C 378/496

P7_TA(2014)0219

Prelucrarea datelor cu caracter personal în scopul prevenirii infracțiunilor ***I

Rezoluţia legislativă a Parlamentului European din 12 martie 2014 referitor la propunerea de directivă a Parlamentului European și a Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și la libera circulație a acestor date (COM(2012)0010 – C7-0024/2012 – 2012/0010(COD))

(Procedura legislativă ordinară: prima lectură)

(2017/C 378/59)

Parlamentul European,

(1) JO C 192, 30.6.2012, p. 7.

P7_TC1-COD(2012)0010

Poziția Parlamentului European adoptată în primă lectură la 12 martie 2014 în vederea adoptării Directivei 2014/…/UE a Parlamentului European și a Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și la libera circulație a acestor date

PARLAMENTUL EUROPEAN ȘI CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 16 alineatul (2),

având în vedere propunerea Comisiei Europene,

după transmiterea proiectului de act legislativ către parlamentele naționale,

după consultarea Autorității Europene pentru Protecția Datelor (1),

hotărând în conformitate cu procedura legislativă ordinară (2),

întrucât:

(1) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental. Articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene („Carta”) și articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene prevăd că orice persoană are dreptul la protecția datelor cu caracter personal care o privesc. Articolul 8 alineatul (2) din Cartă prevede că astfel de date trebuie tratate în mod corect, în scopurile precizate și pe baza consimțământului persoanei interesate sau a unui alt motiv legitim prevăzut de lege. [AM 1]

(2) Prelucrarea datelor cu caracter personal este în serviciul cetățeanului; principiile și normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal ar trebui, indiferent de cetățenia sau de locul de reședință al persoanelor fizice, să respecte drepturile și libertățile fundamentale ale acestora, în special dreptul la protecția datelor cu caracter personal. Aceasta ar trebui să contribuie la realizarea unui spațiu de libertate, securitate și justiție.

(3) Evoluțiile tehnologice rapide și globalizarea au generat noi provocări pentru protecția datelor cu caracter personal. Amploarea colectării și a schimbului și de date a crescut spectaculos. Tehnologia permite autorităților competente să utilizeze date cu caracter personal la un nivel fără precedent în cadrul activităților lor.

(4) Această evoluție necesită facilitarea liberei circulații a datelor , atunci când este necesar și proporționat, între autoritățile competente în cadrul Uniunii și a transferului către țări terțe și organizații internaționale, asigurând, totodată, un nivel ridicat de protecție a datelor cu caracter personal. Aceste evoluții impun construirea unui cadru solid și mai coerent în materie de protecție a datelor în Uniune, însoțit de o aplicare riguroasă a normelor. [AM 2]

(5) Directiva 95/46/CE a Parlamentului European și a Consiliului (3) se aplică tuturor activităților de prelucrare a datelor cu caracter personal în statele membre, atât în sectorul public, cât și în cel privat. Cu toate acestea, directiva menționată nu se aplică prelucrării datelor cu caracter personal „puse în practică pentru exercitarea activităților din afara domeniului de aplicare a dreptului comunitar”, cum ar fi activitățile în domeniul cooperării judiciare în materie penală și al cooperării polițienești.

(6) Decizia-cadru 2008/977/JAI a Consiliului (4) se aplică în domeniul cooperării judiciare în materie penală și al cooperării polițienești. Domeniul de aplicare a prezentei decizii-cadru este limitat la prelucrarea datelor cu caracter personal transmise sau puse la dispoziție între statele membre.

(7) Asigurarea unui nivel omogen și ridicat de protecție a datelor cu caracter personal ale persoanelor fizice și facilitarea schimbului de date cu caracter personal între autoritățile competente ale statelor membre sunt esențiale pentru a se garanta eficacitatea cooperării judiciare în materie penală și a cooperării polițienești. În acest scop, nivelul de protecție a drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor trebuie să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea drepturilor persoanelor vizate și a obligațiilor celor care prelucrează date cu caracter personal, ci și competențe echivalente pentru monitorizarea și asigurarea conformității cu normele în materie de protecție a datelor cu caracter personal în statele membre. [AM 3]

(8) Articolul 16 alineatul (2) din Tratatul privind funcționarea Uniunii Europene prevede că Parlamentul European și Consiliul ar trebui să stabilească normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal, precum și normele privind libera circulație a datelor lor cu caracter personal . [AM 4]

(9) Pe această bază, Regulamentul (UE) nr. …/2014 al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor) stabilește normele generale pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și garantarea liberei circulații a acestor date în cadrul Uniunii.

(10) În Declarația 21 cu privire la protecția datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești, anexată la actul final al Conferinței interguvernamentale care a adoptat Tratatul de la Lisabona, Conferința a recunoscut că normele specifice privind protecția datelor cu caracter personal și libera circulație a acestor date în domeniul cooperării judiciare în materie penală și al cooperării polițienești în temeiul articolului 16 din Tratatul privind funcționarea Uniunii Europene s-ar putea dovedi necesare, având în vedere natura specifică a acestor domenii.

(11) Prin urmare, o directivă distinctă specifică ar trebui să fie adaptată naturii specifice a acestor domenii și să stabilească normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal, de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor. [AM 5]

(12) În vederea asigurării aceluiași nivel de protecție pentru persoanele fizice prin drepturi garantate din punct de vedere juridic în întreaga Uniune și a preîntâmpinării discrepanțelor care împiedică schimbul de date cu caracter personal între autoritățile competente, directiva ar trebui să prevadă norme armonizate pentru protecția și libera circulație a datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești.

(13) Prezenta directivă permite luarea în considerare a principiului accesului publicului la documentele oficiale, în aplicarea dispozițiilor prevăzute de aceasta.

(14) Protecția conferită de prezenta directivă ar trebui să vizeze persoanele fizice, indiferent de cetățenia sau de locul de reședință al acestora, în ceea ce privește prelucrarea datelor cu caracter personal.

(15) Protecția persoanelor fizice ar trebui să fie neutră din punct de vedere tehnologic și să nu depindă de tehnicile utilizate, în caz contrar, creându-se un risc serios de eludare. Protecția persoanelor fizice ar trebui să se aplice prelucrării datelor cu caracter personal prin mijloace automate, precum și prelucrării manuale, în cazul în care datele sunt cuprinse sau destinate să fie cuprinse într-un sistem de evidență. Dosarele sau seturile de dosare, precum și copertele acestora, care nu sunt structurate în conformitate cu criterii specifice, nu ar trebui să intre în domeniul de aplicare a prezentei directive. Aceasta nu ar trebui să se aplice prelucrării datelor cu caracter personal în cadrul unei activități care nu intră în domeniul de aplicare a dreptului Uniunii, în special privind securitatea națională, nici prelucrării datelor efectuate de către instituțiile, organismele, oficiile și agențiile Uniunii, cum ar fi Europol sau Eurojust. Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului (5) și instrumentele juridice specifice aplicabile agențiilor, organismelor sau birourilor Uniunii ar trebui aduse la conformitate cu prezenta directivă și aplicate în conformitate cu aceasta. [AM 6]

(16) Principiile protecției ar trebui să se aplice oricărei informații referitoare la o persoană identificată sau identificabilă. Pentru a se stabili dacă o persoană fizică este identificabilă, ar trebui să se ia în considerare toate mijloacele care pot fi utilizate în mod rezonabil fie de către operator, fie de către orice altă persoană în scopul identificării sau individualizării persoanei fizice respective. Principiile protecției datelor nu ar trebui să se aplice datelor anonimizate astfel încât persoana vizată să nu mai fie identificabilă. Prezenta directivă nu ar trebui să se aplice datelor anonime, prin acestea înțelegându-se orice date care nu pot fi legate, direct sau indirect, izolate sau în combinație cu date asociate, de o persoană fizică. Având în vedere importanța evoluțiilor aflate în desfășurare în societatea informațională, a tehnicilor folosite pentru a capta, transmite, manipula, înregistra, stoca sau comunica date de localizare referitoare la persoane fizice, care pot fi utilizate în diferite scopuri, inclusiv supravegherea sau crearea de profiluri, prezenta directivă ar trebui să se poată aplica procesării care implică astfel de date personale. [AM 7]

(16a) Orice prelucrare a datelor cu caracter personal trebuie să fie legală, echitabilă și transparentă în raport cu persoanele fizice vizate. În special, scopurile specifice în care datele sunt prelucrate ar trebui să fie explicite și legitime și să fie determinate la momentul colectării datelor cu caracter personal. Datele cu caracter personal ar trebui să fie adecvate, relevante și limitate la minimul necesar scopurilor în care sunt prelucrate. Aceasta presupune îndeosebi limitarea datelor colectate și a perioadei în care sunt stocate datele la minimul necesar. Datele cu caracter personal ar trebui prelucrate doar în cazul în care scopul prelucrării nu ar putea fi îndeplinit prin alte mijloace. Ar trebui luate toate măsurile rezonabile pentru a se asigura rectificarea sau ștergerea datelor cu caracter personal care sunt inexacte. În vederea asigurării faptului că datele nu sunt păstrate mai mult timp decât este necesar, ar trebui să se stabilească de către operator termene pentru ștergere sau revizuire periodică. [AM 8]

(17) Datele cu caracter personal referitoare la sănătate ar trebui să includă, în special, toate datele având legătură cu starea de sănătate a persoanei vizate; informații privind înscrierea persoanei pentru acordarea de servicii medicale; informații privind plățile pentru asistență medicală efectuate de persoana fizică sau privind eligibilitatea acesteia pentru acordarea de asistență medicală; un număr, simbol sau semn distinctiv atribuit unei persoane fizice pentru identificarea unică a acesteia în scopuri medicale; orice informații privind persoana fizică respectivă colectate în cadrul furnizării de servicii de sănătate pentru aceasta; informații rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale, inclusiv eșantioane de material biologic; identificarea unei persoane ca furnizor de asistență medicală pentru persoana fizică respectivă sau orice informații privind, de exemplu, o boală, un handicap, un risc de îmbolnăvire, un tratament clinic sau o boală, istoricul medical, tratamentul clinic sau starea psihologică sau biomedicală efectivă a persoanei vizate, indiferent de sursa acestora, cum ar fi de exemplu, un medic sau un alt cadru medical, un spital, un dispozitiv medical sau un test de diagnostic in vitro.

(18) Orice prelucrare a datelor cu caracter personal trebuie să fie echitabilă și legală în raport cu persoanele vizate. În special, scopul specific pentru care sunt prelucrate datele ar trebui să fie explicit. [AM 9]

(19) Pentru prevenirea, cercetarea și urmărirea penală a infracțiunilor, autoritățile competente trebuie să păstreze și să prelucreze datele cu caracter personal colectate în contextul prevenirii, identificării, investigării sau urmăririi penale a anumitor infracțiuni penale dincolo de acest context pentru a înțelege mai bine fenomenele și tendințele infracționale, pentru a culege informații despre rețelele de crimă organizată și pentru a face legături între diferitele infracțiuni constatate. [AM 10]

(20) Datele cu caracter personal nu ar trebui prelucrate în scopuri considerate incompatibile cu scopul în care au fost colectate. Datele cu caracter personal ar trebui să fie adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate datele cu caracter personal. Ar trebui luate toate măsurile rezonabile pentru a se asigura rectificarea sau ștergerea datelor cu caracter personal care sunt inexacte. [AM 11]

(20a) Simplul fapt că două scopuri se referă la prevenirea, identificarea, investigarea sau urmărirea penală a infracțiunilor sau la executarea pedepselor nu înseamnă neapărat că acestea sunt compatibile. Cu toate acestea, există cazuri în care prelucrarea ulterioară de date în scopuri incompatibile ar trebui permisă dacă este necesară pentru respectarea unei obligații legale care incumbă operatorului, în vederea protejării intereselor vitale ale persoanei vizate sau ale unei alte persoane sau în vederea prevenirii unei amenințări imediate și grave la adresa securității publice. Prin urmare, statele membre ar trebui să fie în măsură să adopte o legislație națională care să prevadă asemenea derogări în măsura în care este strict necesar. Legile naționale respective ar trebui să conțină garanții adecvate. [AM 12]

(21) Principiul exactității datelor ar trebui aplicat luând în considerare natura și scopul prelucrării în cauză. În special în cadrul procedurilor judiciare, declarațiile care conțin date cu caracter personal se bazează pe o percepție subiectivă a persoanelor fizice și nu sunt întotdeauna verificabile. În consecință, acest principiu nu ar trebui să se aplice exactității unei declarații, ci doar faptului că o anumită declarație a fost făcută.

(22) În interpretarea și aplicarea principiilor generale referitoare la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, ar trebui să se țină seama de specificul sectorului, inclusiv de obiectivele specifice urmărite. [AM 13]

(23) Prelucrarea datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești presupune prelucrarea datelor cu caracter personal referitoare la diferite categorii de persoane. Prin urmare, ar trebui să se facă o distincție cât mai clară între datele cu caracter personal ale diferitelor categorii de persoane vizate, cum ar fi suspecții, persoanele condamnate pentru comiterea unei infracțiuni, victimele și părțile terțe, cum ar fi martorii, persoanele care dețin informații sau contacte relevante și complicii suspecților și ai infractorilor condamnați. Statele membre ar trebui să prevadă norme specifice referitoare la consecințele acestei clasificări pe categorii, luând în considerare diferitele scopuri în care sunt colectate datele și asigurând garanții specifice în ceea ce privește persoanele care nu sunt suspectate de a fi comis o infracțiune penală sau nu au fost condamnate pentru săvârșirea acesteia. [AM 14]

(24) Pe cât posibil, datele cu caracter personal ar trebui diferențiate în funcție de gradul de exactitate și fiabilitate. Ar trebui să se facă diferența între fapte și evaluări cu caracter personal, pentru a garanta atât protecția persoanelor fizice, cât și calitatea și fiabilitatea informațiilor prelucrate de autoritățile competente.

(25) Pentru a fi legală, prelucrarea datelor cu caracter personal ar trebui să fie permisă numai când aceasta este necesară pentru respectarea unei obligații legale care incumbă operatorului, pentru îndeplinirea unei sarcini de interes public de către o autoritate competentă în temeiul legii sau în scopul protejării intereselor vitale ale persoanei vizate sau ale unei alte persoane, sau în scopul prevenirii unei amenințări imediate și grave la adresa securității publice dreptului Uniunii sau dreptului statelor membre, care ar trebui să cuprindă dispoziții explicite și detaliate legate cel puțin de obiectivele, datele personale, mijloacele și scopurile specifice, să desemneze operatorul de date sau să permită desemnarea acestuia, procedurile ce urmează a fi respectate, utilizarea și limitările domeniului de aplicare ale oricărei prerogative conferite de autoritățile competente în legătură cu activitățile de procesare . [AM 15]

(25a) Datele cu caracter personal nu ar trebui prelucrate în scopuri considerate incompatibile cu scopul în care au fost colectate. Prelucrarea suplimentară de către autoritățile competente pentru un scop care intră în domeniul de aplicare al prezentei directive dar care nu este compatibil cu scopul inițial ar trebui să fie autorizată numai în situații specifice în care o asemenea prelucrare este necesară pentru conformitatea cu o obligație legală, pe baza legislației Uniunii sau a statului membru, care se aplică operatorului sau pentru a proteja interesele vitale ale persoanei vizate sau al altei persoane sau pentru prevenirea unei amenințări imediate grave la adresa siguranței publice. Faptul că datele sunt prelucrate în scopul aplicării legii nu implică în mod necesar că acest scop este compatibil cu scopul inițial. Conceptul utilizării compatibile trebuie interpretat restrictiv. [AM 16]

(25b) Prelucrarea datelor cu caracter personal în condițiile încălcării dispozițiilor naționale adoptate în conformitate cu prezenta directivă ar trebui oprită. [AM 17]

(26) Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile și de vulnerabile în ceea ce privește drepturile fundamentale sau viața privată, inclusiv datele genetice, necesită o protecție specifică. Astfel de date nu ar trebui prelucrate, cu excepția cazului în care prelucrarea este în mod expres permisă de o lege necesară pentru executarea unei sarcini efectuate în interes public, pe baza legislației Uniunii sau a statului membru care prevede măsuri corespunzătoare pentru protejarea drepturilor fundamentale și a intereselor legitime ale persoanei vizate; sau prelucrarea este necesară pentru protejarea intereselor vitale ale persoanei vizate sau ale altei persoane; sau prelucrarea se referă la date care sunt făcute publice în mod manifest de persoana vizată. Datele sensibile cu caracter personal ar trebui prelucrate numai dacă acestea completează alte date cu caracter personal deja prelucrate în scopul aplicării legii. Orice derogare de la interdicția de prelucrare a datelor sensibile ar trebui interpretată în mod restrictiv și nu ar trebui să conducă la procesarea frecventă, masivă sau structurală a datelor sensibile cu caracter personal. [AM 18]

(26a) Prelucrarea datelor genetice ar trebui permisă dacă există o legătură genetică în cursul unei anchete penale sau al unei proceduri judiciare. Datele genetice ar trebui stocate atât timp cât este strict necesar în scopul unor astfel de anchete și proceduri, statele membre având posibilitatea de a stoca timp mai îndelungat în conformitate cu condițiile stabilite de prezenta directivă. [AM 19]

(27) Orice persoană fizică ar trebui să aibă dreptul de a nu fi supusă unei măsuri care se bazează exclusiv pe prelucrarea , parțial sau total, pe crearea de profiluri prin mijloace de prelucrare automată dacă aceasta aduce prejudicii în plan a datelor. O astfel de procesare, care produce un efect juridic pentru persoana respectivă sau care o afectează în mod semnificativ ar trebui interzisă , cu excepția cazului în care respectiva măsură este permisă de lege și sub rezerva unor măsuri adecvate de protejare a intereselor legitime ale persoanei vizate , inclusiv a dreptului de a i se oferi informații consistente cu privire la logica utilizată în crearea de profiluri. Asemenea prelucrare nu ar trebui nicidecum să cuprindă, să genereze sau să opereze discriminări bazate pe categorii speciale de date. [AM 20]

(28) Pentru ca persoanele vizate să își poată exercita drepturile, toate informațiile care le sunt adresate trebuie să fie ușor accesibile și ușor de înțeles, limbajul folosit fiind simplu și clar. Aceste informații ar trebui adaptate nevoilor persoanelor vizate, în special atunci când informațiile se adresează în mod specific unui copil. [AM 21]

(29) Ar trebui prevăzute modalități pentru a facilita exercitarea, de către persoana vizată, a drepturilor pe care i le conferă prezenta directivă, printre care se numără în special mecanismele prin care poate solicita, în mod gratuit, accesul la date, rectificarea și ștergerea acestora. Operatorul ar trebui să fie obligat să răspundă cererilor persoanei vizate fără întârzieri nejustificate întârziere, în termen de o lună de la primirea cererii . În cazul în care datele cu caracter personal fac obiectul unei prelucrări automatizate, operatorul ar trebui să prevadă, de asemenea, modalități de introducere a cererilor pe cale electronică. [AM 22]

(30) Conform principiului prelucrării echitabile și transparente , persoanele vizate ar trebui să fie informate, în special, cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia, la temeiul juridic, la durata stocării datelor, la existența dreptului de acces, de rectificare sau ștergere a datelor și la dreptul de a înainta o plângere. Mai mult, persoana vizată ar trebui informată în legătură cu crearea de profiluri în ceea ce o privește și cu scopul urmărit prin crearea profilului. Atunci când datele sunt colectate de la persoana vizată, aceasta ar trebui informată, de asemenea, dacă are obligația de a furniza datele și care sunt consecințele în cazul unui refuz. [AM 23]

(31) Informațiile în legătură cu prelucrarea datelor cu caracter personal ar trebui oferite persoanei vizate în momentul colectării acestor date, sau, în cazul în care datele nu sunt obținute de la persoana vizată, în momentul în care sunt înregistrate sau într-o perioadă de timp rezonabilă după colectare, având în vedere circumstanțele specifice ale prelucrării datelor.

(32) Orice persoană ar trebui să aibă drept de acces la datele colectate care o privesc și ar trebui să își exercite acest drept cu ușurință, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica, în special, în ce scopuri sunt prelucrate datele, temeiul juridic, pentru ce perioadă, care este identitatea destinatarilor datelor, inclusiv în țările terțe , informații inteligibile cu privire la logica procesărilor automate și consecințele semnificative preconizate, dacă este cazul, dreptul de a depune o plângere la autoritatea de supraveghere și datele de contact ale acesteia . Persoanele vizate ar trebui să aibă dreptul de a primi o copie a datelor lor cu caracter personal care sunt prelucrate. [AM 24]

(33) Statele membre ar trebui să aibă posibilitatea de a adopta măsuri legislative în vederea amânării, sau restricționării parțiale sau totale a informării persoanelor vizate sau a accesului la datele lor cu caracter personal în măsura în care o astfel de restricționare parțială sau totală constituie o măsură necesară și proporțională într-o societate democratică, ținând seama de drepturile fundamentale și de interesele legitime ale persoanei vizate, pentru a se evita obstrucționarea cercetărilor, a anchetelor sau a procedurilor oficiale sau judiciare, pentru a nu se afecta măsurile de prevenire, identificare, investigare sau urmărire penală a infracțiunilor sau executarea pedepselor, pentru a se proteja securitatea publică sau securitatea națională ori pentru a se proteja persoana vizată sau drepturile și libertățile altor persoane. Operatorul ar trebui să evalueze pe baza examinării concrete și individuale a fiecărui caz dacă ar trebui aplicată o restricționare parțială sau totală a dreptului de acces. [AM 25]

(34) Orice refuz sau restricționare a accesului ar trebui prezentat în scris persoanei vizate, precizându-se motivele de fapt și de drept pe care se bazează decizia.

(34a) Orice restrângere a drepturilor persoanelor vizate trebuie să fie în conformitate cu Carta, după cum a fost clarificat în jurisprudența Curții de Justiție a Uniunii Europene și a Curții Europene a Drepturilor Omului și, îndeosebi, să respecte esența drepturilor și libertăților. [AM 26]

(35) În cazul în care statele membre au adoptat măsuri legislative care limitează total sau parțial dreptul de acces, persoana vizată ar trebui să aibă dreptul de a solicita autorității naționale de supraveghere competente să verifice legalitatea prelucrării datelor. Persoana vizată trebuie să fie informată cu privire la acest drept. Atunci când dreptul de acces este exercitat de către autoritatea de supraveghere în numele persoanei vizate, autoritatea de supraveghere ar trebui cel puțin să informeze persoana vizată că toate verificările necesare au avut loc și să îi comunice dacă prelucrarea respectivă este legală sau nu. Autoritatea de supraveghere ar trebui, de asemenea, să informeze persoana vizată în legătură cu dreptul de a introduce o cale de atac în instanță. [AM 27]

(36) Orice persoană ar trebui să aibă dreptul de a obține rectificarea datelor cu caracter personal inexacte sau procesate ilegal care o privesc și dreptul de eliminare a datelor în cazul în care prelucrarea datelor respective nu este în conformitate cu principiile de bază dispozițiile prevăzute în prezenta directivă. Rectificarea, completarea sau ștergerea ar trebui să fie comunicate destinatarilor divulgării datelor și părților terțe de la care provin datele inexacte. Operatorii ar trebui, de asemenea, să nu comunice mai departe aceste date. În cazul în care datele cu caracter personal sunt prelucrate în cadrul unei anchete și a unor proceduri judiciare, rectificarea, dreptul la informare, dreptul de acces, dreptul de ștergere și de restricționare a prelucrării pot fi exercitate în conformitate cu normele naționale privind procedurile judiciare. [AM 28]

(37) Ar trebui prevăzută responsabilitatea și răspunderea generală a operatorului pentru orice prelucrare a datelor cu caracter personal efectuată de către acesta sau în numele său. În special, operatorul ar trebui să asigure și să aibă obligația de a demonstra conformitatea fiecărei operațiuni de prelucrare cu normele adoptate în conformitate cu prezenta directivă. [AM 29]

(38) Protecția drepturilor și libertăților persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal necesită adoptarea de măsuri tehnice și organizatorice corespunzătoare pentru a se asigura îndeplinirea cerințelor din prezenta directivă. Pentru a asigura respectarea dispozițiilor adoptate în conformitate cu prezenta directivă, controlorul ar trebui să adopte politici și să pună în aplicare măsuri adecvate, care respectă, în special, principiile de protecție a datelor începând cu momentul conceperii și protecție implicită a datelor.

(39) Protecția drepturilor și a libertăților persoanelor vizate, precum și responsabilitatea și răspunderea operatorilor și a persoanelor împuternicite de către operator necesită o atribuire clară a responsabilităților în temeiul prezentei directive, inclusiv în cazul în care un operator stabilește scopurile, condițiile și mijloacele prelucrării împreună cu alți operatori sau în cazul în care o operațiune de prelucrare este efectuată în numele unui operator. Persoana vizată ar trebui să aibă dreptul de a-și exercita drepturile ce decurg din prezenta directivă în raport și în opoziție cu fiecare dintre operatorii comuni. [AM 30]

(40) Activitățile de prelucrare ar trebui să fie înregistrate de către operator sau de către persoana împuternicită de către operator, în scopul de a monitoriza conformitatea cu prezenta directivă. Fiecare operator și fiecare persoană împuternicită de către operator ar trebui să aibă obligația de a coopera cu autoritatea de supraveghere și de a pune la dispoziția acesteia, la cerere, documentația disponibilă, pentru a putea fi utilizată în scopul monitorizării operațiunilor de prelucrare.

(40a) Orice operațiune de prelucrare de date cu caracter personal se ia în evidență pentru verificarea legalității prelucrării datelor, pentru monitorizare proprie și pentru asigurarea integrității și a securității corespunzătoare a datelor. Această înregistrare ar trebui să fie pusă la dispoziția autorității de supraveghere la cerere în scopul monitorizării conformității cu normele prevăzute în prezenta directivă. [AM 31]

(40b) Operatorul sau persoanele împuternicite de operator ar trebui să realizeze o evaluare a impactului privind protecția datelor în cazurile în care operațiunile de prelucrare pot prezenta, prin natura, domeniul de aplicare sau scopurile lor, riscuri specifice la adresa drepturilor și libertăților persoanelor vizate, evaluare care ar trebui să includă în special măsurile, garanțiile și mecanismele preconizate în vederea asigurării protecției datelor cu caracter personal și a conformității cu prezenta directivă. Evaluările de impact ar trebui să vizeze sistemele și procesele relevante aferente prelucrării datelor cu caracter personal, nu cazuri individuale. [AM 32]

(41) Pentru a garanta protecția eficientă a drepturilor și libertăților persoanelor vizate prin intermediul unor acțiuni preventive, operatorul sau persoana împuternicită de către operator ar trebui să se consulte cu autoritatea de supraveghere în anumite cazuri înainte de prelucrare. În plus, în cazul în care o evaluare de impact asupra protecției datelor relevă că operațiunile de prelucrare pot prezenta riscuri specifice asupra drepturilor și libertăților persoanelor vizate, autoritatea de supraveghere ar trebui să fie în poziția de a preveni, înainte de începerea operațiunilor, o prelucrare riscantă care nu este în conformitate cu prezenta directivă și să facă propuneri pentru a remedia o asemenea situație. Această consultare poate, de asemenea, să aibă loc în timpul elaborării fie a unei măsuri a parlamentului național, fie a unei măsuri întemeiate pe o astfel de măsură legislativă, care definește natura prelucrării și stabilește garanțiile corespunzătoare. [AM 33]

(41a) În vederea menținerii securității și a prevenirii prelucrărilor care încalcă dispozițiile prezentei directive, operatorul sau persoana împuternicită de către operator ar trebui să evalueze riscurile inerente prelucrării și să pună în aplicare măsuri pentru atenuarea acestor riscuri. Măsurile respective ar trebui să asigure un nivel corespunzător de securitate, luând în considerare stadiul actual al tehnologiei și costurile punerii lor în aplicare în raport cu riscurile și natura datelor cu caracter personal a căror protecție trebuie asigurată. La stabilirea standardelor tehnice și a măsurilor organizatorice pentru asigurarea securității procesării, trebuie promovată neutralitatea tehnologică. [AM 34]

(42) Dacă nu este soluționată la timp și într-un mod adecvat, o încălcare a securității datelor cu caracter personal poate produce efecte negative cauza persoanei fizice în cauză pierderi economice substanțiale și daune sociale , inclusiv asupra reputației persoanei fizice vizate fraudarea identității . Prin urmare, de îndată ce un operator află că a avut loc o astfel de încălcare, aceasta ar trebui să notifice respectiva încălcare autorității naționale competente. Persoanele fizice ale căror date cu caracter personal sau a căror viață privată ar putea fi afectate negativ de încălcare ar trebui să fie înștiințate fără întârziere, pentru a putea să ia măsurile de precauție necesare. Ar trebui să se considere că o încălcare afectează în mod negativ datele cu caracter personal sau viața privată a unei persoane vizate în cazul în care aceasta ar putea avea drept rezultat, de exemplu, furtul sau fraudarea identității, vătămarea corporală, umilirea gravă sau afectarea reputației în legătură cu prelucrarea datelor cu caracter personal. Notificarea ar trebui să includă informații privind măsurile luate de către furnizor pentru a soluționa încălcarea securității, precum și recomandări pentru abonatul sau individul afectat. Notificarea persoanei vizate ar trebui făcută în cel mai scurt timp posibil și în cooperare strânsă cu autoritatea de supraveghere și cu respectarea îndrumărilor acesteia. [AM 35]

(43) La stabilirea de norme detaliate privind formatul și procedurile aplicabile notificării referitoare la încălcările securității datelor cu caracter personal, ar trebui să se acorde atenția cuvenită circumstanțelor în care a avut loc încălcarea, stabilindu-se inclusiv dacă protecția datelor cu caracter personal a fost sau nu a fost asigurată prin măsuri tehnice de protecție corespunzătoare, care să limiteze efectiv probabilitatea utilizării incorecte. În plus, astfel de norme și proceduri ar trebui să țină cont de interesele legitime ale autorităților competente în cazurile în care divulgarea timpurie ar putea îngreuna în mod inutil investigarea circumstanțelor în care a avut loc o încălcare.

(44) Operatorul sau persoana împuternicită de către operator ar trebui să desemneze o persoană care să ajute operatorul sau persoana împuternicită de către operator să monitorizeze și să demonstreze respectarea dispozițiilor adoptate în temeiul prezentei directive. Un responsabil cu protecția datelor poate fi numit în comun de mai multe entități ale autorității competente. În cazul în care mai multe autorități competente acționează sub supravegherea unei autorități centrale, cel puțin această autoritate centrală ar trebui să desemneze un astfel de responsabil cu protecția datelor. Responsabilii cu protecția datelor trebuie să fie în măsură să își îndeplinească îndatoririle și sarcinile în mod independent și eficient , îndeosebi prin stabilirea unor norme prin care să se evite conflictul de interese cu alte sarcini efectuate de responsabilii cu protecția datelor . [AM 36]

(45) Statele membre ar trebui să asigure că transferul către o țară terță nu are loc decât în cazul în care acesta acest transfer specific este necesar pentru prevenirea, investigarea, identificarea sau urmărirea penală a infracțiunilor sau pentru executarea pedepselor, iar autoritatea de control din țara terță sau dintr-o organizație internațională competentă este o autoritate publică competentă în sensul prezentei directive. Un transfer poate avea loc în cazul în care Comisia decide că țara terță sau organizația internațională în cauză asigură un nivel adecvat de protecție sau că oferă garanții corespunzătoare sau în cazul în care au fost oferite garanții corespunzătoare prin intermediul unui instrument obligatoriu din punct de vedere juridic . Datele transferate către autoritățile publice competente din țările terțe nu ar trebui să fie prelucrate ulterior în alte scopuri decât cele pentru care au fost transferate. [AM 37]

(45a) Transferurile ulterioare de la autoritățile competente în țările terțe sau organizațiile internaționale către care s-au mai transferat date cu caracter personal ar trebui să fie permise doar în situația în care transferul ulterior este necesar pentru același scop specific precum în cazul transferului inițial și dacă al doilea destinatar este tot o autoritate publică competentă. Nu ar trebui să fie permise transferuri ulterioare în scopuri generale de aplicare a legii. Autoritatea competentă care a realizat transferul inițial ar trebui să fi autorizat transferul ulterior. [AM 38]

(46) Comisia poate decide, cu efect în întreaga Uniune, că anumite țări terțe sau un teritoriu ori un sector de prelucrare dintr-o țară terță sau o organizație internațională oferă un nivel adecvat de protecție a datelor, furnizând astfel securitate juridică și uniformitate în Uniune în ceea ce privește țările terțe sau organizațiile internaționale care sunt considerate a furniza un astfel de nivel de protecție. În aceste cazuri, transferurile de date cu caracter personal către țările respective pot avea loc fără a fi necesar să se obțină o autorizație suplimentară.

(47) În conformitate cu valorile fundamentale pe care se întemeiază Uniunea, în special protecția drepturilor omului, Comisia ar trebui să ia în considerare modul în care aceasta respectă statul de drept, accesul la justiție, precum și normele și standardele internaționale în materie de drepturi ale omului.

(48) Comisia ar trebui, de asemenea, să poată recunoaște că o țară terță, un teritoriu sau un sector de prelucrare a datelor dintr-o țară terță ori o organizație internațională nu oferă un nivel corespunzător de protecție a datelor. În acest caz, transferul de date cu caracter personal către țări terțe ar trebui interzis, cu excepția cazurilor în care acesta se bazează pe un acord internațional, garanții corespunzătoare sau o derogare. Ar trebui să se prevadă proceduri de consultare între Comisie și astfel de țări terțe sau organizații internaționale. Cu toate acestea, o astfel de decizie a Comisiei nu trebuie să aducă atingere posibilității de a efectua transferuri pe baza unor garanții adecvate prin intermediul unui instrument obligatoriu din punct de vedere juridic sau a unei derogări prevăzute în prezenta directivă. [AM 39]

(49) Transferurile care nu se bazează pe o decizie privind caracterul adecvat al nivelului de protecție ar trebui să fie permise numai în cazul în care au fost prezentate garanții corespunzătoare într-un instrument obligatoriu din punct de vedere juridic, care asigură protecția datelor cu caracter personal în cazul în care operatorul sau persoana împuternicită de către operator a evaluat toate condițiile legate de operațiunea de transfer de date sau de setul de operațiuni de transfer de date și, pe baza acestei evaluări, consideră că există garanții adecvate în ceea ce privește protecția datelor cu caracter personal. În cazul în care nu există motive pentru autorizarea transferului, ar trebui să se permită derogări, dacă este necesar, în vederea protejării intereselor vitale ale persoanei în cauză sau ale unei alte persoane, sau în vederea protejării intereselor legitime ale persoanei vizate, în cazul în care legislația statului membru care transferă datele cu caracter personal prevede acest lucru, sau în cazul în care acestea sunt indispensabile pentru prevenirea unei amenințări imediate și grave la adresa siguranței publice a unui stat membru sau a unei țări terțe, sau în cazuri specifice, în scopul prevenirii, investigării, identificării sau urmăririi penale a infracțiunilor sau al executării pedepselor sau, în anumite cazuri, pentru constatarea, exercitarea sau apărarea unui drept în instanță. [AM 40]

(49a) În cazul în care nu există motive pentru autorizarea transferului, ar trebui să se permită derogări, dacă este necesar, în vederea protejării intereselor vitale ale persoanei în cauză sau ale unei alte persoane, sau în vederea protejării intereselor legitime ale persoanei vizate, în cazul în care legislația statului membru care transferă datele cu caracter personal prevede acest lucru, sau în cazul în care acestea sunt indispensabile pentru prevenirea unei amenințări imediate și grave la adresa siguranței publice a unui stat membru sau a unei țări terțe, sau în cazuri specifice, în scopul prevenirii, investigării, identificării sau urmăririi penale a infracțiunilor sau al executării pedepselor sau, în anumite cazuri, pentru constatarea, exercitarea sau apărarea unui drept în instanță. Aceste derogări ar trebui interpretate restrictiv și nu ar trebui să permită transferul frecvent, masiv și structural de date cu caracter personal și nu ar trebui să permită transferul en gros de date care ar trebui să se limiteze la datele strict necesare. În plus, decizia de transfer ar trebui luată de o persoană autorizată în mod corespunzător și acest transfer trebuie documentat și pus la dispoziția autorității de supraveghere la cerere pentru a monitoriza legalitatea transferului. [AM 41]

(50) Fluxul transfrontalier de date cu caracter personal poate expune unui risc sporit capacitatea persoanelor fizice de a-și exercita drepturile în materie de protecție a datelor, pentru a-și asigura protecția împotriva utilizării sau a divulgării ilegale a acestor date. În același timp, autoritățile de supraveghere pot constata că se află în imposibilitatea de a trata plângeri sau de a efectua investigații referitoare la activitățile desfășurate în afara frontierelor lor. Eforturile lor de a conlucra în context transfrontalier pot fi, de asemenea, îngreunate de insuficiența competențelor de prevenire sau remediere ori de caracterul eterogen al regimurilor juridice. Prin urmare, este necesar să se promoveze o cooperare mai strânsă între autoritățile de supraveghere a protecției datelor pentru a putea face schimb de informații cu omologii lor străini.

(51) Instituirea în statele membre a unor autorități de supraveghere care să își exercite atribuțiile în deplină independență este un element esențial al protecției persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. Autoritățile de supraveghere ar trebui să monitorizeze aplicarea dispozițiilor prevăzute de prezenta directivă și să contribuie la aplicarea consecventă a acesteia în întreaga Uniune, în scopul asigurării protecției persoanele fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. În acest sens, autoritățile de supraveghere ar trebui să coopereze între ele și cu Comisia. [AM 42]

(52) Statele membre pot încredința unei autorități de supraveghere deja existente din statele membre, în conformitate cu Regulamentul (UE) nr. …/2014, responsabilitatea pentru sarcinile care urmează să fie îndeplinite de către autoritățile naționale de supraveghere care urmează a fi înființate în temeiul prezentei directive.

(53) Statele membre ar trebui să aibă posibilitatea de a institui mai multe autorități de supraveghere, pentru a reflecta structura lor constituțională, organizatorică și administrativă. Fiecare autoritate de supraveghere ar trebui să beneficieze de resurse financiare și umane adecvate, de localuri și de infrastructura necesară , inclusiv capacități, experiență și aptitudini tehnice , pentru îndeplinirea cu eficacitate a sarcinilor lor, inclusiv a celor legate de asistența reciprocă și cooperarea cu alte autorități de supraveghere în întreaga Uniune. [AM 43]

(54) Condițiile generale pentru membrii autorității de supraveghere ar trebui stabilite prin lege în fiecare stat membru și ar trebui, în special, să prevadă condiția ca acești membri să fie numiți de parlamentul sau de guvernul statului membru , cu consultarea parlamentului, și să includă dispoziții privind calificarea personală și funcția membrilor respectivi. [AM 44]

(55) Cu toate că prezenta directivă se aplică, de asemenea, activităților instanțelor naționale, prelucrarea datelor cu caracter personal nu ar trebui să fie de competența autorităților de supraveghere atunci când instanțele își exercită atribuțiile judiciare, în scopul asigurării independenței judecătorilor în îndeplinirea sarcinilor lor judiciare. Cu toate acestea, derogarea ar trebui să se limiteze la activități pur judiciare în cadrul acțiunilor în instanță și să nu se aplice altor activități în care judecătorii ar putea fi implicați, în conformitate cu legislația națională.

(56) Pentru a se asigura consecvența monitorizării și a aplicării prezentei directive în întreaga Uniune, autoritățile de supraveghere ar trebui să aibă aceleași atribuții și competențe efective în fiecare stat membru, inclusiv competențe efective de investigare, prerogative de accesare a datelor cu caracter personal și toate informațiile necesare pentru îndeplinirea fiecărei funcții de supraveghere, prerogative care să permită accesul la oricare din sediile operatorului de date sau al persoanei împuternicite de operatorul de date, inclusiv la echipamentele de procesare a datelor, și de intervenție obligatorie conform legii, de decizie și sancționare, în special în cazul plângerilor înaintate de persoane fizice, precum și de acționare în justiție. [AM 45]

(57) Fiecare autoritate de supraveghere ar trebui să răspundă plângerilor depuse de orice persoană vizată și ar trebui să investigheze cazul. Investigația în urma unei plângeri ar trebui să fie efectuată doar dacă se dovedește necesară în respectivul caz și trebuie să poată face obiectul căilor de atac judiciare. Autoritatea de supraveghere ar trebui să informeze persoana vizată cu privire la evoluția și soluționarea plângerii într-un termen rezonabil. În eventualitatea în care cazul necesită o investigare suplimentară sau coordonarea cu o altă autoritate de supraveghere, ar trebui să se furnizeze informații intermediare persoanei vizate.

(58) Autoritățile de supraveghere ar trebui să își acorde reciproc asistență în îndeplinirea atribuțiilor care le revin, pentru a se asigura coerența aplicării și a asigurării aplicării dispozițiilor adoptate în temeiul prezentei directive. Fiecare autoritate de supraveghere ar trebui să fie disponibilă pentru a participa la operațiuni comune. Autoritatea de supraveghere căreia i s-a adresat solicitarea ar trebui să aibă obligația de a răspunde cererii într-un anumit termen. [AM 46]

(59) Comitetul european pentru protecția datelor, instituit prin Regulamentul (UE) …/2012 2014 , ar trebui să contribuie la aplicarea coerentă a prezentei directive în întreaga Uniune, inclusiv prin oferirea de consultanță Comisiei și instituțiilor Uniunii prin promovarea cooperării autorităților de supraveghere în întreaga Uniune și să dea un aviz Comisiei cu prilejul elaborării actelor delegate și de punere în aplicare bazate pe prezenta directivă . [AM 47]

(60) Orice persoană vizată ar trebui să aibă dreptul de a depune o plângere la o autoritate de supraveghere în orice stat membru și dreptul la exercitarea unei căi de atac, în cazul în care consideră că drepturile pe care i le conferă prezenta directivă sunt încălcate sau în cazul în care autoritatea de supraveghere nu reacționează la o plângere sau nu acționează atunci când o astfel de acțiune este necesară pentru asigurarea protecției drepturilor persoanei vizate.

(61) Orice organism, organizație sau asociație care are drept obiectiv asigurarea protecției drepturilor și a intereselor persoanelor vizate în ceea ce privește protecția datelor acestora și este acționează în interes public, constituit(ă) în conformitate cu legislația unui stat membru ar trebui să aibă dreptul să depună o plângere, să își exercite dreptul la o cale de atac în numele persoanelor vizate, dacă au primit mandat corespunzător din partea acestora, sau să depună, independent de plângerea înaintată de o persoană vizată, o plângere în nume propriu în cazul în care consideră că a avut loc o încălcare a securității datelor cu caracter personal. [AM 48]

(62) Orice persoană fizică sau juridică ar trebui să aibă dreptul la exercitarea unei căi de atac împotriva deciziilor unei autorități de supraveghere care o privesc. Acțiunile inițiate împotriva unei autorități de supraveghere ar trebui să fie înaintate instanțelor statului membru în care se află autoritatea de supraveghere.

(63) Statele membre ar trebui să se asigure că acțiunile în justiție, pentru a fi eficiente, permit adoptarea rapidă de măsuri în scopul remedierii sau al prevenirii încălcării prezentei directive.

(64) Orice daună , inclusiv daunele nepecuniare, pe care o persoană o poate suferi ca urmare a unei prelucrări ilegale ar trebui să fie despăgubită de operator sau de persoana împuternicită de către operator, care pot fi exonerați de răspundere dacă dovedesc că nu sunt răspunzători pentru prejudiciu, în special în cazul în care aceștia dovedesc că s-a produs din culpa persoanei vizate sau este rezultatul unui caz de forță majoră. [AM 49]

(65) Ar trebui impuse sancțiuni oricărei persoane fizice sau juridice, de drept privat sau public, care nu respectă prezenta directivă. Statele membre ar trebui să se asigure că sancțiunile sunt eficace, proporționale și cu efect de descurajare și ar trebui să adopte toate măsurile pentru punerea în aplicare a sancțiunilor.

(65a) Transmiterea de date cu caracter personal către alte autorități sau entități private din cadrul Uniunii este interzisă, exceptând situația în care transmiterea este în conformitate cu legea și destinatarul își are sediul într-un stat membru și nu există interese legitime specifice ale persoanei vizate care să împiedice transmiterea, precum și dacă transmiterea este necesară într-un caz specific pentru operatorul care transmite datele, fie pentru îndeplinirea unei sarcini care îi revine prin lege, fie pentru prevenirea unui pericol imediat și grav la adresa siguranței publice sau prevenirea unei încălcări grave a drepturilor unor persoane fizice. Operatorul trebuie să informeze destinatarul de scopul prelucrării și autoritatea de supraveghere în legătură cu transmiterea. Destinatarul ar trebui, de asemenea, să fie informat în legătură cu restricțiile privind prelucrarea și să asigure respectarea acestora. [AM 50]

(66) Pentru a se realiza obiectivele prezentei directive, și anume protejarea drepturilor și libertăților fundamentale ale persoanelor fizice și, în special, dreptul acestora la protecția datelor cu caracter personal, și pentru a se garanta liberul schimb de date cu caracter personal de către autoritățile competente pe teritoriul Uniunii, competența de a adopta acte în conformitate cu articolul 290 din Tratatul privind funcționarea Uniunii Europene ar trebui să fie delegată Comisiei. Ar trebui adoptate în special acte delegate în ceea ce privește notificarea autorității de supraveghere în cazul încălcării care să precizeze mai exact criteriile și condițiile pentru operațiunile de reprocesare care necesită o evaluare de impact în privința protecției datelor; criteriile și cerințele pentru încălcarea securității datelor și referitoare la un nivel adecvat de protecție permis de o țară terță ori de un teritoriu sau sector de procesare din acea țară terță, ori de o organizație internațională. Este deosebit de important ca, pe durata activităților pregătitoare, Comisia să desfășoare consultări adecvate, inclusiv la nivel de experți , în special cu Autoritatea Europeană pentru Protecția Datelor . Comisia, atunci când pregătește și elaborează acte delegate, ar trebui să asigure o transmitere simultană, în timp util și adecvată a documentelor relevante către Parlamentul European și către Consiliu. [AM 51]

(67) Pentru a se asigura condiții uniforme de punere în aplicare a prezentei directive în ceea ce privește documentația deținută de operatori și de persoanele împuternicite de către operatori, securitatea prelucrării, în special în ceea ce privește standardele de criptare, notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal și nivelul adecvat de protecție oferit de o țară terță, un teritoriu sau un sector de prelucrare în țara terță respectivă sau de o organizație internațională, ar trebui să i se confere Comisiei competențe de executare. Aceste competențe ar trebui exercitate în conformitate cu Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului din 16 februarie 2011 de stabilire a normelor și a principiilor generale privind mecanismele de control de către statele membre al exercitării competențelor de executare de către Comisie (6). [AM 52]

(68) Procedura de examinare ar trebui să fie utilizată pentru adoptarea de măsuri în ceea ce privește documentația deținută de operatori și de persoane împuternicite de către operatori, securitatea prelucrării, și notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal și nivelul adecvat de protecție oferit de o țară terță, un teritoriu sau un sector de prelucrare în țara terță respectivă sau de o organizație internațională, ținând seama de faptul că actele respective au un caracter general. [AM 53]

(69) Comisia ar trebui să adopte acte de punere în aplicare imediat aplicabile atunci când acest lucru se impune din motive imperative de urgență, în cazuri justificate în mod corespunzător referitoare la o țară terță, un teritoriu sau un sector de prelucrare din țara terță respectivă sau o organizație internațională care nu asigură un nivel de protecție adecvat. [AM 54]

(70) Întrucât obiectivele prezentei directive, și anume protejarea drepturilor și a libertăților fundamentale ale persoanelor fizice, în special dreptul acestora la protecția datelor lor cu caracter personal și asigurarea liberului schimb de date cu caracter personal de către autoritățile competente în cadrul Uniunii, nu pot fi realizate în mod satisfăcător de către statele membre și, prin urmare , dar , din cauza dimensiunilor sau a efectelor acțiunii, pot fi realizate mai bine la nivelul Uniunii, Uniunea poate adopta măsuri, în conformitate cu principiul subsidiarității, astfel cum se prevede la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporționalității, astfel cum este enunțat în respectivul articol, prezenta directivă nu depășește ceea ce este necesar pentru atingerea acestui obiectiv obiectivelor în cauză . Statele membre pot prevedea standarde mai înalte decât cele stabilite în prezenta directivă. [AM 55]

(71) Decizia-cadru 2008/977/JAI a Consiliului ar trebui abrogată prin prezenta directivă.

(72) Dispoziții specifice cu privire la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor în actele Uniunii adoptate înainte de data adoptării prezentei directive, care reglementează prelucrarea datelor cu caracter personal între statele membre și accesul autorităților desemnate de statele membre la sistemele informatizate instituite în temeiul tratatelor, ar trebui să rămână neschimbate. Cum articolul 8 din Cartă și articolul 16 din TFUE precizează că dreptul fundamental la protecția datelor cu caracter personal trebuie asigurat în mod consecvent și uniform în întreaga Uniune, în termen de doi ani de la intrarea în vigoare a prezentei directive . Comisia ar trebui să evalueze situația în ceea ce privește relația dintre prezenta directivă și actele adoptate înainte de data adoptării prezentei directive care reglementează prelucrarea datelor cu caracter personal între statele membre și accesul autorităților desemnate de statele membre la sistemele informatizate instituite în conformitate cu tratatele, pentru a evalua necesitatea alinierii acestor dispoziții specifice cu prezenta directivă și ar trebui să prezinte propuneri adecvate în vederea asigurării unor norme de drept consecvente și uniforme legate de prelucrarea datelor cu caracter personal de către autoritățile competente sau de accesul autorităților desemnate ale statelor membre la sistemele de informare înființate în temeiul tratatelor, precum și de prelucrarea datelor cu caracter personal de către instituțiile, organismele, oficiile și agențiile Uniunii în scopul prevenirii, identificării, investigării sau urmăririi infracțiunilor de natură penală sau al executării pedepselor de natură penală care intră în domeniul de aplicare al prezentei directive . [AM 56]

(73) În vederea asigurării unei protecții globale și coerente a datelor cu caracter personal în cadrul Uniunii, ar trebui modificate acordurile internaționale încheiate de Uniune sau de statele membre înainte de intrarea în vigoare a prezentei directive în vederea armonizării cu prezenta directivă. [AM 57]

(74) Prezenta directivă se aplică fără a aduce atingere normelor privind combaterea abuzului sexual, a exploatării sexuale a copiilor și a pornografiei infantile, astfel cum se prevede în Directiva 2011/93/UE a Parlamentului European și a Consiliului (7).

(75) În conformitate cu articolul 6a din Protocolul nr. 21 privind poziția Regatului Unit și a Irlandei în ceea ce privește spațiul de libertate, securitate și justiție, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Regatul Unit și Irlanda nu sunt obligate să aplice normele stabilite în prezenta directivă întrucât Regatul Unit și Irlanda nu sunt obligate să aplice normele care reglementează formele de cooperare judiciară în materie penală sau de cooperare polițienească, care necesită respectarea dispozițiilor stabilite pe baza articolului 16 din Tratatul privind funcționarea Uniunii Europene.

(76) În conformitate cu articolele 2 și 2a din Protocolul nr. 22 privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Danemarca nu este obligată de prezenta directivă și nici nu face obiectul aplicării acesteia. Având în vedere faptul că prezenta directivă reprezintă o completare a acquis-ului Schengen, în temeiul titlului V partea a treia din Tratatul privind funcționarea Uniunii Europene, Danemarca, în conformitate cu articolul 4 din protocolul menționat, decide, în termen de șase luni de la adoptarea prezentei directive, dacă o va transpune în legislația sa națională. [AM 58]

(77) În ceea ce privește Islanda și Norvegia, prezenta directivă constituie o dezvoltare a dispozițiilor acquis-ului Schengen, în conformitate cu acordul încheiat de Consiliul Uniunii Europene și de Republica Islanda și Regatul Norvegiei privind asocierea acestor două state la implementarea, aplicarea și dezvoltarea acquis-ului Schengen (8).

(78) În ceea ce privește Elveția, prezenta directivă constituie o dezvoltare a dispozițiilor acquis-ului Schengen, în conformitate cu Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (9).

(79) În ceea ce privește Liechtenstein, prezenta directivă reprezintă o dezvoltare a dispozițiilor acquis-ului Schengen, astfel cum se prevede în Protocolul dintre Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (10).

(80) Prezenta directivă respectă drepturile fundamentale și principiile recunoscute de Cartă, astfel cum sunt consacrate în tratat, în special dreptul la respectarea vieții private și de familie, dreptul la protecția datelor cu caracter personal, dreptul la o cale de atac eficientă și la un proces echitabil. Limitările aduse acestor drepturi sunt în conformitate cu articolul 52 alineatul (1) din cartă întrucât sunt necesare pentru atingerea obiectivelor de interes general recunoscute de Uniune sau pentru a proteja drepturile și libertățile celorlalți.

(81) În conformitate cu declarația politică comună din 28 septembrie 2011 a statelor membre și a Comisiei privind documentele explicative (11), statele membre s-au angajat să atașeze la notificarea măsurilor de transpunere, în cazuri justificate, unul sau mai multe documente care explică relația dintre elementele unei directive și părțile corespunzătoare ale instrumentelor naționale de transpunere. În ceea ce privește această directivă, legiuitorul consideră că transmiterea unor astfel de documente este justificată.

(82) Prezenta directivă nu ar trebui să împiedice statele membre să pună în aplicare exercitarea drepturilor persoanelor vizate cu privire la informare, acces, rectificare, ștergere și limitarea prelucrării datelor lor cu caracter personal în cadrul procedurilor penale, precum și eventualele limitări ale acestor drepturi în normele naționale privind procedura penală,

ADOPTĂ PREZENTA DIRECTIVĂ:

CAPITOLUL I

DISPOZIȚII GENERALE

Articolul 1

Obiect și obiective

(1) Prezenta directivă stabilește normele referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau, urmăririi penale a infracțiunilor și executării pedepselor , precum și normele aferente liberei circulații a unor astfel de date cu caracter personal .

(2) În conformitate cu prezenta directivă, statele membre:

(a) protejează drepturile și libertățile fundamentale ale persoanelor fizice, în special dreptul acestora la protecția datelor cu caracter personal și a vieții private ale acestora ; precum și

(b) se asigură că schimbul de date cu caracter personal de către autoritățile competente în cadrul Uniunii nu este limitat sau interzis din motive legate de protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal.

(2a) Prezenta directivă nu împiedică statele membre să ofere garanții mai mari decât cele stabilite în prezenta directivă. [AM 59]

Articolul 2

Domeniu de aplicare

(1) Prezenta directivă se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopurile prevăzute la articolul 1 alineatul (1).

(2) Prezenta directivă se aplică prelucrării datelor cu caracter personal, realizate integral sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr-un sistem de evidență a datelor sau care urmează să facă parte dintr-un sistem de evidență a datelor.

(3) Prezenta directivă nu se aplică prelucrării datelor cu caracter personal:

(a) în cadrul unei activități care nu intră în sfera dreptului Uniunii, în ceea ce privește, mai ales, securitatea națională;

(b) de către instituțiile, organele, oficiile și agențiile Uniunii. [AM 60]

Articolul 3

Definiții

În sensul prezentei directive:

1. „persoană vizată” înseamnă o persoană fizică identificată sau o persoană fizică ce poate fi identificată, în mod direct sau indirect, prin mijloace care pot fi utilizate, cu o probabilitate rezonabilă, de operator sau de orice altă persoană fizică sau juridică, în special prin referire la un număr de identificare, la date de localizare, la identificatori online sau la unul sau mai mulți factori specifici identității fizice, fiziologice, genetice, psihice, economice, culturale sau sociale a persoanei respective;

2. „date cu caracter personal” înseamnă orice informație privind referitoare la o persoană fizică identificată sau identificabilă ( o persoană vizată); o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator unic, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale, sociale sau de gen;

2a. „date protejate printr-un pseudonim” înseamnă date cu caracter personal care nu pot fi atribuite unei persoane vizate fără a se utiliza informații suplimentare, în măsura în care aceste informații suplimentare sunt stocate separat și fac obiectul unor măsuri de natură tehnică și organizatorică destinate să garanteze că nu va avea loc o astfel de atribuire;

3. „prelucrare” înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi culegerea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;

3a. „crearea de profiluri” înseamnă orice formă de prelucrare automatizată a datelor cu caracter personal prin care se urmărește evaluarea anumitor aspecte personale legate de o persoană fizică sau efectuarea de analize sau previziuni în legătură, în special, cu performanțele persoanei fizice respective la locul de muncă, situația sa economică, locul în care se află, starea sa de sănătate, preferințele personale, încrederea de care se bucură sau comportamentul acesteia;

4. „restricționarea prelucrării” înseamnă marcarea datelor cu caracter personal stocate, cu scopul de a limita prelucrarea viitoare a acestora;

5. „sistem de evidență a datelor” înseamnă orice set structurat de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate după criterii funcționale sau geografice;

6. „operator” înseamnă autoritatea publică competentă care, singură sau împreună cu alte autorități, stabilește scopurile, condițiile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile, condițiile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau prin legislația unui stat membru, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi stabilite prin dreptul Uniunii sau prin legislația unui stat membru;

7. „persoana împuternicită de către operator” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau orice alt organism care prelucrează datele cu caracter personal în numele operatorului;

8. „destinatar” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau orice alt organism căruia îi sunt transmise datele cu caracter personal;

9. „încălcarea securității datelor cu caracter personal” înseamnă o încălcare a securității care duce, distrugerea în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod;

10. „date genetice” înseamnă toate datele, indiferent de tipul acestora, referitoare la caracteristicile unei persoane, care sunt moștenite sau dobândite într-un stadiu precoce de dezvoltare prenatală;

11. „date biometrice” înseamnă orice date cu caracter personal referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane, care permit identificarea unică a acesteia, cum ar fi imaginile faciale sau datele dactiloscopice;

12. „date privind sănătatea” înseamnă orice informații date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane sau de acordarea de servicii medicale persoanei respective;

13. „minor” înseamnă orice persoană cu vârsta sub 18 ani;

14. „autorități competente” înseamnă orice autoritate publică abilitată în vederea prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor;

15. „autoritate de supraveghere” înseamnă o autoritate publică instituită de un stat membru în conformitate cu articolul 39. [AM 61]

CAPITOLUL II

PRINCIPII

Articolul 4

Principii legate de prelucrarea datelor cu caracter personal

Statele membre prevăd dispoziții potrivit cărora datele cu caracter personal trebuie:

(a) prelucrate în mod corect și în conformitate cu dispozițiile legale , în mod corect, transparent și verificabil față de persoana vizată ;

(b) colectate în scopuri determinate, explicite și legitime și nu trebuie prelucrate ulterior într-un mod incompatibil cu aceste scopuri;

(c) să fie adecvate, relevante și neexcesive limitate la minimul necesar în ceea ce privește scopurile în care sunt prelucrate; aceste date sunt prelucrate dacă și în măsura în care scopurile nu au putut fi îndeplinite prin prelucrarea unor informații care nu implică date cu caracter personal;

(d) să fie exacte și, dacă este necesar, actualizate; trebuie să se ia toate măsurile necesare pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, sunt șterse sau rectificate fără întârziere;

(e) să fie păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate datele cu caracter personal;

(f) prelucrate sub responsabilitatea și răspunderea operatorului, care asigură și demonstrează respectarea dispozițiilor adoptate în conformitate cu prezenta directivă;

(fa) prelucrate în așa fel încât să se permită în mod eficient persoanei vizate să își exercite drepturile menționate la articolele 10-17;

(fb) să fie procesate astfel încât să fie protejate împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare;

(fc) să fie prelucrate doar de personalul autorizat corespunzător al autorităților competente care au nevoie de acesta pentru îndeplinirea sarcinilor respective. [AM 62]

Articolul 4a

Acces la datele procesate inițial pentru alte scopuri decât cele menționate la articolul 1 alineatul (1)

(1) Statele membre adoptă măsuri pentru ca autoritățile competente să poată avea acces la datele cu caracter personal prelucrate inițial în alte scopuri decât cele menționate la articolul 1 alineatul (1) numai dacă sunt autorizate în mod specific în conformitate cu legislația Uniunii sau a statelor membre care trebuie să îndeplinească criteriile prevăzute la articolul 7 alineatul (1a) și să specifice că:

(a) accesul este permis doar personalului autorizat în acest sens al autorităților competente în exercitarea sarcinilor lor atunci când, într-un caz specific, există motive rezonabile pentru a crede că prelucrarea datelor cu caracter personal va contribui în mod substanțial la prevenirea, identificarea, investigarea sau urmărirea infracțiunilor sau la executarea pedepselor de natură penală;

(b) cererea de acordare a accesului trebuie făcută în scris și să menționeze temeiul juridic al cererii;

(c) cererea scrisă trebuie să fie documentată; și

(d) sunt implementate garanții adecvate pentru a asigura protecția drepturilor și libertăților fundamentale în ceea ce privește prelucrarea datelor cu caracter personal. Aceste garanții nu aduc atingere condițiilor specifice de accesare a datelor cu caracter personal și sunt complementare acestora, ca, de exemplu, autorizarea judecătorească în conformitate cu legislația statelor membre.

(2) Datele cu caracter personal deținute de persoane private sau de alte autorități publice sunt accesate numai în scopul de a investiga sau urmări infracțiuni penale, în conformitate cu cerințele de necesitate și proporționalitate urmând a fi definite de dreptul Uniunii sau a statului membru, în deplină conformitate cu articolul 7a. [AM 63]

Articolul 4b

Limite temporale pentru stocare și reexaminare

(1) Statele membre iau măsuri vizând ștergerea de către autoritățile competente a datelor prelucrate în conformitate cu prezenta directivă în cazul în care acestea nu mai sunt necesare pentru scopurile în care au fost prelucrate.

(2) Statele membre dau dispoziții pentru ca autoritățile competente să instaleze mecanisme care să asigure stabilirea de unor termene, în conformitate cu articolul 4, pentru ștergerea datelor cu caracter personal și pentru o reexaminare periodică a necesității stocării datelor, inclusiv prin fixarea unor perioade de stocare diferite pentru diferite categorii de date cu caracter personal. Se adoptă măsuri procedurale pentru a asigura respectarea acestor termene și intervale pentru reexaminarea periodică. [AM 64]

Articolul 5

Distincția între diferitele Diferite categorii de persoane vizate

(1) Statele membre prevăd dispoziții potrivit cărora, în măsura posibilului, operatorul face distincție clară între iau măsuri pentru ca, în scopurile prevăzute la articolul 1 alineatul (1), autoritățile competente să poată prelucra datele cu caracter personal ale diferitelor categorii de persoane vizate, precum ale diferitelor categorii de persoane vizate prezentate mai jos, iar operatorul face o distincție clară între acestea :

(a) persoane în privința cărora există motive serioase rezonabile să se creadă că au săvârșit sau că urmează să săvârșească o infracțiune;

(b) persoane condamnate pentru comiterea unei infracțiuni o infracțiune ;

(c) victime ale unei infracțiuni sau persoane în privința cărora, în baza anumitor fapte, există motive să se creadă că persoanele respective ar putea fi victimele unei infracțiuni; și

(d) părți terțe la infracțiune, ca de exemplu persoane care ar putea fi chemate să depună mărturie în cadrul anchetelor legate de infracțiuni sau în cadrul procedurilor penale ulterioare sau persoane care pot oferi informații cu privire la infracțiuni sau persoane care sunt în legătură sau asociate cu persoanele menționate la literele (a) și (b).și

(e) persoane care nu se încadrează în niciuna dintre categoriile menționate mai sus.

(2) Datele cu caracter personal privind alte persoane vizate decât cele menționate la alineatul (1) pot fi prelucrate doar:

(a) în măsura în care acest lucru este necesar pentru investigarea sau urmărirea penală a unei infracțiuni specifice în vederea evaluării relevanței datelor referitor la una dintre categoriile indicate la alineatul (1); sau

(b) în cazurile în care prelucrarea este indispensabilă în scopuri specifice de prevenire sau în scopuri de analiză a infracțiunilor, dacă și în măsura în care acest scop este legitim, bine definit și specific, iar prelucrarea este strict limitată la evaluarea relevanței datelor pentru una dintre categoriile indicate la alineatul (1). Aceasta se revizuiește cel puțin o dată la șase luni. Orice utilizare ulterioară este interzisă.

(3) Statele membre prevăd măsuri pentru aplicarea de limitări și garanții suplimentare, în conformitate cu dispozițiile legale ale statelor membre, în ceea ce privește prelucrarea ulterioară a datelor cu caracter personal referitoare la persoanele vizate menționate la alineatul (1) literele (c) și (d). [AM 65]

Articolul 6

Grade diferite de precizie și de fiabilitate a datelor cu caracter personal

(1) Statele membre prevăd măsuri care să asigure acuratețea și fiabilitatea datelor se asigură că, pe cât posibil, se face distincție între diferitele categorii de date cu caracter personal care fac obiectul prelucrării în funcție de gradul de precizie și de fiabilitate.

(2) Statele membre se asigură că, pe cât posibil, se face distincție între datele cu caracter personal bazate pe fapte și datele cu caracter personal bazate pe evaluări personale , în conformitate cu gradul lor de exactitate și fiabilitate .

(2a) Statele membre se asigură că nu se transmit sau se pun la dispoziție date cu caracter personal care sunt inexacte, incomplete sau nu mai sunt actuale. În acest scop, autoritățile competente evaluează calitatea datelor cu caracter personal înainte de a fi transferate sau puse la dispoziție. În măsura în care acest lucru este posibil, la fiecare transfer de date, se adaugă informațiile disponibile care permit statului membru destinatar să evalueze gradul de exactitate, de exhaustivitate, de actualitate și de fiabilitate a datelor. În absența unei solicitări din partea unei autorități competente, datele cu caracter personal nu sunt transferate, în special datele deținute inițial de entități private.

(2b) În cazul în care se constată transferul unor date inexacte sau transferul unor date în mod ilegal, acest lucru trebuie comunicat de îndată destinatarului. Destinatarul are obligația de a corecta sau șterge datele imediat în temeiul alineatului (1) și al articolului 15, respectiv al articolului 16. [AM 66]

Articolul 7

Legalitatea prelucrării

(1) Statele membre prevăd dispoziții potrivit cărora prelucrarea datelor cu caracter personal este conformă dispozițiilor legale doar în cazul în care și în măsura în care prelucrarea se bazează pe dreptul Uniunii sau al statelor membre pentru scopurile stabilite la articolul 1 alienatul (1) și este necesară:

(a) pentru executarea unei sarcini de către o autoritate competentă, conform legislației, în scopurile prevăzute la articolul 1 alineatul (1); sau

(b) pentru respectarea unei obligații legale care revine operatorului; sau

(c) pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane; sau

(d) pentru prevenirea unei amenințări imediate și grave la adresa siguranței publice.

(1a) Legislația Uniunii sau a statelor membre care reglementează prelucrarea datelor cu caracter personal în cadrul domeniului de aplicare al prezentei directive conține dispoziții explicite și detaliate care specifică cel puțin:

(a) scopurile prelucrării;

(b) datele cu caracter personal de procesat;

(c) scopurile specifice și mijloacele de prelucrare;

(d) numirea operatorului sau criterii specifice pentru numirea acestuia;

(e) categorii de personal autorizat în acest scop al autorităților competente pentru prelucrarea datelor cu caracter personal;

(f) procedura de urmat pentru procesul de prelucrare;

(g) utilizarea posibilă a datelor cu caracter personal obținute;

(h) limitări ale domeniului de aplicare al oricăror prerogative conferite autorităților competente în raport cu activitățile de prelucrare; [AM 67]

Articolul 7a

Prelucrarea ulterioară în scopuri incompatibile

(1) Statele membre prevăd dispoziții conform cărora datele cu caracter personal nu pot fi prelucrate ulterior în alt scop stabilit la articolul 1 alineatul (1) și care nu este compatibil cu scopurile în care datele au fost colectate inițial decât dacă și în măsura în care:

(a) prelucrarea este strict necesară și proporțională într-o societate democratică și impusă de dreptul Uniunii sau al statelor membre pentru un scop legitim, bine definit și specific;

(b) prelucrarea este strict limitată la o perioadă care nu depășește timpul necesar pentru operațiunea specifică de prelucrare a datelor;

(c) orice altă utilizare ulterioară în alte scopuri este interzisă.

Înainte de orice prelucrare, statul membru consultă autoritatea națională de supraveghere competentă și efectuează o evaluare a impactului asupra protecției datelor.

(2) În plus față de cerințele prevăzute la articolul 7 alineatul (1a), legislația Uniunii sau a statelor membre care autorizează prelucrarea ulterioară, menționată la alineatul (1), cuprinde dispoziții explicite și detaliate cel puțin cu privire la:

(a) scopurile și mijloacele specifice ale respectivei prelucrări;

(b) faptul că accesul este permis doar pentru personalul autorizat în acest sens al autorităților competente în exercitarea sarcinilor lor atunci când, într-un caz specific, există motive rezonabile pentru a crede că prelucrarea datelor cu caracter personal va contribui în mod substanțial la prevenirea, identificarea, investigarea sau urmărirea penală a infracțiunilor sau la executarea pedepselor de natură penală; precum și

(c) stabilirea unor garanții adecvate, cu scopul de a asigura protecția drepturilor și libertăților fundamentale în ceea ce privește prelucrarea datelor cu caracter personal.

Statele membre pot solicita ca accesul la datele cu caracter personal să facă obiectul unor condiții suplimentare, cum ar fi autorizarea judiciară, în conformitate cu legislația lor națională.

(3) Statele membre, pot, de asemenea, permite prelucrarea ulterioară a datelor personale în scopuri istorice, statistice sau științifice, cu condiția instituirii unor garanții adecvate, cum ar fi anonimizarea datelor. [AM 68]

Articolul 8

Prelucrarea categoriilor speciale de date cu caracter personal

(1) Statele membre interzic prelucrarea datelor cu caracter personal care dezvăluie rasa sau originea etnică, opiniile politice, religia sau convingerile filozofice , orientarea sexuală sau identitatea de gen , apartenența la un și activitățile de sindicat, a precum și prelucrarea datelor genetice sau biometrice și a datelor privind sănătatea sau viața sexuală.

(2) Alineatul (1) nu se aplică atunci când:

(a) prelucrarea este permisă printr-o lege care oferă garanții adecvate este strict necesară și proporționată pentru îndeplinirea unei sarcini efectuate de autoritățile competente, în scopurile menționate la articolul 1 alineatul (1), pe baza dreptului Uniunii sau al statelor membre, care prevede măsuri specifice și corespunzătoare pentru protejarea intereselor legitime ale persoanei vizate, inclusiv o autorizare specifică din partea unei autorități judiciare, dacă legislația națională impune acest lucru ; sau

(b) prelucrarea este necesară pentru protejarea intereselor vitale ale persoanei vizate sau ale altei persoane; sau

(c) prelucrarea se referă la date care sunt făcute publice în mod manifest de persoana vizată , cu condiția ca acestea să fie relevante și de strictă necesitate pentru scopul urmărit în cazul respectiv . [AM 69]

Articolul 8a

Prelucrarea datelor genetice în scopul unei anchete penale sau al unei proceduri judiciare

(1) Statele membre garantează că datele genetice nu pot fi utilizate decât pentru stabilirea unei legături genetice în contextul elementelor de probă, prevenind o amenințare la adresa siguranței publice sau comiterea unei infracțiuni specifice. Datele genetice nu pot fi utilizate pentru a determina alte caracteristici ce pot fi legate genetic.

(2) Statele membre prevăd dispoziții conform cărora datele sau informațiile genetice rezultate în urma analizei lor nu pot fi păstrate decât atât timp cât este necesar pentru scopurile în care datele sunt prelucrate și atunci când persoana în cauză a fost condamnată pentru infracțiuni grave împotriva vieții, integrității sau securității persoanelor, cu condiția unor perioade de stocare stricte ce urmează a fi determinate de legislația statelor membre.

(3) Statele membre garantează că datele sau informațiile genetice rezultate în urma analizei lor nu sunt stocate pentru perioade mai lungi decât atunci când datele genetice nu pot fi atribuite unei persoane, în special în cazul în care acestea sunt găsite la locul infracțiunii. [AM 70]

Articolul 9

Măsuri bazate pe crearea de profiluri și pe prelucrarea automată

(1) Statele membre prevăd dispoziții potrivit cărora sunt interzise măsurile care au efect juridic negativ pentru persoana vizată sau care afectează în mod semnificativ persoana vizată și care se bazează exclusiv parțial sau total pe prelucrarea automată a datelor cu caracter personal care au ca scop evaluarea anumitor aspecte personale privind persoana vizată, cu excepția cazului în care acest lucru este permis de un act legislativ care prevede, de asemenea, măsuri de protejare a intereselor legitime ale persoanei vizate.

(2) Prelucrarea automată a datelor cu caracter personal, menite să evalueze anumite aspecte personale privind persoana vizată nu se bazează exclusiv pe categoriile speciale de date cu caracter personal prevăzute la articolul 8.

(2a) Prelucrarea automată a datelor cu caracter personal, menite să individualizeze o persoană vizată în lipsa unei suspiciuni inițiale potrivit căreia persoana vizată este posibil să fi comis sau să comită o infracțiune este permisă de lege doar în cazul și în măsura în care acest lucru este strict necesar pentru investigarea unei infracțiuni grave sau pentru prevenirea unui pericol iminent și clar, stabilit pe indicații factuale, la adresa siguranței publice, existenței statului sau vieții unor persoane.

(2b) În toate cazurile, se interzice crearea de profiluri care are drept efect (cu sau fără intenție) discriminarea împotriva persoanelor fizice pe baza originii rasiale sau etnice, a opiniilor politice, a religiei sau a convingerilor, a apartenenței sindicale sau a orientării sexuale ori de gen, sau care are drept rezultat (cu sau fără intenție) măsuri ce au astfel de efecte. [AM 71]

Articolul 9a

Principii generale referitoare la drepturile persoanei vizate

(1) Statele membre se asigură că baza protecției datelor este clară, cu drepturi neambigui pentru persoana vizată care sunt respectate de către operator. Dispozițiile prezentei directive au scopul de a întări, clarifica, garanta și, după caz, codifica aceste drepturi.

(2) Statele membre iau măsurile necesare pentru ca aceste drepturi să includă, între altele, oferirea unor informații clare și ușor de înțeles cu privire la procesarea datelor personale ale persoanei vizate, dreptul de acces, rectificare și ștergere a datelor respective, dreptul de a depune o reclamație la autoritatea competentă de protecție a datelor și de a introduce acțiuni în justiție, precum și dreptul la compensări și despăgubiri în urma unei operațiuni de prelucrare care nu respectă legea. Aceste drepturi se exercită în general gratuit. Operatorul răspunde solicitărilor persoanei vizate într-un termen rezonabil. [AM 72]

CAPITOLUL III

DREPTURILE PERSOANEI VIZATE

Articolul 10

Modalități de exercitare a drepturilor persoanei vizate

(1) Statele membre prevăd dispoziții potrivit cărora operatorul ia toate măsurile rezonabile pentru a aplica aplică politici concise, transparente , clare și ușor accesibile în ceea ce privește prelucrarea datelor cu caracter personal și exercitarea drepturilor persoanelor vizate.

(2) Statele membre prevăd dispoziții potrivit cărora operatorul pune la dispoziția persoanei vizate orice informație și orice comunicare referitoare la prelucrarea datelor cu caracter personal, într-o formă inteligibilă, folosind un limbaj simplu și clar , în special atunci când informațiile respective sunt adresate în mod specific unui copil .

(3) Statele membre prevăd dispoziții potrivit cărora operatorul ia toate măsurile rezonabile pentru stabilirea procedurilor stabilește procedurile de furnizare a informațiilor prevăzute la articolul 11 și de exercitare a drepturilor persoanelor vizate prevăzute la articolele 12 – 17. În cazul în care datele cu caracter personal fac obiectul unei prelucrări automatizate, operatorul prevede modalitățile de introducere a cererilor pe cale electronică.

(4) Statele membre prevăd dispoziții potrivit cărora operatorul informează persoana vizată cu privire la modul în care a dat curs cererii, fără întârzieri nejustificate , și în orice caz în termen de o lună de la primirea cererii . Informațiile sunt furnizate în scris. Atunci când persoana vizată efectuează cererea în format electronic, informațiile sunt furnizate în același format.

(5) Statele membre prevăd dispoziții potrivit cărora informațiile și orice acțiune întreprinsă de către operator în urma unei cereri prevăzute la alineatele (3) și (4) nu se taxează. În cazul în care cererile sunt ofensatoare în mod vădit excesive , în special din cauza caracterului lor repetitiv sau al mărimii ori volumului cererii, operatorul poate percepe o taxă rezonabilă, ținând cont de costurile administrative, pentru furnizarea informațiilor sau pentru luarea măsurilor solicitate sau operatorul poate să nu întreprindă acțiunea cerută. În acest caz, sarcina probei în ceea ce privește caracterul vădit excesiv al cererii revine operatorului.

(5a) Statele membre pot prevedea posibilitatea persoanei vizate de a-și exercita acest drept în mod direct împotriva operatorului sau prin intermediul autorității naționale de supraveghere competente. În cazul în care autoritatea de supraveghere a acționat la cererea persoanei vizate, autoritatea de supraveghere informează persoana vizată cu privire la verificările efectuate. [AM 73]

Articolul 11

Informații pentru persoana vizată

(1) În cazul în care se colectează date cu caracter personal referitoare la o persoană vizată, statele membre se asigură că operatorul ia toate măsurile necesare pentru a furniza furnizează persoanei vizate cel puțin următoarele informații:

(a) identitatea și datele de contact ale operatorului și ale responsabilului cu protecția datelor;

(b) temeiul juridic și scopurile în care sunt prelucrate datele cu caracter personal;

(c) perioada de stocare a datelor cu caracter personal;

(d) existența dreptului de a solicita operatorului accesul și rectificarea, ștergerea sau limitarea prelucrării datelor cu caracter personal referitoare la persoana vizată;

(e) dreptul de a depune o plângere la autoritatea de supraveghere prevăzută la articolul 39 și datele de contact ale acestei autorități;

(f) destinatarii sau categoriile de destinatari ai datelor cu caracter personal, inclusiv în țări terțe sau organizații internaționale și entitatea autorizată să acceseze datele în temeiul legilor țării terțe respective sau al normelor unei organizații internaționale, existența sau inexistența unei decizii din partea Comisiei privind caracterul adecvat al protecției sau, în cazul transferurilor menționate la articolele 35 și 36, modalitățile de a obține o copie a garanțiilor corespunzătoare utilizate pentru transfer ;

(fa) în cazul în care operatorul procesează date cu caracter personal astfel cum este descris la articolul 9 alineatul (1), informațiile cu privire la existența prelucrării pentru o măsură de tipul celor menționate la articolul 9 alineatul (1) și efectele preconizate ale unei astfel de prelucrări asupra persoanei vizate, precum și informații cu privire la logica folosită în stabilirea profilelor și dreptul de a obține o evaluare umană;

(fb) informații cu privire la măsurile de securitate luate pentru a proteja datele cu caracter personal;

(g) orice alte informații suplimentare, în măsura în care astfel de informații suplimentare sunt necesare pentru garantarea prelucrării echitabile în ceea ce privește persoana vizată, având în vedere circumstanțele specifice în care sunt prelucrate datele cu caracter personal.

(2) În cazul în care datele cu caracter personal sunt colectate de la persoana vizată, operatorul transmite persoanei vizate, în plus față de informațiile menționate la alineatul (1), informații cu privire la caracterul obligatoriu sau opțional al furnizării datelor cu caracter personal, precum și la eventualele consecințe ale refuzului de a furniza aceste date.

(3) Operatorul furnizează informațiile prevăzute la alineatul (1):

(a) în momentul obținerii datelor cu caracter personal de la persoana vizată; sau

(b) în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, în momentul în care sunt înregistrate sau într-o perioadă de timp rezonabilă după colectare, având în vedere circumstanțele specifice ale prelucrării datelor.

(4) Statele membre pot adopta măsuri legislative de amânare, sau restricționare sau omitere a dispoziției privind informațiile pentru persoana vizată , într-un caz concret, în măsura în care și atât timp cât o astfel de restricționare parțială sau totală constituie o măsură necesară și proporțională într-o societate democratică, ținând seama de drepturile fundamentale și de interesele legitime ale persoanei vizate:

(a) pentru evitarea obstrucționării cercetărilor, anchetelor sau procedurilor oficiale sau juridice;

(b) pentru a nu prejudicia prevenirea, identificarea, investigarea sau urmărirea penală a infracțiunilor sau executarea pedepselor;

(c) pentru protejarea siguranței publice;

(d) pentru protejarea securității naționale;

(e) pentru protejarea drepturilor și libertăților celorlalți.

(5) Statele membre prevăd dispoziții conform cărora operatorul evaluează, în fiecare caz specific, prin intermediul unei examinări concrete și individuale, aplicabilitatea unei restricționări parțiale sau totale în cazul unuia dintre motivele menționate la alineatul (4). Statele membre pot, de asemenea, stabili prin lege categoriile de prelucrare a datelor care se pot încadra, integral sau parțial, la excepțiile de la alineatul (4) literele (a), (b), (c) și (d) . [AM 74]

Articolul 12

Dreptul de acces al persoanei vizate

(1) Statele membre prevăd dispoziții potrivit cărora persoana vizată are dreptul de a obține de la operator confirmarea cu privire la prelucrarea datelor sale cu caracter personal. În cazul în care aceste date cu caracter personal sunt prelucrate, operatorul furnizează următoarele informații , dacă nu au fost deja furnizate :

(-a) comunicarea datelor cu caracter personal care fac obiectul prelucrării și a oricărei informații disponibile cu privire la originea datelor și, după caz, informații inteligibile referitoare la logica utilizată în orice prelucrare automată;

(-aa) semnificația și consecințele avute în vedere ale acestei prelucrări, cel puțin în cazul măsurilor menționate la articolul 9;

(a) scopurile prelucrării , precum și temeiurile juridice ale prelucrării ;

(b) categoriile de date cu caracter personal vizate;

(c) destinatarii sau categoriile de destinatari cărora le-au fost dezvăluite datele cu caracter personal, în special destinatarii din țări terțe;

(d) perioada de stocare a datelor cu caracter personal;

(e) existența dreptului de a solicita de la operator rectificarea, ștergerea sau restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată;

(f) dreptul de a depune o plângere în fața autorității de supraveghere și datele de contact ale autorității de supraveghere.

(g) comunicarea datelor cu caracter personal care fac obiectul prelucrării și a oricărei informații disponibile cu privire la originea datelor.

(2) Statele membre prevăd dispoziții potrivit cărora persoana vizată are dreptul de a obține de la operator o copie a datelor cu caracter personal care fac obiectul prelucrării. În cazul în care persoana vizată introduce o cerere în format electronic, informațiile sunt furnizate în format electronic, cu excepția cazului în care persoana vizată solicită un alt format. [AM 75]

Articolul 13

Limitarea dreptului de acces

(1) Statele membre pot adopta măsuri legislative care limitează, integral sau parțial, în funcție de cazul concret, dreptul de acces al persoanei vizate în măsura și pentru perioada în care o astfel de limitare, parțială sau totală, constituie o măsură strict necesară și proporțională într-o societate democratică, ținându-se seama de drepturile fundamentale și interesele legitime ale persoanei în cauză:

(a) pentru evitarea obstrucționării cercetărilor, anchetelor sau procedurilor oficiale sau juridice;

(b) pentru a nu prejudicia prevenirea, identificarea, investigarea sau urmărirea penală a infracțiunilor sau executarea pedepselor;

(c) pentru protejarea siguranței publice;

(d) pentru protejarea securității naționale;

(e) pentru protejarea drepturilor și libertăților celorlalți.

(2) Statele membre prevăd dispoziții conform cărora operatorul evaluează, în fiecare caz specific, prin intermediul unei examinări concrete și individuale, aplicabilitatea unei restricționări parțiale sau totale în cazul unuia dintre motivele menționate la alineatul (1). Statele membre pot , de asemenea, stabili prin lege categoriile de prelucrare a datelor care se pot încadra, integral sau parțial, la excepțiile de la alineatul (1) literele (a)-(d) .

(3) În cazurile prevăzute la alineatele (1) și (2), statele membre prevăd dispoziții potrivit cărora operatorul informează în scris persoana vizată , fără întârzieri nejustificate, cu privire la refuzarea sau limitarea accesului, cu privire la motivele argumentate ale refuzului și cu privire la posibilitățile de a depune o plângere la autoritatea de supraveghere și de a introduce o cale de atac în justiție. Informațiile cu privire la motivele de fapt și de drept care stau la baza deciziei pot fi omise în cazul în care furnizarea acestor informații ar contraveni unuia dintre obiectivele de la alineatul (1).

(4) Statele membre se asigură că operatorul justifică evaluarea menționată la alineatul (2), precum și motivele pentru omiterea restricționarea comunicării motivelor de fapt sau de drept care stau la baza deciziei. Aceste informații se pun la dispoziția autorităților naționale de supraveghere. [AM 76]

Articolul 14

Modalitățile de exercitare a dreptului de acces

(1) Statele membre prevăd dispoziții potrivit cărora persoana vizată are dreptul de a solicita , în orice moment, și în special în cazurile menționate la articolul 13 articolele 12 și 13 , verificarea legalității prelucrării datelor de către autoritatea de supraveghere.

(2) Statul membru Statele membre prevede dispoziții potrivit cărora operatorul informează persoana vizată cu privire la dreptul de a solicita intervenția autorității de supraveghere în temeiul alineatului (1).

(3) Atunci când este exercitat dreptul menționat la alineatul (1), autoritatea de supraveghere informează persoana vizată, cel puțin că au fost realizate toate verificările necesare de către autoritatea de supraveghere, precum și cu privire la rezultatul legalității prelucrării respective. Autoritatea de supraveghere informează, de asemenea, persoana vizată în legătură cu dreptul acesteia de a introduce o cale de atac.

(3a) Statele membre pot prevedea posibilitatea persoanei vizate de a-și exercita acest drept în mod direct împotriva operatorului sau prin intermediul autorității naționale de supraveghere competente.

(3b) Statele membre se asigură că operatorul dispune de un termen rezonabil pentru a răspunde solicitărilor persoanelor vizate cu privire la exercitarea drepturilor lor de acces. [AM 77]

Articolul 15

Dreptul la rectificare și completare

(1) Statele membre prevăd dispoziții potrivit cărora persoana vizată are dreptul de a obține de la operator rectificarea sau completarea datelor cu caracter personal inexacte sau incomplete care o privesc. Persoana vizată are dreptul de a obține completarea datelor cu caracter personal care sunt incomplete,, în special prin furnizarea unei declarații corective sau completive suplimentare.

(2) Statele membre prevăd dispoziții potrivit cărora operatorul informează în scris persoana vizată , oferind o justificare corespunzătoare, cu privire la orice refuz de rectificare sau completare , cu privire la motivele refuzului și cu privire la posibilitățile de a depune o plângere la autoritatea de supraveghere și de a introduce o cale de atac în justiție.

(2a) Statele membre prevăd ca operatorul să comunice orice rectificare efectuată fiecărui destinatar căruia i-au fost dezvăluite datele, cu excepția cazului în care o astfel de acțiune se dovedește a fi imposibilă sau presupune un efort disproporțional.

(2b) Statele membre prevăd obligația operatorului de a comunica rectificarea datelor personale inexacte părții terțe de la care provin datele inexacte.

(2c) Statele membre prevăd posibilitatea persoanei vizate de a-și exercita acest drept și prin intermediul autorității naționale de supraveghere competente. [AM 78]

Articolul 16

Dreptul de a șterge

(1) Statele membre prevăd dispoziții potrivit cărora persoana vizată are dreptul de a obține din partea operator