3.9.2013   

RO

Jurnalul Oficial al Uniunii Europene

C 253/3

1.

Având în vedere importanța cloud computingului în societatea informațională în continuă dezvoltare și a dezbaterii în curs a politicii în cadrul UE cu privire la cloud computing, AEPD a decis să emită prezentul aviz referitor la propria sa inițiativă.

2.

Avizul răspunde Comunicării Comisiei „Valorificarea cloud computingului în Europa” din 27 septembrie 2012 (denumită în continuare „comunicarea”) (1), care prevede că trebuie să se întreprindă acțiuni-cheie și măsuri de politică pentru a accelera utilizarea serviciilor de cloud computing în Europa. AEPD a fost consultată informal înainte de adoptarea comunicării și a formulat observații informale. AEPD salută faptul că unele dintre observațiile sale au fost luate în considerare în comunicare.

3.

Cu toate acestea, având în vedere obiectul și importanța dezbaterii în curs cu privire la relația dintre cloud computing și cadrul juridic al protecției datelor, prezentul aviz nu este limitat la temele abordate în comunicare.

4.

Avizul se axează în special pe provocările pe care le reprezintă cloud computingul pentru protecția datelor și modul în care propunerea de regulament privind protecția datelor (denumită în continuare „propunerea de regulament”) (2) va aborda aceste provocări. De asemenea, în aviz sunt formulate observații cu privire la domeniile identificate în comunicare în care pot fi întreprinse acțiuni suplimentare.

5.

În contextul dezbaterii de politică generală din UE cu privire la cloud computing, următoarele activități și documente au o importanță deosebită:

6.

AEPD salută comunicarea. Aceasta identifică trei acțiuni-cheie specifice necesare la nivelul UE pentru a însoți și promova utilizarea cloud computingului în Europa, după cum urmează:

7.

De asemenea, sunt prevăzute măsuri suplimentare de politică, precum măsurile de stimulare a utilizării cloud computingului prin încurajarea cercetării și dezvoltării sau activități de sensibilizare, precum și necesitatea de a aborda teme principale legate de serviciile de cloud – incluzând, printre altele, protecția datelor, accesul la date al autorităților de aplicare a legii, securitatea, răspunderea furnizorilor intermediari de servicii – printr-un dialog internațional mai intens.

8.

Protecția datelor este menționată în comunicare ca un element esențial pentru asigurarea succesului aplicării cloud computingului în Europa. Comunicarea prevede (9) că propunerea de regulament abordează numeroase dintre incertitudinile ridicate de către furnizorii de servicii de cloud și de către clienții serviciilor de cloud (10).

9.

Prezentul aviz are trei obiective.

10.

Primul obiectiv este de a evidenția relevanța protecției vieții private și a datelor în cadrul discuțiilor actuale privind cloud computingul. Mai exact, avizul subliniază faptul că nivelul protecției datelor într-un mediu de cloud computing nu trebuie să fie inferior celui necesar în orice alt context de prelucrare a datelor. Practicile de cloud computing pot fi elaborate și aplicate legal doar dacă pot garanta că acest nivel de protecție a datelor este respectat (a se vedea capitolul III.3). Avizul ia în considerare orientările furnizate în avizul Grupului de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal.

11.

Cel de al doilea obiectiv este de a analiza în continuare provocările principale pe care le reprezintă cloud computingul pentru protecția datelor în contextul propunerii de regulament privind protecția datelor, în special dificultatea de a stabili în mod clar responsabilitățile diferiților actori și noțiunile de operator și persoană împuternicită de către operator. Avizul (în principal capitolul IV) analizează modul în care propunerea de regulament, în forma sa actuală (11), va contribui la asigurarea unui nivel înalt de protecție a datelor în cadrul serviciilor de cloud computing. Astfel, avizul pornește de la opiniile prezentate de AEPD în avizul său referitor la pachetul de reformă privind protecția datelor (denumit în continuare „Avizul AEPD referitor la pachetul de reformă privind protecția datelor”) (12) și îl completează analizând în mod specific mediul de cloud computing. AEPD subliniază că avizul său referitor la pachetul de reformă privind protecția datelor se aplică pe deplin în ceea ce privește serviciile de cloud computing și trebuie luat în considerare ca o bază pentru prezentul aviz. În plus, unele dintre aspectele menționate în acest aviz – cum ar fi analiza noilor prevederi privind drepturile persoanelor vizate (13) – sunt suficient de clare și, drept urmare, nu vor fi analizate și în prezentul aviz.

12.

Cel de al treilea obiectiv este identificarea domeniilor în care sunt necesare acțiuni suplimentare la nivelul UE din perspectiva protecției datelor și vieții private, având în vedere strategia cloud prezentată de Comisie în comunicare. Acestea includ, printre altele, furnizarea de orientări suplimentare, depunerea unor eforturi în direcția standardizării, efectuarea de evaluări de risc suplimentare pentru anumite sectoare (precum sectorul public), elaborarea unor clauze contractuale și condiții standard, implicarea într-un dialog internațional privind aspectele legate de cloud computing și asigurarea mijloacelor eficiente de cooperare internațională (care urmează să fie elaborate în capitolul V).

13.

Avizul este structurat după cum urmează: în secțiunea II este realizată o prezentare generală a principalelor caracteristici ale cloud computingului și a provocărilor asociate privind protecția datelor. Secțiunea III revizuiește cele mai relevante elemente ale cadrului juridic actual al UE și ale propunerii de regulament. Secțiunea IV analizează modul în care propunerea de regulament va putea susține abordarea provocărilor privind protecția datelor ridicate de utilizarea serviciilor de cloud computing. În secțiunea V sunt analizate propunerile Comisiei referitoare la evoluții ulterioare ale politicii și identifică domeniile în care poate fi necesară o activitate mai intensă. Secțiunea VI conține concluziile.

14.

Deși multe considerații din prezentul aviz se aplică la toate mediile în care este utilizat cloud computingul, prezentul aviz nu abordează utilizarea serviciilor de cloud computing în mod specific de către instituțiile și organismele UE care se află sub supravegherea AEPD în conformitate cu Regulamentul (CE) nr. 45/2001. AEPD va emite în mod separat orientări privind acest aspect pentru aceste instituții și organisme.

121.

Astfel cum se descrie în comunicare, cloud computingul oferă numeroase oportunități noi întreprinderilor, consumatorilor și sectorului public pentru gestionarea datelor prin utilizarea resurselor IT externe de la distanță. Totodată, acesta prezintă numeroase provocări în special în ceea ce privește nivelul corespunzător de protecție a datelor oferit datelor prelucrate în cadrul acestuia.

122.

Utilizarea serviciilor de cloud computing prezintă un risc major de a observa diminuarea responsabilității în legătură cu operațiunile de prelucrare desfășurate de furnizorii de servicii de cloud în cazul în care criteriile de aplicabilitate a legislației UE privind protecția datelor nu sunt suficient de clare sau dacă rolul și responsabilitatea furnizorilor de servicii sunt definite sau înțelese la un nivel prea superficial sau nu sunt puse în aplicare cu eficacitate. AEPD subliniază că utilizarea serviciilor de cloud computing nu poate justifica o scădere a standardelor de protecție a datelor în comparație cu cele aplicabile operațiunilor convenționale de prelucrare a datelor.

123.

În acest sens, propunerea de regulament privind protecția datelor, în forma actuală, va furniza numeroase clarificări și instrumente care vor sprijini asigurarea respectării unui nivel satisfăcător al protecției datelor de către furnizorii de servicii de cloud care își oferă serviciile clienților cu sediul în Europa, în special:

124.

AEPD sugerează totuși că, ținând seama de caracterul specific al serviciilor de cloud computing, sunt necesare clarificări suplimentare în propunerea de regulament cu privire la următoarele aspecte:

125.

De asemenea, AEPD subliniază că vor fi necesare orientări suplimentare din partea Comisiei și/sau din partea autorităților de supraveghere (în special prin viitorul Comitet european pentru protecția datelor) cu privire la următoarele aspecte:

126.

În plus, AEPD recunoaște că instrumente utile pentru îmbunătățirea conformității și a încrederii între actorii diverși pot fi codurile de conduită întocmite în cadrul industriei și aprobate de autoritățile de supraveghere relevante.

127.

AEPD sprijină elaborarea de către Comisie, în consultare cu autoritățile de supraveghere, a unor clauze contractuale standard pentru prestarea serviciilor de cloud computing cu respectarea cerințelor privind protecția datelor, în special:

128.

AEPD subliniază că trebuie să se acorde o atenție corespunzătoare cerințelor privind protecția datelor în dezvoltarea standardelor și programelor de certificare, în special următoarelor aspecte:

129.

În sfârșit, AEPD subliniază necesitatea de a aborda provocările ridicate de cloud computing la nivel internațional. Autoritatea încurajează Comisia să se angajeze într-un dialog internațional privind problemele ridicate de cloud computing, inclusiv jurisdicția și accesul de către autoritățile de aplicare a legii și sugerează că multe dintre aceste probleme ar putea fi abordate în diferite acorduri internaționale sau bilaterale, precum acordurile de asistență reciprocă și acordurile comerciale. Ar trebui elaborate standarde globale la nivel internațional pentru a stabili condiții și principii minime privind accesul la date de către organele însărcinate cu aplicarea legii. De asemenea, AEPD sprijină elaborarea de către autoritățile de supraveghere a unor mecanisme eficiente de cooperare internațională, în special în legătură cu problemele ce țin de cloud computing.