80.

AEPD subliniază că garanțiile și condițiile specifice pot fi definite numai de la caz la caz în lumina tuturor parametrilor schimburilor de date. În scopul orientării, AEPD evidențiază totuși mai jos unele dintre principiile și garanțiile care trebuie să fie prezentate de către destinatarii terți pentru ca transferurile de date să aibă loc: — trebuie să se verifice care este justificarea legală în baza căreia au loc activitățile de prelucrare a datelor (mai exact, se bazează operațiunile de prelucrare pe o obligație legală, pe consimțământul persoanelor vizate sau pe o altă justificare validă?) și dacă transferurile de date respectă scopul inițial al colectării de date. Nu trebuie să aibă loc niciun transfer care este în afara sferei scopului specificat; — volumul și tipurile de date cu caracter personal care urmează să fie transferate ar trebui să fie specificate clar și limitate la ceea ce este strict necesar pentru atingerea scopului transferului. Datele cu caracter personal colectate și transferate pot include în special adrese IP ale utilizatorilor de internet, data și ora infracțiunii suspectate și tipul de infracțiune. AEPD recomandă ca datele să nu fie asociate niciunei persoane fizice specifice în timpul fazei de cercetare și amintește că identificarea persoanei suspectate ar trebui să aibă loc numai în conformitate cu legislația și sub controlul unui judecător. În acest sens, AEPD subliniază că datele privind încălcările DPI și suspiciunile de încălcare reprezintă o categorie specială de date iar prelucrarea acestora este rezervată, de regulă, numai autorităților de aplicare a legii și necesită aplicarea unor garanții suplimentare. Persoanele autorizate pentru prelucrarea datelor privind încălcările și suspiciunile de încălcare a DPI și condițiile de prelucrare a acestor date trebuie, prin urmare, să fie definite în mod specific în conformitate cu legislația existentă privind protecția datelor; — persoanele între care poate exista un schimb de date trebuie să fie prevăzute cu claritate, iar transferurile ulterioare către alți destinatari ar trebui, în principiu, să fie interzise, în afara cazurilor în care acestea sunt necesare pentru o anumită anchetă. Această limitare este deosebit de importantă, deoarece destinatarii desemnați nu ar trebui să efectueze în mod necorespunzător un schimb de informații cu destinatari neautorizați; — AEPD pornește de la premisa că ACTA nu doar va stipula cooperarea între autoritățile publice, ci va acorda și atribuții de aplicare organizațiilor private (precum FSI, organizațiile titularilor drepturilor de autor etc.). În cazul din urmă, condițiile și nivelul de implicare al organizațiilor private în respectarea DPI trebuie să fie evaluate cu atenție în sensul că măsurile din ACTA nu ar trebui să acorde un drept de facto FSI și organizațiilor titulare ale drepturilor IP pentru a monitoriza online comportamentul utilizatorilor. În plus, prelucrarea datelor cu caracter personal de către organizațiile private în contextul aplicării legii trebuie să aibă loc conform unui temei juridic adecvat. De asemenea, este important să se clarifice dacă organizațiile private vor fi obligate să coopereze cu poliția precum și măsura acestei cooperări. În orice caz, aceasta ar trebui să se limiteze la „infracțiuni grave” a căror definiție trebuie, de asemenea, să fie formulată în mod clar având în vedere că nu toate încălcările DPI vor fi considerate infracțiuni grave; — metoda utilizată pentru schimbul de date cu caracter personal trebuie să fie aleasă cu atenție; în special, ar trebui să se precizeze dacă acesta va fi efectuat prin intermediul unei metode de transmitere de tip „înaintare” – de exemplu FSI și organizațiile titularilor drepturilor PI ar controla transferul unei serii de date către terți, precum poliția sau autoritățile de aplicare a legii situate în străinătate – sau prin intermediul unei metode de tip „retragere” – de exemplu, poliția și autoritățile de aplicare a legii ar avea acces direct la bazele de date ale părților private sau la bazele de date în care sunt centralizate informațiile. După cum s-a subliniat deja în contextul PNR, metoda „înaintare” ar fi singura opțiune care îndeplinește principiile de protecție a datelor din perspectiva UE privind protecția datelor, deoarece permite expeditorului din UE, care cel mai probabil este operatorul de date, să exercite un control asupra transferului de date (47); — trebuie să se specifice perioada în care datele cu caracter personal vor fi păstrate de către destinatari, precum și scopul pentru care această păstrare este necesară. Această perioadă de păstrare trebuie să fie proporțională în raport cu scopul care trebuie atins, însemnând că acele date trebuie să fie eliminate sau șterse atunci când nu mai sunt necesare pentru atingerea scopului; — obligațiile impuse operatorilor de date din țările terțe trebuie să fie stipulate în mod clar. Mecanismele de control și/sau mecanismele privind obligativitatea asumării răspunderii trebuie să fie garantate astfel încât să existe căi de atac și sancțiuni eficace împotriva operatorilor de date în cazul prelucrării ilegale sau a altor incidente relevante. În plus, trebuie instituite căi de atac, astfel încât persoanele fizice să poată depune o reclamație la o autoritate independentă de protecția datelor și astfel încât acestea să poată solicita o soluționare eficientă oricărui tribunal independent și imparțial (48); — actul semnat de părți ar trebui să specifice în mod clar drepturile persoanelor vizate în privința datelor cu caracter personal ale acestora atunci când aceste date sunt prelucrate de către destinatari terți, pentru a se garanta că aceștia dispun de mijloace eficiente de pentru protejarea drepturilor lor în ceea ce privește prelucrarea efectuată în străinătate; — transparența este cu atât mai importantă, iar părțile la instrumentul privind protecția datelor trebuie să convină asupra modului în care vor informa persoanele vizate în legătură cu prelucrarea datelor care are loc precum și cu drepturile acestora și modul de a le exercita.