În data de 24 iunie 2020 Comisia Europeană a publicat Comunicarea privind protecția datelor ca pilon al abilitării cetățenilor și abordarea UE în tranziția digitală – doi ani de aplicare a Regulamentului General privind Protecția Datelor (RGPD).

Comunicarea Comisiei Europene este însoțită de un comunicat de presă privind raportul Comisiei și de un rezumat al principalelor constatări, redactat sub formă de întrebări și răspunsuri.

Věra Jourová, vicepreședinta pentru valori și transparență, a declarat: „Regimul european de protecție a datelor a devenit un punct de reper pentru a ne ghida în cadrul tranziției digitale centrate pe factorul uman și constituie un pilon important care stă la baza altor politici, cum ar fi strategia privind datele sau abordarea noastră referitoare la inteligența artificială. RGPD este exemplul perfect al modului în care Uniunea Europeană, bazată pe o abordare care pune accentul pe drepturile fundamentale, pune la dispoziția cetățenilor săi pârghiile necesare pentru a acționa și le oferă întreprinderilor oportunități de a valorifica pe deplin beneficiile revoluției digitale. Totuși, cu toții trebuie să depunem în continuare eforturi pentru ca RGPD să dea întreaga măsură a potențialului său.”

Didier Reynders, comisarul pentru justiție, a declarat: „RGPD și-a îndeplinit majoritatea obiectivelor și a devenit un punct de referință la nivel mondial pentru țările care doresc să le asigure cetățenilor lor un grad ridicat de protecție. Putem să obținem însă rezultate mai bune, așa cum arată raportul prezentat astăzi. De exemplu, avem nevoie de un grad sporit de uniformitate în ceea ce privește aplicarea normelor în Uniune, acesta fiind un element important pentru cetățeni și întreprinderi, în special pentru IMM-uri. De asemenea, trebuie să ne asigurăm că cetățenii pot să își exercite pe deplin drepturile. Comisia va monitoriza progresele, în strânsă cooperare cu Comitetul european pentru protecția datelor și în cadrul schimburilor sale regulate cu statele membre, astfel încât RGPD să își realizeze pe deplin potențialul.”

Așa cum se observă în conținutul Comunicării, una dintre concluzii este aceea că, după doi ani de aplicare, RGPD și-a îndeplinit majoritatea obiectivelor de a consolida protecția datelor cu caracter personal și de a garanta fluxurile de date cu caracter personal.

În ceea ce privește îmbunătările aduse de RGPD, se remarcă faptul că Regulamentul a consolidat transparența și a conferit persoanelor fizice drepturi opozabile, precum dreptul de acces, dreptul la rectificare, dreptul la ștergere, dreptul la opoziție și dreptul al portabilitatea datelor.

Cât privește autoritățile pentru protecția datelor, acestea joacă un rol esențial în asigurarea aplicării RGPD la nivel național și funcționării, în mod eficient, a mecanismelor de cooperare și consecvență din cadrul Comitetului European pentru Protecția Datelor, în special mecanismul ghișeului unic folosit pentru cazurile transfrontaliere. Astfel, Comisia a subliniat constant obligația statelor membre de a aloca suficiente resurse umane, financiare și tehnice autorităților naționale pentru protecție a datelor.

Totodată, RGPD oferă autorităților naționale pentru protecție a datelor competențe armonizate și consolidate. De la intrarea în aplicare a Regulamentului, autoritățile pentru protecția datelor utilizează o gamă largă o serie de puteri corective oferite de RGPD, precum amenzi administrative, avertizări și avertismente, dispoziții de a respecta cererile persoanei vizate, dispoziții de a asigura conformitatea operațiunilor de prelucrare cu prevederile Regulamentului, de a rectifica sau de a șterge datele sau de a rectricționa prelucrarea. RGPD prevede, de asemenea, o paletă mai largă de puteri corective. De exemplu, efectul unei interdicții asupra prelucrării sau suspendarea fluxurilor de date poate fi mult mai puternică decât o sancțiune financiară.

În același timp, autoritățile pentru protecția datelor au cooperat într-un mod foarte activ ca membri ai Comitetului European pentru Protecția Datelor, folosind, în mod intens, și instrumentul de cooperare de asistență reciprocă. În ceea ce privește mecanismul de coerența, EDPB a adoptat câteva opinii în acești doi ani. Referitor la gestionarea cazurilor transfrontaliere, s-a remarcat nevoia de un sistem mai eficient și de o abordare coezivă atunci când se utilizează instrumentele de cooperare prevăzute în RGPD. Principalele probleme care trebuie abordate în acest context includ: diferențele în legătură cu procedurile administrative naționale, interpretările variate ale conceptelor referitoare la mecanismul de cooperare, dar și abordările variate cu privire la începerea procedurii de cooperare, calendarul și comunicarea informațiilor.

De asemenea, Comisia precizează că RGPD a apărut ca punct de referință pentru multe țări din întreaga lume atunci când luând respectivele state și-au modernizat normele privind protecția datelor cu caracter personal (Chile, Coreea de Sud, Brazilia, Japonia, Kenya, India, Tunisia, Indonezia, Taiwan și statul California, pentru a numi doar câteva).

În același timp, se menționează faptul că RGPD oferă o serie de instrumente modernizate pentru a facilita transferul de date cu caracter personal din UE către un țară terță sau organizație internațională, asigurând în același timp că datele continuă să beneficieze de un nivel ridicat nivelul de protecție.

Obiectivul cheie în această etapă este de a susține o implementare și punere în aplicare armonizată și consecventă a RGPD în toată Uniunea Europeană. Acest lucru necesită un angajament puternic din partea tuturor actorilor:

• asigurarea faptului că legislația națională, inclusiv cele sectoriale, sunt pe deplin în conformitate cu RGPD;

• statele membre să aloce autorităților naționale pentru protecția datelor resursele umane, financiare și tehnice necesare pentru aplicarea corectă a normelor de protecție a datelor;

• autoritățile pentru protecția datelor să elaboreze proceduri de lucru eficiente cu privire la funcțioanrea mecanismelor de cooperare și coerență, inclusiv în ceea ce privește aspectele procedurale;

• folosirea instrumentelor prevăzute de RGPD pentru a facilita aplicarea regulilor, de exemplu prin coduri de conduită;

• monitorizează îndeaproape a aplicării RGPD în legătură cu noile tehnologii precum inteligența artificială, Internetul lucrurilor, blockchain.

Principalele constatări ale examinării RGPD de către Comisia Europeană

Cetățenii au la dispoziție mai multe pârghii și sunt conștienți de drepturile lor: RGPD consolidează transparența și le conferă persoanelor fizice drepturi opozabile, cum ar fi dreptul de
acces, de rectificare, de ștergere și de opoziție, precum și dreptul la portabilitatea datelor. Rezultatele unei anchete efectuate de Agenția pentru Drepturi Fundamentale a UE, publicate săptămâna trecută,
arată că, în prezent, 69 % din populația cu vârsta de peste 16 ani din UE a auzit despre RGPD și 71 % din cetățeni au auzit despre autoritatea națională pentru protecția datelor. Cu toate acestea, se pot
face mai multe pentru a-i ajuta pe cetățeni să își exercite drepturile, în special dreptul la portabilitatea datelor.

Normele privind protecția datelor sunt adaptate erei digitale: RGPD le-a oferit persoanelor fizice pârghiile necesare pentru a juca un rol mai activ cu privire la ceea ce se întâmplă cu datele
lor în tranziția digitală. RGPD contribuie, de asemenea, la promovarea inovării de încredere, în special printr-o abordare bazată pe riscuri și prin intermediul unor principii cum ar fi protecția datelor începând cu momentul conceperii și protecția datelor în mod implicit.

Autoritățile pentru protecția datelor recurg la competențele lor corective sporite: De la avertizări și mustrări la amenzi administrative, RGPD le oferă autorităților naționale pentru protecția datelor instrumente adecvate pentru a asigura respectarea normelor. Cu toate acestea, autoritățile menționate trebuie să aibă la dispoziție resursele umane, tehnice și financiare necesare. Multe state membre acționează în acest sens, prin majorări semnificative ale alocărilor bugetare și de personal. În ansamblu, în perioada 2016-2019, toate autoritățile naționale pentru protecția datelor din UE luate împreună au beneficiat de creșteri de personal de 42 % și de
majorări bugetare de 49 %. Există însă în continuare diferențe mari între statele membre. Autoritățile pentru protecția datelor colaborează în cadrul Comitetului european pentru protecția datelor (CEPD), dar se mai pot aduce îmbunătățiri: RGPD a instituit un sistem de guvernanță inovator, care este conceput astfel încât să asigure o aplicare consecventă și eficace a RGPD prin intermediul așa-numitului „ghișeu unic”, datorită căruia o întreprindere care prelucrează date la nivel transfrontalier are ca interlocutor doar o singură autoritate pentru protecția datelor, și anume autoritatea statului membru în care este situat sediul său principal. În perioada 25 mai 2018-31  decembrie 2019, prin intermediul ghișeului unic au fost transmise 141 de proiecte de decizii, 79 dintre acestea concretizându-se în decizii definitive. Cu toate acestea, se pot face mai multe pentru a dezvolta o cultură cu adevărat comună în materie de protecție a datelor. În special, gestionarea cazurilor transfrontaliere necesită o abordare mai eficientă și mai armonizată și o utilizare eficace a tuturor instrumentelor prevăzute în RGPD pentru a se asigura cooperarea autorităților pentru protecția datelor.

Recomandări și orientări emise de autoritățile pentru protecția datelor: CEPD emite orientări care acoperă aspecte-cheie ale regulamentului și teme de actualitate. Mai multe autorități
pentru protecția datelor au creat noi instrumente, inclusiv linii de asistență telefonică pentru persoane fizice și întreprinderi, precum și seturi de instrumente pentru întreprinderi mici și
microîntreprinderi. Este esențial să se asigure faptul că orientările furnizate la nivel național respectă pe deplin orientările adoptate de CEPD.

Valorificarea întregului potențial al transferurilor internaționale de date: În ultimii doi ani, angajamentul internațional al Comisiei referitor la transferurile libere de date, efectuate în condiții
de siguranță, a permis obținerea de rezultate importante, printre care se numără și decizia privind Japonia. În prezent, UE partajează cu Japonia cel mai mare spațiu din lume de liberă circulație a
datelor în condiții de siguranță. Alături de partenerii săi din întreaga lume, Comisia își va continua activitatea privind caracterul adecvat al nivelului de protecție a datelor. În plus, și în cooperare cu
CEPD, Comisia analizează posibilitatea de a moderniza alte mecanisme pentru transferurile de date, printre acestea numărându-se și clauzele contractuale standard, care sunt instrumentul de
transfer de date cel mai frecvent utilizat. CEPD lucrează la elaborarea unor orientări specifice privind utilizarea certificării și a codurilor de conduită pentru transferul de date în afara UE,
orientări care trebuie finalizate cât mai rapid posibil. Întrucât este posibil ca, printr-o hotărâre pe care o va pronunța la 16 iulie, Curtea de Justiție a Uniunii Europene să ofere clarificări relevante
pentru anumite elemente ale standardului privind caracterul adecvat al nivelului de protecție a datelor, Comisia va prezenta, după pronunțarea hotărârii menționate, un raport separat referitor la
deciziile existente privind acest subiect.

Promovarea cooperării internaționale: În ultimii doi ani, Comisia a intensificat dialogul la nivel bilateral, regional și multilateral, promovând o cultură mondială a respectării vieții private și a
convergenței între diferitele sisteme de protecție a vieții private în beneficiul atât al cetățenilor, cât și al întreprinderilor. Comisia este hotărâtă să continue această activitate ca parte a acțiunii sale
externe mai ample, de exemplu, în contextul Parteneriatului Africa-UE și al sprijinului pe care îl acordă inițiativelor internaționale, cum ar fi „Data Free Flow with Trust”. În contextul în care
încălcările normelor privind protecția vieții private pot afecta simultan un număr mare de persoane fizice în mai multe părți ale lumii, este momentul să se intensifice cooperarea internațională între
autoritățile responsabile cu asigurarea respectării normelor privind protecția datelor. Din acest motiv, Comisia va solicita Consiliului să autorizeze deschiderea de negocieri în vederea încheierii de
acorduri de asistență reciprocă și de cooperare în materie de asigurare a respectării legii cu țările terțe relevante.

În ceea ce privește activitatea la nivel internațional, Comisia va continua să își concentreze eforturile pe promovarea convergența regulilor de protecție a datelor ca modalitate de a asigura fluxuri internaționale de date realizate în siguranță.

Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul S.C. Viva Credit IFN S.A., constatând încălcarea art. 12 alin. (3) și (4) din Regulamentul General privind Protecția Datelor, prin raportare la art. 17 din același Regulament.

Operatorul S.C. Viva Credit IFN S.A. a fost sancționat contravențional cu amendă în cuantum de 9680 lei, echivalentul sumei de 2000 EURO.

Investigația s-a desfășurat ca urmare a unei plângeri prin care se reclama faptul că operatorul nu a soluționat cererea petentului prin care își exercita dreptul de ștergerea datelor, potrivit art. 17 din Regulamentul General privind Protecția Datelor.

De asemenea, operatorul nu a furnizat petentului informații cu privire la acțiunile întreprinse în urma cererii acestuia în termen de cel mult o lună (sau maximum 3 luni, prezentând și motivele întârzierii) la adresa sa de domiciliu sau la adresa de contact (e-mail) disponibilă în evidențele sale.

Astfel, operatorul S.C. Viva Credit IFN S.A. a încălcat prevederile art. 12 alin. (3) și (4), raportat la art. 17 din Regulamentul General privind Protecția Datelor.

Operatorul are obligaţia, potrivit art. 12 alin. (3), de a răspunde cererilor persoanelor vizate fără întârzieri nejustificate şi cel târziu în termen de o lună de la primirea cererii, iar conform alin. (4) al aceluiași articol ”dacă nu ia măsuri cu privire la cererea persoanei vizate, operatorul informează persoana vizată, fără întârziere şi în termen de cel mult o lună de la primirea cererii, cu privire la motivele pentru care nu ia măsuri şi la posibilitatea de a depune o plângere în faţa unei autorităţi de supraveghere şi de a introduce o cale de atac judiciară.”

În același timp, operatorului S.C. Viva Credit IFN S.A. i s-a aplicat și o măsura corectivă, în temeiul prevederilor art. 58 alin. (2) lit. d) din Regulamentul General privind Protecția Datelor, acesta fiind obligat să transmită un răspuns petentului la cererea depusă, în termen de 5 zile lucrătoare de la comunicarea procesului-verbal.

În data de 15.07.2020 Autoritatea Națională de Supraveghere a finalizat o investigație la operatorul Compania Națională Poșta Română și a constatat că acesta a încălcat prevederile art. 32 din Regulamentul General privind Protecţia Datelor, referitoare la securitatea prelucrării.

Operatorul Compania Națională Poșta Română a fost sancționat contravențional cu amendă în cuantum de 9.686,60 lei lei, echivalentul a 2000 euro.

Încălcarea securității și confidențialității datelor cu caracter personal a constat în faptul că operatorul nu a implementat măsuri tehnice și organizatorice adecvate (de exemplu, pseudonimizarea), atât în momentul stabilirii mijloacelor de prelucrare, cât şi în cel al prelucrării în sine, astfel încât să se pună în aplicare, în mod eficient, principiile de protecție a datelor și să se  integreze în acestea garanțiile necesare prelucrării, astfel încât să fie duse la îndeplinire cerințele RGPD și să se protejeze drepturile persoanelor vizate.

Operatorul Compania Națională Poșta Română a fost sancționat deoarece nu a luat măsurile tehnice şi organizatorice adecvate care să prevină accesul neautorizat la datele cu caracter personal (adrese de e-mail și numere de telefon) pe adresa https://awb.posta-romana.ro aparținând Companiei Naționale Poșta Română, ceea ce a dus la compromiterea confidențialității datelor personale a 81 de persoane vizate.

Autoritatea Naţională de Supraveghere a efectuat investigația ca urmare a primirii din partea operatorului a unei notificări de încălcare a securității datelor, conform dispozițiilor art. 33 din RGPD.