Recitale
(1) Prin Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (3) se instituie un sistem descentralizat de asigurare a respectării normelor, care urmărește să asigure interpretarea și aplicarea coerentă a respectivului regulament în cazurile referitoare la prelucrarea transfrontalieră. În astfel de cazuri, sistemul descentralizat de asigurare a respectării normelor necesită ca autoritățile de supraveghere să coopereze în încercarea de a ajunge la un consens. Atunci când autoritățile de supraveghere nu pot ajunge la un consens, Regulamentul (UE) 2016/679 prevede soluționarea litigiilor de către Comitetul european pentru protecția datelor (denumit în continuare „comitetul”).
(2) Pentru a asigura funcționarea armonioasă și eficace a mecanismului de cooperare prevăzut la articolul 60 din Regulamentul (UE) 2016/679 și a mecanismului de soluționare a litigiilor prevăzut la articolul 65 din regulamentul menționat, este necesară stabilirea unor norme privind desfășurarea procedurilor de către autoritățile de supraveghere în cazurile referitoare la prelucrarea transfrontalieră și de către comitet în timpul soluționării litigiilor, inclusiv în ceea ce privește tratarea plângerilor. Din acest motiv, este necesară, totodată, stabilirea unor norme privind exercitarea dreptului de a fi ascultat înainte de adoptarea deciziilor de către autoritățile de supraveghere și, după caz, de comitet.
(3) În lipsa unei reglementări a Uniunii în materie, revine fiecărui stat membru, în conformitate cu principiul autonomiei procedurale a statelor membre, sarcina de a stabili norme procedurale detaliate, administrative și judiciare, menite să asigure un nivel ridicat de protecție a drepturilor conferite justițiabililor prin dreptul Uniunii. Prin urmare, dreptul procedural al fiecărui stat membru ar trebui să se aplice autorităților de supraveghere în măsura în care prezentul regulament nu armonizează un aspect și atât timp cât normele procedurale de drept intern respective nu aduc atingere principiilor eficacității și echivalenței dreptului Uniunii.
(4) Prezentul regulament urmărește să garanteze că investigațiile în cazurile referitoare la prelucrarea transfrontalieră se desfășoară în conformitate cu principiul bunei administrări și, în special, că acestea se desfășoară în mod imparțial, echitabil și într-un termen rezonabil. Prin urmare, prezentul regulament stabilește unele principii orizontale referitoare la procedurile de asigurare a respectării Regulamentului (UE) 2016/679 în astfel de cazuri.
(5) Plângerile reprezintă o sursă esențială de informare pentru detectarea încălcărilor normelor privind protecția datelor. Informațiile comunicate de reclamant în cadrul plângerii depuse sau când își face cunoscute opiniile pot cuprinde argumente și dovezi în măsură să contribuie la progresul investigației. Este necesară stabilirea unor proceduri clare și eficiente pentru tratarea plângerilor în cazurile referitoare la prelucrarea transfrontalieră, deoarece este posibil ca plângerea să fie tratată de o altă autoritate de supraveghere decât cea la care a fost depusă.
(6) O plângere ar trebui înțeleasă ca fiind o cerere depusă de o persoană vizată la o autoritate de supraveghere în conformitate cu articolul 77 alineatul (1) sau cu articolul 80 din Regulamentul (UE) 2016/679. Simpla raportare a presupuselor încălcări care nu se referă la prelucrarea datelor cu caracter personal privind persoana vizată, cererile de consiliere din partea operatorilor sau a persoanelor împuternicite de operatori ori cererile generale referitoare la aplicarea Regulamentului (UE) 2016/679, din partea operatorilor, a persoanelor împuternicite de operatori sau a persoanelor fizice, nu trebuie să fie considerate ca fiind plângeri.
(7) Pentru ca o plângere privind prelucrarea transfrontalieră să fie admisibilă, aceasta ar trebui să conțină informații specifice. Pentru ca o astfel de plângere să fie admisibilă, nu ar trebui să fie necesare informații suplimentare față de cele specificate în prezentul regulament. Continuă să se aplice modalitățile și cerințele administrative pentru admisibilitatea plângerilor în temeiul dreptului intern al autorității de supraveghere la care a fost depusă plângerea, cum ar fi regimul lingvistic, termenul de prescripție, mijloacele de identificare, formularul electronic, modelul specific sau semnătura.
(8) Datele de contact ale persoanei care depune plângerea ar putea include adresa poștală, locul de reședință și, dacă există, o adresă de e-mail. În momentul depunerii plângerii, trebuie să fie precizat clar dacă reclamantul este o persoană fizică care nu este în măsură să își exercite dreptul de a depune o plângere fără asistența unui reprezentant legal, de exemplu pentru că este copil sau pentru că are o dizabilitate sau o vulnerabilitate și, prin urmare, își exercită drepturile prin intermediul unei alte persoane, cum ar fi un părinte, un tutore legal sau un membru al familiei, cu condiția ca o astfel de reprezentare să fie permisă în temeiul dreptului intern.
(9) În cazul în care plângerea este depusă de un organism, o organizație sau o asociație fără scop lucrativ, astfel cum se menționează la articolul 80 din Regulamentul (UE) 2016/679, ar trebui să se prezinte dovada că organismul, organizația sau asociația a fost constituit(ă) corespunzător în conformitate cu dreptul unui stat membru, împreună cu denumirea și datele de contact ale respectivului organism, organizație sau asociație, precum și dovada că organismul, organizația sau asociația în cauză acționează pe baza unui mandat din partea persoanei vizate. Modalitățile și procedurile referitoare la dovezile respective sunt stabilite în conformitate cu dreptul statului membru al autorității de supraveghere la care a fost depusă plângerea.
(10) Reclamantul nu ar trebui să aibă obligația de a contacta partea investigată, înainte de a depune plângerea, pentru ca plângerea respectivă să fie admisibilă. În cazul în care plângerea se referă la exercitarea unui drept al persoanei vizate care se întemeiază pe transmiterea unei cereri operatorului de către persoana vizată, cererea respectivă ar trebui să-i fie transmisă operatorului înainte de depunerea plângerii.
(11) Autoritatea de supraveghere la care a fost depusă plângerea ar trebui să stabilească, printr-o concluzie preliminară, dacă plângerea se referă la prelucrarea transfrontalieră, autoritatea de supraveghere care se presupune că este competentă să acționeze în calitate de autoritate de supraveghere principală în conformitate cu articolul 56 alineatul (1) din Regulamentul (UE) 2016/679 și dacă se aplică articolul 56 alineatul (2) din regulamentul respectiv. În cazul în care nu a fost inițiată o procedură de soluționare timpurie, autoritatea de supraveghere la care a fost depusă plângerea ar trebui să transmită plângerile admisibile autorității de supraveghere care se presupune că este competentă să acționeze în calitate de autoritate de supraveghere principală și să informeze reclamantul în acest sens. Stabilirea admisibilității plângerii de către autoritatea de supraveghere la care a fost depusă plângerea, ar trebui să aibă caracter obligatoriu pentru autoritatea de supraveghere principală.
(12) Este important ca autoritățile de supraveghere să faciliteze transmiterea de către reclamant a tuturor informațiilor solicitate, de exemplu prin punerea la dispoziție a unor modele sau formulare electronice, ținând seama de orientările pertinente ale comitetului. Autoritățile de supraveghere pot facilita depunerea plângerilor într-un format electronic ușor de utilizat și ținând seama de nevoile persoanelor cu dizabilități, atât timp cât informațiile solicitate din partea reclamantului corespund informațiilor specifice necesare. Pentru ca cererea să fie considerată admisibilă nu ar trebui să fie necesară nicio informație suplimentară.
(13) Pentru a facilita tratarea unei plângeri, autoritățile de supraveghere ar trebui să poată solicita informații suplimentare din partea reclamantului. Dacă lipsesc unele dintre informațiile necesare pentru ca o plângere să fie considerată admisibilă, autoritatea de supraveghere la care a fost depusă plângerea ar putea contacta reclamantul pentru a obține informațiile lipsă, în măsura posibilului. În cazul în care o plângere este inadmisibilă, autoritatea de supraveghere ar trebui să declare cererea inadmisibilă și să informeze reclamantul cu privire la informațiile lipsă, în termenul prevăzut de prezentul regulament, pentru a-i oferi acestuia posibilitatea de a depune o plângere admisibilă.
(14) În cazul în care, după primirea de la o autoritate de supraveghere a unei plângeri admisibile referitoare la prelucrarea transfrontalieră, autoritatea de supraveghere principală solicită informații suplimentare din partea reclamantului care să permită investigarea completă a plângerii, autoritatea de supraveghere la care a fost depusă plângerea ar trebui să asiste autoritatea de supraveghere principală, inclusiv prin contactarea reclamantului pentru a solicita informațiile necesare, dacă este necesar.
(15) Dacă autoritatea de supraveghere principală inițiază o investigație în temeiul unei plângeri, părțile investigate ar trebui să fie informate fără întârziere cu privire la depunerea plângerii respective și la principalele sale elemente. Cu toate acestea, comunicarea unor astfel de informații de către autoritatea de supraveghere principală ar putea fi amânată atât timp cât este necesar pentru a proteja integritatea investigației și pentru a face posibilă aplicarea eficace a măsurilor de investigare.
(16) Pentru a garanta funcționarea eficace a mecanismelor de cooperare și pentru asigurarea coerenței prevăzute în capitolul VII din Regulamentul (UE) 2016/679, este important ca soluționarea cazurilor referitoare la prelucrarea transfrontalieră să se asigure în timp util și în spiritul cooperării loiale și eficace care stă la baza articolului 60 din Regulamentul (UE) 2016/679. Autoritatea de supraveghere principală ar trebui să își exercite competența într-un cadru de cooperare strânsă cu celelalte autorități de supraveghere vizate. De asemenea, autoritățile de supraveghere vizate ar trebui să se implice activ în investigație dintr-un stadiu incipient al acesteia, în încercarea de a ajunge la un consens, utilizând pe deplin instrumentele prevăzute în Regulamentul (UE) 2016/679. Este important ca cooperarea dintre autoritățile de supraveghere să se bazeze pe un dialog deschis, care să permită autorităților de supraveghere vizate să aibă un impact semnificativ asupra desfășurării investigației prin partajarea experiențelor și a opiniilor lor cu autoritatea de supraveghere principală, ținând seama în mod corespunzător de marja de apreciere de care dispune fiecare autoritate de supraveghere. Autoritățile de supraveghere ar trebui să desfășoare procedurile rapid și eficient și să coopereze loial și eficace, inclusiv prin acordarea de sprijin, dacă este necesar, și răspunzând fără întârziere cererilor.
(17) Autoritățile de supraveghere ar trebui să decidă cu privire la plângeri într-un termen rezonabil. Din acest motiv, prezentul regulament stabilește termene. Stabilirea a ceea ce înseamnă un termen rezonabil depinde de împrejurările fiecărui caz și, în special, de contextul acestuia, de diferitele etape procedurale parcurse de autoritatea de supraveghere principală, de comportamentul părților investigate și al reclamantului în cursul procedurii și de complexitatea cazului. Pentru a proteja cu eficacitate drepturile și libertățile fundamentale ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal, este important ca plângerile să fie tratate rapid și eficient. În funcție de circumstanțele cazului, timpul necesar pentru tratarea unei plângeri ar putea fi mai scurt decât termenul prevăzut în prezentul regulament. Cooperarea eficientă dintre autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate poate avea, de asemenea, un impact pozitiv asupra gestionării rapide a cazurilor.
(18) Un reclamant ar trebui să poată comunica exclusiv cu autoritatea de supraveghere la care i-a fost depusă plângerea. Posibilitatea respectivă nu îl împiedică pe reclamant să comunice direct cu altă autoritate de supraveghere, inclusiv cu autoritatea de supraveghere principală.
(19) Este important să se țină seama de datele cu caracter personal prelucrate și de situația persoanei vizate, de exemplu în cazul în care o plângere se referă la prelucrarea datelor cu caracter personal ale copiilor.
(20) Autoritatea de supraveghere principală ar trebui să comunice autorității de supraveghere la care a fost depusă plângerea informațiile necesare cu privire la evoluția investigației cu scopul de a-i oferi informații actualizate reclamantului.
(21) Pentru a pune capăt rapid încălcărilor Regulamentului (UE) 2016/679 și a le oferi reclamanților o soluționare rapidă a plângerilor lor, autoritățile de supraveghere ar trebui să depună eforturi, după caz, pentru a soluționa plângerile printr-o procedură de soluționare timpurie, în conformitate cu prezentul regulament. În acest scop, autoritatea de supraveghere ar trebui să stabilească dacă presupusa încălcare menționată în plângere a încetat, în așa fel încât plângerea să fi rămas fără obiect. Statele membre nu au obligația să introducă noi proceduri în temeiul dreptului intern pentru a permite autorităților lor de supraveghere să soluționeze o plângere printr-o procedură de soluționare timpurie.
(22) O plângere ar trebui să fie soluționată printr-o procedură de soluționare timpurie numai atunci când reclamantul nu a prezentat în timp util o obiecție cu privire la constatarea că presupusa încălcare a încetat și astfel plângerea a rămas fără obiect. Prin urmare, soluționarea timpurie a unei plângeri ar trebui să se aplice în cazurile în care reclamantul este în măsură să evalueze corespunzător soluția propusă.
(23) Soluționarea timpurie a unei plângeri poate fi deosebit de utilă pentru a soluționa rapid în beneficiul reclamantului plângerile referitoare la încălcări ale drepturilor persoanei vizate în temeiul capitolului III din Regulamentul (UE) 2016/679. Respectiva soluționare timpurie ar trebui să permită autorității de supraveghere la care a fost depusă plângerea sau autorității de supraveghere principale să stabilească, pe baza unui dialog preliminar cu operatorul și cu condiția să fi fost obținute probe justificative, că plângerea a rămas fără obiect.
(24) Soluționarea timpurie a unei plângeri printr-o procedură de soluționare timpurie nu ar trebui să aducă atingere exercitării de către autoritatea de supraveghere principală a competențelor sale în conformitate cu Regulamentul (UE) 2016/679 cu privire la același subiect, de exemplu în cazul încălcărilor sistemice sau repetate ale regulamentului respectiv.
(25) În cazul în care autoritatea de supraveghere principală căreia i-a fost transmisă plângerea consideră că o plângere poate fi soluționată printr-o procedură de soluționare timpurie, celorlalte autorități de supraveghere vizate ar trebui să le fie transmis, în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679, un proiect de decizie în vederea adoptării unei decizii finale, în conformitate cu articolul 60 alineatul (7) din Regulamentul (UE) 2016/679, prin care se stabilește faptul că presupusa încălcare a încetat și că plângerea a fost soluționată integral sau parțial de către autoritatea de supraveghere principală. Prin urmare, proiectul de decizie prezentat ar putea fi simplificat și s-ar putea limita la comunicarea informației că plângerea a fost soluționată, integral sau parțial, printr-o procedură de soluționare timpurie, precizând motivele care stau la baza deciziei și sfera de aplicare a soluționării și confirmând că plângerea a rămas așadar fără obiect. În astfel de cazuri, autoritatea de supraveghere principală ar trebui să transmită direct proiectul său de decizie celorlalte autorități de supraveghere vizate, fără a trebui să elaboreze și să difuzeze un rezumat al aspectelor-cheie sau al constatărilor preliminare.
(26) În cazul în care autoritatea de supraveghere principală a formulat o opinie preliminară cu privire la principalele aspecte ale unei investigații, aceasta ar trebui să poată coopera cu celelalte autorități de supraveghere vizate printr-o procedură simplă de cooperare. Procedura simplă de cooperare ar trebui aplicată de la caz la caz, cu condiția ca autoritatea de supraveghere principală să considere că nu există nicio îndoială rezonabilă cu privire la domeniul de aplicare al investigației și că elementele de drept și materiale identificate nu necesită o cooperare suplimentară, care ar fi necesară în scopul unei investigații complexe, în special atunci când elementele respective pot fi abordate pe baza caracteristicilor cazului și a deciziilor anterioare în cazuri similare. Mai mult, este important ca jurisprudența existentă și orientările adoptate de comitet cu privire la presupusele încălcări ale Regulamentului (UE) 2016/679 care urmează să fie investigate să fie, de asemenea, luate în considerare de autoritatea de supraveghere principală atunci când consideră că este probabil să se ajungă la un consens referitor la principalele elemente ale unui caz. În principiu, procedura simplă de cooperare nu se aplică atunci când cazul ridică probleme sistemice sau recurente în mai multe state membre, se referă la o problemă juridică generală privind interpretarea, aplicarea sau asigurarea respectării Regulamentului (UE) 2016/679, se situează la intersecția dintre protecția datelor și alte domenii juridice, afectează un număr mare de persoane vizate din mai multe state membre sau este legat de un număr mare de plângeri din mai multe state membre ori în eventualitatea unui risc ridicat pentru drepturile și libertățile persoanelor vizate.
(27) În cazul în care autoritatea de supraveghere principală intenționează să aplice procedura simplă de cooperare, aceasta ar trebui să informeze celelalte autorități de supraveghere vizate cu privire la intenția sa și să comunice toate informațiile pertinente privind caracteristicile cazului și ale plângerii, inclusiv principalele fapte pertinente și presupusa încălcare care urmează să fie investigată. Atunci când se aplică procedura simplă de cooperare, autoritatea de supraveghere principală ar trebui să coopereze în continuare cu celelalte autorități de supraveghere vizate și să prezinte un proiect de decizie în termenele prevăzute în prezentul regulament.
(28) În situația în care o autoritate de supraveghere este obligată să parcurgă anumite etape procedurale în termene determinate, scopul termenelor respective este de a garanta că procedura avansează și se încheie într-un interval de timp rezonabil. Termenele în cauză nu împiedică autoritățile de supraveghere să parcurgă etapele procedurale necesare după expirarea lor. Prin urmare, este necesar să se asigure că parcurgerea unor astfel de etape procedurale după expirarea termenelor aferente nu poate fi considerată drept motiv de nelegalitate sau de nevaliditate a respectivei etape procedurale ori a deciziei finale.
(29) Autoritatea de supraveghere principală ar trebui să poată prelungi termenul pentru prezentarea unui proiect de decizie. Astfel de prelungiri ar trebui să se aplice numai în mod excepțional, pe baza complexității unui caz. Celelalte autorități de supraveghere vizate ar trebui să fie informate cu privire la prelungiri, precum și să poată prezenta obiecții cu privire la prelungire, de care autoritatea de supraveghere principală ar trebui să țină seama atunci când stabilește dacă va aplica o prelungire a termenului și, după caz, durata prelungirii respective.
(30) În cazul în care autoritatea de supraveghere principală prelungește termenul de prezentare a unui proiect de decizie, celelalte autorități de supraveghere vizate ar trebui să poată informa autoritatea de supraveghere principală că, potrivit evaluării lor, este necesar să se acționeze pentru a proteja drepturile și libertățile persoanelor vizate. În cazul în care autoritatea de supraveghere principală a fost informată cu privire la o astfel de evaluare și nu prezintă un proiect de decizie în termenul prelungit, criteriile pentru necesitatea urgentă de a acționa, în conformitate cu articolul 66 alineatul (1) din Regulamentul (UE) 2016/679, ar trebui să fie considerate ca fiind îndeplinite. În pofida posibilității respective, procedura de urgență rămâne la dispoziția autorităților de supraveghere, sub rezerva condițiilor prevăzute la articolul 66 din Regulamentul (UE) 2016/679.
(31) Pentru a garanta că procedurile se desfășoară eficient, fără a aduce atingere autonomiei procedurale a statelor membre, căile de atac împotriva măsurilor procedurale luate de autoritățile de supraveghere este preferabil să fie disponibile numai împreună cu o cale de atac împotriva unei decizii finale, cu excepția situației în care etapa procedurală în sine afectează ireversibil drepturile părții investigate sau ale reclamantului, indiferent de decizia finală.
(32) Este deosebit de important ca autoritățile de supraveghere să ajungă la un consens cu privire la aspectele-cheie ale cazului cât mai curând posibil și înainte ca proiectul de decizie menționat la articolul 60 din Regulamentul (UE) 2016/679 să fie adoptat.
(33) Schimbul de informații pertinente între autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate este un element important în sprijinul spiritului de cooperare loială și eficace. Schimbul de informații pertinente și comunicarea în timp util de informații specifice de către autoritatea de supraveghere principală constituie un proces continuu pe parcursul unei investigații, iar documentele și detaliile necesare pot varia în funcție de complexitatea cazului. În funcție de stadiul investigației și de circumstanțele cazului, printre informațiile pertinente s-ar putea număra corespondența schimbată cu operatorul sau cu persoana vizată în ceea ce privește o plângere sau o investigație, documentele pregătitoare pentru un audit sau o inspecție ori o evaluare tehnică sau juridică preliminară efectuată de autoritatea de supraveghere principală în urma unei etape specifice a investigației sale.
(34) Deși autoritatea de supraveghere principală ar trebui să comunice celorlalte autorități de supraveghere vizate toate informațiile pertinente de îndată ce devin disponibile, celelalte autorități de supraveghere vizate ar trebui, de asemenea, să pună la dispoziție în mod proactiv toate informațiile pertinente considerate a fi utile pentru evaluarea elementelor de drept și materiale ale unui caz. Schimbul de informații pertinente ar trebui să sprijine cooperarea rapidă și eficace dintre autoritățile de supraveghere și poate fi susținut, în anumite cazuri, prin rezumate, extrase sau copii ale documentelor, pentru a facilita înțelegerea rapidă a unui caz, făcând posibilă în același timp comunicarea de informații suplimentare atunci când sunt necesare. Pentru a facilita schimbul eficace și adecvat de informații pertinente între autoritățile de supraveghere, comitetul ar trebui să poată preciza modalitățile și cerințele referitoare la schimbul de astfel de informații.
(35) Ca parte a informațiilor pertinente cu privire la un anumit caz, autoritatea de supraveghere principală ar trebui să pună la dispoziția celorlalte autorități de supraveghere vizate un rezumat al aspectelor-cheie, în care să își prezinte opinia preliminară cu privire la principalele aspecte ale unei investigații. Rezumatul respectiv ar trebui să fie pus la dispoziție într-o etapă suficient de timpurie pentru a permite includerea efectivă a opiniilor prezentate de celelalte autorități de supraveghere vizate, dar totodată într-o etapă în care autoritatea de supraveghere principală deține suficiente elemente pentru a-și forma opiniile cu privire la caz, eventual prin intermediul unei analize preliminare și al unor posibile măsuri de investigație inițiale. După caz, rezumatul aspectelor-cheie ar trebui să includă, de asemenea, identificarea preliminară a unor eventuale măsuri corective în situațiile în care autoritatea de supraveghere principală dispune de suficiente elemente pentru a-și forma o opinie preliminară cu privire la măsurile respective, în special atunci când dispozițiile Regulamentului (UE) 2016/679 vizate de presupusa încălcare pot fi ușor identificate într-un stadiu incipient.
(36) Autoritățile de supraveghere vizate ar trebui să aibă posibilitatea de a-și prezenta observațiile referitoare la rezumatul aspectelor-cheie, inclusiv cu privire la o gamă largă de aspecte, cum ar fi domeniul de aplicare al investigației, identificarea presupuselor încălcări și identificarea elementelor de drept și materiale pertinente pentru investigație. Având în vedere că domeniul de aplicare al investigației determină aspectele care trebuie investigate de autoritatea de supraveghere principală, autoritățile de supraveghere ar trebui să depună eforturi pentru a ajunge la un consens cât mai curând posibil cu privire la domeniul de aplicare al investigației.
(37) În interesul unei cooperări eficace și incluzive între autoritatea de supraveghere principală și toate celelalte autorități de supraveghere vizate, este important ca rezumatul aspectelor-cheie și observațiile autorităților de supraveghere vizate să fie concise și formulate în termeni suficient de clari și de preciși pentru a fi ușor de înțeles de către toate autoritățile de supraveghere. Argumentele juridice ar trebui grupate în funcție de partea din rezumatul aspectelor-cheie la care se referă. Rezumatul aspectelor-cheie și observațiile autorităților de supraveghere vizate pot fi completate cu documente suplimentare. Cu toate acestea, simpla referire în observațiile unei autorități de supraveghere vizate la documente suplimentare nu poate suplini lipsa unor argumente esențiale de drept sau materiale care ar trebui să figureze în observații. Elementele esențiale de drept și materiale pe care se bazează astfel de documente trebuie să figureze, cel puțin într-o formă succintă, însă exprimate într-o manieră coerentă și inteligibilă, în observația propriu-zisă.
(38) Autoritățile de supraveghere ar trebui să poată utiliza toate mijloacele necesare pentru a ajunge la un consens într-un spirit de cooperare loială și eficace. În cazul în care există o divergență de opinii între autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate în ceea ce privește domeniul de aplicare al unei investigații întemeiate pe o plângere, inclusiv cu privire la dispozițiile Regulamentului (UE) 2016/679 vizate de presupusa încălcare ce urmează să fie investigată, sau în cazul în care observațiile autorităților de supraveghere vizate se referă la o modificare importantă a evaluării elementelor de drept sau materiale complexe ori la identificarea preliminară a unor eventuale măsuri corective, autoritățile de supraveghere vizată pot utiliza instrumentele prevăzute la articolele 61 și 62 din Regulamentul (UE) 2016/679.
(39) Regulamentul (UE) 2016/679 permite autorității de supraveghere să solicite o decizie obligatorie urgentă din partea comitetului în cazul în care o autoritate de supraveghere competentă nu a luat o măsură adecvată într-o situație în care există o necesitate urgentă de a acționa pentru a proteja drepturile și libertățile persoanelor vizate. În temeiul prezentului regulament, în cazul în care, după utilizarea mijloacelor prevăzute în prezentul regulament, autoritățile de supraveghere nu reușesc să ajungă la un consens în ceea ce privește domeniul de aplicare al unei investigații întemeiate pe o plângere, condițiile pentru a solicita o decizie obligatorie urgentă, menționate la articolul 66 alineatul (3) din Regulamentul (UE) 2016/679, ar trebui să fie considerate ca fiind îndeplinite, iar autoritatea de supraveghere principală ar trebui să solicite o decizie obligatorie urgentă a comitetului. Decizia obligatorie urgentă a comitetului cu privire la domeniul de aplicare al unei investigații întemeiate pe o plângere nu poate aduce atingere rezultatului investigației autorității de supraveghere principale sau eficacității dreptului de a fi ascultate al părților investigate.
(40) Drepturile procedurale ar trebui să-i fie conferite reclamantului în măsura în care sunt în cauză drepturile și libertățile sale în calitate de persoană vizată. Etapele procedurale prevăzute în prezentul regulament, referitoare la cooperarea dintre autoritățile de supraveghere, nu conferă drepturi reclamantului sau părților investigate. Prin urmare, prezentul regulament precizează acele dispoziții privind etapele procedurale care nu conferă drepturi persoanelor fizice sau părților care fac obiectul unei investigații sau care nu limitează drepturile respective.
(41) Reclamanții ar trebui să aibă posibilitatea de a-și face cunoscute opiniile înainte de luarea unei decizii care îi afectează în mod negativ. Prin urmare, în cazul în care o plângere este respinsă sau refuzată, integral sau parțial, într-un caz referitor la prelucrarea transfrontalieră, reclamantul ar trebui să aibă posibilitatea de a-și face cunoscute opiniile înainte de prezentarea unui proiect de decizie în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679, a unui proiect revizuit de decizie în temeiul articolului 60 alineatul (5) din regulamentul respectiv sau a unei decizii obligatorii a comitetului în temeiul articolului 65 alineatul (1) litera (a) din regulamentul respectiv.
(42) În situația în care o plângere este respinsă sau refuzată, integral sau parțial, într-un caz referitor la prelucrarea transfrontalieră, este necesar să se clarifice repartizarea responsabilităților între autoritatea de supraveghere principală și autoritatea de supraveghere la care a fost depusă plângerea. În calitate de punct de contact pentru reclamant în cursul investigației, autoritatea de supraveghere la care a fost depusă plângerea ar trebui să ofere reclamantului posibilitatea de a-și face cunoscute opiniile cu privire la propunerea de a respinge sau refuza, integral sau parțial, plângerea și ar trebui să fie responsabilă de toate comunicările cu reclamantul. Toate aceste comunicări ar trebui transmise autorității de supraveghere principale. Întrucât, în conformitate cu articolul 60 alineatele (8) și (9) din Regulamentul (UE) 2016/679, autoritatea de supraveghere la care a fost depusă plângerea are responsabilitatea de a adopta decizia finală prin care se respinge sau se refuză, integral sau parțial, o plângere, autoritatea de supraveghere principală ar trebui să elaboreze proiectul de decizie în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679 în cooperare cu autoritatea de supraveghere la care a fost depusă plângerea. Cooperarea respectivă include posibilitatea de a solicita asistență din partea autorității de supraveghere la care a fost depusă plângerea la elaborarea proiectului în cauză.
(43) Asigurarea respectării eficiente a normelor Uniunii privind protecția datelor ar trebui să respecte pe deplin drepturile la apărare ale părților investigate, ceea ce constituie un principiu fundamental al dreptului Uniunii care trebuie respectat în toate împrejurările, iar drepturile respective prezintă o importanță deosebită în procedurile care ar putea conduce la aplicarea de sancțiuni.
(44) Pentru a garanta în mod eficace dreptul la bună administrare și dreptul la apărare, astfel cum sunt consacrate în Carta drepturilor fundamentale a Uniunii Europene („Carta”), este important să fie stabilite norme clare privind exercitarea dreptului oricărei persoane de a fi ascultată înainte de luarea oricărei măsuri individuale care i-ar putea aduce atingere.
(45) Normele privind procedura administrativă aplicată de autoritățile de supraveghere atunci când asigură respectarea Regulamentului (UE) 2016/679 ar trebui să asigure faptul că părțile investigate au efectiv posibilitatea de a-și face cunoscute opiniile cu privire la veridicitatea și relevanța presupuselor fapte și a circumstanțelor, precum și a obiecțiilor prezentate de autoritatea de supraveghere în cursul procedurii, permițându-le astfel să își exercite dreptul la apărare. Constatările preliminare stabilesc poziția preliminară cu privire la presupusa încălcare a Regulamentului (UE) 2016/679 în urma unei investigații. Acestea constituie, așadar, o garanție procedurală esențială, prin care se asigură respectarea dreptului de a fi ascultat. Părților investigate ar trebui să li se pună la dispoziție documentele necesare pentru a se apăra în mod eficient și pentru a prezenta observații cu privire la acuzațiile formulate împotriva lor, primind acces la dosarul administrativ.
(46) Normele respective nu ar trebui să aducă atingere posibilității ca autoritățile de supraveghere să acorde acces suplimentar la dosarul administrativ pentru a asculta opiniile oricăreia dintre părțile investigate sau ale reclamantului în cursul procedurilor, în conformitate cu dreptul intern al autorității de supraveghere principale.
(47) Constatările preliminare definesc domeniul de aplicare al investigației și, prin urmare, domeniul de aplicare al oricărei decizii finale viitoare, adoptată, după caz, pe baza unei decizii obligatorii emise de comitet în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 care poate fi adresată operatorilor sau persoanelor împuternicite de operatori. Chiar dacă sunt succinte, constatările preliminare ar trebui să fie suficient de clare pentru a permite părților investigate să identifice în mod corespunzător natura presupusei încălcări a Regulamentului (UE) 2016/679. Obligația de a comunica părților investigate toate informațiile necesare pentru a se apăra în mod corespunzător este îndeplinită în cazul în care decizia finală nu susține că părțile investigate au săvârșit alte încălcări decât cele menționate în constatările preliminare și ia în considerare numai faptele cu privire la care părțile investigate au avut posibilitatea de a-și face cunoscute opiniile. Cu toate acestea, nu este necesar ca decizia finală a autorității de supraveghere principale să fie identică cu constatările preliminare. Autoritatea de supraveghere principală ar trebui să poată să țină seama în decizia finală de răspunsurile părților investigate la constatările preliminare și, după caz, în proiectul revizuit de decizie prevăzut la articolul 60 alineatul (5) din Regulamentul (UE) 2016/679. Autoritatea de supraveghere principală ar trebui să poată efectua propria evaluare a faptelor și a argumentelor juridice prezentate de părțile investigate, fie pentru a respinge argumentele atunci când autoritatea de supraveghere principală le consideră nefondate, fie pentru a-și completa și reformula constatările, atât în fapt, cât și în drept, în sprijinul argumentelor pe care le menține. De exemplu, luarea în considerare a unui argument invocat de o parte investigată în cursul procedurii administrative, fără ca acesteia să i se fi oferit posibilitatea de a-și exprima o opinie în această privință înainte de adoptarea deciziei finale, nu poate constitui în sine o încălcare a dreptului la apărare.
(48) Prezentul regulament prevede norme pentru situațiile în care dreptul intern impune autorității de supraveghere principale să se implice în proceduri interne ulterioare legate de același caz, cum ar fi procedurile de recurs administrativ.
(49) Părților investigate ar trebui să li se acorde dreptul de a fi ascultate înainte de prezentarea unui proiect revizuit de decizie în temeiul articolului 60 alineatul (5) din Regulamentul (UE) 2016/679 sau înainte de adoptarea unei decizii obligatorii de către comitet în temeiul articolului 65 alineatul (1) litera (a) din regulamentul respectiv. Printre elementele juridice noi se numără obiecții pertinente și motivate în cazul în care obiecțiile respective cuprind alte evaluări juridice decât cele propuse de autoritatea de supraveghere principală în proiectul de decizie transmis în temeiul articolului 60 alineatul (4) din Regulamentul (UE) 2016/679.
(50) Reclamanților ar trebui să li se ofere posibilitatea de a fi asociați la procedurile inițiate de o autoritate de supraveghere în vederea identificării sau a clarificării aspectelor legate de o posibilă încălcare a Regulamentului (UE) 2016/679. Faptul că o autoritate de supraveghere a inițiat deja o investigație cu privire la obiectul plângerii sau că va trata plângerea în cadrul unei investigații din oficiu după primirea acesteia nu împiedică încadrarea unei persoane vizate drept reclamant. O investigație efectuată de o autoritate de supraveghere cu privire la o posibilă încălcare a Regulamentului (UE) 2016/679 de către un operator sau o persoană împuternicită de operator este o procedură inițiată de o autoritate de supraveghere, din proprie inițiativă sau în temeiul unei plângeri, în vederea îndeplinirii sarcinilor care îi revin în temeiul articolului 57 alineatul (1) din regulamentul respectiv. Părțile investigate și reclamantul nu se află în aceeași situație procedurală și este esențial să se garanteze dreptul la apărare al părții investigate. Părțile investigate și reclamantul pot invoca dreptul fundamental de a fi ascultați atunci când decizia le afectează negativ situația juridică.
(51) Reclamanților ar trebui să li se ofere posibilitatea de a prezenta în scris opinii cu privire la constatările preliminare, în măsura în care opiniile respective se referă la plângerea lor privind prelucrarea datelor lor cu caracter personal. Totuși, aceștia nu ar trebui să aibă acces la secretele comerciale sau la alte informații confidențiale care aparțin părților investigate sau unor terți.
(52) Atunci când stabilesc termenele în care părțile investigate și reclamanții trebuie să își prezinte opiniile cu privire la constatările preliminare, este important ca autoritățile de supraveghere să țină seama de complexitatea problemelor ridicate în constatările preliminare, pentru a se asigura că părțile investigate și reclamanții au suficient timp să își prezinte în mod judicios opiniile cu privire la problemele ridicate.
(53) Schimbul de opinii între autoritățile de supraveghere înainte de prezentarea unui proiect de decizie implică un dialog deschis și un schimb de opinii amplu, în cadrul căruia autoritățile de supraveghere ar trebui să facă tot posibilul pentru a ajunge la un consens cu privire la calea de urmat în cadrul unei investigații. În schimb, dezacordul exprimat în cadrul obiecțiilor relevante și motivate formulate în temeiul articolului 60 alineatul (4) din Regulamentul (UE) 2016/679, care implică posibilitatea recurgerii la mecanismul de soluționare a litigiilor dintre autoritățile de supraveghere prevăzut la articolul 65 din regulamentul respectiv și întârzie adoptarea unei decizii finale de către autoritatea de supraveghere competentă, ar trebui să survină numai în cazul în care autoritățile de supraveghere nu reușesc să ajungă la un consens și, dacă este necesar, pentru a se asigura interpretarea consecventă a Regulamentului (UE) 2016/679. Astfel de obiecții ar trebui să fie utilizate atunci când sunt în joc aspecte legate de asigurarea consecventă a respectării Regulamentului (UE) 2016/679.
(54) În interesul încheierii eficiente și incluzive a procedurii de soluționare a litigiilor, în care toate autoritățile de supraveghere ar trebui să fie în măsură să își prezinte opiniile și ținând seama de constrângerile de timp aferente procedurii de soluționare a litigiilor, forma și structura obiecțiilor relevante și motivate ar trebui să îndeplinească anumite cerințe.
(55) Accesul la dosarul administrativ este prevăzut ca parte a dreptului la apărare și a dreptului la bună administrare consacrate în Cartă. Părților investigate ar trebui să li se acorde acces la dosarul administrativ atunci când sunt notificate cu privire la constatările preliminare și ar trebui să fie stabilit termenul pentru transmiterea răspunsului lor scris la constatările preliminare.
(56) Atunci când acordă acces la dosarul administrativ părților investigate și reclamantului, autoritățile de supraveghere ar trebui să asigure protecția secretelor comerciale și a altor informații confidențiale. Categoria „alte informații confidențiale” cuprinde informații, altele decât secretele comerciale, care pot fi considerate confidențiale în conformitate cu dreptul Uniunii și cu dreptul intern, în măsura în care dezvăluirea lor ar produce un prejudiciu grav unui operator, unei persoane împuternicite de operator sau unei persoane fizice sau juridice. Informațiile confidențiale ar trebui să se refere îndeosebi la informații care sunt cunoscute numai de un număr restrâns de persoane și a căror divulgare este de natură să aducă un prejudiciu important persoanei care le-a comunicat sau unor terți, iar interesele care ar putea fi lezate prin divulgarea respectivelor informații sunt, în mod obiectiv, demne de a fi protejate. Autoritățile de supraveghere ar trebui să poată solicita ca părțile investigate și care prezintă sau au prezentat documente sau declarații să identifice informațiile confidențiale.
(57) Atunci când divulgarea secretelor comerciale sau a altor informații confidențiale este necesară pentru a dovedi o încălcare, autoritățile de supraveghere ar trebui să evalueze în mod proporțional pentru fiecare document în parte dacă nevoia de a-l divulga prevalează asupra prejudiciului care ar putea fi generat de divulgare.
(58) Accesul la documentele incluse în dosarul administrativ pe baza accesului la documentele publice se acordă în conformitate cu dreptul intern al statelor membre. În acest sens, este important ca integritatea procesului decizional să fie protejată până la adoptarea deciziei finale de către autoritatea de supraveghere competentă.
(59) Este important ca comitetul să faciliteze accesul la deciziile adoptate în conformitate cu mecanismele de cooperare și de asigurare a coerenței, prin punerea la dispoziție online, prin intermediul unor registre ușor accesibile, a textului deciziilor finale adoptate de autoritățile naționale de supraveghere. În conformitate cu dreptul intern aplicabil, autoritățile de supraveghere pot secretiza numele, orice altă informație care permite identificarea părților investigate sau a reclamantului și alte informații protejate în temeiul dreptului Uniunii și al dreptului intern aplicabil.
(60) Este important ca punerea la dispoziția reclamantului a unei versiuni a deciziei finale în conformitate cu prezentul regulament să nu aducă atingere posibilității ca o autoritate de supraveghere să decidă dacă să facă publică decizia în cadrul competențelor sale corective.
(61) Atunci când transmite o sesizare cu privire la un subiect în vederea soluționării prin procedura de soluționare a litigiilor prevăzută la articolul 65 din Regulamentul (UE) 2016/679, autoritatea de supraveghere principală ar trebui să comunice comitetului toate documentele și informațiile necesare pentru a permite acestuia să evalueze admisibilitatea obiecțiilor relevante și motivate și să adopte o decizie în temeiul articolului 65 alineatul (1) litera (a) din regulamentul respectiv. Odată ce comitetul primește toate documentele și informațiile necesare, președintele comitetului ar trebui să înregistreze sesizarea subiectului în conformitate cu articolul 65 alineatul (2) din Regulamentul (UE) 2016/679.
(62) Decizia obligatorie a comitetului adoptată în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 ar trebui să se refere exclusiv la aspectele care au condus la declanșarea procedurii de soluționare a litigiilor și să fie redactată într-un mod care să permită autorității de supraveghere principale să își adopte decizia finală pe baza deciziei comitetului.
(63) Pentru a raționaliza soluționarea litigiilor dintre autoritățile de supraveghere sesizate comitetului în temeiul articolului 65 alineatul (1) literele (b) și (c) din Regulamentul (UE) 2016/679, este necesar să se precizeze normele procedurale privind documentele și informațiile care trebuie să fie transmise comitetului și pe care comitetul ar trebui să își întemeieze decizia. De asemenea, este necesar să se precizeze momentul în care comitetul ar trebui să înregistreze transmiterea spre soluționare a chestiunii prin procedura de soluționare a litigiilor.
(64) Pentru a raționaliza procedura de adoptare a avizelor de urgență și a deciziilor obligatorii urgente ale comitetului în temeiul articolului 66 alineatul (2) din Regulamentul (UE) 2016/679, este necesar să se specifice normele procedurale privind momentul introducerii cererilor privind un aviz de urgență sau o decizie obligatorie urgentă și documentele și informațiile care trebuie să fie transmise comitetului și pe care comitetul ar trebui să își întemeieze decizia.
(65) Regulamentul (UE) 2016/679 prevede că persoana vizată are dreptul la o cale de atac judiciară eficientă în cazul în care o autoritate de supraveghere competentă nu tratează o plângere. Prezentul regulament nu creează noi căi de atac judiciare în plus față de cele deja stabilite prin Regulamentul (UE) 2016/679 și nici nu limitează aplicarea căilor de atac judiciare instituite prin regulamentul respectiv. Anumite dispoziții ale prezentului regulament au o importanță deosebită pentru transmiterea la timp a deciziei finale de către autoritățile de supraveghere atunci când tratează plângerile. Atunci când se stabilește dacă o autoritate de supraveghere a tratat o plângere, ar trebui să se analizeze dacă autoritatea de supraveghere a respectat anumite termene prevăzute în prezentul regulament și în Regulamentul (UE) 2016/679. Pentru a stabili acest lucru, este esențial să fie protejat dreptul reclamantului de a i se trata plângerea într-un termen rezonabil. Dispozițiile prezentului regulament nu aduc atingere posibilității de a prevedea căi de atac în dreptul intern pentru partea investigată, având în vedere dreptul său de a beneficia de un tratament într-un termen rezonabil.
(66) Aplicarea prezentului regulament necesită instrumente digitale adecvate care să sprijine schimbul rapid și securizat de informații. Este important să fie disponibil un instrument electronic comun și securizat adecvat pentru toate autoritățile de protecție a datelor, ținând seama de experiența dobândită în utilizarea instrumentelor existente. De asemenea, este important să se pună la dispoziție resursele necesare pentru punerea în aplicare a unui astfel de instrument electronic și ca un astfel de instrument să faciliteze colectarea și consolidarea de către comitet a statisticilor privind asigurarea respectării legii în cazurile referitoare la prelucrarea transfrontalieră.
(67) Capitolele III și IV din prezentul regulament privesc cooperarea dintre autoritățile de supraveghere, la drepturile procedurale ale părților investigate și la implicarea reclamanților. Pentru a asigura securitatea juridică, dispozițiile respective nu ar trebui să se aplice investigațiilor în curs la momentul intrării în vigoare a prezentului regulament. Acestea ar trebui să se aplice investigațiilor din oficiu deschise după 15 luni de la data intrării în vigoare a prezentului regulament și investigațiilor întemeiate pe plângeri care au fost depuse după 15 luni de la data intrării în vigoare a prezentului regulament. Capitolele V și VI din prezentul regulament prevăd norme procedurale pentru cazurile transmise spre soluționare prin procedura de soluționare a litigiilor în temeiul articolului 65 din Regulamentul (UE) 2016/679 și pentru cererile privind un aviz de urgență sau o decizie obligatorie urgentă prevăzute la articolul 66 din Regulamentul (UE) 2016/679. Din motive de securitate juridică, capitolele respective nu ar trebui să se aplice cazurilor transmise spre soluționare prin procedura de soluționare a litigiilor înainte de intrarea în vigoare a prezentului regulament. Acestea ar trebui să se aplice tuturor cazurilor transmise spre soluționare prin procedura de soluționare a litigiilor după 15 luni de la data intrării în vigoare a prezentului regulament.
(68) Autoritatea Europeană pentru Protecția Datelor și Comitetul european pentru protecția datelor au fost consultate în conformitate cu articolul 42 alineatele (1) și (2) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (4) și au emis un aviz comun la 19 septembrie 2023,