26.7.2011   

RO

Jurnalul Oficial al Uniunii Europene

C 220/1

1.

La 24 februarie 2011, Comisia Europeană a adoptat o propunere de directivă a Parlamentului European și a Consiliului de modificare a Directivelor 89/666/CEE, 2005/56/CE și 2009/101/CE în ceea ce privește interconectarea registrelor centrale, ale comerțului și ale societăților (3) (denumită în continuare „propunerea”) și a consultat ulterior AEPD.

2.

AEPD apreciază faptul că a fost consultată astfel cum se prevede în articolul 28 alineatul (2) din Regulamentul (CE) nr. 45/2001 și că preambulul propunerii include o trimitere la prezentul aviz.

3.

Obiectivul propunerii constă în facilitarea și accelerarea cooperării transfrontaliere și a schimburilor de informații între registrele comerțului din Spațiul Economic European și, astfel, creșterea transparenței și a fiabilității informațiilor disponibile dincolo de frontiere. Instituirea unor proceduri de cooperare administrativă eficiente în ceea ce privește registrele comerțului sunt esențiale în vederea sporirii încrederii în piața unică europeană prin garantarea unui mediu de afaceri mai sigur pentru consumatori, creditori și alți parteneri de afaceri, reducerea sarcinilor administrative și sporirea siguranței juridice. Accelerarea procedurilor de cooperare administrativă privind registrele comerțului din Europa este deosebit de importantă în procedurile de fuziune transfrontalieră, transferurile de sediu și actualizarea înregistrării sucursalelor străine în situația în care mecanismele de cooperare lipsesc în prezent sau sunt limitate.

4.

În acest scop, propunerea urmărește să modifice trei directive existente, după cum urmează:

5.

Registre ale comerțului există în fiecare stat membru; acestea sunt organizate la nivel național, regional sau local. În 1968, au fost adoptate norme comune pentru a stabili standarde minime cu privire la aducerea la cunoștință (înregistrarea și publicarea) a informațiilor despre întreprinderi (7). Începând cu 1 ianuarie 2007, statele membre trebuie să păstreze, de asemenea, registre ale comerțului în format electronic (8) și să permită terților să acceseze online conținutul registrelor.

6.

Cooperarea privind registrele comerțului din diferite state membre este impusă în mod explicit prin anumite instrumente juridice europene în vederea facilitării fuziunilor transfrontaliere ale societăților comerciale cu responsabilitate limitată (9) și transferul transfrontalier al sediului societății europene (SE) (10) și al societății cooperative europene (SCE) (11).

7.

În 1992 a fost instituit un mecanism de cooperare voluntară cu privire la registrele comerțului din Europa. Până în prezent, așa-numitul Registru European al Comerțului (denumit în continuare „EBR”) (12) combină registre oficiale ale comerțului din 19 state membre și alte șase jurisdicții europene. Între 2006 și 2009, EBR s-a implicat într-un proiect de cercetare denumit BRITE (13), al cărui obiectiv era dezvoltarea unei platforme tehnologice pentru interoperabilitatea registrelor comerțului din întreaga Europă. Evaluarea impactului care însoțește propunerea explică, totuși, faptul că EBR se confruntă cu probleme importante în ceea ce privește extinderea, finanțarea și guvernanța sa: conform evaluării impactului, mecanismul de cooperare actual, în forma sa prezentă, nu este pe deplin satisfăcător pentru potențialii utilizatori.

8.

Expunerea de motive care însoțește propunerea semnalează că portalul european de e-justiție (14) trebuie să devină principalul punct de acces la informații juridice, instituții administrative și juridice, registre, baze de date și alte servicii din UE. Aceasta confirmă, în continuare, că propunerea este complementară proiectului de e-justiție și trebuie să contribuie la facilitarea accesului terților la informațiile despre întreprinderi prin intermediul portalului.

9.

Conform evaluării impactului, un alt proiect relevant cu posibile sinergii este Sistemul de informare al pieței interne (IMI) (15). IMI este un instrument electronic menit să sprijine cooperarea administrativă zilnică dintre administrațiile publice în contextul Directivei privind serviciile (2006/123/CE) și al Directivei privind recunoașterea calificărilor profesionale (2005/36/CE). IMI este, în prezent, în proces de extindere și ar putea sprijini, conform evaluării impactului, și punerea în aplicare a altor directive, inclusiv din domeniul dreptului societăților comerciale.

10.

Articolul 3 din propunere modifică Directiva 2009/101/CE într-o serie de privințe. Dintre acestea, două modificări au o importanță deosebită pentru protecția datelor.

11.

Articolul 2 din Directiva 2009/101/CE, astfel cum este deja în vigoare în prezent, solicită ca anumite informații minime să fie divulgate într-un registru al comerțului în fiecare stat membru, astfel încât terții să poată confirma informații privind societățile. Astfel cum se explică în secțiunea 1.2 de mai sus, statele membre trebuie să păstreze, de asemenea, registre ale comerțului în format electronic și să permită terților să acceseze online conținutul registrelor.

12.

Articolul 2 enumeră 11 elemente ce conțin informații de bază cu privire la societăți, informații care trebuie făcute publice, inclusiv următoarele:

13.

Important din perspectiva protecției datelor, este faptul că articolul 2 solicită, de asemenea, divulgarea „numirii, încetării funcției, precum și identitatea” (sublinierea noastră) persoanelor care: (i) au competența de a angaja societatea, și/sau (ii) sunt implicate în alt mod în „administrarea, supravegherea sau controlul” societății.

14.

Lista elementelor care trebuie divulgate în temeiul articolului 2 nu a fost modificată de propunere. Nici faptul că fiecare stat membru trebuie să pună aceste informații la dispoziția publicului în format electronic nu reprezintă o nouă cerință. Noutatea propunerii constă în faptul că informațiile, care au fost disponibile până acum într-o manieră fragmentată, adesea doar în limbile locale și prin site-uri locale, vor fi de acum ușor accesibile, printr-o platformă/un punct de acces comun(ă) european(ă), într-un mediu multilingv.

15.

În acest scop, propunerea ar introduce un nou articol 3a în directivă, pentru a prevedea că „[s]tatele membre se asigură că documentele și informațiile menționate la articolul 2, care au fost depuse în registre, se pot obține prin mijloace electronice, în urma unei cereri formulate de orice parte interesată, prin intermediul unei platforme electronice accesibile din orice stat membru”. Propunerea lasă toate detaliile suplimentare actelor delegate.

16.

Propunerea va introduce, de asemenea, un nou articol 4a în aceeași Directivă 2009/101/CE, care să prevadă că „[s]tatele membre iau măsurile necesare pentru a garanta că [registrele comerțului] sunt interoperabile și alcătuiesc o rețea electronică”. Propunerea lasă, din nou, toate detaliile suplimentare actelor delegate.

17.

Pentru a aborda preocupările legate de protecția datelor, propunerea urmează să introducă în textul tuturor celor trei directive care trebuie modificate un articol specific privind protecția datelor care să solicite ca „[p]relucrarea datelor personale efectuată în contextul directivei face obiectul prevederilor Directivei 95/46/CE”.

18.

AEPD împărtășește opinia Comisiei potrivit căreia: (i) utilizarea tehnologiilor de informare și comunicare poate contribui la creșterea eficacității cooperării în ceea ce privește registrele comerțului; și (ii) creșterea accesibilității informațiilor referitoare la registrele comerțului poate determina creșterea transparenței. Prin urmare, aceasta sprijină obiectivele propunerii. Observațiile sale trebuie evaluate în lumina acestei abordări constructive.

19.

În același timp, AEPD subliniază, de asemenea, faptul că nivelul crescut al accesibilității datelor cu caracter personal determină, de asemenea, riscuri crescute pentru acestea. De exemplu, deși identificarea corectă a unui reprezentant al unei societăți poate fi facilitată în cazul divulgării domiciliului său privat, divulgarea ar putea avea un impact negativ asupra dreptului respectivei persoane la protecția datelor cu caracter personal. Acest lucru este cu atât mai adevărat cu cât datele cu caracter personal sunt disponibile la scară largă pe internet în format digital în diverse limbi și printr-o platformă/un punct de acces european(ă) ușor accesibil(ă).

20.

Până nu demult, datele personale din registrele comerțului (de exemplu, numele, adresa și specimenul de semnătură al unui director) erau disponibile publicului pe suport de hârtie și într-o limbă locală, adeseori în urma unei vizite personale a solicitantului la oficiul unui registru local. Este important de recunoscut faptul că această situație este diferită din punct de vedere calitativ de publicarea datelor în formă digitală printr-un punct de acces electronic la nivel național. Publicarea datelor cu caracter personal printr-un punct de acces/o platformă european(ă) duce această etapă și mai departe, fapt ce generează creșterea accesibilității informațiilor, precum și a riscurilor pentru protecția datelor cu caracter personal ale persoanelor în cauză.

21.

Printre riscurile prezente la adresa vieții private (datorate disponibilității cu ușurință a datelor în format digital printr-un punct de acces electronic comun) sunt furtul de identitate și alte activități infracționale, precum și riscul ca informațiile divulgate să poată fi colectate ilegal și utilizate de societăți în scopuri comerciale, care nu au fost prevăzute inițial, în urma realizării profilului persoanelor în cauză. În lipsa unor măsuri de siguranță adecvate, informațiile pot fi, de asemenea, vândute altora sau combinate cu alte informații și vândute apoi guvernelor pentru a fi utilizate în scopuri independente și nedivulgate (de exemplu, pentru aplicarea legislației fiscale sau alte anchete judiciare sau administrative) fără un temei juridic adecvat (16).

22.

Din aceste motive, trebuie să se examineze cu atenție ce informații personale trebuie puse la dispoziție printr-un punct de acces/o platformă european(ă) comun(ă) și ce măsuri suplimentare de protecție a datelor – inclusiv măsuri tehnice de limitare a funcționalităților de căutare sau descărcare și a extragerii de date – trebuie să se aplice.

23.

Astfel cum se remarcă în secțiunile 2.1 și 2.2 de mai sus, articolele 3a și 4a propuse în Directiva 2009/101/CE sunt foarte generale și lasă multe aspecte-cheie pentru actele delegate.

24.

Deși AEPD admite nevoia de flexibilitate și, prin urmare, necesitatea actelor delegate, aceasta subliniază faptul că măsurile necesare de protecție a datelor sunt elemente esențiale care ar trebui prevăzute, în mod clar și specific direct, în textul propunerii de directivă. În această privință, nu pot fi considerate drept „elemente neesențiale” care pot fi incluse în actele delegate ulterioare adoptate în temeiul articolului 290 din Tratatul privind funcționarea Uniunii Europene.

25.

Prin urmare, AEPD recomandă ca dispozițiile referitoare la protecția datelor din propunere să fie mai specifice și să meargă dincolo de simpla trimitere la Directiva 95/46/CE (a se vedea secțiunile 3.4-3.13). Dispozițiile suplimentare privind punerea în aplicare a măsurilor de siguranță specifice pot fi atunci incluse în actele delegate, pe baza unei consultări a AEPD și, după caz, a autorităților naționale pentru protecția datelor (a se vedea secțiunile 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 și 3.13 de mai jos).

26.

Propunerea nu numai că nu cuprinde nicio indicație referitoare la măsurile principale de protecție a datelor, dar este și foarte deschisă în alte privințe. Mai precis, aceasta lasă, de asemenea, în sarcina actelor delegate stabilirea elementelor esențiale cu privire la cum dorește să îndeplinească propunerile de: (i) interconexiune a registrelor comerțului; și (ii) divulgare publică a datelor.

27.

Claritatea cu privire la aceste elemente esențiale ale propunerii este o condiție prealabilă necesară pentru adoptarea măsurilor adecvate de protecție a datelor. Prin urmare, AEPD recomandă ca aceste elemente esențiale să fie enunțate în textul propunerii de directivă (a se vedea secțiunile 3.4 și 3.5 de mai jos).

28.

Pentru moment, propunerea lasă actelor delegate sarcina de a stabili normele privind guvernanța, gestionarea, exploatarea și reprezentarea rețelei electronice (17).

29.

Deși evaluarea impactului și expunerea de motive identifică anumite sinergii cu IMI și cu portalul de e-justiție, textul directivei propuse lasă posibilitatea unor opțiuni diverse pentru a permite materializarea oricăreia dintre sau a tuturor sinergiilor, inclusiv o revizuire a EBR, utilizarea IMI pentru anumite schimburi de date și/sau utilizarea portalului de e-justiție drept platformă/punct de acces pentru punerea la dispoziția publicului a informațiilor din registrele comerțului.

30.

Nu sunt excluse nici alte opțiuni, precum lansarea unei oferte pentru acordarea dreptului de proiectare și operare a rețelei electronice sau rolul direct al Comisiei în proiectarea și operarea sistemului. Reprezentanții statului membru pot fi, de asemenea, implicați în structura de conducere a rețelei electronice.

31.

În plus, deși propunerea, în forma sa actuală, prevede o „platformă electronică unică la nivel european” (sublinierea noastră), nu este exclus ca textul să poată fi modificat ulterior în procedura legislativă pentru a prevedea o structură mai descentralizată.

32.

AEPD notează, de asemenea, că, deși propunerea actuală nu abordează în mod specific aspectul interconectării registrelor comerțului cu alte baze de date (cum ar fi, de exemplu, registrele funciare sau registrele civile), aceasta este cu siguranță o posibilitate tehnică și ceva ce se întâmplă deja în anumite state membre (18).

33.

Alegerea uneia dintre aceste opțiuni poate determina o structură complet diferită de guvernare a rețelei electronice și a instrumentului electronic urmând a fi utilizate pentru publicare. Aceasta, la rândul său, determină roluri și responsabilități diferite ale părților implicate, ce determină, de asemenea, roluri și responsabilități diferite din perspectiva protecției datelor.

34.

În acest sens, AEPD subliniază că în orice situație în care sunt prelucrate date cu caracter personal este esențial să se identifice în mod corect „operatorul”. Acest aspect a fost subliniat, de asemenea, de Grupul de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal în Avizul nr. 1/2010 privind conceptele de „operator” și „persoană împuternicită de către operator” (19). Principalul motiv pentru care identificarea clară și neechivocă a operatorului este atât de importantă constă în faptul că determină cine este responsabil pentru respectarea normelor de protecție a datelor și este, de asemenea, relevantă pentru identificarea legislației aplicabile (20).

35.

Astfel cum s-a notat în avizul Grupului de lucru pentru protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, „[d]acă, de exemplu, nu este suficient de clar ce se solicită și de la cine – de exemplu, nimeni nu este responsabil sau există o mulțime de operatori posibili – există un risc evident să se întâmple foarte puțin sau nimic și ca dispozițiile juridice să rămână fără efect”.

36.

AEPD subliniază că este nevoie de claritate în special în situațiile în care într-o relație de cooperare sunt implicați mai mulți actori. Acest lucru se întâmplă adesea în cazul sistemelor de informare comunitare utilizate în scopuri publice, în cazul în care scopul prelucrării este definit în legislația comunitară.

37.

Din aceste motive, AEPD recomandă să se stabilească, în textul directivei propuse, și într-un mod specific, clar și neechivoc:

38.

Din perspectiva protecției datelor, aceste clarificări trebuie să fie, de asemenea, specifice și neechivoce pentru a se stabili, pe baza directivei propuse, dacă un anumit actor trebuie considerat drept „operator” sau „persoană împuternicită de operator”.

39.

În principiu, propunerea ar trebui să contribuie în mod explicit la stabilirea, astfel cum reiese din întregul proiect, că deținătorii de registre ale comerțului, precum și operatorul (operatorii) sistemului trebuie considerat (considerați) drept operator(i) de date în ceea ce privește propriile activități. Odată făcute aceste precizări, luându-se în considerare faptul că, în prezent, Comisia nu descrie structura de guvernanță și nu stabilește persoana care va opera sistemul electronic, nu se poate exclude faptul că cineva din entitatea sau entitățile care vor opera în final sistemul la nivel practic, va acționa mai curând ca persoană împuternicită de operator, nu ca operator. Aceasta se întâmplă, în special, în cazul în care această activitate este externalizată către o parte terță care va respecta strict instrucțiunile. În orice caz, se pare că rămân mai mulți operatori de date, cel puțin unul în fiecare stat membru: entitățile care păstrează registrele comerțului. Faptul că pot exista alte entități (private) implicate în calitate de operatori, „distribuitori” sau în altă calitate nu modifică acest aspect. În orice caz, aceasta ar trebui specificată în propunerea de directivă, în vederea asigurării clarității și a certitudinii juridice.

40.

Nu în ultimul rând, propunerea trebuie să descrie, de asemenea, mai specific și mai cuprinzător, responsabilitățile care decurg din aceste roluri. De exemplu, ar trebui incluse în propunere rolul operatorului (operatorilor) în asigurarea că sistemul este conceput într-un mod care să respecte viața privată, precum și rolul său de coordonare cu privire la aspecte legate de protecția datelor.

41.

AEPD notează că toate aceste clarificări vor fi relevante și pentru a stabili autoritățile de supraveghere a protecției datelor competente pentru fiecare prelucrare de date cu caracter personal.

42.

Se pare că în forma sa actuală, rețeaua electronică nu este prevăzută să mențină în mod automat toate informațiile din fiecare registru al comerțului la dispoziția tuturor celorlalte registre ale comerțului din statele membre: propunerea solicită numai interconectarea și interoperabilitatea registrelor comerțului și, astfel, prevede condițiile care să permită schimburile de informații și accesul în viitor. Pentru a garanta certitudinea juridică, propunerea trebuie să clarifice dacă această înțelegere este corectă.

43.

În plus, propunerea nu specifică nici tipurile de fluxuri de date/procedurile privind cooperarea administrativă care pot avea loc prin intermediul registrelor comerțului interconectate (21). AEPD înțelege că poate fi necesar un anumit grad de flexibilitate pentru a asigura că nevoile ce pot apărea în viitor pot fi satisfăcute. Acestea fiind spuse, AEPD consideră esențial ca propunerea să specifice cadrul pentru procedurile privind cooperarea administrativă și fluxurile de date care pot apărea în viitor prin utilizarea rețelei electronice. Acest lucru este deosebit de important pentru a garanta că: (i) orice schimb de date va fi efectuat pe un temei juridic solid; și (ii) sunt prevăzute măsuri de protecție a datelor adecvate.

44.

Potrivit AEPD, orice schimb de date sau altă activitate de prelucrare de date care utilizează rețeaua electronică (de exemplu, publicarea datelor cu caracter personal prin platforma comună/punctul de acces) trebuie să se bazeze pe un act comunitar obligatoriu adoptat pe un temei juridic solid. Acest lucru trebuie specificat în mod clar în propunerea de directivă (22).

45.

În plus, propunerea prevede ca actele delegate să stabilească următoarele aspecte (23):

46.

În ceea ce privește prima și a doua liniuță, AEPD consideră că anumite măsuri de protecție esențiale trebuie să fie prevăzute în textul propunerii de directivă (a se vedea secțiunile 3.12 și 3.13 de mai jos). Detalii suplimentare pot fi enunțate apoi în actele delegate.

47.

În ceea ce privește schimburile de date automate, AEPD apreciază faptul că propunerea presupune ca actele delegate să furnizeze „definirea standardelor privind formatul, conținutul și limitele de stocare și extragere a documentelor și informațiilor, pentru a permite schimbul de date automat”.

48.

Pentru a oferi mai multă claritate în această privință, AEPD recomandă ca directiva propusă să specifice în mod clar faptul că rețeaua electronică permite: (i) schimburi de date manuale specifice de la caz la caz între registrele comerțului (astfel cum este prevăzut într-un act comunitar, precum în cazul unei fuziuni sau al unui transfer de sediu); și (ii) transferurile de date automate (astfel cum este prevăzut într-un act comunitar, precum în cazul actualizării informațiilor în registrul sucursalelor străine).

49.

Pentru o mai mare precizie, AEPD recomandă, de asemenea, modificarea textului propus pentru articolul 4a alineatul (3) litera (i) relevant din Directiva 2009/101/CE pentru a se asigura că: (i) actele delegate vor acoperi atât schimburile de date manuale, cât și pe cele automate; (ii) sunt acoperite toate operațiile de prelucrare care pot implica date cu caracter personal (nu doar stocarea și extragerea); și (iii) dispozițiile specifice privind protecția datelor în actele delegate vor asigura, de asemenea, aplicarea practică a măsurilor relevante de protecție a datelor.

50.

În scop ilustrativ, articolul 4a alineatul (3) litera (i) poate fi modificat, de exemplu, după cum urmează:

51.

Ca o remarcă preliminară, AEPD subliniază faptul că, deși numele (și, posibil și alte detalii precum domiciliul privat) reprezentanților societăților (și ale altor persoane implicate în guvernanța corporativă) reprezintă, fără îndoială, datele personale cele mai evidente care pot fi prelucrate prin rețeaua electronică și/sau publicate prin platforma electronică/punctul de acces comun(ă), acestea nu sunt, în niciun caz, singurele informații cu caracter personal înscrise în registrele comerțului.

52.

În primul rând, unele documente enumerate în articolul 2 din Directiva 2009/101/CE (de exemplu actul constitutiv, statutul și documentele de contabilitate) pot conține și datele cu caracter personal ale altor persoane. Aceste date pot cuprinde, printre altele, nume, adrese, posibil numere de identificare și date de naștere și chiar scanări ale semnăturilor olografe, ale diferitor persoane, inclusiv persoanele care au înființat societatea, acționarii societăților, avocați, contabili, angajați sau notari publici.

53.

În al doilea rând, datele societății, atunci când sunt asociate numelui unei persoane (precum un director), ar putea fi, de asemenea, considerate date cu caracter personal în legătură cu persoana. De exemplu, dacă datele cuprinse în registrul comerțului arată că o anumită persoană face parte din comitetul de administrație al unei societăți în curs de lichidare, aceste informații sunt, de asemenea, relevante pentru persoana respectivă.

54.

Pentru a asigura claritatea cu privire la datele cu caracter personal prelucrate și pentru a asigura că intervalul datelor procesate este proporțional cu obiectivele propunerii, AEPD recomandă clarificările menționate în continuare în prezenta secțiune 3.7.

55.

Articolul 2 din Directiva 2009/101/CE nu definește elemente de „identitate” a persoanelor în cauză (reprezentanții societății și alte persoane implicate în guvernanța corporativă) care este necesar a fi divulgate.

56.

Într-adevăr, diferitele versiuni lingvistice ale propunerii arată diferențe considerabile, chiar și cu privire la traducerea termenului „particulars of persons” din limba engleză. De exemplu, termenul este „l’identité des personnes” (și anume, identitatea persoanelor) în franceză, „le generalità delle persone” (detalii personale, precum numele și prenumele) în italiană, „személyek adatai” (date ale persoanelor) în maghiară, „de identiteit van de personen” (identitatea persoanelor) în olandeză și „identitatea persoanelor” în română.

57.

De asemenea, în unele state membre, adresele private ale directorilor de societăți și/sau ale altor persoane, precum cele ale unor acționari sunt puse sistematic la dispoziția publicului pe internet. În alte state membre, aceste informații sunt păstrate confidențiale de registrul comerțului în care sunt introduse informațiile, din motive de confidențialitate, inclusiv de teama furtului de identitate.

58.

AEPD recomandă modificarea articolului 2 din Directiva 2009/101/CE în vederea clarificării datelor personale, dacă este cazul, pe lângă numele persoanelor în cauză (reprezentanții societății și alte persoane implicate în guvernanța corporativă) care este necesar a fi divulgate. Astfel, nevoia de transparență și de identificare precisă a acestor persoane trebuie analizată cu atenție, însă trebuie cântărită în raport cu preocupări concurente, precum necesitatea de a proteja viața privată a persoanelor în cauză (24).

59.

Dacă nu se ajunge la niciun acord din cauza variațiilor existente în practicile naționale, articolul 2 trebuie cel puțin modificat pentru a prevedea că „numele complet al persoanelor în cauză și – dacă legislația națională o impune în mod specific – date suplimentare necesare identificării acestora” trebuie divulgate. În acest caz, este clar că fiecare stat membru trebuie să hotărască în legislația națională, dacă este cazul, publicarea căror „date de identitate” în afară de nume trebuie publicate și că alte date personale vor trebui divulgate numai dacă este necesar în vederea identificării persoanelor în cauză.

60.

Ca alternativă și având în vedere că articolul 2 enumeră „informațiile minime”, și nu armonizează pe deplin conținutul registrelor comerțului în Europa, termenul „identitatea persoanelor” ar putea fi înlocuit cu termenul „numele complete ale persoanelor”. De asemenea, tot statul membru trebuie să hotărască eventualele informații suplimentare pe care dorește să le publice.

61.

Articolul 2 din Directiva 2009/101/CE solicită, de asemenea, publicarea informațiilor referitoare la persoanele implicate în „administrarea, supravegherea sau controlul” societății. Pe baza acestei formulări largi, nu este evident dacă și informațiile referitoare la acționari trebuie publicate: mai precis, informațiile referitoare la acționari care dețin: (i) o cotă considerabilă, care influențează sau controlează dincolo de un anumit prag; sau (ii) în temeiul acțiunilor privilegiate („golden shares”), contracte specifice sau un control/o influență eficient(ă) asupra societății.

62.

AEPD este conștientă că este nevoie de o formulare largă pentru a acoperi gama variată de structuri de guvernanță corporativă care există în prezent pentru societățile pe acțiuni, cu răspundere limitată și în comandită pe acțiuni din diferite state membre. Acestea fiind spuse, certitudinea juridică cu privire la categoriile de persoane ale căror date pot fi publicate este esențială din punctul de vedere al protecției datelor. Prin urmare, AEPD recomandă modificarea articolului 2 din Directiva 2009/101/CE pentru a clarifica dacă este necesară publicarea eventualelor date personale privind acționarii. În acest sens, trebuie efectuată și o analiză a proporționalității în temeiul Schecke (după cum s-a menționat anterior).

63.

Deși propunerea nu prevede schimbul sau divulgarea datelor personale dincolo de cerințele minime menționate în articolul 2 din Directiva 2009/101/CE, aceasta nu exclude nici posibilitatea ca statele membre să solicite, dacă hotărăsc astfel, ca registrele comerțului proprii să prelucreze sau să comunice date personale suplimentare și să le pună la dispoziție prin punctul de acces/platforma european(ă) comun(ă) și/sau să schimbe aceste date cu registrele comerțului din alte state membre.

64.

Acesta este un aspect deosebit de delicat cu privire la „listele negre”. În anumite țări, registrul electronic funcționează, de facto, tot ca „listă neagră” și poate fi căutat de orice terț printr-un portal electronic pentru informații privind reprezentanții societăților cărora li s-a interzis să își exercite activitățile.

65.

Pentru a aborda această problemă, AEPD recomandă clarificarea, în propunere, a măsurii în care statele membre pot publica în cele din urmă mai multe informații prin portalul comun și/sau pot schimba în cele din urmă mai multe informații între ele, pe baza propriilor legislații naționale, dacă aleg astfel. În acest caz, o evaluare strictă a proporționalității (a se vedea cauza Schecke, citată mai sus) ar trebui să se bazeze pe legislația națională și să țină, de asemenea, cont de obiectivele pieței interne, drept considerent.

66.

În plus, AEPD sugerează asocierea utilizării acestor competențe cu rolul care trebuie jucat de autoritățile naționale pentru protecția datelor, de exemplu, prin consultare.

67.

În final, AEPD subliniază că, dacă ar trebui prevăzut un sistem european care să necesite în mod special aceste „liste negre”, aceasta ar trebui stabilit în directiva propusă (25).

68.

AEPD recomandă ca propunerea de directivă să prevadă în mod special ca, în toate cazurile în care datele cu caracter personal sunt publicate sau partajate în alt mod între registrele comerțului, să fie instituite măsuri adecvate, în special, împotriva colectării, extragerii si combinării datelor și împotriva căutărilor exagerate, pentru a garanta că datele personale care au fost puse la dispoziția publicului din motive de transparență nu vor fi utilizate abuziv în alte scopuri independente (26).

69.

AEPD subliniază în mod deosebit necesitatea de a lua în considerare măsurile tehnologice și organizaționale pe baza principiului „privacy by design” (respectarea vieții private din momentul proiectării) (a se vedea secțiunea 3.14). Punerea în practică a acestor măsuri poate fi lăsată în seama actelor delegate, însă principiile ar trebui stabilite în textul directivei propuse.

70.

AEPD recomandă ca directiva propusă să conțină o dispoziție specială care să solicite furnizarea informațiilor în temeiul articolelor 10 și 11 din Directiva 95/46/CE [și dispozițiile corespondente din Regulamentul (CE) nr. 45/2001, după caz] persoanelor vizate într-un mod eficient și cuprinzător. În plus, în funcție de structura de guvernanță urmând a fi convenită și de rolurile și responsabilitățile diferitelor părți implicate, directiva propusă poate impune în mod specific operatorului sistemului să își asume un rol proactiv în furnizarea de notificări și a altor informații persoanelor vizate pe site-ul său și „în numele” registrelor comerțului. Actele delegate pot include, după caz, detalii suplimentare sau acestea pot fi stabilite printr-o politică privind protecția datelor.

71.

Propunerea ar trebui să includă cel puțin o referire la cerința privind dezvoltarea modalităților unui acord (în actele delegate) pentru a permite persoanelor vizate să își exercite drepturile. De asemenea, ar trebui să se facă referire și la posibilitatea de elaborare a unui modul de protecție a datelor și la posibilitatea unor soluții de respectare a vieții private din momentul proiectării pentru cooperare între autorități cu privire la drepturile de acces, precum și „împuternicirea persoanelor vizate”, după caz.

72.

Având în vedere posibilitatea Comisiei sau a unei alte instituții/unui alt organism european de a prelucra, de asemenea, date personale în rețeaua electronică (de exemplu, acționând în calitate de operator al rețelei sau prin extragerea datelor cu caracter personal din aceasta), trebuie făcută referire și la Regulamentul (CE) nr. 45/2001.

73.

De asemenea, este necesar să se precizeze că Directiva 95/46/CE se aplică registrelor comerțului, precum și altor părți care acționează în temeiul legislațiilor lor naționale în statele membre, pe când Regulamentul (CE) nr. 45/2001 este aplicabil Comisiei și altor instituții și organisme europene.

74.

În ceea ce privește transferurile de date cu caracter personal efectuate de deținătorul unui registru al comerțului din UE către deținătorul unui registru al comerțului dintr-o țară terță, care nu asigură un nivel adecvat de protecție a datelor personale, AEPD, în primul rând, subliniază că este important să se facă distincție între două situații:

75.

Pentru primul caz, articolul 26 alineatul (1) litera (f) din Directiva 95/46/CE permite o excepție în cazul în care „transferul este efectuat dintr-un registru [public]”, sub rezerva anumitor condiții. De exemplu, în cazul în care deținătorul unui registru al comerțului dintr-o țară europeană dorește să transfere un anumit set de date cu caracter personal (de exemplu, în legătură cu înregistrarea sucursalelor străine) deținătorului unui registru al comerțului dintr-o țară terță, iar aceste date sunt deja puse la dispoziția publicului, în orice caz, transferul trebuie să fie posibil chiar dacă țara terță în cauză nu asigură un nivel adecvat de protecție.

76.

Pentru cel de al doilea caz, AEPD recomandă ca propunerea să clarifice faptul că transferurile de date care nu sunt făcute publice pot fi efectuate doar către entități sau persoane fizice dintr-o țară terță care nu își permite un nivel adecvat de protecție, în cazul în care operatorul prezintă garanții adecvate în privința protecției vieții private și a drepturilor și libertăților fundamentale ale persoanelor, precum și în privința exercitării drepturilor corespunzătoare. Aceste garanții pot decurge în special din stabilirea unor clauze contractuale corespunzătoare în vigoare în temeiul articolului 26 alineatul (2) din Directiva 95/46/CE (27). În cazurile în care aceste transferuri de date către țările terțe implică în mod sistematic partajarea datelor între registrele comerțului din două sau mai multe țări UE sau în care este de dorit o acțiune la nivel comunitar, la nivel comunitar ar putea avea loc și o negociere a clauzelor contractuale [articolul 26 alineatul (4)].

77.

AEPD subliniază că alte derogări, precum cea în care [articolul 26 litera (d)] „transferul este necesar sau impus prin lege pentru apărarea unui interes public important, sau pentru constatarea, exercitarea sau apărarea unui drept în justiție”, nu ar trebui utilizate pentru a justifica transferurile sistematice de date prin utilizarea rețelei electronice către țări terțe.

78.

AEPD recomandă ca propunerea să facă referire explicită la și să încerce să pună în aplicare principiul responsabilității (28) și să stabilească un cadru clar de mecanisme interne și de sisteme de control adecvate pentru a asigura respectarea protecției datelor și pentru a face dovada acestui lucru, cum ar fi:

79.

În ceea ce privește respectarea vieții private din momentul proiectării (29), propunerea trebuie să facă referire specială la acest principiu și să materializeze, de asemenea, acest angajament în măsuri concrete. Mai precis, propunerea ar trebui să prevadă că rețeaua electronică trebuie creată în condiții de securitate maximă și eficient pentru a include automat o gamă largă de garanții privind confidențialitatea. Iată câteva exemple posibile de măsuri de respectare a vieții private din momentul proiectării:

80.

AEPD sprijină obiectivele propunerii. Observațiile sale trebuie evaluate în lumina acestei abordări constructive.

81.

AEPD subliniază că măsurile necesare pentru protecția datelor trebuie prevăzute în mod clar și specific direct în textul directivei, întrucât le consideră elemente esențiale. Dispozițiile suplimentare privind punerea în aplicare a unor măsuri specifice pot fi ulterior stabilite în acte delegate.

82.

Aspectele reprezentante de guvernanță, roluri, competențe și responsabilități trebuie să fie abordate în propunerea de directivă. În acest sens, aceasta trebuie să stabilească:

83.

Orice activitate de prelucrare a datelor care utilizează rețeaua electronică trebuie să se bazeze pe un instrument juridic obligatoriu precum un act comunitar adoptat pe un temei juridic solid. Acest lucru trebuie specificat în mod clar în directiva propusă.

84.

Dispozițiile privind legislația aplicabilă trebuie clarificate și trebuie să includă trimiterea la Regulamentul (CE) nr. 45/2001.

85.

În ceea ce privește transferurile de date cu caracter personal către țări terțe, propunerea trebuie să clarifice faptul că, în principiu și cu excepția cazurilor prevăzute la articolul 26 alineatul (1) litera (f) din Directiva 95/46/CE, transferurile de date pot fi efectuate doar către entități sau persoane dintr-o țară terță care nu își permit un nivel adecvat de protecție, în cazul în care operatorul prezintă garanții adecvate în privința protejării vieții private și a drepturilor și libertăților fundamentale ale persoanelor, precum și în privința exercitării drepturilor corespunzătoare. Aceste garanții pot decurge în special din clauze contractuale în vigoare în temeiul articolului 26 din Directiva 95/46/CE.

86.

Mai mult decât atât, Comisia trebuie să evalueze cu atenție măsurile tehnice și organizaționale care trebuie adoptate pentru a se asigura că protecția vieții private și protecția datelor sunt „proiectate” în arhitectura rețelei electronice („respectarea vieții private din momentul proiectării”) și că sunt instituite controale adecvate pentru a asigura respectarea protecției datelor și pentru a face dovada acestui lucru („responsabilitate”).

87.

Alte recomandări ale AEPD:

26.7.2011   

RO

Jurnalul Oficial al Uniunii Europene

C 220/12

26.7.2011   

RO

Jurnalul Oficial al Uniunii Europene

C 220/16

26.7.2011   

RO

Jurnalul Oficial al Uniunii Europene

C 220/17