Articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene (TFUE), introdus prin Tratatul de la Lisabona, stabilește principiul conform căruia orice persoană are dreptul la protecția datelor cu caracter personal care o privesc. Mai mult, la articolul 16 alineatul (2) din TFUE, Tratatul de la Lisabona a introdus un temei juridic specific pentru adoptarea de norme privind protecția datelor cu caracter personal. Articolul 8 din Carta drepturilor fundamentale a Uniunii Europene consacră protecția datelor cu caracter personal ca drept fundamental.

Impactul prezentei propuneri va fi resimțit în principal de instituțiile, organele, oficiile și agențiile Uniunii. Acest lucru a fost confirmat de informațiile colectate de la AEPD, de la alte instituții, organe, oficii și agenții ale Uniunii, de la unele DG-uri din cadrul Comisiei și de la contractantul extern. În plus, impactul noilor obligații care decurg din Regulamentul (UE) 2016/679, la care trebuie aliniat prezentul regulament, a fost evaluat în contextul lucrărilor pregătitoare pentru acesta din urmă. Astfel, este inutil să se efectueze în mod expres o evaluare a impactului pentru prezentul regulament.

Evaluatorul a efectuat un sondaj online în cadrul a 64 de instituții, agenții, oficii și organe ale Uniunii. La întrebările sondajului au răspuns 422 de funcționari operatori de date, 73 de RPD, 118 de CPD și 109 de respondenți care lucrează în domeniul IT. Evaluatorul a purtat, de asemenea, o serie de interviuri cu părți interesate. La 26 martie 2015, evaluatorul și Comisia au organizat un atelier final, la care au participat o serie de operatori de date, de RPD, de CPD, de respondenți care lucrează în domeniul IT, alături de reprezentanți ai AEPD.

3.REZULTATELE EVALUĂRILOR EX POST, ALE CONSULTĂRILOR CU PĂRȚILE INTERESATE ȘI ALE EVALUĂRILOR IMPACTULUI

Articolul 2 stabilește domeniul de aplicare al regulamentului: acesta se aplică prelucrării de date cu caracter personal efectuate, prin mijloace automatizate sau în alt mod, de toate instituțiile și organele Uniunii, în măsura în care această prelucrare se înscrie în desfășurarea activităților care intră integral sau parțial sub incidența dreptului Uniunii. Domeniul de aplicare material al prezentului regulament este neutru din punct de vedere tehnologic. Protecția datelor cu caracter personal ar trebui să se aplice prelucrării datelor cu caracter personal prin mijloace automatizate, precum și prelucrării manuale, în cazul în care datele cu caracter personal sunt cuprinse sau destinate să fie cuprinse într-un sistem de evidență.

Articolul 9 stabilește, în conformitate cu articolul 8 din Regulamentul (CE) nr. 45/2001, norme care prevăd un nivel de protecție specific pentru transmiterea de date cu caracter personal către destinatari, alții decât instituțiile și organele Uniunii, stabiliți în Uniune și care intră sub incidența Regulamentului (UE) 2016/679 sau al Directivei (UE) 2016/680. Se clarifică faptul că, în cazul în care transmiterea are loc la inițiativa operatorului, acesta ar trebui să demonstreze necesitatea și proporționalitatea transmiterii.

Articolul 23 prevede că persoana vizată are dreptul de a se opune și se bazează pe articolul 21 din Regulamentul (UE) 2016/679, dezvoltând în continuare articolul 18 din Regulamentul (CE) nr. 45/2001.

Articolul 24 se referă la dreptul persoanei vizate de a nu face obiectul unei măsuri care se bazează exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, în conformitate cu articolul 22 din Regulamentul (UE) 2016/679 și dezvoltând în continuare articolul 19 din Regulamentul (CE) nr. 45/2001.

Secțiunea 5 – Restricții

Articolul 25 permite impunerea de restricții cu privire la drepturile persoanei vizate prevăzute la articolele 14-22 și la articolele 34 și 38, precum și cu privire la principiile stabilite la articolul 4 (în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-22). Aceste restricții ar trebui să fie prevăzute în actele juridice adoptate în temeiul tratatelor sau în normele interne ale instituțiilor și organelor Uniunii. În cazul în care posibilitatea de a impune o astfel de restricție nu este prevăzută de actele juridice adoptate în temeiul tratatelor sau de normele lor interne ale instituțiilor și organelor Uniunii, acestea din urmă pot impune o restricție ad-hoc dacă aceasta respectă esența drepturilor și libertăților fundamentale, în ceea ce privește o anumită operațiune de prelucrare, și dacă reprezintă o măsură necesară și proporțională într-o societate democratică pentru a asigura protecția unuia sau a mai multora dintre obiectivele care permit impunerea de restricții asupra drepturilor persoanei vizate. Această abordare este conformă cu articolul 23 din Regulamentul (UE) 2016/679. Cu toate acestea, spre deosebire de articolul 23 din Regulamentul (UE) 2016/679 și în conformitate cu articolul 20 din Regulamentul (CE) nr. 45/2001, această dispoziție nu prevede posibilitatea de a restricționa dreptul la opoziție și dreptul de a nu face obiectul unor decizii bazate exclusiv pe prelucrarea automată. Cerințele aplicabile restricțiilor sunt conforme cu Carta drepturilor fundamentale a Uniunii Europene și cu Convenția europeană a drepturilor omului, astfel cum sunt interpretate acestea de Curtea de Justiție a Uniunii Europene și, respectiv, de Curtea Europeană a Drepturilor Omului.

CAPITOLUL IV - OPERATORUL ȘI PERSOANA ÎMPUTERNICITĂ DE CĂTRE OPERATOR

Secțiunea 1 – Obligații generale

Articolul 26 se bazează pe articolul 24 din Regulamentul (UE) 2016/679 și introduce „principiul responsabilității”, descriind obligația, care ține de responsabilitatea operatorului, de a respecta dispozițiile prezentului regulament și de a demonstra conformitatea, inclusiv prin adoptarea de măsuri tehnice și organizatorice corespunzătoare și, dacă este cazul, de politici și mecanisme interne care să asigure această conformitate. Articolul 24 alineatul (3) din Regulamentul (UE) 2016/679 nu a fost păstrat în această dispoziție întrucât instituțiile și organele Uniunii nu ar trebui să fie obligate să respecte coduri de conduită sau mecanisme de certificare.

Articolul 27 stabilește, în conformitate cu articolul 25 din Regulamentul (UE) 2016/679, obligațiile operatorului care decurg din principiile protecției datelor începând cu momentul conceperii și al protecției datelor în mod implicit.

Articolul 28 privind operatorii asociați se bazează pe articolul 26 din Regulamentul (UE) 2016/679, având drept scop clarificarea responsabilităților operatorilor asociați, indiferent dacă aceștia sunt sau nu instituții sau organe ale Uniunii, în ceea ce privește relațiile lor interne și cu persoana vizată. Această dispoziție reglementează situația în care același regim juridic (prezentul regulament) se aplică tuturor operatorilor asociați și situația în care unii dintre aceștia intră sub incidența prezentului regulament, iar ceilalți sub cea a unui alt instrument juridic [Regulamentul (UE) 2016/679, Directiva (UE) 2016/680, Directiva (UE) 2016/681 și alte regimuri specifice de protecție a datelor care privesc instituțiile sau organele Uniunii].

Articolul 29 se bazează pe articolul 28 din Regulamentul (UE) 2016/679 și dezvoltă în continuare articolul 23 din Regulamentul (CE) nr. 45/2001 pentru a clarifica funcția și obligațiile persoanelor împuternicite de către operator, stabilind inclusiv faptul că o persoană împuternicită de operator care încălcă prezentul regulament, prin stabilirea scopurilor prelucrării datelor cu caracter personal și a mijloacelor de prelucrare, este considerată a fi operator în ceea ce privește prelucrarea respectivă.

Articolul 30, care se referă la desfășurarea activității de prelucrare sub autoritatea operatorului și a persoanei împuternicite de către operator, se bazează pe articolul 29 din Regulamentul (UE) 2016/679, interzicând persoanei împuternicite de operator sau oricărei persoane care acționează sub autoritatea operatorului ori a persoanei împuternicite de operator și care are acces la date cu caracter personal să prelucreze datele respective, cu excepția cazului în care operatorul a transmis instrucțiuni în acest sens sau a cazului în care dreptul Uniunii ori dreptul intern îl obligă să facă acest lucru.

Articolul 31 se bazează pe articolul 30 din Regulamentul (UE) 2016/679 și introduce obligația operatorilor și a persoanelor împuternicite de operator de a păstra o documentație a operațiunilor de prelucrare desfășurate sub responsabilitatea lor, în locul unei notificări prealabile a AEPD, astfel cum se prevede la articolul 25 din Regulamentul (CE) nr. 45/2001, și al înscrierii în registrul RPD. Spre deosebire de Regulamentul (UE) 2016/679, această dispoziție nu face trimitere la reprezentanți, întrucât instituțiile nu vor dispune de reprezentanți, ci vor avea întotdeauna responsabili cu protecția datelor. Nn au fost menținute trimiterile la transferuri bazate pe derogări pentru situații specifice, astfel cum apar în Regulamentul (UE) 2016/679, întrucât prezentul regulament nu are în vedere aceste tipuri de transferuri. Obligația de a ține o evidență a activităților de prelucrare poate fi centralizată la nivelul unei instituții sau al unui organ al Uniunii. În acest caz, instituțiile și organele Uniunii au posibilitatea de a ține evidența activităților de prelucrare sub forma unui registru accesibil publicului.

Bazându-se pe articolul 31 din Regulamentul (UE) 2016/679, articolul 32 clarifică obligațiile instituțiilor și organelor Uniunii în ceea ce privește cooperarea cu AEPD.

Secțiunea 2 – Securitatea datelor cu caracter personal și confidențialitatea comunicațiilor electronice

Articolul 33 prevede, în conformitate cu articolul 32 din Regulamentul (UE) 2016/679 și dezvoltând în continuare articolul 22 din Regulamentul (CE) nr. 45/2001, faptul că operatorul are obligația de a pune în aplicare măsurile adecvate pentru securizarea prelucrării datelor, extinzând această obligație la persoanele împuternicite de operator, indiferent de tipul de contract încheiat cu operatorul.

Articolul 34 se bazează pe articolul 36 din Regulamentul (CE) nr. 45/2001 și asigură confidențialitatea comunicațiilor electronice în cadrul instituțiilor și organelor Uniunii.

Articolul 35 se bazează pe actuala practică a instituțiilor și organelor Uniunii și protejează informațiile legate de echipamentele terminale ale utilizatorilor finali accesează site-urile web publice și aplicațiile mobile oferite de acestea, în conformitate cu Regulamentul (UE) XX/XXXX [noul regulament privind viața privată și comunicațiile electronice), în special articolul 8.

Articolul 36 se bazează pe articolul 38 din Regulamentul (CE) nr. 45/2001 și protejează datele cu caracter personal care apar în repertoriile publice și private ale instituțiilor și organelor Uniunii.

Articolele 37 și 38 introduc obligația de a notifica încălcările securității datelor cu caracter personal, în conformitate cu articolele 33 și 34 din Regulamentul (UE) 2016/679.

Secțiunea 3 – Evaluarea impactului asupra protecției datelor și consultarea prealabilă