Propunere de DIRECTIVĂ A PARLAMENTULUI EUROPEAN ŞI A CONSILIULUI privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și la libera circulație a acestor date /* COM/2012/010 final - 2012/0010 (COD) */





EXPUNERE DE MOTIVE 1. CONTEXTUL PROPUNERII Prezenta expunere de motive descrie în detaliu abordarea privind noul cadru juridic referitor la protecția datelor cu caracter personal în UE, prevăzut în Comunicarea COM (2012) 9 final. Cadrul legislativ constă în două propuneri legislative: – o propunere de regulament al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor) și – o propunere de directivă a Parlamentului European și a Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și libera circulație a acestor date. Prezenta expunere de motive se referă la cea din urmă propunere legislativă. Documentul care stă la baza legislației UE existente privind protecția datelor cu caracter personal, Directiva 95/46/CE[1], a fost adoptat în 1995, având două obiective: protejarea dreptului fundamental la protecția datelor și garantarea liberei circulații a datelor cu caracter personal între statele membre. Directiva a fost completată de o serie de instrumente care prevăd norme specifice privind protecția datelor în domeniul cooperării polițienești și judiciare în materie penală[2] (fostul al treilea pilon), inclusiv Decizia-cadru 2008/977/JAI[3]. Consiliul European a invitat Comisia să evalueze funcționarea instrumentelor UE privind protecția datelor și să prezinte, dacă este cazul, alte inițiative legislative și fără caracter legislativ[4]. În rezoluția sa privind Programul de la Stockholm, Parlamentul European[5] a salutat inițiativa unui regim cuprinzător de protecție a datelor în UE și, printre altele, a solicitat revizuirea deciziei-cadru. Comisia a subliniat în planul său de acțiune pentru punerea în aplicare a programului de la Stockholm[6], necesitatea de a se asigura că dreptul fundamental la protecția datelor cu caracter personal este aplicat în mod coerent în contextul tuturor politicilor UE. Planul de acțiune a subliniat că „într-o societate globală caracterizată de schimbări tehnologice rapide, în care schimbul de informații nu cunoaște limite, este deosebit de important ca viața privată să fie protejată. Uniunea trebuie să se asigure că dreptul fundamental la protecția datelor este aplicat în mod coerent. Trebuie să consolidăm poziția UE cu privire la protecția datelor cu caracter personal ale persoanelor în contextul tuturor politicilor UE, inclusiv în contextul aplicării legii și al prevenirii criminalității, precum și în relațiile noastre internaționale.” În comunicarea sa privind „O abordare globală a protecției datelor cu caracter personal în Uniunea Europeană”[7], Comisia a concluzionat că UE are nevoie de o politică mai cuprinzătoare și mai coerentă privind dreptul fundamental la protecția datelor cu caracter personal. Decizia-cadru 2008/977/JAI are un domeniu de aplicare limitat, deoarece se aplică doar în cazul prelucrării datelor la nivel transfrontalier și nu în cazul activităților de prelucrare realizate de către poliție și autoritățile judiciare exclusiv la nivel național. Acest fapt poate crea dificultăți pentru poliție și alte autorități competente în domeniul cooperării judiciare în materie penală și al cooperării polițienești. Acestea nu reușesc întotdeauna să facă distincție cu ușurință între prelucrarea exclusiv la nivel național și cea la nivel transfrontalier sau să prevadă dacă anumite date personale pot face obiectul unui schimb transfrontalier într-o etapă ulterioară (a se vedea punctul 2 de mai jos). În plus, ca urmare a naturii și conținutului său, decizia-cadru lasă legislațiilor naționale ale statelor membre o amplă marjă de manevră privind punerea în aplicare a dispozițiile sale. De asemenea, decizia-cadru nu include niciun mecanism sau grup consultativ similar Grupului de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal care să sprijine interpretarea comună a dispozițiilor sale, și nici nu prevede competențe de executare pentru Comisie în vederea asigurării unei abordări comune în punerea sa în aplicare. Articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene (TFUE) stabilește principiul conform căruia orice persoană are dreptul la protecția datelor cu caracter personal. Mai mult, prin articolul 16 alineatul (2) din TFUE, Tratatul de la Lisabona introduce un temei juridic specific pentru adoptarea de norme în materie de protecție a datelor cu caracter personal care se aplică, de asemenea, cooperării judiciare în materie penală și cooperării polițienești. Articolul 8 din Carta drepturilor fundamentale a Uniunii Europene consacră protecția datelor cu caracter personal ca drept fundamental. Articolul 16 din TFUE impune legiuitorului să prevadă norme privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal și în domeniul cooperării judiciare în materie penală și al cooperării polițienești, care să acopere atât prelucrarea datelor cu caracter personal la nivel transfrontalier, cât și cea la nivel național. Acest lucru va permite protejarea drepturilor și a libertăților fundamentale ale persoanelor fizice și, în special, al dreptului acestora la protecția datelor cu caracter personal, asigurând, în același timp, schimbul de date cu caracter personal în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și contribuind la facilitarea cooperării în lupta împotriva criminalității în Europa. Ca urmare a naturii specifice a domeniului cooperării polițienești și judiciare în materie penală, Declarația 21[8] precizează că ar putea fi necesară elaborarea unor norme specifice privind protecția datelor cu caracter personal și libera circulație a acestor date în domeniul cooperării judiciare în materie penală și al cooperării polițienești în temeiul articolului 16 din TFUE. 2. REZULTATELE CONSULTĂRILOR CU PĂRȚILE INTERESATE ȘI ALE EVALUĂRII IMPACTULUI Prezenta inițiativă este rezultatul unor ample consultări cu principalele părți interesate referitoare la o revizuire a cadrului juridic existent privind protecția datelor cu caracter personal, care a inclus două faze ale consultării publice: – în perioada 9 iulie - 31 decembrie 2009, consultarea referitoare la cadrul juridic privind dreptul fundamental la protecția datelor cu caracter personal. Comisia a primit 168 de răspunsuri, din care 127 de la persoane fizice, organizații și asociații profesionale și 12 de la autoritățile publice. Contribuțiile care nu au caracter confidențial pot fi consultate pe site-ul internet al Comisiei[9]; – în perioada 4 noiembrie 2010 - 15 ianuarie 2011, consultarea privind abordarea cuprinzătoare a Comisiei cu privire la protecția datelor cu caracter personal în Uniunea Europeană. Comisia a primit 305 de răspunsuri, din care 54 de la cetățeni, 31 de la autoritățile publice și 220 de la organizațiile private, în special asociații de afaceri și organizații neguvernamentale. Contribuțiile care nu au caracter confidențial pot fi consultate pe site-ul internet al Comisiei[10]. Întrucât aceste consultări s-au axat, în mare parte, pe revizuirea Directivei 95/46/CE, au avut loc consultări specifice cu părțile interesate din domeniul aplicării legii; în special, la 29 iunie 2010, a fost organizat un atelier cu autoritățile statelor membre privind aplicarea normelor în materie de protecție a datelor, inclusiv în domeniul cooperării polițienești și judiciare în materie penală. Mai mult, la 2 februarie 2011, Comisia a organizat un atelier cu autoritățile statelor membre pentru a discuta punerea în aplicare a Deciziei­cadru 2008/977/JAI și, în sens mai general, aspecte legate de protecția datelor în domeniul cooperării polițienești și judiciare în materie penală. Cetățenii UE au fost consultați prin intermediul unui sondaj Eurobarometru organizat în perioada noiembrie-decembrie 2010[11]. De asemenea, a fost lansată a serie de studii[12]. Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal[13] a furnizat mai multe avize și informații utile Comisiei[14]. De asemenea, Autoritatea Europeană pentru Protecția Datelor a emis un aviz cuprinzător privind problemele ridicate în comunicarea Comisiei din noiembrie 2010[15]. Parlamentul European a aprobat, prin rezoluția sa din 6 iulie 2011, un raport care susținea abordarea Comisiei în legătură cu reforma cadrului privind protecția datelor[16]. La 24 februarie 2011, Consiliul Uniunii Europene a adoptat concluzii în care susține în mare măsură intenția Comisiei de a reforma cadrul privind protecția datelor și aprobă numeroase elemente ale abordării Comisiei. De asemenea, Comitetul Economic și Social European s-a declarat în favoarea unei revizuiri corespunzătoare a Directivei 95/46/CE[17], sprijinind obiectivul general al Comisiei de a asigura o aplicare mai coerentă a normelor UE în materie de protecție a datelor în toate statele membre. În conformitate cu politica sa privind „o mai bună legiferare”, Comisia a realizat o evaluare a impactului privind politicile alternative[18]. Studiul a avut la bază trei obiective de politică: îmbunătățirea dimensiunii privind piața internă a protecției datelor, o exercitare mai eficientă de către persoanele fizice a drepturilor pe care le au în materie de protecție a datelor și elaborarea unui cadru cuprinzător și coerent care acoperă toate domeniile de competență ale Uniunii, inclusiv cooperarea polițienească și judiciară în materie penală. În special, în ceea ce privește ultimul obiectiv, au fost evaluate două opțiuni de politică: o primă opțiune care, în principal, extinde domeniul de aplicare a normelor în materie de protecție a datelor în acest domeniu și abordează neajunsurile și alte probleme ridicate de decizia-cadru; și o a doua opțiune, mai cuprinzătoare, cu norme foarte riguroase și stricte, care ar conduce, de asemenea, la modificări imediate ale tuturor celorlalte instrumente din cadrul „fostului al treilea pilon”. O a treia opțiune „minimală”, în mare parte bazată pe comunicări interpretative și pe măsuri de sprijin în materie de politici, cum ar fi programele de finanțare și instrumentele tehnice, însoțită de o intervenție legislativă minimă, nu a fost considerată ca fiind corespunzătoare în vederea abordării problemelor identificate în acest domeniu, în ceea ce privește protecția datelor. În conformitate cu metodologia consacrată a Comisiei, fiecare opțiune de politică a fost evaluată cu ajutorul unui grup de coordonare interservicii în ceea ce privește eficiența acesteia în vederea îndeplinirii obiectivelor de politică, impactul său economic asupra părților interesate (inclusiv asupra bugetului instituțiilor UE), impactul său social și efectele acesteia asupra drepturilor fundamentale. Nu a fost analizat impactul asupra mediului. Analiza impactului global a condus la elaborarea opțiunii de politică preferate care este încorporată în prezenta propunere. În conformitate cu evaluarea, punerea în aplicare a opțiunii menționate anterior va duce la consolidarea în continuare a protecției datelor în acest domeniu de politică, în special prin includerea prelucrării datelor la nivel național, contribuind astfel la consolidarea securității juridice pentru autoritățile competente în domeniul cooperării judiciare în materie penală și al cooperării polițienești. Comitetul de evaluare a impactului (IAB) a emis, la 9 septembrie 2011, un aviz cu privire la proiectul de evaluare a impactului, pe baza căruia i-au fost aduse proiectului, în special, următoarele modificări: – au fost clarificate obiectivele cadrului juridic actual (măsura în care au fost atinse sau nu), precum și obiectivele reformei preconizate; – au fost adăugate mai multe dovezi și explicații/clarificări suplimentare la secțiunea privind definirea problemelor. De asemenea, Comisia a pregătit un raport privind punerea în aplicare a Deciziei­cadru 2008/977/JAI, pe baza articolului 29 alineatul (2), care urmează să fie adoptat ca parte a prezentului pachet legislativ privind protecția datelor[19]. Concluziile prezentate în raport pe baza informațiilor transmise de statele membre au fost, de asemenea, luate în considerare la elaborarea evaluării impactului. 3. ELEMENTELE JURIDICE ALE PROPUNERII 3.1. Temei juridic Propunerea se bazează pe articolul 16 alineatul (2) din TFUE, care constituie un nou temei juridic specific, introdus prin Tratatul de la Lisabona, pentru adoptarea normelor privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către instituțiile, organismele, oficiile și agențiile Uniunii, precum și de către statele membre atunci când desfășoară activități care intră în domeniul de aplicare a dreptului Uniunii, și normele privind libera circulație a acestor date. Scopul propunerii este acela de a asigura un nivel ridicat și coerent de protecție a datelor în acest domeniu, sporind astfel încrederea reciprocă între autoritățile polițienești și cele judiciare din diferitele state membre și facilitând libera circulație a datelor și cooperarea între aceste autorități. 3.2. Subsidiaritate și proporționalitate În conformitate cu principiului subsidiarității [articolul 5 alineatul (3) din TUE], se iau măsuri la nivelul Uniunii numai dacă obiectivele urmărite nu pot fi realizate suficient de bine de către statele membre și, prin urmare, având în vedere amploarea și efectele măsurilor propuse, obiectivele pot fi realizate mai bine la nivelul Uniunii. În lumina problemelor subliniate mai sus, analiza principiului subsidiarității indică necesitatea unor măsuri la nivelul UE în domenii precum poliția și justiția penală, pe baza următoarelor motive: – dreptul la protecția datelor cu caracter personal, prevăzut la articolul 8 din Carta drepturilor fundamentale a Uniunii Europene și la articolul 16 alineatul (1) din TFUE, necesită același nivel de protecție a datelor pe tot cuprinsul Uniunii. De asemenea, necesită același nivel de protecție în ceea ce privește datele schimbate și datele prelucrate la nivel național. – este din ce în ce mai important ca autoritățile de aplicare a legii din statele membre să prelucreze și să facă schimb de date în mod tot mai rapid, în scopul prevenirii și al combaterii criminalității transfrontaliere și a terorismului. În acest context, existența unor norme clare și coerente privind protecția datelor la nivelul UE va contribui la încurajarea cooperării între astfel de autorități. – în plus, există dificultăți practice în aplicarea legislației privind protecția datelor, fiind necesară o mai bună cooperare între statele membre și autoritățile acestora, care trebuie organizată la nivelul UE pentru a se asigura aplicarea uniformă a dreptului Uniunii. În anumite situații, UE este cea mai în măsură să asigure în mod efectiv și consecvent același nivel de protecție a persoanelor atunci când datele lor cu caracter personal sunt transferate către țări terțe. – statele membre nu pot atenua în mod individual problemele care apar în situația actuală, în special cele legate de fragmentarea legislațiilor naționale. Prin urmare, apare necesitatea specifică de a institui un cadru armonizat și coerent, care să permită transferarea cu ușurință a datelor cu caracter personal dintr-un stat membru în altul, în cadrul UE, asigurându-se în același timp o protecție eficientă pentru toate persoanele fizice pe întreg teritoriul UE; – acțiunile legislative propuse la nivelul UE pot fi mai eficace decât acțiuni similare la nivelul statelor membre, datorită naturii și amplorii problemelor, care nu sunt limitate la unul sau mai multe state membre. Principiul proporționalității prevede ca fiecare intervenție să vizeze un obiectiv și să nu depășească ceea ce este necesar pentru îndeplinirea sa. Acest principiu a stat la baza elaborării prezentei propuneri, începând cu identificarea și evaluarea opțiunilor de politică alternative și până la redactarea propunerii legislative. Prin urmare, directiva este instrumentul cel mai potrivit pentru asigurarea armonizării la nivelul UE în acest domeniu, acordând, în același timp, statelor membre flexibilitatea necesară atunci când pun în aplicare principiile, normele și derogările la nivel național. Având în vedere complexitatea normelor naționale în vigoare privind protecția datelor cu caracter personal în domeniul cooperării polițienești și judiciare în materie penală, precum și obiectivul armonizării globale a acestor norme prin intermediul prezentei directive, Comisia va trebui să solicite statelor membre să furnizeze documente care să explice relația dintre componentele directivei și părțile corespondente din instrumente naționale de transpunere, pentru a fi în măsură să își îndeplinească sarcina de a monitoriza transpunerea prezentei directive. 3.3. Rezumat al aspectelor legate de drepturile fundamentale Dreptul la protecția datelor cu caracter personal este prevăzut la articolul 8 din Carta drepturilor fundamentale a Uniunii Europene, articolul 16 din TFUE și articolul 8 din Convenția europeană a drepturilor omului. Așa cum subliniază Curtea de Justiție a UE[20], dreptul la protecția datelor cu caracter personal nu este, totuși, un drept absolut, ci trebuie să fie luat în considerare în raport cu funcția sa în societate[21]. Protecția datelor este strâns legată de respectarea vieții private și a celei de familie, protejate prin articolul 7 din cartă. Acest lucru este reflectat în articolul 1 alineatul (1) din Directiva 95/46/CE care prevede că statele membre trebuie să protejeze drepturile și libertățile fundamentale ale persoanelor fizice și, în special, dreptul acestora la respectarea vieții private cu privire la prelucrarea datelor cu caracter personal. Alte drepturi fundamentale consacrate în cartă, care ar putea fi potențial afectate, sunt interzicerea oricărei discriminări bazate, printre altele, pe motive de rasă, origine etnică, caracteristici genetice, religie sau convingeri, opinii politice sau de orice altă natură, un handicap sau orientare sexuală (articolul 21); drepturile copilului (articolul 24), dreptul la o cale de atac eficientă în fața unei instanțe judecătorești și la un proces echitabil (articolul 47). 3.4. Explicarea detaliată a propunerii 3.4.1. CAPITOLUL I - DISPOZIȚII GENERALE Articolul 1 definește obiectul directivei, și anume prevederea de norme referitoare la prelucrarea datelor cu caracter personal în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, și stabilește dublul obiectiv al directivei, și anume protecția drepturilor și a libertăților fundamentale ale persoanelor fizice și, în special, a dreptului acestora la protecția datelor cu caracter personal, garantând în același timp un nivel ridicat de siguranță publică, și asigurarea schimbului de date cu caracter personal între autoritățile competente în cadrul Uniunii. Articolul 2 definește domeniul de aplicare a directivei. Domeniul de aplicare a directivei nu este limitat la prelucrarea datelor la nivel transfrontalier, însă se aplică tuturor activitățile de prelucrare efectuate de „autoritățile competente” [astfel cum sunt definite la articolul 3 alineatul (14)], în sensul directivei. Directiva nu se aplică nici în cazul prelucrării în cadrul unei activități care nu intră în domeniul de aplicare a dreptului Uniunii, nici în cazul prelucrării de către instituțiile, organele, oficiile și agențiile Uniunii, care intră sub incidența Regulamentului (CE) nr. 45/2001 și a altor norme specifice. Articolul 3 conține definițiile termenilor utilizați în directivă. În timp ce unele definiții sunt preluate din Directiva 95/46/CE și din Decizia-cadru 2008/977/JAI, altele sunt modificate, completate cu elemente suplimentare sau nou introduse. Noile definiții introduse sunt cele privind „încălcarea securității datelor cu caracter personal”, „datele genetice”, „datele biometrice”, „autoritățile competente” [bazată pe articolul 87 din TFUE și pe articolul 2 litera (h) din Decizia-cadru 2008/977/JAI] și „copilul”, bazată pe Convenția ONU privind drepturile copilului[22]. 3.4.2. CAPITOLUL II – PRINCIPII Articolul 4 stabilește principiile cu privire la prelucrarea datelor cu caracter personal, pe baza articolului 6 din Directiva 95/46/CE și a articolului 3 din Decizia-cadru 2008/977/JAI, adaptând dispozițiile acestora la contextul specific al prezentei directive. Articolul 5 prevede necesitatea unei distincții cât mai clare între datele cu caracter personal ale diferitelor categorii de persoane vizate. Aceasta este o nouă dispoziție, care nu este inclusă nici în Directiva 95/46/CE, nici în Decizia-cadru 2008/977/JAI, dar care a fost propusă de Comisie în propunerea sa inițială de decizie-cadru[23]. Prevederile articolului se inspiră din Recomandarea Consiliului Europei nr. R (87)15. Există deja norme similare pentru Europol[24] și Eurojust[25]. Articolul 6 privind gradele diferite de precizie și de fiabilitate a datelor reflectă principiul 3.2 din Recomandarea Consiliului Europei nr. R (87)15. Norme similare, incluse, de asemenea, în propunerea de decizie-cadru a Comisiei, există pentru Europol[26]. Articolul 7 stabilește criteriile privind prelucrarea legală, în cazul în care este necesară pentru îndeplinirea unei sarcini de către o autoritate competentă, în temeiul legislației naționale, pentru a respecta o obligație legală pe care o are operatorul de date, în scopul protejării intereselor vitale ale persoanei vizate sau ale unei alte persoane sau în scopul prevenirii unei amenințări imediate și grave la adresa securității publice. Celelalte motive pentru prelucrarea legală prevăzute la articolul 7 din Directiva 95/46/CE nu sunt adecvate pentru prelucrarea datelor în domeniul poliției și al justiției penale. Articolul 8 prevede, pe baza articolului 8 din Directiva 95/46/CE, interdicția generală privind prelucrarea categoriilor speciale de date cu caracter personal și excepțiile de la această regulă generală, la care se adaugă datele genetice, în conformitate cu jurisprudența CEDO[27]. Articolul 9 prevede o interdicție a măsurilor care se bazează exclusiv pe prelucrarea automată a datelor cu caracter personal în cazul în care aceasta nu este autorizată printr-o prevedere legală care oferă garanții corespunzătoare, în conformitate cu articolul 7 din Decizia­cadru 2008/977/JAI. 3.4.3. CAPITOLUL III - DREPTURILE PERSOANEI VIZATE Articolul 10 introduce obligația statelor membre de a furniza informații ușor accesibile și inteligibile, această dispoziție fiind inspirată, în special, de principiul numărul 10 prevăzut în Rezoluția de la Madrid privind standardele internaționale în materie de protecție a datelor cu caracter personal și a vieții private[28], precum și de a impune operatorilor să prevadă proceduri și mecanisme pentru facilitarea exercitării de către persoana vizată a drepturile sale. Aceasta include cerința ca exercitarea drepturilor să fie, în principiu, gratuită. Articolul 11 prevede obligația statelor membre de a asigura informarea persoanei vizate. Aceste obligații sunt întemeiate pe articolele 10 și 11 din Directiva 95/46/CE, fără să fie prevăzute articole separate care să precizeze dacă informațiile sunt colectate sau nu de la persoana vizată, articolul extinzând informațiile care trebuie furnizate. Articolul prevede excepții de la obligația de informare, în cazul în care acestea sunt proporționale și necesare într-o societate democratică pentru exercitarea sarcinilor de către autoritățile competente (fiind bazate pe articolul 13 din Directiva 95/46/CE și pe articolul 17 din Decizia­cadru 2008/977/JAI). Articolul 12 prevede obligația statelor membre de a asigura dreptul persoanei vizate de a avea acces la datele sale cu caracter personal. Acesta se bazează pe articolul 12 litera (a) din Directiva 95/46/CE, la care adaugă noi elemente de informare a persoanei vizate (privind perioada de stocare a datelor, drepturile persoanelor privind rectificarea, ștergerea sau restricționarea și dreptul de a depune o plângere). Articolul 13 prevede, pe baza articolului 17 alineatele (2) și (3) din Decizia­cadru 2008/977/JAI, că statele membre pot adopta măsuri legislative care limitează dreptul de acces în cazul în care acest lucru este necesar datorită naturii specifice a prelucrării datelor în domeniul poliției și al justiției penale, precum și cu privire la informarea persoanei vizate cu privire la o limitare a accesului. Articolul 14 introduce dispoziția conform căreia, în cazurile în care accesul direct este restricționat, persoana vizată trebuie să fie informată cu privire la posibilitățile de acces indirect, prin intermediul autorității de supraveghere care ar trebui să exercite acest drept în numele persoanei vizate și să o informeze cu privire la rezultatul verificărilor sale. Articolul 15 privind dreptul la rectificare se bazează pe articolul 12 litera (b) din Directiva 95/46/CE și, în ceea ce privește obligațiile în cazul unui refuz, pe articolul 18 alineatul (1) din Decizia-cadru 2008/977/JAI. Articolul 16 privind dreptul la ștergerea datelor se bazează pe articolul 12 litera (b) din Directiva 95/46/CE și, în ceea ce privește obligațiile în cazul unui refuz, pe articolul 18 alineatul (1) din Decizia-cadru 2008/977/JAI. De asemenea, acesta include dreptul de marcare a datelor în anumite cazuri, evitând termenul echivoc de „blocare” utilizat la articolul 12 litera (b) din Directiva 95/46/CE și la articolul 18 alineatul (1) din Decizia­cadru 2008/977/JAI. Articolul 17 cu privire la rectificarea, ștergerea și restricționarea prelucrării datelor în cadrul procedurilor judiciare oferă clarificări pe baza articolului 4 alineatul (4) din Decizia­cadru 2008/977/JAI. 3.4.4. CAPITOLUL IV - OPERATORUL ȘI PERSOANA ÎMPUTERNICITĂ DE CĂTRE OPERATOR 3.4.4.1. SECȚIUNEA 1 - OBLIGAȚII GENERALE Articolul 18 descrie responsabilitatea operatorului de a respecta dispozițiile prezentei directive și de a asigura conformitatea cu aceasta, inclusiv adoptarea de politici și mecanisme în acest scop. Articolul 19 prevede că statele membre trebuie să asigure respectarea de către operator a obligațiilor care rezultă din principiile protecției datelor începând cu momentul conceperii și protecției implicite a datelor. Articolul 20 privind operatorii asociați clarifică statutul acestora în ceea ce privește relațiile lor interne. Articolul 21 clarifică poziția și obligațiile persoanelor împuternicite de către operator, reluând, în parte, prevederile articolului 17 alineatul (2) din Directiva 95/46/CE, la care adaugă elemente noi, inclusiv faptul că o persoană împuternicită de către operator care prelucrează date într-un alt mod decât cel prevăzut în instrucțiunile date de operator trebuie considerată ca fiind un operator asociat. Articolul 22 privind prelucrarea sub autoritatea operatorului și a persoanei împuternicite de către operator reia articolul 16 din Directiva 95/46/CE. Articolul 23 introduce obligația pentru operatori și persoanele împuternicite de către operator de a păstra documentația referitoare la toate sistemele și procedurile de prelucrare aflate în responsabilitatea lor. Articolul 24 se referă la păstrarea evidențelor, în conformitate cu articolul 10 alineatul (1) din Decizia-cadru 2008/977, oferind, totodată, clarificări suplimentare. Articolul 25 clarifică obligațiile operatorului și ale persoanei împuternicite de către operator în ceea ce privește cooperarea cu autoritatea de supraveghere. Articolul 26 se referă la cazurile în care consultarea cu autoritatea de supraveghere este obligatorie înainte de prelucrare, în baza articolului 23 din Decizia-cadru 2008/977/JAI. 3.4.4.2. SECȚIUNEA 2 - SECURITATEA DATELOR Articolul 27 privind securitatea prelucrării se bazează pe actualul articol 17 alineatul (1) din Directiva 95/46, care se referă la securitatea prelucrării, și pe articolul 22 din Decizia­cadru 2008/977/JAI, care extinde obligațiile aferente la persoanele împuternicite de către operator, indiferent de tipul de contract încheiat cu operatorul. Articolele 28 și 29 introduc obligația de a notifica încălcarea securității datelor cu caracter personal, inspirată de notificarea încălcării securității datelor cu caracter personal prevăzută la articolul 4 alineatul (3) din Directiva 2002/58/CE asupra confidențialității și comunicațiilor electronice, care clarifică și separă obligațiile de a notifica autoritatea de supraveghere (articolul 28) și de a informa, în anumite circumstanțe, persoana vizată (articolul 29). Articolul 29 prevede, de asemenea, derogări, făcându-se referire la articolul 11 alineatul (4). 3.4.4.3. SECȚIUNEA 3 - RESPONSABILUL CU PROTECȚIA DATELOR Articolul 30 introduce obligația operatorului de a desemna un responsabil cu protecția datelor care ar trebui să îndeplinească sarcinile enumerate la articolul 32. În cazul în care mai multe autorități competente acționează sub supravegherea unei autorități centrale, care are calitatea de operator, cel puțin această autoritate centrală ar trebui să desemneze un astfel de responsabil cu protecția datelor. Articolul 18 alineatul (2) din Directiva 95/46/CE prevedea posibilitatea ca statele membre să introducă o astfel de cerință în locul obligației de notificare generală prevăzută de directiva menționată. Articolul 31 stabilește statutul responsabilului cu protecția datelor. Articolul 32 prevede sarcinile responsabilului cu protecția datelor. 3.4.5. CAPITOLUL V - TRANSFERUL DATELOR CU CARACTER PERSONAL CĂTRE ȚĂRI TERȚE SAU ORGANIZAȚII INTERNAȚIONALE Articolul 33 stabilește principiile generale pentru transferurile de date către țări terțe sau organizații internaționale în domeniul cooperării polițienești și judiciare în materie penală, inclusiv transferurile ulterioare. Articolul clarifică faptul că transferurile către țările terțe nu pot avea loc decât dacă acestea sunt necesare în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor. Articolul 34 autorizează transferurile către o țară terță în privința căreia Comisia a adoptat o decizie privind caracterul adecvat al nivelului de protecție în temeiul Regulamentului …./../201X sau, în mod specific, în domeniul cooperării polițienești și judiciare în materie penală sau, în absența unei astfel de decizii, în cazul instituirii unor garanții corespunzătoare. Atât timp cât nu există decizii privind caracterul adecvat al nivelului de protecție, directiva asigură că transferurile pot continua să aibă loc pe baza unor garanții și derogări corespunzătoare. În plus, articolul stabilește criteriile pentru evaluarea Comisiei cu privire la caracterul adecvat sau neadecvat al nivelului de protecție și include, în mod expres, statul de drept, accesul la justiție și supravegherea independentă. Articolul prevede, de asemenea, posibilitatea Comisiei de a evalua nivelul de protecție asigurat de un teritoriu sau de un sector de prelucrare a datelor într-o țară terță. Acesta introduce dispoziția conform căreia o decizie generală privind caracterul adecvat al nivelului de protecție, adoptată în conformitate cu procedurile prevăzute la articolul 38 din Regulamentul general privind protecția datelor, este aplicabilă în cadrul domeniului de acțiune a prezentei directive. Alternativ, o decizie privind caracterul adecvat al nivelului de protecție poate fi adoptată de către Comisie doar în sensul prezentei directive. Articolul 35 definește garanțiile corespunzătoare necesare înainte de efectuarea transferurilor internaționale, în absența unei decizii a Comisiei privind caracterul adecvat al nivelului de protecție. Aceste garanții pot fi asigurate printr-un instrument cu forță juridică obligatorie, cum ar fi un acord internațional. Alternativ, operatorul de date poate concluziona că acestea există pe baza unei evaluări a circumstanțelor aferente transferului. Articolul 36 definește derogările pentru transferul de date efectuat în baza articolului 26 din Directiva 95/46/CE și a articolului 13 din Decizia-cadru 2008/977/JAI. Articolul 37 obligă statele membre să prevadă că operatorul informează destinatarul cu privire la orice restricții de prelucrare și ia toate măsurile rezonabile pentru a se asigura că aceste restricții sunt respectate de către destinatarii datelor cu caracter personal în țara terță sau organizația internațională. Articolul 38 prevede în mod explicit instituirea unor mecanisme de cooperare internațională pentru protecția datelor cu caracter personal între Comisie și autoritățile de supraveghere ale țărilor terțe, în special cele considerate ca asigurând un nivel adecvat de protecție, luând în considerare recomandarea din 12 iunie 2007 a Organizației pentru Cooperare și Dezvoltare Economică (OCDE) privind cooperarea transfrontalieră în aplicarea legislației privind protejarea confidențialității. CAPITOLUL VI - AUTORITĂȚILE NAȚIONALE DE SUPRAVEGHERE 3.4.5.1. SECȚIUNEA 1 - STATUTUL INDEPENDENT Articolul 39 prevede obligația statelor membre de a institui autorități de supraveghere, în conformitate cu articolul 28 alineatul (1) din Directiva 95/46/CE și cu articolul 25 din Decizia-cadru 2008/977/JAI, extinzând misiunea acestora pentru a contribui la aplicarea uniformă a directivei în întreaga Uniune; această autoritate de supraveghere poate fi cea instituită în temeiul Regulamentului general privind protecția datelor. Articolul 40 aduce clarificări cu privire la condițiile de garantare a independenței autorităților de supraveghere, prin aplicarea jurisprudenței Curții de Justiție a UE[29] și inspirându-se, de asemenea, din articolul 44 din Regulamentul (CE) nr. 45/2001[30]. Articolul 41 prevede condițiile generale aplicabile membrilor autorității de supraveghere, prin aplicarea jurisprudenței relevante[31] și inspirându-se, de asemenea, din articolul 42 alineatele (2) - (6) din Regulamentul (CE) nr. 45/2001. Articolul 42 stabilește norme privind instituirea autorității de supraveghere, inclusiv privind condițiile aplicabile membrilor săi, pe care statele membre trebuie să le prevadă pe cale legislativă. Articolul 43 privind păstrarea secretului profesional de către membrii și personalul autorității de supraveghere se inspiră din articolul 28 alineatul (7) din Directiva 95/46/CE și din articolul 25 alineatul (4) Decizia-cadru 2008/977/JAI. 3.4.5.2. SECȚIUNEA 2 - ATRIBUȚII ȘI COMPETENȚE Articolul 44 definește competența autorităților de supraveghere, în baza articolului 28 alineatul (6) din Directiva 95/46/CE și a articolului 25 alineatul (1) din Decizia­cadru 2008/977/JAI. Atunci când acționează în capacitatea lor judiciară, instanțele sunt exceptate de la monitorizarea exercitată de către autoritatea de supraveghere, însă nu de aplicarea normelor de fond în materie de protecție a datelor. Articolul 45 prevede obligația statelor membre de a defini atribuțiile autorității de supraveghere, inclusiv primirea de plângeri și investigarea acestora, precum și promovarea unor acțiuni de sensibilizare a publicului cu privire la riscuri, norme, garanții și drepturi. O atribuție specială a autorităților de supraveghere în contextul prezentei directive este aceea conform căreia, în cazul în care accesul direct este refuzat sau restricționat, exercită dreptul de acces în numele persoanelor vizate și verifică legalitatea prelucrării datelor. Articolul 46 prevede competențele autorității de supraveghere, în baza articolului 28 alineatul (3) din Directiva 95/46/CE, a articolului 25 alineatele (2) și (3) din Decizia­cadru 2008/977JAI. Articolul 47 prevede obligația autorităților de supraveghere de a elabora rapoarte anuale de activitate, în baza articolului 28 alineatul (5) din Directiva 95/46/CE. 3.4.6. CAPITOLUL VII - COOPERAREA Articolul 48 introduce norme privind asistența reciprocă obligatorie, în timp ce articolul 28 alineatul (6) paragraful al doilea din Directiva 95/46/CE prevedea doar o obligație generală de a coopera, fără a se aduce alte precizări. Conform articolului 49, Comitetul european pentru protecția datelor, instituit prin Regulamentul general privind protecția datelor, își exercită, de asemenea, sarcinile în ceea ce privește activitățile de prelucrare care intră în domeniul de aplicare a prezentei directive. În vederea asigurării unui sprijin complementar, Comisia se va consulta cu reprezentanți ai autorităților competente în materie de prevenire, detectare, investigare și urmărire penală a infracțiunilor din statele membre, precum și cu reprezentanți ai Europol și Eurojust, prin intermediul unui grup de experți privind aspecte referitoare la aplicarea legii în domeniul protecției datelor. 3.4.7. CAPITOLUL VIII - CĂI DE ATAC, RĂSPUNDERE ȘI SANCȚIUNI Articolul 50 prevede dreptul oricărei persoane vizate de a depune o plângere la o autoritate de supraveghere, în baza articolului 28 alineatul (4) din Directiva 95/46/CE, și se referă la orice încălcare a directivei în raport cu reclamantul. De asemenea, acest articol specifică organismele, organizațiile sau asociațiile care pot depune o plângere în numele persoanei vizate și, de asemenea, în cazul unei încălcări a securității datelor cu caracter personal, independent de plângerea înaintată de o persoană vizată. Articolul 51 se referă la dreptul la o cale de atac împotriva unei autorități de supraveghere. Acesta se bazează pe dispoziția generală prevăzută la articolul 28 alineatul (3) din Directiva 95/46/CE și prevede, în mod specific, că persoana vizată poate iniția o acțiune judiciară pentru a obliga autoritatea de supraveghere să dea curs unei plângeri. Articolul 52 se referă la dreptul la o cale de atac împotriva unui operator sau unei persoane împuternicite de către operator, în baza articolului 22 din Directiva 95/46/CE și a articolului 20 din Decizia-cadru 2008/977/JAI. Articolul 53 introduce norme comune aplicabile acțiunilor în instanță, inclusiv dreptul organismelor, organizațiilor sau asociațiilor de a reprezenta persoanele vizate în fața instanțelor și dreptul autorităților de supraveghere de a acționa în justiție. Obligația statelor membre de a asigura o soluționare rapidă a acțiunilor în justiție este inspirată de articolul 18 alineatul (1) din Directiva 2000/31/CE privind comerțul electronic[32]. Articolul 54 obligă statele membre să prevadă dreptul la despăgubiri. Acesta se bazează pe articolul 23 din Directiva 95/46/CE și pe articolul 19 alineatul (1) din Decizia­cadru 2008/977/JAI, extinzând acest drept pentru a cuprinde prejudiciile cauzate de operatori și clarifică responsabilitatea operatorilor asociați și a persoanelor asociate împuternicite de către operator. Articolul 55 prevede obligația statelor membre de a stabili norme privind sancțiunile aplicabile în cazul încălcării dispozițiilor directivei și de a se asigura că acestea sunt puse în aplicare. 3.4.8. CAPITOLUL IX - ACTE DELEGATE ȘI ACTE DE PUNERE ÎN APLICARE Articolul 56 conține dispoziții standard privind exercitarea delegării în conformitate cu articolul 290 din TFUE. Acesta din urmă autorizează legiuitorul să delege Comisiei competența de a adopta acte fără caracter legislativ și cu domeniu de aplicare general, care completează sau modifică anumite elemente neesențiale ale unui act legislativ (acte „cvasilegislative”). Articolul 57 cuprinde dispoziții privind procedura comitetului necesară pentru a se acorda Comisiei competențe de executare, în cazurile în care, în conformitate cu articolul 291 din TFUE, sunt necesare condiții unitare de punere în aplicare a actelor obligatorii din punct de vedere juridic ale Uniunii. În acest caz, se aplică procedura de examinare. 3.4.9. CAPITOLUL X - DISPOZIȚII FINALE Articolul 58 abrogă Decizia-cadru 2008/977/JAI. Articolul 59 prevede că dispozițiile specifice cu privire la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, prevăzute în acte ale Uniunii, care reglementează prelucrarea datelor cu caracter personal sau accesul la sisteme de informații care intră în domeniul de aplicare a prezentei directive, și care au fost adoptate înainte de adoptarea prezentei directive, rămân neschimbate. Articolul 60 clarifică relația dintre prezenta directivă și acordurile internaționale încheiate anterior cu statele membre în domeniul cooperării judiciare în materie penală și al cooperării polițienești. Articolul 61 prevede obligația Comisiei de a evalua punerea în aplicare a directivei și de a prezenta rapoarte cu privire la aceasta, în vederea evaluării necesității de a alinia dispozițiile specifice adoptate anterior, menționate la articolul 59, la prezenta directivă. Articolul 62 prevede obligația statelor membre de a transpune directiva în legislația lor națională și de a informa Comisia cu privire la dispozițiile adoptate în temeiul directivei. Articolul 63 stabilește data intrării în vigoare a directivei. Articolul 64 desemnează destinatarii prezentei directive. 4. IMPLICAȚII BUGETARE Fișa financiară legislativă care însoțește propunerea de regulament general privind protecția datelor acoperă impacturile bugetare ale regulamentului și ale prezentei directive. 2012/0010 (COD) Propunere de DIRECTIVĂ A PARLAMENTULUI EUROPEAN ŞI A CONSILIULUI privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și la libera circulație a acestor date PARLAMENTUL EUROPEAN ȘI CONSILIUL UNIUNII EUROPENE, având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 16 alineatul (2), având în vedere propunerea Comisiei Europene, după transmiterea proiectului de act legislativ către parlamentele naționale, după consultarea Autorității Europene pentru Protecția Datelor[33], hotărând în conformitate cu procedura legislativă ordinară, întrucât: (1) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental. Articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene prevăd că orice persoană are dreptul la protecția datelor cu caracter personal care o privesc. (2) Prelucrarea datelor cu caracter personal este în serviciul cetățeanului; principiile și normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal ar trebui, indiferent de cetățenia sau de locul de reședință al persoanelor fizice, să respecte drepturile și libertățile fundamentale ale acestora, în special dreptul la protecția datelor cu caracter personal. Aceasta ar trebui să contribuie la realizarea unui spațiu de libertate, securitate și justiție. (3) Evoluțiile tehnologice rapide și globalizarea au generat noi provocări pentru protecția datelor cu caracter personal. Amploarea colectării și a schimbului și de date a crescut spectaculos. Tehnologia permite autorităților competente să utilizeze date cu caracter personal la un nivel fără precedent în cadrul activităților lor. (4) Această evoluție necesită facilitarea liberei circulații a datelor între autoritățile competente în cadrul Uniunii și a transferului către țări terțe și organizații internaționale, asigurând, totodată, un nivel ridicat de protecție a datelor cu caracter personal. Aceste evoluții impun construirea unui cadru solid și mai coerent în materie de protecție a datelor în Uniune, însoțit de o aplicare riguroasă a normelor. (5) Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date[34] se aplică tuturor activităților de prelucrare a datelor cu caracter personal în statele membre, atât în sectorul public, cât și în cel privat. Cu toate acestea, directiva menționată nu se aplică prelucrării datelor cu caracter personal „puse în practică pentru exercitarea activităților din afara domeniului de aplicare a dreptului comunitar”, cum ar fi activitățile în domeniul cooperării judiciare în materie penală și al cooperării polițienești. (6) Decizia-cadru 2008/977/JAI a Consiliului din 27 noiembrie 2008 privind protecția datelor cu caracter personal prelucrate în cadrul cooperării polițienești și judiciare în materie penală[35] se aplică în domeniul cooperării judiciare în materie penală și al cooperării polițienești. Domeniul de aplicare a prezentei decizii-cadru este limitat la prelucrarea datelor cu caracter personal transmise sau puse la dispoziție între statele membre. (7) Asigurarea unui nivel omogen și ridicat de protecție a datelor cu caracter personal ale persoanelor fizice și facilitarea schimbului de date cu caracter personal între autoritățile competente ale statelor membre sunt esențiale pentru a se garanta eficacitatea cooperării judiciare în materie penală și a cooperării polițienești. În acest scop, nivelul de protecție a drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor trebuie să fie echivalent în toate statele membre. Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea drepturilor persoanelor vizate și a obligațiilor celor care prelucrează date cu caracter personal, ci și competențe echivalente pentru monitorizarea și asigurarea conformității cu normele în materie de protecție a datelor cu caracter personal în statele membre. (8) Articolul 16 alineatul (2) din Tratatul privind funcționarea Uniunii Europene prevede că Parlamentul European și Consiliul ar trebui să stabilească normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal, precum și normele privind libera circulație a acestor date. (9) Pe această bază, Regulamentul UE …../2012 al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor) stabilește normele generale pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și garantarea liberei circulații a acestor date în cadrul Uniunii. (10) În Declarația 21 cu privire la protecția datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești, anexată la actul final al Conferinței interguvernamentale care a adoptat Tratatul de la Lisabona, Conferința a recunoscut că normele specifice privind protecția datelor cu caracter personal și libera circulație a acestor date în domeniul cooperării judiciare în materie penală și al cooperării polițienești în temeiul articolului 16 din Tratatul privind funcționarea Uniunii Europene s-ar putea dovedi necesare, având în vedere natura specifică a acestor domenii. (11) Prin urmare, o directivă distinctă ar trebui să fie adaptată naturii specifice a acestor domenii și să stabilească normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal, de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor. (12) În vederea asigurării aceluiași nivel de protecție pentru persoanele fizice prin drepturi garantate din punct de vedere juridic în întreaga Uniune și a preîntâmpinării discrepanțelor care împiedică schimbul de date cu caracter personal între autoritățile competente, directiva ar trebui să prevadă norme armonizate pentru protecția și libera circulație a datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești. (13) Prezenta directivă permite luarea în considerare a principiului accesului publicului la documentele oficiale, în aplicarea dispozițiilor prevăzute de aceasta. (14) Protecția conferită de prezenta directivă ar trebui să vizeze persoanele fizice, indiferent de cetățenia sau de locul de reședință al acestora, în ceea ce privește prelucrarea datelor cu caracter personal. (15) Protecția persoanelor fizice ar trebui să fie neutră din punct de vedere tehnologic și să nu depindă de tehnicile utilizate, în caz contrar, creându-se un risc serios de eludare. Protecția persoanelor fizice ar trebui să se aplice prelucrării datelor cu caracter personal prin mijloace automate, precum și prelucrării manuale, în cazul în care datele sunt cuprinse sau destinate să fie cuprinse într-un sistem de evidență. Dosarele sau seturile de dosare, precum și copertele acestora, care nu sunt structurate în conformitate cu criterii specifice, nu ar trebui să intre în domeniul de aplicare a prezentei directive. Aceasta nu ar trebui să se aplice prelucrării datelor cu caracter personal în cadrul unei activități care nu intră în domeniul de aplicare a dreptului Uniunii, în special privind securitatea națională, nici prelucrării datelor efectuate de către instituțiile, organismele, oficiile și agențiile Uniunii, cum ar fi Europol sau Eurojust. (16) Principiile protecției ar trebui să se aplice oricărei informații referitoare la o persoană identificată sau identificabilă. Pentru a se stabili dacă o persoană fizică este identificabilă, ar trebui să se ia în considerare toate mijloacele care pot fi utilizate în mod rezonabil fie de către operator, fie de către orice altă persoană în scopul identificării persoanei fizice respective. Principiile protecției datelor nu ar trebui să se aplice datelor anonimizate astfel încât persoana vizată să nu mai fie identificabilă. (17) Datele cu caracter personal referitoare la sănătate ar trebui să includă, în special, toate datele având legătură cu starea de sănătate a persoanei vizate; informații privind înscrierea persoanei pentru acordarea de servicii medicale; informații privind plățile pentru asistență medicală efectuate de persoana fizică sau privind eligibilitatea acesteia pentru acordarea de asistență medicală; un număr, simbol sau semn distinctiv atribuit unei persoane fizice pentru identificarea unică a acesteia în scopuri medicale; orice informații privind persoana fizică respectivă colectate în cadrul furnizării de servicii de sănătate pentru aceasta; informații rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale, inclusiv eșantioane de material biologic; identificarea unei persoane ca furnizor de asistență medicală pentru persoana fizică respectivă sau orice informații privind, de exemplu, o boală, un handicap, un risc de îmbolnăvire, un tratament clinic sau o boală, istoricul medical, tratamentul clinic sau starea psihologică sau biomedicală efectivă a persoanei vizate, indiferent de sursa acestora, cum ar fi de exemplu, un medic sau un alt cadru medical, un spital, un dispozitiv medical sau un test de diagnostic in vitro. (18) Orice prelucrare a datelor cu caracter personal trebuie să fie echitabilă și legală în raport cu persoanele vizate. În special, scopul specific pentru care sunt prelucrate datele ar trebui să fie explicit. (19) Pentru prevenirea, cercetarea și urmărirea penală a infracțiunilor, autoritățile competente trebuie să păstreze și să prelucreze datele cu caracter personal colectate în contextul prevenirii, identificării, investigării sau urmăririi penale a anumitor infracțiuni penale dincolo de acest context pentru a înțelege mai bine fenomenele și tendințele infracționale, pentru a culege informații despre rețelele de crimă organizată și pentru a face legături între diferitele infracțiuni constatate. (20) Datele cu caracter personal nu ar trebui prelucrate în scopuri considerate incompatibile cu scopul în care au fost colectate. Datele cu caracter personal ar trebui să fie adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate datele cu caracter personal. Ar trebui luate toate măsurile rezonabile pentru a se asigura rectificarea sau ștergerea datelor cu caracter personal care sunt inexacte. (21) Principiul exactității datelor ar trebui aplicat luând în considerare natura și scopul prelucrării în cauză. În special în cadrul procedurilor judiciare, declarațiile care conțin date cu caracter personal se bazează pe o percepție subiectivă a persoanelor fizice și nu sunt întotdeauna verificabile. În consecință, acest principiu nu ar trebui să se aplice exactității unei declarații, ci doar faptului că o anumită declarație a fost făcută. (22) În interpretarea și aplicarea principiilor generale referitoare la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, ar trebui să se țină seama de specificul sectorului, inclusiv de obiectivele specifice urmărite. (23) Prelucrarea datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești presupune prelucrarea datelor cu caracter personal referitoare la diferite categorii de persoane. Prin urmare, ar trebui să se facă o distincție cât mai clară între datele cu caracter personal ale diferitelor categorii de persoane vizate, cum ar fi suspecții, persoanele condamnate pentru comiterea unei infracțiuni, victimele și părțile terțe, cum ar fi martorii, persoanele care dețin informații sau contacte relevante și complicii suspecților și ai infractorilor condamnați. (24) Pe cât posibil, datele cu caracter personal ar trebui diferențiate în funcție de gradul de exactitate și fiabilitate. Ar trebui să se facă diferența între fapte și evaluări cu caracter personal, pentru a garanta atât protecția persoanelor fizice, cât și calitatea și fiabilitatea informațiilor prelucrate de autoritățile competente. (25) Pentru a fi legală, prelucrarea datelor cu caracter personal ar trebui să fie necesară pentru respectarea unei obligații legale care incumbă operatorului, pentru îndeplinirea unei sarcini de interes public de către o autoritate competentă în temeiul legii sau în scopul protejării intereselor vitale ale persoanei vizate sau ale unei alte persoane, sau în scopul prevenirii unei amenințări imediate și grave la adresa securității publice. (26) Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile fundamentale sau viața privată, inclusiv datele genetice, necesită o protecție specifică. Astfel de date nu ar trebui prelucrate, cu excepția cazului în care prelucrarea este în mod expres permisă de o lege care prevede măsuri corespunzătoare pentru protejarea intereselor legitime ale persoanei vizate; sau prelucrarea este necesară pentru protejarea intereselor vitale ale persoanei vizate sau ale altei persoane; sau prelucrarea se referă la date care sunt făcute publice în mod manifest de persoana vizată. (27) Fiecare persoană fizică ar trebui să aibă dreptul de a nu face obiectul unei măsuri care se bazează exclusiv pe prelucrarea automată dacă aceasta aduce prejudicii în plan juridic pentru persoana respectivă, cu excepția cazului în care respectiva măsură este permisă de lege și sub rezerva unor măsuri adecvate de protejare a intereselor legitime ale persoanei vizate. (28) Pentru ca persoanele vizate să își poată exercita drepturile, toate informațiile care le sunt adresate trebuie să fie ușor accesibile și ușor de înțeles, limbajul folosit fiind simplu și clar. (29) Ar trebui prevăzute modalități pentru a facilita exercitarea, de către persoana vizată, a drepturilor pe care i le conferă prezenta directivă, printre care se numără în special mecanismele prin care poate solicita, în mod gratuit, accesul la date, rectificarea și ștergerea acestora. Operatorul ar trebui să fie obligat să răspundă cererilor persoanei vizate fără întârzieri nejustificate. (30) Conform principiului prelucrării echitabile, persoanele vizate ar trebui să fie informate, în special, cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia, la durata stocării datelor, la existența dreptului de acces, de rectificare sau ștergere a datelor și la dreptul de a înainta o plângere. Atunci când datele sunt colectate de la persoana vizată, aceasta ar trebui informată, de asemenea, dacă are obligația de a furniza datele și care sunt consecințele în cazul unui refuz. (31) Informațiile în legătură cu prelucrarea datelor cu caracter personal ar trebui oferite persoanei vizate în momentul colectării acestor date, sau, în cazul în care datele nu sunt obținute de la persoana vizată, în momentul în care sunt înregistrate sau într-o perioadă de timp rezonabilă după colectare, având în vedere circumstanțele specifice ale prelucrării datelor. (32) Orice persoană ar trebui să aibă drept de acces la datele colectate care o privesc și ar trebui să își exercite acest drept cu ușurință, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica, în special, în ce scopuri sunt prelucrate datele, pentru ce perioadă, care este identitatea destinatarilor datelor, inclusiv în țările terțe. Persoanele vizate ar trebui să aibă dreptul de a primi o copie a datelor lor cu caracter personal care sunt prelucrate. (33) Statele membre ar trebui să aibă posibilitatea de a adopta măsuri legislative în vederea amânării, a restricționării parțiale sau totale a informării persoanelor vizate sau a accesului la datele lor cu caracter personal în măsura în care o astfel de restricționare parțială sau totală constituie o măsură necesară și proporțională într-o societate democratică, ținând seama de interesele legitime ale persoanei vizate, pentru a se evita obstrucționarea cercetărilor, a anchetelor sau a procedurilor oficiale sau judiciare, pentru a nu se afecta măsurile de prevenire, identificare, investigare sau urmărire penală a infracțiunilor sau executarea pedepselor, pentru a se proteja securitatea publică sau securitatea națională ori pentru a se proteja persoana vizată sau drepturile și libertățile altor persoane. (34) Orice refuz sau restricționare a accesului ar trebui prezentat în scris persoanei vizate, precizându-se motivele de fapt și de drept pe care se bazează decizia. (35) În cazul în care statele membre au adoptat măsuri legislative care limitează total sau parțial dreptul de acces, persoana vizată ar trebui să aibă dreptul de a solicita autorității naționale de supraveghere competente să verifice legalitatea prelucrării datelor. Persoana vizată trebuie să fie informată cu privire la acest drept. Atunci când dreptul de acces este exercitat de către autoritatea de supraveghere în numele persoanei vizate, autoritatea de supraveghere ar trebui cel puțin să informeze persoana vizată că toate verificările necesare au avut loc și să îi comunice dacă prelucrarea respectivă este legală sau nu. (36) Orice persoană ar trebui să aibă dreptul de a obține rectificarea datelor cu caracter personal inexacte care o privesc și dreptul de eliminare a datelor în cazul în care prelucrarea datelor respective nu este în conformitate cu principiile de bază prevăzute în prezenta directivă. În cazul în care datele cu caracter personal sunt prelucrate în cadrul unei anchete și a unor proceduri judiciare, rectificarea, dreptul la informare, dreptul de acces, dreptul de ștergere și de restricționare a prelucrării pot fi exercitate în conformitate cu normele naționale privind procedurile judiciare. (37) Ar trebui prevăzută responsabilitatea și răspunderea generală a operatorului pentru orice prelucrare a datelor cu caracter personal efectuată de către acesta sau în numele său. În special, operatorul ar trebui să asigure conformitatea operațiunilor de prelucrare cu normele adoptate în conformitate cu prezenta directivă. (38) Protecția drepturilor și libertăților persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal necesită adoptarea de măsuri tehnice și organizatorice corespunzătoare pentru a se asigura îndeplinirea cerințelor din prezenta directivă. Pentru a asigura respectarea dispozițiilor adoptate în conformitate cu prezenta directivă, controlorul ar trebui să adopte politici și să pună în aplicare măsuri adecvate, care respectă, în special, principiile de protecție a datelor începând cu momentul conceperii și protecție implicită a datelor. (39) Protecția drepturilor și a libertăților persoanelor vizate, precum și responsabilitatea și răspunderea operatorilor și a persoanelor împuternicite de către operator necesită o atribuire clară a responsabilităților în temeiul prezentei directive, inclusiv în cazul în care un operator stabilește scopurile, condițiile și mijloacele prelucrării împreună cu alți operatori sau în cazul în care o operațiune de prelucrare este efectuată în numele unui operator. (40) Activitățile de prelucrare ar trebui să fie înregistrate de către operator sau de către persoana împuternicită de către operator, în scopul de a monitoriza conformitatea cu prezenta directivă. Fiecare operator și fiecare persoană împuternicită de către operator ar trebui să aibă obligația de a coopera cu autoritatea de supraveghere și de a pune la dispoziția acesteia, la cerere, documentația disponibilă, pentru a putea fi utilizată în scopul monitorizării operațiunilor de prelucrare. (41) Pentru a garanta protecția eficientă a drepturilor și libertăților persoanelor vizate prin intermediul unor acțiuni preventive, operatorul sau persoana împuternicită de către operator ar trebui să se consulte cu autoritatea de supraveghere în anumite cazuri înainte de prelucrare. (42) Dacă nu este soluționată la timp și într-un mod adecvat, o încălcare a securității datelor cu caracter personal poate produce efecte negative, inclusiv asupra reputației persoanei fizice vizate. Prin urmare, de îndată ce un operator află că a avut loc o astfel de încălcare, aceasta ar trebui să notifice respectiva încălcare autorității naționale competente. Persoanele fizice ale căror date cu caracter personal sau a căror viață privată ar putea fi afectate negativ de încălcare ar trebui să fie înștiințate fără întârzieri nejustificate, pentru a putea să ia măsurile de precauție necesare. Ar trebui să se considere că o încălcare afectează în mod negativ datele cu caracter personal sau viața privată a unei persoane vizate în cazul în care aceasta ar putea avea drept rezultat, de exemplu, furtul sau fraudarea identității, vătămarea corporală, umilirea gravă sau afectarea reputației în legătură cu prelucrarea datelor cu caracter personal. (43) La stabilirea de norme detaliate privind formatul și procedurile aplicabile notificării referitoare la încălcările securității datelor cu caracter personal, ar trebui să se acorde atenția cuvenită circumstanțelor în care a avut loc încălcarea, stabilindu-se inclusiv dacă protecția datelor cu caracter personal a fost sau nu a fost asigurată prin măsuri tehnice de protecție corespunzătoare, care să limiteze efectiv probabilitatea utilizării incorecte. În plus, astfel de norme și proceduri ar trebui să țină cont de interesele legitime ale autorităților competente în cazurile în care divulgarea timpurie ar putea îngreuna în mod inutil investigarea circumstanțelor în care a avut loc o încălcare. (44) Operatorul sau persoana împuternicită de către operator ar trebui să desemneze o persoană care să ajute operatorul sau persoana împuternicită de către operator să monitorizeze respectarea dispozițiilor adoptate în temeiul prezentei directive. Un responsabil cu protecția datelor poate fi numit în comun de mai multe entități ale autorității competente. Responsabilii cu protecția datelor trebuie să fie în măsură să își îndeplinească îndatoririle și sarcinile în mod independent și eficient. (45) Statele membre ar trebui să asigure că transferul către o țară terță nu are loc decât în cazul în care acesta este necesar pentru prevenirea, investigarea, identificarea sau urmărirea penală a infracțiunilor sau pentru executarea pedepselor, iar autoritatea de control din țara terță sau dintr-o organizație internațională competentă este o autoritate competentă în sensul prezentei directive. Un transfer poate avea loc în cazul în care Comisia decide că țara terță sau organizația internațională în cauză asigură un nivel adecvat de protecție sau că oferă garanții corespunzătoare. (46) Comisia poate decide, cu efect în întreaga Uniune, că anumite țări terțe sau un teritoriu ori un sector de prelucrare dintr-o țară terță sau o organizație internațională oferă un nivel adecvat de protecție a datelor, furnizând astfel securitate juridică și uniformitate în Uniune în ceea ce privește țările terțe sau organizațiile internaționale care sunt considerate a furniza un astfel de nivel de protecție. În aceste cazuri, transferurile de date cu caracter personal către țările respective pot avea loc fără a fi necesar să se obțină o autorizație suplimentară. (47) În conformitate cu valorile fundamentale pe care se întemeiază Uniunea, în special protecția drepturilor omului, Comisia ar trebui să ia în considerare modul în care aceasta respectă statul de drept, accesul la justiție, precum și normele și standardele internaționale în materie de drepturi ale omului. (48) Comisia ar trebui, de asemenea, să poată recunoaște că o țară terță, un teritoriu sau un sector de prelucrare a datelor dintr-o țară terță ori o organizație internațională nu oferă un nivel corespunzător de protecție a datelor. În acest caz, transferul de date cu caracter personal către țări terțe ar trebui interzis, cu excepția cazurilor în care acesta se bazează pe un acord internațional, garanții corespunzătoare sau o derogare. Ar trebui să se prevadă proceduri de consultare între Comisie și astfel de țări terțe sau organizații internaționale. Cu toate acestea, o astfel de decizie a Comisiei nu trebuie să aducă atingere posibilității de a efectua transferuri pe baza unor garanții adecvate sau a unei derogări prevăzute în directivă. (49) Transferurile care nu se bazează pe o decizie privind caracterul adecvat al nivelului de protecție ar trebui să fie permise numai în cazul în care au fost prezentate garanții corespunzătoare într-un instrument obligatoriu din punct de vedere juridic, care asigură protecția datelor cu caracter personal în cazul în care operatorul sau persoana împuternicită de către operator a evaluat toate condițiile legate de operațiunea de transfer de date sau de setul de operațiuni de transfer de date și, pe baza acestei evaluări, consideră că există garanții adecvate în ceea ce privește protecția datelor cu caracter personal. În cazul în care nu există motive pentru autorizarea transferului, ar trebui să se permită derogări, dacă este necesar, în vederea protejării intereselor vitale ale persoanei în cauză sau ale unei alte persoane, sau în vederea protejării intereselor legitime ale persoanei vizate, în cazul în care legislația statului membru care transferă datele cu caracter personal prevede acest lucru, sau în cazul în care acestea sunt indispensabile pentru prevenirea unei amenințări imediate și grave la adresa siguranței publice a unui stat membru sau a unei țări terțe, sau în cazuri specifice, în scopul prevenirii, investigării, identificării sau urmăririi penale a infracțiunilor sau al executării pedepselor sau, în anumite cazuri, pentru constatarea, exercitarea sau apărarea unui drept în instanță. (50) Fluxul transfrontalier de date cu caracter personal poate expune unui risc sporit capacitatea persoanelor fizice de a-și exercita drepturile în materie de protecție a datelor, pentru a-și asigura protecția împotriva utilizării sau a divulgării ilegale a acestor date. În același timp, autoritățile de supraveghere pot constata că se află în imposibilitatea de a trata plângeri sau de a efectua investigații referitoare la activitățile desfășurate în afara frontierelor lor. Eforturile lor de a conlucra în context transfrontalier pot fi, de asemenea, îngreunate de insuficiența competențelor de prevenire sau remediere ori de caracterul eterogen al regimurilor juridice. Prin urmare, este necesar să se promoveze o cooperare mai strânsă între autoritățile de supraveghere a protecției datelor pentru a putea face schimb de informații cu omologii lor străini. (51) Instituirea în statele membre a unor autorități de supraveghere care să își exercite atribuțiile în deplină independență este un element esențial al protecției persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. Autoritățile de supraveghere ar trebui să monitorizeze aplicarea dispozițiilor prevăzute de prezenta directivă și să contribuie la aplicarea consecventă a acesteia în întreaga Uniune, în scopul asigurării protecției persoanele fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. În acest sens, autoritățile de supraveghere ar trebui să coopereze între ele și cu Comisia. (52) Statele membre pot încredința unei autorități de supraveghere deja existente din statele membre, în conformitate cu Regulamentul (CE) …./2012, responsabilitatea pentru sarcinile care urmează să fie îndeplinite de către autoritățile naționale de supraveghere care urmează a fi înființate în temeiul prezentei directive. (53) Statele membre ar trebui să aibă posibilitatea de a institui mai multe autorități de supraveghere, pentru a reflecta structura lor constituțională, organizatorică și administrativă. Fiecare autoritate de supraveghere ar trebui să beneficieze de resurse financiare și umane adecvate, de localuri și de infrastructura necesară pentru îndeplinirea cu eficacitate a sarcinilor lor, inclusiv a celor legate de asistența reciprocă și cooperarea cu alte autorități de supraveghere în întreaga Uniune. (54) Condițiile generale pentru membrii autorității de supraveghere ar trebui stabilite prin lege în fiecare stat membru și ar trebui, în special, să prevadă condiția ca acești membri să fie numiți de parlamentul sau de guvernul statului membru și să includă dispoziții privind calificarea personală și funcția membrilor respectivi. (55) Cu toate că prezenta directivă se aplică, de asemenea, activităților instanțelor naționale, prelucrarea datelor cu caracter personal nu ar trebui să fie de competența autorităților de supraveghere atunci când instanțele își exercită atribuțiile judiciare, în scopul asigurării independenței judecătorilor în îndeplinirea sarcinilor lor judiciare. Cu toate acestea, derogarea ar trebui să se limiteze la activități pur judiciare în cadrul acțiunilor în instanță și să nu se aplice altor activități în care judecătorii ar putea fi implicați, în conformitate cu legislația națională. (56) Pentru a se asigura consecvența monitorizării și a aplicării prezentei directive în întreaga Uniune, autoritățile de supraveghere ar trebui să aibă aceleași atribuții și competențe efective în fiecare stat membru, inclusiv competențe de investigare, de intervenție obligatorie conform legii, de decizie și sancționare, în special în cazul plângerilor înaintate de persoane fizice, precum și de acționare în justiție. (57) Fiecare autoritate de supraveghere ar trebui să răspundă plângerilor depuse de orice persoană vizată și ar trebui să investigheze cazul. Investigația în urma unei plângeri ar trebui să fie efectuată doar dacă se dovedește necesară în respectivul caz și trebuie să poată face obiectul căilor de atac judiciare. Autoritatea de supraveghere ar trebui să informeze persoana vizată cu privire la evoluția și soluționarea plângerii într-un termen rezonabil. În eventualitatea în care cazul necesită o investigare suplimentară sau coordonarea cu o altă autoritate de supraveghere, ar trebui să se furnizeze informații intermediare persoanei vizate. (58) Autoritățile de supraveghere ar trebui să își acorde reciproc asistență în îndeplinirea atribuțiilor care le revin, pentru a se asigura coerența aplicării și a asigurării aplicării dispozițiilor adoptate în temeiul prezentei directive. (59) Comitetul european pentru protecția datelor, instituit prin Regulamentul (UE) …/2012, ar trebui să contribuie la aplicarea coerentă a prezentei directive în întreaga Uniune, inclusiv prin oferirea de consultanță Comisiei și prin promovarea cooperării autorităților de supraveghere în întreaga Uniune. (60) Orice persoană vizată ar trebui să aibă dreptul de a depune o plângere la o autoritate de supraveghere în orice stat membru și dreptul la exercitarea unei căi de atac, în cazul în care consideră că drepturile pe care i le conferă prezenta directivă sunt încălcate sau în cazul în care autoritatea de supraveghere nu reacționează la o plângere sau nu acționează atunci când o astfel de acțiune este necesară pentru asigurarea protecției drepturilor persoanei vizate. (61) Orice organism, organizație sau asociație care are drept obiectiv asigurarea protecției drepturilor și a intereselor persoanelor vizate în ceea ce privește protecția datelor acestora și este constituit(ă) în conformitate cu legislația unui stat membru ar trebui să aibă dreptul să depună o plângere, să își exercite dreptul la o cale de atac în numele persoanelor vizate, dacă au primit mandat corespunzător din partea acestora, sau să depună, independent de plângerea înaintată de o persoană vizată, o plângere în nume propriu în cazul în care consideră că a avut loc o încălcare a securității datelor cu caracter personal. (62) Orice persoană fizică sau juridică ar trebui să aibă dreptul la exercitarea unei căi de atac împotriva deciziilor unei autorități de supraveghere care o privesc. Acțiunile inițiate împotriva unei autorități de supraveghere ar trebui să fie înaintate instanțelor statului membru în care se află autoritatea de supraveghere. (63) Statele membre ar trebui să se asigure că acțiunile în justiție, pentru a fi eficiente, permit adoptarea rapidă de măsuri în scopul remedierii sau al prevenirii încălcării prezentei directive. (64) Orice daună pe care o persoană o poate suferi ca urmare a unei prelucrări ilegale ar trebui să fie despăgubită de operator sau de persoana împuternicită de către operator, care pot fi exonerați de răspundere dacă dovedesc că nu sunt răspunzători pentru prejudiciu, în special în cazul în care aceștia dovedesc că s-a produs din culpa persoanei vizate sau este rezultatul unui caz de forță majoră. (65) Ar trebui impuse sancțiuni oricărei persoane fizice sau juridice, de drept privat sau public, care nu respectă prezenta directivă. Statele membre ar trebui să se asigure că sancțiunile sunt eficace, proporționale și cu efect de descurajare și ar trebui să adopte toate măsurile pentru punerea în aplicare a sancțiunilor. (66) Pentru a se realiza obiectivele prezentei directive, și anume protejarea drepturilor și libertăților fundamentale ale persoanelor fizice și, în special, dreptul acestora la protecția datelor cu caracter personal, și pentru a se garanta liberul schimb de date cu caracter personal de către autoritățile competente pe teritoriul Uniunii, competența de a adopta acte în conformitate cu articolul 290 din Tratatul privind funcționarea Uniunii Europene ar trebui să fie delegată Comisiei. Ar trebui adoptate în special acte delegate în ceea ce privește notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal. Este deosebit de important ca, pe durata activităților pregătitoare, Comisia să desfășoare consultări adecvate, inclusiv la nivel de experți. Atunci când pregătește și elaborează acte delegate, Comisia trebuie să asigure transmiterea simultană, la timp și în mod corespunzător a documentelor relevante către Parlamentul European și către Consiliu. (67) Pentru a se asigura condiții uniforme de punere în aplicare a prezentei directive în ceea ce privește documentația deținută de operatori și de persoanele împuternicite de către operatori, securitatea prelucrării, în special în ceea ce privește standardele de criptare, notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal și nivelul adecvat de protecție oferit de o țară terță, un teritoriu sau un sector de prelucrare în țara terță respectivă sau de o organizație internațională, ar trebui să i se confere Comisiei competențe de executare. Competențele respective ar trebui să fie exercitate în conformitate cu Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului din 16 februarie 2011 de stabilire a normelor și principiilor generale privind mecanismele de control de către statele membre al exercitării competențelor de executare de către Comisie[36]. (68) Procedura de examinare ar trebui să fie utilizată pentru adoptarea de măsuri în ceea ce privește documentația deținută de operatori și de persoane împuternicite de către operatori, securitatea prelucrării, notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal și nivelul adecvat de protecție oferit de o țară terță, un teritoriu sau un sector de prelucrare în țara terță respectivă sau de o organizație internațională, ținând seama de faptul că actele respective au un caracter general. (69) Comisia ar trebui să adopte acte de punere în aplicare imediat aplicabile atunci când acest lucru se impune din motive imperative de urgență, în cazuri justificate în mod corespunzător referitoare la o țară terță, un teritoriu sau un sector de prelucrare din țara terță respectivă sau o organizație internațională care nu asigură un nivel de protecție adecvat. (70) Întrucât obiectivele prezentei directive, și anume protejarea drepturilor și a libertăților fundamentale ale persoanelor fizice, în special dreptul acestora la protecția datelor cu caracter personal și asigurarea liberului schimb de date cu caracter personal de către autoritățile competente în cadrul Uniunii, nu pot fi realizate în mod satisfăcător de către statele membre și, prin urmare, din cauza dimensiunilor sau a efectelor acțiunii, pot fi realizate mai bine la nivelul Uniunii, Uniunea poate adopta măsuri, în conformitate cu principiul subsidiarității, astfel cum se prevede la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporționalității, astfel cum este enunțat la articolul respectiv, prezenta directivă nu depășește ceea ce este necesar pentru atingerea acestui obiectiv. (71) Decizia-cadru 2008/977/JAI a Consiliului ar trebui abrogată prin prezenta directivă. (72) Dispoziții specifice cu privire la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor în actele Uniunii adoptate înainte de data adoptării prezentei directive, care reglementează prelucrarea datelor cu caracter personal între statele membre și accesul autorităților desemnate de statele membre la sistemele informatizate instituite în temeiul tratatelor, ar trebui să rămână neschimbate. Comisia ar trebui să evalueze situația în ceea ce privește relația dintre prezenta directivă și actele adoptate înainte de data adoptării prezentei directive care reglementează prelucrarea datelor cu caracter personal între statele membre și accesul autorităților desemnate de statele membre la sistemele informatizate instituite în conformitate cu tratatele, pentru a evalua necesitatea alinierii acestor dispoziții specifice cu prezenta directivă. (73) În vederea asigurării unei protecții globale și coerente a datelor cu caracter personal în cadrul Uniunii, ar trebui modificate acordurile internaționale încheiate de statele membre înainte de intrarea în vigoare a prezentei directive în vederea armonizării cu prezenta directivă. (74) Prezenta directivă se aplică fără a aduce atingere normelor privind combaterea abuzului sexual, a exploatării sexuale a copiilor și a pornografiei infantile, astfel cum se prevede în Directiva 2011/92/UE a Parlamentului European și a Consiliului din 13 decembrie 2011[37]. (75) În conformitate cu articolul 6a din Protocolul privind poziția Regatului Unit și a Irlandei în ceea ce privește spațiul de libertate, securitate și justiție, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Regatul Unit și Irlanda nu sunt obligate să aplice normele stabilite în prezenta directivă întrucât Regatul Unit și Irlanda nu sunt obligate să aplice normele care reglementează formele de cooperare judiciară în materie penală sau de cooperare polițienească, care necesită respectarea dispozițiilor stabilite pe baza articolului 16 din Tratatul privind funcționarea Uniunii Europene. (76) În conformitate cu articolele 2 și 2a din Protocolul privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Danemarca nu este obligată de prezenta directivă și nici nu face obiectul aplicării acesteia. Având în vedere faptul că prezenta directivă reprezintă o completare a acquis-ului Schengen, în temeiul titlului V partea a treia din Tratatul privind funcționarea Uniunii Europene, Danemarca, în conformitate cu articolul 4 din protocolul menționat, decide, în termen de șase luni de la adoptarea prezentei directive, dacă o va transpune în legislația sa națională. (77) În ceea ce privește Islanda și Norvegia, prezenta directivă constituie o dezvoltare a dispozițiilor acquis-ului Schengen, în conformitate cu acordul încheiat de Consiliul Uniunii Europene și de Republica Islanda și Regatul Norvegiei privind asocierea acestor două state la implementarea, aplicarea și dezvoltarea acquis-ului Schengen[38]. (78) În ceea ce privește Elveția, prezenta directivă constituie o dezvoltare a dispozițiilor acquis-ului Schengen, în conformitate cu Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen[39]. (79) În ceea ce privește Liechtenstein, prezenta directivă reprezintă o dezvoltare a dispozițiilor acquis-ului Schengen, astfel cum se prevede în Protocolul dintre Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen[40]. (80) Prezenta directivă respectă drepturile fundamentale și principiile recunoscute de Carta drepturilor fundamentale a Uniunii Europene, astfel cum sunt consacrate în tratat, în special dreptul la respectarea vieții private și de familie, dreptul la protecția datelor cu caracter personal, dreptul la o cale de atac eficientă și la un proces echitabil. Limitările aduse acestor drepturi sunt în conformitate cu articolul 52 alineatul (1) din cartă întrucât sunt necesare pentru atingerea obiectivelor de interes general recunoscute de Uniune sau pentru a proteja drepturile și libertățile celorlalți. (81) În conformitate cu declarația politică comună a statelor membre și a Comisiei privind documentele explicative din 28 septembrie 2011, statele membre s-au angajat să atașeze la notificarea măsurilor de transpunere, în cazuri justificate, unul sau mai multe documente care explică relația dintre elementele unei directive și părțile corespunzătoare ale instrumentelor naționale de transpunere. În ceea ce privește această directivă, legiuitorul consideră că transmiterea unor astfel de documente este justificată. (82) Prezenta directivă nu ar trebui să împiedice statele membre să pună în aplicare exercitarea drepturilor persoanelor vizate cu privire la informare, acces, rectificare, ștergere și limitarea prelucrării datelor lor cu caracter personal în cadrul procedurilor penale, precum și eventualele limitări ale acestor drepturi în normele naționale privind procedura penală, ADOPTĂ PREZENTA DIRECTIVĂ: CAPITOLUL I DISPOZIȚII GENERALE Articolul 1 Obiect și obiective 1. Prezenta directivă stabilește normele referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor. 2. În conformitate cu prezenta directivă, statele membre: (a) protejează drepturile și libertățile fundamentale ale persoanelor fizice, în special dreptul acestora la protecția datelor cu caracter personal; și (b) se asigură că schimbul de date cu caracter personal de către autoritățile competente în cadrul Uniunii nu este limitat sau interzis din motive legate de protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal. Articolul 2 Domeniu de aplicare 1. Prezenta directivă se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopurile prevăzute la articolul 1 alineatul (1). 2. Prezenta directivă se aplică prelucrării datelor cu caracter personal, realizate integral sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr-un sistem de evidență a datelor sau care urmează să facă parte dintr-un sistem de evidență a datelor. 3. Prezenta directivă nu se aplică prelucrării datelor cu caracter personal: (a) în cadrul unei activități care nu intră în sfera dreptului Uniunii, în ceea ce privește, mai ales, securitatea națională; (b) de către instituțiile, organele, oficiile și agențiile Uniunii. Articolul 3 Definiții În sensul prezentei directive: (1) „persoană vizată” înseamnă o persoană fizică identificată sau o persoană fizică ce poate fi identificată, în mod direct sau indirect, prin mijloace care pot fi utilizate, cu o probabilitate rezonabilă, de operator sau de orice altă persoană fizică sau juridică, în special prin referire la un număr de identificare, la date de localizare, la identificatori online sau la unul sau mai mulți factori specifici identității fizice, fiziologice, genetice, psihice, economice, culturale sau sociale a persoanei respective; (2) „date cu caracter personal” înseamnă orice informație privind o persoană vizată; (3) „prelucrare” înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi culegerea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea; (4) „restricționarea prelucrării” înseamnă marcarea datelor cu caracter personal stocate, cu scopul de a limita prelucrarea viitoare a acestora; (5) „sistem de evidență a datelor” înseamnă orice set structurat de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate după criterii funcționale sau geografice; (6) „operator” înseamnă autoritatea publică competentă care, singură sau împreună cu alte autorități, stabilește scopurile, condițiile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile, condițiile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau prin legislația unui stat membru, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi stabilite prin dreptul Uniunii sau prin legislația unui stat membru; (7) „persoana împuternicită de către operator” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau orice alt organism care prelucrează datele cu caracter personal în numele operatorului; (8) „destinatar” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau orice alt organism căruia îi sunt transmise datele cu caracter personal; (9) „încălcarea securității datelor cu caracter personal” înseamnă o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod; (10) „date genetice” înseamnă toate datele, indiferent de tipul acestora, referitoare la caracteristicile unei persoane, care sunt moștenite sau dobândite într-un stadiu precoce de dezvoltare prenatală; (11) „date biometrice” înseamnă orice date referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane, care permit identificarea unică a acesteia, cum ar fi imaginile faciale sau datele dactiloscopice; (12) „date privind sănătatea” înseamnă orice informații legate de sănătatea fizică sau mentală a unei persoane sau de acordarea de servicii medicale persoanei respective; (13) „minor” înseamnă orice persoană cu vârsta sub 18 ani; (14) „autorități competente” înseamnă orice autoritate publică abilitată în vederea prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor; (15) „autoritate de supraveghere” înseamnă o autoritate publică instituită de un stat membru în conformitate cu articolul 39. CAPITOLUL II PRINCIPII Articolul 4 Principii legate de prelucrarea datelor cu caracter personal Statele membre prevăd dispoziții potrivit cărora datele cu caracter personal trebuie: (a) prelucrate în mod corect și în conformitate cu dispozițiile legale; (b) colectate în scopuri determinate, explicite și legitime și nu trebuie prelucrate ulterior într-un mod incompatibil cu aceste scopuri; (c) să fie adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate; (d) să fie exacte și, dacă este necesar, actualizate; trebuie să se ia toate măsurile necesare pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, sunt șterse sau rectificate fără întârziere; (e) să fie păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate datele cu caracter personal; (f) prelucrate sub responsabilitatea și răspunderea operatorului, care asigură respectarea dispozițiilor adoptate în conformitate cu prezenta directivă. . Articolul 5 Distincția între diferitele categorii de persoane vizate 1. Statele membre prevăd dispoziții potrivit cărora, în măsura posibilului, operatorul face distincție clară între datele cu caracter personal ale diferitelor categorii de persoane vizate, precum: (a) persoane în privința cărora există motive serioase să se creadă că au săvârșit sau că urmează să săvârșească o infracțiune; (b) persoane condamnate pentru comiterea unei infracțiuni; (c) victime ale unei infracțiuni sau persoane în privința cărora, în baza anumitor fapte, există motive să se creadă că persoanele respective ar putea fi victimele unei infracțiuni; (d) părți terțe la infracțiune, ca de exemplu persoane care ar putea fi chemate să depună mărturie în cadrul anchetelor legate de infracțiuni sau în cadrul procedurilor penale ulterioare sau persoane care pot oferi informații cu privire la infracțiuni sau persoane care sunt în legătură sau asociate cu persoanele menționate la literele (a) și (b); și (e) persoane care nu se încadrează în niciuna dintre categoriile menționate mai sus. Articolul 6 Grade diferite de precizie și de fiabilitate a datelor cu caracter personal 1. Statele membre se asigură că, pe cât posibil, se face distincție între diferitele categorii de date cu caracter personal care fac obiectul prelucrării în funcție de gradul de precizie și de fiabilitate. 2. Statele membre se asigură că, pe cât posibil, se face distincție între datele cu caracter personal bazate pe fapte și datele cu caracter personal bazate pe evaluări personale. Articolul 7 Legalitatea prelucrării Statele membre prevăd dispoziții potrivit cărora prelucrarea datelor cu caracter personal este conformă dispozițiilor legale doar în cazul în care și în măsura în care prelucrarea este necesară: (a) pentru executarea unei sarcini de către o autoritate competentă, conform legislației, în scopurile prevăzute la articolul 1 alineatul (1); sau (b) pentru respectarea unei obligații legale care revine operatorului; sau (c) pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane; sau (d) pentru prevenirea unei amenințări imediate și grave la adresa siguranței publice. Articolul 8 Prelucrarea categoriilor speciale de date cu caracter personal 1. Statele membre interzic prelucrarea datelor cu caracter personal care dezvăluie rasa sau originea etnică, opiniile politice, religia sau convingerile, apartenența la un sindicat, a datelor genetice sau a datelor privind sănătatea sau viața sexuală. 2. Alineatul (1) nu se aplică atunci când: (a) prelucrarea este permisă printr-o lege care oferă garanții adecvate; sau (b) prelucrarea este necesară pentru protejarea intereselor vitale ale persoanei vizate sau ale altei persoane; sau (c) prelucrarea se referă la date care sunt făcute publice în mod manifest de persoana vizată. Articolul 9 Măsuri bazate pe crearea de profiluri și pe prelucrarea automată 1. Statele membre prevăd dispoziții potrivit cărora sunt interzise măsurile care au efect juridic negativ pentru persoana vizată sau care afectează în mod semnificativ persoana vizată și care se bazează exclusiv pe prelucrarea automată a datelor cu caracter personal care au ca scop evaluarea anumitor aspecte personale privind persoana vizată, cu excepția cazului în care acest lucru este permis de un act legislativ care prevede, de asemenea, măsuri de protejare a intereselor legitime ale persoanei vizate. 2. Prelucrarea automată a datelor cu caracter personal, menite să evalueze anumite aspecte personale privind persoana vizată nu se bazează exclusiv pe categoriile speciale de date cu caracter personal prevăzute la articolul 8. CAPITOLUL III DREPTURILE PERSOANEI VIZATE Articolul 10 Modalități de exercitare a drepturilor persoanei vizate 1. Statele membre prevăd dispoziții potrivit cărora operatorul ia toate măsurile rezonabile pentru a aplica politici transparente și ușor accesibile în ceea ce privește prelucrarea datelor cu caracter personal și exercitarea drepturilor persoanelor vizate. 2. Statele membre prevăd dispoziții potrivit cărora operatorul pune la dispoziția persoanei vizate orice informație și orice comunicare referitoare la prelucrarea datelor cu caracter personal, într-o formă inteligibilă, folosind un limbaj simplu și clar. 3. Statele membre prevăd dispoziții potrivit cărora operatorul ia toate măsurile rezonabile pentru stabilirea procedurilor de furnizare a informațiilor prevăzute la articolul 11 și de exercitare a drepturilor persoanelor vizate prevăzute la articolele 12 - 17. 4. Statele membre prevăd dispoziții potrivit cărora operatorul informează persoana vizată cu privire la modul în care a dat curs cererii, fără întârzieri nejustificate. 5. Statele membre prevăd dispoziții potrivit cărora informațiile și orice acțiune întreprinsă de către operator în urma unei cereri prevăzute la alineatele (3) și (4) nu se taxează. În cazul în care cererile sunt ofensatoare, în special, din cauza caracterului repetitiv sau al mărimii ori volumului cererii, operatorul poate percepe o taxă pentru furnizarea informațiilor sau întreprinderea acțiunii solicitate sau operatorul poate să nu întreprindă acțiunea cerută. În acest caz, sarcina probei în ceea ce privește caracterul vădit ofensator al cererii revine operatorului. Articolul 11 Informații pentru persoana vizată 1. În cazul în care se colectează date cu caracter personal referitoare la o persoană vizată, statele membre se asigură că operatorul ia toate măsurile necesare pentru a furniza persoanei vizate cel puțin următoarele informații: (a) identitatea și datele de contact ale operatorului și ale responsabilului cu protecția datelor; (b) scopurile în care sunt prelucrate datele cu caracter personal; (c) perioada de stocare a datelor cu caracter personal; (d) existența dreptului de a solicita operatorului accesul și rectificarea, ștergerea sau limitarea prelucrării datelor cu caracter personal referitoare la persoana vizată; (e) dreptul de a depune o plângere la autoritatea de supraveghere prevăzută la articolul 39 și datele de contact ale acestei autorități; (f) destinatarii sau categoriile de destinatari ai datelor cu caracter personal, inclusiv în țări terțe sau organizații internaționale; (g) orice alte informații suplimentare, în măsura în care astfel de informații suplimentare sunt necesare pentru garantarea prelucrării echitabile în ceea ce privește persoana vizată, având în vedere circumstanțele specifice în care sunt prelucrate datele cu caracter personal. 2. În cazul în care datele cu caracter personal sunt colectate de la persoana vizată, operatorul transmite persoanei vizate, în plus față de informațiile menționate la alineatul (1), informații cu privire la caracterul obligatoriu sau voluntar al furnizării datelor cu caracter personal, precum și la eventualele consecințe ale refuzului de a furniza aceste date. 3. Operatorul furnizează informațiile prevăzute la alineatul (1): (a) în momentul obținerii datelor cu caracter personal de la persoana vizată; sau (b) în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, în momentul în care sunt înregistrate sau într-o perioadă de timp rezonabilă după colectare, având în vedere circumstanțele specifice ale prelucrării datelor. 4. Statele membre pot adopta măsuri legislative de amânare, restricționare sau omitere a dispoziției privind informațiile pentru persoana vizată în măsura în care și atât timp cât o astfel de restricționare parțială sau totală constituie o măsură necesară și proporțională într-o societate democratică, ținând seama de interesele legitime ale persoanei vizate: (a) pentru evitarea obstrucționării cercetărilor, anchetelor sau procedurilor oficiale sau juridice; (b) pentru a nu prejudicia prevenirea, identificarea, investigarea sau urmărirea penală a infracțiunilor sau executarea pedepselor; (c) pentru protejarea siguranței publice; (d) pentru protejarea securității naționale; (e) pentru protejarea drepturilor și libertăților celorlalți. 5. Statele membre pot stabili categoriile de prelucrare a datelor care se pot încadra, integral sau parțial, la excepțiile de la alineatul (4). Articolul 12 Dreptul de acces al persoanei vizate 1. Statele membre prevăd dispoziții potrivit cărora persoana vizată are dreptul de a obține de la operator confirmarea cu privire la prelucrarea datelor sale cu caracter personal. În cazul în care aceste date cu caracter personal sunt prelucrate, operatorul furnizează următoarele informații: (a) scopurile prelucrării; (b) categoriile de date cu caracter personal vizate; (c) destinatarii sau categoriile de destinatari cărora le-au fost dezvăluite datele cu caracter personal, în special destinatarii din țări terțe; (d) perioada de stocare a datelor cu caracter personal; (e) existența dreptului de a soli