Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului

(1) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal reprezintă un drept fundamental. Articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene (Carta) și articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene (TFUE) prevăd dreptul oricărei persoane la protecția datelor cu caracter personal care o privesc.

(2) Principiile și normele referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal ar trebui, indiferent de cetățenia sau de locul de reședință al persoanelor fizice, să respecte drepturile și libertățile fundamentale ale acestora, în special dreptul la protecția datelor cu caracter personal. Prezenta directivă urmărește să contribuie la realizarea unui spațiu de libertate, securitate și justiție.

(3) Evoluțiile tehnologice rapide și globalizarea au generat noi provocări pentru protecția datelor cu caracter personal. Amploarea colectării și a schimbului de date cu caracter personal a crescut în mod semnificativ. Tehnologia permite prelucrarea datelor cu caracter personal la un nivel fără precedent în cadrul activităților precum prevenirea, depistarea, investigarea sau urmărirea penală a infracțiunilor ori executarea pedepselor.

(4) Libera circulație a datelor cu caracter personal între autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora în cadrul Uniunii, și transferul de astfel de date cu caracter personal către țări terțe și organizații internaționale, ar trebui facilitate asigurând, totodată, un nivel ridicat de protecție a datelor cu caracter personal. Aceste evoluții impun realizarea unui cadru solid și mai coerent în materie de protecție a datelor cu caracter personal în Uniune, însoțit de o aplicare riguroasă a normelor.

(5) Directiva 95/46/CE a Parlamentului European și a Consiliului (3) se aplică oricărei prelucrări de date cu caracter personal în statele membre, atât în sectorul public, cât și în cel privat. Cu toate acestea, directiva menționată nu se aplică prelucrării datelor cu caracter personal în cursul exercitării unei activității care nu se înscrie în domeniul de aplicare a dreptului comunitar, cum sunt activitățile în domeniul cooperării judiciare în materie penală și al cooperării polițienești.

(6) Decizia-cadru 2008/977/JAI a Consiliului (4) se aplică în domeniul cooperării judiciare în materie penală și al cooperării polițienești. Domeniul de aplicare a deciziei-cadru menționate este limitat la prelucrarea datelor cu caracter personal transmise sau puse la dispoziție între statele membre.

(7) Asigurarea unui nivel omogen și ridicat de protecție a datelor cu caracter personal ale persoanelor fizice și facilitarea schimbului de date cu caracter personal între autoritățile competente ale statelor membre sunt esențiale pentru a se garanta eficacitatea cooperării judiciare în materie penală și a cooperării polițienești. În acest scop, nivelul de protecție a drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora, ar trebui să fie echivalent în toate statele membre. Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea drepturilor persoanelor vizate și a obligațiilor celor care prelucrează date cu caracter personal, ci și competențe echivalente pentru monitorizarea și asigurarea conformității cu normele în materie de protecție a datelor cu caracter personal în statele membre.

(8) Articolul 16 alineatul (2) din TFUE mandatează Parlamentul European și Consiliul să stabilească normele privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal, precum și normele privind libera circulație a acestor date.

(9) Pe această bază, Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (5) stabilește normele generale pentru protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și garantarea liberei circulații a acestor date în cadrul Uniunii.

(10) În Declarația nr. 21 cu privire la protecția datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești, anexată la actul final al Conferinței interguvernamentale care a adoptat Tratatul de la Lisabona, conferința a recunoscut că s-ar putea dovedi necesare norme specifice privind protecția datelor cu caracter personal și libera circulație a datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești în temeiul articolului 16 din TFUE, având în vedere natura specifică a acestor domenii.

(11) Prin urmare, domeniile menționate ar trebui să fie reglementate printr-o directivă care să stabilească norme specifice privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora, cu respectarea naturii speciale a activităților în cauză. Pot reprezenta astfel de autorități competente nu numai autoritățile publice, precum autoritățile judiciare, poliția sau alte autorități de aplicare a legii, ci și orice alt organism sau altă entitate însărcinată prin dreptul intern să exercite autoritatea publică și competențe publice în sensul prezentei directive. În cazul în care un astfel de organism sau de entitate prelucrează date cu caracter personal în alte scopuri decât cele urmărite de prezenta directivă, se aplică Regulamentul (UE) 2016/679. Regulamentul (UE) 2016/679 se aplică, prin urmare, în cazurile în care un organism sau o entitate colectează date cu caracter personal în alte scopuri și ulterior prelucrează datele cu caracter personal respective în vederea respectării unei obligații legale care îi revine. De exemplu, în scopul depistării, investigării sau urmăririi infracțiunilor, instituțiile financiare păstrează anumite date cu caracter personal care sunt prelucrate de către acestea și furnizează datele cu caracter personal respective numai autorităților naționale competente în cazuri specifice și în conformitate cu dreptul intern. Unui organism sau entități care prelucrează date cu caracter personal în numele acestor autorități, în cadrul domeniului de aplicare al prezentei directive, ar trebui să îi revină obligații în temeiul unui contract sau al altui act juridic și al dispozițiilor aplicabile persoanelor împuternicite de către operatori în conformitate cu prezenta directivă, fără ca prin aceasta să se aducă atingere aplicării Regulamentului (UE) 2016/679 în ceea ce privește prelucrarea datelor cu caracter personal de către persoana împuternicită de către operator, atunci când această prelucrare nu intră sub incidența prezentei directive.

(12) Activitățile desfășurate de poliție sau de alte autorități de aplicare a legii, inclusiv activitățile polițienești desfășurate fără a cunoaște dinainte dacă un incident constituie o infracțiune, se concentrează în principal asupra prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor. Activitățile respective pot include, de asemenea, exercitarea autorității prin aplicarea unor măsuri coercitive, precum activitățile polițienești desfășurate cu ocazia unor manifestații, evenimente sportive majore și revolte. De asemenea, activitățile menționate includ menținerea legii și ordinii ca atribuții ale poliției sau ale altor autorități de aplicare a legii atunci când aceasta se impune pentru a se asigura protecția împotriva amenințărilor la adresa securității publice și la adresa intereselor fundamentale ale societății protejate prin lege și pentru prevenirea acestor amenințări, care pot conduce la o infracțiune. Statele membre pot încredința autorităților competente alte sarcini care nu sunt neapărat îndeplinite în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora, astfel încât prelucrarea datelor cu caracter personal în aceste alte scopuri, în măsura în care se circumscriu domeniului de aplicare al dreptului Uniunii, intră sub incidența Regulamentului (UE) 2016/679.

(13) Noțiunea de infracțiune, în sensul prezentei directive, ar trebui să constituie o noțiune autonomă de drept al Uniunii astfel cum este interpretat de Curtea de Justiție a Uniunii Europene („Curtea de Justiție”).

(14) Având în vedere că prezenta directivă nu ar trebui să se aplice prelucrării datelor cu caracter personal în cadrul unei activități care nu intră sub incidența dreptului Uniunii, activitățile privind securitatea națională, activitățile agențiilor sau ale unităților specializate pe probleme de securitate națională și prelucrarea datelor cu caracter personal de către statele membre atunci când acestea desfășoară activități circumscrise domeniului de aplicare al titlului V capitolul 2 din Tratatul privind Uniunea Europeană (TUE) nu ar trebui să fie considerate activități care se încadrează în domeniul de aplicare al prezentei directive.

(15) În vederea asigurării aceluiași nivel de protecție pentru persoanele fizice prin drepturi garantate din punct de vedere juridic în întreaga Uniune și a preîntâmpinării discrepanțelor care împiedică schimbul de date cu caracter personal între autoritățile competente, prezenta directivă ar trebui să prevadă norme armonizate pentru protecția și libera circulație a datelor cu caracter personal prelucrate în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora. Armonizarea drepturilor statelor membre nu ar trebui să aibă ca rezultat diminuarea nivelului de protecție a datelor cu caracter personal pe care îl oferă statele respective, ci ar trebui, dimpotrivă, să urmărească să asigure un înalt nivel de protecție în cadrul Uniunii. Statele membre nu ar trebui să fie împiedicate să prevadă garanții mai mari decât cele stabilite în prezenta directivă pentru protecția drepturilor și libertăților persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente.

(16) Prezenta directivă nu aduce atingere principiului accesului publicului la documente oficiale. În temeiul Regulamentului (UE) 2016/679, datele cu caracter personal din documentele oficiale deținute de o autoritate publică sau de un organism public sau privat pentru îndeplinirea unei atribuții de interes public pot fi divulgate de autoritatea sau organismul respectiv în conformitate cu dreptul Uniunii sau cu dreptul intern sub incidența căruia intră autoritatea sau organismul, pentru a stabili un echilibru între accesul public la documente oficiale și dreptul la protecția datelor cu caracter personal.

(17) Protecția conferită de prezenta directivă ar trebui să vizeze persoanele fizice, indiferent de cetățenia sau de locul de reședință al acestora, în ceea ce privește prelucrarea datelor cu caracter personal ale acestora.

(18) Pentru a preîntâmpina un risc serios de eludare, protecția persoanelor fizice ar trebui să fie neutră din punct de vedere tehnologic și nu ar trebui să depindă de tehnicile utilizate. Protecția persoanelor fizice ar trebui să se aplice în ceea ce privește prelucrarea datelor cu caracter personal prin mijloace automate, precum și prelucrarea manuală, în cazul în care datele cu caracter personal sunt cuprinse sau destinate să fie cuprinse într-un sistem de evidență. Dosarele sau seturile de dosare, precum și copertele acestora, care nu sunt structurate în conformitate cu criterii specifice, nu ar trebui să intre sub incidența prezentei directive.

(19) Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului (6) se aplică prelucrării datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii. Regulamentul (CE) nr. 45/2001 și alte acte juridice ale Uniunii aplicabile unei asemenea prelucrări a datelor cu caracter personal ar trebui adaptate la principiile și normele stabilite prin Regulamentul (UE) 2016/679.

(20) Prezenta directivă nu împiedică statele membre să precizeze operațiunile și procedurile de prelucrare în normele naționale privind procedurile penale în ceea ce privește prelucrarea datelor cu caracter personal de către instanțe și alte autorități judiciare, în special în ceea ce privește datele cu caracter personal conținute într-o hotărâre judecătorească sau în înregistrările legate de proceduri penale.

(21) Principiile protecției datelor ar trebui să se aplice oricărei informații referitoare la o persoană fizică identificată sau identificabilă. Pentru a se determina dacă o persoană fizică este identificabilă, ar trebui să se ia în considerare toate mijloacele, cum ar fi individualizarea, pe care este probabil, în mod rezonabil, să le utilizeze fie operatorul, fie o altă persoană în scopul identificării, în mod direct sau indirect, a persoanei fizice respective. Pentru a se determina dacă este probabil, în mod rezonabil, să fie utilizate mijloace în scopul identificării persoanei fizice, ar trebui luați în considerare toți factorii obiectivi, precum costurile și intervalul de timp necesare pentru identificare, ținându-se seama de tehnologia disponibilă la momentul prelucrării și de dezvoltarea tehnologică. Principiile protecției datelor ar trebui, prin urmare, să nu se aplice informațiilor anonime, adică informațiilor care nu sunt legate de o persoană fizică identificată sau identificabilă, sau datelor cu caracter personal care sunt anonimizate astfel încât persoana vizată nu mai este identificabilă.

(22) Autoritățile publice cărora le sunt divulgate date cu caracter personal în conformitate cu o obligație legală pentru exercitarea misiunii lor oficiale, cum ar fi autoritățile fiscale și vamale, unitățile de investigare financiară, autoritățile administrative independente sau autoritățile piețelor financiare, responsabile de reglementarea și de supravegherea piețelor valorilor mobiliare, nu ar trebui să fie considerate drept destinatari în cazul în care primesc date cu caracter personal care sunt necesare pentru desfășurarea unei anumite anchete de interes general, în conformitate cu dreptul Uniunii sau cu dreptul intern. Cererile de divulgare transmise de autoritățile publice ar trebui să se facă întotdeauna în scris, să fie motivate și ocazionale și nu ar trebui să se refere la totalitatea unui sistem de evidență sau să conducă la interconectarea sistemelor de evidență. Prelucrarea datelor cu caracter personal de către respectivele autorități publice ar trebui să respecte normele aplicabile privind protecția datelor, în conformitate cu scopurile prelucrării.

(23) Datele genetice ar trebui definite drept date cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane fizice, care oferă informații unice despre fiziologia sau starea de sănătate a persoanei respective, și care rezultă în urma unei analize a unei mostre de material biologic al persoanei fizice în cauză, în special a analizei cromozomiale, a unei analize a acidului dezoxiribonucleic (ADN) sau a acidului ribonucleic (ARN) sau în urma analizei oricărui alt element care permite obținerea unor informații echivalente. Având în vedere complexitatea și sensibilitatea informațiilor genetice, există un risc ridicat de utilizare abuzivă și de reutilizare în diverse scopuri neautorizate de către operator. Orice discriminare bazată pe caracteristici genetice ar trebui să fie, în principiu, interzisă.

(24) Datele cu caracter personal privind sănătatea ar trebui să includă toate datele având legătură cu starea de sănătate a persoanei vizate, care să dezvăluie informații despre starea de sănătate fizică sau mentală trecută, prezentă sau viitoare a persoanei vizate. Acestea includ informații privind persoana fizică colectate în cursul înscrierii acesteia la serviciile de asistență medicală sau în cadrul acordării serviciilor respective persoanei fizice în cauză, astfel cum sunt menționate în Directiva 2011/24/UE a Parlamentului European și a Consiliului (7); un număr, un simbol sau un semn distinctiv atribuit unei persoane fizice pentru identificarea singulară a acesteia în scopuri medicale; informații rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale, inclusiv din date genetice și eșantioane de material biologic; precum și orice informații privind, de exemplu, o boală, un handicap, un risc de îmbolnăvire, istoricul medical, tratamentul clinic sau starea fiziologică sau biomedicală a persoanei vizate, indiferent de sursa acestora, ca de exemplu, un medic sau un alt cadru medical, un spital, un dispozitiv medical sau un test de diagnostic in vitro.

(25) Toate statele membre sunt afiliate la Organizația Internațională de Poliție Criminală (Interpol). Pentru a-și îndeplini misiunea, Interpol primește, stochează și difuzează date cu caracter personal pentru a ajuta autoritățile competente să prevină și să combată criminalitatea internațională. Prin urmare, este adecvat să se consolideze cooperarea dintre Uniune și Interpol prin promovarea unui schimb eficient de date cu caracter personal, asigurând, în același timp, respectarea drepturilor și libertăților fundamentale în ceea ce privește prelucrarea automată a datelor cu caracter personal. Atunci când se transferă date cu caracter personal din Uniune către Interpol și către țările care au membri delegați la Interpol, ar trebui să se aplice prezenta directivă, în special dispozițiile privind transferurile internaționale. Prezenta directivă nu ar trebui să aducă atingere normelor specifice stabilite în Poziția comună 2005/69/JAI a Consiliului (8) și în Decizia 2007/533/JAI a Consiliului (9).

(26) Orice prelucrare a datelor cu caracter personal trebuie să fie legală, echitabilă și transparentă față de persoanele fizice în cauză, iar prelucrarea trebuie să fie făcută numai pentru scopuri specifice prevăzute de lege. Acest lucru nu împiedică, în sine, autoritățile de aplicare a legii să desfășoare activități precum investigațiile sub acoperire sau supravegherea video. Aceste activități pot fi întreprinse în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protecției împotriva fraudei și al prevenirii amenințărilor la adresa securității publice, în măsura în care sunt prevăzute de lege și constituie o măsură necesară și proporțională într-o societate democratică, ținându-se seama în mod corespunzător de interesele legitime ale respectivei persoane fizice. Principiul prelucrării echitabile a datelor din domeniul protecției datelor cu caracter personal este o noțiune distinctă de dreptul la un proces echitabil, astfel cum este definit la articolul 47 din Cartă și la articolul 6 din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale (CEDO). Persoanele fizice ar trebui să fie informate cu privire la riscurile, normele, garanțiile și drepturile în materie de prelucrare a datelor acestora cu caracter personal și cu privire la modul în care să își exercite drepturile respective. În special, scopurile specifice în care datele cu caracter personal sunt prelucrate ar trebui să fie explicite și legitime și să fie determinate la momentul colectării datelor. Datele cu caracter personal ar trebui să fie adecvate și relevante pentru scopurile în care sunt prelucrate. În special, ar trebui să se asigure faptul că datele cu caracter personal colectate nu sunt excesive și că nu sunt stocate mai mult timp decât este necesar pentru îndeplinirea scopului în care sunt prelucrate. Datele cu caracter personal ar trebui prelucrate doar în cazul în care scopul prelucrării nu poate fi îndeplinit, în mod rezonabil, prin alte mijloace. În vederea asigurării faptului că datele nu sunt păstrate mai mult timp decât este necesar, ar trebui să se stabilească de către operator termene pentru ștergere sau revizuire periodică. Statele membre ar trebui să stabilească garanții adecvate pentru datele cu caracter personal care sunt stocate pe o perioadă mai lungă, în scopuri de arhivare în interes public sau în scopuri științifice, statistice sau istorice.

(27) Pentru prevenirea, investigarea și urmărirea penală a infracțiunilor, autoritățile competente trebuie să prelucreze datele cu caracter personal colectate în contextul prevenirii, depistării, investigării sau urmăririi penale a anumitor infracțiuni dincolo de acest context pentru a înțelege mai bine activitățile infracționale și pentru a face legături între diferitele infracțiuni detectate.

(28) În vederea menținerii securității în ceea ce privește prelucrarea și a prevenirii prelucrărilor care nu respectă prezenta directivă, datele cu caracter personal ar trebui prelucrate într-un mod care să asigure un nivel corespunzător de securitate și confidențialitate, inclusiv prin prevenirea accesului neautorizat la acestea sau a utilizării neautorizate a datelor și a echipamentului utilizat pentru prelucrare și luând în considerare stadiul actual al tehnologiei disponibile, costurile punerii acesteia în aplicare în raport cu riscurile și natura datelor cu caracter personal a căror protecție trebuie asigurată.

(29) Colectarea datelor cu caracter personal ar trebui să fie efectuată în scopuri determinate, explicite și legitime în cadrul domeniului de aplicare al prezentei directive, iar prelucrarea acestora nu ar trebui să se facă în scopuri care sunt incompatibile cu obiectivele prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau ale executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora. În cazul în care datele cu caracter personal sunt prelucrate de către același sau de către un alt operator într-un scop care se încadrează în domeniul de aplicare al prezentei directive, dar este diferit de scopul în care au fost colectate, o astfel de prelucrare ar trebui să fie permisă cu condiția ca o astfel de prelucrare să fie autorizată în conformitate cu dispozițiile legale aplicabile și este necesară și proporțională în raport cu acest alt scop.

(30) Principiul exactității datelor ar trebui aplicat luând în considerare natura și scopul prelucrării în cauză. În special în cadrul procedurilor judiciare, declarațiile care conțin date cu caracter personal se bazează pe o percepție subiectivă a persoanelor fizice și nu sunt întotdeauna verificabile. În consecință, acest principiu nu ar trebui să se aplice exactității unei declarații, ci doar faptului că o anumită declarație a fost făcută.

(31) Prelucrarea datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești presupune prelucrarea datelor cu caracter personal referitoare la diferite categorii de persoane. Prin urmare, ar trebui să se facă o distincție clară, după caz și în măsura posibilului, între datele cu caracter personal ale diferitelor categorii de persoane vizate, cum ar fi suspecții, persoanele condamnate pentru comiterea unei infracțiuni, victimele și alte părți, cum ar fi martorii, persoanele care dețin informații sau contacte relevante și complicii suspecților și ai infractorilor condamnați. Acest lucru nu ar trebui să împiedice aplicarea dreptului la prezumția de nevinovăție, astfel cum este garantat de Cartă și de CEDO, după cum a fost interpretat de jurisprudența Curții de Justiție și, respectiv, a Curții Europene a Drepturilor Omului.

(32) Autoritățile competente ar trebui să se asigure că nu se transmit sau nu se pun la dispoziție date cu caracter personal care sunt inexacte, incomplete sau nu mai sunt actuale. Pentru a asigura protecția persoanelor fizice și exactitatea, caracterul integral sau gradul de actualitate și fiabilitatea datelor cu caracter personal transmise sau puse la dispoziție, autoritățile competente ar trebui, pe cât posibil, să adauge informațiile necesare în toate transmiterile de date cu caracter personal.

(33) Atunci când prezenta directivă face trimitere la dreptul intern, la un temei juridic sau la o măsură legislativă, aceasta nu necesită neapărat un act legislativ adoptat de către un parlament, fără a aduce atingere cerințelor care decurg din ordinea constituțională a statului membru în cauză. Cu toate acestea, dreptul intern, temeiul juridic sau măsura legislativă în cauză ar trebui să fie clare și precise, iar aplicarea să fie previzibilă destinatarilor, în conformitate cu jurisprudența Curții de Justiție și a Curții Europene a Drepturilor Omului. Dreptul intern care reglementează prelucrarea datelor cu caracter personal din domeniul de aplicare al prezentei directive ar trebui să precizeze cel puțin obiectivele, datele cu caracter personal care urmează a fi prelucrate, scopurile prelucrării și procedurile de păstrare a integrității și a confidențialității datelor cu caracter personal și procedurile de distrugere a acestora, oferind astfel garanții suficiente împotriva riscurilor de abuzuri și de arbitrar.

(34) Prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora, ar trebui să acopere orice operațiune sau serie de operațiuni care se efectuează asupra datelor cu caracter personal sau seturilor de date cu caracter personal în aceste scopuri efectuată prin mijloace automate sau în alt mod, precum colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, alinierea sau combinarea, restricționarea prelucrării, ștergerea sau distrugerea. În special, normele din prezenta directivă ar trebui să se aplice transmiterii datelor cu caracter personal în sensul prezentei directive către un destinatar care nu face obiectul prezentei directive. Un astfel de destinatar ar trebui să includă o persoană fizică sau juridică, o autoritate publică, o agenție sau orice alt organ căruia îi sunt divulgate în mod legal datele cu caracter personal de către autoritățile competente. În cazul în care datele cu caracter personal au fost inițial colectate de către o autoritate competentă în unul dintre scopurile prezentei directive, Regulamentul (UE) 2016/679 ar trebui să se aplice prelucrării acestor date în alte scopuri decât cele ale prezentei directive atunci când o astfel de prelucrare este autorizată de dreptul Uniunii sau de dreptul intern. În special, normele din Regulamentul (UE) 2016/679 ar trebui să se aplice la transmiterea de date cu caracter personal în scopuri care nu intră sub incidența prezentei directive. Prelucrarea datelor cu caracter personal de către un destinatar care nu este sau nu acționează în calitate de autoritate competentă în sensul prezentei directive și căruia îi sunt divulgate în mod legal date cu caracter personal de către o autoritate competentă, ar trebui să intre sub incidența Regulamentului (UE) 2016/679. La punerea în aplicare a prezentei directive, statele membre ar trebui, de asemenea, să poată aduce precizări suplimentare cu privire la aplicarea normelor din Regulamentul (UE) 2016/679, sub rezerva condițiilor prevăzute în regulamentul respectiv.

(35) Pentru a fi legală, prelucrarea datelor cu caracter personal în temeiul prezentei directive ar trebui să fie necesară pentru îndeplinirea unei atribuții de interes public de către o autoritate competentă în temeiul dreptului Uniunii sau al dreptului intern, în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora. Aceste activități ar trebui să acopere protejarea intereselor vitale ale persoanei vizate. Îndeplinirea sarcinilor de prevenire, depistare, investigare sau urmărire penală a infracțiunilor, conferită în mod instituțional prin lege autorităților competente, le permite acestora să solicite sau să impună persoanelor fizice să respecte cerințele formulate. În acest caz, consimțământul persoanei vizate, astfel cum este definit în Regulamentul (UE) 2016/679, nu ar trebui să constituie un temei juridic pentru prelucrarea datelor cu caracter personal de către autoritățile competente. În cazul în care i se solicită persoanei vizate să respecte o obligație legală, persoana vizată nu dispune cu adevărat de libertatea de alegere, astfel încât reacția persoanei vizate nu poate fi considerată ca o manifestare liberă a voinței sale. Acest lucru nu ar trebui să împiedice statele membre să prevadă prin lege că persoana vizată poate accepta prelucrarea datelor sale cu caracter personal în scopurile prezentei directive, cum ar fi testele ADN în anchetele penale sau monitorizarea localizării persoanei vizate prin dispozitive electronice pentru executarea pedepselor.

(36) Statele membre ar trebui să prevadă că, în cazul în care dreptul Uniunii sau dreptul intern aplicabil autorității competente care a transmis datele prevede condiții specifice aplicabile în situații specifice prelucrării datelor cu caracter personal, cum ar fi folosirea unor coduri de utilizare, autoritatea competentă care a transmis datele ar trebui să informeze destinatarul respectivelor date cu caracter personal cu privire la astfel de condiții și obligația de a le respecta. Astfel de condiții ar putea include, de exemplu, interdicția de a transmite datele cu caracter personal altor destinatari sau de a le utiliza în alte scopuri decât cele pentru care au fost transmise destinatarului, sau de a informa persoana vizată în cazul unei limitări a dreptului la informare fără aprobarea prealabilă a autorității competente care a transmis datele. Obligațiile menționate ar trebui să se aplice, de asemenea, transferurilor realizate de autoritatea competentă care a transmis datele către destinatari din țări terțe sau către organizații internaționale. Statele membre ar trebui să garanteze neaplicarea de către autoritatea competentă care a transmis datele nu aplică în cazul destinatarilor din alte state membre sau în cazul agențiilor, oficiilor și organelor instituite în conformitate cu titlul V capitolele 4 și 5 din TFUE, alte condiții decât cele aplicabile transmiterii similare de date în statul membru al autorității competente respective.

(37) Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale necesită o protecție specifică, deoarece contextul prelucrării acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale. Aceste date cu caracter personal ar trebui să includă datele cu caracter personal care dezvăluie originea rasială sau etnică, utilizarea termenului „origine rasială” în prezenta directivă neimplicând o acceptare de către Uniune a teoriilor care urmăresc să stabilească existența unor rase umane separate. Asemenea date cu caracter personal nu ar trebui prelucrate, cu excepția cazului în care prelucrarea face obiectul unor garanții adecvate pentru drepturile și libertățile persoanei vizate prevăzute de lege și este autorizată în cazuri prevăzute de lege; dacă nu este deja autorizată de o astfel de lege, prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane; sau prelucrarea se referă la date care sunt făcute publice în mod manifest de către persoana vizată. Garanțiile adecvate pentru drepturile și libertățile persoanei vizate ar putea include posibilitatea de a colecta aceste date numai în legătură cu alte date referitoare la persoana fizică respectivă, posibilitatea de a garanta în mod adecvat datele colectate, reguli mai stricte privind accesul la date al personalului autorității competente și interzicerea transmiterii datelor respective. Prelucrarea unor astfel de date ar trebui, de asemenea, să fie permisă de lege, atunci când persoana vizată a fost de acord în mod explicit, în cazurile în care prelucrarea este deosebit de intruzivă pentru aceasta. Cu toate acestea, consimțământul persoanei vizate nu ar trebui să constituie, în sine, un temei juridic pentru prelucrarea unor astfel de date sensibile cu caracter personal de către autoritățile competente.

(38) Persoana vizată ar trebui să aibă dreptul de a nu face obiectul unei decizii care evaluează aspecte cu caracter personal referitoare la propria persoană, care se bazează exclusiv pe prelucrarea automată și care produce efecte juridice negative care privesc propria persoană sau o afectează în mod semnificativ. În orice caz, o astfel de prelucrare ar trebui să facă obiectul unor garanții corespunzătoare, inclusiv o informare specifică a persoanei vizate și dreptul acesteia de a obține intervenție umană, în special de a-și exprima punctul de vedere, de a primi o explicație privind decizia luată în urma unei astfel de evaluări sau de a contesta decizia. Crearea de profiluri care are drept rezultat discriminarea persoanelor fizice pe baza datelor cu caracter personal care sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale este interzisă în condițiile prevăzute la articolele 21 și 52 din Cartă.

(39) Pentru ca persoana vizată să își poată exercita drepturile, toate informațiile adresate persoanei vizate ar trebui să fie ușor accesibile, inclusiv pe site-ul internet al operatorului, și ușor de înțeles, fiind necesar ca limbajul folosit să fie simplu și clar. Respectivele informații ar trebui să fie adaptate la nevoile persoanelor vulnerabile, cum ar fi copiii.

(40) Ar trebui să fie prevăzute modalități de facilitare a exercitării de către persoana vizată a drepturilor care îi sunt conferite prin dispozițiile adoptate în temeiul prezentei directive, inclusiv mecanismele prin care aceasta poate solicita și, după caz obține, în mod gratuit, în special, acces la datele cu caracter personal, precum și rectificarea sau ștergerea acestora și restricționarea prelucrării. Operatorul ar trebui să aibă obligația de a răspunde cererilor persoanelor vizate fără întârzieri nejustificate, cu excepția cazului în care operatorul aplică limitări ale drepturilor persoanelor vizate în conformitate cu prezenta directivă. În plus, în cazul în care cererile sunt în mod vădit nefondate sau excesive, de exemplu atunci când persoana vizată solicită informații în mod nejustificat și repetat sau atunci când persoana vizată abuzează de dreptul său de a primi informații, de exemplu prin furnizarea de informații false sau înșelătoare în momentul efectuării cererii, operatorul ar trebui să poată percepe o taxă rezonabilă sau să refuze să dea curs cererii.

(41) Atunci când operatorul solicită furnizarea de informații suplimentare necesare pentru a confirma identitatea persoanei vizate, respectivele informații ar trebui să fie prelucrate numai în acest scop specific și nu ar trebui să fie stocate pentru o perioadă mai lungă decât cea necesară în acest scop specific.

(42) Cel puțin următoarele informații ar trebui să fie puse la dispoziția persoanei vizate: identitatea operatorului, existența operațiunii de prelucrare, scopurile prelucrării, dreptul de a înainta o plângere și existența dreptului de a solicita operatorului accesul la prelucrare, precum și rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării. Acest lucru ar putea să se realizeze pe site-ul internet al autorității competente. În plus, în cazuri specifice și pentru a-i permite persoanei vizate să își exercite drepturile, persoana vizată ar trebui să fie informată cu privire la temeiul juridic al prelucrării și cu privire la cât timp vor fi stocate datele, în măsura în care astfel de informații suplimentare sunt necesare, având în vedere circumstanțele specifice în care sunt prelucrate datele, pentru a garanta o prelucrare echitabilă în ceea ce privește persoana vizată.

(43) O persoană fizică ar trebui să aibă drept de acces la datele colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica în ce scopuri sunt prelucrate datele, pentru ce perioadă sunt acestea prelucrate și care este identitatea destinatarilor datelor, inclusiv din țările terțe. Când respectiva comunicare include informații cu privire la originea datelor cu caracter personal, astfel de informații nu ar trebui să dezvăluie identitatea persoanelor fizice, în special a surselor confidențiale. Pentru ca acest drept să fie respectat, este suficient ca persoana vizată să dețină o sinteză completă a respectivelor date într-o formă inteligibilă, adică o formă care să permită persoanei vizate să ia cunoștință de aceste date și să verifice că acestea sunt exacte și prelucrate în conformitate cu prezenta directivă, astfel încât persoana vizată să poată să își exercite drepturile care îi sunt conferite prin prezenta directivă. O astfel de sinteză ar putea fi furnizată sub forma unei copii a datelor cu caracter personal care sunt în curs de prelucrare.

(44) Statele membre ar trebui să aibă posibilitatea de a adopta măsuri legislative în vederea amânării, a restricționării sau a omiterii informării persoanelor vizate sau în vederea restricționării, integrale sau parțiale, a accesului la datele lor cu caracter personal, în măsura în care și atât timp cât o astfel de măsură constituie o măsură necesară și proporțională într-o societate democratică, ținând seama în mod corespunzător de drepturile fundamentale și de interesele legitime ale persoanei fizice în cauză, pentru a se evita obstrucționarea cercetărilor, a anchetelor sau a procedurilor oficiale sau judiciare, pentru a nu se afecta prevenirea, investigarea, depistarea sau urmărirea penală a infracțiunilor sau executarea pedepselor, pentru a se apăra securitatea publică sau securitatea națională ori pentru a se apăra drepturile și libertățile altor persoane. Operatorul ar trebui să evalueze, prin intermediul unei examinări concrete și individuale a fiecărui caz în parte, dacă dreptul de acces ar trebui să fie limitat parțial sau complet.

(45) Orice refuz sau limitare a accesului ar trebui, în principiu, să fie prezentată în scris persoanei vizate și ar trebui să includă motivele de fapt și de drept pe care se bazează decizia.

(46) Orice limitare a drepturilor persoanei vizate trebuie să fie în conformitate cu Carta și cu CEDO, după cum a fost interpretată de jurisprudența Curții de Justiție și, respectiv, a Curții Europene a Drepturilor Omului și, îndeosebi, trebuie să respecte esența drepturilor și libertăților respective.

(47) O persoană fizică ar trebui să aibă dreptul de a obține rectificarea datelor cu caracter personal inexacte care o privesc, mai ales când acestea se referă la fapte, precum și dreptul la ștergerea datelor în cazul în care prelucrarea datelor respective nu respectă prezenta directivă. Cu toate acestea, dreptul la rectificare nu ar trebui să afecteze, de exemplu, conținutul depozițiilor martorilor. O persoană fizică ar trebui să aibă, de asemenea, dreptul la restricționarea prelucrării atunci când această persoană contestă exactitatea datelor cu caracter personal și nu se poate stabili exactitatea sau inexactitatea lor sau în cazul în care datele cu caracter personal trebuie să fie păstrate ca mijloace de probă. În special, în loc ca datele cu caracter personal să fie șterse, prelucrarea ar trebui să fie restricționată dacă într-un caz specific există motive întemeiate să se considere că ștergerea lor ar putea afecta interesele legitime ale persoanei vizate. În acest caz, datele restricționate ar trebui să fie prelucrate doar în scopul care a împiedicat ștergerea lor. Metodele de restricționare a prelucrării ar putea include, printre altele, transferul datelor selectate în alt sistem de prelucrare, de exemplu în scopuri de arhivare, sau anularea accesului utilizatorilor la datele selectate. În ceea ce privește sistemele automatizate de evidență a datelor, restricționarea prelucrării de date cu caracter personal ar trebui, în principiu, asigurată prin mijloace tehnice; faptul că prelucrarea datelor cu caracter personal este restricționată ar trebui indicat în sistem în așa fel încât să se înțeleagă clar că această restricționare are loc. O astfel de rectificare sau ștergere a datelor cu caracter personal sau restricționare a prelucrării ar trebui să fie comunicată destinatarilor cărora le-au fost divulgate datele și autorităților competente de la care provin datele inexacte. Operatorii ar trebui, de asemenea, să nu comunice mai departe astfel de date.

(48) În cazul în care operatorul refuză unei persoane vizate drepturile acesteia la informare, acces ori la rectificarea sau ștergerea datelor cu caracter personal sau la restricționarea prelucrării, persoana vizată ar trebui să aibă dreptul de a solicita ca autoritatea națională de supraveghere să verifice legalitatea prelucrării. Persoana vizată ar trebui să fie informată cu privire la acest drept. Atunci când autoritatea de supraveghere acționează în numele persoanei vizate, persoana vizată ar trebui să fie informată de către autoritatea de supraveghere cel puțin cu privire la faptul că toate verificările sau revizuirile necesare au fost efectuate de către autoritatea de supraveghere. Autoritatea de supraveghere ar trebui, de asemenea, să informeze persoana vizată în legătură cu dreptul de a introduce o cale de atac.

(49) În cazul în care datele cu caracter personal sunt prelucrate în cadrul unei anchete penale și al unor acțiuni în instanță în materie penală, statele membre ar trebui să poată garanta exercitarea drepturilor la informare, acces și de rectificare sau ștergere a datelor cu caracter personal și de restricționare a prelucrării în conformitate cu normele naționale privind procedurile judiciare.

(50) Ar trebui să se stabilească responsabilitatea și răspunderea operatorului pentru orice prelucrare a datelor cu caracter personal efectuată de către acesta sau în numele său. În special, operatorul ar trebui să fie obligat să pună în aplicare măsuri adecvate și eficace și să fie în măsură să demonstreze că activitățile de prelucrare respectă prezenta directivă. Măsurile respective ar trebui să țină seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscul la adresa drepturilor și libertăților persoanelor fizice. Măsurile luate de operator ar trebui să includă elaborarea și punerea în aplicare a unor garanții specifice cu privire la tratamentul datelor cu caracter personal ale persoanelor vulnerabile, în special ale copiilor.

(51) Riscurile la adresa drepturilor și libertăților persoanelor fizice, prezentând grade diferite de probabilitate și gravitate, pot fi rezultatul unei prelucrări a datelor care ar putea genera prejudicii de natură fizică, materială sau morală, în special în cazurile în care: prelucrarea poate genera discriminare, furtul sau uzurparea identității, prejudiciu financiar, compromiterea reputației, pierderea confidențialității datelor protejate prin secret profesional, inversarea neautorizată a pseudonimizării sau la orice alt prejudiciu semnificativ de natură economică sau socială; persoanele vizate ar putea fi private de drepturile și libertățile lor sau de capacitatea de a-și exercita controlul asupra datelor lor cu caracter personal; datele cu caracter personal prelucrate sunt date care dezvăluie originea rasială sau etnică, opiniile politice, religia sau convingerile filozofice, ori apartenența sindicală; sunt prelucrate date genetice sau date biometrice pentru identificarea singulară a unei persoane sau date privind sănătatea sau date privind viața sexuală și orientarea sexuală sau condamnările penale și infracțiunile sau măsurile de securitate conexe; sunt evaluate aspecte de natură personală, de exemplu analizarea și previzionarea unor aspecte privind randamentul la locul de muncă, situația economică, starea de sănătate, preferințele sau interesele personale, fiabilitatea sau comportamentul, localizarea sau deplasările, în scopul de a se crea sau de a se utiliza profiluri personale; sunt prelucrate date cu caracter personal ale unor persoane vulnerabile, în special ale copiilor; sau prelucrarea implică un volum mare de date cu caracter personal și afectează un număr larg de persoane vizate.

(52) Probabilitatea și gravitatea riscului ar trebui să fie determinate în raport de natura, domeniul de aplicare, contextul și scopurile prelucrării. Riscul ar trebui să facă obiectul unei evaluări obiective, prin care să se stabilească dacă operațiunile de prelucrare a datelor prezintă un risc ridicat. Un risc ridicat este un risc deosebit de prejudiciere a drepturilor și libertăților persoanelor vizate.

(53) Protecția drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal necesită adoptarea de măsuri tehnice și organizatorice corespunzătoare pentru a se asigura îndeplinirea cerințelor din prezenta directivă. Punerea în aplicare a unor astfel de măsuri nu ar trebui să se întemeieze doar pe considerente economice. Pentru a fi în măsură să demonstreze respectarea prezentei directive, operatorul ar trebui să adopte politici interne și să pună în aplicare măsuri care să adere, în special, la principiul protecției datelor începând cu momentul conceperii și al protecției implicite a datelor. În cazul în care operatorul a realizat o evaluare a impactului asupra protecției datelor în temeiul prezentei directive, ar trebui să se țină cont de rezultatele acesteia la elaborarea măsurilor și procedurilor respective. Măsurile ar putea consta, printre altele, în utilizarea pseudonimizării, cât mai curând posibil. Utilizarea pseudonimizării în sensul prezentei directive poate servi ca instrument care ar putea facilita, în special, libera circulație a datelor cu caracter personal în cadrul spațiului de libertate, securitate și justiție.

(54) Protecția drepturilor și libertăților persoanelor vizate, precum și responsabilitatea și răspunderea operatorilor și a persoanelor împuternicite de către operator, inclusiv în ceea ce privește monitorizarea de către autoritățile de supraveghere și măsurile adoptate de acestea, necesită o atribuire clară a responsabilităților stabilite prin prezenta directivă, inclusiv în cazul în care un operator stabilește scopurile și mijloacele prelucrării împreună cu alți operatori sau în cazul în care o operațiune de prelucrare este efectuată în numele unui operator.

(55) Efectuarea prelucrării de către o persoană împuternicită de către un operator ar trebui să fie reglementată printr-un act juridic care să includă un contract care creează obligații pentru persoana împuternicită de către operator în raport cu operatorul și care să stipuleze, în special, că persoana împuternicită de către operator ar trebui să acționeze numai la instrucțiunile operatorului. Persoana împuternicită de către operator ar trebui să țină cont de principiul protecției datelor începând cu momentul conceperii și al protecției implicite a datelor.

(56) În vederea demonstrării conformității cu prezenta directivă, operatorul sau persoana împuternicită de către operator ar trebui să păstreze evidențe ale tuturor categoriilor de activități de prelucrare aflate în responsabilitatea sa. Fiecare operator și fiecare persoană împuternicită de către operator ar trebui să aibă obligația de a coopera cu autoritatea de supraveghere și de a pune la dispoziția acesteia, la cerere, aceste evidențe, pentru a putea fi utilizate în scopul monitorizării respectivelor operațiuni de prelucrare. Operatorul sau persoana împuternicită de către operator care prelucrează date cu caracter personal în sisteme de prelucrare neautomată ar trebui să dispună de metode eficiente pentru a demonstra legalitatea prelucrării, a permite monitorizarea proprie și a garanta integritatea și securitatea datelor, precum înregistrări sau alte forme de evidențe.

(57) Înregistrările ar trebui păstrate cel puțin pentru operațiunile din cadrul sistemelor de prelucrare automată, precum colectarea, modificarea, consultarea, divulgarea, inclusiv transferurile, combinarea sau ștergerea. Identificarea persoanei care a consultat sau divulgat date cu caracter personal ar trebui să fie înregistrată și, plecând de la identificarea respectivă, ar putea fi posibil să se stabilească justificarea operațiunilor de prelucrare. Înregistrările ar trebui să fie utilizate numai pentru verificarea legalității prelucrării, monitorizarea proprie, asigurarea integrității și securității datelor și pentru proceduri penale. Monitorizarea proprie include, de asemenea, proceduri disciplinare interne ale autorităților competente.

(58) Operatorul ar trebui să realizeze o evaluare a impactului asupra protecției datelor în cazurile în care operațiunile de prelucrare pot avea drept rezultat, prin natura, domeniul de aplicare sau scopurile lor, un risc ridicat la adresa drepturilor și libertăților persoanelor vizate, evaluare care ar trebui să includă în special măsurile, garanțiile și mecanismele preconizate în vederea asigurării protecției datelor cu caracter personal și a atestării conformității cu prezenta directivă. Evaluările impactului ar trebui să acopere sistemele și procesele relevante aferente operațiunilor de prelucrare, și nu cazuri individuale.

(59) Pentru a garanta protecția eficientă a drepturilor și libertăților persoanelor vizate, operatorul sau persoana împuternicită de către operator ar trebui să se consulte cu autoritatea de supraveghere în anumite cazuri, înainte de prelucrare.

(60) În vederea menținerii securității și a prevenirii prelucrărilor care încalcă prezenta directivă, operatorul sau persoana împuternicită de către operator ar trebui să evalueze riscurile inerente prelucrării și să pună în aplicare măsuri pentru atenuarea acestor riscuri, precum criptarea. Măsurile respective ar trebui să asigure un nivel corespunzător de securitate, inclusiv de confidențialitate, luând în considerare stadiul actual al tehnologiei, costurile punerii lor în aplicare în raport cu riscurile și natura datelor cu caracter personal a căror protecție trebuie asigurată. La evaluarea riscurilor la adresa securității datelor, ar trebui să se acorde atenție riscurilor pe care le prezintă prelucrarea datelor, cum ar fi distrugerea, pierderea sau modificarea accidentală sau ilegală, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod, care pot duce în special la prejudicii fizice, materiale sau morale. Operatorul și persoana împuternicită de către operator ar trebui să se asigure că prelucrarea datelor cu caracter personal nu se realizează de către persoane neautorizate.

(61) Dacă nu este soluționată la timp și într-un mod adecvat, o încălcare a securității datelor cu caracter personal poate genera prejudicii fizice, materiale sau morale persoanelor fizice, cum ar fi pierderea controlului asupra datelor lor cu caracter personal sau limitarea drepturilor lor, discriminare, furt sau uzurpare de identitate, prejudiciu financiar, inversarea neautorizată a pseudonimizării, compromiterea reputației, pierderea confidențialității datelor cu caracter personal protejate prin secret profesional sau orice alt prejudiciu important de natură economică sau socială cauzat acelei persoane fizice. Prin urmare, de îndată ce a luat cunoștință de producerea unei încălcări a securității datelor cu caracter personal, operatorul ar trebui să notifice încălcarea securității datelor cu caracter personal autorității de supraveghere fără întârziere nejustificată și, dacă este posibil, în cel mult 72 de ore după ce a luat cunoștință de existența acesteia, cu excepția cazului în care operatorul este în măsură să demonstreze, în conformitate cu principiul responsabilității, că încălcarea securității datelor cu caracter personal nu este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice. Atunci când notificarea nu se poate realiza în termen de 72 de ore, aceasta ar trebui să cuprindă motivele întârzierii, iar informațiile pot fi furnizate treptat, fără altă întârziere.

(62) Persoanele fizice ar trebui să fie notificate fără întârziere în cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat la adresa drepturilor și libertăților persoanelor fizice, pentru a le permite acestora să ia măsurile de precauție necesare. Notificarea ar trebui să descrie natura încălcării securității datelor cu caracter personal și să formuleze recomandări pentru persoana fizică în cauză în scopul atenuării eventualelor efecte negative. Notificarea persoanelor vizate ar trebui să fie efectuate în cel mai scurt timp posibil în mod rezonabil și în strânsă cooperare cu autoritatea de supraveghere și în conformitate cu orientările furnizate de aceasta sau de alte autorități relevante. De exemplu, necesitatea de a atenua un risc imediat de producere a unor prejudicii ar presupune notificarea cu promptitudine a persoanelor vizate, în timp ce necesitatea de a pune în aplicare măsuri corespunzătoare împotriva încălcării în continuare a securității datelor sau împotriva unor încălcări similare ale securității datelor ar putea justifica un termen mai îndelungat. În cazul în care evitarea obstrucționării cercetărilor, a anchetelor sau a procedurilor oficiale sau judiciare, evitarea aducerii de prejudicii la adresa prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau a executării pedepselor, a protejării securității publice, a protejării securității naționale sau a apărării drepturilor și libertăților altora nu pot fi obținute prin amânarea sau restricționarea comunicării unei încălcări a securității datelor cu caracter personal către persoana fizică în cauză, o astfel de comunicare ar putea fi omisă în circumstanțe excepționale.

(63) Operatorul ar trebui să desemneze o persoană care să îi acorde asistență pentru a monitoriza respectarea, la nivel intern, a dispozițiilor adoptate în temeiul prezentei directive, cu excepția cazului în care un stat membru decide să exonereze instanțele și alte autorități judiciare independente atunci când acționează în exercițiul funcției lor judiciare. Persoana respectivă ar putea fi un membru al personalului existent al operatorului care a beneficiat de o formare specială în materie de legislație și practici privind protecția datelor pentru a dobândi cunoștințe de specialitate în domeniul respectiv. Nivelul necesar al cunoștințelor de specialitate ar trebui să se stabilească în special în funcție de prelucrarea efectuată asupra datelor și de gradul de protecție impus pentru datele cu caracter personal prelucrate de către operator. Îndeplinirea sarcinilor sale poate fi efectuată cu normă întreagă sau cu fracțiune de normă. Un responsabil cu protecția datelor poate fi numit în comun de mai mulți operatori, ținând seama de structura organizatorică și de dimensiunea acestora, de exemplu în caz de resurse comune în unitățile centrale. Persoana respectivă poate fi, de asemenea, numită în posturi diferite în cadrul structurii operatorilor relevanți. Persoana respectivă ar trebui să îl ajute pe operator și pe angajații care prelucrează date cu caracter personal, prin informarea și consilierea acestora cu privire la respectarea obligațiilor relevante ale acestora în materie de protecție a datelor. Astfel de responsabili cu protecția datelor ar trebui să fie în măsură să își îndeplinească îndatoririle și sarcinile în mod independent, în conformitate cu dreptul intern.

(64) Statele membre ar trebui să asigure că transferul către o țară terță sau către o organizație internațională are loc numai în cazul în care acest transfer este necesar pentru prevenirea, depistarea, investigarea sau urmărirea penală a infracțiunilor sau pentru executarea pedepselor, inclusiv pentru protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora, iar operatorul din țara terță sau din organizația internațională este o autoritate competentă în sensul prezentei directive. Un transfer ar trebui să poată fi efectuat numai de către autoritățile competente, acționând în calitate de operatori, cu excepția cazului în care persoanele împuternicite de către operatori primesc instrucțiuni în mod expres să transfere în numele operatorilor. Un astfel de transfer poate avea loc în cazul în care Comisia decide că țara terță sau organizația internațională în cauză asigură un nivel adecvat de protecție, atunci când se asigură garanții corespunzătoare ori când se aplică derogări pentru situații speciale. În cazul în care se transferă date cu caracter personal din Uniune către operatori, persoane împuternicite de către operatori sau alți destinatari din țări terțe sau organizații internaționale, nivelul de protecție a persoanelor fizice garantat în Uniune prin prezenta directivă nu ar trebui să fie diminuat, inclusiv în cazurile de transferuri ulterioare de date cu caracter personal dinspre țara terță sau organizația internațională către operatori sau persoane împuternicite de către operatori din aceeași sau dintr-o altă țară terță sau organizație internațională.

(65) În cazul transferului de date cu caracter personal de la un stat membru către țări terțe sau către organizații internaționale, un astfel de transfer ar trebui să aibă loc, în principiu, numai după ce statul membru de la care au fost obținute datele a acordat o autorizație în ceea ce privește transferul. Interesele unei cooperări eficiente în domeniul aplicării legii impun ca, în cazul în care natura unei amenințări la adresa securității publice a unui stat membru sau a unei țări terțe sau la adresa intereselor fundamentale ale unui stat membru este atât de urgentă încât să facă imposibilă obținerea unei autorizații prealabile în timp util, autoritatea competentă ar trebui să poată transfera datele cu caracter personal relevante către țara terță sau organizația internațională în cauză fără o astfel de autorizație prealabilă. Statele membre ar trebui să prevadă că orice condiții specifice pentru transfer ar trebui să fie comunicate țărilor terțe sau organizațiilor internaționale. Transferurile ulterioare de date cu caracter personal ar trebui să facă obiectul autorizării prealabile de către autoritatea competentă care a realizat transferul inițial. Atunci când decide cu privire la o cerere de autorizare a unui transfer ulterior, autoritatea competentă care a realizat transferul inițial ar trebui să țină seama în mod corespunzător de toți factorii relevanți, inclusiv de gravitatea infracțiunii, de condițiile specifice transferului și de scopul pentru care datele au fost transferate inițial, de natura și condițiile executării pedepsei, precum și de nivelul de protecție a datelor cu caracter personal din țara terță sau dintr-o organizație internațională către care datele cu caracter personal sunt transferate ulterior. Autoritatea competentă care a realizat transferul inițial ar trebui, de asemenea, să poată aplica transferului ulterior condiții specifice. Astfel de condiții specifice pot fi descrise, de exemplu, în coduri de utilizare.

(66) Comisia ar trebui să poată decide, cu efect în întreaga Uniune, că anumite țări terțe, un teritoriu ori unul sau mai multe sectoare determinate dintr-o țară terță sau o organizație internațională oferă un nivel adecvat de protecție a datelor, furnizând astfel securitate juridică și uniformitate în întreaga Uniune în ceea ce privește țările terțe sau organizațiile internaționale care sunt considerate a furniza un astfel de nivel de protecție. În astfel de cazuri, transferurile de date cu caracter personal către țările respective ar trebui să se poată realiza fără a fi necesară obținerea unei autorizații speciale, cu excepția cazului în care un alt stat membru de la care au fost obținute datele trebuie să își dea autorizația pentru transfer.

(67) În conformitate cu valorile fundamentale pe care se întemeiază Uniunea, în special apărarea drepturilor omului, Comisia ar trebui, în evaluarea sa referitoare la țara terță sau la un teritoriu sau la un sector determinat dintr-o țară terță, să ia în considerare modul în care o anumită țară terță respectă statul de drept, accesul la justiție, precum și normele și standardele internaționale în materie de drepturi ale omului și legislația sa generală și sectorială, inclusiv legislația privind securitatea publică, apărarea și securitatea națională, precum și ordinea publică și dreptul penal. Adoptarea unei decizii privind caracterul adecvat al nivelului de protecție în ceea ce privește un teritoriu sau un sector determinat dintr-o țară terță ar trebui să țină seama de criterii clare și obiective, cum ar fi activitățile specifice de prelucrare și domeniul de aplicare al standardelor juridice aplicabile și legislația în vigoare în țara terță respectivă. Țara terță ar trebui să garanteze un nivel adecvat de protecție, echivalent în esență celui asigurat în cadrul Uniunii, în special atunci când datele sunt prelucrate în unul sau mai multe sectoare specifice. În special, țara terță ar trebui să asigure o supraveghere efectivă independentă în materie de protecție a datelor și să prevadă mecanisme de cooperare cu autoritățile de protecție a datelor din statele membre, iar persoanele vizate ar trebui să beneficieze de drepturi efective și opozabile și de reparații efective pe cale administrativă și judiciară.

(68) Pe lângă angajamentele internaționale asumate de țara terță sau de organizația internațională, Comisia ar trebui să țină seama și de obligațiile care decurg din participarea țării terțe sau a organizației internaționale la sistemele multilaterale sau regionale, în special în ceea ce privește protecția datelor cu caracter personal, precum și de punerea în aplicare a unor astfel de obligații. În special, ar trebui să fie luată în considerare aderarea țării terțe la Convenția Consiliului Europei din 28 ianuarie 1981 pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal și la protocolul adițional la aceasta. Comisia ar trebui să consulte Comitetul european pentru protecția datelor instituit prin Regulamentul (UE) 2016/679 („comitetul”) atunci când evaluează nivelul de protecție din țările terțe sau din organizațiile internaționale. De asemenea, Comisia ar trebui să țină seama de orice decizie relevantă a Comisiei privind caracterul adecvat al nivelului de protecție, adoptată în conformitate cu articolul 45 din Regulamentul (UE) 2016/679.

(69) Comisia ar trebui să monitorizeze funcționarea deciziilor privind nivelul de protecție dintr-o țară terță, un teritoriu sau un sector determinat dintr-o țară terță sau dintr-o organizație internațională. În ceea ce privește deciziile sale privind caracterul adecvat al nivelului de protecție, Comisia ar trebui să prevadă un mecanism de revizuire periodică a funcționării acestora. Această revizuire periodică ar trebui să se realizeze în consultare cu țara terță sau cu organizația internațională în cauză și ar trebui să ia în considerare toate evoluțiile relevante din țara terță sau organizația internațională.

(70) Comisia ar trebui, de asemenea, să fie în măsură să constate faptul că o țară terță, un teritoriu sau un sector determinat dintr-o țară terță ori o organizație internațională nu mai asigură un nivel corespunzător de protecție a datelor. În consecință, transferul de date cu caracter personal către țara terță sau organizația internațională respectivă ar trebui să fie interzis, cu excepția cazului când sunt îndeplinite cerințele prevăzute în prezenta directivă referitoare la transferul de date sub rezerva unor garanții adecvate și a unor derogări în situații specifice. Ar trebui să se prevadă proceduri de consultare între Comisie și astfel de țări terțe sau organizații internaționale. Comisia ar trebui ca, în timp util, să informeze țara terță sau organizația internațională cu privire la aceste motive și să inițieze consultări cu aceasta pentru remedierea situației.

(71) Transferurile care nu se întemeiază pe o astfel de decizie privind caracterul adecvat al nivelului de protecție ar trebui să fie permise numai în cazul în care au fost prezentate garanții corespunzătoare într-un instrument cu caracter juridic obligatoriu, care să asigure protecția datelor cu caracter personal, sau în cazul în care operatorul a evaluat toate circumstanțele legate de datele transferate și, pe baza acestei evaluări, consideră că există garanții adecvate în ceea ce privește protecția datelor cu caracter personal. Astfel de instrumente cu caracter juridic obligatoriu ar putea fi, de exemplu, acorduri bilaterale cu caracter juridic obligatoriu care au fost încheiate de statele membre și puse în aplicare în ordinea juridică a acestora și a căror respectare poate fi impusă de către persoanele vizate din respectivele state membre, asigurând respectarea cerințelor în materie de protecție a datelor și drepturile persoanelor vizate, inclusiv dreptul de a obține reparații efective pe cale administrativă sau judiciară. Operatorul ar trebui să ia în considerare acordurile de cooperare încheiate între Europol sau Eurojust și țări terțe care permit schimbul de date cu caracter personal atunci când se efectuează evaluarea tuturor circumstanțelor legate de transferul de date. Operatorul ar trebui, de asemenea, să poată lua în considerare faptul că transferul de date cu caracter personal va fi supus obligațiilor de confidențialitate și principiului specificității, asigurându-se că datele nu vor fi prelucrate în alte scopuri decât cel al transferului. În plus, operatorul ar trebui să ia în considerare faptul că datele cu caracter personal nu vor fi folosite pentru a solicita, a pronunța sau a executa pedeapsa cu moartea sau orice altă formă de tratament crud și inuman. Chiar dacă aceste condiții ar putea fi considerate garanții adecvate care să permită transferul de date, operatorul ar trebui să poată solicita garanții suplimentare.

(72) În cazul în care nu există nicio decizie privind caracterul adecvat al nivelului de protecție sau nicio garanție adecvată, un transfer sau o categorie de transferuri poate avea loc numai în situații specifice, dacă este necesar în scopul protejării intereselor vitale ale persoanei vizate sau ale unei alte persoane sau al protejării intereselor legitime ale persoanei vizate, în cazul în care se prevede astfel în dreptul statului membru care transferă datele cu caracter personal; pentru prevenirea unei amenințări imediate și grave la adresa securității publice a unui stat membru sau a unei țări terțe; într-un caz specific, în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv în scopul protejării împotriva amenințărilor la adresa securității publice; sau, într-un caz specific, pentru constatarea, exercitarea sau apărarea unui drept în instanță. Aceste derogări ar trebui interpretate restrictiv și nu ar trebui să permită transferuri frecvente, masive și structurale de date cu caracter personal sau transferuri la scară largă de date, ci ar trebui să se limiteze la datele strict necesare. Astfel de transferuri ar trebui să fie documentate și să fie puse la dispoziția autorității de supraveghere la cerere, în scopul monitorizării legalității transferului.

(73) Autoritățile competente ale statelor membre aplică acordurile internaționale bilaterale sau multilaterale în vigoare, încheiate cu țări terțe în domeniul cooperării judiciare în materie penală și al cooperării polițienești, în schimbul obținerii de informații relevante care să le permită să își îndeplinească sarcinile atribuite în mod legal. În principiu, acest lucru are loc prin intermediul sau cel puțin cu cooperarea autorităților competente din țările terțe implicate în scopul prezentei directive, uneori chiar în absența unui acord internațional bilateral sau multilateral. Cu toate acestea, în anumite cazuri individuale, procedurile obișnuite care necesită contactarea autorității din țara terță pot fi ineficiente sau inadecvate, în special din cauza faptului că transferul nu poate fi efectuat în timp util sau din cauza faptului că autoritatea din țara terță nu respectă statul de drept sau normele și standardele internaționale în materie de drepturi ale omului, astfel încât autoritățile competente ale statelor membre ar putea decide să transfere datele cu caracter personal direct beneficiarilor stabiliți în țări terțe. Acesta ar putea fi cazul atunci când există o nevoie urgentă de a transfera date cu caracter personal pentru a salva viața unei persoane care se află în pericol de a deveni victimă a unei infracțiuni sau în interesul prevenirii săvârșirii iminente a unei infracțiuni, inclusiv a terorismului. Chiar dacă acest transfer între autoritățile competente și destinatarii stabiliți în țări terțe ar trebui să aibă loc numai în anumite cazuri individuale, prezenta directivă ar trebui să prevadă condițiile pentru reglementarea unor astfel de cazuri. Aceste dispoziții nu ar trebui să fie considerate derogări de la niciun acord internațional bilateral sau multilateral existent în domeniul cooperării judiciare în materie penală și al cooperării polițienești. Aceste norme ar trebui să se aplice în completarea altor norme din directivă, în special cele cu privire la legalitatea prelucrării și cele din capitolul V.

(74) Fluxul transfrontalier de date cu caracter personal poate expune unui risc sporit capacitatea persoanelor fizice de a-și exercita drepturile în materie de protecție a datelor pentru a se proteja împotriva utilizării sau a divulgării ilegale a acestor date. În același timp, autoritățile de supraveghere pot constata că se află în imposibilitatea de a da curs unor plângeri sau de a efectua investigații referitoare la activitățile desfășurate în afara frontierelor lor. Eforturile lor de a conlucra în context transfrontalier pot fi, de asemenea, îngreunate de insuficiența competențelor de prevenire sau remediere și de caracterul eterogen al regimurilor juridice. Prin urmare, este necesar să se promoveze o cooperare mai strânsă între autoritățile de supraveghere a protecției datelor pentru a le ajuta să facă schimb de informații cu omologii lor străini.

(75) Instituirea în statele membre a unor autorități de supraveghere capabile să își exercite atribuțiile în deplină independență reprezintă un element esențial al protecției persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. Autoritățile de supraveghere ar trebui să monitorizeze aplicarea dispozițiilor adoptate în temeiul prezentei directive și ar trebui să contribuie la aplicarea ei consecventă în întreaga Uniune, în scopul asigurării protecției persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. În acest scop, autoritățile de supraveghere ar trebui să coopereze între ele și cu Comisia.

(76) Statele membre pot încredința unei autorități de supraveghere deja înființate în temeiul Regulamentului (UE) 2016/679 responsabilitatea pentru sarcinile care urmează să fie îndeplinite de către autoritățile naționale de supraveghere care urmează a fi înființate în temeiul prezentei directive.

(77) Statele membre ar trebui să aibă posibilitatea de a institui mai multe autorități de supraveghere, pentru a reflecta structura lor constituțională, organizatorică și administrativă. Fiecare autoritate de supraveghere ar trebui să beneficieze de resurse financiare și umane, de localuri și de infrastructura necesare pentru îndeplinirea cu eficacitate a sarcinilor lor, inclusiv a celor legate de asistența reciprocă și cooperarea cu alte autorități de supraveghere în întreaga Uniune. Fiecare autoritate de supraveghere ar trebui să aibă un buget public anual distinct, care poate face parte din bugetul general de stat sau național.

(78) Autoritățile de supraveghere ar trebui să facă obiectul unui control independent sau al unor mecanisme de monitorizare în ceea ce privește cheltuielile lor financiare, cu condiția ca acest control financiar să nu le afecteze independența.

(79) Condițiile generale pentru membrul sau membrii autorității de supraveghere ar trebui stabilite prin dreptul intern și ar trebui, în special, să prevadă că respectivii membri ar trebui să fie numiți de parlamentul și/sau de guvernul ori de șeful de stat al statului membru în cauză, pe baza unei propuneri din partea guvernului sau a unui membru al guvernului ori din partea parlamentului sau camerei acestuia, ori de către un organism independent împuternicit prin dreptul intern să facă numirea prin intermediul unei proceduri transparente. În vederea asigurării independenței autorității de supraveghere, membrul sau membrii acesteia ar trebui să dea dovadă de integritate, nu ar trebui să întreprindă acțiuni incompatibile cu îndatoririle lor, iar, pe durata mandatului, nu ar trebui să desfășoare activități incompatibile, remunerate sau nu. În vederea asigurării independenței autorității de supraveghere, personalul ar trebui să fie ales de autoritatea de supraveghere, ceea ce poate include o intervenție din partea unui organism independent împuternicit în acest sens prin dreptul intern.

(80) Cu toate că prezenta directivă se aplică, de asemenea, activităților instanțelor naționale și ale altor autorități judiciare, prelucrarea datelor cu caracter personal nu ar trebui să fie de competența autorităților de supraveghere atunci când instanțele acționează în exercițiul funcției lor judiciare, în scopul asigurării independenței judecătorilor în îndeplinirea sarcinilor lor judiciare. Această derogare ar trebui să se limiteze la activități judiciare în cadrul acțiunilor în instanță și să nu se aplice altor activități în care judecătorii ar putea fi implicați, în conformitate cu dreptul intern. Statele membre ar trebui, de asemenea, să poată să prevadă faptul că nu este de competența autorității de supraveghere prelucrarea datelor cu caracter personal ale altor autorități judiciare independente care acționează în exercițiul funcției lor judiciare, de exemplu ministerul public. În orice caz, respectarea normelor prezentei directive de către instanțe și alte autorități judiciare independente face întotdeauna obiectul unei supravegheri independente în conformitate cu articolul 8 alineatul (3) din Cartă.

(81) Fiecare autoritate de supraveghere ar trebui să trateze plângerile depuse de orice persoană vizată și ar trebui să investigheze cazul sau să-l transmită autorității de supraveghere competente. Investigația în urma unei plângeri ar trebui să fie efectuată, sub rezerva controlului jurisdicțional, în măsura necesară fiecărui caz. Autoritatea de supraveghere ar trebui să informeze persoana vizată cu privire la evoluția și soluționarea plângerii într-un termen rezonabil. În eventualitatea în care cazul necesită o investigare suplimentară sau coordonarea cu o altă autoritate de supraveghere, ar trebui să se furnizeze informații intermediare persoanei vizate.

(82) Pentru a se asigura eficacitatea, fiabilitatea și consecvența monitorizării respectării și a aplicării prezentei directive în întreaga Uniune, în conformitate cu TFUE, astfel cum a fost interpretat de Curtea de Justiție, autorităților de supraveghere din fiecare stat membru ar trebui să le revină aceleași sarcini și competențe efective, inclusiv competențe de investigare, corective și de consiliere, care constituie mijloace necesare pentru îndeplinirea sarcinilor lor. Cu toate acestea, competențele acestora nu ar trebui să afecteze normele speciale de procedură penală, inclusiv cele referitoare la investigarea și urmărirea penală a infracțiunilor, sau independența justiției. Fără a aduce atingere competențelor autorităților de urmărire penală în temeiul dreptului intern, autoritățile de supraveghere ar trebui să aibă, de asemenea, competența de a aduce în atenția autorităților judiciare cazurile de încălcare a prezentei directive sau de a desfășura proceduri judiciare. Competențele autorităților de supraveghere ar trebui să fie exercitate în conformitate cu garanțiile procedurale adecvate prevăzute în dreptul Uniunii și în dreptul intern, în mod imparțial, echitabil și într-un termen rezonabil. În special, fiecare măsură ar trebui să fie adecvată, necesară și proporțională în scopul de a asigura conformitatea cu prezenta directivă, luând în considerare circumstanțele fiecărui caz în parte, să respecte dreptul oricărei persoane de a fi ascultată înainte de a fi luată orice măsură individuală care ar putea să îi aducă atingere și să evite costurile inutile și inconvenientele excesive pentru persoanele în cauză. Competențele de investigare în ceea ce privește accesul în incinte ar trebui exercitate în conformitate cu cerințele specifice din dreptul intern, cum ar fi obligația de a obține în prealabil o autorizare judiciară. Adoptarea unei decizii obligatorii din punct de vedere juridic ar trebui să facă obiectul controlului jurisdicțional în statul membru al autorității de supraveghere care a adoptat decizia.

(83) Autoritățile de supraveghere ar trebui să se sprijine reciproc în îndeplinirea sarcinilor care le revin și ar trebui să își acorde asistență reciprocă, pentru a se asigura aplicarea consecventă a dispozițiilor adoptate în temeiul prezentei directive.

(84) Comitetul, ar trebui să contribuie la aplicarea coerentă a prezentei directive în întreaga Uniune, inclusiv prin consilierea Comisiei și prin promovarea cooperării autorităților de supraveghere în întreaga Uniune.

(85) Orice persoană vizată ar trebui să aibă dreptul de a depune o plângere la o singură autoritate de supraveghere și la o cale de atac eficientă în conformitate cu articolul 47 din Cartă, în cazul în care persoana vizată consideră că sunt încălcate drepturile care îi revin în conformitate cu dispozițiile adoptate în temeiul prezentei directive sau în cazul în care autoritatea de supraveghere nu dă curs unei plângeri, respinge sau refuză parțial sau total o plângere sau nu acționează atunci când o astfel de acțiune este necesară pentru asigurarea protecției drepturilor persoanei vizate. Investigația în urma unei plângeri ar trebui să fie efectuată, făcând obiectul controlului jurisdicțional, în măsura în care este necesar, în funcție de caz. Autoritatea de supraveghere competentă ar trebui să informeze persoana vizată cu privire la evoluția și soluționarea plângerii într-un termen rezonabil. În eventualitatea în care cazul necesită o investigare suplimentară sau coordonarea cu o altă autoritate de supraveghere, ar trebui să se furnizeze informații intermediare persoanei vizate. În vederea facilitării depunerii plângerilor, fiecare autoritate de supraveghere ar trebui să ia măsuri precum punerea la dispoziție a unui formular de depunere a plângerii, care să poată fi completat inclusiv în format electronic, fără a exclude alte mijloace de comunicare.

(86) Orice persoană fizică sau juridică ar trebui să aibă dreptul la o cale de atac eficientă în fața instanței naționale competente, împotriva unei decizii a unei autorități de supraveghere care produce efecte juridice privind persoana respectivă. O astfel de decizie se referă în special la exercitarea competențelor de investigare, corective și de autorizare de către autoritatea de supraveghere sau la refuzul sau respingerea plângerilor. Cu toate acestea, dreptul respectiv nu privește alte măsuri ale autorităților de supraveghere care nu sunt obligatorii din punct de vedere juridic, cum ar fi avizele emise de autoritatea de supraveghere sau consultanța furnizată de aceasta. Acțiunile inițiate împotriva unei autorități de supraveghere ar trebui să fie aduse în fața instanțelor statului membru în care este stabilită autoritatea de supraveghere și ar trebui să se desfășoare în conformitate cu dreptul intern al statului membru respectiv. Respectivele instanțe ar trebui să își exercite competența deplină, care ar trebui să includă competența de a examina toate aspectele de fapt sau de drept care au relevanță pentru litigiul cu care acestea sunt sesizate.

(87) În cazul în care persoana vizată consideră că drepturile sale în temeiul prezentei directive sunt încălcate, aceasta ar trebui să aibă dreptul să mandateze un organism care are drept obiectiv asigurarea protecției drepturilor și a intereselor persoanelor vizate în ceea ce privește protecția datelor acestora cu caracter personal și este constituit în conformitate cu dreptul intern, să depună o plângere în numele persoanei vizate la o autoritate de supraveghere sau să exercite dreptul la o cale de atac. Dreptul de reprezentare a persoanelor vizate ar trebui să nu aducă atingere dreptului procedural intern care poate impune reprezentarea în mod obligatoriu a persoanelor vizate de un avocat, astfel cum este definit în Directiva 77/249/CEE a Consiliului (10), în fața instanțelor naționale.

(88) Orice daună pe care o persoană o poate suferi ca urmare a unei prelucrări care încalcă dispozițiile adoptate în temeiul prezentei directive ar trebui să fie despăgubită de operator sau de orice altă autoritate competentă în conformitate cu dreptul intern respectiv. Conceptul de „prejudiciu” ar trebui interpretat, în sens larg, din perspectiva jurisprudenței Curții de Justiție, într-un mod care să reflecte pe deplin obiectivele prezentei directive. Prezenta dispoziție nu aduce atingere niciunei acțiuni în despăgubire care rezultă din încălcarea altor norme din dreptul Uniunii sau din dreptul intern. Atunci când se face trimitere la o prelucrare care este ilegală sau care încalcă dispozițiile adoptate în temeiul prezentei directive, trimiterea vizează și prelucrarea care nu respectă actele de punere în aplicare adoptate în temeiul prezentei directive. Persoanele vizate ar trebui să primească despăgubiri integrale și efective pentru prejudiciile suferite.

(89) Ar trebui să se aplice sancțiuni oricărei persoane fizice sau juridice, de drept privat sau public, care încalcă prezenta directivă. Statele membre ar trebui să se asigure că sancțiunile sunt eficace, proporționale și disuasive și ar trebui să adopte toate măsurile pentru aplicarea sancțiunilor.

(90) În vederea asigurării unor condiții uniforme de punere în aplicare a prezentei directive, Comisiei ar trebui să i confere competențe de executare referitor la nivelul adecvat de protecție oferit de o țară terță, de un teritoriu sau de un sector determinat din țara terță respectivă sau de o organizație internațională, formatul și procedurile pentru asistență reciprocă și modalitățile de schimb de informații prin mijloace electronice între autoritățile de supraveghere, precum și între autoritățile de supraveghere și comitet. Competențele respective ar trebui să fie exercitate în conformitate cu Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului (11).

(91) Procedura de examinare ar trebui să fie utilizată pentru adoptarea actelor de punere în aplicare privind nivelul adecvat de protecție oferit de o țară terță, de un teritoriu sau de un sector determinat din țara terță respectivă sau de o organizație internațională, precum și privind formatul și procedurile pentru asistență reciprocă și modalitățile de schimb de informații prin mijloace electronice între autoritățile de supraveghere și între autoritățile de supraveghere și comitet, ținând seama de faptul că actele respective au un caracter general.

(92) Comisia ar trebui să adopte acte de punere în aplicare imediat aplicabile atunci când acest lucru se impune din motive imperative de urgență, în cazuri justificate în mod corespunzător referitoare la o țară terță, la un teritoriu sau la un sector determinat din țara terță respectivă sau la o organizație internațională care nu mai asigură un nivel de protecție adecvat.

(93) Întrucât obiectivele prezentei directive, și anume protejarea drepturilor și a libertăților fundamentale ale persoanelor fizice, în special dreptul acestora la protecția datelor cu caracter personal și asigurarea liberului schimb de date cu caracter personal de către autoritățile competente în cadrul Uniunii, nu pot fi realizate în mod satisfăcător de către statele membre ci, datorită amplorii sau a efectelor acțiunii, pot fi realizate mai bine la nivelul Uniunii, Uniunea poate adopta măsuri, în conformitate cu principiul subsidiarității, astfel cum este definit la articolul 5 din TUE. În conformitate cu principiul proporționalității, astfel cum este definit la articolul respectiv, prezenta directivă nu depășește ceea ce este necesar pentru realizarea obiectivelor menționate.

(94) Dispozițiile speciale din actele Uniunii adoptate în domeniul cooperării judiciare în materie penală și al cooperării polițienești, care au fost adoptate înainte de data adoptării prezentei directive, care reglementează prelucrarea datelor cu caracter personal între statele membre sau accesul autorităților desemnate ale statelor membre la sistemele de informații stabilite în conformitate cu tratatele, ar trebui să rămână neatinse, cum ar fi, de exemplu, dispozițiile speciale referitoare la protecția datelor cu caracter personal aplicate în conformitate cu Decizia 2008/615/JAI a Consiliului (12), sau articolul 23 din Convenția privind asistența judiciară reciprocă în materie penală între statele membre ale Uniunii Europene (13). Întrucât articolul 8 din Cartă și articolul 16 din TFUE prevăd că dreptul fundamental la protecția datelor cu caracter personal trebuie să fie asigurat în mod consecvent în întreaga Uniune, Comisia ar trebui să evalueze situația în ceea ce privește relația dintre prezenta directivă și actele adoptate înainte de data adoptării prezentei directive care reglementează prelucrarea datelor cu caracter personal între statele membre și accesul autorităților desemnate de statele membre la sistemele de informații instituite în conformitate cu tratatele, pentru a evalua necesitatea alinierii acestor dispoziții specifice cu prezenta directivă. Dacă este cazul, Comisia ar trebui să prezinte propuneri cu scopul de a asigura norme juridice coerente privind prelucrarea datelor cu caracter personal.

(95) În vederea asigurării unei protecții globale și consecvente a datelor cu caracter personal în cadrul Uniunii, acordurile internaționale care au fost încheiate de către statele membre înainte de data intrării în vigoare a prezentei directive și care respectă dispozițiile relevante din dreptul Uniunii aplicabil înainte de data respectivă ar trebui să rămână în vigoare până la data la care sunt modificate, înlocuite sau revocate.

(96) Statelor membre ar trebui să le fie acordat un termen de cel mult doi ani de la data intrării în vigoare a prezentei directive în vederea transpunerii sale. Prelucrările în derulare la data menționată ar trebui să fie aduse în conformitate cu prezenta directivă în termen de doi ani de la data intrării în vigoare a prezentei directive. Cu toate acestea, în cazul în care o astfel de prelucrare respectă dreptul Uniunii aplicabil înainte de data intrării în vigoare a prezentei directive, cerințele din prezenta directivă cu privire la consultarea prealabilă a autorității de supraveghere nu ar trebui să se aplice operațiunilor de prelucrare aflate deja în derulare la data menționată, având în vedere că respectivele cerințe, prin însăși natura lor, trebuie să fie îndeplinite înainte de prelucrare. În cazul în care statele membre aplică termenul mai lung pentru punerea în aplicare, care expiră după șapte ani de la data intrării în vigoare a prezentei directive, pentru îndeplinirea obligațiilor de înregistrare pentru sistemele de prelucrare automată instituite înainte de data respectivă, operatorul sau persoana împuternicită de către operator ar trebui să dispună de metode eficiente pentru a demonstra legalitatea prelucrării datelor, a permite monitorizarea proprie și a garanta integritatea și securitatea datelor, precum înregistrări sau alte forme de evidențe.

(97) Prezenta directivă se aplică fără a aduce atingere normelor privind combaterea abuzului sexual, a exploatării sexuale a copiilor și a pornografiei infantile, astfel cum se prevede în Directiva 2011/93/UE a Parlamentului European și a Consiliului (14).

(98) Decizia-cadru 2008/977/JAI a Consiliului ar trebui, prin urmare, să fie abrogată.

(99) În conformitate cu articolul 6a din Protocolul nr. 21 privind poziția Regatului Unit și a Irlandei în ceea ce privește spațiul de libertate, securitate și justiție, anexat la TUE și la TFUE, Regatului Unit și Irlandei nu le revin obligații în temeiul normelor stabilite în prezenta directivă referitoare la prelucrarea datelor cu caracter personal de către statele membre în exercitarea activităților care intră în domeniul de aplicare al părții a treia titlul V capitolul 4 sau 5 din TFUE, atât timp cât Regatului Unit sau Irlandei nu le revin obligații în temeiul normelor Uniunii privind formele de cooperare judiciară în materie penală sau de cooperare polițienească care necesită respectarea dispozițiilor stabilite în temeiul articolului 16 din TFUE.

(100) În conformitate cu articolele 2 și 2a din Protocolul nr. 22 privind poziția Danemarcei, astfel cum a fost anexat la TUE și la TFUE, Danemarcei nu îi revin obligații în temeiul normelor stabilite în prezenta directivă și acestea nu i se aplică în ceea ce privește prelucrarea datelor cu caracter personal de către statele membre în exercitarea activităților care intră sub incidența părții a treia titlul V capitolul 4 sau 5 din TFUE. Având în vedere faptul că prezenta directivă constituie o dezvoltare a acquis-ului Schengen, în temeiul părții a treia titlul V din TFUE, Danemarca decide, în conformitate cu articolul 4 din protocolul respectiv, în termen de șase luni de la adoptarea prezentei directive, dacă o va pune în aplicare în dreptul său intern.

(101) În ceea ce privește Islanda și Norvegia, prezenta directivă constituie o dezvoltare a dispozițiilor acquis-ului Schengen, în conformitate cu Acordul încheiat între Consiliul Uniunii Europene și de Republica Islanda și Regatul Norvegiei în ceea ce privește asocierea acestor două state la implementarea, aplicarea și dezvoltarea acquis-ului Schengen (15).

(102) În ceea ce privește Elveția, prezenta directivă constituie o dezvoltare a dispozițiilor acquis-ului Schengen, în conformitate cu Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (16).

(103) În ceea ce privește Liechtenstein, prezenta directivă reprezintă o dezvoltare a dispozițiilor acquis-ului Schengen, astfel cum se prevede în Protocolul dintre Uniunea Europeană, Comunitatea Europeană, Confederația Elvețiană și Principatul Liechtenstein privind aderarea Principatului Liechtenstein la Acordul dintre Uniunea Europeană, Comunitatea Europeană și Confederația Elvețiană privind asocierea Confederației Elvețiene la punerea în aplicare, respectarea și dezvoltarea acquis-ului Schengen (17).

(104) Prezenta directivă respectă drepturile fundamentale și principiile recunoscute de cartă, astfel cum sunt consacrate în TFUE, în special dreptul la respectarea vieții private și de familie, dreptul la protecția datelor cu caracter personal, dreptul la o cale de atac eficientă și la un proces echitabil. Limitările aduse acestor drepturi sunt în conformitate cu articolul 52 alineatul (1) din Cartă întrucât sunt necesare pentru atingerea obiectivelor de interes general recunoscute de Uniune sau pentru a proteja drepturile și libertățile celorlalți.

(105) În conformitate cu Declarația politică comună a statelor membre și a Comisiei din 28 septembrie 2011 privind documentele explicative, statele membre s-au angajat să însoțească, în cazurile justificate, notificarea măsurilor de transpunere cu unul sau mai multe documente care să explice relația dintre componentele unei directive și părțile corespunzătoare din măsurile naționale de transpunere. În ceea ce privește prezenta directivă, legiuitorul consideră că este justificată transmiterea unor astfel de documente.

(106) Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 28 alineatul (2) din Regulamentul (CE) nr. 45/2001 și a emis un aviz la data de 7 martie 2012 (18).

(107) Prezenta directivă nu ar trebui să împiedice statele membre să pună în aplicare exercitarea, în cadrul procedurilor penale, a drepturilor persoanelor vizate cu privire la informare, acces și rectificarea sau ștergerea datelor cu caracter personal și restricționare a prelucrării, precum și eventualele limitări ale acestor drepturi în normele procedurale penale de drept intern,