Reforma privind protecția datelor în UE: Consiliul confirmă acordul cu Parlamentul European

La 18 decembrie 2015, Comitetul Reprezentanților Permanenți (Coreper) a confirmat textele de compromis asupra cărora a convenit cu Parlamentul European cu privire la reforma privind protecția datelor. Acordul a fost încheiat între Consiliu, Parlament și Comisie la 15 decembrie. Prezentul acord este în conformitate cu solicitarea Consiliului European ca negocierile cu privire la reforma privind protecția datelor să se încheie până la sfârșitul lui 2015.

Félix BRAZ, ministrul luxemburghez al justiției și președintele Consiliului, a declarat: „Este un acord fundamental, cu consecințe importante. Această reformă nu doar consolidează drepturile cetățenilor, dar adaptează și normele la era digitală pentru întreprinderi, reducând în același timp sarcinile administrative. Aceste texte sunt ambițioase și orientate către viitor. Putem avea deplină încredere în rezultatul lor.”  

Reforma privind protecția datelor constă într-un pachet legislativ propus de Comisie în 2012 în scopul de a actualiza și moderniza normele de protecție a datelor.  Aceasta se referă la două instrumente legislative: Regulamentul general privind protecția datelor (care urmărește să înlocuiască directiva 95/46/CE) și Directiva privind protecția datelor în domeniul aplicării legii (care urmărește să înlocuiască decizia-cadru privind protecția datelor din 2008). 

Protecția persoanelor în ceea ce privește prelucrarea datelor cu caracter personal ale acestora constituie un drept fundamental, consacrat în Carta drepturilor fundamentale a UE (articolul 8) și în Tratatul privind funcționarea Uniunii Europene (articolul 16).

Regulamentul general privind protecția datelor

Regulamentul general privind protecția datelor are ca scop sporirea nivelului de protecție a datelor pentru persoanele fizice ale căror date cu caracter personal sunt prelucrate și sporirea oportunităților de afaceri în cadrul pieței unice digitale, inclusiv prin reducerea sarcinii administrative. 

Un nivel sporit de protecție a datelor

Principiile și normele privind prelucrarea datelor cu caracter personal ale persoanelor fizice trebuie să respecte drepturile și libertățile fundamentale, în special dreptul la protecția datelor cu caracter personal. Aceste drepturi consolidate de protecție a datelor dau persoanelor vizate (persoanele ale căror date cu caracter personal sunt prelucrate) mai mult control asupra propriilor date cu caracter personal: 

• norme mai specifice care să le permită operatorilor (persoanele responsabile de prelucrarea datelor) să prelucreze datele cu caracter personal, inclusiv prin cerința privind consimțământul persoanelor în cauză.
• acces mai ușor la datele lor cu caracter personal.
• o mai bună informare cu privire la ce se întâmplă cu datele cu caracter personal, de îndată ce acestea sunt partajate. Aceasta include informarea cetățenilor cu privire la politica acestora de confidențialitate, într-un limbaj clar și simplu, care poate fi efectuată, de asemenea, prin intermediul unor pictograme standardizate.
• dreptul de a șterge datele cu caracter personal și „de a fi uitat”. Aceasta permite, de exemplu, persoanelor vizate să solicite eliminarea, fără întârziere, a datelor cu caracter personal colectate sau publicate pe o rețea socială atunci când persoana era încă un copil.
• în cazul în care un tânăr sub 16 de ani dorește să utilizeze serviciile online, furnizorul de servicii trebuie să încerce să verifice că a fost acordat consimțământul parental. Statele membre pot reduce acest plafon, fără a coborî însă sub vârsta de 13 ani.
• dreptul la portabilitatea datelor, care facilitează transmiterea de date cu caracter personal de la un furnizor de servicii, cum ar fi o rețea socială, către altul. Acest lucru nu numai că va extinde drepturile în materie de protecție a datelor, ci va spori și concurența în rândul furnizorilor de servicii.
• dreptul de a se opune prelucrării datelor cu caracter personal legate de interesul public sau a intereselor legitime ale unui operator. Acest drept se referă la utilizarea de date cu caracter personal în scopul „creării de profiluri”.
• garanții comune pentru prelucrarea datelor cu caracter personal în scopul arhivării, în cazul în care aceasta este în interes public, și în scop științific, de cercetare istorică sau în scopuri statistice.

Pentru asigurarea proximității accesului la justiție, persoanele vizate au dreptul ca orice decizie a autorității de protecție a datelor să poată fi revizuită de instanțele lor naționale, indiferent de statul membru în care are sediul operatorul de date. 

Creșterea oportunităților de afaceri în cadrul pieței unice digitale

Regulamentul prevede un singur set de norme, valabil peste tot în UE, aplicabil atât societăților europene, cât și celor neeuropene, care oferă servicii online în UE. Astfel, se evită o situație în care normele naționale contradictorii în materie de protecție a datelor ar putea afecta schimbul transfrontalier de date. Acesta prevede, de asemenea, o cooperare sporită între statele membre pentru a se asigura o aplicare coerentă a normelor de protecție a datelor la nivelul UE. Acest lucru va da naștere unei concurențe loiale și va încuraja societățile, în special întreprinderile mici și mijlocii, să profite de întregul potențial al pieței unice digitale. 

În scopul de a reduce costurile și de a oferi securitate juridică, pentru cazurile transfrontaliere importante în care sunt implicate mai multe autorități naționale de supraveghere, va fi luată o decizie unică privind supravegherea. Acest mecanism al ghișeului unic permite unei societăți care își desfășoară activitatea în mai multe state membre să coopereze doar cu autoritatea pentru protecția datelor din statul membru în care își are sediul principal. Acest mecanism prevede, de asemenea, o decizie unică aplicabilă întregului teritoriu UE în cazul disputelor. 

În scopul reducerii costurilor administrative, regulamentul aplică o abordare bazată pe riscuri: operatorii de date pot pune în aplicare măsuri în funcție de riscul prezentat de operațiunile de prelucrare a datelor pe care le efectuează. Diferite întreprinderi efectuează diferite activități și riscurile aferente acestor activități în ceea ce privește confidențialitatea pot varia. Regulamentul prevede că nu există o soluție universală: cu cât sunt mai mari riscurile activităților pentru datele cu caracter personal, cu atât mai stringente trebuie să fie obligațiile. 

Îmbunătățirea și creșterea numărului de instrumente menite să asigure respectarea normelor privind protecția datelor

Regulamentul prevede o serie de măsuri pentru a spori responsabilitatea și răspunderea operatorilor de date în scopul de a asigura conformitatea deplină cu noile norme privind protecția datelor. Operatorii de date trebuie să pună în aplicare o serie de măsuri de securitate, inclusiv obligația, în anumite cazuri, de a notifica încălcarea securității datelor cu caracter personal. Pentru a asigura adaptarea regulamentului la evoluțiile viitoare, sunt introduse principiile protecției datelor începând cu momentul conceperii și protecția implicită a datelor. Autoritățile publice și societățile care îndeplinesc anumite operațiuni riscante de prelucrare a datelor trebuie să desemneze un responsabil cu protecția datelor pentru a asigura respectarea normelor. 

Persoanele vizate, precum și, în anumite condiții, organizațiile de protecție a datelor pot depune o plângere la o autoritate de supraveghere sau pot introduce o cale de atac, în cazul în care normele privind protecția datelor nu sunt respectate. Operatorilor de date li se pot aplica amenzi maxime în valoare de până la 20 milioane EUR sau 4 % din cifra lor de afaceri anuală globală. 

Garanții privind transferul de date cu caracter personal în afara UE

Regulamentul stabilește normele pentru transferul de date cu caracter personal către țări terțe și organizații internaționale. Transferurile pot avea loc, dacă sunt îndeplinite un anumit număr de condiții și garanții, în special în cazul în care Comisia a decis că există un nivel adecvat de protecție. Noi decizii privind caracterul adecvat al nivelului de protecție vor trebui să fie revizuite cel puțin o dată la 4 ani. Deciziile existente privind caracterul adecvat al nivelului de protecție și autorizațiile existente rămân în vigoare până când sunt modificate, înlocuite sau abrogate.   

Directiva privind protecția datelor în domeniul aplicării legii

Această directivă are ca scop protecția datelor cu caracter personal prelucrate în scopul prevenirii, investigării, identificării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora. 

Este esențial să se asigure un nivel consecvent și ridicat de protecție a datelor cu caracter personal ale persoanelor fizice, facilitând, în același timp, schimbul de date cu caracter personal între autoritățile de aplicare a legii în diferitele state membre. 

Extinderea domeniului de aplicare

În plus față de acoperirea activităților care vizează prevenirea, investigarea, identificarea și urmărirea penală a infracțiunilor, noua directiva a fost extinsă pentru a acoperi protejarea și prevenirea amenințărilor la adresa securității publice. 

Noua directivă ar urma să se aplice atât prelucrării transfrontaliere a datelor cu caracter personal, cât și prelucrării datelor cu caracter personal de către autoritățile polițienești și judiciare la nivel strict național. Decizia-cadru, care va fi înlocuită, acoperea numai schimburile transfrontaliere de date. 

Drepturile persoanelor vizate

Normele realizează un echilibru între dreptul la viață privată și necesitatea ca poliția să nu dezvăluie faptul că datele sunt prelucrate într-o etapă timpurie a unei anchete. Cu toate acestea, textul enumeră informațiile pe care persoana vizată are întotdeauna dreptul să le primească pentru a-și proteja dreptul său, în cazul în care persoana se teme că a avut loc o încălcare a securității datelor acesteia. 

Noile norme vor acoperi și transferul de date cu caracter personal către țări terțe și organizații internaționale. 

Conformitate

Noua directivă prevede că un responsabil cu protecția datelor este desemnat pentru a ajuta autoritățile competente să asigure respectarea normelor privind protecția datelor. 

Un alt instrument pentru a asigura conformitatea este evaluarea impactului. În cazul în care un tip de prelucrare este susceptibil să genereze un risc ridicat la adresa drepturilor și libertăților persoanelor fizice, autoritățile competente trebuie să efectueze o evaluare a impactului potențial pe care l-ar putea avea o anumită prelucrare, în special atunci când se utilizează noile tehnologii.   

Monitorizare și compensare

Textul directivei este aliniat cu textul regulamentului, în scopul de a garanta că, în termeni generali, se aplică aceleași principii generale. În plus, normele privind autoritatea de supraveghere sunt, în mare măsură, similare, deoarece autoritatea de supraveghere instituită în Regulamentul general privind protecția datelor poate să trateze și aspectele care intră sub incidența directivei. De asemenea, noua directivă ar urma să acorde persoanelor vizate dreptul de a primi compensații în cazul în care acestea au suferit prejudicii ca urmare a unei prelucrări de date care nu a respectat normele.                        

ETAPELE URMĂTOARE

La 17 decembrie, în cadrul unei reuniuni extraordinare, Comisia pentru libertăți civile, justiție și afaceri interne a Parlamentului European (LIBE) a aprobat textele asupra cărora s-a convenit în cadrul trilogurilor. Acest sprijin a permis Coreper astăzi să confirme textele finale de compromis privind regulamentul și directiva. În urma revizuirii textelor de către experții juriști-lingviști, acestea vor fi înaintate spre adoptare de Consiliu și, ulterior, de Parlament. Se preconizează ca regulamentul și directiva să intre în vigoare în primăvara anului 2018.