Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile UE

ASPECTE-CHEIE

Datele cu caracter personal trebuie să fie:

• prelucrate în mod legal, echitabil și transparent;
• colectate în scopuri specifice, explicite și legitime;
• adecvate, relevante și limitate la ceea ce este necesar;
• exacte și, dacă este necesar, actualizate;
• păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară;
• prelucrate cu un grad adecvat de confidențialitate.

Operatorul² este responsabil de respectarea tuturor principiilor sus-menționate privind prelucrarea datelor și trebuie să poată demonstra acest lucru.

În plus, datele cu caracter personal:

• pot fi transmise unui destinatar din UE care nu este instituție, organ, oficiu sau agenție a UE numai cu condiția unor garanții suplimentare;
• pot fi transferate în afara UE numai în condiții stricte;
• care dezvăluie originea rasială sau etnică a unei persoane, opiniile politice, convingerile religioase sau filozofice, apartenența la sindicate, precum și prelucrarea datelor genetice, a datelor biometrice pentru identificarea unică a unei persoane fizice, a datelor privind sănătatea sau a datelor privind viața sexuală sau orientarea sexuală a unei persoane fizice nu trebuie să fi prelucrate decât în circumstanțe speciale;
• necesită garanții adecvate dacă sunt arhivate în interes public sau în scopuri științifice, istorice sau statistice.

Solicitările consimțământului unei persoane fizice privind utilizarea datelor sale trebuie să fie într-o formă inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu. Consimțământul trebuie să fie o acțiune pozitivă fără echivoc a persoanei respective.

Persoanele fizice (denumite „persoane vizate” în legislație) au dreptul:

• să își retragă consimțământul în orice moment, retragerea trebuind să se poată face la fel de simplu ca acordarea consimțământului;
• să știe dacă datele lor cu caracter personal sunt prelucrate sau nu și să aibă acces la acestea;
• să obțină corectarea eventualelor date cu caracter personal inexacte;
• să elimine sau să restricționeze orice date cu caracter personal în ceea ce privește prelucrarea, cu condiția respectării anumitor condiții;
• să primească datele lor cu caracter personal furnizate operatorului într-un format structurat, utilizat în mod obișnuit și prelucrabil automat și să le transmită unui alt operator;
• să se opună utilizării datelor lor personale în scopuri de interes public, din cauza situației lor particulare;
• să nu facă obiectul unei decizii bazate exclusiv pe prelucrarea automată care produce efecte juridice pentru acestea;
• să depună plângeri la AEPD în cazul în care consideră că datele lor cu caracter personal sunt prelucrate într-un mod care încalcă regulamentul;
• să fie despăgubite pentru eventuale prejudicii materiale sau morale pe care le suferă din cauza acțiunilor unei instituții, a unui organ, a unui oficiu sau a unei agenții a UE;
• să mandateze o organizație fără scop lucrativ să depună o plângere la AEPD.

Operatorii:

• trebuie să informeze persoanele vizate, într-un limbaj simplu și cu informații factuale, precum datele de contact ale operatorului de date și scopul prelucrării datelor cu caracter personal, atunci când se colectează astfel de date;
• trebuie să răspundă oricăror solicitări din partea persoanelor vizate, cum ar fi solicitările privind accesarea sau corectarea datelor cu caracter personal ale acestora, de îndată ce este posibil și în cel mult o lună;
• aplică măsuri tehnice și organizatorice adecvate, inclusiv pseudonimizarea³, pentru a se asigura că prelucrarea datelor cu caracter personal respectă regulamentul;
• trebuie să utilizeze numai serviciile unor persoane împuternicite de operatori care întrunesc cerințele UE;
• păstrează o evidență detaliată a prelucrării datelor efectuate sub responsabilitatea lor;
• cooperează cu AEPD;
• notifică AEPD și, în unele cazuri, persoana vizată în cel mai scurt timp posibil cu privire la orice încălcare a securității datelor cu caracter personal;
• efectuează o evaluare a impactului asupra protecției datelor pentru anumite prelucrări de date cu caracter personal care prezintă un risc ridicat;
• asigură confidențialitatea și securitatea propriilor rețele de comunicații electronice;
• informează AEPD când iau măsuri administrative sau stabilesc norme interne privind prelucrarea datelor cu caracter personal.

Actul legislativ instituie AEPD, având un mandat de cinci ani, care poate fi reînnoit o singură dată. Având sediul la Bruxelles, titularul postului:

• acționează în deplină independență;
• respectă secretul profesional în privința tuturor informațiilor confidențiale;
• monitorizează aplicarea legislației de către instituțiile, organele, oficiile și agențiile UE;
• promovează înțelegerea și conștientizarea de către public a prelucrării datelor cu caracter personal;
• tratează plângerile și desfășoară investigații;
• avertizează și sancționează operatorii de date;
• sesizează Curtea de Justiție, care tratează eventualele litigii privind legislația;
• transmite un raport anual Parlamentului European, Consiliului și Comisiei Europene;
• cooperează cu autoritățile naționale de supraveghere a protecției datelor.

Regulamentul de procedură al AEPD

O decizie din 15 mai 2020 adoptă regulamentul de procedură al AEPD. Aceasta stabilește în detaliu:

• misiunea, principiile directoare și organizarea AEPD;
• cum va monitoriza și va asigura autoritatea aplicarea regulamentului;
• procedurile privind consultarea legislativă, monitorizarea tehnologică, proiectele de cercetare și acțiunile în instanță; și
• procedurile pentru cooperarea cu autoritățile naționale de supraveghere și cooperarea internațională.

Norme speciale pentru organismele, oficiile și agențiile UE

Se aplică norme speciale pentru organismele, oficiile și agențiile UE care prelucrează date operaționale cu caracter personal⁴ în scopul aplicării legii (de exemplu, Eurojust). Acestea sunt tratate într-un capitol special al regulamentului. Normele din acest capitol sunt aliniate la Directiva privind protecția datelor în materie de asigurare a respectării legii. În plus, în actele constitutive ale acestor organe, oficii și agenții se pot prevedea norme mai specifice pentru a ține cont de caracteristicile particulare ale acestora.

Prelucrarea datelor operaționale cu caracter personal de către Europol și Parchetul European este exclusă din domeniul de aplicare a regulamentului și este reglementată în schimb de dispoziții specifice din actele juridice care le instituie. Cu toate acestea, prelucrarea administrativă a datelor cu caracter personal (de exemplu, pentru gestionarea personalului) face obiectul regulamentului.

Responsabilii cu protecția datelor

Operatorii desemnează și un responsabil cu protecția datelor pentru un mandat de trei până la cinci ani, pentru:

• a oferi recomandări independente privind prelucrarea datelor cu caracter personal;
• a monitoriza conformitatea cu normele de protecție a datelor.

Rapoarte

Comisia Europeană trebuie să prezinte primul său raport privind aplicarea regulamentului până la 30 aprilie 2022.