52013DC0846

1.           Introducere: Transferurile de date între UE și SUA într-un mediu în schimbare

Uniunea Europeană și Statele Unite sunt parteneri strategici, iar acest parteneriat este esențial pentru promovarea valorilor noastre comune, a securității noastre și a rolului nostru comun de lider pe plan internațional.

Cu toate acestea, încrederea în parteneriat a fost afectată în mod negativ și trebuie restabilită. UE, statele sale membre și cetățenii europeni și-au exprimat profunda îngrijorare cu privire la dezvăluirile legate de programele SUA de colectare de informații pe scară largă, în special în ceea ce privește protecția datelor cu caracter personal[1]. Supravegherea în masă a comunicațiilor private, fie că este vorba de cetățeni, de întreprinderi sau de lideri politici, este inacceptabilă.

Transferurile de date cu caracter personal constituie un element important și necesar al relației transatlantice. Acestea fac parte integrantă din schimburile comerciale transatlantice inclusiv în noile sectoare din domeniul digital aflate în continuă dezvoltare, cum ar fi mijloacele de comunicare sociale sau tehnologia de tip cloud, care implică transferul unor cantități mari de date dinspre UE către SUA. Acestea constituie, de asemenea, o componentă esențială a cooperării dintre UE și SUA în materie de aplicare a legii, precum și a cooperării între statele membre ale UE și SUA în domeniul siguranței naționale. Pentru a facilita fluxurile de date, asigurând, în același timp, un nivel ridicat de protecție a datelor, în conformitate cu legislația UE, SUA și UE au instituit o serie de acorduri și înțelegeri.

Schimburile comerciale sunt reglementate prin Decizia 2000/520/CE[2] (denumită în continuare „decizia privind sfera de siguranță”). Această decizie prevede un temei juridic pentru transferurile de date cu caracter personal din UE către întreprinderi cu sediul în SUA, care au aderat la principiile sferei de siguranță privind protecția vieții private.

Schimbul de date cu caracter personal dintre UE și SUA în scopul aplicării legii, inclusiv al prevenirii și combaterii terorismului și a altor forme grave de criminalitate, este reglementat de un număr de acorduri la nivelul UE. Acestea sunt acordul privind asistența judiciară reciprocă[3], acordul privind utilizarea și transferul registrelor cu numele pasagerilor (PNR)[4], acordul privind prelucrarea și transferul datelor de mesagerie financiară în scopul Programului de urmărire a finanțărilor în scopuri teroriste (TFTP)[5] și acordul dintre Europol și SUA. Aceste acorduri răspund unor provocări importante în materie de securitate și promovează interesele comune de securitate ale UE și SUA, garantând în același timp un nivel ridicat de protecție a datelor cu caracter personal. În plus, UE și SUA sunt în curs de negociere a unui acord-cadru privind protecția datelor în domeniul cooperării polițienești și judiciare (denumit în continuare „acord-cadru”)[6]. Scopul său este de a asigura un nivel ridicat de protecție a datelor pentru cetățenii ale căror date fac obiectul unor schimburi, contribuind astfel la dezvoltarea cooperării dintre UE și SUA în combaterea criminalității și a terorismului pe baza unor valori și garanții comune.

Aceste instrumente funcționează într-un mediu în care fluxurile de date cu caracter personal capătă o importanță din ce în ce mai mare.

Pe de o parte, dezvoltarea economiei digitale a condus la creșterea exponențială a cantității, calității, diversității și naturii activităților de prelucrare a datelor. A crescut gradul de utilizare a serviciilor de comunicații electronice de către cetățeni în viața lor de zi cu zi. Datele cu caracter personal au devenit un bun extrem de valoros: valoarea estimată a datelor cu caracter personal ale cetățenilor UE a fost de 315 miliarde EUR în 2011 și dispune de un potențial de creștere până la aproape 1 trilion EUR anual până în 2020[7]. Piața pentru analizarea seturilor mari de date este în creștere cu 40% pe an la nivel mondial[8]. În mod similar, evoluțiile tehnologice, de exemplu, cele legate de tehnologia de tip cloud, pun în perspectivă noțiunea de transferuri internaționale de date întrucât fluxurile transfrontaliere de date devin o realitate de zi cu zi.[9]

Creșterea utilizării comunicațiilor electronice și a serviciilor de prelucrare a datelor, inclusiv tehnologia de tip cloud, a extins, de asemenea, în mod considerabil domeniul de aplicare și importanța transferurilor transatlantice de date. Elemente cum ar fi poziția centrală ocupată de societățile din SUA în economia digitală,[10] rutarea transatlantică a unei mari părți din comunicațiile electronice și volumul fluxurilor de date electronice dintre UE și SUA au devenit și mai relevante.

Pe de altă parte, metodele moderne de prelucrare a datelor cu caracter personal ridică noi întrebări fundamentale. Acest lucru se aplică atât noilor mijloace de prelucrare pe scară largă a datelor consumatorilor de către societăți private în scopuri comerciale, cât și capacității sporite de supraveghere pe scară largă a datelor de comunicații de către serviciile de informații.

Programele SUA de colectare de informații pe scară largă, cum ar fi PRISM, afectează drepturile fundamentale ale europenilor și, în special, dreptul acestora la viață privată și la protecția datelor cu caracter personal. Aceste programe indică, de asemenea, existența unei legături între supravegherea efectuată de autoritățile publice și prelucrarea datelor de către societăți private, în special furnizorii de servicii de internet din SUA. În consecință, programele respective pot avea un impact economic. Dacă cetățenii sunt preocupați cu privire la prelucrarea pe scară largă a datelor cu caracter personal ale acestora de către societăți private sau de supravegherea datelor de către agențiile de informații atunci când utilizează serviciile de internet, aceasta poate afecta încrederea lor în economia digitală, conducând la potențiale consecințe negative asupra creșterii.

Aceste evoluții constituie noi provocări pentru fluxurile de date dintre UE și SUA. Prezenta comunicare abordează aspectele menționate anterior. Aceasta examinează calea de urmat pe baza constatărilor din raportul copreședințiilor din UE ai Grupului de lucru ad-hoc UE-SUA și din comunicarea privind sfera de siguranță.

Comunicarea urmărește să ofere o cale de urmat eficientă pentru redobândirea încrederii și consolidarea cooperării dintre UE și SUA în aceste domenii, precum și pentru consolidarea relației transatlantice în sens larg.

Prezenta comunicare se bazează pe premisa că standardul de protecție a datelor cu caracter personal trebuie abordat în contextul său specific, fără a afecta alte dimensiuni ale relațiilor dintre UE și SUA, inclusiv negocierile în curs de desfășurare privind Parteneriatul transatlantic pentru comerț și investiții. Din acest motiv, standardele de protecție a datelor nu vor fi negociate în cadrul Parteneriatul transatlantic pentru comerț și investiții, care va respecta pe deplin normele privind protecția datelor.

Este important de remarcat că, în timp ce UE poate acționa în domeniile de competență pe care le are, în special pentru a asigura aplicarea legislației UE[11], securitatea națională rămâne responsabilitatea exclusivă a fiecărui stat membru[12].

2.         Impactul asupra instrumentelor pentru transferurile de date

În primul rând, în ceea ce privește datele transferate în scopuri comerciale, sfera de siguranță s-a dovedit a fi un instrument important pentru transferurile de date dintre UE și SUA. Importanța sa comercială a luat amploare întrucât fluxurile de date cu caracter personal au căpătat o mai mare importanță în relațiile comerciale transatlantice. În ultimii 13 ani, sistemul privind sfera de siguranță a evoluat, incluzând în prezent peste 3 000 de societăți, din care mai mult de jumătate au aderat la principiile sale în ultimii cinci ani. Cu toate acestea, a crescut îngrijorarea cu privire la nivelul de protecție a datelor cu caracter personal ale cetățenilor UE transferate către SUA în cadrul sistemului privind sfera de siguranță. Caracterul voluntar și declarativ al sistemului a atras o atenție sporită asupra transparenței și punerii sale în aplicare. În timp ce majoritatea societăților americane aplică principiile sistemului, unele societăți autocertificate nu fac acest lucru. Nerespectarea principiilor sferei de siguranță privind protecția vieții private de către unele societăți autocertificate le conferă acestora un avantaj competitiv față de întreprinderile europene care desfășoară activități pe aceleași piețe.

În plus, în timp ce în cadrul sferei de siguranță sunt permise limitări în ceea ce privește normele de protecție a datelor în cazul în care acestea sunt necesare din motive de securitate națională[13], se pune întrebarea dacă colectarea și prelucrarea pe scară largă de informații cu caracter personal în cadrul programelor de supraveghere ale SUA sunt necesare și proporționale pentru a răspunde intereselor de securitate națională. De asemenea, este clar din constatările Grupului de lucru ad-hoc UE-SUA că, în cadrul acestor programe, cetățenii UE nu se bucură de aceleași drepturi și garanții procedurale ca și cetățenii americani.

Amploarea acestor programe de supraveghere, combinată cu tratamentul inegal al cetățenilor UE, pune sub semnul întrebării nivelul de protecție asigurat de înțelegerea privind sfera de siguranță. Datele cu caracter personal ale cetățenilor UE trimise către SUA în cadrul sferei de siguranță pot fi accesate și prelucrate ulterior de către autoritățile SUA într-un mod incompatibil cu motivele pentru care datele au fost inițial colectate în UE și cu scopul pentru care au fost transferate către SUA. Majoritatea furnizorilor de servicii de internet din SUA care par a fi mai direct vizați de aceste programe sunt certificați în cadrul sistemului privind sfera de siguranță.

În al doilea rând, în ceea ce privește schimburile de date în scopul aplicării legii, acordurile existente (PNR, TFTP) s-au dovedit a fi instrumente extrem de utile pentru a aborda amenințările comune la adresa securității legate de infracțiunile transnaționale grave și de terorism, prevăzând garanții care asigură un nivel ridicat de protecție a datelor[14]. Aceste garanții vizează de asemenea cetățenii UE, iar acordurile prevăd mecanisme de revizuire a punerii lor în aplicare și de abordare a preocupărilor legate de acestea. Acordul TFTP stabilește, de asemenea, un sistem de supraveghere, în baza căruia controlori independenți din UE verifică modul în care datele care fac obiectul acordului sunt consultate de către SUA.

În contextul îngrijorărilor exprimate în UE cu privire la programele de supraveghere ale SUA, Comisia Europeană a utilizat aceste mecanisme pentru a verifica modul în care sunt aplicate acordurile. În cazul acordului PNR, a fost efectuată o revizuire comună, implicând experți în protecția datelor din UE și SUA, care au analizat modalitatea de punere în aplicare a acordului[15]. Această revizuire nu a oferit nicio indicație conform căreia programele de supraveghere ale SUA vizează sau au un impact asupra datelor privind pasagerii care fac obiectul acordului PNR. În cazul acordului TFTP, Comisia a inițiat consultări oficiale în urma unor acuzații conform cărora agențiile de informații ale SUA accesează în mod direct datele cu caracter personal în UE, ceea ce contravine acordului. Aceste consultări nu au evidențiat elemente care să confirme o încălcare a acordului TFTP, conducând la furnizarea de către SUA a unor asigurări scrise că nu au fost efectuate colectări directe ale datelor care să contravină dispozițiilor acordului.

Cu toate acestea, colectarea și prelucrarea pe scară largă a informațiilor cu caracter personal în cadrul programelor de supraveghere ale SUA necesită în continuare o monitorizare foarte atentă a punerii în aplicare a acordurilor PNR și TFTP în viitor. Prin urmare, UE și SUA au convenit devansarea următoarei revizuiri comune a acordului TFTP, care va avea loc în primăvara anului 2014. În cadrul acesteia și în cel al viitoarelor revizuiri comune, se va asigura o mai mare transparență cu privire la modul în care funcționează sistemul de supraveghere și la modul în care protejează datele cetățenilor UE. În paralel, se vor lua măsuri pentru a garanta că sistemul de supraveghere continuă să acorde o atenție deosebită modului în care sunt prelucrate datele transferate către SUA în temeiul acordului, punându-se accentul pe modul în care astfel de date sunt partajate între autoritățile americane.

În al treilea rând, creșterea volumului de date cu caracter personal prelucrate subliniază importanța garanțiilor juridice și administrative care sunt aplicate. Unul dintre obiectivele Grupului de lucru ad hoc UE-SUA a fost de a stabili ce garanții se aplică pentru a reduce la minimum impactul prelucrării datelor asupra drepturilor fundamentale ale cetățenilor UE. De asemenea, sunt necesare garanții pentru protejarea societăților. Anumite acte legislative americane, cum ar fi Patriot Act, permit autorităților din SUA să solicite în mod direct societăților accesul la datele stocate în UE. Prin urmare, societățile europene și cele americane prezente în UE pot fi solicitate să transfere date către SUA, ceea ce contravine legislațiilor UE și ale statelor membre și, prin urmare, sunt puse într-o poziție conflictuală din perspectiva obligațiilor legale. Incertitudinea juridică care decurge din astfel de cereri directe poate împiedica dezvoltarea de noi servicii digitale, cum ar fi tehnologia de tip cloud, care pot oferi soluții eficiente, cu costuri mai reduse pentru persoane fizice și întreprinderi.

 3.         Asigurarea eficacității protecției datelor

Transferurile de date cu caracter personal între UE și SUA sunt o componentă esențială a relației comerciale transatlantice. Schimbul de informații este, de asemenea, un element principal al cooperării dintre UE și SUA în materie de securitate, cu un rol extrem de important pentru atingerea obiectivului comun de prevenire și combatere a formelor grave de criminalitate și a terorismului. Cu toate acestea, recentele dezvăluiri cu privire la programele SUA de colectare de informații au afectat în mod negativ încrederea pe care este bazată această cooperare. În special, a fost afectată încrederea în modul de prelucrare a datelor cu caracter personal. Ar trebui luate următoarele măsuri pentru a se restabili încrederea în transferurile de date în beneficiul economiei digitale, al securității, atât în UE, cât și în SUA, precum și al relației transatlantice în sens larg.

3.1.      Reforma normelor UE în materie de protecție a datelor

Reforma în materie de protecție a datelor propusă de Comisie în ianuarie 2012[16] oferă un răspuns-cheie în ceea ce privește protecția datelor cu caracter personal. Cinci componente ale pachetului legislativ propus privind protecția datelor sunt de o importanță deosebită.

În primul rând, în ceea ce privește domeniul de aplicare teritorial, propunerea de regulament clarifică faptul că societățile care nu sunt stabilite în Uniune vor trebui să aplice legislația UE în materie de protecție a datelor atunci când oferă bunuri și servicii consumatorilor europeni sau monitorizează comportamentul acestora. Cu alte cuvinte, dreptul fundamental la protecția datelor va fi respectat, independent de localizarea geografică a unei societăți sau a unității de prelucrare a acesteia[17].

În al doilea rând, în ceea ce privește transferurile internaționale, propunerea de regulament stabilește condițiile în care datele pot fi transferate în afara UE. Transferurile pot fi permise doar în cazul în care aceste condiții, care protejează drepturile cetățenilor la un nivel ridicat de protecție, sunt îndeplinite[18].

În al treilea rând, în ceea ce privește aplicarea legislației, normele propuse prevăd sancțiuni proporționale și disuasive (până la 2 % din cifra de afaceri anuală la nivel mondial a unei societăți) care să garanteze că societățile respectă legislația UE[19]. Existența unor sancțiuni credibile va conduce la un grad mai ridicat de respectare a legislației UE de către societăți.

În al patrulea rând, propunerea de regulament include norme clare privind obligațiile și responsabilitățile persoanelor împuternicite de operatorii de date, cum ar fi furnizorii de tehnologie de tip cloud, inclusiv în materie de securitate[20]. Astfel cum au arătat dezvăluirile cu privire la programele SUA de colectare de informații, acest aspect este esențial deoarece programele menționate afectează datele stocate în „cloud”. De asemenea, societățile furnizoare de spațiu de depozitare în „cloud” cărora li se cere să furnizeze date cu caracter personal către autoritățile străine nu vor putea să se sustragă responsabilității care le revine invocând statutul lor de persoane împuternicite și nu cel de operatori de date.

În al cincilea rând, pachetul va conduce la stabilirea unor reguli generale pentru protecția datelor cu caracter personal prelucrate în sectorul aplicării legii.

Se preconizează că pachetul va fi convenit în timp util în cursul anului 2014[21].

3.2.      Îmbunătățirea suplimentară a sferei de siguranță

Sistemul privind sfera de siguranță este o componentă importantă a relației comerciale dintre UE și SUA, pe care se bazează societățile de pe ambele părți ale Atlanticului.

Raportul Comisiei privind funcționarea sferei de siguranță a identificat o serie de deficiențe în cadrul sistemului. Ca urmare a lipsei de transparență și de control al punerii în aplicare, unii membri autocertificați ai sferei de siguranță nu respectă, în practică, principiile sistemului. Acest lucru are un impact negativ asupra drepturilor fundamentale ale cetățenilor UE și creează un dezavantaj pentru societățile europene în comparație cu societățile americane concurente care desfășoară activități în cadrul sistemului, dar în practică nu aplică principiile acestuia. De asemenea, această deficiență afectează majoritatea societăților americane care aplică sistemul în mod corespunzător. Sfera de siguranță servește, de asemenea, ca interfață pentru transferul de date cu caracter personal ale cetățenilor Uniunii din UE către SUA de către societățile care au obligația de a transmite date către agențiile de informații americane în cadrul programelor SUA de colectare de informații. Dacă deficiențele nu sunt corectate, acest lucru constituie, prin urmare, un dezavantaj competitiv pentru întreprinderile din UE și are un impact negativ asupra dreptului fundamental al cetățenilor UE la protecția datelor.

Deficiențele sistemului privind sfera de siguranță au fost evidențiate de răspunsul autorităților europene pentru protecția datelor la recentele dezvăluiri privind programele de supraveghere. Articolul 3 din decizia privind sfera de siguranță autorizează aceste autorități să suspende, în anumite condiții, fluxurile de date către societățile certificate.[22] Comisarii germani însărcinați cu protecția datelor au decis să nu emită autorizații noi pentru transferurile de date către țările din afara UE (de exemplu, pentru utilizarea anumitor servicii de tip cloud). De asemenea, comisarii vor examina dacă transferurile de date pe baza sferei de siguranță ar trebui suspendate.[23] Există riscul ca aceste măsuri, adoptate la nivel național, să creeze diferențe de aplicare, ceea ce înseamnă că sfera de siguranță ar înceta să mai reprezinte un mecanism de bază pentru transferul de date cu caracter personal între UE și SUA.

Comisia are autoritatea, în temeiul Directivei 95/46/CE, de a suspenda sau revoca decizia privind sfera de siguranță în cazul în care sistemul nu mai oferă un nivel adecvat de protecție. În plus, articolul 3 din decizia privind sfera de siguranță prevede posibilitatea Comisiei de a abroga, suspenda sau limita domeniul de aplicare a deciziei, în timp ce, în conformitate cu articolul 4, aceasta poate adapta decizia în orice moment, în funcție de experiența dobândită cu ocazia punerii în aplicare a deciziei.

În acest context, pot fi luate în considerare o serie de opțiuni de politică, inclusiv:

menținerea statu-quo-ului; consolidarea sistemului privind sfera de siguranță și revizuirea aprofundată a funcționării sale; suspendarea sau revocarea deciziei privind sfera de siguranță.

Având în vedere deficiențele identificate, nu pot fi menținute modalitățile actuale de aplicare a sferei de siguranță. Cu toate acestea, revocarea sa ar afecta în mod negativ interesele societăților membre atât din UE, cât și din SUA. Comisia consideră că sfera de siguranță ar trebui, mai degrabă, consolidată.

Îmbunătățirile ar trebui să aibă în vedere deficiențele structurale legate de transparență și controlul punerii în aplicare, principiile materiale privind sfera de siguranță și aplicarea excepției pe motivul securității naționale.

Mai exact, pentru asigurarea unei funcționări adecvate a sferei de siguranță, monitorizarea și supravegherea de către autoritățile SUA a respectării de către societățile certificate a principiilor sferei de siguranță privind protecția vieții private trebuie să fie mai eficiente și sistematice. Trebuie îmbunătățită transparența politicilor de confidențialitate ale societăților certificate. De asemenea, disponibilitatea și accesibilitatea mecanismelor de soluționare a litigiilor trebuie să fie garantate pentru cetățenii UE.

În cel mai scurt timp, Comisia va iniția un dialog cu autoritățile SUA pentru a discuta deficiențele identificate. Modalitățile de remediere a deficiențelor ar trebui identificate până în vara anului 2014, urmând ca acestea să fie puse în aplicare cât mai repede posibil. Pe această bază, Comisia va efectua o evaluare completă a funcționării sferei de siguranță. Acest proces cuprinzător de revizuire ar trebui să implice o consultare deschisă și o dezbatere în cadrul Parlamentului European și al Consiliului, precum și discuții cu autoritățile SUA.

Este, de asemenea, important ca excepția pe motivul securității naționale prevăzută de decizia privind sfera de siguranță să fie utilizată numai în măsura în care aceasta este strict necesară și proporțională.

3.3.      Consolidarea garanțiilor în materie de protecție a datelor în cadrul cooperării în domeniul aplicării legii

UE și SUA sunt în curs de negociere a unui acord cadru privind protecția datelor legat de transferul și prelucrarea informațiilor cu caracter personal în cadrul cooperării polițienești și judiciare în materie penală. Încheierea unui asemenea acord care să prevadă un nivel ridicat de protecție a datelor cu caracter personal ar reprezenta o contribuție importantă la consolidarea încrederii pe ambele părți ale Atlanticului. Prin îmbunătățirea protecției drepturilor cetățenilor UE cu privire la datele lor, acordul ar contribui la consolidarea cooperării transatlantice în scopul prevenirii și combaterii criminalității și a terorismului.

În conformitate cu decizia care autorizează Comisia să negocieze acordul cadru, obiectivul negocierilor ar trebui să fie acela de a asigura un nivel ridicat de protecție în conformitate cu acquis-ul UE în materie de protecție a datelor. Acest lucru ar trebui să se reflecte în normele și garanțiile convenite privind, printre altele, limitarea scopului, condițiile și durata păstrării datelor. În contextul negocierilor, Comisia ar trebui, de asemenea, să obțină angajamente cu privire la drepturile exercitabile, inclusiv instrumentele privind căile de atac judiciare pentru cetățenii UE care nu sunt rezidenți în SUA[24]. Cooperarea strânsă dintre UE și SUA în vederea abordării provocărilor comune în materie de securitate ar trebui să fie reflectată de eforturi pentru a se asigura că cetățenii beneficiază de aceleași drepturi atunci când aceleași date sunt procesate în aceleași scopuri de ambele părți ale Atlanticului. Este, de asemenea, important ca derogările acordate pe motive de securitate națională să fie definite strict. Ar trebui convenite garanții și limitări în acest sens.

Aceste negocieri oferă posibilitatea de a clarifica faptul că datele cu caracter personal deținute de societățile private și deținute în UE nu vor fi accesate direct sau transferate către autoritățile de aplicare a legii din SUA în afara canalelor oficiale de cooperare, cum ar fi acordurile de asistență juridică reciprocă sau acordurile sectoriale dintre UE și SUA de autorizare a acestor transferuri. Accesul prin alte mijloace ar trebui exclus, cu excepția cazului în care are loc în situații clar definite, excepționale și care pot face obiectul unei revizuiri judiciare. SUA ar trebui să își asume angajamente în această privință[25].

Un acord-cadru, adoptat în acest sens, ar trebui să ofere cadrul general pentru asigurarea unui nivel ridicat de protecție a datelor cu caracter personal atunci când acestea sunt transferate către SUA în scopul prevenirii sau al combaterii criminalității și a terorismului. Acorduri sectoriale ar trebui, în cazul în care este necesar având în vedere natura transferului de date în cauză, să prevadă norme și garanții suplimentare, pornind de la exemplul acordurilor PNR și TFTP dintre UE și SUA, care stabilesc condiții stricte pentru transferul de date și prevăd garanții pentru cetățenii UE.

3.4.      Abordarea preocupărilor europene în cadrul procesului de reformă aflat în desfășurare în SUA

Președintele SUA, Barack Obama, a anunțat o revizuire a activităților autorităților naționale de securitate din SUA, inclusiv a cadrului juridic aplicabil. Acest proces aflat în derulare constituie o ocazie importantă de a aborda preocupările UE exprimate în urma dezvăluirilor recente cu privire la programele SUA de colectare de informații. Cele mai importante modificări ar fi extinderea garanțiilor de care dispun cetățenii și rezidenții americani la cetățenii UE care nu sunt rezidenți în SUA, o mai mare transparență a activităților serviciilor de informații și consolidarea în continuare a supravegherii. Astfel de schimbări ar reinstaura încrederea în schimburile de date dintre UE și SUA și ar promova utilizarea serviciilor de internet de către europeni.

În ceea ce privește extinderea garanțiilor de care dispun cetățenii și rezidenții americani la cetățenii UE, standardele juridice privind programele de supraveghere ale SUA care tratează cetățenii americani și cei ai UE în mod diferit ar trebui revizuite, inclusiv din perspectiva necesității și a proporționalității, ținând seama de parteneriatul strâns de securitate transatlantic, bazat pe valori, drepturi și libertăți comune. Acest lucru ar reduce măsura în care europenii sunt afectați de programele SUA de colectare de informații.

Este necesară o mai mare transparență a cadrului juridic privind programele SUA de colectare de informații și a interpretării acestuia de către instanțele americane, precum și a dimensiunii cantitative a programelor SUA de colectare de informații. Cetățenii UE ar beneficia de asemenea de pe urma unor astfel de modificări.

Supravegherea programelor SUA de colectare de informații ar fi îmbunătățită prin consolidarea rolului Foreign Intelligence Surveillance Court (Curtea de supraveghere a activităților străine de spionaj) și prin introducerea unor căi de atac pentru persoane fizice. Aceste mecanisme ar putea reduce volumul prelucrării datelor cu caracter personal ale europenilor care nu sunt relevante în scopul securității naționale.

3.5.        Promovarea la nivel internațional a standardelor în materie de protecție a vieții private

Problemele ridicate de metodele moderne de protecție a datelor nu se limitează la transferul de date dintre UE și SUA. De asemenea, ar trebui garantat fiecărei persoane un nivel ridicat de protecție a datelor cu caracter personal. Normele UE privind colectarea, procesarea și transferul de date ar trebui promovate la nivel internațional.

Recent, au fost propuse o serie de inițiative pentru a promova protecția vieții private, în special pe internet[26]. UE ar trebui să se asigure că, în cazul în care sunt realizate, astfel de inițiative iau pe deplin în considerare principiile privind protecția drepturilor fundamentale, a libertății de exprimare, a datelor cu caracter personal și a vieții private, astfel cum se prevede în legislația UE și în Strategia de securitate cibernetică a UE și că acestea nu subminează libertatea, deschiderea și securitatea spațiului virtual. Acest aspect include un model de guvernanță democratică, eficientă și pluripartită.

De asemenea, reformele legislațiilor privind protecția datelor aflate în desfășurare pe ambele părți ale Atlanticului oferă UE și SUA o ocazie unică de a stabili standarde la nivel internațional. Schimburile de date transatlantice și la nivel mondial ar beneficia în mare măsură de consolidarea cadrului juridic național al SUA, inclusiv de adoptarea „Consumer Privacy Bill of Rights” (Declarația privind protecția vieții private a consumatorilor), anunțată de președintele Obama în luna februarie 2012 ca parte a unui plan cuprinzător de îmbunătățire a protecției vieții private a consumatorilor. Existența unui set de norme solide și obligatorii privind protecția datelor, care să fie consacrat atât în UE, cât și în SUA, ar constitui o bază solidă pentru fluxurile transfrontaliere de date.

În vederea promovării pe plan internațional a standardelor de protecție a vieții private, ar trebui, de asemenea, încurajată aderarea la Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal („Convenția 108”), care este deschisă țărilor care nu sunt membre ale Consiliului Europei[27]. Garanțiile convenite în cadrul forurilor internaționale ar trebui să aibă drept rezultat un nivel ridicat de protecție, compatibil cu cerințele legislației UE.

4.            Concluzii și recomandări

Aspectele identificate în prezenta comunicare necesită luarea de măsuri atât de către SUA, cât și de UE și statele sale membre.

Preocupările legate de schimburile transatlantice de date constituie, în primul rând, un semnal de alarmă pentru UE și statele sale membre de a înregistra progrese rapide și ambițioase cu privire la reforma în materie de protecție a datelor. Aceasta arată că este necesar, mai mult ca niciodată, un cadru legislativ puternic, cu norme clare care să fie aplicabile și în situațiile în care datele sunt transferate în străinătate. Prin urmare, instituțiile UE ar trebui să depună în continuare eforturi în scopul adoptării, până în primăvara anului 2014, a reformei UE în materie de protecție a datelor, pentru garantarea faptului că datele cu caracter personal sunt protejate în mod efectiv și cuprinzător.

Având în vedere importanța fluxurilor transatlantice de date, este esențial ca instrumentele pe care se bazează aceste schimburi să abordeze în mod corespunzător provocările și oportunitățile erei digitale și noile dezvoltări tehnologice, cum ar fi tehnologia de tip cloud. Înțelegerile și acordurile existente și viitoare ar trebui să se asigure că este garantat în continuare un nivel ridicat de protecție pe ambele părți ale Atlanticului.

Un sistem solid privind sfera de siguranță este în interesul cetățenilor și societăților din UE și din SUA. Acesta ar trebui să fie consolidat printr-o mai bună monitorizare și punere în aplicare pe termen scurt și, pe baza acestora, printr-o revizuire mai amplă a funcționării sale. Sunt necesare îmbunătățiri pentru a se asigura că obiectivele inițiale ale deciziei privind sfera de siguranță – și anume continuitatea protecției datelor, securitatea juridică și libera circulație a datelor între UE și SUA – sunt, în continuare, îndeplinite.

Aceste îmbunătățiri ar trebui să se concentreze asupra necesității ca autoritățile americane să monitorizeze mai bine respectarea de către societățile autocertificate a principiilor sferei de siguranță privind protecția vieții private.

Este, de asemenea, important ca excepția pe motivul securității naționale prevăzută de decizia privind sfera de siguranță să fie utilizată numai în măsura în care este strict necesară și proporțională.

În materie de aplicare a legii, negocierile actuale privind un acord cadru ar trebui să aibă drept rezultat un nivel ridicat de protecție pentru cetățenii de pe ambele părți ale Atlanticului. Un astfel de acord ar consolida încrederea europenilor în schimburile de date dintre UE și SUA și ar servi drept bază pentru dezvoltarea în continuare a cooperării și a parteneriatului de securitate transatlantic. În contextul negocierilor, ar trebui prevăzute angajamente în baza cărora cetățenii europeni care nu sunt rezidenți în SUA să poată beneficia de garanții procedurale, inclusiv căi de atac judiciare.

Autoritățile americane ar trebui invitate să prezinte angajamente că se vor asigura că datele cu caracter personal deținute de entități private în UE nu vor fi accesate în mod direct de către agențiile de aplicare a legii din SUA în afara canalelor oficiale de cooperare (cum ar fi acordurile de asistență juridică reciprocă și acordurile sectoriale dintre UE și SUA, precum PNR și TFTP, care autorizează astfel de transferuri în condiții stricte), cu excepția unor situații excepționale clar definite, care pot face obiectul unei revizuiri judiciare.

De asemenea, SUA ar trebui să extindă garanțiile de care dispun cetățenii și rezidenții americani la cetățenii UE care nu sunt rezidenți în SUA, să se asigure că programele respectă principiile necesității și proporționalității, precum și să asigure o mai mare transparență și supraveghere a cadrului juridic aplicabil autorităților naționale de securitate din SUA.

Domeniile de acțiune menționate în prezenta comunicare vor necesita un angajament constructiv pe ambele părți ale Atlanticului. Acționând împreună, ca parteneri strategici, UE și SUA au capacitatea de a depăși tensiunile actuale din cadrul relațiilor transatlantice UE­SUA și de a restabili încrederea în fluxurile transatlantice de date. Relațiile transatlantice în general vor fi consolidate prin asumarea unor angajamente politice și juridice comune cu privire la continuarea cooperării în aceste domenii.

[1]               În sensul prezentei comunicări, trimiterile la cetățenii UE se referă, de asemenea, la persoanele vizate care nu sunt resortisanți ai UE și care intră în sfera de aplicare a legislației Uniunii Europene în materie de protecție a datelor.

[2]               Decizia 2000/520/CE a Comisiei din 26 iulie 2000 în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind caracterul adecvat al protecției oferite de principiile „sferei de siguranță” privind protecția vieții private și întrebările de bază aferente, publicate de Departamentul Comerțului al S.U.A. (JO L 215, 25.8.2000, p. 7).

[3]               Decizia 2009/820/PESC a Consiliului din 23 octombrie 2009 privind încheierea, în numele Uniunii Europene, a Acordului privind extrădarea între Uniunea Europeană și Statele Unite ale Americii și a Acordului privind asistența judiciară reciprocă între Uniunea Europeană și Statele Unite ale Americii, JO L 291, 7.11. 2009, p. 40.

[4]               Decizia 2012/472/UE a Consiliului din 26 aprilie 2012 privind încheierea Acordului dintre Statele Unite ale Americii și Uniunea Europeană privind utilizarea și transferul de date din registrele cu numele pasagerilor către Departamentul pentru Securitate Internă al Statelor Unite, JO L215, 11.8.2012, p. 4.

[5]               Decizia Consiliului din 13 iulie 2010 privind încheierea Acordului dintre Uniunea Europeană și Statele Unite ale Americii privind prelucrarea și transferul datelor de mesagerie financiară din Uniunea Europeană către Statele Unite ale Americii în cadrul Programului de urmărire a finanțărilor în scopuri teroriste, JO L 195, 27.7.2010, p. 3.

[6]               Consiliul a adoptat decizia de autorizare a Comisiei să poarte negocieri privind acordul la 3 decembrie 2010. A se vedea IP/10/1661 din 3 decembrie 2010.

[7]               A se vedea Boston Consulting Group, „The Value of our Digital Identity”, noiembrie 2012.

[8]               A se vedea McKinsey, „Big data: The next frontier for innovation, competition, and productivity”, 2011.

[9]               Comunicarea Comisiei „Valorificarea cloud computingului în Europa”, COM(2012) 529 final.

[10]             De exemplu, în iunie 2012, numărul total de vizitatori unici ai site-urilor Microsoft Hotmail, Google Gmail și Yahoo! Mail provenind din țările europene a fost de 227 de milioane, depășindu-l pe cel al tuturor celorlalți furnizori. Numărul total al utilizatorilor unici europeni care au accesat Facebook și Facebook Mobile în martie 2012 a fost de 196,5 milioane, ceea ce face ca Facebook să fie cea mai mare rețea socială din Europa. Google este principalul motor de căutare pe internet fiind utilizat de 90,2 % din utilizatorii de internet din întreaga lume. Serviciul de mesagerie mobilă What's App din SUA a fost utilizat de 91 % din utilizatorii de iPhone din Germania în luna iunie 2013.

[11]             A se vedea hotărârea Curții de Justiție a Uniunii Europene în cauza C-300/11, ZZ/Secretary of State for the Home Department.

[12]             Articolul 4 alineatul (2) din TUE.

[13]             A se vedea, de exemplu, anexa I la decizia privind sfera de siguranță.

[14]             A se vedea Raportul comun al Comisiei și Departamentului Trezoreriei al SUA cu privire la valoarea datelor furnizate în cadrul TFTP în conformitate cu articolul 6 alineatul (6) din Acordul dintre Uniunea Europeană și Statele Unite ale Americii privind prelucrarea și transferul datelor de mesagerie financiară din Uniunea Europeană către Statele Unite ale Americii în cadrul Programului de urmărire a finanțărilor în scopuri teroriste.

[15]             A se vedea raportul Comisiei privind revizuirea comună a punerii în aplicare a Acordului între Uniunea Europeană și Statele Unite ale Americii privind utilizarea și transferul de date din registrul cu numele pasagerilor (PNR) către Departamentul pentru Securitate Internă al Statelor Unite.

[16]             COM(2012) 10 final: Propunere de directivă a Parlamentului European și a Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și la libera circulație a acestor date, Bruxelles, 25.1.2012 și COM(2012) 11 final: Propunere de regulament al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor).

[17]             Comisia ia notă de faptul că Parlamentul European a confirmat și consolidat acest principiu important, prevăzut la articolul 3 din propunerea de regulament, în votul său din 21 octombrie 2013 privind rapoartele referitoare la reforma în materie de protecție a datelor, prezentate de deputații Jan-Philipp Albrecht și Dimitrios Droutsas în Comisia pentru libertăți civile, justiție și afaceri interne (LIBE).

[18]             Comisia ia notă de faptul că, în votul său din 21 octombrie 2013, Comisia LIBE a Parlamentului European a propus includerea unei dispoziții în viitorul regulament care ar prevedea ca cererile formulate de autoritățile străine cu privire la accesarea datelor cu caracter personal colectate în UE să fie condiționate de obținerea unei autorizații prealabile din partea unei autorități naționale privind protecția datelor, în cazul în care o astfel de cerere ar urma să fie emisă în afara unui tratat de asistență juridică reciprocă sau a unui alt acord internațional.

[19]             Comisia ia notă de faptul că, în votul său din 21 octombrie 2013, Comisia LIBE a propus consolidarea propunerii Comisiei, prevăzându-se un cuantum al amenzilor de până la 5 % din cifra de afaceri anuală la nivel mondial a unei societăți.

[20]             Comisia ia notă de faptul că, în votul său din 21 octombrie 2013, Comisia LIBE a aprobat consolidarea obligațiilor și responsabilităților persoanelor împuternicite de operatorii de date, în special în ceea ce privește articolul 26 din propunerea de regulament.

[21]             În concluziile Consiliului European din octombrie 2013 se precizează că: „Este important ca încrederea cetățenilor și a întreprinderilor în economia digitală să fie încurajată. Adoptarea rapidă a unui cadru general solid de protecție a datelor la nivelul UE și a Directivei privind securitatea cibernetică este esențială pentru finalizarea pieței unice digitale până în 2015”.

[22]             În special, în conformitate cu articolul 3 din decizia privind sfera de siguranță, astfel de suspendări pot avea loc în cazurile în care este foarte probabil că principiile privind sfera de siguranță să fie încălcate; există motive serioase pentru a crede că organismul de aplicare în cauză nu ia sau nu va lua în timp util măsuri adecvate pentru a soluționa cauza respectivă; continuarea transferului ar crea pentru persoanele vizate un risc iminent de a suferi prejudicii grave; iar autoritățile competente din statul membru au depus eforturi rezonabile, ținând seama de circumstanțe, de a notifica organizația și de a îi oferi posibilitatea de a răspunde.

[23]             Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, comunicat de presă din 24 iulie 2013.

[24]             A se vedea fragmentul relevant din declarația de presă comună în urma reuniunii UE-SUA la nivel ministerial în domeniul justiției și afacerilor interne din 18 noiembrie 2013 de la Washington: „Prin urmare, ne luăm angajamentul ca, în regim de urgență, să înregistrăm progrese rapide în cadrul negocierilor legate de un acord cadru semnificativ și cuprinzător privind protecția datelor în domeniul aplicării legii. Acordul ar servi ca bază pentru a facilita transferurile de date în cadrul cooperării polițienești și judiciare în materie penală, prin asigurarea unui nivel ridicat de protecție a datelor cu caracter personal pentru cetățenii SUA și cei ai UE. Ne angajăm să depunem toate eforturile pentru a rezolva problemele care subzistă ridicate de ambele părți, inclusiv căile de atac judiciare (o problemă crucială pentru UE). Scopul nostru este de a încheia negocierile privind acordul înainte de vara anului 2014.”

[25]             A se vedea fragmentul relevant din declarația de presă comună în urma reuniunii UE-SUA la nivel ministerial în domeniul justiției și afacerilor interne din 18 noiembrie 2013 de la Washington: „Am dori să subliniem, de asemenea, valoarea acordului de asistență juridică reciprocă dintre UE și SUA. Ne reiterăm angajamentul de a ne asigura că acesta este folosit pe scară largă și în mod eficient în vederea obținerii probelor în cadrul procedurilor penale. Au existat, de asemenea, discuții privind necesitatea de a clarifica faptul că datele cu caracter personal deținute de entități private pe teritoriul celeilalte părți nu vor fi accesate de către autoritățile de aplicare a legii în afara canalelor autorizate din punct de vedere juridic. Totodată, suntem de acord să revizuim funcționarea acordului de asistență juridică reciprocă, astfel cum prevede acesta, și să ne consultăm ori de câte ori este necesar.”

[26]             A se vedea, în acest sens, proiectul de rezoluție - propus Adunării Generale a ONU de către Germania și Brazilia – care face apel la protecția vieții private atât în mediul electronic, cât și în afara acestuia.

[27]             SUA este deja parte la o altă Convenție a Consiliului Europei: Convenția din 2001 privind criminalitatea informatică (cunoscută și sub numele de „Convenția de la Budapesta”).