Regulamentul general privind protecția datelor (Regulamentul (UE) 2016/679), prescurtat RGPD sau GDPR (din engleză General Data Protection Regulation), este un regulament al Uniunii Europene care stabilește cadrul juridic pentru protecția datelor cu caracter personal în Uniunea Europeană (UE) și Spațiul Economic European (SEE). RGPD reprezintă un pilon central al legislației europene în materie de protecția datelor și drepturi fundamentale, fundamentat pe articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene. Regulamentul reglementează și transferul datelor cu caracter personal către țări terțe sau organizații internaționale, stabilind standarde stricte pentru asigurarea unui nivel adecvat de protecție.

Adoptarea RGPD urmărește să consolideze controlul persoanelor vizate asupra datelor lor personale prin instituirea unor drepturi precum accesul, rectificarea, ștergerea (dreptul de a fi uitat), portabilitatea și opoziția față de prelucrare. Totodată, regulamentul introduce principii moderne, precum asigurarea protecției datelor începând cu momentul conceperii și în mod implicit, care impun operatorilor de date să integreze protecția datelor încă din faza de proiectare și să limiteze colectarea datelor la strictul necesar. De asemenea, sunt prevăzute obligații precum notificarea rapidă a autorităților în cazul încălcărilor de securitate și desemnarea unui responsabil cu protecția datelor (DPO) pentru anumite categorii de operatori. Prin armonizarea și simplificarea reglementărilor la nivel european, RGPD facilitează desfășurarea activităților economice transfrontaliere și reduce complexitatea normativă pentru companii.

Adoptat de Parlamentul European și Consiliul Uniunii Europene la 14 aprilie 2016, RGPD a devenit aplicabil la 25 mai 2018. Spre deosebire de directivele comunitare, care necesită transpunere în legislația națională, RGPD este un regulament comunitar direct aplicabil în toate statele membre, având forță juridică imediată. Totuși, acesta oferă statelor membre posibilitatea de a introduce derogări în anumite domenii specifice, precum legislația muncii sau administrația publică.

Regulamentul a devenit un model pentru numeroase legislații similare la nivel global, ceea ce ilustrează așa-numitul efect Bruxelles. Printre statele care au adoptat legi inspirate de RGPD se numără Brazilia, Japonia, Singapore, Africa de Sud, Coreea de Sud, Sri Lanka și Thailanda.Ryngaert, C & Taylor, M 2020, ‘The GDPR as Global Data Protection Regulation?’, AJIL unbound, vol. 114, pp. 5–9. După retragerea Regatului Unit din Uniunea Europeană, acesta a adoptat „UK GDPR”, care păstrează aproape integral prevederile RGPD. De asemenea, Legea privind confidențialitatea consumatorilor din California (CCPA), adoptată la 28 iunie 2018, reflectă numeroase principii ale RGPD, incluzând drepturile extinse pentru consumatori și obligațiile stricte pentru operatorii de date.Francesca Lucarini, "The differences between the California Consumer Privacy Act and the GDPR" , Adviser

Conținut

Regulamentul RGPD este structurat în unsprezece capitole, care reglementează dispozițiile generale, principiile, drepturile persoanei vizate, obligațiile operatorilor sau persoanelor împuternicite, transferurile de date cu caracter personal către țări terțe, autoritățile de supraveghere, cooperarea între statele membre, căile de atac, răspunderea și sancțiunile pentru încălcarea drepturilor, precum și dispozițiile finale diverse. Considerentul 4 subliniază că „prelucrarea datelor cu caracter personal ar trebui să fie concepută pentru a servi umanității”.

Dispoziții generale

Regulamentul se aplică atunci când operatorul de date (o persoană fizică sau juridică, autoritate publică, agenție sau alt organism care colectează informații despre persoane fizice, indiferent dacă acestea se află sau nu în UE) sau persoana împuternicită (o persoană fizică sau juridică, autoritate publică, agenție sau alt organism care prelucrează date în numele unui operator de date, cum ar fi furnizorii de servicii cloud) își are sediul în UE, sau atunci când persoana vizată (persoana fizică) se află pe teritoriul UE. În anumite circumstanțe, regulamentul se aplică și operatorilor și persoanelor împuternicite cu sediul în afara UE care colectează sau prelucrează date cu caracter personal ale persoanelor aflate pe teritoriul UE. Regulamentul nu se aplică prelucrării datelor de către o persoană pentru o „activitate exclusiv personală sau domestică și, prin urmare, fără legătură cu o activitate profesională sau comercială” (considerentul 18).

Conform Comisiei Europene, „Datele cu caracter personal reprezintă informații care se referă la o persoană identificată sau identificabilă. Dacă nu puteți identifica direct o persoană din acele informații, trebuie să luați în considerare dacă persoana poate fi totuși identificabilă. Trebuie să luați în considerare informațiile pe care le prelucrați împreună cu toate mijloacele rezonabil susceptibile să fie utilizate fie de dumneavoastră, fie de orice altă persoană pentru a identifica acea persoană.” Definițiile precise ale termenilor precum „date cu caracter personal”, „prelucrare”, „persoană vizată”, „operator” și „persoană împuternicită” sunt prevăzute în articolul 4.

Regulamentul nu se aplică prelucrării datelor cu caracter personal pentru activități de securitate națională sau de aplicare a legii în cadrul UE; totuși, grupurile din industrie care se tem de un posibil conflict de legi au ridicat întrebarea dacă articolul 48 ar putea fi invocat pentru a împiedica un operator de date supus legislației unui stat terț să se conformeze unei ordine legale din partea autorităților de aplicare a legii, judiciare sau de securitate națională ale acelei țări de a dezvălui datele cu caracter personal ale unei persoane din UE, indiferent de locația acestora, în sau în afacerea UE. Articolul 48 prevede că orice hotărâre a unei instanțe sau tribunal și orice decizie a unei autorități administrative dintr-o țară terță care impune unui operator sau unei persoane împuternicite să transfere sau să dezvăluie date cu caracter personal nu poate fi recunoscută sau executată în niciun mod, decât dacă se bazează pe un acord internațional, cum ar fi un tratat de asistență juridică reciprocă în vigoare între țara terță (non-UE) care solicită și UE sau un stat membru. Pachetul de reformă privind protecția datelor include, de asemenea, o directivă separată privind protecția datelor pentru sectorul polițienesc și de justiție penală, care furnizează norme pentru schimburile de date cu caracter personal la nivel de stat, Uniune și internațional.

Un set unic de norme se aplică tuturor statelor membre ale UE. Fiecare stat membru stabilește o autoritate de supraveghere (AS) independentă pentru a audia și investiga plângeri, a sancționa încălcările administrative etc. Art. 46–55 Autoritățile de supraveghere din fiecare stat membru cooperează cu alte autorități de supraveghere, oferind asistență reciprocă și organizând operațiuni comune. Dacă o entitate economică are mai multe locații în UE, aceasta trebuie să aibă o singură autoritate de supraveghere ca „autoritate principală”, pe baza locației „principale” a entității economice, unde au loc activitățile principale de prelucrare. Autoritatea principală acționează astfel ca un „punct unic de contact” pentru a supraveghea toate activitățile de prelucrare ale acelei entități economice în întreaga UE.The Proposed EU General Data Protection Regulation. A guide for in-house lawyers, Hunton & Williams LLP, June 2015, p. 14 Procedura pentru propunerea de revizuire a cadrului legislativ (Regulamentul General privind Protecția Datelor) Comitetul European pentru Protecția Datelor (CEPD) coordonează autoritățile de supraveghere. CEPD înlocuiește astfel Grupul de lucru privind protecția datelor din articolul 29. Există excepții pentru datele prelucrate în contextul angajării sau în domeniul securității naționale, care ar putea rămâne supuse reglementărilor individuale ale țărilor respective.

Principii și scopuri legale

Articolul 5 stabilește șase principii fundamentale privind legalitatea prelucrării datelor cu caracter personal. Primul principiu specifică faptul că datele trebuie prelucrate în mod legal, echitabil și transparent față de persoana vizată. Articolul 6 extinde acest principiu, precizând că datele personale pot fi prelucrate doar dacă există cel puțin un temei juridic pentru această prelucrare. Celelalte principii se referă la „limitarea scopului”, „minimizarea datelor”, „exactitate”, „limitarea stocării” și „integritatea și confidențialitatea”.

Articolul 6 enumeră temeiurile legale pentru prelucrarea datelor cu caracter personal, astfel: (a) dacă persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal; (b) pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract; (c) pentru respectarea unei obligații legale care îi revine operatorului; (d) pentru protejarea intereselor vitale ale persoanei vizate sau ale altei persoane fizice; (e) pentru îndeplinirea unei sarcini care servește un interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul; (f) pentru interesele legitime urmărite de operator sau de o terță parte, cu excepția cazului în care aceste interese prevalează asupra intereselor sau drepturilor și libertăților fundamentale ale persoanei vizate, în special dacă aceasta este un copil.

Când consimțământul informat este utilizat ca temei legal pentru prelucrare, consimțământul trebuie să fie explicit atât pentru datele colectate, cât și pentru fiecare scop în care datele sunt utilizate. Consimțământul trebuie să fie specific, acordat liber, clar exprimat și lipsit de ambiguități de către persoana vizată. Spre exemplu, un formular online cu opțiuni de consimțământ structurate sub forma unui opt-out selectat implicit încalcă prevederile RGPD, deoarece consimțământul nu este exprimat în mod neechivoc de utilizator. De asemenea, diverse tipuri de prelucrare nu pot fi „combinate” într-o singură solicitare de consimțământ, deoarece aceasta nu este specifică fiecărui scop, iar permisiunile individuale nu sunt acordate în mod liber (considerentul 32).

Persoanele vizate trebuie să poată retrage consimțământul în orice moment, iar procesul de retragere nu trebuie să fie mai complicat decât cel de acordare a consimțământului. Operatorul de date nu poate refuza furnizarea unui serviciu utilizatorilor care nu consimt la prelucrarea datelor care nu este strict necesară pentru utilizarea serviciului respectiv. Consimțământul pentru copii, definiți în regulament ca persoane cu vârsta mai mică de 16 ani (cu posibilitatea statelor membre de a reduce limita la 13 ani), trebuie să fie acordat de către părinte sau tutore și să fie verificabil."How the Proposed EU Data Protection Regulation Is Creating a Ripple Effect Worldwide" . Judy Schmitt, Florian Stahl. 11 October 2012. Retrieved 3 January 2013.

Dacă consimțământul pentru prelucrare a fost deja obținut în conformitate cu cerințele Directivei 95/46/CE privind Protecția Datelor, operatorul nu este obligat să obțină din nou consimțământul, cu condiția ca prelucrarea să fie documentată și realizată în conformitate cu cerințele RGPD (considerentul 171).

Drepturile persoanei vizate

Transparență și modalități

Conform articolului 12, operatorul de date are obligația de a furniza persoanei vizate informațiile „într-o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, în special pentru orice informații adresate în mod specific unui copil.”

Informare și acces