Decizia Consiliului din 13 septembrie 2004 de adoptare a normelor de aplicare a Regulamentului (CE) nr. 45/2001 al Parlamentului European și al Consiliului privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și libera circulație a acestor date

Articolul 1

Obiectul și domeniul de aplicare Prezenta decizie stabilește norme de aplicare suplimentare cu privire la Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului (denumit în continuare „regulament”), referitoare la Consiliul Uniunii Europene.

Articolul 2

Definiții În sensul prezentei decizii și fără a aduce atingere definițiilor prevăzute de regulament: (a) „operator” înseamnă instituția, direcția generală, direcția, divizia, unitatea sau orice altă entitate organizațională care, în mod individual sau împreună cu alte entități, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal, și care este identificată în notificarea ce se trimite responsabilului cu protecția datelor (denumit în continuare RPD), în conformitate cu articolul 25 din regulament; (b) „persoană de contact” înseamnă asistentul administrativ sau asistenții administrativi din direcția generală sau orice alt membru al personalului, desemnat de către direcția generală de care aparține prin consultare cu RPD ca reprezentant al direcției generale lucrând în strânsă cooperare cu RPD în probleme prin protecția datelor; (c) „personalul SGC” înseamnă toți funcționarii din Secretariatul General al Consiliului (denumit în continuare „SGC”), precum și orice altă persoană vizată de Statutul funcționarilor Comunităților Europene și condițiile de angajare a altor categorii de angajați ai Comunităților Europene stabilite în Regulamentul (CEE, Euratom, CECO) nr. 259/68 (6) (denumit în continuare „Statutul funcționarilor”) sau care lucrează pentru SGC pe baza unui contract (stagiari, consultanți, contractori, funcționari detașați de statele membre). SECȚIUNEA 2 RESPONSABILUL CU PROTECȚIA DATELOR

Articolul 3

Numirea și statutul responsabilului cu protecția datelor (1) Secretarul general adjunct al Consiliului numește RPD și îl înregistrează la autoritatea europeană pentru protecția datelor (denumită în continuare AEPD). RPD este subordonat direct secretarului general adjunct al Consiliului. (2) Mandatul RPD este de trei ani și se poate reînnoi de două ori. (3) În ceea ce privește îndeplinirea sarcinilor ce îi revin, RPD acționează în mod independent și în cooperare cu AEPD. În special, RPD nu poate primi instrucțiuni de la autoritatea de numire a SGC sau de la oricine altcineva cu privire la aplicarea internă a dispozițiilor regulamentului sau la cooperarea sa cu AEPD. (4) Evaluarea îndeplinirii de către RPD a sarcinilor și îndatoririlor sale se realizează după consultarea prealabilă a AEPD. RPD poate fi demis doar cu consimțământul AEPD, în cazul în care nu mai îndeplinește condițiile necesare pentru îndeplinirea îndatoririlor ce îi revin. (5) Fără a aduce atingere procedurilor prevăzute pentru numirea sa, RPD este informat cu privire la toate contactele cu părți externe privind aplicarea regulamentului, în special cu privire la interacțiunea cu AEPD. (6) Fără a aduce atingere dispozițiilor relevante din regulament, RPD și personalul său se supun reglementărilor ce se aplică funcționarilor și altor angajați ai Comunităților Europene.

Articolul 4

Atribuții RPD: (a) asigură informarea tuturor operatorilor și persoanelor vizate cu privire la drepturile și obligațiile ce le revin în conformitate cu regulamentul. Pentru îndeplinirea acestei sarcini, RPD stabilește în special formulare de informare și notificare, consultă părțile în cauză și contribuie la creșterea gradului de conștientizare cu privire la chestiunile legate de protecția datelor; (b) răspunde solicitărilor venite din partea AEPD și, în domeniul său de competență, cooperează cu AEPD, la cererea acesteia sau la inițiativă proprie; (c) asigură, într-o manieră independentă, aplicarea internă a dispozițiilor regulamentului în SGC; (d) menține un registru al operațiunilor de prelucrare efectuate de către operatori și acordă accesul la acest registru oricărei persoane, în mod direct sau indirect, prin intermediul AEPD; (e) notifică AEPD cu privire la operațiunile de prelucrare susceptibile de a prezenta riscurile specifice menționate la articolul 27 alineatul (2) din regulament; (f) astfel, garantează că este puțin probabil ca operațiunile de prelucrare a datelor să aducă atingere drepturilor și libertăților persoanelor în cauză.

Articolul 5

Îndatoriri (1) Pe lângă sarcinile cu caracter general ce îi revin, RPD: (a) are calitatea de consultant al Autorității de numire a SGC și al operatorilor, în probleme legate de aplicarea dispozițiilor de protecție a datelor. RPD poate fi consultat de către Autoritatea de numire, de către operatorii interesați, de către Comitetul de personal și de orice persoană, fără să se recurgă la căile oficiale, în orice problemă privind interpretarea sau aplicarea regulamentului; (b) la inițiativa sa sau la inițiativa Autorității de numire, a operatorilor, a Comitetului de personal sau a oricărei persoane, investighează problemele și evenimentele legate direct de sarcinile ce îi revin și care îi sunt aduse la cunoștință și prezintă un raport Autorității de numire sau persoanei care a solicitat investigația. După caz, toate celelalte părți în cauză ar trebui informate în acest sens. În cazul în care reclamantul este o persoană sau în cazul în care reclamantul acționează în numele unei persoane, RPD trebuie să asigure confidențialitatea cererii, în măsura în care acest lucru este posibil, cu excepția cazului în care persoana vizată își dă consimțământul ferm de a trata în alt mod cererea sa; (c) pentru îndeplinirea funcțiilor sale, cooperează cu responsabilii cu protecția datelor din alte instituții și organe comunitare, în special prin schimb de experiență și bune practici. (d) reprezintă SGC în toate problemele legate de protecția datelor; fără a aduce atingere Deciziei 2004/338/CE, Euratom, această reprezentare poate include participarea RPD în comitetele sau instanțele relevante la nivel internațional; (e) prezintă un raport anual al activității sale Secretarului general adjunct al Consiliului și pune acest raport la dispoziția personalului. (2) Fără a aduce atingere articolelor 4 litera (b), 5 alineatul (1) literele (b) și (c) și 15, RPD și personalul acestuia au obligația de a nu dezvălui informațiile sau documentele obținute în exercitarea îndatoririlor lor.

Articolul 6

Competențe Pentru îndeplinirea sarcinilor și îndatoririlor sale, RPD: (a) are acces în orice moment la datele care fac obiectul operațiunilor de prelucrare și la toate birourile, instalațiile de prelucrare a datelor și suporturile de date; (b) poate solicita avize serviciului juridic al Consiliului; (c) poate solicita serviciile unor experți externi în tehnologia informațiilor, cu acordul prealabil al responsabilului cu autorizarea, în conformitate cu Regulamentul (CE, Euratom) nr. 1605/2002 al Consiliului din 25 iunie 2002 privind Regulamentul financiar aplicabil bugetului general al Comunităților Europene (7) și cu normele de aplicare ale acestuia; (d) fără a aduce atingere îndatoririlor și competențelor AEPD, poate propune SGC măsuri administrative și poate emite recomandări generale privind aplicarea corespunzătoare a regulamentului; (e) în cazuri speciale, poate face orice altă recomandare SGC și/sau tuturor celorlalte părți în cauză, în vederea îmbunătățirii practice a protecției datelor; (f) poate aduce în atenția Autorității de numire a SGC orice situație în care un membru al personalului nu își îndeplinește obligațiile ce îi revin în conformitate cu regulamentul și poate propune declanșarea unei investigații administrative, în vederea eventualei aplicări a articolului 49 din regulament.

Articolul 7

Resurse I se asigură RPD personalul și resursele necesare îndeplinirii îndatoririlor sale. SECȚIUNEA 3 DREPTURILE ȘI OBLIGAȚIILE PERSOANELOR DIN DOMENIUL PROTECȚIEI DATELOR

Articolul 8

Autoritatea de numire (1) În cazul unei plângeri, în sensul articolului 90 din Statutul funcționarilor, cu privire la o încălcare a regulamentului, Autoritatea de numire se consultă cu RPD, care ar trebui să-și dea avizul în scris, în termen de 15 zile de la primirea cererii. În cazul în care, la expirarea acestui termen, RPD nu și-a prezentat avizul Autorității de numire, avizul nu mai este necesar. Avizul RPD nu este obligatoriu pentru Autoritatea de numire. (2) RPD este informat cu privire la orice problemă care este supusă analizei și care are sau ar putea avea implicații în ceea ce privește protecția datelor.

Articolul 9

Operatorii (1) Operatorii au obligația de a asigura conformitatea cu regulamentul a tuturor operațiunilor de prelucrare pe care le controlează. (2) În special, operatorii: (a) notifică în avans RPD în legătură cu orice operațiune de prelucrare sau serie de prelucrări destinate unuia sau mai multor scopuri asemănătoare, precum și despre orice modificare substanțială a unei operațiuni de prelucrare existente. Operatorul notifică fără întârziere operațiunile de prelucrare realizate înaintea intrării în vigoare a regulamentului, la 1 februarie 2001; (b) acordă asistență RPD și AEPD în îndeplinirea îndatoririlor lor, în special prin furnizarea de informații, răspunzând cererilor acestora, în termen de cel mult 30 de zile; (c) pune în aplicare măsurile tehnice și organizatorice adecvate și dă instrucțiuni corespunzătoare personalului SGC, pentru a asigura atât confidențialitatea prelucrării, cât și un nivel de securitate care să corespundă riscurilor prezentate de prelucrare; (d) după caz, se consultă cu RPD cu privire la conformitatea operațiunilor de prelucrare cu regulamentul, în special atunci când aceștia au motive să considere că anumite operațiuni de prelucrare sunt incompatibile cu articolele 4-10 din regulament. De asemenea, operatorii se pot consulta cu RPD și/sau experții în securitatea tehnologiei informațiilor din Direcția Generală A, Biroul de securitate și Biroul de securitate a informațiilor (Infosec) în probleme legate de confidențialitatea operațiunilor de prelucrare și de măsurile de securitate luate în conformitate cu articolul 22 din regulament.

Articolul 10

Persoane de contact (1) Fără a aduce atingere responsabilităților RPD, persoana de contact: (a) acordă asistență Direcției Generale sau Direcției sale, menținând un inventar al tuturor prelucrărilor de date cu caracter personal aflate în curs; (b) acordă asistență Direcției Generale sau Direcției sale pentru identificarea operatorilor respectivi; (c) are dreptul de a obține de la operatori și de la personal informații adecvate, necesare pentru a-și îndeplini sarcinile administrative în cadrul Direcției Generale sau Unității sale. Acest drept nu include dreptul de acces la datele cu caracter personal a căror prelucrare intră în responsabilitatea operatorului. (2) Fără a aduce atingere responsabilităților operatorilor, persoana de contact: (a) acordă asistență operatorilor în îndeplinirea obligațiilor lor; (b) după caz, facilitează comunicarea dintre RPD și operatori.

Articolul 11

Personalul SGC (1) Toți membrii personalului SGC contribuie în special la aplicarea normelor de confidențialitate și securitate pentru prelucrarea datelor cu caracter personal, prevăzute în articolele 21 și 22 din regulament. Membrii personalului SGC care au acces la date cu caracter personal nu le pot prelucra decât pe baza instrucțiunilor operatorului, cu excepția cazului în care legislația internă sau comunitară prevede acest lucru. (2) Orice membru al personalului SGC poate depune o plângere la AEPD cu privire la o presupusă încălcare a dispozițiilor din regulament care reglementează prelucrarea datelor cu caracter personal, fără să se recurgă la căile oficiale, conform normelor stabilite de AEPD.

Articolul 12

Persoanele vizate (1) Pe lângă dreptul persoanelor vizate de a fi informate corespunzător asupra oricărei prelucrări de date cu caracter personal care le privesc, în conformitate cu articolele 11 și 12 din regulament, persoanele vizate pot solicita operatorului interesat să le exercite drepturile, în conformitate cu articolele 13-19 din regulament, după cum este prevăzut în secțiunea 5 din prezenta decizie. (2) Fără a aduce atingere căilor de atac, orice persoană vizată poate depune o plângere la AEPD, în cazul în care consideră că drepturile sale conform regulamentului au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal de către Consiliu, conform normelor stabilite de AEPD. (3) Nimeni nu suferă prejudicii din cauza unei plângeri depuse la AEPD sau din cauza unei probleme aduse la cunoștința RPD privind o presupusă încălcare a dispozițiilor regulamentului. SECȚIUNEA 4 REGISTRUL OPERAȚIUNILOR DE PRELUCRARE NOTIFICATE

Articolul 13

Procedura de notificare (1) Operatorul notifică RPD orice operațiune de prelucrare a datelor cu caracter personal, printr-un formular de notificare accesibil pe site-ul Intranet al SGC (Data Protection). Notificarea se transmite RPD prin mijloace electronice. O notificare de confirmare se trimite RPD în termen de 10 zile lucrătoare. La primirea notificării de confirmare, RPD o publică în registru. (2) Notificarea include toate informațiile prevăzute la articolul 25 alineatul (2) din regulament. RPD este notificat prompt despre orice modificare ce afectează aceste informații. (3) Normele și procedurile suplimentare privind procedura de notificare ce trebuie urmată de către operatori sunt incluse în recomandările generale emise de RPD.

Articolul 14

Conținutul și scopul registrului (1) RPD ține un registru al operațiunilor de prelucrare efectuate asupra unor date cu caracter personal, registru constituit pe baza notificărilor primite de la operatori. (2) Registrul conține cel puțin informațiile menționate la articolul 25 alineatul (2) literele (a)-(g) din regulament. Cu toate acestea, informațiile introduse în registru de către RPD pot fi limitate, în situații excepționale, atunci când acest lucru este necesar pentru asigurarea securității unei anumite operațiuni de prelucrare. (3) Registrul este utilizat ca un index al operațiunilor de prelucrare a datelor cu caracter personal efectuate la Consiliu. Registrul furnizează informații despre persoanele vizate și facilitează exercitarea drepturilor acestor persoane prevăzute la articolele 13-19 din regulament.

Articolul 15

Accesul la registru (1) RPD ia măsurile corespunzătoare pentru a asigura accesul oricărei persoane la registru, fie direct, fie indirect, prin intermediul AEPD. RPD furnizează în special informații și acordă asistență persoanelor în cauză cu privire la modul și locul în care se pot face cereri de acces la registru. (2) Cu excepția cazurilor în care se oferă acces on-line, cererile de acces la registru se fac în orice formă scrisă, inclusiv prin mijloace electronice, într-una dintre limbile menționate la articolul 314 din Tratat și în termeni suficient de preciși pentru a permite RPD să identifice operațiunile de prelucrare în cauză. Solicitantului i se trimite, fără întârziere, o confirmare de primire. (3) În cazul în care o cerere nu este suficient de precisă, RPD cere solicitantului să-și clarifice cererea și acordă asistență solicitantului în acest sens. În situația unei cereri ce se referă la un număr foarte mare de operațiuni de prelucrare, RPD poate iniția o discuție neoficială cu solicitantul, în vederea găsirii unei soluții juste. (4) Orice persoană poate solicita RPD o copie a informațiilor disponibile în registru cu privire la orice operațiune de prelucrare notificată. SECȚIUNEA 5 PROCEDURA DE EXERCITARE A DREPTURILOR DE CĂTRE PERSOANELE VIZATE

Articolul 16

Dispoziții generale (1) Drepturile persoanelor vizate prevăzute de prezenta secțiune se pot exercita numai de către persoanele în cauză sau, în cazuri excepționale, în numele persoanelor respective, prin prezentarea unei autorizări corespunzătoare. Cererile se adresează în scris operatorului în cauză, iar o copie se prezintă RPD. După caz, RPD acordă asistență persoanei vizate, în scopul identificării operatorului în cauză. RPD pune la dispoziție formulare specifice. Operatorii îndeplinesc cererea numai în cazul în care formularul a fost completat integral și identitatea reclamantului a fost verificată corespunzător. Persoanele vizate își exercită drepturile gratuit. (2) Operatorul trimite solicitantului o confirmare de primire, în termen de cinci zile lucrătoare de la înregistrarea cererii. În cazul în care nu există dispoziții contrare, operatorul răspunde cererii în termen de cel mult cincisprezece zile lucrătoare de la înregistrarea cererii și fie satisface cererea, fie declară în scris motivele pentru care o respinge, total sau parțial, în special în cazurile în care solicitantul nu este considerat persoană vizată. (3) În cazul unor nereguli sau atunci când persoana vizată utilizează datele într-un mod evident greșit în exercitarea drepturilor sale și când persoana vizată contestă legalitatea prelucrării, operatorul trebuie să se consulte cu RPD în privința cererii și/sau să îndrume persoana vizată către RPD, care decide cu privire la admisibilitatea cererii și la răspunsul adecvat ce se dă acesteia. (4) Orice persoană în cauză se poate consulta cu RPD în privința exercitării drepturilor sale într-un anumit caz. Fără a aduce atingere căilor de atac, orice persoană vizată poate depune o plângere la AEPD, în cazul în care, în opinia sa, drepturile pe care le are în conformitate cu regulamentul au fost încălcate ca rezultat al prelucrării datelor sale personale.

Articolul 17

Dreptul de acces Persoana vizată are dreptul de a obține de la operator, fără constrângere, în orice moment într-un interval de trei luni de la primirea cererii, informațiile menționate la articolul 13 literele (a)-(d) din regulament, fie consultând aceste date la fața locului, fie primind o copie, inclusiv, după caz, o copie în format electronic, conform preferinței solicitantului.

Articolul 18

Dreptul de rectificare Cererile de rectificare a datelor cu caracter personal inexacte sau incomplete prezentate de persoanele vizate specifică datele respective, precum și rectificarea ce trebuie făcută. Cererile se soluționează fără întârziere de către operator.

Articolul 19

Dreptul de blocare Operatorul se ocupă fără întârziere de fiecare cerere de blocare a datelor, în conformitate cu articolul 15 din regulament. În cerere sunt specificate datele respective, precum și motivele pentru blocarea acestora. Înainte ca datele să fie deblocate, operatorul informează în acest sens persoana vizată care a făcut cererea.

Articolul 20

Dreptul de ștergere Persoana vizată poate solicita operatorului să șteargă fără întârziere datele a căror prelucrare este ilegală, în special atunci când sunt încălcate dispozițiile articolelor 4-10. În cerere sunt specificate datele respective, precum și motivele sau dovada că prelucrarea este ilegală. În sistemele de prelucrare automată, ștergerea se asigură, în principiu, prin toate mijloacele tehnice adecvate, pentru a se exclude posibilitatea oricărei prelucrări ulterioare a datelor șterse. În cazul în care, din motive tehnice, ștergerea nu este posibilă, operatorul procedează la blocarea imediată a datelor, după ce se consultă cu RPD și cu persoana interesată.

Articolul 21

Notificarea terților În cazul unei rectificări, blocări sau ștergeri realizate la cererea persoanei vizate, aceasta are dreptul de a cere operatorului să notifice în acest sens terții cărora le-au fost dezvăluite datele, cu excepția cazului în care acest lucru este imposibil sau presupune un efort disproporționat.

Articolul 22

Dreptul la opoziție Persoana vizată poate să se opună prelucrării datelor ce o privesc, precum și comunicării sau utilizării datelor sale personale, în conformitate cu articolul 18 din regulament. În cerere sunt specificate datele respective, precum și motivele pe care se întemeiază cererea. În cazul în care opoziția este justificată, prelucrarea în cauză nu mai poate implica aceste date.

Articolul 23

Deciziile individuale automatizate Persoana vizată are dreptul de a nu se supune unei decizii individuale automatizate, precum cele prevăzute la articolul 19 din regulament, cu excepția cazului în care decizia este autorizată în mod expres în temeiul legislației interne sau comunitare sau printr-o decizie AEPD de protejare a intereselor legitime ale persoanei vizate. În ambele cazuri, persoana vizată are ocazia de a-și exprima în prealabil punctul de vedere și de a se consulta cu RPD.

Articolul 24

Excepții și restricții (1) În măsura în care acest lucru este justificat în mod clar de motive legitime, precum cele specificate la articolul 20 din regulament, operatorul poate limita drepturile menționate la articolele 17-21 din prezenta decizie. Cu excepția unor cazuri de absolută necesitate, operatorul se consultă în prealabil cu RPD, al cărui aviz nu este obligatoriu pentru instituție. Operatorul răspunde fără întârziere cererilor privind aplicarea de excepții sau restricții în exercitarea drepturilor și își argumentează decizia. (2) Persoanele în cauză pot solicita AEPD să aplice articolul 47 alineatul (1) litera (c) din regulament. SECȚIUNEA 6 PROCEDURA DE INVESTIGARE

Articolul 25

Modalități practice (1) Cererile pentru declanșarea unei investigații se adresează în scris RPD, utilizându-se un formular special pus la dispoziție de acesta. În cazul în care dreptul de a solicita o investigație este exercitat într-un mod evident greșit, de exemplu atunci când aceeași persoană a făcut recent o cerere identică, RPD nu este obligat să răspundă solicitantului. (2) În termen de 15 zile de la primirea cererii, RPD trimite o confirmare de primire Autorității de numire sau persoanei care a solicitat investigația și verifică dacă cererea este tratată ca fiind confidențială. (3) RPD solicită operatorului care este responsabil cu respectiva operațiune de prelucrare a datelor o declarație scrisă asupra problemei. Operatorul transmite RPD răspunsul său în termen de 15 zile. RPD își poate exprima dorința de a primi informații suplimentare de la alte părți, precum Biroul de securitate și Biroul de securitate a informațiilor (Infosec) din cadrul SGC. După caz, RPD poate solicita un aviz asupra problemei din partea Serviciului juridic al Consiliului. RPD trebuie să primească informațiile sau avizul în termen de 30 de zile. (4) RPD raportează Autorității de numire sau persoanei care a făcut cererea, în termen de cel mult trei luni de la primirea acesteia. SECȚIUNEA 7 DISPOZIȚII FINALE

Articolul 26

Efect Prezenta decizie produce efecte din ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene.