This document is an excerpt from the EUR-Lex website
Document 52012DC0009
COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT, THE COUNCIL, THE EUROPEAN ECONOMIC AND SOCIAL COMMITTEE AND THE COMMITTEE OF THE REGIONS Safeguarding Privacy in a Connected World A European Data Protection Framework for the 21st Century
COMUNICARE A COMISIEI CĂTRE PARLAMENTUL EUROPEAN, CONSILIU, COMITETUL ECONOMIC ȘI SOCIAL ȘI COMITETUL REGIUNILOR Protecția vieții private într-o lume interconectată Un cadru european privind protecția datelor pentru secolul 21
COMUNICARE A COMISIEI CĂTRE PARLAMENTUL EUROPEAN, CONSILIU, COMITETUL ECONOMIC ȘI SOCIAL ȘI COMITETUL REGIUNILOR Protecția vieții private într-o lume interconectată Un cadru european privind protecția datelor pentru secolul 21
/* COM/2012/09 final */
COMUNICARE A COMISIEI CĂTRE PARLAMENTUL EUROPEAN, CONSILIU, COMITETUL ECONOMIC ȘI SOCIAL ȘI COMITETUL REGIUNILOR Protecția vieții private într-o lume interconectată Un cadru european privind protecția datelor pentru secolul 21 /* COM/2012/09 final */
COMUNICARE A COMISIEI CĂTRE
PARLAMENTUL EUROPEAN, CONSILIU, COMITETUL ECONOMIC ȘI SOCIAL ȘI
COMITETUL REGIUNILOR Protecția vieții private într-o
lume interconectată
Un cadru european privind protecția datelor pentru secolul 21 (Text cu relevanță pentru SEE)
1.
PROVOCĂRILE ACTUALE PRIVIND PROTECȚIA
DATELOR
Ritmul rapid al schimbărilor tehnologice
și globalizarea au transformat profund modul în care este colectat,
accesat, utilizat și transferat volumul tot mai mare de date cu caracter
personal. Noile modalități de a face schimb de informații prin
intermediul rețelelor sociale și stocarea unor cantități
mari de date la distanță au devenit o parte a vieții multor din
cei 250 de milioane de utilizatori ai internetului din Europa. În același
timp, pentru multe întreprinderi, datele cu caracter personal reprezintă
un avantaj. Colectarea, agregarea și analizarea datelor privind
clienții potențiali constituie adesea o parte importantă a
activităților lor economice[1].
În cadrul acestui nou mediu digital, persoanele
au dreptul să beneficieze de un control efectiv asupra informațiilor
cu caracter personal. Protecția datelor este un drept fundamental în
Europa, prevăzut la articolul 8 din Carta drepturilor fundamentale a
Uniunii Europene și la articolul 16 alineatul (1) din Tratatul privind
funcționarea Uniunii Europene (TFUE), care trebuie protejat în mod
corespunzător. Lipsa de încredere îi face pe consumatori să
ezite în ceea ce privește achiziționarea de produse online sau
acceptarea de noi servicii. Prin urmare, un nivel ridicat de protecție a
datelor este, de asemenea, crucial pentru creșterea încrederii în
serviciile online și pentru valorificarea potențialului economiei
digitale, încurajând astfel creșterea economică și
competitivitatea industriilor din UE. Sunt necesare norme moderne și coerente pe
întreg teritoriul UE pentru ca datele să circule liber de la un stat
membru la altul. Întreprinderile au nevoie de norme clare și uniforme care
să le ofere securitate juridică și să reducă sarcina
administrativă la minimum. Acest lucru este esențial pentru ca
piața unică să funcționeze și să stimuleze
creșterea economică, să creeze noi locuri de muncă și
să încurajeze inovarea[2].
O modernizare a normelor UE în materie de protecție a datelor care să
consolideze dimensiunea acestora privind piața internă, să
asigure un nivel ridicat de protecție a datelor persoanelor fizice și
să promoveze securitatea juridică, claritatea și coerența;
prin urmare, aceasta joacă un rol central în cadrul Planului de
acțiune de la Stockholm al Comisiei Europene[3], al Agendei digitale pentru
Europa[4]
și, în sens mai larg, contribuie la strategia UE privind creșterea
economică (Strategia Europa 2020[5]).
Directiva UE din 1995[6], principalul instrument
legislativ privind protecția datelor cu caracter personal în Europa, a
reprezentat un punct de reper în istoria protecției datelor. Obiectivele
sale privind asigurarea unei piețe unice funcționale și
protecția efectivă a drepturilor fundamentale și a libertăților
persoanelor sunt în continuare valabile. Cu toate acestea, directiva a fost
adoptată în urmă cu 17 ani când internetul era în fază
incipientă. În noul mediu digital plin de provocări din zilele
noastre, normele existente nu oferă nici gradul de armonizare
corespunzător, nici eficiența necesară pentru a asigura dreptul
la protecția datelor cu caracter personal. Acesta este motivul pentru care
Comisia Europeană propune o reformă fundamentală a cadrului UE
privind protecția datelor. În plus, Tratatul de la
Lisabona a creat, prin articolul 16 din TFUE, un nou temei juridic pentru o
abordare globală și modernizată a protecției datelor
și a liberei circulații a datelor cu caracter personal, care
acoperă, de asemenea, cooperarea polițienească și judiciară
în materie penală[7].
Această abordare se reflectă în comunicările Comisiei Europene
privind Programul de la Stockholm și în Planul de acțiune de la
Stockholm[8],
care subliniază necesitatea ca Uniunea „să instituie un regim
cuprinzător de protecție a datelor cu caracter personal care să
acopere toate domeniile de competență ale UE” și „să se
asigure că dreptul fundamental privind protecția datelor este aplicat
în mod coerent”. Pentru a pregăti în mod transparent reforma
cadrului UE privind protecția datelor, Comisia a lansat, încă din 2009,
consultări publice în acest domeniu[9]
și s-a angajat într-un dialog intens cu părțile interesate[10]. La 4 noiembrie 2010, Comisia
a publicat o comunicare privind o abordare globală a protecției
datelor cu caracter personal în Uniunea Europeană[11], care precizează
principalele teme ale reformei. În perioada septembrie - decembrie 2011,
Comisia a fost implicată într-un dialog intens cu autoritățile
naționale pentru protecția datelor din Europa și cu Autoritatea
Europeană pentru Protecția Datelor în vederea explorării
opțiunilor pentru o aplicare mai coerentă a normelor UE privind
protecția datelor în toate statele membre ale Uniunii[12]. În urma acestor
discuții, a rezultat în mod clar că atât cetățenii, cât
și întreprinderile doreau realizarea de către Comisia Europeană
a unei reforme cuprinzătoare a normelor UE în materie de protecție a
datelor. După evaluarea efectelor diferitelor opțiuni de
politică[13],
Comisia Europeană propune în prezent un cadru legislativ solid și
coerent aplicabil tuturor politicilor Uniunii, care să consolideze drepturile
persoanelor, dimensiunea protecției datelor privind piața unică
și să contribuie la reducerea birocrației cu care se
confruntă întreprinderile[14].
În conformitate cu propunerea Comisiei, noul cadru ar trebui să fie
constituit din: –
un regulament (de înlocuire a Directivei 95/46/CE),
care stabilește un cadru general al UE privind protecția datelor[15]; și –
o directivă (de înlocuire a
Deciziei-cadru 2008/977/JAI[16]),
care definește normele privind protecția datelor cu caracter personal
prelucrate în scopul prevenirii, identificării, investigării sau
urmăririi penale a infracțiunilor, precum și în scopul
activităților judiciare conexe. Prezenta comunicare descrie principalele elemente
ale reformei cadrului UE privind protecția datelor.
2.
EXERCITAREA CONTROLULUI DE CĂTRE PERSOANE
ASUPRA DATELOR ACESTORA CU CARACTER PERSONAL
Modalitățile prin care persoanele
își pot exercita dreptul la protecția datelor, prevăzute în
Directiva 95/46/CE – principalul act legislativ al UE în domeniul
protecției datelor în vigoare – nu sunt suficient de armonizate în statele
membre. De asemenea, nici competențele autorităților
naționale responsabile cu protecția datelor nu sunt suficient de
armonizate pentru a se asigura o aplicare coerentă și efectivă a
normelor în acest domeniu. Aceasta înseamnă, de fapt, că exercitarea
unor astfel de drepturi este mai dificilă în unele state membre decât în
altele, în special on line. Aceste dificultăți sunt cauzate, de
asemenea, de volumul datelor colectate zilnic și de faptul că
utilizatorii nu sunt întotdeauna pe deplin conștienți că datele
lor cu caracter personal sunt colectate. Deși numeroși europeni
consideră că divulgarea datelor cu caracter personal constituie,
într-o măsură din ce în ce mai mare, o parte a vieții moderne[17], 72% dintre utilizatorii de
internet din Europa sunt preocupați în continuare de faptul că li se
cere divulgarea unui număr prea mare de date cu caracter personal online[18]. Aceștia au sentimentul
că nu dețin controlul asupra datelor cu caracter personal. De
asemenea, consideră că nu sunt corect informați cu privire la
ceea ce se întâmplă cu informațiile lor cu caracter personal, la
destinatarii acestor informații și la scopul transmiterii acestora.
Adesea, utilizatorii nu știu cum să își exercite drepturile
online. . „Dreptul de a fi
uitat” Un student european care este membru al unui
serviciu de socializare online decide să solicite accesul la toate datele
sale cu caracter personal pe care le deține rețeaua. Cu această
ocazie, realizează că rețeaua colectează mult mai multe
date decât credea și că anumite date cu caracter personal despre care
acesta credea că au fost șterse, erau stocate în continuare de
către rețea. Reforma normelor UE în materie de
protecție a datelor va garanta că o astfel de situație nu mai
poate avea loc, prin introducerea: - unei cerințe explicite care obligă
serviciile de socializare online (și toți ceilalți operatori de
date) să limiteze la minimum volumul de date cu caracter personal ale
utilizatorilor pe care le culeg și prelucrează; - unei cerințe privind asigurarea
faptului că setările standard ale sistemului garantează că
datele nu sunt făcute publice; - unei obligații explicite a operatorilor
de date de a șterge datele cu caracter personal ale unei persoane în cazul
în care persoana solicită în mod explicit acest lucru și în cazul în
care nu există alte motive întemeiate pentru păstrarea lor.
În acest caz specific, furnizorul rețelei sociale ar avea obligația
de a șterge imediat totalitatea datelor referitoare la student. Astfel cum se subliniază în „O Agendă
digitală pentru Europa”, preocupările legate de viața
privată sunt printre cele mai frecvente motive pentru care oamenii nu
cumpăra bunuri și servicii online. Având în vedere contribuția
sectorului tehnologiilor informației și comunicațiilor (TIC) la
creșterea globală a productivității în Europa – 20%
provenind direct de la sectorul TIC și 30% de la investițiile în
cadrul TIC[19]
– încrederea în aceste servicii este foarte importantă pentru a stimula
creșterea economiei UE și competitivitatea industriei europene. Notificările
privind încălcarea securității datelor Hackerii au atacat un serviciu de jocuri de
noroc care se adresează utilizatorilor din UE. Încălcarea a afectat
baze de date care conțineau date cu caracter personal (inclusiv nume,
adrese și, posibil, date referitoare la cărțile de credit) ale
zeci de milioane de utilizatori din întreaga lume. Societatea respectivă a
așteptat o săptămână înainte de a notifica utilizatorii în
cauză. Reforma normelor UE în materie de
protecție a datelor va asigura faptul că o astfel de situație nu
mai poate avea loc, noile norme obligând societățile să: - consolideze măsurile de securitate
pentru a preveni și evita încălcarea securității datelor; - notifice încălcarea
securității datelor atât autorității naționale de
protecție a datelor - dacă este posibil, în termen de 24 de ore de la
constatare – cât și persoanelor în cauză, fără întârzieri
nejustificate. . Noile acte legislative propuse de Comisie au ca
obiectiv consolidarea drepturilor, punerea la dispoziția
cetățenilor a unor mijloace eficiente și operaționale
pentru a se asigura că aceștia sunt informați pe deplin cu
privire la ceea ce se întâmplă cu datele lor cu caracter personal și
pentru a le permite să își exercite drepturile într-un mod mai eficace.
În vederea consolidării dreptului persoanelor
fizice la protecția datelor, Comisia propune noi norme care vor contribui
la: Îmbunătățirea
capacității persoanelor de a-și exercita controlul asupra
datelor care îi privesc, prin: - garantarea faptului că, în cazul în
care este necesar consimțământul persoanei în cauză,
acesta este acordat în mod explicit, adică se bazează fie pe o
declarație, sau pe un act neechivoc al acesteia, și în mod liber;
- oferirea posibilității
utilizatorilor de internet de a-și exercita efectiv „dreptul de
a fi uitat” în mediul online: dreptul ca datele lor să fie șterse
în cazul în care aceștia își retrag consimțământul și
în cazul în care nu există alte motive întemeiate pentru păstrarea
datelor; - garantarea facilității accesului
la propriile date și dreptul la portabilitatea datelor: dreptul
de a obține o copie a datelor stocate din partea operatorului și
libertatea de a transfera datele de la un furnizor de servicii la altul,
fără restricții; - consolidarea dreptului
la informare, astfel încât persoanele să înțeleagă pe deplin
modul în care sunt utilizate datele lor cu caracter personal, în special în
cazul în care operațiunile de prelucrare a datelor privesc minorii.
Îmbunătățirea mijloacelor de care dispun persoanele fizice
pentru a fi în măsură să își exercite drepturile,
prin: - consolidarea independenței și
a competențelor autorităților naționale de protecție a
datelor, astfel încât acestea să dețină mijloacele necesare
pentru soluționarea eficientă a plângerilor, să
desfășoare investigații eficiente, să ia decizii cu
caracter obligatoriu și să impună sancțiuni eficiente
și disuasive; - consolidarea acțiunilor judiciare
și a celor administrative în cazul încălcării drepturilor
privind protecția datelor. În special, asociațiile specializate în
acest domeniu vor putea să introducă o acțiune în
instanță în numele unei persoane fizice. Consolidarea securității datelor, prin: - încurajarea utilizării tehnologiilor
de consolidare a protecției vieții private (tehnologii care
protejează confidențialitatea informațiilor prin reducerea la
minimum a datelor cu caracter personal stocare), a setărilor standard
care respectă confidențialitatea și a regimurilor de
certificare a respectării confidențialității; - introducerea unei obligații
generale[20]
a operatorilor de date de a notifica încălcarea
securității datelor fără întârzieri nejustificate atât
autorităților pentru protecția datelor (în termen de 24 de ore,
dacă acest lucru este posibil), cât și persoanelor în cauză. O mai mare responsabilitate a celor care
prelucrează date, în special prin: - solicitarea
desemnării de către operatori a unui responsabil cu protecția
datelor în cadrul societăților cu mai mult de 250 de
angajați și în întreprinderile implicate în operațiuni de
prelucrare a datelor care, prin natura, domeniul de aplicare sau obiectivele
lor, prezintă riscuri specifice pentru drepturile și
libertățile persoanelor fizice („prelucrare riscantă”); - introducerea principiului privind luarea
în considerare a vieții private începând cu momentul conceperii (privacy
by design) pentru a se asigura că garanțiile în materie de
protecție a datelor sunt luate în considerare în faza de planificare a
procedurilor și a sistemelor de prelucrare; - introducerea obligației de a efectua studii
de impact privind protecția datelor pentru organizațiile
implicate în operațiuni de prelucrare riscante.
3.
NORME ÎN MATERIE DE PROTECȚIE A DATELOR
ADECVATE PENTRU PIAȚA DIGITALĂ UNICĂ
În pofida obiectivului directivei în vigoare de a
asigura un nivel echivalent de protecție a datelor în ansamblul UE,
există încă diferențe considerabile privind normele aplicate în
statele membre. În consecință, operatorii de date trebuie să
lucreze cu 27 de legislații și cerințe diferite la nivel
național. Rezultatul acestei situații este un mediu juridic
fragmentat care a generat incertitudine juridică și o
protecție inegală a persoanelor. Acest lucru a cauzat costuri
și sarcini administrative inutile pentru întreprinderi, fiind un
factor de descurajare pentru întreprinderile care își
desfășoară activitatea pe piața unică și care ar
dori să își extindă activitatea pe plan internațional. Resursele și competențele
autorităților naționale responsabile pentru protecția
datelor variază în mod considerabil între statele membre[21]. În anumite cazuri, acestea nu
sunt în măsură să își îndeplinească sarcinile de
asigurare a aplicării legislației în mod satisfăcător.
Cooperarea dintre aceste autorități la nivel european – prin intermediul
grupului consultativ existent (așa-numitul Grup de lucru pentru
protecția persoanelor în ceea ce privește prelucrarea datelor cu
caracter personal)[22]
– nu conduce întotdeauna la o aplicare coerentă a normelor în vigoare
și trebuie, de asemenea, să fie îmbunătățită. Aplicarea coerentă a normelor în materie
de protecție a datelor în întreaga Europă O societate multinațională cu mai
multe sedii în UE a dezvoltat un sistem de cartografiere online în întreaga
Europă, care colectează imagini ale tuturor clădirilor publice
și private și, de asemenea, poate fotografia persoanele aflate pe
stradă. Într-un stat membru, a fost considerată ilegală
includerea în cadrul sistemului a fotografiilor clare ale persoanelor care nu
erau conștiente de faptul că au fost fotografiate, în timp ce în alte
state membre, acest lucru nu a fost considerat ca reprezentând o încălcare
a legislației privind protecția datelor. Prin urmare, nu a existat o
reacție coerentă în rândul autorităților naționale
pentru protecția datelor în vederea remedierii acestei situații. Prin reforma normelor UE în materie de
protecție a datelor, se va asigura că situația
menționată mai sus nu va mai putea avea loc în viitor, deoarece: - cerințele și garanțiile
privind protecția datelor vor fi prevăzute în cadrul unui regulament
al UE cu aplicare directă în întreaga Uniune; - autoritatea pentru protecția datelor
din statul membru în care societatea în cauză își are sediul
principal va fi singura responsabilă pentru a decide dacă societatea
acționează în mod legal; - o coordonare promptă și
eficientă între autoritățile naționale pentru
protecția datelor - având în vedere că serviciul se adresează
persoanelor din mai multe state membre - va contribui la asigurarea faptului
că noile norme ale UE în materie de protecție a datelor vor fi
aplicate și respectate în mod coerent la nivelul tuturor statelor membre.
Este necesară consolidarea
autorităților naționale și a cooperării între acestea
pentru a garanta respectarea în mod coerent și, în ultimă
instanță, aplicarea uniformă a normelor în întreaga UE. Un cadru legislativ solid, clar și unitar la
nivelul UE va contribui la valorificarea potențialului pieței
digitale unice și la stimularea creșterii economice, a inovării
și a creării de locuri de muncă. Adoptarea unui regulament va
duce la eliminarea fragmentării regimurilor juridice din cele 27 de state
membre și a barierelor la intrarea pe piață, un factor deosebit
de important atât pentru microîntreprinderi, cât și pentru întreprinderile
mici și mijlocii. De asemenea, noile norme vor oferi un avantaj
societăților din UE în contextul concurenței globale. Cadrul de
reglementare revizuit le va permite acestora să ofere asigurări
clienților cu privire la faptul că informațiile importante cu
caracter personal vor fi tratate cu maximă atenție și
seriozitate. Încrederea într-un regim de reglementare coerent la nivelul UE va
reprezenta un avantaj major pentru prestatorii de servicii și un stimulent
pentru investitorii aflați în căutare de condiții optime în
vederea localizării serviciilor. În vederea consolidării dimensiunii
protecției datelor privind piața unică, Comisia propune: - stabilirea normelor în materie de
protecție a datelor la nivelul UE prin intermediul unui regulament
direct aplicabil în toate statele membre[23]
care va pune capăt aplicării cumulative și simultane a
diferitelor legislații naționale în materie de protecție a
datelor. Aceasta va conduce la realizarea de către societăți a
unor economii nete de aproximativ 2,3 miliarde EUR pe an numai în ceea ce
privește sarcinile administrative; - simplificarea cadrului de reglementare
prin reducerea drastică a birocrației și eliminarea formalităților,
cum ar fi cerințele de notificare generală (generând economii nete în
valoare de 130 de milioane EUR pe an numai în ceea ce privește sarcinile
administrative). Dată fiind importanța acestora pentru
competitivitatea economiei europene, se acordă o atenție
specială nevoilor specifice ale microîntreprinderilor și ale
întreprinderilor mici și mijlocii; - consolidarea în continuare a
independenței și a competențelor autorităților
naționale pentru protecția datelor (APD) pentru a le permite
să efectueze anchete, să ia decizii cu caracter obligatoriu, să
impună sancțiuni eficiente și disuasive și să oblige
statele membre să le furnizeze suficiente resurse în acest sens; - instituirea unui sistem bazat pe un
„ghișeu unic” privind protecția datelor în UE: operatorii de date
din UE vor lucra doar cu o singură APD, și anume autoritatea
din statul membru în care se află sediul principal al
societății; - crearea condițiilor pentru o cooperare
rapidă și eficientă între APD-uri, inclusiv obligația unei
APD de a efectua anchete și inspecții la cererea unei alte APD,
precum și recunoașterea reciprocă a deciziilor; - instituirea unui mecanism pentru
asigurarea coerenței la nivelul UE pentru ca deciziile APD-urilor care
au un impact mai larg la nivel european să ia pe deplin în considerare
opiniile celorlalte APD-uri în cauză și să fie în conformitate
cu legislația UE; - creșterea rolului Grupului de lucru
pentru protecția persoanelor în ceea ce privește prelucrarea datelor
cu caracter personal prin transformarea acestuia într-un comitet european
independent pentru protecția datelor, ceea ce va conduce la o
îmbunătățire a contribuției acestuia la aplicarea coerentă
a legislației privind protecția datelor și la asigurarea unei
baze solide pentru cooperarea între autoritățile de protecție a
datelor, inclusiv cu Autoritatea Europeană pentru Protecția Datelor;
precum și consolidarea sinergiilor și a eficacității prin
asigurarea activităților de secretariat ale Comitetului european
pentru protecția datelor de către Autoritatea Europeană pentru
Protecția Datelor. Noul regulament al UE
va asigura o protecție solidă a dreptului fundamental la
protecția datelor în toată Uniunea Europeană și va
consolida funcționarea pieței unice. În același timp – având în
vedere faptul că, astfel cum a subliniat Curtea de Justiție a UE[24], dreptul la protecția
datelor cu caracter personal nu este unul absolut, ci trebuie luat în considerare
în raport cu funcția pe care o îndeplinește în societate[25] și echilibrat cu alte
drepturi fundamentale, în conformitate cu principiul
proporționalității[26]
– regulamentul va conține dispoziții explicite care să asigure
respectarea celorlalte drepturi fundamentale, precum libertatea de exprimare
și de informare, dreptul la apărare, precum și dreptul de a
păstra secretul profesional (cum este cazul profesiilor juridice),
fără a duce prejudicii statutului bisericilor în temeiul legislațiilor
statelor membre.
4.
UTILIZAREA DATELOR ÎN CADRUL COOPERĂRII
POLIȚIENEȘTI ȘI JUDICIARE ÎN MATERIE PENALĂ
Intrarea în vigoare a Tratatului de la Lisabona
și, în special, introducerea unui nou temei juridic (articolul 16 din
TFUE) permit stabilirea unui cadru cuprinzător privind protecția
datelor care asigură un înalt nivel de protecție pentru datele
persoanelor fizice, respectând în același timp caracterul specific al
domeniului cooperării polițienești și judiciare în materie
penală. În special, cadrul revizuit al UE privind protecția datelor
poate fi aplicat prelucrării datelor cu caracter personal atât la nivel
transfrontalier, cât și la nivel național. Aceasta ar reduce
diferențele dintre legislațiile statelor membre, aducând beneficii în
domeniul protecției datelor cu caracter personal în ansamblul său. De
asemenea, ar putea conduce la o simplificare a schimbului de informații
între autoritățile polițienești și judiciare ale
statelor membre și, prin urmare, la îmbunătățirea
cooperării în lupta împotriva formelor grave de criminalitate în Europa.
În prezent, prelucrarea datelor de către autoritățile
polițienești și judiciare în materie penală este
reglementată, în principal, prin Decizia-cadru 2008/977/JAI a Consiliului,
care este anterioară intrării în vigoare a Tratatului de la Lisabona.
Comisia nu are competența de a asigura respectarea normelor sale deoarece
este vorba de o decizie-cadru, aceasta contribuind la o punere în aplicare
inegală. În plus, domeniul de aplicare al deciziei-cadru este limitat la
activitățile de prelucrare transfrontaliere[27]. Aceasta înseamnă că
prelucrarea datelor cu caracter personal care nu au făcut obiectul unor
schimburi nu este acoperită, în prezent, de normele UE care
reglementează o astfel de prelucrare și care protejează dreptul
fundamental la protecția datelor. De asemenea, acest lucru generează,
în anumite cazuri, dificultăți practice pentru poliție și
alte autorități pentru care este posibil să nu fie evident
dacă prelucrarea datelor trebuie să se desfășoare exclusiv
la nivel național sau transfrontalier sau este dificil pentru
autorități să prevadă dacă datele „naționale” ar
putea face obiectul unui schimb transfrontalier ulterior[28]. Prin urmare, noul cadru revizuit al UE privind
protecția datelor are ca scop asigurarea unui nivel coerent și ridicat
de protecție a datelor în vederea consolidării încrederii
reciproce dintre autoritățile polițienești și
judiciare din diferitele state membre, contribuind astfel la libera
circulație a datelor și la o cooperare eficientă între aceste
autorități. În vederea asigurării unui nivel ridicat de
protecție a datelor cu caracter personal în domeniul cooperării
polițienești și judiciare în materie penală și al
facilitării schimburilor de date cu caracter personal între
autoritățile polițienești și judiciare ale statelor
membre, Comisia propune, ca parte a pachetului de reforme privind
protecția datelor, o directivă care va urmări: - aplicarea principiilor generale în
materie de protecție a datelor în cazul
cooperării polițienești și al cooperării judiciare în materie
penală, respectând, în același timp, natura specifică a acestor
domenii[29];
- prevederea unor criterii și
condiții minime armonizate privind posibilele limitări
referitoare la regulile generale. Aceasta vizează, în special, drepturile
persoanelor de a fi informate atunci când autoritățile
polițienești și judiciare prelucrează sau accesează
datele persoanelor respective. Astfel de limitări sunt necesare pentru
eficiența prevenirii, identificării, investigării sau
urmăririi penale a infracțiunilor; - instituirea unor norme specifice care
să ia în considerare particularitățile activităților
în materie de aplicare a legii, inclusiv o distincție între diferitele
categorii de persoane vizate (cum ar fi martorii și suspecții)
ale căror drepturi pot varia.
5.
PROTECȚIA DATELOR ÎNTR-O LUME GLOBALIZATĂ
Respectarea drepturilor persoanelor trebuie
garantată în continuare atunci când datele cu caracter personal sunt
transferate din UE către țări terțe și ori de câte ori
sunt vizate persoane din statele membre, iar datele acestora sunt utilizate sau
analizate de către furnizori de servicii din țări terțe.
Aceasta înseamnă că standardele UE în materie de protecție a
datelor trebuie să fie aplicate indiferent de localizarea geografică
a unei societăți sau al serviciului acesteia de prelucrare a datelor. În lumea globalizată de astăzi, datele
cu caracter personal sunt transferate peste un număr din ce în ce mai mare
de frontiere virtuale și geografice, fiind stocate pe servere situate în
numeroase țări. Din ce în ce mai multe companii oferă servicii
de „cloud computing” (informatică dematerializată), care permit
consumatorilor să aibă acces și să stocheze date pe servere
aflate la distanță. Factorii menționați conduc la
necesitatea îmbunătățirii mecanismelor actuale pentru transferul
de date către țări terțe. Aceasta include decizii privind
caracterul adecvat – și anume decizii de certificare a existenței
unor standarde „adecvate” de protecție a datelor în țări
terțe – și garanții corespunzătoare, cum ar fi clauzele
contractuale standard sau regulile corporative cu forță juridică
obligatorie[30],
astfel încât să se asigure un nivel ridicat de protecție a datelor în
cadrul operațiunilor de prelucrare a datelor la nivel internațional
și să se faciliteze fluxurile transfrontaliere de date. Reguli corporatiste obligatorii Un grup de întreprinderi trebuie să
transfere în mod curent date cu caracter personal de la filialele sale cu
sediul în UE către filialele sale situate în țări terțe.
Grupul ar dori să introducă un set de reguli corporatiste obligatorii
(Binding Corporate Rules - BCR) pentru a se conforma legislației UE,
limitând, în același timp, cerințele administrative pentru fiecare
transfer individual. În practică, BCR garantează aplicarea unui set
unic de norme în ansamblul grupului, în detrimentul existenței unor
diverse contracte interne. În conformitate cu practicile actuale
stabilite la nivelul Grupului de lucru pentru protecția persoanelor în
ceea ce privește prelucrarea datelor cu caracter personal,
recunoașterea caracterului adecvat al garanțiilor prevăzute de
regulile corporatiste obligatorii ale unei societăți implică o
revizuire amănunțită efectuată de către trei APD-uri
(o „autoritate principală” și două „autorități
secundare”), precum și prezentarea de observații de către alte
autorități în domeniu. În plus, multe dintre legislațiile
statelor membre impun obținerea de autorizații naționale
suplimentare în cazul transferurilor reglementate prin BCR, ceea ce conduce la
un proces de adoptare foarte greoi, costisitor, lung și complex. În urma reformei în materie de protecție
a datelor: - acest proces va fi mai simplu și mai
raționalizat; - BCR vor fi validate doar de o singură
APD, iar mecanismele în vigoare vor asigura implicarea rapidă a altor APD
relevante; - odată ce o autoritate a aprobat o BCR,
aceasta va fi valabilă pe întreg teritoriul UE, fără a avea
nevoie de o autorizație suplimentară la nivel național. . În vederea abordării provocărilor
generate de globalizare, sunt necesare instrumente și mecanisme
flexibile – în special pentru întreprinderile care își
desfășoară activitatea pe plan mondial – garantând totodată
o protecție a datelor persoanelor fizice fără niciun fel de
neajunsuri. Comisia propune următoarele măsuri: - elaborarea
unor norme clare care să definească cazurile în care legislația
UE este aplicabilă operatorilor de date stabiliți în țări
terțe, în special, care să specifice că, de fiecare
dată când sunt oferite bunuri și servicii persoanelor fizice din UE,
sau când comportamentul lor este monitorizat, se aplică normele
europene; - orice decizie privind caracterul adecvat
al nivelului de protecție va fi luată de către Comisia
Europeană pe baza unor criterii explicite și clare, inclusiv în
domeniul cooperării polițienești și al justiției
penale; - simplificarea fluxurilor legitime de date
către țările terțe prin consolidarea și simplificarea normelor
privind transferurile internaționale către țările care
nu fac obiectul unei decizii privind caracterul adecvat al nivelului de
protecție, în special prin raționalizarea și extinderea
utilizării unor instrumente, cum ar fi regulile corporatiste
obligatorii, astfel încât acestea să poată fi aplicate atât operatorilor
de date, cât și în cadrul grupurilor de societăți,
astfel, reflectând mai bine numărul din ce în ce mai mare de
societăți implicate în activități de prelucrare a datelor,
în special în domeniul „cloud computing”; - inițierea unui dialog și,
acolo unde este cazul, a unor negocieri cu țările terțe –
în special cu partenerii strategici ai UE și cu țările care fac
obiectul politicii europene de vecinătate – și cu organizațiile
internaționale relevante (cum ar fi Consiliul Europei, Organizația
pentru Cooperare și Dezvoltare Economică, Organizația Națiunilor
Unite) pentru promovarea unor standarde ridicate și interoperabile de
protecție a datelor în întreaga lume.
6.
CONCLUZII
Reforma în materie de protecție a datelor
își propune să dezvolte un cadru modern, solid, coerent și
cuprinzător privind protecția datelor în Uniunea Europeană.
Dreptul fundamental al persoanelor fizice la protecția datelor va fi
consolidat. Alte drepturi, precum libertatea de exprimare și de informare,
drepturile copilului, dreptul de a desfășura o activitate
comercială, dreptul la un proces echitabil, dreptul de a păstra
secretul profesional (cum este cazul profesiilor juridice), precum și
statutul bisericilor în legislațiile statelor membre vor fi, de asemenea,
respectate. De această reformă vor beneficia, în
primul rând, persoanele fizice, prin consolidarea drepturilor acestora privind
protecția datelor și a încrederii lor în mediul digital. Reforma va
simplifica în continuare cadrul legislativ pentru întreprinderi și
sectorul public în mod substanțial. Se așteaptă ca acest lucru
să stimuleze dezvoltarea economiei digitale în ansamblul pieței unice
a UE și dincolo de granițele acesteia, în conformitate cu obiectivele
Strategiei „Europa 2020” și ale Agendei digitale pentru Europa. În
sfârșit, reforma va contribui la creșterea încrederii în rândul
autorităților de aplicare a legii în scopul facilitării
schimburile de date dintre acestea și al cooperării în lupta
împotriva formelor grave de criminalitate, asigurând, în același timp, un
nivel ridicat de protecție a persoanelor fizice. Comisia Europeană va colabora strâns cu Parlamentul European
și cu Consiliul în vederea finalizării, până la sfârșitul
anului 2012, a unui acord referitor la noul cadru al UE privind protecția
datelor. Pe toată durata procesului de adoptare și ulterior acestuia,
în special în contextul punerii în aplicare a noilor instrumente juridice,
Comisia va menține un dialog strâns și transparent cu toate
părțile interesate, în care vor fi implicați
reprezentanți ai sectorului public și privat, cum ar fi
reprezentanți ai autorităților polițienești și
judiciare, ai autorităților de reglementare în domeniul
comunicațiilor electronice, ai organizațiilor societății
civile, ai autorităților de protecție a datelor și ai
mediului universitar, precum și ai agențiilor specializate ale UE, ca
de exemplu Eurojust, Europol, Agenția pentru Drepturi Fundamentale, precum
și Rețeaua Europeană și Agenția pentru o societate
informațională (European Network and Information Society Agency).
În contextul dezvoltării constante a
tehnologiilor informației și a comportamentelor sociale în continuă
schimbare, este deosebit de importantă desfășurarea unui astfel
de dialog pentru a putea beneficia de contribuțiile necesare în scopul
asigurării unui nivel ridicat de protecție a datelor privind
persoanele fizice, creșterii și competitivității industriilor
UE, eficienței operaționale a sectorului public (inclusiv
poliția și sistemul judiciar) și a unui nivel scăzut al
sarcinii administrative. [1] Piața pentru analizarea seturilor de date foarte
mari este în creștere cu 40% pe an la nivel mondial: http://www.mckinsey.com/mgi/publications/big_data/. [2] A se vedea, de asemenea, concluziile Consiliului
European din 23 octombrie 2011 care subliniază „rolul esențial” al
pieței unice „în asigurarea creșterii economice și a
ocupării forței de muncă”, precum și necesitatea de a
finaliza piața digitală unică până în 2015. [3] COM(2010)171 final. [4] COM(2010) 245 final. [5] COM(2010) 2020 final. [6] Directiva 95/46/CE a Parlamentului
European și a Consiliului din 24 octombrie 1995 privind protecția
persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter
personal și libera circulație a acestor date, JO L 281, 23.11.1995,
p. 31. [7] Normele specifice pentru
prelucrarea de către statele membre a datelor în materie de politică
externă și de securitate comună se stabilesc printr-o decizie a
Consiliului în temeiul articolului 39 din TUE. [8] COM (2009) 262 și, respectiv,
COM (2010) 171. [9] Au fost lansate două
consultări publice privind reforma protecției datelor: prima a avut loc din iulie până în decembrie 2009
((http://ec.europa.eu/justice/news/consulting_public/news_consulting_0003_en.htm)
și a doua din noiembrie 2010 până în ianuarie 2011
(http://ec.europa.eu/justice/news/consulting_public/news_consulting_0006_en.htm). [10] În 2010, au fost organizate
consultări specifice cu autoritățile statelor membre și
părțile interesate din sectorul privat. În
noiembrie 2010, comisarul UE pentru justiție, Viviane Reding, a organizat
o masă rotundă având ca temă reforma în materie de
protecție a datelor. De asemenea, pe parcursul anului 2011, s-au mai
organizat alte ateliere și seminarii cu privire la aspecte specifice (de
exemplu,. notificările în caz de încălcare a securității
datelor). [11] COM(2010) 609. [12] A se vedea scrisoarea comisarului UE
pentru justiție, Viviane Reding, din 19 septembrie 2011 adresată
membrilor Grupului de lucru pentru protecția persoanelor în ceea ce
privește prelucrarea datelor cu caracter personal, publicată la
adresa http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/index_en.htm. [13] A se vedea Evaluarea impactului [SEC (2012)72]. [14] Reforma va include, într-o etapă ulterioară,
modificări în vederea alinierii instrumentelor specifice și
sectoriale, ca de exemplu Regulamentul (CE) nr. 45/2011 (JO L 8, 12.1.2001, p. 1). [15] Regulamentul aduce, de asemenea, un număr limitat de
modificări tehnice Directivei asupra confidențialității
și comunicațiilor electronice (Directiva 2002/58/CE, astfel cum a
fost modificată prin Directiva 2009/136/CE - JO L 337, 18.12.2009, p. 11),
pentru a lua în considerare transformarea Directivei 95/46/CE în regulament. Consecințele juridice de fond pe care noul regulament și
noua directivă le vor presupune pentru Directiva asupra
confidențialității și comunicațiilor electronice vor
face, în timp util, obiectul unei revizuiri de către Comisie, ținând
seama de rezultatul negocierilor privind propunerile actuale cu Parlamentul
European și cu Consiliul. [16] Decizia-cadru 2008/977/JAI a Consiliului din 27 noiembrie 2008
privind protecția datelor cu caracter personal prelucrate în cadrul
cooperării polițienești și judiciare în materie
penală, JO L 350, 30.12.2008, p. 60. Un raport privind punerea în aplicare
de către statele membre a deciziei-cadru [COM(2012)12] este adoptat ca
parte a pachetului de reforme privind protecția datelor. [17] A se vedea Eurobarometrul special 359 – Atitudini privind
protecția datelor și identitatea electronică în Uniunea Europeană,
iunie 2011, p. 23. [18] Ibidem, p. 54. [19] A se vedea „O agenda digitală pentru Europa”, cit.,
p. 4. [20] Acest lucru este în prezent obligatoriu numai în sectorul
telecomunicațiilor, în conformitate cu Directiva asupra
confidențialității și comunicațiilor electronice. [21] Pentru mai multe detalii cu privire la acest aspect, a se
vedea studiul de impact care însoțește propunerile legislative, SEC (2012)
72. [22] Grupul de lucru a fost înființat în 1996 (prin
articolul 29 din Directiva 95/46/CE), având un caracter consultativ și
fiind format din reprezentanți ai autorităților naționale
de supraveghere a protecției datelor (DPA), ai Autorității
Europene pentru Protecția Datelor (AEPD) și ai Comisiei. Pentru mai
multe informații cu privire la activitățile grupului de lucru, a
se vedea http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm.
[23] De asemenea, Comisia a prezentat o propunere de
directivă în care să se definească normele aplicabile în
domeniul cooperării polițienești și al cooperării
judiciare în materie penală (a se vedea punctul 4 de mai jos), ceea ce va
oferi statelor membre o mai mare flexibilitate în acest domeniu specific. [24] Curtea de Justiție a UE, hotărârea din 9.11.2010
în cauzele conexate C-92/09 și C-93/09 Volker und Markus Schecke și
Eifert Rep [2010], nepublicată încă. [25] În conformitate cu articolul 52 alineatul (1) din
cartă, pot fi impuse limitări privind exercitarea dreptului la
protecția datelor, atât timp cât acestea sunt prevăzute prin lege,
respectă substanța acestor drepturi și libertăți
și, sub rezerva principiului proporționalității, sunt
necesare și numai dacă răspund efectiv obiectivelor de interes
general recunoscute de Uniune sau necesității protejării
drepturilor și libertăților celorlalți. [26] Curtea de Justiție a UE, hotărârea din 6.11.2003,
cauza C-101/01, Lindqvist [2003] ECR I-12971, para 82-90; hotărârea
din 16.12.2008, C-73/07, Satamedia [2008], ECR I-9831, para 50-62. [27] Mai precis, decizia-cadru se aplică datelor cu
caracter personal care sunt sau au fost transmise sau puse la dispoziție
de către statele membre, sau schimbate între statele membre și
instituțiile sau organismele UE [a se vedea articolul 1 alineatul (2)]. [28] Acest lucru a fost confirmat de unele state membre în
răspunsurile la chestionarul Comisiei referitor la raportul de punere în
aplicare a deciziei-cadru [COM (2012) 12]. [29] În conformitate cu Declarația nr. 21 privind
protecția datelor cu caracter personal în domeniul cooperării
judiciare în materie penală și al cooperării
polițienești, astfel cum este anexată la Actul final al
Conferinței interguvernamentale care a adoptat Tratatul de la Lisabona. [30] Regulile corporatiste obligatorii sunt coduri de bune
practici bazate pe standarde europene de protecție a datelor, aprobate de
cel puțin o APD, pe care organizațiile le stabilesc în mod voluntar
și le respectă în scopul asigurării unor garanții
corespunzătoare pentru diverse categorii de transferuri de date cu caracter
personal între societăți care fac parte din același grup și
care au obligații în temeiul acestor reguli. Acestea nu sunt incluse în
mod explicit în Directiva 95/46/CE, fiind dezvoltate în cadrul practicii între
APD-uri, cu sprijinul Grupului de lucru pentru protecția persoanelor în
ceea ce privește prelucrarea datelor cu caracter personal.