Recitale
(1) Conceptul de operator și cel de persoană împuternicită de operator joacă un rol fundamental în aplicarea Regulamentului (UE) 2016/679 și a Regulamentului (UE) 2018/1725. „Operator” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal. În sensul Regulamentului (UE) 2018/1725, „operator” înseamnă instituția sau organul Uniunii ori direcția generală sau orice altă entitate organizațională care stabilește, singură sau împreună cu altele, scopurile și mijloacele de prelucrare a datelor cu caracter personal. În cazul în care scopurile și mijloacele acestei prelucrări sunt prevăzute într-un act specific al Uniunii, Uniunea poate stabili operatorul sau criteriile specifice pentru desemnarea acestuia. „Persoană împuternicită de operator” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează date cu caracter personal în numele operatorului.
(2) Același set de clauze contractuale standard ar trebui să se aplice în ceea ce privește relația dintre operatorii de date și persoanele împuternicite de operatori atât în cazul în care fac obiectul Regulamentului (UE) 2016/679, cât și în cazul în care fac obiectul Regulamentului (UE) 2018/1725. Motivul îl reprezintă faptul că, pentru a avea o abordare coerentă în ceea ce privește protecția datelor cu caracter personal în întreaga Uniune și în ceea ce privește libera circulație a datelor cu caracter personal în cadrul Uniunii, normele în materie de protecție a datelor prevăzute în Regulamentul (UE) 2016/679, aplicabile sectorului public din statele membre, și normele în materie de protecție a datelor prevăzute în Regulamentul (UE) 2018/1725, aplicabile instituțiilor, organelor, oficiilor și agențiilor Uniunii, au fost aliniate în măsura posibilului.
(3) Pentru a asigura respectarea cerințelor prevăzute în Regulamentele (UE) 2016/679 și (UE) 2018/1725, atunci când încredințează activități de prelucrare unei persoane împuternicite de operator, operatorul ar trebui să recurgă numai la persoane împuternicite de operatori care oferă garanții suficiente, în special în ceea ce privește cunoștințele de specialitate, fiabilitatea și resursele, pentru a implementa măsuri tehnice și organizatorice care îndeplinesc cerințele prevăzute în Regulamentul (UE) 2016/679 și în Regulamentul (UE) 2018/1725, inclusiv în ceea ce privește securitatea prelucrării.
(4) Prelucrarea de către o persoană împuternicită de operator trebuie să fie reglementată printr-un contract sau alt act juridic în temeiul dreptului Uniunii sau al dreptului intern, care are caracter obligatoriu pentru persoana împuternicită de operator în raport cu operatorul și care stabilește elementele prevăzute la articolul 28 alineatele (3) și (4) din Regulamentul (UE) 2016/679 și la articolul 29 alineatele (3) și (4) din Regulamentul (UE) 2018/1725. Acest contract sau act trebuie să se întocmească în scris, inclusiv în format electronic.
(5) În conformitate cu articolul 28 alineatul (6) din Regulamentul (UE) 2016/679 și cu articolul 29 alineatul (6) din Regulamentul (UE) 2018/1725, operatorul și persoana împuternicită de operator pot alege să negocieze un contract individual care să conțină elementele obligatorii prevăzute la articolul 28 alineatele (3) și (4) din Regulamentul (UE) 2016/679 sau la articolul 29 alineatele (3) și (4) din Regulamentul (UE) 2018/1725 sau să recurgă, integral sau parțial, la clauzele contractuale standard adoptate de Comisie în temeiul articolului 28 alineatul (7) din Regulamentul (UE) 2016/679 și al articolului 29 alineatul (7) din Regulamentul (UE) 2018/1725.
(6) Operatorul și persoana împuternicită de operator ar trebui să aibă libertatea de a include clauzele contractuale standard prevăzute în prezenta decizie în cadrul unui contract mai amplu sau de a adăuga alte clauze sau garanții suplimentare, atât timp cât acestea nu contravin, direct sau indirect, clauzelor contractuale standard sau nu aduc atingere drepturilor sau libertăților fundamentale ale persoanelor vizate. Recurgerea la clauzele contractuale standard nu aduce atingere niciunei obligații contractuale a operatorului și/sau a persoanei împuternicite de operator de a asigura respectarea privilegiilor și a imunităților aplicabile.
(7) Clauzele contractuale standard ar trebui să includă atât norme de fond, cât și norme procedurale. În conformitate cu articolul 28 alineatul (3) din Regulamentul (UE) 2016/679 și cu articolul 29 alineatul (3) din Regulamentul (UE) 2018/1725, clauzele contractuale standard ar trebui, de asemenea, să impună operatorului și persoanei împuternicite de operator să stabilească obiectul și durata prelucrării, natura și scopurile prelucrării, tipul de date cu caracter personal vizate, categoriile de persoane vizate, precum și obligațiile și drepturile operatorului.
(8) În temeiul articolului 28 alineatul (3) din Regulamentul (UE) 2016/679 și al articolului 29 alineatul (3) din Regulamentul (UE) 2018/1725, persoana împuternicită de operator trebuie să îl informeze imediat pe operator în cazul în care, în opinia sa, o instrucțiune a operatorului încalcă Regulamentul (UE) 2016/679 sau Regulamentul (UE) 2018/1725 sau alte dispoziții ale dreptului Uniunii sau ale dreptului intern referitoare la protecția datelor.
(9) Dacă o persoană împuternicită de operator recurge la o altă persoană împuternicită de operator pentru a efectua activități specifice, ar trebui să se aplice cerințele specifice prevăzute la articolul 28 alineatele (2) și (4) din Regulamentul (UE) 2016/679 sau la articolul 29 alineatele (2) și (4) din Regulamentul (UE) 2018/1725. În special, este necesară o autorizație scrisă prealabilă, specifică sau generală. Indiferent dacă această autorizație prealabilă este specifică sau generală, prima persoană împuternicită de operator ar trebui să întocmească și să mențină la zi o listă a celorlalte persoane împuternicite de operator.
(10) Pentru a îndeplini cerințele prevăzute la articolul 46 alineatul (1) din Regulamentul (UE) 2016/679, Comisia a adoptat clauze contractuale standard în temeiul articolului 46 alineatul (2) litera (c) din Regulamentul (UE) 2016/679. Aceste clauze îndeplinesc, de asemenea, cerințele prevăzute la articolul 28 alineatele (3) și (4) din Regulamentul (UE) 2016/679 pentru transferurile de date de la operatorii care fac obiectul Regulamentului (UE) 2016/679 către persoane împuternicite de operatori care nu intră sub incidența domeniului de aplicare teritorială a respectivului regulament sau de la persoanele împuternicite de operatori care fac obiectul Regulamentului (UE) 2016/679 către subcontractanți care nu intră sub incidența domeniului de aplicare teritorială a regulamentului menționat. Aceste clauze contractuale standard nu pot fi utilizate drept clauze contractuale standard în sensul capitolului V din Regulamentul (UE) 2016/679.
(11) Terții ar trebui să poată deveni parte la clauzele contractuale standard pe durata întregului ciclu de viață al contractului.
(12) Modul în care funcționează clauzele contractuale standard ar trebui analizat în cadrul evaluării periodice a Regulamentului (UE) 2016/679, prevăzută la articolul 97 din regulamentul menționat.
(13) Autoritatea Europeană pentru Protecția Datelor și Comitetul european pentru protecția datelor au fost consultate în conformitate cu articolul 42 alineatele (1) și (2) din Regulamentul (UE) 2018/1725 și au emis un aviz comun la 14 ianuarie 2021 (3), care a fost luat în considerare în cadrul activității de elaborare a prezentei decizii.
(14) Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului instituit în temeiul articolului 93 din Regulamentul (UE) 2016/679 și al articolului 96 alineatul (2) din Regulamentul (UE) 2018/1725,