Dreptul la rectificare permite oricărei persoane să solicite corectarea sau rectificarea datelor sale cu caracter personal în cazul în care acestea fie sunt incorecte, fie au fost prelucrate în mod necorespunzător. Rectificarea poate include completarea, ștergerea, blocarea sau alte măsuri ori metode de remediere a inexactităților sau a prelucrării necorespunzătoare.

În cazul în care autoritatea competentă a țării destinatare concluzionează în urma unei cereri adresate de către o persoană fizică, a unei notificări transmise de furnizorul informațiilor cu caracter personal sau a propriei investigații că informațiile sunt inexacte sau au fost prelucrate în mod necorespunzător, aceasta ia măsuri de completare, ștergere sau blocare ori aplică alte metode de corectare sau rectificare.

Atunci când acest fapt este permis în temeiul dreptului intern, orice persoană fizică are dreptul de a autoriza o autoritate de supraveghere (și anume o autoritate națională de protecție a datelor, în cazul unei persoane vizate din UE) să solicite corectarea sau rectificarea în numele său. Această posibilitate de exercitare indirectă a drepturilor, prin intermediul unei autorități și în cadrul unui sistem juridic cu care persoanele vizate sunt obișnuite, ar trebui să le ajute în mod concret atunci când încearcă să își exercite drepturile.

În cazul în care cererile de acces sau de rectificare sunt respinse sau restricționate, autoritatea căreia i s-a adresat solicitarea oferă persoanei fizice (sau reprezentantului autorizat în mod corespunzător al acesteia) un răspuns în care precizează motivele refuzului sau ale restricționării accesului ori rectificării. De asemenea, obligația de a oferi persoanei fizice un răspuns motivat urmărește să permită și să faciliteze exercitarea dreptului său la căi de atac administrative și judiciare în cazul în autoritatea de aplicare a legii în cauză refuză/restricționează accesul/rectificarea.

(ii) Căi de atac administrative (articolul 18)

În cazul în care o persoană nu acceptă rezultatul cererii sale de acces la datele cu caracter personal sau de rectificare a acestora, aceasta are dreptul să exercite căi de atac administrative. La fel ca în cazul accesului și al rectificării, pentru a se facilita exercitarea efectivă a acestui drept, persoana vizată are dreptul să autorizeze o autoritate de supraveghere (și anume, o autoritate națională de protecție a datelor, în cazul unei persoane vizate din UE) sau un alt reprezentant, atunci când acest fapt este permis în temeiul dreptului intern aplicabil.

Autoritatea în fața căreia se introduc căile de atac va răspunde în scris persoanei vizate, indicând măsurile de îmbunătățire sau corective întreprinse, dacă este cazul.

(ii) Căi de atac judiciare (articolul 19)

Cetățenii fiecărei părți trebuie să aibă posibilitatea de a solicita un control jurisdicțional cu privire la i) refuzul de a acorda acces, ii) refuzul de a rectifica sau (iii) divulgarea neautorizată de către autoritățile celeilalte părți.

În ceea ce privește SUA, această dispoziție a fost reflectată în Judicial Redress Act (Legea privind căile de atac în justiție), semnată de președintele Obama la 24 februarie 2016. Domeniul de aplicare al acestei legi va fi extins și la cetățenii „țărilor acoperite”, care vor putea invoca aceste trei motive pentru a recurge la căi de atac judiciare prevăzute de US Privacy Act din 1974 (Legea SUA din 1974 privind protecția vieții private), care sunt rezervate în prezent doar cetățenilor și rezidenților permanenți ai SUA. Cel de al patrulea considerent din preambulul la acordul-cadru prevede în mod clar că această extindere va acoperi, de asemenea, date care au făcut obiectul schimburilor în temeiul unor acorduri precum cele privind PNR și TFTP. În combinație cu adoptarea Legii privind căile de atac în justiție, articolul 19 va îmbunătăți, astfel, în mod semnificativ protecția judiciară a cetățenilor UE.

Deși Legea privind căile de atac în justiție prevede o serie de limitări (mai ales faptul că se va aplica numai în cazul cetățenilor din „țări acoperite” ale căror date au fost transferate de către autoritățile de aplicare a legii din UE, în special cetățenilor UE, dar nu numai acestora), articolul 19 din acordul-cadru răspunde unei cereri formulate cu multă vreme în urmă de UE.

Această dispoziție corespunde orientărilor politice ale președintelui Juncker, potrivit cărora „Statele Unite trebuie [...] să garanteze că toți cetățenii UE au dreptul de a introduce o acțiune în instanțele din SUA privind asigurarea respectării drepturilor lor în materie de protecție a datelor, indiferent dacă au sau nu reședința pe teritoriul acestei țări. Eliminarea acestei discriminări va fi esențială pentru restabilirea încrederii în relațiile transatlantice.” De asemenea, dispoziția respectivă răspunde Rezoluției Parlamentului European din 12 martie 2014 referitoare la programul de supraveghere al Agenției Naționale de Securitate (NSA) a SUA, prin care Parlamentul a solicitat reluarea imediată a negocierilor cu SUA cu privire la „acordul generic” pentru a se plasa „drepturile cetățenilor UE pe picior de egalitate cu drepturile cetățenilor SUA (...)” și pentru a se prevedea „căi de atac (...) judiciare efective și aplicabile pentru toți cetățenii UE din SUA, fără nicio discriminare”.

Alineatul (3) de la articolul 19 clarifică faptul că extinderea domeniului de aplicare al celor trei motive pentru a recurge la căi de atac judiciare menționate mai sus nu aduce atingere altor căi de atac judiciare care sunt disponibile în alte moduri cu privire la prelucrarea datelor [de exemplu, în conformitate cu Legea privind procedura administrativă (Administrative Procedure Act), cu Legea privind protecția vieții private în cadrul comunicațiilor electronice (Electronic Communication Privacy Act) și cu Legea privind liberul acces la informațiile de interes public (Freedom of Information Act)]. Aceste temeiuri juridice diferite pentru căile de atac judiciare stau la dispoziția tuturor persoanelor din UE vizate de transferul de date în scopuri legate de asigurării respectării legii, indiferent de cetățenia sau de locul lor de reședință.

(iv) Aspecte legate de aplicarea acordului-cadru și de supraveghere

(i) Responsabilitate (articolul 14)

Se instituie măsuri de promovare a responsabilității autorităților care prelucrează datele cu caracter personal ce intră în domeniului de aplicare al acordului-cadru. În special, în cazul în care datele cu caracter personal sunt transmise mai departe de către autoritatea destinatară altor autorități, acestea din urmă ar trebui primească notificarea garanțiilor aplicabile în temeiul prezentului acord, precum și a eventualelor condiții suplimentare (restrictive) impuse transferului în temeiul articolului 6 alineatul (3) (privind limitările legate de scop și de utilizare). Abaterile grave se pedepsesc cu sancțiuni penale, civile sau administrative corespunzătoare și disuasive.

De asemenea, măsurile de promovare a responsabilității includ, după caz, întreruperea transferurilor ulterioare de date cu caracter personal către entități ale părților care nu intră sub incidența acordului-cadru, în cazul în care acestea nu asigură o protecție eficace a datelor cu caracter personal, ținând seama de scopul acordului (și în special de dispozițiile referitoare la limitarea scopului și la transferul ulterior). Această dispoziție se referă la situația în care datele cu caracter personal sunt transmise de o autoritate a UE către o autoritate federală a SUA (și anume, o autoritate care intră sub incidența prezentului acord) și apoi transferate mai departe către o autoritate de aplicare a legii de la nivelul unui stat. Normele sale constituționale limitează capacitatea SUA de a angaja la nivel internațional statele membre ale federației. Cu toate acestea, pentru a se asigura continuitatea protecției datelor transferate către agenții federale ale SUA și transmise ulterior agențiilor de aplicare a legii de la nivelul statelor, articolul 14: (i) include în domeniul său de aplicare „alte autorități” ale părților (și anume autoritățile care nu intră sub incidența prezentului acord, precum cele ale statelor membre ale federației americane); (ii) stipulează că statele membre ale federației trebuie să primească notificarea garanțiilor prevăzute de acordul-cadru; și (iii) prevede că, după caz, transferurile către autoritățile respective trebuie întrerupte în cazul în care acestea nu au protejat în mod eficace datele cu caracter personal ținând seama de scopul acordului-cadru și, în special, al articolelor sale referitoare la limitarea scopului și transferurile ulterioare.

Urmărind să asigure că autoritățile competente însărcinate cu aplicarea legii vor fi răspunzătoare pentru respectarea acordului-cadru, acest articol este o componentă importantă a unui sistem eficace de aplicare și de supraveghere instituit în temeiul acordului. De asemenea, aceasta va facilita introducerea de reclamații de către persoanele fizice în cazul unei abateri (și, în consecință, asumarea răspunderii de către autoritățile publice).