—

având în vedere Tratatul privind Uniunea Europeană, Tratatul privind funcționarea Uniunii Europene și articolele 6, 7, 8, 11, 16, 47 și 52 din Carta drepturilor fundamentale a Uniunii Europene,

—

având în vedere Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor – RGPD) (1) și restul legislației europene în materie de protecție a datelor,

—

având în vedere Hotărârea Curții de Justiție a Uniunii Europene din 6 octombrie 2015, pronunțată în cauza C-362/14 Maximillian Schrems/Data Protection Commissioner (2),

—

având în vedere Hotărârea Curții de Justiție a Uniunii Europene din 21 decembrie 2016 pronunțată în cauzele comune C-203/15 (Tele2 Sverige AB/Post- och telestyrelsen) și C-698/15 (Secretary of State for the Home Department/Tom Watson și alții) (3),

—

având în vedere Rezoluția sa din 12 decembrie 2017 intitulată „Către o strategie în domeniul comerțului digital” (4),

—

având în vedere documentul din 6 februarie 2018 (5) al Grupului de lucru „Articolul 29” intitulat „Criterii de referință privind caracterul adecvat al nivelului de protecție”, care oferă orientări Comisiei și Comitetului european pentru protecția datelor (CEPD) în temeiul Regulamentului general privind protecția datelor (RGPD) pentru evaluarea nivelului de protecție a datelor în țările terțe și organizațiile internaționale,

—

având în vedere avizul Comitetului european pentru protecția datelor din 5 decembrie 2018 referitor la proiectul de decizie UE-Japonia privind caracterul adecvat al nivelului de protecție,

—

având în vedere proiectul de decizie de punere în aplicare al Comisiei în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția adecvată a datelor cu caracter personal asigurată de Japonia (COM(2018)XXXX),

—

având în vedere constatările cu ocazia vizitei în Japonia din octombrie 2017 a unei delegații ad-hoc a Comisiei pentru libertăți civile, justiție și afaceri interne, organizată în contextul negocierilor privind caracterul adecvat al acestei protecții, pentru a se întâlni cu autoritățile și părțile interesate japoneze relevante în scopul discutării elementelor esențiale care trebuie luate în considerare de către Comisia Europeană la adoptarea deciziei sale privind caracterul adecvat al protecției,

—

având în vedere articolul 123 alineatul (2) din Regulamentul său de procedură,

A.

întrucât RGPD este în vigoare de la 25 mai 2018; întrucât articolul 45 alineatul (2) din RGPD stabilește elementele care trebuie luate în considerare de către Comisie atunci când evaluează caracterul adecvat al nivelului de protecție într-o țară terță sau într-o organizație internațională;

B.

întrucât Comisia trebuie ia în considerare, în special, statul de drept, respectarea drepturilor omului și a libertăților fundamentale, legislația aplicabilă, atât cea generală, cât și cea sectorială, inclusiv cea referitoare la securitatea publică, apărare, securitatea națională, dreptul penal și accesul autorităților publice la datele cu caracter personal, existența și funcționarea efectivă a uneia sau mai multor autorități de supraveghere independente și angajamentele internaționale asumate de țara terță sau de organizația internațională;

C.

întrucât Curtea de Justiție a Uniunii Europene, în Hotărârea sa din 6 octombrie 2015 în cauza C-362/14 (Maximillian Schrems/Data Protection Commissioner), a clarificat faptul că un nivel adecvat de protecție într-o țară terță trebuie înțeles ca fiind „în esență echivalent” cu cel garantat în Uniunea Europeană, în temeiul Directivei 95/46/CE, interpretată în lumina Cartei;

D.

întrucât Japonia este unul dintre principalii parteneri comerciali ai UE, cu care a încheiat recent un Acord de parteneriat economic (APE) care consacră valori și principii comune, protejând totodată sensibilitățile ambilor parteneri; întrucât recunoașterea comună a drepturilor fundamentale, inclusiv a dreptului la viață privată și la protecția datelor, constituie o bază importantă pentru decizia privind caracterul adecvat al nivelului de protecție, care va constitui temeiul juridic pentru transferul de date cu caracter personal din UE către Japonia;

E.

întrucât delegația ad-hoc a Comisiei pentru libertăți civile, justiție și afaceri interne în Japonia a fost informată despre interesul autorităților și al părților interesate japoneze nu numai de a aplica noile norme din Regulamentul RGPD, dar și de a dezvolta un mecanism solid și la nivel înalt de transfer al datelor cu caracter personal între UE și Japonia, care să îndeplinească condițiile prevăzute de cadrul juridic al UE în ceea ce privește un nivel de protecție considerat în esență echivalent cu cel oferit de legislația UE privind protecția datelor;

F.

întrucât transferurile de date cu caracter personal în scop comercial între UE și Japonia sunt un element important al relațiilor dintre acestea, având în vedere digitalizarea tot mai mare a economiei mondiale; întrucât astfel de transferuri ar trebui efectuate cu respectarea deplină a dreptului la protecția datelor cu caracter personal și a dreptului la viața privată; întrucât unul dintre obiectivele fundamentale ale UE este protecția drepturilor fundamentale, astfel cum sunt consacrate în Carta drepturilor fundamentale a Uniunii Europene;

G.

întrucât UE și Japonia au lansat, în ianuarie 2017, discuții pentru a facilita transferurile de date cu caracter personal în scopuri comerciale prin intermediul primei „constatări reciproce a caracterului adecvat al protecției”; întrucât Parlamentul, în rezoluția sa din 12 decembrie 2017 intitulată „Către o strategie privind comerțul digital”, „a recunoscut în mod explicit că deciziile privind caracterul adecvat … reprezintă un mecanism fundamental în ceea ce privește protecția transferului datelor cu caracter personal din UE către o țară terță”;

H.

întrucât decizia privind caracterul adecvat al transferurilor de date cu caracter personal către Japonia ar fi prima astfel de decizie adoptată în temeiul normelor noi și mai stricte ale RGPD;

I.

întrucât Japonia și-a modernizat și întărit recent legislația în materie de protecție a datelor pentru a o alinia la standardele internaționale, în special cu garanțiile și drepturile individuale prevăzute de noul cadru legislativ european privind protecția datelor; întrucât cadrul juridic japonez în materie de protecție a datelor este alcătuit din diverși piloni, Legea privind protecția informațiilor cu caracter personal fiind actul legislativ principal (Act on Protection of Personal Information – APPI);

J.

întrucât guvernul Japoniei a adoptat, la 12 iunie 2018, o ordonanță guvernamentală prin care se deleagă Comisiei pentru protecția informațiilor cu caracter personal (Personal Information Protection Commission – PPC), în calitate de autoritate competentă pentru administrarea și punerea în aplicare a APPI, „competența de a lua măsurile necesare pentru a elimina diferențele dintre sistemele și operațiunile dintre Japonia și țara terță în cauză, în temeiul articolului 6 din lege, în scopul asigurării unui tratament adecvat al informațiilor cu caracter personal primite de la respectiva țară terță”; întrucât această decizie prevede și competența de a institui măsuri mai stricte de protecție prin adoptarea de norme mai stricte de către PPC, care să completeze și să extindă normele prevăzute de Legea privind protecția informațiilor cu caracter personal și de ordonanța guvernamentală; întrucât, în temeiul acesteia din urmă, aceste norme mai stricte ar fi obligatorii și aplicabile operatorilor comerciali din Japonia;

K.

întrucât proiectul de decizie de punere în aplicare al Comisiei privind protecția adecvată a datelor cu caracter personal asigurată de Japonia este însoțit, ca anexa I, de normele suplimentare adoptate de PPC la 15 iunie 2018, în temeiul articolului 6 din APPI, care permite în mod explicit acestei comisii să adopte norme mai stricte, inclusiv în scopul facilitării transferurilor internaționale de date; întrucât normele suplimentare nu sunt încă disponibile publicului;

L.

întrucât scopul acestor norme suplimentare ar fi acela de a aborda diferențele pertinente dintre legislația japoneză și legislația UE privind protecția datelor în vederea asigurării unui tratament adecvat al informațiilor cu caracter personal primite din partea UE în baza unei decizii privind caracterul adecvat al nivelului de protecție, în special în ceea ce privește informațiile cu caracter personal cărora trebuie să li se acorde un tratament special („date sensibile”), păstrarea datelor cu caracter personal, cu specificarea scopului utilizării, limitarea ca urmare a utilizării, restricționarea furnizării către un terț într-o țară străină și informațiile prelucrate anonim;

M.

întrucât normele suplimentare ar fi obligatorii din punct de vedere juridic pentru orice operator comercial de informații cu caracter personal care primește astfel de date transferate din UE în baza unei decizii privind caracterul adecvat și, prin urmare, acesta este obligat să respecte normele aplicabile și orice drepturi și obligații conexe și ar avea forță executorie atât pentru PPC, cât și pentru instanțele japoneze;

N.

întrucât, pentru a asigura un nivel în esență echivalent de protecție a datelor cu caracter personal transferate din UE în Japonia, normele suplimentare introduc măsuri suplimentare de protecție care să fie aplicabile pe baza unor condiții sau limitări mai stricte pentru prelucrarea datelor cu caracter personal transferate din UE, de exemplu, în cazul informațiilor cu caracter personal cărora trebuie să li se acorde un tratament special, al transferurilor ulterioare, al datelor anonime și al limitării scopului;

O.

întrucât cadrul juridic japonez privind protecția datelor face o distincție între „informații cu caracter personal” și „date cu caracter personal” și face referire, pentru unele cazuri, la o categorie specifică de date cu caracter personal, și anume „datele cu caracter personal păstrate”;

P.

întrucât, în conformitate cu articolul 2 alineatul (1) din Legea privind protecția datelor cu caracter personal, conceptul de „informație cu caracter personal” include orice informație referitoare la o persoană în viață care ar permite identificarea persoanei respective; întrucât definiția distinge două categorii de informații cu caracter personal, și anume: (i) coduri individuale de identificare și (ii) alte informații cu caracter personal, prin care se poate identifica o anumită persoană; întrucât această din urmă categorie include informații care, în sine, nu permit identificarea, dar pot, atunci când sunt „corect coroborate” cu alte informații, să permită identificarea unei persoane anume;

Q.

întrucât, în conformitate cu articolul 2 alineatul (4) din Legea privind protecția datelor cu caracter personal, „date cu caracter personal” înseamnă informații cu caracter personal care constituie o bază de date conținând informații personale etc.; întrucât articolul 2 alineatul (1) din APPI specifică faptul că informațiile din astfel de baze de date sunt organizate sistematic, ceea ce este similar cu conceptul de sistem de evidență în temeiul articolului 2 alineatul (1) din RGPD; întrucât, conform articolului 4 alineatul (1) din RGPD, „date cu caracter personal” înseamnă orice informație referitoare la o persoană fizică identificată sau identificabilă; întrucât o „persoană fizică identificabilă” înseamnă o persoană fizică ce poate fi identificată, în mod direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare ori un identificator online, sau la unul ori mai multe elemente specifice identității fizice, fiziologice, genetice, mentale, economice, culturale sau sociale ale respectivei persoane fizice; întrucât pentru a se determina dacă o persoană fizică este identificabilă, ar trebui să se ia în considerare toate mijloacele, cum ar fi individualizarea, pe care este probabil, în mod rezonabil, să le utilizeze fie operatorul, fie o altă persoană, în scopul identificării, în mod direct sau indirect, a persoanei fizice respective;

R.

întrucât, în conformitate cu articolul 2 alineatul (7) din Legea privind protecția informațiilor cu caracter personal, „date cu caracter personal păstrate” înseamnă date cu caracter personal pe care un operator economic are dreptul de a le divulga, a le corecta, a le modifica sau a le șterge conținutul, de a înceta utilizarea lor, de a le șterge sau de a înceta transmiterea lor către terți și care nu se înscriu în rândul datelor prevăzute în decizia guvernamentală ca fiind de natură să aducă atingere interesului public sau de alt tip, în cazul în care prezența sau absența lor este făcută cunoscute, și nici în rândul celor care sunt prevăzute în ordonanța guvernamentală a fi șterse în termen de maximum un an; întrucât normele suplimentare armonizează noțiunea de „date cu caracter personal păstrate” cu noțiunea de „date cu caracter personal” pentru a asigura că anumite limitări ale drepturilor individuale aferente celor dintâi nu se vor aplica datelor transferate din UE;

S.

întrucât legea japoneză privind protecția datelor, care face obiectul proiectului de decizie de punere în aplicare, exclude din domeniul său de aplicare mai multe sectoare atunci când se prelucrează date cu caracter personal în scopuri specifice; întrucât proiectul de decizie de punere în aplicare nu se referă la transferul de date cu caracter personal din UE către un destinatar care se încadrează în oricare dintre domeniile exceptate de mai sus, prevăzute de legislația japoneză privind protecția datelor;

T.

întrucât, în ceea ce privește transferurile ulterioare ale datelor cu caracter personal ale UE din Japonia către o țară terță, proiectul de decizie de punere în aplicare exclude utilizarea, în astfel de transferuri ulterioare, de instrumente de transfer care nu creează o relație obligatorie între exportatorul de date din Japonia și importatorul de date din țara terță și care nu garantează nivelul necesar de protecție; întrucât acest lucru ar fi valabil, de exemplu, pentru sistemul de norme de protecție a vieții private în cooperarea economică transfrontalieră din Asia-Pacific (ACE CBPR), la care Japonia participă activ, deoarece, în acest sistem, măsurile de protecție nu rezultă dintr-un acord cu caracter obligatoriu pentru exportator și importator în contextul relației lor bilaterale și sunt, în mod evident, la un nivel mai scăzut decât cel garantat de Legea privind protecția informațiilor cu caracter personal, coroborată cu normele suplimentare;

U.

întrucât, în avizul său din 5 decembrie 2018, Comitetul european pentru protecția datelor evaluează, pe baza documentației puse la dispoziție de Comisie, dacă cadrul juridic japonez de protecție a datelor oferă garanții suficiente pentru un nivel adecvat de protecție a datelor pentru persoanele fizice; întrucât Comitetul european pentru protecția datelor salută eforturile depuse de Comisie și de PPC din Japonia pentru a mări convergența dintre cadrul juridic japonez și cel european, pentru a facilita transferurile de date cu caracter personal; întrucât Comitetul european pentru protecția datelor recunoaște că îmbunătățirile aduse de normele suplimentare pentru a elimina o parte din diferențele dintre cele două cadre sunt foarte importante și bine primite; întrucât constată că persistă o serie de preocupări, cum ar fi protecția datelor cu caracter personal transferate din UE în Japonia pe toată durata ciclului lor de viață și recomandă Comisiei să furnizeze dovezi și explicații suplimentare cu privire la problemele ridicate și să monitorizeze îndeaproape aplicarea efectivă a normelor;

V.

întrucât proiectul de decizie de punere în aplicare este însoțit, de asemenea, de o scrisoare a ministrului Justiției din 14 septembrie 2018 referitoare la un document elaborat de Ministerul Justiției și de mai multe ministere și agenții privind „colectarea și utilizarea informațiilor cu caracter personal de către autoritățile publice japoneze pentru aplicarea dreptului penal și în scopuri de securitate națională”, care cuprinde o prezentare generală a cadrului juridic aplicabil și care furnizează Comisiei declarații oficiale, garanții și angajamente semnate la cel mai înalt nivel ministerial și de agenție, scrisoarea fiind atașată ca anexa II la decizia de punere în aplicare;

1.

2.

3.

4.

5.

6.

7.

8.

9.

10.

11.

12.

13.

14.

15.

16.

17.

18.

19.

20.

21.

22.

23.

24.

25.

26.

27.

28.

29.