CELEX: 32009H0329
Language: ro
Date: 2009-03-26 00:00:00
Title: Recomandarea Comisiei din 26 martie 2009 privind orientările referitoare la protecția datelor pentru Sistemul de informare al pieței interne (IMI) [notificată cu numărul C(2009) 2041] (Text cu relevanță pentru SEE)

18.4.2009   
            
            
               RO
            
            
               Jurnalul Oficial al Uniunii Europene
            
            
               L 100/12
            
         
      RECOMANDAREA COMISIEI
   
   din 26 martie 2009
   privind orientările referitoare la protecția datelor pentru Sistemul de informare al pieței interne (IMI)
   [notificată cu numărul C(2009) 2041]
   (Text cu relevanță pentru SEE)
   (2009/329/CE)
   COMISIA COMUNITĂȚILOR EUROPENE,
   având în vedere Tratatul de instituire a Comunității Europene, în special articolul 211 a doua liniuță,
   după consultarea Autorității Europene pentru Protecția Datelor,
   întrucât:
   
               (1)
            
            
               Decizia 2004/387/CE a Parlamentului European și a Consiliului din 21 aprilie 2004 privind furnizarea interoperabilă de servicii de guvernare electronică paneuropene către administrațiile publice, întreprinderi și cetățeni (IDABC) (1), în special articolul 4, prevede punerea în aplicare a unor proiecte de interes comun în vederea facilitării schimbului reciproc de informații în manieră eficientă și sigură între administrațiile publice la toate nivelurile corespunzătoare, precum și între aceste administrații și instituțiile comunitare sau alte entități, după caz.
            
         
               (2)
            
            
               La 17 martie 2006, reprezentanții statelor membre în cadrul Comitetului consultativ pentru piața internă (2) au aprobat planul global de punere în aplicare a Sistemului de informare al pieței interne, denumit în continuare „IMI” și dezvoltarea acestuia în scopul îmbunătățirii comunicării dintre administrațiile statelor membre.
            
         
               (3)
            
            
               În urma acestei aprobări, Comisia a decis finanțarea și instituirea Sistemului de informare al pieței interne ca proiect de interes comun prin Deciziile C(2006) 3606 din 14 august 2006, C(2007) 3514 din 25 iulie 2007 și C(2008) 1881 din 14 mai 2008.
            
         
               (4)
            
            
               Obiectivul IMI este de a facilita aplicarea actelor comunitare care presupun efectuarea unui schimb de informații între administrațiile statelor membre, inclusiv Directiva 2005/36/CE a Parlamentului European și a Consiliului din 7 septembrie 2005 privind recunoașterea calificărilor profesionale (3) și Directiva 2006/123/CE a Parlamentului European și a Consiliului din 12 decembrie 2006 privind serviciile în cadrul pieței interne (4).
            
         
               (5)
            
            
               Schimbul de informații prin mijloace electronice între statele membre și între statele membre și Comisie trebuie să fie conform cu normele privind protecția datelor cu caracter personal prevăzute în Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (5) și în Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului din 18 decembrie 2000 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date (6).
            
         
               (6)
            
            
               Dreptul la protecția datelor cu caracter personal este recunoscut de Carta Drepturilor Fundamentale a Uniunii Europene, în special articolul 8; sistemele de informare de tipul IMI trebuie să garanteze că diferitele responsabilități și obligații comune ale Comisiei și statelor membre în ceea ce privește normele de protecție a datelor sunt clare și că persoanele care fac obiectul datelor beneficiază de mecanisme simple și ușor accesibile prin care să își poată exercita drepturile.
            
         
               (7)
            
            
               Decizia 2008/49/CE a Comisiei din 12 decembrie 2007 privind punerea în aplicare a Sistemului de informare al pieței interne (IMI) în ceea ce privește protecția datelor cu caracter personal (7) prevede funcțiile, drepturile și obligațiile actorilor și utilizatorilor IMI. Această decizie a Comisiei a luat în considerare avizul Grupului de lucru prevăzut la articolul 29 (8).
            
         
               (8)
            
            
               În urma adoptării acestei decizii, Autoritatea Europeană pentru Protecția Datelor (AEPD) a emis un aviz (9) prin care a recomandat adoptarea unui instrument juridic, preferabil sub forma unui regulament al Parlamentului European și al Consiliului, având în vedere faptul că se estimează că IMI își va lărgi progresiv sfera de cuprindere la alte zone ale legislației privind piața internă, lucru care va determina sporirea complexității și creșterea numărului de autorități participante și de schimburi de date. În cadrul mai multor reuniuni și al unui schimb de scrisori între AEPD și serviciile Comisiei (10), s-a convenit să se urmărească o abordare etapă cu etapă, care să înceapă cu adoptarea unor orientări privind protecția datelor, acestea urmând a fi elaborate în strânsă cooperare cu AEPD.
            
         
               (9)
            
            
               Aceste orientări vin în completarea Deciziei 2008/49/CE și iau în considerare atât recomandările Grupului de lucru prevăzut la articolul 29, cât și pe cele ale AEPD,
            
         RECOMANDĂ STATELOR MEMBRE:
   
               1.
            
            
               Să ia măsuri pentru a asigura punerea în aplicare a orientărilor din anexă de către actorii și utilizatorii IMI.
            
         
               2.
            
            
               Să încurajeze coordonatorii naționali IMI să apeleze la autoritățile naționale de protecție a datelor pentru a obține îndrumări și asistență cu privire la cele mai bune modalități de punere în aplicare a acestor orientări în conformitate cu legislația națională.
            
         
               3.
            
            
               Să ofere feedback Comisiei Europene în ceea ce privește punerea în aplicare a orientărilor din anexă, în termen de maximum nouă luni de la adoptarea prezentei recomandări, cu sprijinul coordonatorilor naționali IMI. Acest feedback va fi luat în considerare de către Comisia Europeană într-un raport pe care aceasta îl va întocmi în cel mult un an de la adoptarea prezentei recomandări, raport în care Comisia va evalua situația protecției datelor în cadrul IMI, precum și conținutul și oportunitatea oricăror măsuri viitoare, inclusiv posibila adoptare a unui instrument juridic.
            
         
      Adoptată la Bruxelles, 26 martie 2009.
      
         
            Pentru Comisie
         
         Charlie McCREEVY
         
         
            Membru al Comisiei
         
      
   
   
      (1)  JO L 144, 30.4.2004, p. 62.
   
      (2)  Instituit prin Decizia 93/72/CEE a Comisiei (JO L 26, 3.2.1993, p. 18).
   
      (3)  JO L 255, 30.9.2005, p. 22.
   
      (4)  JO L 376, 27.12.2006, p. 36.
   
      (5)  JO L 281, 23.11.1995, p. 31.
   
      (6)  JO L 8, 12.1.2001, p. 1.
   
      (7)  JO L 13, 16.1.2008, p. 18
   
   
      (8)  Aviz 01911/07/EN, WP 140.
   
      (9)  Avizul Autorității Europene pentru Protecția Datelor asupra Deciziei 2008/49/CE a Comisiei din 12 decembrie 2007 privind punerea în aplicare a Sistemului de informare al pieței interne (IMI) în ceea ce privește protecția datelor cu caracter personal (JO C 270, 25.10.2008, p. 1).
   
      (10)  http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/87
   
      ANEXĂ
      
         ORIENTĂRI PENTRU IMPLEMENTAREA NORMELOR DE PROTECȚIE A DATELOR ÎN IMI
      
      1.   IMI – UN INSTRUMENT PENTRU COOPERARE ADMINISTRATIVĂ
      IMI este o aplicație software care poate fi accesată prin internet, proiectată de către Comisie în cooperare cu statele membre. Principalul său obiectiv este de a asista statele membre în implementarea legislației europene care prevede asistența reciprocă și cooperarea administrativă. IMI nu este o bază de date care are ca scop stocarea de informații pe perioade lungi de timp, ci mai degrabă un mecanism centralizat care permite administrațiilor statelor membre ale SEE să efectueze schimburi de informații, în cadrul căruia datele sunt reținute pe perioade limitate.
      
         Pagina de identificare IMI
      
      
         
      În prezent, IMI permite schimburile de informații în temeiul Directivei privind calificările profesionale și va permite, de asemenea, schimburi de informații în temeiul Directivei privind serviciile începând cu sfârșitul anului 2009. În viitor, mecanismul ar putea fi utilizat și pentru schimburile de informații din alte domenii legislative ale pieței interne. O listă a acestor domenii legislative este disponibilă în permanență în variantă actualizată în anexa la Decizia 2008/49/CE. Această anexă va fi modificată periodic. IMI nu poate fi utilizat pentru schimburile de informații în domenii legislative care nu sunt precizate în această anexă.
      
         Exemplu de fereastră a aplicației pentru autoritățile competente din domeniul calificărilor profesionale
      
      
         
      Cooperarea dintre administrațiile naționale este vitală pentru funcționarea în condiții optime a pieței interne. Cetățenii europeni nu pot beneficia de drepturi esențiale asociate pieței interne, precum stabilirea în alt stat membru sau libertatea de a furniza servicii transfrontaliere, dacă nu există măsuri de natură practică în privința cooperării administrative.
      
         Câteva exemple
      
      Un medic german cu reședința în Berlin se căsătorește cu un cetățean francez și decide să înceapă o nouă viață la Paris. Medicul german dorește să își practice meseria în Franța și, prin urmare, își depune actele și diplomele la Ordinul Medicilor din Franța. Persoana care tratează dosarul are îndoieli cu privire la autenticitatea uneia dintre diplome și utilizează IMI pentru a verifica informațiile la autoritatea competentă din Berlin.
      O companie de curățenie industrială care operează în Franța furnizează servicii de curățenie și peste graniță, în regiunea Catalonia (Spania). Un ONG spaniol depune o plângere la administrația mediului din Catalonia, potrivit căreia societatea franceză nu dispune de forța de muncă specializată necesară manipulării anumitor substanțe de curățare. Autoritatea competentă din Catalonia utilizează IMI pentru a afla dacă societatea de curățenie își desfășoară activitatea în mod legal în Franța.
      Cooperarea administrativă în Uniunea Europeană nu este o sarcină ușoară. Ea se confruntă cu bariere lingvistice (UE are 23 de limbi oficiale), lipsa unor proceduri administrative pentru cooperarea transfrontalieră, diferențe între structuri și culturi administrative și lipsa unor parteneri clar identificați în alte state membre.
      Deși ține de competența statelor membre să se asigure că normele pieței interne funcționează eficient pe teritoriile lor, Comisia este de părere că statele membre au nevoie de instrumente pentru a putea coopera. IMI a fost proiectat în lumina acestei idei: identificarea autorității competente corespunzătoare din alt stat membru (funcția de căutare), administrarea schimbului de informații pe baza unor proceduri simple și uniforme și înlăturarea barierelor lingvistice pe baza unor seturi de întrebări predefinite și pretraduse.
      
         Capturi de ecran cu întrebări în limbile a două autorități competente implicate într-un schimb de informații
      
      
         
      
         
      2.   DOMENIUL DE APLICARE ȘI OBIECTIVUL ACESTOR ORIENTĂRI
      Utilizatorii IMI sunt experți în domeniul lor de activitate, indiferent dacă este vorba de normele care reglementează o profesie sau de reglementările în vigoare privind furnizarea serviciilor. Totuși, ei nu sunt experți în domeniul protecției datelor și pot să nu fie întotdeauna suficient de familiarizați cu cerințele din acest domeniu impuse de legislația lor națională privind protecția datelor.
      Prin urmare, se recomandă să se pună la dispoziția utilizatorilor IMI anumite orientări în cadrul cărora să fie explicate funcționarea IMI din perspectiva protecției datelor, măsurile de protecție cu care este prevăzut sistemul și posibilele riscuri asociate utilizării acestuia (1).
      Aceste orientări nu au fost elaborate ca o analiză completă a tuturor aspectelor asociate protecției datelor în legătură cu IMI, ci ca o explicație accesibilă, un set de norme pe care toți utilizatorii IMI le pot înțelege. În caz de necesitate, utilizatorii IMI pot întotdeauna să obțină îndrumări suplimentare și asistență din partea autorităților din domeniul protecției datelor din statele membre. O listă a acestor autorități, împreună cu datele lor de contact și site-urile web este disponibilă la adresa:
      http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm
      3.   UN MEDIU FAVORABIL PROTECȚIEI DATELOR
      IMI a fost dezvoltat în conformitate cu cerințele legislației privind protecția datelor și a fost proiectat pentru a fi favorabil protecției datelor.
      Utilizatorii IMI pot fi siguri că IMI este o aplicație software fiabilă din punctul de vedere al protecției datelor, iar acest lucru poate fi ilustrat cu ușurință prin câteva exemple:
      
                  (a)
               
               
                  IMI este utilizat numai de către autoritățile competente din interiorul Spațiului Economic European (statele membre UE și Norvegia, Islanda și Liechtenstein) și nu există transferuri de date cu caracter personal în afara SEE.
               
            
                  (b)
               
               
                  Comisia Europeană și coordonatorii IMI (2) nu au acces la datele cu caracter personal ale profesioniștilor sau furnizorilor de servicii care fac obiectul schimbului de date în cadrul sistemului.
               
            
                  (c)
               
               
                  Numai autorităților competente vizate de o cerere de informații li se permite să vizualizeze datele cu caracter personal ale furnizorului de servicii (3). În realitate, nivelul de protecție este atât de ridicat încât destinatarul unei cereri nu poate vizualiza informațiile cu caracter personal ale unui furnizor de servicii decât în momentul în care destinatarul acceptă în mod oficial cererea.
                  
                     Exemplu de vizualizare a unei cereri înainte de acceptarea acesteia de către destinatar
                  
                  
                     
               
            
                  (d)
               
               
                  Toate datele cu caracter personal aferente cererilor sunt șterse în mod automat din sistem după șase luni de la închiderea unei cereri sau chiar înainte, dacă acest lucru este solicitat de către autoritățile competente implicate (pentru mai multe detalii, a se vedea capitolul 12 privind perioada de reținere).
               
            4.   CARE SUNT ROLURILE ÎN CADRUL IMI? CHESTIUNEA CONTROLULUI COMUN
      IMI reprezintă un exemplu elocvent de operațiuni comune de prelucrare și de control comun. Spre exemplu, în timp ce numai autoritățile competente din statele membre efectuează schimburi de date cu caracter personal, stocarea acestor date pe serverele sale este responsabilitatea Comisiei Europene. Deși Comisiei Europene nu i se permite vizualizarea acestor date cu caracter personal, ea este operatorul sistemului, care efectuează ștergerea și corectarea fizică a datelor.
      Cu alte cuvinte, ca urmare a alocării diverselor responsabilități Comisiei Europene sau statelor membre:
      
                  (a)
               
               
                  fiecare autoritate competentă și fiecare coordonator IMI este responsabil de propriile activități de prelucrare a datelor;
               
            
                  (b)
               
               
                  Comisia nu este un utilizator, ci operatorul sistemului, fiind în primul rând responsabilă pentru întreținerea și securitatea sistemului (4);
               
            
                  (c)
               
               
                  actorii IMI partajează responsabilitatea cu privire la emiterea notificărilor și la drepturile de acces, obiecție și rectificare.
               
            În cadrul unor scenarii complexe de control comun, precum IMI, cea mai eficientă măsură din perspectiva conformității pare să fie înglobarea protecției datelor în sistem încă de la început (a se vedea secțiunea „Activități în curs de desfășurare” din capitolul 13, „Cooperarea cu autoritățile pentru protecția datelor și AEPD”) și definirea unui set de norme, potrivit acestor orientări. Respectarea acestui set de norme este responsabilitatea tuturor actorilor și utilizatorii IMI.
      5.   ACTORII ȘI UTILIZATORII IMI
      Toți actorii care utilizează IMI sunt validați de către coordonatorii IMI. Actorii și utilizatorii, precum și funcțiile, drepturile și obligațiile acestora, sunt descrise în detaliu în articolele 6-12 din Decizia 2008/49/CE. Prin urmare, nu este necesară reluarea lor în aceste orientări.
      Este important să se înțeleagă că IMI este un sistem foarte flexibil prin care statele membre pot aloca responsabilități și funcții autorităților competente și coordonatorilor în diferite moduri, în concordanță cu structura lor administrativă specifică și cu domeniile legislative în care va avea loc cooperarea administrativă.
      Este, de asemenea, important să se rețină că utilizatorii IMI din statele membre sunt responsabili de multe alte operațiuni de prelucrare de date. Respectarea normelor de protecție a datelor în IMI nu trebuie să creeze complicații nejustificate sau să impună o sarcină administrativă excesivă. De asemenea, nu este nevoie ca ele să fie aplicate în mod perfect uniform.
      În cele mai multe cazuri, autoritățile competente trebuie doar să desfășoare operațiunile de prelucrare a datelor în cadrul IMI conform acelorași reguli și bune practici pe care le respectă în calitate de operatori de date potrivit propriilor necesități și actelor normative privind protecția datelor din statele membre respective.
      De asemenea, autoritățile competente trebuie să profite de avantajul mediului favorabil pentru protecția datelor oferit în cadrul IMI. Spre exemplu, sunt încurajate să solicite ca datele cu caracter personal care fac obiectul schimburilor să fie șterse din IMI chiar înainte de expirarea perioadei de reținere de șase luni, dacă nu mai au nevoie să păstreze schimbul de informații în IMI.
      6.   TEMEIUL JURIDIC PENTRU SCHIMBURILE DE INFORMAȚII CU CARACTER PERSONAL ÎN IMI
      Comisia a adoptat Decizia 2008/49/CE, care prevede funcțiile, drepturile și obligațiile actorilor și utilizatorilor IMI cu privire la punerea în aplicare a IMI în ceea ce privește protecția datelor cu caracter personal.
      Nu toate informațiile care fac obiectul schimburilor în IMI reprezintă date cu caracter personal. De exemplu, informațiile care fac obiectul schimburilor pot viza persoane juridice (5) sau întrebarea și răspunsul pot să nu se refere la o anumită persoană fizică (de exemplu, o întrebare generală privind reglementarea unei profesii într-un anumit stat membru).
      Totuși, în multe situații, schimburile de informații privesc persoane fizice și, prin urmare, trebuie să existe un temei juridic pentru prelucrarea datelor cu caracter personal. Utilizarea IMI este, de obicei, în interesul persoanei vizate. Cu toate acestea, chiar dacă schimbul de informații nu este în mod necesar în interesul persoanei vizate, autoritățile competente pot efectua schimbul prin intermediul IMI, cu condiția ca schimbul respectiv de informații să fie impus de un temei juridic specific.
      Articolul 7 din Directiva 95/46/CE conține lista temeiurilor juridice pentru prelucrarea datelor cu caracter personal. Dintre acestea, articolul 7 literele (c) și (e) sunt cele mai relevante în ceea ce privește schimburile de date în cadrul IMI.
      I.   Îndeplinirea unei obligații legale [articolul 7 litera (c)]
      Ca principiu general, statele membre ale UE au datoria de a coopera reciproc și cu instituțiile comunitare. Sarcina cooperării administrative este explicită și specifică în Directiva 2005/36/CE (recunoașterea calificărilor profesionale) și în Directiva 2006/123/CE (Directiva privind serviciile).
      Articolul 56 alineatele (1) și (2) din Directiva privind calificările profesionale prevede următoarele:
      
         „(1)   Autoritățile competente ale statului membru gazdă și ale statului membru de origine colaborează îndeaproape și își acordă asistență reciprocă pentru a facilita punerea în aplicare a prezentei directive. Ele asigură confidențialitatea informațiilor pe care le schimbă.
         (2)   Autoritățile competente ale statului membru gazdă și ale statului membru de origine fac schimb de informații privind sancțiunile disciplinare sau penale care au fost acordate sau privind alte fapte specifice grave care pot avea consecințe asupra exercitării activităților în temeiul prezentei directive, cu respectarea legislației privind protecția datelor cu caracter personal prevăzută de Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (…) și de Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice.) (JO L 201, 31.7.2002, p. 37)”
      
      Articolul 28 alineatele (1) și (6) din Directiva privind serviciile prevede următoarele:
      
         „(1)   Statele membre își acordă asistență reciprocă și adoptă măsuri de cooperare eficientă pentru a asigura controlul prestatorilor și al serviciilor pe care le prestează (…)
         (6)   Statele membre furnizează informațiile cerute de către alte state membre sau de către Comisie prin mijloace electronice și în cel mai scurt termen.”
      
      Articolul 34 alineatul (1) din Directiva privind serviciile prevede următoarele:
      
         „(1)   Comisia, în cooperare cu statele membre, instituie un sistem electronic pentru schimbul de informații între statele membre, luând în considerare sistemele de informații existente”.
      
      II.   Aducerea la îndeplinire a unei sarcini de interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul [articolul 7 litera (e)].
      Actorii și utilizatorii IMI îndeplinesc sarcini de interes public sau care rezultă din exercitarea autorității publice cu care sunt învestiți. Toate înregistrările în IMI sunt validate de către coordonatorul IMI după ce se asigură de faptul că autoritatea competentă în cauză efectuează sarcini de interes public (de exemplu, colegiile medicilor sau ale veterinarilor se asigură că membrii lor respectă deontologia sau normele sanitare) sau în exercitarea autorității publice cu care este învestită (de exemplu, Ministerul Educației se asigură că profesorii de gimnaziu dețin calificările adecvate).
      Pe baza celor de mai sus, IMI poate fi utilizat pentru schimbul de date cu caracter personal în temeiul Directivei privind calificările profesionale și al Directivei privind serviciile, în scopurile prevăzute de acestea. Informațiile în legătură cu alte acte normative ale pieței interne nu pot fi schimbate în IMI. Dacă sfera de cuprindere a IMI se va lărgi la un moment dat pentru a include și alte acte normative, se vor adăuga în anexa la Decizia 2008/49/CE trimiterile corespunzătoare la actele respective.
      7.   CHESTIUNEA LEGISLAȚIEI APLICABILE ȘI SUPRAVEGHEREA ADECVATĂ
      Legislația aplicabilă privind protecția datelor depinde de cine sunt actorii sau utilizatorii IMI. De exemplu, în ceea ce privește Comisia Europeană, se aplică Regulamentul (CE) nr. 45/2001 privind protecția datelor. În ceea ce privește un utilizator național (de exemplu, o autoritate competentă), legislația aplicabilă este legislația națională privind protecția datelor, care trebuie să fie conformă cu Directiva 95/46/CE (Directiva privind protecția datelor).
      Uniunea Europeană are un cadrul legal solid privind protecția datelor reprezentat de această directivă și de Regulamentul (CE) nr. 45/2001 (6). Directiva privind protecția datelor oferă statelor membre o anumită flexibilitate. Coordonatorilor naționali IMI li se recomandă, prin urmare, să discute aceste orientări cu autoritățile respective pentru protecția datelor, de exemplu în ceea ce privește detaliile informațiilor care vor fi furnizate persoanelor fizice (a se vedea capitolul 9 cu privire la acest aspect) sau sarcina de notificare a anumitor operațiuni de prelucrare a datelor autorităților responsabile de protecția datelor.
      Directiva 95/46/CE este o directivă privind piața internă, care are un dublu obiectiv. Armonizarea legislațiilor naționale privind protecția datelor are ca scop atât să asigure un nivel ridicat de protecție a datelor, cât și să garanteze drepturile fundamentale ale persoanelor fizice și astfel să permită fluxul liber de date cu caracter personal între statele membre. Prin urmare, caracterul specific național nu ar trebui să aibă niciun impact practic sau semnificativ asupra utilizării IMI și schimbului de informații impus de alte acte comunitare.
      Una dintre cele mai importante caracteristici ale cadrului juridic comunitar în domeniul protecției datelor este supravegherea acestuia de către autorități publice independente pentru protecția datelor. Ca urmare, cetățenii pot depune plângeri înaintea acestor autorități pentru ca problemele lor referitoare la protecția datelor să fie tratate cu promptitudine și în afara sistemului judiciar. Prelucrarea datelor cu caracter personal la nivel național este supravegheată de autoritățile naționale pentru protecția datelor, iar prelucrarea lor de către instituțiile europene este supravegheată de Autoritatea Europeană pentru Protecția Datelor (AEPD). În consecință, Comisia Europeană este supravegheată de către AEPD, iar alți utilizatori ai IMI sunt supravegheați de către autoritățile naționale pentru protecția datelor. Pentru mai multe detalii privind modalitatea de tratare a plângerilor sau a cererilor din partea persoanelor vizate, a se vedea capitolul 10 privind drepturile de acces și rectificare și capitolul 13 privind chestiunea cooperării cu autoritățile pentru protecția datelor și cu AEPD.
      8.   PRINCIPIILE PROTECȚIEI DATELOR APLICABILE SCHIMBURILOR DE INFORMAȚII
      Prelucrarea datelor cu caracter personal poate avea loc, potrivit legislației comunitare, numai în anumite condiții (a se vedea capitolul 6: „Temeiul juridic pentru schimburile de informații cu caracter personal în IMI”) și în conformitate cu anumite principii care în Directiva privind protecția datelor sunt numite „principii referitoare la calitatea datelor” (a se vedea articolul 6 din directivă).
      Operatorii de date trebuie să colecteze date cu caracter personal numai în scopuri legitime și specifice și să nu le prelucreze în alte scopuri incompatibile cu cele declarate la momentul colectării datelor respective. Un exemplu clasic de scopuri incompatibile ar fi cel al unei autorități competente care vinde unor societăți private, în scopuri comerciale, adresele pe care le colectează în scopul tratării cazurilor profesioniștilor migranți în temeiul Directivei privind serviciile.
      De asemenea, prelucrarea datelor cu caracter personal trebuie să fie proporțională (adecvată, pertinentă și neexcesivă) cu scopurile colectării datelor, iar operatorul trebuie, de asemenea, să ia măsuri rezonabile pentru a se asigura că datele sunt actualizate și apoi distruse sau transformate în date anonime odată ce identificarea persoanei vizate nu mai este necesară. Principiile referitoare la calitatea datelor sunt principii de management adecvat al informațiilor, deoarece un sistem adecvat de informare nu este un sistem care păstrează gigaocteți de date fără un motiv special și care devine în scurt timp depășit și lipsit de fiabilitate. Un sistem electronic de informare adecvat trebuie să colecteze numai date care sunt necesare în scopurile prevăzute în avans, iar aceste date trebuie să fie actualizate în permanență pentru a putea fi complet fiabile.
      Aplicarea acestor principii privind calitatea datelor la funcționarea IMI conduce la următoarele recomandări:
      
                  1.
               
               
                  Utilizarea IMI trebuie să se limiteze strict la scopurile prevăzute în legislația aplicabilă (de exemplu, în cazul unor îndoieli justificate sau al oricăror altor motive prevăzute în legislația aplicabilă). Prin urmare, deși se preconizează că IMI va deveni modalitatea uzuală de realizare a schimbului de informații între autoritățile competente, trebuie să fie absolut clar faptul că el nu trebuie utilizat în mod sistematic pentru efectuarea unor verificări cu caracter general asupra profesioniștilor migranți sau a furnizorilor de servicii.
               
            
                  2.
               
               
                  Autoritatea competentă solicitantă trebuie să furnizeze numai datele cu caracter personal care îi sunt necesare autorității competente respondente pentru a putea identifica fără echivoc persoana în cauză sau pentru a răspunde la întrebări. De exemplu, dacă un profesionist migrant poate fi identificat prin numele și numărul său de înregistrare într-un registru profesional, nu trebuie să fie nevoie să se furnizeze și codul său numeric personal.
               
            
                  3.
               
               
                  Utilizatorii IMI trebuie să selecteze cu grijă întrebările și să nu întrebe mai mult decât este absolut necesar. Acest lucru nu este numai o chestiune de respectare a principiilor referitoare la calitatea datelor, ci și o chestiune de reducere a sarcinii administrative. În scopul transparenței, pe site-ul web al IMI sunt publicate seturile prestabilite de întrebări (7).
                  
                     Ce sunt datele sensibile
                      (8)
                     ?
                  
                  Acestea sunt date care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice, apartenența sindicală, sănătatea, viața sexuală, delictele comise, condamnările penale sau măsurile de securitate. Anumite state membre pot considera drept date sensibile și informațiile referitoare la sancțiunile sau hotărârile administrative.
               
            
                  4.
               
               
                  Autoritățile competente trebuie să acorde o atenție specială atunci când schimburile de informații vizează date sensibile. Schimbul de date sensibile este posibil numai într-un număr limitat de circumstanțe. Cele mai importante cerințe privind prelucrarea de date sensibile în cadrul IMI sunt următoarele:
                  
                              (a)
                           
                           
                              Prelucrarea datelor sensibile este necesară pentru constatarea, exercitarea sau apărarea unor drepturi în justiție [a se vedea articolul 8 alineatul (2) litera (e) din Directiva privind protecția datelor și prevederile corespunzătoare din legislația națională].
                              Această prevedere se poate aplica acelor schimburi de date în cadrul IMI care vizează un profesionist migrant sau un furnizor de servicii care își revendică dreptul de a-și exercita profesia într-un alt stat membru sau de a se stabili în alt stat membru. Autoritățile competente trebuie, în fiecare caz, să evalueze cu atenție dacă utilizarea datelor sensibile este cu adevărat necesară pentru constatarea dreptului respectiv.
                              În ceea ce privește anumite date sensibile specifice schimbate în cadrul IMI, statele membre au adoptat dispoziții specifice în Directiva privind calificările profesionale și în Directiva privind serviciile:
                              
                                          1.
                                       
                                       
                                          Articolul 56 alineatul (2) din Directiva privind calificările profesionale stipulează că „Autoritățile competente ale statului membru gazdă și ale statului membru de origine fac schimb de informații privind sancțiunile disciplinare sau penale care au fost acordate sau privind alte fapte specifice grave care pot avea consecințe asupra exercitării activităților în temeiul prezentei directive, cu respectarea legislației privind protecția datelor cu caracter personal…”
                                       
                                    
                                          2.
                                       
                                       
                                          Articolul 33 din Directiva privind serviciile prevede reguli specifice pentru schimbul de informații referitoare la buna reputație a furnizorului de servicii migrant: „Statele membre comunică, la cererea unei autorități competente din alt stat membru, informații în conformitate cu legislația lor națională cu privire la acțiunile disciplinare sau administrative sau la sancțiunile penale și decizii referitoare la insolvabilitate sau bancrută frauduloasă (…).”
                                       
                                    
                        
                              (b)
                           
                           
                              Persoana vizată își dă acordul explicit. În cazul în care cooperarea administrativă este în interesul persoanei vizate, acordul explicit al acesteia în privința prelucrării datelor poate să nu fie dificil de obținut.
                           
                        
            
                  5.
               
               
                  Informațiile referitoare la cazierul judiciar, a căror exactitate și actualitate sunt de maximă importanță, trebuie tratate cu cea mai mare precauție. Prin urmare, pe lângă conformitatea cu alte principii ale Directivei privind protecția datelor și ale regulamentului la care se face referire în prezenta recomandare (9) informațiile din această categorie trebuie să fie solicitate numai atunci când această acțiune este autorizată în temeiul actelor comunitare pertinente și este absolut necesară pentru a permite luarea unei decizii în cazul particular asociat direct cu cererea. Cu alte cuvinte, prelucrarea trebuie să fie direct asociată cu exercitarea activității profesionale sau cu furnizarea unui serviciu și trebuie să fie necesară în scopul verificării conformității cu prevederile directivei pertinente. Utilizatorii IMI trebuie să țină în permanență seama de faptul că, în multe cazuri, informațiile referitoare la cazierul judiciar al profesionistului migrant sau al furnizorului de servicii nu sunt necesare pentru luarea unei decizii.
                  În realitate, în setul de întrebări IMI există numai câteva care vizează cazierul judiciar sau alte date sensibile (10). În afara acestor cazuri limitate, schimbul de informații sensibile trebuie să aibă loc numai în mod excepțional, când circumstanțele concrete ale cazului sunt de așa natură încât datele sensibile sunt direct legate de continuarea activității în cauză și sunt absolut necesare pentru constatarea unui drept legal.
                  Autoritățile competente nu trebuie să utilizeze IMI pentru verificări de rutină ale antecedentelor penale ale profesioniștilor migranți, deoarece acest lucru nu ar fi conform cu scopul pentru care IMI a fost instituit. Orice întrebări privind delictele comise sau măsurile disciplinare trebuie să aibă legătură cu profesia sau cu serviciul în cauză și nu cu orice alte delicte comise sau măsuri disciplinare care s-ar fi putut lua împotriva profesionistului migrant în țara de origine. Spre exemplu, pentru a determina dacă un medic este înregistrat în mod legal și corespunzător în ordinul medicilor, autoritatea competentă solicitantă nu are nevoie să știe dacă medicul are în cazierul său o sancțiune privind un incident rutier, deoarece o astfel de contravenție nu l-ar împiedica pe acesta să lucreze ca medic în țara sa de origine.
               
            
         Chestiunea prelucrării ulterioare și a stocării în afara IMI
      
      IMI va fi adesea utilizat pentru furnizarea de date pentru o altă operațiune de prelucrare care are loc în statul membru (de exemplu, pentru a trata o cerere de prestare a unui serviciu sau de autorizare a unei activități). Prin urmare, este normal ca autoritățile competente să prelucreze ulterior datele în aceste scopuri. Atunci când datele sunt obținute prin IMI și sunt prelucrate ulterior în afara sistemului, continuă să se aplice legislația națională privind protecția datelor. Prin urmare, trebuie să vă asigurați că:
      
                  —
               
               
                  această prelucrare ulterioară nu este incompatibilă cu scopurile colectării și schimbului care au avut loc în IMI;
               
            
                  —
               
               
                  această prelucrare ulterioară este necesară și proporțională (adecvată, pertinentă și neexcesivă) cu scopul colectării inițiale a datelor în cadrul IMI;
               
            
                  —
               
               
                  se iau măsuri rezonabile pentru ca datele să fie actualizate și pentru ca acestea să fie șterse atunci când nu mai sunt necesare;
               
            
                  —
               
               
                  atunci când datele sunt extrase din IMI în vederea dezvăluirii către o terță parte, persoana vizată trebuie să fie informată cu privire la acest aspect, pentru a se garanta prelucrarea corectă, în afara cazului în care informarea persoanei vizate se dovedește a fi imposibilă sau implică eforturi disproporționate sau dacă legislația prevede expres dezvăluirea datelor [a se vedea articolul 11 alineatul (2) din Directiva privind protecția datelor 95/46/CE]. Având în vedere că dezvăluirea poate fi impusă doar de legislația unuia dintre statele membre implicate și, prin urmare, această cerință poate să nu fie cunoscută de publicul larg în afara statului membru respectiv, Comisia recomandă să se facă eforturi pentru informarea persoanei în cauză chiar dacă dezvăluirea este prevăzută expres în legislație.
               
            9.   COMUNICAREA DE INFORMAȚII PERSOANELOR VIZATE
      Unul dintre pilonii oricărui program de protecție a datelor este acela că operatorii de date oferă informații persoanelor vizate cu privire la operațiunile de prelucrare pe care intenționează să le desfășoare cu privire la datele lor cu caracter personal.
      Articolul 10 din Directiva privind protecția datelor prevede că în momentul colectării datelor, trebuie comunicate persoanei vizate cel puțin informații privind identitatea operatorului, scopul prelucrării, destinatarii sau categoriile de destinatari ai datelor, caracterul obligatoriu sau facultativ al răspunsurilor la întrebări și posibilele consecințe ale refuzului de a oferi un răspuns, precum și dreptul de acces și rectificare.
      Prin urmare, atunci când se colectează date cu caracter personal de la o persoană fizică, autoritatea competentă trebuie să informeze persoana vizată că datele pot fi introduse în IMI în vederea corespondenței cu alte administrații publice din alte state membre în scopul solicitărilor persoanei respective și că, dacă va fi necesar, persoana în cauză poate solicita accesul la datele care fac obiectul schimburilor sau rectificarea acestora de la oricare dintre autoritățile competente implicate în solicitare (pentru mai multe detalii în această privință, a se vedea capitolul 10 privind drepturile de acces și rectificare).
      Este responsabilitatea fiecărei autorități competente să decidă asupra modalității în care transmite aceste informații persoanelor vizate. Deoarece majoritatea autorităților competente (dacă nu chiar toate) vor efectua în IMI și alte operațiuni de prelucrare decât schimbul de informații, modul în care informează persoanele vizate poate fi, după caz, același cu cel ales pentru transmiterea de informații similare pentru alte operațiuni de prelucrare în temeiul legislației naționale (de exemplu, prin anunțuri, în corespondența cu persoanele vizate și/sau pe site-uri web).
      
         Comunicarea de informații în Directiva privind protecția datelor
      
      Articolul 10 din Directiva privind protecția datelor conține o listă cu un set minim de informații care trebuie furnizate persoanelor fizice, cu excepția cazurilor în care acestea le dețin deja:
      
                  (a)
               
               
                  identitatea operatorului sau a operatorilor (autoritatea competentă care colectează datele și autoritățile similare ale altor state membre);
               
            
                  (b)
               
               
                  scopul prelucrării (corespondența cu alte autorități în legătură cu cererea profesionistului migrant sau a furnizorului de servicii);
               
            
                  (c)
               
               
                  orice alte informații suplimentare, în măsura în care sunt necesare pentru garantarea prelucrării corecte sau dacă furnizarea de informații suplimentare este impusă de legislația națională, precum:
                  
                              1.
                           
                           
                              destinatarii sau categoriile de destinatari;
                           
                        
                              2.
                           
                           
                              existența dreptului de acces la date și a dreptului de rectificare a datelor care privesc persoanele respective, modul în care pot fi exercitate aceste drepturi în practică și orice excepții privind aceste drepturi prevăzute de legislația națională;
                           
                        
                              3.
                           
                           
                              căile de recurs (de exemplu, accesul la instanțele judecătorești și dreptul de a cere despăgubiri);
                           
                        
                              4.
                           
                           
                              perioada de stocare și reținere;
                           
                        
                              5.
                           
                           
                              măsurile de securitate;
                           
                        
                              6.
                           
                           
                              legături către documentele și site-urile web pertinente, inclusiv site-ul web al Comisiei destinat IMI.
                           
                        
            Directiva privind protecția datelor prevede două cazuri în care trebuie comunicate informații persoanelor vizate: atunci când datele sunt colectate direct de la aceștia și atunci când datele au fost obținute de la terți. Totuși, în cazul din urmă, articolul 11 din directivă conține o prevedere conform căreia furnizarea acestor informații nu este necesară dacă implică depunerea unor eforturi disproporționate sau dacă dezvăluirea este prevăzută în mod expres în legislație (cum este cazul schimburilor de informații în IMI) deși directiva menționează, de asemenea, că în aceste cazuri „statele membre prevăd garanții corespunzătoare”.
      Prin urmare, poate fi necesar ca autoritățile competente să adapteze comunicarea de informații către persoanele vizate pe baza legislației lor privind protecția datelor, eventual prin consultare cu coordonatorii naționali IMI și cu autoritățile naționale pentru protecția datelor. Se recomandă o abordare pe mai multe niveluri, prin comunicarea de informații de bază în momentul colectării (de exemplu, în formularele de cerere către autoritățile competente), în același timp cu indicații referitoare la modul în care persoanele vizate pot obține informații mai detaliate, dacă sunt interesate.
      Pentru acest al doilea nivel, al informațiilor mai detaliate, o modalitate eficientă de comunicare de informații persoanelor vizate este prin intermediul politicilor de confidențialitate sau al declarațiilor de confidențialitate publicate pe site-urile web.
      Dacă autoritățile competente au publicat deja aceste declarații de confidențialitate, ele trebuie actualizate sau completate pentru a face referire în mod specific la schimburile de date cu caracter personal în IMI. În caz contrar, autoritățile competente trebuie să decidă dacă utilizarea IMI și cantitatea de date personale colectate justifică întocmirea unei declarații de confidențialitate online.
      În cazul în care utilizarea IMI este doar sporadică, poate fi suficient ca persoanele vizate să fie informate numai pe scurt cu privire la IMI în momentul colectării și să primească ulterior informații suplimentare, dacă este necesar. În aceste cazuri, în care persoanei vizate nu i se furnizează nicio declarație de confidențialitate specifică IMI de către autoritatea competentă, aceasta din urmă trebuie să indice în mod clar de unde se pot obține mai multe informații, de exemplu, pe site-ul web al coordonatorului național IMI și pe site-ul web al Comisiei dedicat IMI.
      Secțiunea privind protecția datelor de pe site-ul dedicat IMI al Comisiei (11) conține declarația de confidențialitate a Comisiei privind IMI. De asemenea, aceasta include și informații suplimentare pentru persoanele vizate cu privire la modurile în care își pot exercita drepturile și în care pot obține asistență de la autoritățile naționale competente sau de la autoritățile naționale pentru protecția datelor, dacă este necesar:
      
         „În cazul în care considerați că sistemul IMI conține datele dumneavoastră personale și doriți să le accesați sau să solicitați ștergerea ori modificarea lor, puteți contacta administrația sau organismul profesional cu care ați colaborat sau oricare alt utilizator IMI care a fost implicat în cerere. Dacă nu sunteți mulțumit de răspunsul primit, puteți contacta un alt utilizator IMI implicat în cerere sau puteți înainta o plângere către autoritatea responsabilă cu protecția datelor a oricărui utilizator IMI implicat în cerere, care vă va acorda sprijin gratuit. Lista autorităților responsabile cu protecția datelor este disponibilă la adresa
         http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm
         În unele cazuri, este posibil ca legislația națională să conțină excepții de la dreptul dumneavoastră privind accesul la datele personale.”
      
      Se recomandă cu insistență ca actorii importanți din cadrul IMI care tratează un volum mare de cereri să își publice politicile de confidențialitate pe site-urile lor. Aceste politici de confidențialitate trebuie să conțină un link către secțiunea referitoare la protecția datelor de pe site-ul web al Comisiei dedicat IMI. Alte autorități competente care tratează un volum mai scăzut de cereri pot utiliza în principal un link către site-ul web al Comisiei dedicat IMI.
      Coordonatorii naționali IMI trebuie să ofere asistență autorităților competente. Acest lucru poate include asistență la elaborarea modelelor de avize de confidențialitate care pot fi folosite de către autoritățile competente. În mod alternativ, un aviz de confidențialitate național comun poate fi întocmit și publicat pe internet de către coordonatorul național iar fiecare autoritate competentă poate pur și simplu să pună la dispoziție un link către acest aviz atunci când lucrează cu persoane vizate (de exemplu, în formularele de cerere sau orice alte documente furnizate persoanelor vizate).
      
         DECLARAȚIA DE CONFIDENȚIALITATE A COMISIEI EUROPENE
      
      
         Sistemul de informare al pieței interne – IMI
      
      1.   IMI – obiectiv și actori
      
      Obiectivul IMI este de a facilita cooperarea administrativă și asistența reciprocă între statele membre pentru a asigura buna funcționare a pieței interne și libera circulație a persoanelor și serviciilor. În acest sens, a fost creat un instrument pentru schimbul de informații (inclusiv anumite date cu caracter personal) între administrațiile naționale ale statelor membre SEE.
      Această declarație de confidențialitate se referă la acea parte din sistemul IMI pentru care este responsabilă Comisia Europeană, și anume culegerea, înregistrarea, stocarea și ștergerea datelor cu caracter personal ale primilor utilizatori înregistrați ai coordonatorilor naționali IMI și stocarea și ștergerea, dar nu și colectarea, accesarea sau vizualizarea, datelor cu caracter personal ale altor utilizatori IMI și ale persoanelor care fac obiectul unui schimb de informații. Nu se referă la acele activități de prelucrare a datelor care țin de competența statelor membre.
      2.   Care este legislația aplicabilă?
      
      Toate acțiunile de prelucrare a datelor pentru care este responsabilă Comisia Europeană se efectuează în baza Regulamentului (CE) nr. 45/2001 al Parlamentului European și al Consiliului din 18 decembrie 2000 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date.
      De asemenea, se aplică Decizia 2008/49/CE a Comisiei din 12 decembrie 2007 privind punerea în aplicare a Sistemului de informare al pieței interne (IMI) în ceea ce privește protecția datelor cu caracter personal.
      3.   Ce date prelucrează Comisia în sistemul IMI?
      
      Comisia culege datele de contact necesare ale primilor utilizatori înregistrați ai coordonatorilor naționali IMI, cum ar fi numele, numărul de telefon de la birou, numărul de fax și adresa de e-mail. Aceste date cu caracter personal, precum și cele ale utilizatorilor înregistrați ai coordonatorilor IMI delegați și ai autorităților competente, sunt păstrate pe un server al Comisiei.
      Din motive tehnice, datele personale ale celor care fac obiectul schimbului de informații vor fi păstrate pe un server al Comisiei.
      4.   În ce scop sunt prelucrate datele în sistemul IMI?
      
      Datele de contact ale coordonatorilor naționali IMI sunt esențiale pentru lansarea și funcționarea sistemului IMI. Comisia trebuie să aibă acces la aceste date pentru a coopera eficient cu statele membre în ceea ce privește gestionarea sistemului IMI.
      În ceea ce privește stocarea temporară a datelor personale ale celor care fac obiectul unui schimb de informații între autoritățile naționale, scopul prelucrării acestor date în sistemul IMI este de a ameliora și facilita cooperarea dintre autoritățile competente din statele membre, în baza legislației adoptate pentru realizarea pieței interne, în cazul în care sunt necesare informații suplimentare din partea altui stat membru în legătură cu furnizarea temporară de servicii transfrontaliere sau cu stabilirea unui furnizor de servicii pe teritoriul unui alt stat membru.
      5.   Cine are acces la aceste date?
      
      În limitele articolului 12 alineatul (7) din Decizia 2008/49/CE, administratorii de date la nivel local ai Comisiei au acces la datele cu caracter personal ale administratorilor de date la nivel local ai coordonatorilor naționali IMI. În niciun caz, personalul Comisiei nu poate accesa datele cu caracter personal ale cetățeanului care face obiectul schimbului de informații.
      6.   Cât timp sunt păstrate datele?
      
      Datele cu caracter personal ale utilizatorilor din cadrul autorităților competente și ale coordonatorilor vor fi păstrate atât timp cât aceștia rămân utilizatori ai sistemului IMI.
      Toate datele cu caracter personal schimbate între autoritățile competente și prelucrate în IMI vor fi șterse automat de Comisie după 6 luni de la încheierea oficială a schimbului de informații. Din motive statistice, schimbul de informații va continua în sistemul IMI, însă toate datele cu caracter personal vor apărea ca anonime. O autoritate competentă implicată într-un anumit schimb de informații poate să ceară Comisiei, în orice moment după finalizarea schimbului de informații, să șteargă anumite date cu caracter personal. Comisia va trata această cerere în termen de 10 zile lucrătoare, cu acordul celeilalte autorități competente implicate.
      7.   Ce măsuri de securitate au fost luate împotriva accesului neautorizat?
      
      Sistemul IMI este prevăzut cu o serie de măsuri tehnice de protecție. Diferitele niveluri de acces la baza de date sunt protejate de un sistem normal cu parolă și un cod digital suplimentar similar celui folosit în sistemele de plăți electronice efectuate prin calculatorul personal. Doar un număr limitat de persoane au acces la datele personale din IMI, după cum se menționează la punctul 5 „Cine are acces la aceste date?”. De asemenea, sistemul este protejat de https, un protocol special de securitate pe internet.
      8.   Accesul la datele dumneavoastră cu caracter personal
      
      În calitate de coordonator național IMI, aveți acces la datele dumneavoastră cu caracter personal prin intermediul adresei de contact menționate la punctul 10.
      9.   Informații suplimentare
      
      Pe lângă această declarație de confidențialitate, se aplică și dispozițiile din „Aviz juridic important” (http://europa.eu/geninfo/legal_notices_en.htm)
      În cazul în care considerați că sistemul IMI conține datele dumneavoastră personale și doriți să le accesați sau să solicitați ștergerea ori modificarea lor, puteți contacta administrația sau organismul profesional cu care ați colaborat sau oricare alt utilizator IMI care a fost implicat în cerere. Dacă nu sunteți mulțumit de răspunsul primit, puteți contacta un alt utilizator IMI implicat în cerere sau puteți înainta o plângere către autoritatea responsabilă cu protecția datelor a oricărui utilizator IMI implicat în cerere, care vă va acorda sprijin gratuit. Lista autorităților responsabile cu protecția datelor este disponibilă la adresa
      http://ec.europa.eu/justice_home/fsj/privacy/nationalcomm/index_en.htm
      În unele cazuri, este posibil ca legislația națională să conțină excepții de la dreptul dumneavoastră privind accesul la datele personale.
      10.   Contact
      
      IMI este gestionat de Comisia Europeană, Direcția Generală Piață Internă și Servicii, unitatea E.3. Persoana responsabilă (operatorul) este dl Nicholas Leapman, șef de unitate. Adresa de contact IMI este:
      
                  Comisia Europeană
               
            
                  Direcția Generală Piață Internă și Servicii
               
            
                  Unitatea E.3
               
            
                  B-1049 Bruxelles
               
            
                  markt-imi-dataprotection@ec.europa.eu
               
            Dacă doriți să înaintați o plângere privind o acțiune de prelucrare a datelor executată sub responsabilitatea Comisiei, puteți contacta Autoritatea Europeană pentru Protecția Datelor:
      
                  Autoritatea Europeană pentru Protecția Datelor (AEPD)
               
            
                  Rue Wiertz 60 (MO 63)
               
            
                  B-1047 Bruxelles
               
            
                  Tel. +32 22831900
               
            
                  Fax: +32 22831950
               
            
                  edps@edps.europa.eu
               
            10.   DREPTUL DE ACCES ȘI DE RECTIFICARE
      Transparența față de persoana vizată este esențială. Aceasta se asigură atât prin furnizarea informațiilor menționate la capitolul anterior, cât și prin acordarea dreptului de a accesa datele personale și, acolo unde este cazul, a dreptului de a solicita ștergerea, rectificarea sau blocarea lor, dacă acestea sunt incorecte sau au fost prelucrate în mod ilegal.
      Complexitatea sistemului IMI, cu numeroși actori și utilizatori implicați în operațiuni de prelucrare și control în comun, necesită o abordare directă a persoanei vizate. Persoanele vizate nu sunt familiarizate cu detaliile tehnice ale operațiilor de prelucrare în comun sau cu funcționarea IMI și nici nu trebuie să fie.
      Prin urmare, trebuie adoptată o abordare clară și simplă: în general, sub rezerva excepțiilor justificate convenite între persoana vizată și toate celelalte părți în cauză, persoanele vizate își vor putea exercita dreptul de acces, rectificare și ștergere prin contactarea oricărei autorități competente implicate într-o cerere. Nicio autoritate competentă nu trebuie să refuze accesul, rectificarea sau ștergerea pe motiv că nu a introdus datele în sistem sau că persoana vizată trebuie să se adreseze unei alte autorități competente. Autoritatea competentă care primește cererea o va examina și o va aproba sau o va respinge în funcție de caracterul întemeiat al cererii și conform prevederilor propriei legislații naționale privind protecția datelor. Dacă este necesar, autoritatea competentă poate contacta alte autorități competente înainte de a lua o decizie. În cazul unui dezacord între autoritățile competente, acestea trebuie să implice autoritățile corespunzătoare pentru protecția datelor pentru a ajunge la un acord în mod rapid și eficient.
      În cazul în care persoana vizată nu este mulțumită de decizia adoptată, aceasta poate contacta o altă autoritate competentă implicată în schimbul de informații sau se poate adresa autorității naționale pentru protecția datelor a uneia dintre aceste autorități competente, la libera sa alegere: spre exemplu, autoritatea din țara în care persoana vizată este stabilită sau autoritatea națională pentru protecția datelor a țării din care provine sau autoritatea țării în care persoana își desfășoară activitatea. Dacă este necesar, autoritățile pentru protecția datelor trebuie să coopereze în vederea tratării plângerii (a se vedea articolul 28 din Directiva privind protecția datelor).
      Trebuie subliniat faptul că persoanele vizate au dreptul de a recurge, în orice moment, la o cale de atac în justiție și de a obține reparații atunci când este cazul (a se vedea articolele 22 și 23 din Directiva privind protecția datelor și dispozițiile corespunzătoare din legislația națională).
      Articolul 12 litera (c) din Directiva privind protecția datelor prevede notificarea de către operator a terților cărora le-au fost comunicate datele cu privire la orice rectificare, ștergere sau blocare efectuată, cu excepția cazului în care aceasta se dovedește imposibilă sau presupune un efort disproporționat. Aceasta se aplică și informațiilor prelucrate ulterior în afara IMI.
      În urma recomandărilor Grupului de lucru prevăzut la articolul 29 și ale AEPD, Comisia lucrează, în prezent, la o funcție în cadrul sistemului IMI (pe baza procedurii deja adoptate pentru ștergerea înainte de termen a datelor la cererea autorităților competente, a se vedea capitolul 12) care ar permite rectificarea online a datelor și transmiterea de notificări automate autorităților competente implicate. Aceasta prezintă un anumit grad de complexitate tehnică, astfel încât se propune ca, până în momentul în care această funcție va putea fi utilizată, autoritatea competentă să adreseze orice solicitare de rectificare a unor date cu caracter personal direct operatorului de date IMI al Comisiei Europene (a se vedea secțiunea anterioară „Declarația de confidențialitate a Comisiei Europene”).
      Directiva privind protecția datelor și legislația națională care o implementează oferă persoanelor vizate dreptul de a se opune prelucrării datelor proprii și de a cere sistarea prelucrării lor, dacă această opoziție este justificată. În cazul în care sunteți contactat de o persoană vizată care se opune prelucrării datelor proprii, vă rugăm să vă adresați autorității naționale pentru protecția datelor pentru a obține mai multe informații cu privire la modul în care acest drept de opoziție este exercitat în statul dumneavoastră.
      11.   SECURITATEA DATELOR
      În vederea asigurării securității IMI, se utilizează o serie de măsuri organizatorice și tehnice, similare celor utilizate în sistemele de operațiuni bancare efectuate prin calculatorul personal. Comunicarea cu sistemul IMI prin intermediul internetului este protejată de https, un protocol special de securitate pe internet. Măsurile tehnice în vederea protejării IMI trebuie să fie interoperabile pe întreg teritoriul Uniunii Europene. Protecția tehnică a sistemului va fi ulterior îmbunătățită în funcție de nivelul tehnologic și de costurile de implementare [a se vedea articolul 17 din Directiva 95/46/CE și articolul 22 din Regulamentul (CE) nr. 45/2001].
      Pentru a obține mai multe informații referitoare la regulile privind securitatea sistemelor de informare utilizate de Comisia Europeană, vă rugăm să consultați Decizia C (2006) 3602 a Comisiei disponibilă la secțiunea privind protecția datelor a site-ului web al IMI:
      http://ec.europa.eu/internal_market/imi-net/data_protection_en.html
      12.   PERIOADA DE REȚINERE
      Regulile aplicabile în ceea ce privește perioada de reținere sunt stabilite în articolele 4 și 5 din Decizia 2008/49/CE.
      În general, toate datele cu caracter personal incluse în schimburile de informații vor fi șterse automat după șase luni de la încheierea oficială a schimbului de informații. În prezent, Comisia efectuează anumite modificări ale sistemului (atenționări și liste de urgențe) cu scopul de a realiza încheierea oficială a cererilor cât mai curând posibil.
      De asemenea, există posibilitatea ca o autoritate competentă să solicite ștergerea datelor personale anterior încheierii perioadei de șase luni. Comisia va da curs acestui tip de solicitări în termen de zece zile lucrătoare cu condiția ca cealaltă autoritate competentă să își exprime acordul.
      Autoritățile competente trebuie să ia cunoștință de faptul că solicitările de ștergere a datelor cu caracter personal pot fi efectuate online prin simpla accesare a cererii închise corespunzătoare și prin apăsarea butonului „Se dorește ștergerea datelor personale”.
      
         Captură de ecran reprezentând cererea unei autorități competente de ștergere înainte de termen a datelor cu caracter personal
      
      
         
      
         Captură de ecran reprezentând consultarea unei autorități competente cu privire la ștergerea înainte de termen a datelor cu caracter personal
      
      
         
      De asemenea, Comisia va aduce anumite îmbunătățiri sistemului, cum ar fi atenționările automate de acceptare a răspunsurilor sau de încheiere în mod oficial a cererilor în cazurile care au primit un răspuns favorabil.
      De asemenea, este important de reținut faptul că reglementările naționale privind protecția datelor se aplică stocării de către autoritățile competente a oricăror date cu caracter personal în afara IMI.
      13.   COOPERAREA CU AUTORITĂȚILE NAȚIONALE PENTRU PROTECȚIA DATELOR ȘI CU AEPD
      Rețeaua de autorități naționale pentru protecția datelor și AEPD reprezintă una dintre cele mai solide garanții a bunei funcționări a sistemului nostru de protecție a datelor. Autoritățile competente o pot consulta ori de câte ori se confruntă cu o problemă dificilă neinclusă în prezentele orientări. Coordonatorii naționali IMI joacă un rol important în acest sens. Lista persoanelor de contact în cadrul autorităților pentru protecția datelor este disponibilă la secțiunea privind protecția datelor a site-ului web al IMI.
      De asemenea, autoritățile competente trebuie să ia cunoștință de faptul că este posibil să fie obligate să informeze autoritățile naționale pentru protecția datelor înainte de a participa în cadrul IMI. În unele state membre, ar putea fi necesară o autorizare prealabilă. Coordonatorii IMI trebuie să joace un rol activ de coordonare în contactarea autorităților pentru protecția datelor, atunci când este necesar.
      
         Activități în curs de desfășurare
      
      Următoarele îmbunătățiri favorabile protecției datelor vor fi incluse într-o versiune viitoare a IMI pe parcursul anului 2009:
      
                  (a)
               
               
                  Atunci când schimburile de informații se referă la date sensibile (de exemplu, date privind starea sănătății, cazierul judiciar sau măsuri disciplinare), va exista o atenționare cu privire la faptul că informațiile schimbate sunt sensibile și că responsabilul de caz trebuie să solicite aceste informații numai dacă sunt absolut necesare și sunt legate în mod direct de exercitarea activității profesionale sau a prestării unui anumit serviciu.
               
            
                  (b)
               
               
                  Va fi instituită o procedură online (pe baza celei deja adoptate pentru ștergerea înainte de termen a datelor la cererea autorităților competente) pentru rectificarea, ștergerea sau blocarea datelor incorecte sau prelucrate ilegal.
               
            
                  (c)
               
               
                  Vor exista atenționări automate și liste de urgențe pentru acceptarea unui răspuns astfel încât cererile să nu rămână deschise mai mult timp decât este necesar.
               
            
                  (d)
               
               
                  Măsuri corespunzătoare pentru gestionarea noilor fluxuri de informații în baza Directivei privind serviciile – și anume, mecanismul de avertizare și derogările de la caz la caz. În general, aceste măsuri vor urma aceeași abordare destinată schimburilor generale de informații, spre exemplu: atenționări cu privire la caracterul sensibil al acestor fluxuri de informații, atenționări de închidere a avertizărilor cât mai rapid posibil, modalități posibile de informare a persoanelor fizice cu privire la schimbul de informații și la drepturile acestora de a accesa datele și, dacă este cazul, de a cere blocarea, ștergerea sau rectificarea acestora. Pot fi necesare dispozitive suplimentare de siguranță pentru protecția datelor, care vor fi stabilite în colaborare cu AEPD.
               
            14.   CLAUZA DE REVIZUIRE
      IMI este un sistem modern de informare, aflat în curs de dezvoltare. Comisia colectează în permanență date de la colaboratori și de la autoritățile competente în vederea îmbunătățirii sistemului, astfel încât este posibil să fie operate modificări pe parcursul lunilor următoare. Este posibil ca unele dintre acestea să aibă consecințe în ceea ce privește protecția datelor, iar altele nu.
      Prin urmare, prezentele orientări nu sunt definitive și vor trebui actualizate pe baza experienței dobândite din activitatea de zi cu zi a IMI. În termen de un an de la adoptarea prezentei recomandări, Comisia va elabora un raport în care va evalua situația, inclusiv posibilitatea adoptării unei alte măsuri juridice.
      
         (1)  Se recomandă statelor membre să aibă în vedere includerea de informații privind protecția datelor în cadrul cursurilor de formare referitoare la IMI.
      
         (2)  A se vedea articolul 12 din Decizia 2008/49/CE.
      
         (3)  Autoritățile competente pot fi „asociate” cu alte autorități, în scopul supravegherii (de exemplu, o autoritate regională este asociată cu o autoritate centrală). Aceste „autorități asociate” pot fi astfel informate cu privire la numărul și natura cererilor, însă nu au acces la datele cu caracter personal ale furnizorilor de servicii sau ale profesioniștilor migranți.
      
         (4)  În conformitate cu prevederile articolului 10 alineatul (3) din Decizia 2008/49/CE, aceasta din urmă poate participa la schimburile de informații doar în cazuri specifice în care actul comunitar corespunzător prevede schimbul de informații între statele membre și Comisie. În aceste cazuri, Comisia beneficiază de aceleași drepturi de acces ca o autoritate competentă. Spre exemplu, Comisia trebuie să furnizeze o notificare corespunzătoare persoanelor care fac obiectul datelor, precum și să le permită acestora, la cerere, accesul la propriile date.
      
         (5)  Deși în unele state membre, precum Italia, Luxemburg, Austria și Danemarca, domeniul de aplicare al legislației privind protecția datelor include și persoanele juridice, într-o anumită măsură.
      
         (6)  Directiva 95/46/CE se aplică statelor membre, în timp ce Regulamentul (CE) nr. 45/2001 se aplică instituțiilor europene.
      
         (7)  http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_en.pdf
      
         (8)  Pentru o definiție legală, a se vedea articolul 8 din Directiva 95/46/CE și articolul 10 din Regulamentul (CE) nr. 45/2001.
      
         (9)  Mai concret: trebuie furnizate informații adecvate persoanelor vizate, prelucrarea trebuie să fie proporțională, iar datele nu trebuie să fie prelucrate ulterior în scopuri incompatibile cu colectarea acestora.
      
         (10)  O listă specifică a acestor întrebări este disponibilă pe site-ul web al IMI:
      http://ec.europa.eu/internal_market/imi-net/docs/questions_and_data_fields_en.pdf
      
         (11)  Secțiunea privind protecția datelor de pe site-ul web al IMI conține toate documentele privind protecția datelor specifice pentru IMI, precum și un link către o listă a tuturor documentelor legislative privind protecția datelor la nivelul Uniunii Europene:
      http://ec.europa.eu/internal_market/imi-net/data_protection_ro.html