul 16 din TFUE, care este noul temei juridic pentru adoptarea normelor în materie de protecție a datelor introduse prin Tratatul de la Lisabona. Această dispoziție permite adoptarea unor norme privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către statele membre, atunci când desfășoară activități care intră în domeniul de aplicare a dreptului Uniunii. De asemenea, permite adoptarea de norme referitoare la libera circulație a datelor cu caracter personal, inclusiv datele prelucrate de statele membre sau entități private. Se consideră că regulamentul este instrumentul juridic cel mai adecvat pentru definirea cadrului privind protecția datelor cu caracter personal în Uniune. Aplicabilitatea directă a unui regulament în conformitate cu articolul 288 din TFUE va reduce fragmentarea legislativă și va oferi o mai mare securitate juridică prin introducerea unui ansamblu armonizat de reguli de bază, contribuind la îmbunătățirea protecției drepturilor fundamentale ale persoanelor și la funcționarea pieței interne. Trimiterea la articolul 114 alineatul (1) din TFUE este necesară doar pentru modificarea Directivei 2002/58/CE, în măsura în care directiva respectivă prevede, de asemenea, dispoziții referitoare la protecția intereselor legitime ale abonaților care sunt persoane juridice. 3.2. Subsidiaritate și proporționalitate În conformitate cu principiului subsidiarității [articolul 5 alineatul (3) din TUE], se iau măsuri la nivelul Uniunii numai dacă obiectivele urmărite nu pot fi realizate suficient de bine de către statele membre și, prin urmare, având în vedere amploarea și efectele măsurilor propuse, obiectivele pot fi realizate mai bine la nivelul Uniunii. În lumina problemelor subliniate mai sus, analiza principiului subsidiarității indică necesitatea unor măsuri la nivelul UE, pe baza următoarelor motive: – dreptul la protecția datelor cu caracter personal, prevăzut la articolul 8 din Carta drepturilor fundamentale a Uniunii Europene, necesită același nivel de protecție a datelor pe tot cuprinsul Uniunii. Absența unor norme comune ale UE ar crea riscul unor niveluri diferite de protecție în statele membre și al apariției unor restricții privind fluxurile transfrontaliere de date cu caracter personal între statele membre cu standarde diferite în materie de protecție a datelor; – datele cu caracter personal sunt transferate din ce în ce mai rapid dincolo de granițele naționale, atât interne, cât și externe. În plus, există dificultăți practice în aplicarea legislației privind protecția datelor, fiind necesară o mai bună cooperare între statele membre și autoritățile acestora, care trebuie organizată la nivelul UE pentru a se asigura aplicarea uniformă a dreptului Uniunii. De asemenea, UE este cea mai în măsură să asigure în mod efectiv și consecvent același nivel de protecție a persoanelor atunci când datele lor cu caracter personal sunt transferate către țări terțe; – statele membre nu pot atenua în mod individual problemele care apar în situația actuală, în special cele legate de fragmentarea legislațiilor naționale. Prin urmare, apare necesitatea specifică de a institui un cadru armonizat și coerent, care să permită transferarea cu ușurință a datelor cu caracter personal dintr-un stat membru în altul, în cadrul UE, asigurându-se în același timp o protecție eficientă pentru toate persoanele fizice pe întreg teritoriul UE; – acțiunile legislative propuse la nivelul UE vor fi mai eficace decât acțiuni similare la nivelul statelor membre, datorită naturii și amplorii problemelor, care nu sunt limitate la unul sau mai multe state membre. Principiul proporționalității prevede ca fiecare intervenție să vizeze un obiectiv și să nu depășească ceea ce este necesar pentru îndeplinirea sa. Acest principiu a stat la baza elaborării prezentei propuneri, începând cu identificarea și evaluarea opțiunilor de politică alternative și până la redactarea propunerii legislative. 3.3. Rezumat al aspectelor legate de drepturile fundamentale Dreptul la protecția datelor cu caracter personal este prevăzut la articolul 8 din Carta drepturilor fundamentale a Uniunii Europene, articolul 16 din TFUE și articolul 8 din Convenția europeană a drepturilor omului. Așa cum subliniază Curtea de Justiție a UE[27], dreptul la protecția datelor cu caracter personal nu este, totuși, un drept absolut, ci trebuie să fie luat în considerare în raport cu funcția sa în societate[28]. Protecția datelor este strâns legată de respectarea vieții private și a celei de familie, protejate prin articolul 7 din cartă. Acest lucru este reflectat în articolul 1 alineatul (1) din Directiva 95/46/CE care prevede că statele membre trebuie să protejeze drepturile și libertățile fundamentale ale persoanelor fizice și, în special, dreptul acestora la respectarea vieții private cu privire la prelucrarea datelor cu caracter personal. Este posibil să fie afectate și alte drepturi fundamentale consacrate în cartă: libertatea de exprimare (articolul 11 din cartă); libertatea de a desfășura o activitate comercială (articolul 16); dreptul la proprietate și, în special, protecția proprietății intelectuale [articolul 17 alineatul (2)]; interzicerea oricărei discriminări bazate, printre altele, pe motive de rasă, origine etnică, caracteristici genetice, religie sau convingeri, opinii politice sau de orice altă natură, un handicap sau orientare sexuală (articolul 21); drepturile copilului (articolul 24); dreptul la un nivel ridicat de protecție a sănătății umane (articolul 35); dreptul de acces la documente (articolul 42); dreptul la o cale de atac eficientă și la un proces echitabil (articolul 47). 3.4. Explicarea detaliată a propunerii 3.4.1. CAPITOLUL I - DISPOZIȚII GENERALE Articolul 1 definește obiectul regulamentului, și, precum articolul 1 din Directiva 95/46/CE, stabilește cele două obiective prevăzute de regulament. Articolul 2 stabilește domeniul material de aplicare al regulamentului. Articolul 3 definește domeniul teritorial de aplicare a regulamentului. Articolul 4 conține definițiile termenilor utilizați în regulament. Unele definiții sunt preluate din Directiva 95/46/CE, în timp ce altele sunt modificate, completate cu elemente suplimentare sau nou introduse („încălcarea datelor cu caracter personal”, pe baza articolului 2 litera (h) din Directiva 2002/58/CE asupra confidențialității și comunicațiilor electronice[29], astfel cum a fost modificată prin Directiva 2009/136/CE[30], „date genetice”, „date biometrice”, „date privind sănătatea”, „sediu principal”, „reprezentant”, „întreprindere”, „grup de întreprinderi”, „reguli corporatiste obligatorii”, „copil”, a cărui definiție se bazează pe Convenția Națiunilor Unite privind drepturile copilului[31], și „autoritate de supraveghere”). În definiția noțiunii de „consimțământ”, se adaugă criteriul „explicit” pentru a se evita orice paralelism care poate crea confuzie cu noțiunea de „consimțământ neechivoc” și pentru a dispune de o definiție unică și coerentă a consimțământului, în vederea garantării faptului că persoana în cauză își dă consimțământul în deplină cunoștință de cauză. 3.4.2. CAPITOLUL II – PRINCIPII Articolul 5 enunță principiile legate de prelucrarea datelor cu caracter personal, care corespund celor prevăzute la articolul 6 din Directiva 95/46/CE. Noile elemente adăugate sunt, în special, principiul transparenței, clarificarea principiului minimizării datelor și instituirea unei responsabilități globale a operatorului. Articolul 6 prezintă, pe baza articolului 7 din Directiva 95/46/CE, criteriile privind legalitatea prelucrării, fiind descrise în detaliu diverse aspecte ale acestora, cum ar fi criteriul privind echilibrul intereselor, precum și respectarea obligațiilor juridice și a interesului public. Articolul 7 clarifică condițiile în care consimțământul constituie un temei juridic valabil pentru legalitatea prelucrării. Articolul 8 stabilește condiții suplimentare pentru legalitatea prelucrării datelor cu caracter personal ale copiilor în ceea ce privește serviciile societății informaționale care sunt oferite direct acestora. Articolul 9 prevede, pe baza articolului 8 din Directiva 95/46/CE, interdicția generală privind prelucrarea categoriilor speciale de date cu caracter personal și excepțiile de la această regulă generală. Articolul 10 clarifică faptul că operatorul nu este obligat să obțină informații suplimentare în vederea identificării persoanei vizate cu unicul scop de a respecta una dintre dispozițiile prezentului regulament. 3.4.3. CAPITOLUL III - DREPTURILE PERSOANEI VIZATE 3.4.3.1. Secțiunea 1 – Transparență și modalități Articolul 11 introduce obligația pe care o au operatorii de a furniza informații transparente, ușor accesibile și inteligibile, această dispoziție fiind inspirată, în special, din Rezoluția de la Madrid privind standardele internaționale în materie de protecție a datelor cu caracter personal și a vieții private[32]. Articolul 12 stabilește obligația operatorului de a prevedea proceduri și mecanisme pentru exercitarea drepturilor persoanei vizate, inclusiv mijloace pentru introducerea unor cereri pe cale electronică, stabilirea unui termen pentru oferirea unui răspuns la o cerere a persoanei vizate și motivarea refuzurilor. Articolul 13 prevede, pe baza articolului 12 litera (c) din Directiva 95/46/CE, drepturile referitoare la destinatari care sunt extinse astfel încât să includă toți destinatarii, inclusiv operatorii asociați și persoanele împuternicite de către operator. 3.4.3.2. Secțiunea 2 – Informare și acces la date Articolul 14 prevede, pe baza articolelor 10 și 11 din Directiva 95/46/CE, obligațiile în materie de informare ale operatorului față de persoana vizată și furnizează informații suplimentare, inclusiv privind perioada de stocare a datelor și dreptul de a înainta o plângere, în ceea ce privește transferurile internaționale și sursa de proveniență a datelor. De asemenea, articolul menține posibilele derogări cuprinse în Directiva 95/46/CE, de exemplu, lipsa obligației de informare în cazul în care înregistrarea sau comunicarea datelor sunt prevăzute în mod expres de legislație. Această situație s-ar putea aplica, de exemplu, în cadrul procedurilor desfășurate de autoritățile din domeniul concurenței, de administrațiile fiscale sau vamale sau de serviciile competente în materie de securitate socială. Articolul 15 prevede dreptul de acces al persoanei vizate la datele sale cu caracter personal, pe baza articolului 12 litera (a) din Directiva 95/46/CE la care se adaugă elemente noi, cum ar fi informarea persoanelor vizate cu privire la perioada de stocare a datelor, la dreptul acestora privind rectificarea și ștergerea datelor, precum și la dreptul de a depune o plângere. 3.4.3.3. Secțiunea 3 – Rectificare și ștergere Articolul 16 prevede, pe baza articolului 12 litera (b) din Directiva 95/46/CE, dreptul persoanei vizate la rectificarea datelor. Articolul 17 conferă persoanei vizate „dreptul de a fi uitat” și dreptul la ștergerea datelor cu caracter personal. Articolul dezvoltă și descrie dreptul la ștergerea datelor prevăzut la articolul 12 litera (b) din Directiva 95/46/CE, stabilind condițiile care stau la baza dreptului de a fi uitat, inclusiv obligația operatorului care a făcut publice datele cu caracter personal de a informa părțile terțe cu privire la cererea persoanei vizate privind ștergea orice linkuri către datele sale cu caracter personal, sau orice copie sau reproducere a acestora. De asemenea, articolul integrează dreptul de limitare a prelucrării datelor în anumite cazuri, evitând termenul echivoc de „blocare”. Articolul 18 introduce dreptul persoanei vizate la portabilitatea datelor, adică de a transfera date de la un sistem electronic de procesare la altul, fără a fi împiedicată de către operator să facă acest lucru. Ca o condiție preliminară și pentru a îmbunătăți în continuare accesul persoanelor la datele lor cu caracter personal, articolul prevede dreptul de a obține datele respective din partea operatorului într-o formă structurată și într-un format electronic utilizat în mod curent. 3.4.3.4. Secțiunea 4 - Dreptul la opoziție și crearea de profiluri Articolul 19 prevede dreptul la opoziție al persoanei vizate. Acesta are la bază articolul 14 din Directiva 95/46/CE, la care aduce unele modificări, inclusiv în ceea ce privește sarcina probei și aplicarea acesteia în cazul marketingului direct. Articolul 20 se referă la dreptul persoanei vizate de a nu fi supus unei măsuri bazate pe crearea de profiluri. Acesta are la bază articolul 15 alineatul (1) din Directiva 95/46 privind deciziile individuale automatizate, cu unele modificări și garanții suplimentare, luând în considerare Recomandarea Consiliului Europei referitoare la crearea de profiluri[33]. 3.4.3.5. Secțiunea 5 - Restricții Articolul 21 precizează măsura în care Uniunea sau statele membre pot menține sau introduce restricții cu privire la principiile stabilite la articolul 5 și cu privire la drepturile persoanei vizate, prevăzute la articolele 11 - 20 și la articolul 32. Această dispoziție se bazează pe articolul 13 din Directiva 95/46/CE și pe cerințele care derivă din Carta drepturilor fundamentale a Uniunii Europene și din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale, astfel cum au fost interpretate de către Curtea de Justiție a Uniunii Europene și Curtea Europeană a Drepturilor Omului. 3.4.4. CAPITOLUL IV – OPERATORUL ȘI PERSOANA ÎMPUTERNICITĂ DE CĂTRE OPERATOR 3.4.4.1. Secțiunea 1 — Obligații generale Articolul 22 ia în considerare dezbaterea privind un „principiu al responsabilității” și descrie în detaliu obligația operatorului de a respecta dispozițiile prezentului regulament și de a demonstra acest lucru, inclusiv prin intermediul adoptării de politici interne și de mecanisme care să garanteze această conformitate. Articolul 23 stabilește obligațiile operatorului care decurg din principiile privind protecția datelor începând cu momentul conceperii și protecția implicită a datelor. Articolul 24 se referă la operatorii asociați și clarifică responsabilitățile acestora în ceea ce privește relațiilor lor interne și cele cu persoana vizată. Articolul 25 prevede obligația ca, în anumite condiții, operatorii care își au sediul în afara Uniunii să își desemneze un reprezentant în cadrul Uniunii, în cazul în care regulamentul se aplică activităților de prelucrare a datelor desfășurate de aceștia. Articolul 26 clarifică poziția și obligațiile persoanelor împuternicite de către operator, bazându-se, în parte, pe articolul 17 alineatul (2) din Directiva 95/46/CE, la care adaugă elemente noi, inclusiv faptul că o persoană împuternicită care prelucrează date într-un alt mod decât cel prevăzut de instrucțiunile date de operator trebuie considerată ca fiind un operator asociat. Articolul 27 privind prelucrarea datelor sub autoritatea operatorului și a persoanei împuternicite de către operator se bazează pe articolul 16 din Directiva 95/46/CE. Articolul 28 introduce obligația pentru operatori și persoanele împuternicite de către operator de a păstra o documentație a operațiunilor de prelucrare aflate în responsabilitatea lor, în locul unei notificări generale a autorității de supraveghere prevăzute la articolul 18 alineatul (1) și la articolul 19 din Directiva 95/46/CE. Articolul 29 clarifică obligațiile operatorului și ale persoanei împuternicite de operator în ceea ce privește cooperarea cu autoritatea de supraveghere. 3.4.4.2. Secțiunea 2 – Securitatea datelor Articolul 30 prevede, pe baza articolului 17 alineatul (1) din Directiva 95/46/CE, obligația ca operatorul și persoana împuternicită de către operator să pună în aplicare măsurile adecvate pentru securizarea prelucrării datelor, extinzând această obligație la persoanele împuternicite de către operator, indiferent de tipul de contract încheiat cu operatorul. Articolele 31 și 32 introduc obligația de a notifica încălcarea securității datelor cu caracter personal, care se întemeiază pe încălcarea securității datelor cu caracter personal prevăzută la articolul 4 alineatul (3) din Directiva 2002/58/CE asupra confidențialității și comunicațiilor electronice. 3.4.4.3. Secțiunea 3 – Evaluare a impactului cu privire la protecția datelor și autorizație prealabilă Articolul 33 introduce obligația operatorilor și a persoanelor împuternicite de către operator de a efectua o evaluare a impactului cu privire la protecția datelor înaintea desfășurării unor operațiuni riscante de prelucrare a datelor. Articolul 34, care dezvoltă conceptul de verificare prealabilă prevăzut la articolul 20 din Directiva 95/46/CE, se referă la cazurile în care autorizarea de către autoritatea de supraveghere și consultarea acesteia sunt obligatorii înainte de prelucrarea datelor. 3.4.4.4. Secțiunea 4 – Responsabilul cu protecția datelor Articolul 35 introduce obligativitatea desemnării unui responsabilul cu protecția datelor pentru sectorul public și, în sectorul privat, pentru întreprinderile mari sau în cazurile în care activitățile principale ale operatorului sau ale persoanei împuternicite de către operator constau în operațiuni de prelucrare a datelor care necesită o monitorizare regulată și sistematică. Această dispoziție are la bază articolul 18 alineatul (2) din Directiva 95/46/CE, care prevedea posibilitatea ca statele membre să introducă o astfel de cerință în locul cerinței de notificare generală. Articolul 36 definește funcția de responsabil cu protecția datelor. Articolul 37 prevede sarcinile principale ale responsabilului cu protecția datelor. 3.4.4.5. Secțiunea 5 – Coduri de conduită și certificare Articolul 38 se referă la codurile de conduită, bazându-se pe conceptul de la articolul 27 alineatul (1) din Directiva 95/46/CE și clarifică conținutul codurilor și al procedurilor, împuternicind Comisia să decidă asupra validității generale a codurilor de conduită. Articolul 39 introduce posibilitatea stabilirii unor mecanisme de certificare, precum și a unor sigilii și mărci în domeniul protecției datelor. 3.4.5. TRANSFERUL DATELOR CU CARACTER PERSONAL CĂTRE ȚĂRI TERȚE SAU ORGANIZAȚII INTERNAȚIONALE Articolul 40 prevede, ca principiu general, că respectarea obligațiilor menționate la acest capitol este obligatorie pentru orice transferuri de date cu caracter personal către țări terțe sau organizații internaționale, inclusiv transferurile ulterioare. Articolul 41 stabilește, pe baza articolului 25 din Directiva 95/46/CE, criteriile, condițiile și procedurile pentru adoptarea de către Comisie a unei decizii privind caracterul adecvat al nivelului de protecție. Criteriile care vor fi luate în considerare în evaluarea efectuată de Comisie cu privire la gradul de adecvare al nivelului de protecție includ, în mod explicit, respectarea statului de drept, accesul la justiție și controlul independent. În forma actuală, articolul confirmă în mod explicit posibilitatea Comisiei de a evalua nivelul de protecție asigurat de un teritoriu sau de un sector de prelucrare a datelor dintr-o țară terță. Articolul 42 prevede ca transferurile către țările terțe, cu privire la care Comisia nu a adoptat o decizie privind caracterul adecvat al nivelului de protecție, să prezinte garanții corespunzătoare, în special clauze standard de protecție a datelor, reguli corporatiste obligatorii și clauze contractuale. Posibilitatea de a face uz de clauzele standard ale Comisiei de protecție a datelor se bazează pe articolul 26 alineatul (4) din Directiva 95/46/CE. Ca element de noutate, în prezent, astfel de clauze standard de protecție a datelor ar putea fi, de asemenea, adoptate de o autoritate de supraveghere și declarate ca fiind general valabile de către Comisie. În prezent, regulile corporatiste obligatorii sunt menționate în mod specific în textul legislativ. Opțiunea privind clauzele contractuale oferă o anumită flexibilitate operatorului sau persoanei împuternicite de operator, sub rezerva autorizării prealabile de către autoritățile de supraveghere. Articolul 43 descrie mai detaliat condițiile aplicabile transferurilor în baza regulilor corporatiste obligatorii, în temeiul practicilor și cerințelor actuale ale autorităților de supraveghere. Articolul 44 definește și clarifică, pe baza dispozițiilor existente la articolul 26 din Directiva 95/46/CE, derogările aplicabile în cazul realizării unui transfer de date. Această dispoziție se aplică, în special, transferurilor de date solicitate și necesare din motive importante, de interes public, de exemplu în cazul transferurilor internaționale de date între autoritățile de concurență, administrațiile fiscale sau vamale sau între servicii competente în materie de securitate socială sau de gestionare a pescuitului. În plus, un transfer de date poate, în situații limitate, să fie justificat de un interes legitim al operatorului sau al persoanei împuternicite de către operator, dar numai după evaluarea și documentarea circumstanțelor operațiunii de transfer respective. Articolul 45 prevede în mod explicit elaborarea unor mecanisme de cooperare internațională privind protecția datelor cu caracter personal între Comisie și autoritățile de supraveghere din țările terțe, în special cele considerate ca asigurând un nivel de protecție adecvat, luând în considerare recomandarea Organizației pentru Cooperare și Dezvoltare Economică (OCDE) privind cooperarea transfrontalieră în aplicarea legislației privind protejarea confidențialității din 12 iunie 2007. 3.4.6. CAPITOLUL VI - AUTORITĂȚI INDEPENDENTE DE SUPRAVEGHERE 3.4.6.1. Secțiunea 1 – Statut independent Articolul 46 prevede, pe baza articolului 28 alineatul (1) din Directiva 95/46/CE, obligația ca statele membre să instituie autorități de supraveghere, extinzând sfera de aplicare a misiunilor acestora astfel încât să cuprindă cooperarea între ele și cooperarea cu Comisia. Articolul 47 clarifică condițiile de garantare a independenței autorităților de supraveghere, prin aplicarea jurisprudenței Curții de Justiție a Uniunii Europene[34] și, de asemenea, inspirându-se din articolul 44 din Regulamentul (CE) nr. 45/2001[35]. Articolul 48 prevede condițiile generale aplicabile membrilor autorității de supraveghere, prin aplicarea jurisprudenței relevante[36] și, de asemenea, inspirându-se din articolul 42 alineatele (2) - (6) din Regulamentul (CE) nr. 45/2001. Articolul 49 prezintă normele privind instituirea autorității de supraveghere, pe care statele membre trebuie să le prevadă pe cale legislativă. Articolul 50 prevede dispozițiile privind secretul profesional aplicabile membrilor și personalului autorității de supraveghere, acestea fiind bazate pe articolul 28 alineatul (7) din Directiva 95/46/CE. 3.4.6.2. Secțiunea 2 – Atribuții și competențe Articolul 51 definește competența autorităților de supraveghere. Regula generală, bazată pe articolul 28 alineatul (6) din Directiva 95/46/CE (competența pe teritoriul propriului stat membru), este completată de către o nouă competență, cea de autoritate principală, în cazul în care același operator sau aceeași persoană împuternicită de către operator este numită în mai multe state membre pentru a se asigura o aplicare uniformă („ghișeu unic”). Atunci când acționează în capacitatea lor judiciară, instanțele sunt scutite de obligativitatea controlului de către autoritatea de supraveghere, însă nu de aplicarea normelor de fond în materie de protecție a datelor. Articolul 52 prevede atribuțiile autorității de supraveghere, inclusiv audierea și examinarea plângerilor, precum și sensibilizarea publicului cu privire la riscurile, normele, garanțiile și drepturile cu privire la prelucrarea datelor cu caracter personal. Articolul 53 prevede funcțiile autorității de supraveghere, bazându-se parțial pe articolul 28 alineatul (3) din Directiva 95/46/CE și pe articolul 47 din Regulamentul (CE) nr. 45/2001, la care adaugă unele elemente noi, inclusiv funcția de a sancționa infracțiunile administrative. Articolul 54 prevede, pe baza articolului 28 alineatul (5) din Directiva 95/46/CE, obligația ca autoritățile de supraveghere să elaboreze rapoarte anuale de activitate. 3.4.7. CAPITOLUL VII – COOPERARE ȘI COERENȚĂ 3.4.7.1. Secțiunea 1 – Cooperarea Articolul 55 introduce, pe baza articolului 28 alineatul (6) al doilea paragraf din Directiva 95/46/CE, norme explicite privind asistența reciprocă obligatorie, inclusiv sancțiunile în cazul nerespectării unei solicitări din partea altei autorități de supraveghere. Articolul 56 introduce, pe baza articolului 17 din Decizia 2008/615/JAI[37], norme privind operațiunile comune, inclusiv dreptul autorităților de supraveghere de a participa la astfel de operațiuni. 3.4.7.2. Secțiunea 2 – Coerența Articolul 57 introduce un mecanism pentru asigurarea coerenței în scopul aplicării uniforme a operațiunilor de prelucrare a datelor referitoare la persoane vizate în mai multe state membre. Articolul 58 stabilește procedurile și condițiile pentru solicitarea unui aviz al Comitetului european pentru protecția datelor. Articolul 59 se referă la avizele Comisiei privind aspecte abordate în cadrul mecanismului pentru asigurarea coerenței, care pot fie să confirme avizul Comitetului european pentru protecția datelor, fie să fie contrare acestui aviz, și privind proiectul de măsuri transmis de autoritatea de supraveghere. În cazul în care chestiunea a fost ridicată de către Comitetul european pentru protecția datelor, în conformitate cu articolul 58 alineatul (3), Comisia este susceptibilă să-și exercite puterea de apreciere și să emită un aviz ori de câte ori este necesar. Articolul 60 se referă la deciziile Comisiei prin care se solicită autorității competente să își suspende proiectul de măsuri în cazul în care acest lucru este necesar pentru a se asigura aplicarea corectă a prezentului regulament. Articolul 61 prevede posibilitatea adoptării de măsuri provizorii pe baza unei proceduri de urgență. Articolul 62 definește cerințele privind adoptarea actelor de punere în aplicare ale Comisie în cadrul mecanismului pentru asigurarea coerenței. Articolul 63 prevede obligativitatea aplicării măsurilor prevăzute de o autoritate de supraveghere în toate statele membre în cauză, precizând că aplicarea mecanismului pentru asigurarea coerenței este o condiție prealabilă pentru valabilitatea juridică și aplicarea măsurii respective. 3.4.7.3. Secțiunea 3 – Comitetul european pentru protecția datelor Articolul 64 instituie Comitetul european pentru protecția datelor, compus din șefii autorităților de supraveghere din fiecare stat membru și cei ai Autorității Europene pentru Protecția Datelor. Comitetul european pentru protecția datelor înlocuiește Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, înființat în temeiul articolului 29 din Directiva 95/46/CE. Articolul clarifică faptul că, în ceea ce privește Comisia, aceasta nu este membră a Comitetului european pentru protecția datelor, însă are dreptul de a participa la activitățile acestuia și de a fi reprezentat în cadrul său. Articolul 65 subliniază și clarifică independența Comitetului european pentru protecția datelor. Articolul 66 descrie, pe baza articolului 30 alineatul (1) din Directiva 95/46/CE, sarcinile Comitetului european pentru protecția datelor și prevede elemente suplimentare care reflectă extinderea domeniului de activitate al Comitetului atât în interiorul, cât și în afara Uniunii. Articolul prevede faptul că, pentru a fi capabilă să reacționeze în situații de urgență, Comisia are posibilitatea de a solicita un aviz într-un anumit termen. Articolul 67 prevede, pe baza articolului 30 alineatul (6) din Directiva 95/46/CE, obligația Comitetului european pentru protecția datelor de a prezenta un raport anual cu privire la activitățile sale. Articolul 68 stabilește procedurile de luare a deciziilor aplicate de Comitetul european pentru protecția datelor, inclusiv obligația acestuia de a adopta un regulament de procedură care ar trebui să cuprindă și mecanismele sale de funcționare. Articolul 69 cuprinde dispozițiile privind președintele și vicepreședinții Comitetului european pentru protecția datelor. Articolul 70 stabilește sarcinile președintelui. Articolul 71 prevede că secretariatul Comitetului european pentru protecția datelor trebuie să fie asigurat de Autoritatea Europeană pentru Protecția Datelor și precizează sarcinile secretariatului. Articolul 72 prezintă normele privind confidențialitatea. 3.4.8. CAPITOLUL VIII – CĂI DE ATAC, RĂSPUNDERE ȘI SANCȚIUNI Articolul 73 prevede, pe baza articolului 28 alineatul (4) din Directiva 95/46/CE, dreptul oricărei persoane vizate de a depune o plângere la o autoritate de supraveghere. De asemenea, acesta specifică organismele, organizațiile sau asociațiile care pot depune o plângere în numele persoanelor vizate sau, în cazul unei încălcări a securității datelor cu caracter personal, independent de o plângere înaintată de o persoană vizată. Articolul 74 se referă la dreptul de a exercita o cale de atac împotriva unei autorități de supraveghere. Acesta se bazează pe dispoziția cu caracter general prevăzută la articolul 28 alineatul (3) din Directiva 95/46/CE. Articolul 74 prevede, în special, o cale de atac care să oblige autoritatea de supraveghere să acționeze ca urmare a unei plângeri și clarifică competența instanțelor din statul membru în care este stabilită autoritatea de supraveghere. De asemenea, prevede posibilitatea autorității de supraveghere din statul membru în care persoana vizată își are reședința de a introduce acțiuni, în numele persoanelor vizate, în fața instanțelor unui alt stat membru în care este stabilită autoritatea de supraveghere. Articolul 75 se referă la dreptul de a exercita o cale de atac împotriva unui operator sau unei persoane împuternicite de către operator, pe baza articolului 22 din Directiva 95/46/CE, și prevede opțiunea de a se adresa instanțelor din statul membru în care pârâtul își are reședința sau din statul membru în care își are reședința persoana vizată. În cazul în care o procedură privind aceeași chestiune este în curs de examinare în cadrul mecanismului pentru asigurarea coerenței, instanța își poate suspenda procedurile, cu excepția cazurilor de urgență. Articolul 76 prevede norme comune aplicabile acțiunilor în instanță, inclusiv dreptul organismelor, organizațiilor sau asociațiilor de a reprezenta persoanele vizate în fața instanțelor, dreptul autorităților de supraveghere de a acționa în justiție și obligativitatea informării instanțelor cu privire la procedurile paralele în alt stat membru, precum și posibilitatea ca, în acest caz, instanțele să suspende procedura[38]. Este prevăzută obligația statelor membre de a asigura o soluționare rapidă a acțiunilor în justiție[39]. Articolul 77 descrie dreptul la despăgubiri și răspunderea. Acesta se bazează pe articolul 23 din Directiva 95/46/CE, extinzând acest drept pentru a cuprinde prejudiciile cauzate de operatori și clarifică responsabilitatea operatorilor asociați și a persoanelor împuternicite de către operator. Articolul 78 prevede obligația ca statele membre să stabilească norme referitoare la sancțiunile aplicabile în cazul încălcării dispozițiilor regulamentului și să se asigure că acestea sunt puse în aplicare. Articolul 79 prevede obligația tuturor autorităților de supraveghere de a sancționa infracțiunile administrative enumerate în cadrul articolului, prin impunerea de amenzi până la o anumită valoare maximă, ținând cont de circumstanțele fiecărui caz în parte. 3.4.9. CAPITOLUL IX - DISPOZIȚII REFERITOARE LA SITUAȚII SPECIFICE DE PRELUCRARE A DATELOR Articolul 80 prevede obligația statelor membre de a pune în practică excepții și derogări de la anumite dispoziții ale regulamentului în cazul în care acestea sunt necesare pentru a crea un echilibru între dreptul la protecția datelor cu caracter personal și dreptul la libertatea de exprimare. Acesta se bazează pe articolul 9 din Directiva 95/46/CE, astfel cum a fost interpretat de Curtea de Justiție a UE[40]. Articolul 81 prevede obligația statelor membre ca, pe lângă condițiile pentru categoriile speciale de date, să asigure măsuri de protecție specifice în cazul prelucrării datelor în scopuri medicale. Articolul 82 autorizează statele membre să adopte legi specifice privind prelucrarea datelor cu caracter personal în contextul ocupării unui loc de muncă. Articolul 83 prevede condiții specifice pentru prelucrarea datelor cu caracter personal în scopuri de cercetare istorică, statistică și științifică. Articolul 84 autorizează statele membre să adopte norme specifice privind accesul autorităților de supraveghere la datele cu caracter personal și în incintele unor entități, în cazul în care operatorii sunt supuși obligației de păstrare a confidențialității. Articolul 85 autorizează bisericile, în temeiul articolului 17 din Tratatul privind funcționarea Uniunii Europene, să aplice în continuare normele cuprinzătoare existente în materie de protecție a datelor, dacă acestea sunt în conformitate cu prezentul regulament. 3.4.10. CAPITOLUL X – ACTE DELEGATE ȘI ACTE DE PUNERE ÎN APLICARE Articolul 86 conține dispozițiile standard privind exercitarea delegării în conformitate cu articolul 290 din TFUE. Acesta din urmă autorizează legiuitorul să delege Comisiei competența de a adopta acte fără caracter legislativ cu domeniu de aplicare general, care completează sau modifică anumite elemente neesențiale ale unui act legislativ (acte „cvasilegislative”). Articolul 87 cuprinde dispoziții privind procedura comitetului necesară pentru a acorda Comisiei competențe de executare, în cazurile în care, în conformitate cu articolul 291 din TFUE, sunt necesare condiții uniforme de punere în aplicare a actelor obligatorii din punct de vedere juridic ale Uniunii. În acest caz, este aplicabilă procedura de examinare. 3.4.11. CAPITOLUL XI - DISPOZIȚII FINALE Articolul 88 abrogă Directiva 95/46/CEE. Articolul 89 oferă clarificări cu privire la relația cu Directiva 2002/58/CE asupra confidențialității și comunicațiilor electronice, aducându-i o serie de modificări. Articolul 90 prevede obligația Comisiei de a evalua regulamentul și de a prezenta rapoarte conexe. Articolul 91 stabilește data intrării în vigoare a regulamentului și definește o etapă de tranziție în ceea ce privește data aplicării acestuia. 4. IMPLICAȚIILE BUGETARE Implicațiile bugetare specifice ale propunerii se referă la sarcinile atribuite Autorității Europene pentru Protecția Datelor, astfel cum se specifică în fișa financiară legislativă care însoțește prezenta propunere. Aceste implicații necesită reprogramarea rubricii 5 din cadrul financiar multianual. Propunerea nu are implicații asupra cheltuielilor operaționale. Fișa financiară legislativă care însoțește prezenta propunere de regulament vizează implicațiile bugetare pentru regulamentul în sine și pentru Directiva privind protecția datelor în domeniul polițienesc și judiciar. 2012/0011 (COD) Propunere de REGULAMENT AL PARLAMENTULUI EUROPEAN ŞI AL CONSILIULUI privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor) (Text cu relevanță pentru SEE) PARLAMENTUL EUROPEAN ȘI CONSILIUL UNIUNII EUROPENE, având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 16 alineatul (2) și articolul 114 alineatul (1), având în vedere propunerea Comisiei Europene, după transmiterea proiectului de act legislativ către parlamentele naționale, având în vedere avizul Comitetului Economic și Social European[41], după consultarea Autorității Europene pentru Protecția Datelor[42], hotărând în conformitate cu procedura legislativă ordinară, întrucât: (1) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental. Articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și articolul 16 alineatul (1) din tratat prevăd că orice persoană are dreptul la protecția datelor cu caracter personal care o privesc. (2) Prelucrarea datelor cu caracter personal este în serviciul cetățeanului; principiile și normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal ar trebui, indiferent de cetățenia sau de locul de reședință al persoanelor fizice, să respecte drepturile și libertățile fundamentale ale acestora, în special dreptul la protecția datelor cu caracter personal. Aceasta ar trebui să contribuie la realizarea unui spațiu de libertate, securitate și justiție și a unei uniuni economice, la progresul economic și social, la consolidarea și convergența economiilor în cadrul pieței interne și la bunăstarea persoanelor fizice. (3) Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date[43] vizează armonizarea nivelului de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește activitățile de prelucrare și garantarea liberei circulații a datelor cu caracter personal între statele membre. (4) Integrarea economică și socială care rezultă din funcționarea pieței interne a condus la o creștere substanțială a fluxurilor transfrontaliere. Schimbul de date între actorii economici și sociali, publici și privați s-a intensificat în întreaga Uniune. Conform dreptului Uniunii, autoritățile naționale sunt chemate să coopereze și să facă schimb de date cu caracter personal pentru a putea să își îndeplinească atribuțiile sau să execute sarcini în numele unei autorități într-un alt stat membru. (5) Evoluțiile tehnologice rapide și globalizarea au generat noi provocări pentru protecția datelor cu caracter personal. Amploarea schimbului și a colectării de date a crescut spectaculos. Tehnologia permite atât societăților private, cât și autorităților publice să utilizeze date cu caracter personal la un nivel fără precedent în cadrul activităților lor. Din ce în ce mai multe persoane fizice fac publice la nivel mondial informații cu caracter personal. Tehnologia a transformat deopotrivă economia și viața socială și necesită facilitarea în continuare a liberei circulații a datelor în cadrul Uniunii și a transferului către țări terțe și organizații internaționale, asigurând, totodată, un nivel ridicat de protecție a datelor cu caracter personal. (6) Aceste evoluții impun construirea unui cadru solid și mai coerent în materie de protecție a datelor în Uniune, însoțit de o aplicare riguroasă a normelor, luând în considerare importanța creării unui climat de încredere care va permite economiei digitale să se dezvolte pe piața internă. Persoanele fizice ar trebui să aibă control asupra propriilor date cu caracter personal, iar securitatea juridică și practică pentru persoane fizice, operatori economici și autorități publice ar trebui să fie consolidată. (7) Obiectivele și principiile Directivei 95/46/CE rămân solide, dar aceasta nu a prevenit fragmentarea modului în care protecția datelor este pusă în aplicare în Uniune, incertitudinea juridică și percepția publică larg răspândită conform căreia există riscuri semnificative pentru protecția persoanelor fizice care au legătură, în special, cu activitatea online. Diferențele dintre nivelurile de protecție a drepturilor și libertăților persoanelor fizice, în special a dreptului la protecția datelor cu caracter personal, în ceea ce privește prelucrarea datelor cu caracter personal permisă în statele membre pot împiedica libera circulație a datelor cu caracter personal în întreaga Uniune. Aceste diferențe pot constitui, prin urmare, un obstacol în desfășurarea de activități economice la nivelul Uniunii, pot denatura concurența și pot împiedica autoritățile să îndeplinească responsabilitățile care le revin în temeiul dreptului Uniunii. Această diferență între nivelurile de protecție este cauzată de existența unor deosebiri în ceea ce privește transpunerea și aplicarea Directivei 95/46/CE. (8) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date trebuie să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. (9) Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea și detalierea drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal, ci și competențe echivalente pentru monitorizarea și asigurarea conformității cu normele de protecție a datelor cu caracter personal și sancțiuni echivalente pentru autorii infracțiunilor în statele membre. (10) Articolul 16 alineatul (2) din tratat mandatează Parlamentul European și Consiliul să stabilească normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal, precum și normele privind libera circulație a acestor date. (11) În vederea asigurării unui nivel uniform de protecție pentru persoanele fizice în întreaga Uniune și a preîntâmpinării discrepanțelor care împiedică libera circulație a datelor în cadrul pieței interne, este necesar un regulament în scopul de a furniza securitate juridică și transparență pentru operatorii economici, inclusiv microîntreprinderile și întreprinderile mici și mijlocii, precum și de a oferi persoanelor fizice în toate statele membre același nivel de drepturi garantate din punct de vedere juridic, de obligații și de responsabilități pentru operatori și persoanele împuternicite de aceștia, pentru a se asigura o monitorizare coerentă a prelucrării datelor cu caracter personal, sancțiuni echivalente în toate statele membre, precum și cooperarea efectivă a autorităților de supraveghere ale diferitelor state membre. Pentru a se lua în considerare situația specifică a microîntreprinderilor și a întreprinderilor mici și mijlocii, prezentul regulament include mai multe derogări. În plus, instituțiile și organismele Uniunii, statele membre și autoritățile lor de supraveghere sunt încurajate să ia în considerare necesitățile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii în aplicarea prezentului regulament. Noțiunea de microîntreprinderi și de întreprinderi mici și mijlocii ar trebui să se bazeze pe Recomandarea 2003/361/CE a Comisiei din 6 mai 2003 privind definirea microîntreprinderilor și a întreprinderilor mici și mijlocii. (12) Protecția conferită de prezentul regulament vizează persoanele fizice, indiferent de cetățenia sau de locul de reședință al acestora, în ceea ce privește prelucrarea datelor cu caracter personal. Referitor la prelucrarea datelor care privesc persoane juridice și, în special, întreprinderi cu personalitate juridică, inclusiv numele și tipul de persoană juridică și detaliile de contact ale persoanei juridice, protecția conferită de prezentul regulament nu ar trebui să poată fi invocată de nicio persoană. Aceasta ar trebui să se aplice, de asemenea, în cazul în care numele persoanei juridice conține numele uneia sau mai multor persoane fizice. (13) Protecția persoanelor fizice ar trebui să fie neutră din punct de vedere tehnologic și să nu depindă de tehnicile utilizate, în caz contrar, creându-se un risc serios de eludare. Protecția persoanelor fizice ar trebui să se aplice prelucrării datelor cu caracter personal prin mijloace automate, precum și prelucrării manuale, în cazul în care datele sunt cuprinse sau destinate să fie cuprinse într-un sistem de evidență. Dosarele sau seturile de dosare, precum și copertele acestora, care nu sunt structurate în conformitate cu criterii specifice, nu ar trebui să intre în domeniul de aplicare a prezentului regulament. (14) Prezentul regulament nu se referă nici la chestiuni de protecție a drepturilor și libertăților fundamentale, nici la libera circulație a datelor referitoare la activități care nu intră în domeniul de aplicare a dreptului Uniunii, nici la prelucrarea datelor cu caracter personal de către instituțiile, organismele, oficiile și agențiile Uniunii, care fac obiectul Regulamentului (CE) nr. 45/2001[44], și nici la prelucrarea datelor cu caracter personal de către statele membre atunci când desfășoară activități legate de politica externă și de securitate comună a Uniunii. (15) Prezentul regulament nu ar trebui să se aplice prelucrării datelor cu caracter personal de către o persoană fizică, care sunt exclusiv personale sau casnice, cum ar fi corespondența și repertoriul de adrese, fără niciun scop lucrativ și, prin urmare, fără nicio legătură cu o activitate profesională sau comercială. Exceptarea ar trebui, de asemenea, să nu aplice operatorilor sau persoanelor împuternicite de către operatori care furnizează mijloacele de prelucrare a datelor cu caracter personal pentru astfel de activități personale sau casnice. (16) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și libera circulație a acestor date fac obiectul unui instrument juridic specific la nivelul Uniunii. Prin urmare, prezentul regulament nu ar trebui să se aplice activităților de prelucrare în aceste scopuri. Cu toate acestea, datele prelucrate de către autoritățile publice în temeiul prezentului regulament, în cazul în care sunt utilizate în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor ar trebui să fie reglementate de un instrument juridic mai specific la nivelul Uniunii (Directiva XX/YYY). (17) Prezentul regulament nu ar trebui să aducă atingere aplicării Directivei 2000/31/CE, în special normelor privind răspunderea furnizorilor intermediari de servicii prevăzute la articolele 12 - 15 din directiva menționată. (18) Prezentul regulament permite luarea în considerare a principiului accesului publicului la documente oficiale, în aplicarea dispozițiilor prevăzute de acesta. (19) Orice prelucrare în Uniune a datelor cu caracter personal în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de către operator ar trebui efectuată în conformitate cu prezentul regulament, indiferent dacă procesul de prelucrare în sine are loc sau nu în cadrul Uniunii. Stabilirea implică exercitarea efectivă și reală a unei activități în cadrul unor înțelegeri stabile. Forma juridică a unor astfel de înțelegeri, prin intermediul unei sucursale sau al unei filiale cu personalitate juridică, nu este factorul determinant în această privință. (20) Pentru a se asigura că persoanele fizice nu sunt lipsite de protecția la care au dreptul în temeiul prezentului regulament, prelucrarea datelor cu caracter personal ale persoanelor vizate care își au reședința în Uniune de către un operator care nu este stabilit în Uniune ar trebui să facă obiectul prezentului regulament în cazul în care activitățile de prelucrare au legătură cu oferirea de bunuri sau servicii unor astfel de persoane vizate sau cu monitorizarea comportamentului acestor persoane vizate. (21) Pentru a se determina dacă o activitate de prelucrare poate fi considerată ca „monitorizare a comportamentului” persoanelor vizate, ar trebui să se analizeze dacă persoanele fizice sunt urmărite pe internet cu tehnici de prelucrare a datelor care constau în aplicarea unui „profil” unei persoane fizice, în special în scopul de a lua decizii cu privire la aceasta sau de a analiza sau de a face previziuni referitoare la preferințele personale, comportamentele și atitudinile acesteia. (22) În cazul în care legislația națională a unui stat membru se aplică în temeiul dreptului internațional public, prezentul regulament ar trebui să se aplice, de asemenea, unui operator care nu este stabilit în Uniune, ci, de exemplu, într-o misiune diplomatică sau într-un oficiu consular al unui stat membru. (23) Principiile protecției ar trebui să se aplice oricărei informații referitoare la o persoană identificată sau identificabilă. Pentru a se determina dacă o persoană este identificabilă, ar trebui să se ia în considerare toate mijloacele care pot fi utilizate în mod rezonabil fie de către operator, fie de către orice altă persoană în scopul identificării persoanei fizice respective. Principiile protecției datelor nu ar trebui să se aplice datelor anonimizate astfel încât persoana vizată să nu mai fie identificabilă. (24) Atunci când utilizează servicii online, persoanele fizice pot fi asociate cu identificatorii online furnizați de dispozitivele, aplicațiile, instrumentele și protocoalele lor, cum ar fi adresele IP sau identificatorii cookie. Aceștia pot lăsa urme care, combinate cu identificatorii unici și alte informații primite de servere, pot fi utilizate pentru crearea de profiluri ale persoanelor fizice și pentru identificarea lor. Prin urmare, numerele de identificare, datele de localizare, identificatorii online sau alți factori specifici nu trebuie neapărat să fie considerați ca atare date cu caracter personal în toate circumstanțele. (25) Consimțământul ar trebui acordat în mod explicit prin orice metodă corespunzătoare care permite manifestarea liberă, specifică și informată a voinței persoanei vizate, fie printr-o declarație sau printr-un act neechivoc al acesteia, asigurându-se că persoana fizică este conștientă de faptul că își dă consimțământul pentru prelucrarea datelor cu caracter personal, inclusiv prin bifarea unei căsuțe atunci când vizitează un site internet sau prin orice altă declarație sau acțiune care indică în mod clar în acest context acceptarea de către persoana vizată a prelucrării propuse a datelor sale cu caracter personal. Prin urmare, absența unui răspuns sau a unei acțiuni nu ar trebui să constituie un consimțământ. Consimțământul ar trebui să vizeze toate activitățile de prelucrare efectuate în același scop sau în aceleași scopuri. În cazul în care consimțământul persoanei vizate trebuie acordat în urma unei cereri electronice, aceasta trebuie să fie clară și concisă și să nu perturbe în mod inutil utilizarea serviciului pentru care se acordă consimțământul. (26) Datele cu caracter personal referitoare la sănătate ar trebui să includă, în special, toate datele având legătură cu starea de sănătate a persoanei vizate; informații privind înscrierea persoanei fizice pentru acordarea de servicii medicale; informații privind plățile pentru asistență medicală efectuate de persoana fizică sau privind eligibilitatea acesteia pentru acordarea de asistență medicală; un număr, simbol sau semn distinctiv atribuit unei persoane fizice pentru identificarea unică a acesteia în scopuri medicale; orice informații privind persoana fizică respectivă colectate în cadrul furnizării de servicii de sănătate pentru aceasta; informații rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale, inclusiv eșantioane de material biologic; identificarea unei persoane ca furnizor de asistență medicală pentru persoana fizică respectivă sau orice informații privind, de exemplu, o boală, un handicap, un risc de îmbolnăvire, un tratament clinic sau o boală, istoricul medical, tratamentul clinic sau starea psihologică sau biomedicală efectivă a persoanei vizate, indiferent de sursa acestora, cum ar fi de exemplu, un medic sau un alt cadru medical, un spital, un dispozitiv medical sau un test de diagnostic in vitro. (27) Sediul principal al unui operator în Uniune ar trebui să fie determinat conform unor criterii obiective și ar trebui să implice exercitarea efectivă și reală a unor activități de gestionare care să determine principalele decizii cu privire la scopurile, condițiile și mijloacele de prelucrare în cadrul unor înțelegeri stabile. Acest criteriu nu ar trebui să depindă de realizarea efectivă a prelucrării datelor cu caracter personal în locul respectiv; prezența și utilizarea mijloacelor tehnice și a tehnologiilor de prelucrare a datelor cu caracter personal sau activitățile de prelucrare nu constituie, în sine, un astfel de sediu principal și, prin urmare, nu sunt criteriul determinant în acest sens. Sediul principal al persoanei împuternicite de către operator ar trebui să fie locul în care se află administrația centrală a acestuia în Uniune. (28) Un grup de întreprinderi ar trebui cuprindă o întreprindere care exercită controlul și întreprinderile controlate de aceasta, în cadrul căruia întreprinderea care exercită controlul ar trebui să fie întreprinderea care poate exercita o influență dominantă asupra celorlalte întreprinderi, de exemplu, în temeiul proprietății, al participării financiare sau al regulilor care o reglementează sau al competenței de a pune în aplicare normele în materie de protecție a datelor cu caracter personal. (29) Copii au nevoie de o protecție specifică a datelor lor cu caracter personal, întrucât pot fi mai puțin conștienți de riscurile, consecințele, garanțiile și drepturile lor în ceea ce privește prelucrarea datelor cu caracter personal. Pentru a se determina condițiile în care o persoană fizică este minor, prezentul regulament ar trebui să preia definiția stabilită în Convenția Organizației Națiunilor Unite privind drepturile copilului. (30) Orice prelucrare a datelor cu caracter personal ar trebui să fie legală, echitabilă și transparentă în raport cu persoanele fizice vizate. În special, scopurile specifice în care datele sunt prelucrate ar trebui să fie explicite și legitime și să fie determinate la momentul colectării datelor. Datele ar trebui să fie adecvate, relevante și limitate la minimum necesar scopurilor în care datele sunt prelucrate; aceasta necesită, în special, asigurarea faptului că datele colectate nu sunt excesive și că perioada pentru care datele sunt stocate este limitată strict la minimum. Datele cu caracter personal ar trebui prelucrate doar în cazul în care scopul prelucrării nu ar putea fi îndeplinit prin alte mijloace. Ar trebui să fie luate toate măsurile rezonabile pentru a se asigura că datele cu caracter personal care sunt inexacte sunt rectificate sau șterse. În vederea asigurării faptului că datele nu sunt păstrate mai mult timp decât este necesar, ar trebui să se stabilească de către operator termene pentru ștergere sau revizuire periodică. (31) Pentru ca prelucrarea datelor cu caracter personal să fie legală, aceasta ar trebui efectuată pe baza consimțământului persoanei în cauză sau în temeiul unui alt motiv legitim, prevăzut de lege, fie în prezentul regulament, fie în alt act legislativ al Uniunii sau al statului membru la care se face referire în prezentul regulament. (32) În cazul în care prelucrarea se bazează pe consimțământul persoanei vizate, sarcina probei cu privire la faptul că persoana vizată și-a dat consimțământul pentru operațiunea de prelucrare îi revine operatorului. În special, în contextul unei declarații scrise cu privire la un alt aspect, garanțiile ar trebui să asigure că persoana vizată este conștientă de faptul că și-a dat consimțământul și în ce măsură a făcut acest lucru. (33) Pentru a se asigura consimțământul liber, ar trebui să se precizeze că un consimțământ nu constituie un temei juridic valabil în cazul în care persoana fizică nu dispune cu adevărat de libertatea de a alegere și ulterior nu poate să refuze sau să își retragă consimțământul fără a fi prejudiciată. (34) Consimțământul nu ar trebui să constituie un temei juridic valabil pentru prelucrarea datelor cu caracter personal în cazul în care există un dezechilibru evident între persoana vizată și operator. Acest lucru este valabil, în special, atunci când persoana vizată se află într-o situație de dependență în raport cu operatorul, printre altele, în cazul în care datele cu caracter personal ale angajaților sunt prelucrate de către angajator în contextul ocupării unui loc de muncă. În cazul în care operatorul este o autoritate publică, nu ar exista un dezechilibru decât în ceea ce privește operațiuni specifice de prelucrare a datelor în cadrul cărora autoritatea publică poate impune o obligație în temeiul competențelor sale publice relevante, iar consimțământul nu poate fi considerat ca fiind acordat în mod liber, ținându-se cont de interesul persoanei vizate. (35) Prelucrarea ar trebui să fie legală în cazul în care este necesară în cadrul unui contract sau în vederea încheierii unui contract. (36) În cazul în care prelucrarea este efectuată în conformitate cu o obligație legală a operatorului sau în cazul în care prelucrarea este necesară pentru îndeplinirea unei sarcini de interes public sau în exercitarea autorității publice, prelucrarea ar trebui să aibă un temei juridic în dreptul Uniunii sau în legislația unui stat membru care îndeplinește cerințele prevăzute de Carta drepturilor fundamentale a Uniunii Europene, pentru orice limitare a drepturilor și libertăților. De asemenea, este de competența dreptului Uniunii sau a legislației naționale să determine dacă operatorul care îndeplinește o sarcină de interes public sau în exercitarea autorității publice ar trebui să fie o administrație publică sau altă persoană fizică sau juridică de drept public sau privat, cum ar fi o asociație profesională. (37) Prelucrarea datelor cu caracter personal ar trebui, de asemenea, să fie considerată legală în cazul în care este necesară în scopul asigurării protecției unui interes care este esențial pentru viața persoanei vizate. (38) Interesele legitime ale unui operator pot constitui un temei juridic pentru prelucrare, cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate. Aceasta ar necesita o evaluare atentă, în special în cazul în care persoana vizată este un minor, întrucât minorii necesită o protecție specifică. Persoana vizată ar trebui să aibă dreptul gratuit la opoziție în ceea ce privește prelucrarea, din motive legate de situația sa particulară. Pentru a se asigura transparența, operatorul ar trebui să aibă obligația de a informa în mod explicit persoana vizată cu privire la interesele legitime urmărite și dreptul la opoziție și, de asemenea, ar trebui să aibă obligația de a documenta aceste interese legitime. Întrucât legiuitorul trebuie să furnizeze temeiul juridic pentru prelucrarea datelor de către autoritățile publice, acest temei juridic nu ar trebui să se aplice prelucrării de către autoritățile publice în îndeplinirea sarcinilor care le revin. (39) Prelucrarea datelor în măsura strict necesară în scopul asigurării securității rețelelor și a informațiilor, și anume capacitatea unei rețele sau a unui sistem de informații de a face față, la un anumit nivel de încredere, evenimentelor accidentale sau acțiunilor ilegale sau rău intenționate care compromit disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor stocate sau transmise, precum și securitatea serviciilor conexe oferite de aceste rețele și sisteme sau accesibile prin intermediul acestora, de către autoritățile publice, echipele de intervenție în caz de urgență informatică (CERT), echipele de intervenție în cazul producerii unor incidente care afectează securitatea informatică (CSIRT), furnizorii de rețele și servicii de comunicații electronice, precum și de către furnizorii de servicii și tehnologii de securitate, constituie un interes legitim al operatorului de date în cauză. Acesta ar putea include, de exemplu, prevenirea accesului neautorizat la rețelele de comunicații electronice și a difuzării de coduri dăunătoare și oprirea atacurilor de „blocare a serviciului”, precum și prevenirea daunelor aduse calculatoarelor și sistemelor de comunicații electronice. (40) Prelucrarea datelor cu caracter personal în alte scopuri ar trebui să fie permisă doar atunci când prelucrarea este compatibilă cu scopurile în care datele au fost inițial colectate, în special în cazul în care prelucrarea este necesară în scopuri de cercetare istorică, statistică sau științifică. În cazul în care celălalt scop nu este compatibil cu scopul inițial în care datele sunt colectate, operatorul ar trebuie să obțină consimțământul persoanei vizate cu privire la acest alt scop sau ar trebui să întemeieze prelucrarea legală pe un alt motiv legitim, în special în cazul în care acest fapt este prevăzut de dreptul Uniunii sau de legislația statului membru care se aplică operatorului. În orice caz, aplicarea principiilor stabilite de prezentul regulament și, în special, informarea persoanei vizate cu privire la aceste alte scopuri ar trebui să fie garantată. (41) Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile și de vulnerabile în ceea ce privește drepturile fundamentale sau viața privată, necesită o protecție specifică. Astfel de date nu ar trebui să fie prelucrate, cu excepția cazului în care persoana vizată își dă consimțământul explicit. Cu toate acestea, derogări de la interdicția respectivă ar trebui prevăzute în mod explicit în ceea ce privește nevoile specifice, în special atunci când prelucrarea este efectuată în cadrul activităților legitime de către anumite asociații sau fundații al căror scop este de a permite exercitarea libertăților fundamentale. (42) Derogarea de la interdicția prelucrării categoriilor de date sensibile ar trebui să fie permisă, de asemenea, în cazul în care este prevăzută de lege, sub rezerva unor garanții corespunzătoare, pentru a se asigura protecția datelor cu caracter personal și a altor drepturi fundamentale, atunci când motive de interes public justifică acest lucru și, în special, în scopuri medicale, inclusiv sănătatea publică, protecția socială și gestionarea serviciilor de asistență medicală, în special în scopul garantării calității și eficienței din punct de vedere al costurilor în ceea ce privește procedurile utilizate pentru soluționarea cererilor de prestații și servicii în sistemul asigurărilor de sănătate sau în scopuri de cercetare istorică, statistică și științifică. (43) În plus, prelucrarea datelor cu caracter personal de către autoritățile publice în vederea realizării obiectivelor prevăzute de dreptul constituțional sau de dreptul internațional public, ale asociațiilor religioase recunoscute oficial se efectuează din motive de interes public. (44) În cazul în care, în cadrul activităților electorale, funcționarea sistemului democratic necesită, într-un stat membru, ca partidele politice să colecteze date privind opiniile politice ale persoanelor, prelucrarea unor astfel de date poate fi permisă din motive de interes public, cu condiția să se prevadă garanțiile corespunzătoare. (45) Dacă datele prelucrate de către un operator nu îi permit acestuia să identifice o persoană fizică, operatorul de date nu ar trebui să aibă obligația de a obține informații suplimentare în vederea identificării persoanei vizate, cu unicul scop de a respecta una dintre dispozițiile prezentului regulament. În cazul unei cereri de acces, operatorul ar trebui să aibă dreptul de a solicita persoanei vizate mai multe informații pentru a putea să localizeze datele cu caracter personal pe care le caută persoana respectivă. (46) Principiul transparenței prevede că orice informații care se adresează publicului sau persoanei vizate ar trebui să fie ușor accesibile și ușor de înțeles și că se utilizează un limbaj simplu și clar. Acesta este important în special în cazul în care, în situații cum ar fi publicitatea online, multitudinea actorilor și complexitatea, din punct de vedere tehnologic, a practicii, este dificil ca persoana vizată să știe și să se înțeleagă dacă datele cu caracter personal care o privesc sunt colectate, de către cine și în ce scop. Întrucât copiii necesită o protecție specifică, orice informații și orice comunicare, în cazul în care prelucrarea vizează în mod specific un minor, ar trebui să fie exprimate într-un limbaj simplu și clar, astfel încât acesta să îl poată înțelege cu ușurință. (47) Ar trebui prevăzute modalități de facilitare a exercitării de către persoana vizată a drepturile sale stipulate de prezentul regulament, inclusiv mecanismele de a solicita, în mod gratuit, în special, accesul la date, rectificarea și ștergerea acestora, precum și exercitarea dreptului la opoziție. Operatorul ar trebui să fie aibă obligația de a răspunde cererilor persoanelor vizate într-un termen fix și, în cazul în care nu se conformează cererii persoanei vizate, să motiveze acest refuz. (48) Conform principiilor prelucrării echitabile și transparente, persoana vizată ar trebui să fie informată, în special, cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia, durata stocării datelor, existența dreptului de acces, rectificare sau ștergere a datelor și dreptul de a înainta o plângere. Atunci când datele sunt colectate de la persoana vizată, aceasta ar trebui, de asemenea, să fie informată dacă are obligația de a furniza datele și care sunt consecințele în cazul unui refuz. (49) Informațiile în legătură cu prelucrarea datelor cu caracter personal referitoare la persoana vizată ar trebui furnizate acesteia la momentul colectării sau, în cazul în care datele nu sunt colectate de la persoana vizată, într-o perioadă rezonabilă, în funcție de circumstanțele cazului. În cazul în care datele pot fi divulgate în mod legitim unui alt destinatar, persoana vizată ar trebui informată atunci când datele sunt divulgate pentru prima dată destinatarului. (50) Cu toate acestea, nu este necesară impunerea obligației respective în cazul în care persoana vizată dispune deja de aceste informații sau în cazul în care înregistrarea sau divulgarea datelor este prevăzută în mod expres de lege sau în cazul în care informarea persoanei vizate se dovedește imposibilă sau implică eforturi disproporționate. Acesta din urmă ar putea fi cazul în special atunci când prelucrarea se efectuează în scopuri de cercetare istorică, statistică sau științifică; în această privință, pot fi luate în considerare numărul persoanelor vizate, vechimea datelor și măsurile compensatorii adoptate. (51) Orice persoană ar trebui să aibă dreptul de acces la datele colectate care o privesc și de a exercita acest drept cu ușurință, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica, în special, în ce scopuri sunt prelucrate datele, pentru ce perioadă, identitatea destinatarilor datelor, care este logica de prelucrare a datelor și care ar putea fi, cel puțin în cazul în care se bazează pe crearea de profiluri, consecințele unei astfel de prelucrări. Acest drept nu ar trebui să aducă atingere drepturilor și libertăților altora, inclusiv secretului comercial sau proprietății intelectuale și, în special, drepturilor de autor care asigură protecția programelor software. Cu toate acestea, considerațiile de mai sus nu ar trebui aibă drept rezultat refuzul de a furniza toate informațiile persoanei vizate. (52) Operatorul ar trebui să ia toate măsurile rezonabile pentru a verifica identitatea unei persoane vizate care solicită acces la date, în special în contextul serviciilor online și al identificatorilor online. Un operator nu ar trebui să rețină datele cu caracter personal în scopul exclusiv de a fi în măsură să reacționeze la cereri potențiale. (53) Orice persoană ar trebui să aibă dreptul de rectificare a datelor cu caracter personal care o privesc și „dreptul de a fi uitată”, în cazul în care păstrarea acestor date nu este în conformitate cu prezentul regulament. În special, persoanele vizate ar trebui să aibă dreptul ca datele lor cu caracter personal să fie șterse și să nu mai fie prelucrate, în cazul în care datele nu mai sunt necesare pentru scopurile în care sunt colectate sau sunt prelucrate, în cazul în care persoanele vizate și-au retras consimțământul pentru prelucrare sau în cazul în care acestea se opun prelucrării datelor cu caracter personal care le privesc sau în cazul în care prelucrarea datelor cu caracter personal ale acestora nu este conformă cu prezentul regulament. Acest drept este relevant în special în cazul în care persoana vizată și-a dat consimțământul când era minor și nu cunoștea pe deplin riscurile pe care le implică prelucrarea, iar ulterior dorește să elimine astfel de date cu caracter personal, în special de pe internet. Cu toate acestea, păstrarea în continuare a datelor ar trebui să fie permisă în cazul în care este necesară în scopuri de cercetare istorică, statistică și științifică, din motive de interes public în domeniul sănătății publice, pentru exercitarea dreptului la libertatea de exprimare, atunci când acest lucru este prevăzut de lege sau în cazul în care există un motiv pentru a restricționa prelucrarea datelor, în loc ca acestea să fie șterse. (54) Pentru a se consolida „dreptul de a fi uitat” în mediul on-line, dreptul de ștergere ar trebui, de asemenea, să fie extins astfel încât un operator care a făcut publice date cu caracter personal ar trebui să aibă obligația de a informa terții care prelucrează astfel de date că o persoană vizată le solicită să șteargă orice linkuri către datele cu caracter personal respective sau copii sau reproduceri ale acestora. În scopul asigurării acestor informații, operatorul ar trebui să ia toate măsurile rezonabile, inclusiv măsuri tehnice, în ceea ce privește datele de a căror publicare este responsabil. În legătură cu publicarea datelor cu caracter personal de către un terț, operatorul ar trebui să fie considerat responsabil de publicare, în cazul în care acesta a autorizat publicarea de către terț. (55) Pentru a se consolida în continuare controlul asupra propriilor date și dreptul lor de acces, persoanele vizate ar trebui să aibă dreptul, în cazul în care datele cu caracter personal sunt prelucrate prin mijloace electronice într-un format structurat și utilizat în mod curent, de a obține, de asemenea, o copie a datelor care le privesc într-un format electronic utilizat în mod curent. Persoana vizată ar trebui, de asemenea, să fie autorizată să transmită datele respective, pe care le-a furnizat, dintr-o aplicație automată, cum ar fi o rețea socială, către alta. Aceasta ar trebui să se aplice în cazul în care persoana vizată a furnizat datele sistemului de prelucrare automată, pe baza consimțământului său sau în cadrul executării unui contract. (56) În cazurile în care datele cu caracter personal ar putea fi prelucrate în mod legal în scopul asigurării protecției intereselor vitale ale persoanei vizate sau din motive de interes public, de exercitare a autorității publice sau de urmărire a intereselor legitime ale unui operator, orice persoană vizată ar trebui, cu toate acestea, să aibă dreptul de a se opune prelucrării oricăror date care o privesc. Sarcina probei ar trebui să revină operatorului pentru a demonstra că interesele sale legitime pot prevala asupra intereselor sau a drepturilor și libertăților fundamentale ale persoanei vizate. (57) În cazul în care datele cu caracter personal sunt prelucrate în scopuri de marketing direct, persoana vizată ar trebui să aibă gratuit dreptul la opoziție cu privire la o astfel de prelucrare, care să poată fi invocat cu ușurință și în mod efectiv. (58) Orice persoană fizică ar trebui să aibă dreptul de a nu fi supusă unei măsuri care se bazează pe crearea de profiluri prin mijloace de prelucrare automată a datelor. Cu toate acestea, o astfel de măsură ar trebui să fie permisă în cazul în care este autorizată în mod expres de lege, este efectuată în cadrul încheierii sau al executării unui contract sau în cazul în care persoana vizată și-a dat consimțământul. În orice caz, o astfel de prelucrare ar trebui să facă obiectul unor garanții corespunzătoare, inclusiv o informare specifică a persoanei vizate și dreptul de a obține intervenție umană, iar o astfel de măsură nu ar trebui să se refere la un minor. (59) Dreptul Uniunii sau legislația unui stat membru pot impune restricții ale principiilor specifice, ale drepturilor de informare, acces, rectificare și ștergere sau ale dreptului la portabilitatea datelor, ale dreptului la opoziție, ale măsurilor bazate pe crearea de profiluri, precum și ale comunicării unei încălcări a securității datelor cu caracter personal persoanei vizate și ale anumitor obligații conexe ale operatorilor, în măsura în care acest lucru este necesar și proporțional într-o societate democratică pentru a se garanta siguranța publică, inclusiv protecția vieții oamenilor, în special ca răspuns la dezastre naturale sau provocate de om, prevenirea, investigarea și urmărirea penală a infracțiunilor sau a încălcării eticii în cazul profesiunilor reglementate, alte interese publice ale Uniunii sau ale unui stat membru, în special un interes economic sau financiar important al Uniunii sau al unui stat membru, sau protecția persoanei vizate sau a drepturilor și libertăților unor terți. Aceste restricții ar trebui să fie conforme cu cerințele prevăzute de Carta drepturilor fundamentale a Uniunii Europene și de Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale. (60) Ar trebui să se stabilească responsabilitatea și răspunderea generală a operatorului pentru orice prelucrare a datelor cu caracter personal efectuată de către acesta sau în numele său. În special, operatorul ar trebui să asigure și să aibă obligația de a demonstra conformitatea fiecărei operațiuni de prelucrare cu prezentul regulament. (61) Protecția drepturilor și libertăților persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal necesită adoptarea de măsuri tehnice și organizatorice corespunzătoare, atât în momentul conceperii prelucrării, cât și în cel al prelucrării în sine, pentru a se asigura îndeplinirea cerințelor prezentului regulament. În scopul asigurării și al demonstrării conformității cu prezentul regulament, operatorul ar trebui să adopte politici interne și să pună în aplicare măsuri corespunzătoare, care să respecte, în special, principiul luării în considerare a protecției datelor începând cu momentul conceperii și cel al protecției implicite a datelor. (62) Protecția drepturilor și libertăților persoanelor vizate, precum și responsabilitatea și răspunderea operatorilor și a persoanei împuternicite de către operator, în ceea ce privește, de asemenea, monitorizarea de către autoritățile de supraveghere și măsurile adoptate de acestea, necesită o atribuire clară a responsabilităților în temeiul prezentului regulament, inclusiv în cazul în care un operator stabilește scopurile, condițiile și mijloacele prelucrării împreună cu alți operatori sau în cazul în care o operațiune de prelucrare este efectuată în numele unui operator. (63) Atunci când un operator care nu este stabilit în Uniune prelucrează date cu caracter personal ale unor persoane vizate care își au reședința în Uniune, iar activitățile de prelucrare ale operatorului au legătură cu oferirea de bunuri și servicii unor astfel de persoane vizate sau cu monitorizarea comportamentului acestora, operatorul ar trebui să desemneze un reprezentant, cu excepția cazului în care operatorul este stabilit într-o țară terță care asigură un nivel adecvat de protecție sau în care operatorul este o întreprindere mică sau mijlocie sau o autoritate publică sau un organism public sau în care operatorul oferă doar ocazional bunuri sau servicii unor astfel de persoane vizate. Reprezentantul ar trebui să acționeze în numele operatorului, putând fi contactat de orice autoritate de supraveghere. (64) Pentru a se stabili dacă un operator oferă doar ocazional bunuri și servicii persoanelor vizate care își au reședința în Uniune, ar trebui să se analizeze dacă din ansamblul activităților desfășurate de către operator rezultă că oferirea de bunuri și servicii unor astfel de persoane vizate este auxiliară activităților principale respective. (65) În vederea demonstrării conformității cu prezentul regulament, operatorul sau persoana împuternicită de către operator ar trebui să documenteze fiecare operațiune de prelucrare. Fiecare operator și fiecare persoană împuternicită de către operator ar trebui să aibă obligația de a coopera cu autoritatea de supraveghere și de a pune la dispoziția acesteia, la cerere, documentația respectivă, pentru a putea fi utilizată în scopul monitorizării operațiunilor de prelucrare respective. (66) În vederea menținerii securității și a prevenirii prelucrărilor care încalcă dispozițiile prezentului regulament, operatorul sau persoana împuternicită de către operator ar trebui să evalueze riscurile inerente prelucrării și să pună în aplicare măsuri pentru atenuarea acestor riscuri. Măsurile respective ar trebui să asigure un nivel corespunzător de securitate, luând în considerare stadiul actual al tehnologiei și costurile punerii lor în aplicare în raport cu riscurile și natura datelor cu caracter personal a căror protecție trebuie asigurată. Atunci când se stabilesc standarde tehnice și măsuri organizatorice menite să asigure securitatea prelucrării, Comisia ar trebui să promoveze neutralitatea tehnologică, interoperabilitatea și inovarea, și, dacă este cazul, cooperarea cu țările terțe. (67) Dacă nu este soluționată la timp și într-un mod adecvat, o încălcare a securității datelor cu caracter personal poate cauza persoanei fizice în cauză pierderi economice substanțiale și daune sociale, inclusiv fraudarea identității. Prin urmare, de îndată ce a luat cunoștință de producerea unei astfel de încălcări, operatorul ar trebui să o notifice autorității de supraveghere, fără întârziere nejustificată și, dacă este posibil, în termen de 24 de ore. În cazul în care termenul de 24 de ore nu este respectat, o explicație a motivelor întârzierii ar trebui să însoțească notificarea. Persoanele fizice ale căror date cu caracter personal ar putea fi afectate negativ de încălcare ar trebui să fie notificate fără întârziere nejustificată pentru a putea să ia măsurile de precauție necesare. Ar trebui să se considere că o încălcare afectează în mod negativ datele cu caracter personal sau viața privată a unei persoane vizate în cazul în care aceasta ar putea avea drept rezultat, de exemplu, furtul sau fraudarea identității, vătămarea corporală, umilirea gravă sau afectarea reputației. Notificarea ar trebui să descrie natura încălcării securității datelor cu caracter personal și să formuleze recomandări pentru persoana fizică în cauză în scopul atenuării eventualelor efecte negative. Notificările persoanelor vizate ar trebui efectuate în cel mai scurt timp posibil în mod rezonabil și în strânsă cooperare cu autoritatea de supraveghere, respectându-se orientările furnizate de aceasta sau de alte autorități competente (de exemplu, autoritățile de aplicare a legii). De exemplu, pentru ca persoanele vizate să poată atenua un risc imediat de prejudiciere, acestea ar trebui notificate cu promptitudine, în timp ce necesitatea de a pune în aplicare măsuri corespunzătoare împotriva încălcării în continuare a securității datelor sau împotriva unor încălcări similare ale securității datelor ar putea justifica un termen mai îndelungat. (68) Pentru a se determina dacă o încălcare a securității datelor cu caracter personal este notificată fără întârziere nejustificată autorității de supraveghere și persoanei vizate, ar trebui să se analizeze dacă operatorul a implementat și a aplicat măsuri tehnologice de protecție și organizatorice corespunzătoare în scopul de a stabili imediat dacă s-a produs o încălcare a securității datelor cu caracter personal și de a informa cu promptitudine autoritatea de supraveghere și persoana vizată, înainte de prejudicierea intereselor sale personale și economice, luându-se în considerare, în special, natura și gravitatea încălcării securității datelor cu caracter personal, precum și consecințele și efectele negative ale acesteia asupra persoanei vizate. (69) La stabilirea de norme detaliate privind formatul și procedurile aplicabile notificării referitoare la încălcările securității datelor cu caracter personal, ar trebui să se acorde atenția cuvenită circumstanțelor în care a avut loc încălcarea, stabilindu-se inclusiv dacă protecția datelor cu caracter personal a fost sau nu a fost asigurată prin măsuri tehnice de protecție corespunzătoare, care să limiteze efectiv probabilitatea fraudării identității sau a altor forme de utilizare abuzivă. În plus, astfel de norme și proceduri ar trebui să țină cont de interesele legitime ale autorităților de aplicare a legii în cazurile în care divulgarea timpurie ar putea îngreuna în mod inutil investigarea circumstanțelor în care a avut loc o încălcare. (70) Directiva 95/46/CE prevede o obligație generală de a notifica prelucrarea datelor cu caracter personal autorităților de supraveghere. Cu toate că obligația respectivă generează sarcini administrative și financiare, aceasta nu contribuie întotdeauna la îmbunătățirea protecției datelor cu caracter personal. Prin urmare, o astfel de obligație de notificare generală nediferențiată ar trebui să fie abrogată și înlocuită cu proceduri și mecanisme eficace care să pună accentul, în schimb, pe operațiunile de prelucrare care pot prezenta riscuri specifice pentru drepturile și libertățile persoanelor vizate prin însăși natura lor, prin domeniul lor de aplicare sau prin scopurile lor. În astfel de cazuri, operatorul sau persoana împuternicită de către operator ar trebui să efectueze, înainte de prelucrare, o evaluare a impactului asupra protecției datelor, care ar trebui să includă, în special, măsurile avute în vedere, garanții și mecanisme pentru asigurarea protecției datelor cu caracter personal și pentru demonstrarea conformității cu prezentul regulament. (71) Aceasta ar trebui să se aplice, în special, sistemelor de evidență de mari dimensiuni recent instituite, care au drept obiectiv prelucrarea unui volum considerabil de date cu caracter personal la nivel regional, național sau supranațional și care ar putea afecta un număr mare de persoane vizate. (72) În unele circumstanțe ar putea fi judicios și economic ca o evaluare a impactului asupra protecției datelor să aibă o perspectivă mai extinsă decât cea a unui singur proiect, de exemplu, în cazul în care autorități sau organisme publice intenționează să instituie o aplicație sau o platformă de prelucrare comună sau în cazul în care mai mulți operatori preconizează să introducă o aplicație comună sau un mediu de prelucrare comun în cadrul unui sector sau segment industrial sau pentru o activitate orizontală utilizată pe scară largă. (73) Evaluările impactului asupra protecției datelor ar trebui efectuate de către o autoritate publică sau un organism public în cazul în care o astfel de evaluare nu a fost deja realizată în contextul adoptării legislației naționale pe care se bazează îndeplinirea sarcinilor autorității publice sau ale organismului public și care reglementează anumite operațiuni sau serii de operațiuni de prelucrare în cauză. (74) În cazul în care o evaluare a impactului asupra protecției datelor arată că operațiunile de prelucrare implică un nivel ridicat al riscurilor specifice pentru drepturile și libertățile persoanelor vizate, cum ar fi privarea persoanelor fizice de un drept, sau prin utilizarea noilor tehnologii specifice, autoritatea de supraveghere ar trebui să fie consultată, înainte de începerea operațiunilor, cu privire la o prelucrare riscantă care ar putea să nu fie conformă cu prezentul regulament și pentru a face propuneri în vederea remedierii unei astfel de situații. Această consultare ar trebui, de asemenea, să aibă loc în timpul elaborării fie a unei măsuri a parlamentului național, fie a unei măsuri întemeiate pe o astfel de măsură legislativă, care definește natura prelucrării și stabilește garanțiile corespunzătoare. (75) În cazul în care prelucrarea este efectuată în sectorul public sau în cazul în care, în sectorul privat, prelucrarea este efectuată de o întreprindere de mari dimensiuni sau în cazul în care activitățile de bază ale întreprinderii, indiferent de dimensiunea acesteia, implică operațiuni de prelucrare care necesită o monitorizare regulată și sistematică, o persoană ar trebui să acorde asistență operatorului sau persoanei împuternicite de către operator pentru monitorizarea conformității, la nivel intern, cu prezentul regulament. Acești responsabilii cu protecția datelor, fie că sunt sau nu sunt angajați ai operatorului, ar trebui să fie în măsură să își îndeplinească atribuțiile și sarcinile în mod independent. (76) Asociațiile sau alte organisme care reprezintă categorii de operatori ar trebui încurajate să elaboreze coduri de conduită, în limitele prezentului regulament, astfel încât să se faciliteze aplicarea efectivă a prezentului regulament, luându-se în considerare caracteristicile specifice ale prelucrării efectuate în anumite sectoare. (77) Pentru a se îmbunătăți transparența și conformitatea cu prezentul regulament, ar trebui să se încurajeze instituirea de mecanisme de certificare, precum și de sigilii și mărci în materie de protecție a datelor, care să permită persoanelor vizate să evalueze rapid nivelul de protecție a datelor aferent produselor și serviciilor relevante. (78) Fluxurile transfrontaliere de date cu caracter