               COMISIA EUROPEANĂ
            Bruxelles, 29.4.2016
            COM(2016) 237 final
            2016/0126(NLE)
            Propunere de
            DECIZIE A CONSILIULUI
            privind încheierea, în numele Uniunii Europene, a unui acord între Statele Unite ale Americii și Uniunea Europeană privind protecția informațiilor cu caracter personal referitoare la prevenirea, investigarea, detectarea și urmărirea penală a infracțiunilor

               EXPUNERE DE MOTIVE

               1.CONTEXTUL PROPUNERII

               •Motivele și obiectivele propunerii

                  În noiembrie 2006, a fost instituit un grup de contact la nivel înalt (High Level Contact Group, denumit în continuare „HLCG”), alcătuit din înalți funcționari din cadrul Comisiei, al Președinției Consiliului și al Departamentului de Justiție, al Departamentului pentru Securitate Internă și, respectiv, al Departamentului de Stat ale SUA. HGCG a primit sarcina de a studia modalități care să permită UE și SUA să conlucreze mai strâns și mai eficient în ceea ce privește schimbul de informații privind asigurarea respectării legii, asigurându-se totodată că protecția datelor cu caracter personal și a vieții private este garantată. Concluzia formulată de Grupul de contact la nivel înalt în raportul său final, prezentat în octombrie 2009
                     1
                  , a fost că cea mai bună opțiune o constituie un acord internațional care să oblige atât UE, cât și SUA să aplice principii comune, aprobate de ambele părți, în materie de protecție a datelor în ceea ce privește transferurile transatlantice de date din domeniul asigurării respectării legii: acest acord ar prezenta avantajul de a stabili elementele fundamentale ale unei protecții eficace a vieții private și a datelor cu caracter personal, care să reglementeze orice schimburi de informații în materie de asigurare a respectării legii și să ofere cel mai înalt nivel de securitate juridică.

                  La 3 decembrie 2010, Consiliul a adoptat o decizie prin care a autorizat Comisia să deschidă negocieri în vederea încheierii unui acord între Uniunea Europeană și Statele Unite ale Americii privind protecția datelor cu caracter personal atunci când acestea sunt transferate și prelucrate în scopul prevenirii, al investigării, al detectării și al urmăririi penale a infracțiunilor, inclusiv a terorismului, în cadrul cooperării polițienești și al cooperării judiciare în materie penală (denumit în continuare „acordul-cadru”)
                     2
                  .

                  Comisia a deschis negocierile la 28 martie 2011. La 8 septembrie 2015, părțile au parafat textul.

                  Acordul-cadru stabilește (pentru prima dată) un cadru cuprinzător de principii și de garanții în materie de protecție a datelor cu ocazia transferului de informații cu caracter personal
                     3
                   în scopuri legate de asigurarea respectării dreptului penal între SUA, pe de o parte, și Uniunea Europeană și statele sale membre, pe de altă parte. Dublul său obiectiv este de a garanta un nivel ridicat de protecție a datelor și, prin urmare, intensificarea cooperării între părți. Deși nu constituie în sine temeiul juridic pentru niciun transfer de informații cu caracter personal către SUA, acordul-cadru completează, atunci când este necesar, garanțiile privind protecția datelor prevăzute de actualele și viitoarele acorduri privind transferul de date sau de dispozițiile naționale care autorizează astfel de transferuri.

                  Acordul aduce o îmbunătățire foarte importantă în comparație cu situația actuală, în care datele cu caracter personal sunt transferate către celălalt mal al Atlanticului în temeiul unor instrumente juridice (acorduri internaționale sau legi naționale) care, în general, nu conțin dispoziții privind protecția datelor sau cuprind doar dispoziții limitate.

                   •
                        Coerența cu dispozițiile existente în domeniul de politică

                  Acordul-cadru va îmbunătăți protecția oferită tuturor datelor cu caracter personal ale persoanelor vizate din UE atunci când fac obiectul unui schimb cu SUA în scopuri legate de asigurarea respectării dreptului penal. Instituind un cadru cuprinzător de garanții în materie de protecție a datelor, acordul va completa acordurile existente (atât pe cele bilaterale dintre statele membre și SUA, cât și pe cele dintre UE și SUA) în temeiul cărora datele cu caracter personal sunt transferate către SUA în scopuri legate de asigurarea respectării legii, în cazul și în măsura în care acordurile respective nu prevăd nivelul necesar de măsuri de protecție și de garanții.

                  În plus, acordul va reprezenta pentru acordurile viitoare dintre UE/statele membre și SUA un „prag de siguranță” dincolo de care nivelul de protecție nu poate scădea. Este vorba de o garanție importantă pentru viitor și de o evoluție majoră a situației actuale, în care garanțiile, măsurile de protecție și drepturile trebuie să fie negociate de la zero pentru fiecare nou acord.

                  În ansamblu, acordul-cadru va aduce o valoare adăugată semnificativă în ceea ce privește creșterea nivelului de protecție a persoanelor vizate din UE, în conformitate cu cerințele prevăzute de dreptul primar și de cel derivat al Uniunii. Pentru prima dată, acordul-cadru va introduce un instrument de protecție a datelor care acoperă complet și consecvent toate transferurile de date dintr-un anumit domeniu (și anume, schimburile transatlantice de date din domeniul cooperării polițienești și al cooperării judiciare în materie penală). Mai mult, acordul-cadru va confirma, în contextul transatlantic, cerințele generale privind transferurile internaționale de date prevăzute în viitoarea directivă privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, investigării, identificării sau urmăririi penale a infracțiunilor sau al executării pedepselor și libera circulație a acestor date (denumită în continuare „Directiva privind poliția”)
                     4
                  , adoptată la data de 14 aprilie 2016. Având în vedere considerațiile expuse mai sus, acordul-cadru stabilește, de asemenea, un precedent important pentru eventuale acorduri similare cu alți parteneri internaționali.

               •Coerența cu celelalte politici ale Uniunii

                  Este de așteptat ca acordul-cadru să aibă un impact semnificativ asupra cooperării polițienești și în materie de asigurare a respectării legii cu Statele Unite. Prin instituirea unui cadru comun și cuprinzător de norme și de garanții în materie de protecție a datelor, acordul-cadru va permite UE sau statelor sale membre, pe de o parte, și autorităților de aplicare a dreptului penal din SUA, pe de altă parte, să coopereze într-un mod mai eficace. În plus, acordul-cadru va asigura includerea în acordurile existente a tuturor măsurile de protecție necesare. Acest lucru va permite continuitatea cooperării în domeniul asigurării respectării legii și va asigura în același timp o mai mare securitate juridică în momentul efectuării transferurilor. Acordul-cadru va facilita, de asemenea, încheierea unor viitoare acorduri privind transferul de date cu SUA în domeniul asigurării respectării dreptului penal, în condițiile în care se va fi convenit deja cu privire la garanțiile în materie de protecție a datelor și, prin urmare, acestea nu vor trebui renegociate de fiecare dată. În sfârșit, stabilirea unor standarde comune în acest domeniu de cooperare esențial, dar complex constituie o realizare importantă care poate contribui în mod semnificativ la restabilirea încrederii în fluxurile transatlantice de date.

               2.TEMEIUL JURIDIC, SUBSIDIARITATEA ȘI PROPORȚIONALITATEA

               •Temeiul juridic

                  Temeiul juridic al prezentei propuneri este articolul 16 din TFUE, coroborat cu articolul 218 alineatul (6) litera (a) din TFUE.

               •Subsidiaritatea

                  În conformitate cu articolul 3 alineatul (2) din TFUE, acordul-cadru intră în sfera competenței exclusive a Uniunii Europene. În consecință, principiul subsidiarității nu se aplică.

               •Proporționalitatea

                  Acordul-cadru stabilește garanțiile în materie de protecție a datelor prevăzute în directivele de negociere ale Consiliului. Aceste garanții sunt considerate ca fiind esențiale pentru a asigura nivelul necesar de protecție prevăzut pentru transferurile de date cu caracter personal către o țară terță atât în baza Cartei drepturilor fundamentale a UE, cât și a evoluției acquis-ului UE. Un catalog substanțial redus de garanții de acest tip și un instrument cu o efecte obligatorii inferioare nu ar putea fi, nici ele, considerate suficiente pentru a asigura un astfel de nivel de protecție. Prin urmare, propunerea nu depășește ceea ce este necesar pentru a atinge obiectivul de politică al instituirii unui cadru pentru protecția datelor cu caracter personal atunci când acestea sunt transferate între Statele Unite, pe de o parte, și Uniunea Europeană sau statele sale membre, pe de altă parte, în contextul asigurării respectării legii.

               •Alegerea instrumentului

                  Instituirea unui cadru obligatoriu pentru protecția datelor cu caracter personal, care va completa acordurile existente și va constitui o bază de referință pentru cele viitoare, poate fi asigurată numai printr-un acord internațional încheiat între UE și Statele Unite.

                  În plus, după cum s-a subliniat în raportul HLCG din octombrie 2009, un acord internațional oferă cel mai înalt nivel de securitate juridică.

               3.REZULTATELE EVALUĂRII EX-POST, ALE CONSULTĂRILOR CU PĂRȚILE INTERESATE ȘI ALE EVALUĂRII IMPACTULUI

               •Evaluări ex-post/verificări ale adecvării legislației existente

                  Nu se aplică.

               •Consultări cu părțile interesate

                  Comisia a prezentat cu regularitate evoluția negocierilor atât prin rapoarte orale, cât și în scris comitetului special al Consiliului desemnat în acest scop. Parlamentul European a fost informat cu regularitate, prin intermediul Comisiei sale pentru libertăți civile, justiție și afaceri interne (LIBE), atât oral, cât și în scris.

               •Obținerea și utilizarea expertizei

                  Inițiativa pune în aplicare directivele de negociere ale Consiliului din 3 decembrie 2010.

               •Evaluarea impactului

                  Nu a fost necesară nicio evaluare a impactului. Acordul propus este în conformitate cu directivele de negociere ale Consiliului.

               •Adecvarea și simplificarea reglementărilor

                  Nu se aplică.

               •Drepturile fundamentale

                  Dispozițiile acordului-cadru vizează protecția dreptului fundamental la protecția datelor cu caracter personal și a dreptului la o cale de atac eficientă și la un proces echitabil, astfel cum sunt consacrate la articolul 8 și, respectiv, la articolul 47 din Carta drepturilor fundamentale a Uniunii Europene.

               4.IMPLICAȚII BUGETARE

                  Acordul propus nu are implicații bugetare.

               5.ALTE ELEMENTE

               •Planuri de punere în aplicare și măsuri de monitorizare, de evaluare și de raportare

                  Va fi necesar ca acordul-cadru să fie pus în aplicare de către statele membre, dar se estimează că legislația nu va suferi nicio schimbare majoră, având în vedere că dispozițiile de fond ale acordului-cadru reflectă în mare măsură norme care se aplică deja autorităților UE și celor naționale în temeiul legislației UE și/sau al legislației naționale.

               •Explicarea detaliată a dispozițiilor specifice ale propunerii

                  Conform directivelor de negociere ale Consiliului, acordul-cadru cuprinde cinci categorii de dispoziții: (i) dispoziții orizontale; (ii) principii și garanții în materie de protecție a datelor; (iii) drepturi individuale; (iv) aspecte legate de aplicarea acordului și de supraveghere; și (v) dispoziții finale.

                  (i)
                        Dispoziții orizontale

                  (i) Scopul acordului (articolul 1)

                  Pentru a atinge obiectivul acordului (și anume asigurarea unui nivel ridicat de protecție a informațiilor cu caracter personal și consolidarea cooperării în domeniul asigurării respectării legii), acordul-cadru stabilește un cadru pentru protecția datelor cu caracter personal atunci când acestea sunt transferate între SUA, pe de o parte, și Uniunea Europeană sau statele sale membre, pe de altă parte, în scopul prevenirii, al investigării, al detectării și al urmăririi penale a infracțiunilor, inclusiv a terorismului. Făcându-se trimitere la noțiunile de „prevenire, detectare, investigare și urmărire penală a infracțiunilor” (denumite în continuare, împreună, „asigurarea respectării legii”) se asigură compatibilitatea acestui acord cu arhitectura actualului și a viitorului acquis al UE în materie de protecție a datelor [în special, delimitarea dintre domeniul de aplicare al Regulamentului privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date („Regulamentul general privind protecția datelor”
                     5
                  ) și cel al „Directivei privind poliția”].

                  Articolul 1 precizează că acordul-cadru nu poate constitui în sine temeiul juridic pentru niciun transfer de informații cu caracter personal și că astfel de transferuri vor necesita întotdeauna un temei juridic (separat), clarificând, astfel, și faptul că acordul-cadru este un veritabil acord privind drepturile fundamentale care instituie un set de măsuri de protecție și de garanții care se aplică acestor transferuri.

                  (ii) Definiții (articolul 2)

                  Termenii-cheie ai acordului-cadru sunt definiți la articolul 2. Definițiile noțiunilor de „informații cu caracter personal”, „prelucrare a informațiilor cu caracter personal”, „părți”, „stat membru” și „autoritate competentă” concordă, în esență, cu modul în care aceste concepte au fost definite în alte acorduri UE-SUA și/sau în acquis-ul UE în materie de protecție a datelor.

                  (iii) Domeniul de aplicare al acordului (articolul 3)

                  Domeniul de aplicare al acordului-cadru este definit la articolul 3. Acesta va oferi asigurarea că măsurile de protecție și garanțiile prevăzute de acordul-cadru se vor aplica tuturor schimburilor de date survenite în contextul cooperării transatlantice în domeniul asigurării respectării legii în materie penală. Aceasta include transferuri efectuate în temeiul legislațiilor interne, al acordurilor dintre UE și SUA (cum ar fi Tratatul UE-SUA de asistență judiciară reciprocă), al acordurilor dintre statele membre și SUA (cum ar fi tratatele de asistență judiciară reciprocă, acordurile privind intensificarea cooperării în vederea prevenirii și combaterii cazurilor grave de criminalitate, acordurile sau înțelegerile privind informațiile provenite din controalele de securitate vizând detectarea teroriștilor), precum și în temeiul unor acorduri specifice referitoare la transferul de date cu caracter personal de către entități private în scopuri legate de asigurării respectării legii [de exemplu, în temeiul Acordului UE-SUA privind Registrul cu numele pasagerilor
                     6
                   („PNR”) și al Acordului privind Programul de urmărire a finanțărilor în scopuri teroriste
                     7
                   („acordul TFTP”)]. Domeniul de aplicare este definit „pe baza transferului de date”, ceea ce înseamnă că acoperă, în principiu, toate transferurile de date în scopuri legate de asigurării respectării dreptului penal între UE și SUA, indiferent de cetățenia sau de locul de reședință al persoanei vizate.

               Acordul-cadru nu va reglementa transferurile de date cu caracter personal (sau alte forme de cooperare) dintre autoritățile SUA și ale statele membre însărcinate să asigure securitatea națională.

                  (iv) Nediscriminarea (articolul 4)

                  Articolul 4 prevede că fiecare parte va pune în aplicare acordul-cadru fără nicio discriminare arbitrară sau nejustificată între resortisanții proprii și cei ai celeilalte părți.

                  Acest articol completează și consolidează alte dispoziții ale acordului (în special articolele care le oferă garanții persoanelor fizice, cum ar fi dreptul de acces, dreptul de rectificare și căile de atac administrative - a se vedea mai jos), asigurând faptul că cetățenii europeni vor beneficia, în principiu, de egalitate de tratament cu cetățenii SUA în ceea ce privește punerea concretă în aplicare a acestor dispoziții de către autoritățile SUA.

                  (v) Efectul acordului (articolul 5)

                  În ceea ce privește acordurile existente în vigoare între UE/statele membre și SUA, acordul-cadru le va completa, după caz, și anume în cazul și în măsura în care acordurile respective nu prevăd garanțiile necesare în materie de protecție a datelor
                     8
                  .

                  Punerea în aplicare eficace a acordului-cadru (și în special a articolelor sale privind drepturile individuale) atrage după sine o prezumție de compatibilitate cu normele aplicabile în materie de transferuri internaționale de date. Această prezumție nu este nici automată, nici generală, și, la fel ca toate prezumțiile, poate fi infirmată. Nu este vorba despre o prezumție automată, deoarece aplicarea sa depinde în mod expres de punerea în aplicare eficace a acordului-cadru de către SUA și, mai precis, potrivit clarificării oferite în mod expres la articolul 5 alineatul (2), de punerea în aplicare eficace a articolelor referitoare la drepturile individuale (îndeosebi accesul, rectificarea, căile de atac administrative și judiciare). Nu este vorba nici despre o prezumție generală: întrucât acordul-cadru nu este un instrument „de sine stătător” pentru realizarea de transferuri, o astfel de prezumție se aplică neapărat „de la caz la caz”, și anume verificându-se dacă nivelul de protecție oferit de combinarea acordului-cadru cu temeiul juridic specific pentru transfer este conformă cu normele UE în materie de protecție a datelor. Cu alte cuvinte, spre deosebire de o constatare a caracterului adecvat, această dispoziție nu prevede o recunoaștere „în bloc”, ca atare, a nivelului de protecție prevăzut în SUA și nici autorizarea generală a transferurilor.

                   (ii)
                        Principii și garanții în materie de protecție a datelor

                  Articolele descrise mai jos acoperă principii importante care reglementează prelucrarea datelor cu caracter personal, precum și principalele garanții și limitări de utilizare.

                  (i) Limitări legate de scop și de utilizare (articolul 6)

                  În consonanță cu Carta drepturilor fundamentale a UE și cu acquis-ul UE, articolul 6 aplică principiul limitării scopului la toate transferurile de date cu caracter personal reglementate prin acordul-cadru, atât în cazul transferurilor legate de cazuri specifice, cât și în cazul în care SUA și UE/statele sale membre încheie un acord care să autorizeze transferurile de date cu caracter personal în bloc. Prelucrarea (care include transferurile) poate avea loc numai în scopuri explicite și legitime care intră în domeniul de aplicare al acordului-cadru, și anume prevenirea, investigarea, detectarea sau urmărirea penală a infracțiunilor, inclusiv a terorismului.

                  Mai mult decât atât, prelucrarea ulterioară a informațiilor cu caracter personal de către alte autorități (de aplicare a legii, de reglementare sau administrative) decât prima autoritate destinatară a uneia dintre părți este permisă, cu condiția ca aceasta să nu fie incompatibilă cu scopurile în care au fost transferate inițial informațiile și ca autoritatea în cauză să respecte toate celelalte dispoziții ale acordului-cadru.

                  De asemenea, autoritatea competentă care transferă datele poate impune condiții suplimentare (de exemplu, cu privire la utilizarea datelor) în cazuri specifice.

                  În sfârșit, informațiile cu caracter personal sunt prelucrate exclusiv „într-un mod care este direct relevant pentru scopurile unei astfel de prelucrări și nu este excesiv sau prea amplu în ceea ce privește scopurile respectivei prelucrări”.

                  Articolul 6 este o dispoziție esențială a acordului, deoarece asigură aplicarea garanțiilor la întregul „ciclu de viață” al unui anumit set de date, de la transferul inițial dinspre UE la prelucrarea acestora de către o autoritate competentă a SUA și viceversa, precum și eventualul schimb ulterior al acestor informații cu o altă autoritate a SUA sau eventuala lor prelucrare de către o astfel de autoritate ori, în cazul unui transfer de date dinspre SUA către o autoritate competentă a UE sau a statelor sale membre (respectiv a unuia dintre aceste state), schimbul lor ulterior cu o altă autoritate a UE sau a unui stat membru ori prelucrarea lor de către o astfel de autoritate.

                   (ii) Transferul ulterior (articolul 7)

                  Limitările transferului ulterior prevăzute la articolul 7 presupun că, în cazul în care o autoritate a SUA intenționează să transfere mai departe datele primite de la UE sau de la unul dintre statele sale membre către o țară terță /organizație internațională care nu are obligații în temeiul acordului, ea va trebui, într-o primă etapă, să obțină aprobarea autorității de aplicare a legii din UE care a realizat transferul inițial al datelor către Statele Unite. Această normă se aplică și în cazul în care o autoritate a UE sau a unuia dintre statele sale membre intenționează să transfere mai departe date primite din partea SUA către o țară terță/organizație internațională.

                  Atunci când ia decizia de a își da aprobarea, autoritatea care a transferat inițial datele va trebui să ia în considerare în mod corespunzător toți factorii relevanți, inclusiv scopul în care datele au fost transferate inițial și stabilirea faptului dacă țara terță sau organizația internațională oferă un nivel corespunzător de protecție a informațiilor cu caracter personal. Aceasta poate, de asemenea, să supună transferul unor condiții specifice.

                  Pe de altă parte, în ceea ce privește articolele privind limitarea scopului (a se vedea articolul 6 de mai sus), perioadele de păstrare a datelor (a se vedea articolul 12, mai jos) și datele sensibile (a se vedea articolul 13, mai jos), acest articol ia în considerare în mod expres caracterul deosebit de sensibil al transferului în bloc de date ale persoanelor nesuspectate (cum ar fi datele PNR ale tuturor pasagerilor care iau avionul pe o anumită rută, indiferent de orice suspiciune concretă), deoarece prevede că orice transfer ulterior de informații cu caracter personal, „ altul decât cel referitor la cazuri [...] specifice”, poate avea loc numai în condiții specifice prevăzute de acord, care să justifice în mod corespunzător transferul ulterior.

                  Situația specifică a transferurile ulterioare către un alt stat din UE (de exemplu, atunci când poliția franceză și cea germană fac schimb de informații primite de la FBI al SUA) este, la rândul său, abordată în acest articol (la alineatul 4). Astfel, articolul 7 prevede că, în cazul în care astfel de transferuri sunt supuse, în temeiul normelor aplicabile, unei aprobări prealabile, autoritatea care a trimis inițial informațiile (de exemplu, FBI al SUA) nu va putea refuza să își dea aprobarea sau nu va putea impune condiții motivate de considerații legate de protecția datelor (întrucât toate autoritățile implicate au obligații în temeiul acordului-cadru).

                  (iii) Calitatea datelor și integritatea informațiilor (articolul 8)

                  Părțile vor lua măsuri rezonabile pentru a asigura faptul că datele cu caracter personal transferate sunt păstrate cu gradul de exactitate, relevanță, actualitate și exhaustivitate necesar și corespunzător pentru prelucrarea legală a informațiilor. În cazul în care autoritatea destinatară sau cea care a transferat informațiile ia cunoștință de existența unor îndoieli semnificative cu privire la relevanța, actualitatea, exhaustivitatea sau exactitatea datelor cu caracter personal primite sau transferate, aceasta înștiințează, în măsura posibilului, autoritatea destinatară a datelor respective/autoritatea care le-a transferat.

                  (iv) Securitatea informațiilor (articolul 9) și notificarea unui incident de securitate a informațiilor (articolul 10)

                  Aceste articole contribuie la asigurarea unui nivel ridicat de securitate a datelor cu caracter personal care fac obiectul schimburilor dintre părțile la acordul-cadru.

                  În primul rând, în temeiul articolul 9, părțile vor institui mecanisme tehnice, de securitate și organizaționale corespunzătoare pentru protecția informațiilor cu caracter personal împotriva distrugerii accidentale sau ilegale, a pierderii accidentale și a divulgării, modificării, accesării sau altui tip de prelucrare neautorizată. Aceste mecanisme vor prevedea, de asemenea, că accesul la datele cu caracter personal este acordat doar personalului autorizat.

                  În al doilea rând, în temeiul articolul 10, în cazul unui incident de securitate care prezintă un risc semnificativ de deteriorare, se iau măsuri adecvate pentru atenuarea daunelor, inclusiv notificarea autorității competente care a transferat informațiile și, după caz, având în vedere circumstanțele incidentului, a persoanei fizice vizate. Dispoziția în cauză enumeră în mod exhaustiv excepțiile de la obligația de notificare, iar acestea corespund unor limitări rezonabile (de exemplu, securitatea națională).

                  (v) Păstrarea înregistrărilor (articolul 11)

                  Părțile instituie metode eficace (cum ar fi registrele) de demonstrare a legalității prelucrării și utilizării informațiilor cu caracter personal.

                  Această cerință reprezintă o garanție importantă pentru persoanele fizice, deoarece prevede că obligația de a demonstra că o anumită operațiune de prelucrare a datelor a fost efectuată în conformitate cu legea le revine autorităților de aplicare a legii. Obligația de a documenta operațiunile de prelucrare a datelor presupune îndeosebi că va exista o „urmă” în caz de prelucrare ilegală. Acest lucru ar trebui să faciliteze tratarea plângerilor și introducerea de reclamanții cu privire la legalitatea operațiunilor de prelucrare.

                  (vi) Perioada de păstrare (articolul 12)

                  Prelucrarea datelor va trebui să respecte anumite perioade de păstrare a datelor, astfel încât datele să nu fie păstrate mai mult decât este necesar și corespunzător. Pentru a se stabili aceste perioade de păstrare va trebui să se țină seama de o serie de elemente, cum ar fi îndeosebi scopul prelucrării sau al utilizării, natura datelor și impactul asupra drepturilor și a intereselor persoanelor vizate în cauză.

                  De asemenea, se precizează că, în cazul în care părțile încheie un acord privind transferul de date „în bloc”, un astfel de acord trebuie să cuprindă o dispoziție specifică privind durata de păstrare aplicabilă. În baza acestei dispoziții, părțile acceptă principiul potrivit căruia astfel de acorduri de transfer neselectiv trebuie să prevadă o perioadă de păstrare specifică. Astfel, acest principiu nu va trebui să fie renegociat.

                  Perioadele de păstrare vor face obiectul unor revizuiri periodice pentru a se stabili dacă evoluția situației necesită modificarea perioadei aplicabile.

                  Pentru a se asigura transparența, perioadele de păstrare a datelor vor trebui să fie publicate sau puse sub o altă formă la dispoziția publicului.

                  (vii)
                        Categorii speciale de date (articolul 13)

                  Prelucrarea datelor cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau de altă natură, apartenența sindicală sau informațiile cu caracter personal privind starea de sănătate sau viața sexuală poate avea loc numai în cazul în care există garanții corespunzătoare, în conformitate cu legislația (de exemplu, mascarea informațiilor după atingerea scopului în care datele au fost prelucrate sau impunerea obligației de a obține aprobarea autorității de supraveghere pentru a avea acces la informații).

                  Acordurile de transfer care permit transferul „în bloc” de date cu caracter personal vor trebui să precizeze în plus standardele conform cărora și condițiile în care categoriile speciale de date pot fi prelucrate.

                  Dispozițiile privind categoriile speciale de date sunt coerente cu cerința ca prelucrarea să fie relevantă în mod direct și să nu fie excesivă, prevăzută la articolul 6 privind limitările legate de scop și de utilizare.

                  (viii) Deciziile automatizate (articolul 15)

                  Operațiunile de prelucrare a datelor care pot conduce la decizii cu consecințe negative asupra unei persoane fizice (de exemplu, în contextul creării de profiluri) nu se pot baza doar pe prelucrarea automată a informațiilor cu caracter personal, cu excepția cazului în care este autorizată prin legislația națională și cu condiția să existe garanții adecvate, inclusiv posibilitatea de a obține intervenție umană.

                  (ix) Transparență (articolul 20)

                  Persoanele fizice au dreptul de a primi informații (prin notificări generale sau individuale și sub rezerva unor „restricții rezonabile”) cu privire la scopul prelucrării și la eventuala utilizare ulterioară a datelor lor cu caracter personal, la actele cu putere de lege sau normele în temeiul cărora se efectuează prelucrarea respectivă, la identitatea părților terțe cărora le pot fi divulgate informațiile lor cu caracter personal, precum și cu privire la dreptul de acces și de rectificare și la căile de atac disponibile.

                  Creșterea gradului de conștientizare a persoanelor fizice în legătură cu motivele pentru care le sunt prelucrate datele și cu identitatea entităților care efectuează această prelucrare contribuie la a le oferi acestora posibilitatea de a-și exercita drepturile de acces, de rectificare și la căi de atac (a se vedea articolele 16-19 de mai jos).

                  (iii)
                        Drepturi individuale

                  Aceste drepturi sunt deosebit de importante pentru protecția persoanelor vizate, care vor putea, pentru prima dată, să beneficieze de drepturi cu aplicabilitate generală în privința oricărui transfer transatlantic de date în domeniul asigurării respectării dreptului penal.

                  (i) Acces și rectificare (articolul 16 și articolul 17)

                  Dreptul de acces permite oricărei persoane să solicite și să obțină acces la datele sale cu caracter personal. Motivele pentru care accesul poate fi restricționat sunt prezentate în mod exhaustiv și corespund unor restricții rezonabile (de exemplu, să se garanteze securitatea națională, să nu se afecteze investigarea sau urmărirea penală a infracțiunilor, să se protejeze drepturile și libertățile altor persoane). Nu se pot impune cheltuieli excesive ca o condiție de acces la datele cu caracter personal ale unei persoane.

                  Dreptul la rectificare permite oricărei persoane să solicite corectarea sau rectificarea datelor sale cu caracter personal în cazul în care acestea fie sunt incorecte, fie au fost prelucrate în mod necorespunzător. Rectificarea poate include completarea, ștergerea, blocarea sau alte măsuri ori metode de remediere a inexactităților sau a prelucrării necorespunzătoare.

                  În cazul în care autoritatea competentă a țării destinatare concluzionează în urma unei cereri adresate de către o persoană fizică, a unei notificări transmise de furnizorul informațiilor cu caracter personal sau a propriei investigații că informațiile sunt inexacte sau au fost prelucrate în mod necorespunzător, aceasta ia măsuri de completare, ștergere sau blocare ori aplică alte metode de corectare sau rectificare.

                  Atunci când acest fapt este permis în temeiul dreptului intern, orice persoană fizică are dreptul de a autoriza o autoritate de supraveghere (și anume o autoritate națională de protecție a datelor, în cazul unei persoane vizate din UE) să solicite corectarea sau rectificarea în numele său. Această posibilitate de exercitare indirectă a drepturilor, prin intermediul unei autorități și în cadrul unui sistem juridic cu care persoanele vizate sunt obișnuite, ar trebui să le ajute în mod concret atunci când încearcă să își exercite drepturile.

                  În cazul în care cererile de acces sau de rectificare sunt respinse sau restricționate, autoritatea căreia i s-a adresat solicitarea oferă persoanei fizice (sau reprezentantului autorizat în mod corespunzător al acesteia) un răspuns în care precizează motivele refuzului sau ale restricționării accesului ori rectificării. De asemenea, obligația de a oferi persoanei fizice un răspuns motivat urmărește să permită și să faciliteze exercitarea dreptului său la căi de atac administrative și judiciare în cazul în autoritatea de aplicare a legii în cauză refuză/restricționează accesul/rectificarea.

                  (ii) Căi de atac administrative (articolul 18)

                  În cazul în care o persoană nu acceptă rezultatul cererii sale de acces la datele cu caracter personal sau de rectificare a acestora, aceasta are dreptul să exercite căi de atac administrative. La fel ca în cazul accesului și al rectificării, pentru a se facilita exercitarea efectivă a acestui drept, persoana vizată are dreptul să autorizeze o autoritate de supraveghere (și anume, o autoritate națională de protecție a datelor, în cazul unei persoane vizate din UE) sau un alt reprezentant, atunci când acest fapt este permis în temeiul dreptului intern aplicabil.

                  Autoritatea în fața căreia se introduc căile de atac va răspunde în scris persoanei vizate, indicând măsurile de îmbunătățire sau corective întreprinse, dacă este cazul.

                  (ii) Căi de atac judiciare (articolul 19)

                  Cetățenii fiecărei părți trebuie să aibă posibilitatea de a solicita un control jurisdicțional cu privire la i) refuzul de a acorda acces, ii) refuzul de a rectifica sau (iii) divulgarea neautorizată de către autoritățile celeilalte părți.

                  În ceea ce privește SUA, această dispoziție a fost reflectată în Judicial Redress Act (Legea privind căile de atac în justiție), semnată de președintele Obama la 24 februarie 2016. Domeniul de aplicare al acestei legi va fi extins și la cetățenii „țărilor acoperite”
                     9
                  , care vor putea invoca aceste trei motive pentru a recurge la căi de atac judiciare prevăzute de US Privacy Act din 1974 (Legea SUA din 1974 privind protecția vieții private), care sunt rezervate în prezent doar cetățenilor și rezidenților permanenți ai SUA. Cel de al patrulea considerent din preambulul la acordul-cadru prevede în mod clar că această extindere va acoperi, de asemenea, date care au făcut obiectul schimburilor în temeiul unor acorduri precum cele privind PNR și TFTP. În combinație cu adoptarea Legii privind căile de atac în justiție, articolul 19 va îmbunătăți, astfel, în mod semnificativ protecția judiciară a cetățenilor UE.

                  Deși Legea privind căile de atac în justiție prevede o serie de limitări (mai ales faptul că se va aplica numai în cazul cetățenilor din „țări acoperite” ale căror date au fost transferate de către autoritățile de aplicare a legii din UE, în special cetățenilor UE, dar nu numai acestora), articolul 19 din acordul-cadru răspunde unei cereri formulate cu multă vreme în urmă de UE.

                  Această dispoziție corespunde orientărilor politice ale președintelui Juncker, potrivit cărora „Statele Unite trebuie [...] să garanteze că toți cetățenii UE au dreptul de a introduce o acțiune în instanțele din SUA privind asigurarea respectării drepturilor lor în materie de protecție a datelor, indiferent dacă au sau nu reședința pe teritoriul acestei țări. Eliminarea acestei discriminări va fi esențială pentru restabilirea încrederii în relațiile transatlantice.” De asemenea, dispoziția respectivă răspunde Rezoluției Parlamentului European din 12 martie 2014 referitoare la programul de supraveghere al Agenției Naționale de Securitate (NSA) a SUA, prin care Parlamentul a solicitat reluarea imediată a negocierilor cu SUA cu privire la „acordul generic” pentru a se plasa „drepturile cetățenilor UE pe picior de egalitate cu drepturile cetățenilor SUA (...)” și pentru a se prevedea „căi de atac (...) judiciare efective și aplicabile pentru toți cetățenii UE din SUA, fără nicio discriminare”
                     10
                  .

                  Alineatul (3) de la articolul 19 clarifică faptul că extinderea domeniului de aplicare al celor trei motive pentru a recurge la căi de atac judiciare menționate mai sus nu aduce atingere altor căi de atac judiciare care sunt disponibile în alte moduri cu privire la prelucrarea datelor [de exemplu, în conformitate cu Legea privind procedura administrativă (Administrative Procedure Act), cu Legea privind protecția vieții private în cadrul comunicațiilor electronice (Electronic Communication Privacy Act) și cu Legea privind liberul acces la informațiile de interes public (Freedom of Information Act)]. Aceste temeiuri juridice diferite pentru căile de atac judiciare stau la dispoziția tuturor persoanelor din UE vizate de transferul de date în scopuri legate de asigurării respectării legii, indiferent de cetățenia sau de locul lor de reședință.

                  (iv)
                        Aspecte legate de aplicarea acordului-cadru și de supraveghere

                  (i) Responsabilitate (articolul 14)

                  Se instituie măsuri de promovare a responsabilității autorităților care prelucrează datele cu caracter personal ce intră în domeniului de aplicare al acordului-cadru. În special, în cazul în care datele cu caracter personal sunt transmise mai departe de către autoritatea destinatară altor autorități, acestea din urmă ar trebui primească notificarea garanțiilor aplicabile în temeiul prezentului acord, precum și a eventualelor condiții suplimentare (restrictive) impuse transferului în temeiul articolului 6 alineatul (3) (privind limitările legate de scop și de utilizare). Abaterile grave se pedepsesc cu sancțiuni penale, civile sau administrative corespunzătoare și disuasive.

                  De asemenea, măsurile de promovare a responsabilității includ, după caz, întreruperea transferurilor ulterioare de date cu caracter personal către entități ale părților care nu intră sub incidența acordului-cadru, în cazul în care acestea nu asigură o protecție eficace a datelor cu caracter personal, ținând seama de scopul acordului (și în special de dispozițiile referitoare la limitarea scopului și la transferul ulterior). Această dispoziție se referă la situația în care datele cu caracter personal sunt transmise de o autoritate a UE către o autoritate federală a SUA (și anume, o autoritate care intră sub incidența prezentului acord) și apoi transferate mai departe către o autoritate de aplicare a legii de la nivelul unui stat. Normele sale constituționale limitează capacitatea SUA de a angaja la nivel internațional statele membre ale federației
                     11
                  . Cu toate acestea, pentru a se asigura continuitatea protecției datelor transferate către agenții federale ale SUA și transmise ulterior agențiilor de aplicare a legii de la nivelul statelor, articolul 14: (i) include în domeniul său de aplicare „alte autorități” ale părților (și anume autoritățile care nu intră sub incidența prezentului acord, precum cele ale statelor membre ale federației americane); (ii) stipulează că statele membre ale federației trebuie să primească notificarea garanțiilor prevăzute de acordul-cadru; și (iii) prevede că, după caz, transferurile către autoritățile respective trebuie întrerupte în cazul în care acestea nu au protejat în mod eficace datele cu caracter personal ținând seama de scopul acordului-cadru și, în special, al articolelor sale referitoare la limitarea scopului și transferurile ulterioare.

                  Urmărind să asigure că autoritățile competente însărcinate cu aplicarea legii vor fi răspunzătoare pentru respectarea acordului-cadru, acest articol este o componentă importantă a unui sistem eficace de aplicare și de supraveghere instituit în temeiul acordului. De asemenea, aceasta va facilita introducerea de reclamații de către persoanele fizice în cazul unei abateri (și, în consecință, asumarea răspunderii de către autoritățile publice).

                  În sfârșit, autoritățile UE vor fi în măsură să aducă la cunoștința omologilor lor din SUA motivele de îngrijorare legate de modul în care aceștia din urmă își respectă obligațiile care le revin în temeiul articolul 14 (inclusiv cu privire la măsurile luate în acest sens) și să primească informații pertinente din partea acestora. De asemenea, în contextul examinării comune (a se vedea articolul 23 de mai jos), se va acorda o atenție deosebită punerii în aplicare efective a acestui articol.

                  (ii) Supravegherea eficace (articolul 21)

                  Părțile instituie una sau mai multe autorități publice care exercită funcții și competențe de supraveghere independentă, inclusiv control jurisdicțional, investigare și intervenție. Aceste autorități au competența de a accepta și de a da curs plângerilor înaintate de persoane fizice cu privire la măsurile de punere în aplicare a acordului-cadru și de a dispune urmărirea penală sau sancționarea disciplinară a încălcărilor legii care au legătură cu prezentul acord. Ținând seama de particularitățile sistemului american, funcțiile de supraveghere exercitate de autoritățile de protecție a datelor din UE vor fi îndeplinite în mod cumulativ în SUA prin intermediul mai multor autorități de supraveghere [care includ înalții responsabili pentru protecția vieții private (chief privacy officers), inspectorii generali, consiliile de supraveghere a vieții private și a libertăților civile (Privacy and Civil Liberties Oversight Board) etc.].

                  Acest articol completează garanțiile disponibile în temeiul dispozițiilor privind accesul, rectificarea și căile de atac administrative. În special, acesta le permite persoanelor fizice să depună plângeri la autorități independente cu privire la modul în care cealaltă parte a pus în aplicare acordul-cadru.

                   (iii) Cooperarea dintre autoritățile de supraveghere (articolul 22)

                  Autoritățile de supraveghere vor coopera pentru a asigura punerea în aplicare eficace a acordului și în special în ceea ce privește sistemul de exercitare indirectă a drepturilor individuale de acces, de rectificare și de exercitare a unor căi de atac administrative (a se vedea articolele 16 -18 de mai sus).

                  În plus, se instituie puncte de contact naționale care vor acorda asistență în ceea ce privește identificarea autorității de supraveghere care trebuie să fie sesizată într-un anumit caz. Ținând seama în special de faptul că în SUA există o serie de autorități de supraveghere diferite, crearea unui „punct de intrare” central pentru cereri de asistență și cooperare urmărește să contribuie la o soluționare eficientă a acestor solicitări.

                  (iv) Examinarea comună (articolul 23)

                  Părțile vor efectua examinări comune periodice ale punerii în aplicare a acordului-cadru, precum și ale eficacității acestuia, acordând o atenție specială punerii în aplicare cu eficacitate a articolelor privind drepturile individuale (accesul, rectificarea, căile de atac administrative și judiciare), precum și problemei transferurilor către entități teritoriale care nu intră sub incidența acordului (și anume statele membre ale federației SUA). Prima examinare comună va fi efectuată în termen de cel mult trei ani de la intrarea în vigoare a acordului și, ulterior, cu regularitate.

                  Delegațiile respective trebuie să includă reprezentanți atât ai autorităților de protecție a datelor, cât și ai celor de aplicare a legii/judiciare, iar rezultatele examinărilor comune vor fi făcute publice.

                  (v)
                        Dispoziții finale

                  Acordul-cadru conține o serie de dispoziții finale privind:

               notificarea celeilalte părți cu privire la orice acte care afectează în mod semnificativ punerea în aplicare a prezentului acord. Concret, SUA vor notifica UE cu privire la orice măsură referitoare la aplicarea dispozițiilor Legii privind căile de atac în justiție (articolul 24);

               consultări în cazul în care există diferende cu privire la modul în care acordul este interpretat sau aplicat (articolul 25);

               posibilitatea de suspendare a acordului de către una din părți în caz de încălcare gravă a acordului de către cealaltă parte (articolul 26);

               aplicarea teritorială a acordului pentru a se ține seama de situația specifică a Regatului Unit, Irlandei și Danemarcei (articolul 27);

               durata nedeterminată a acordului (care se justifică prin natura acordului, care este un cadru ce prevede măsuri de protecție și garanții, precum și din perspectiva posibilității de a suspenda sau de a denunța acordul) (articolul 28);

               posibilitatea de care dispune fiecare parte de a denunța acordul prin notificarea celeilalte părți, deși se precizează că informațiile cu caracter personal transferate înainte de denunțare vor continua să fie prelucrate în conformitate cu normele prevăzute de acordul-cadru [(articolul 29 alineatele (2) și (3)];

               intrarea în vigoare a acordului în prima zi a lunii următoare datei la care părțile și-au transmis reciproc notificările care indică faptul că și-au finalizat procedurile interne de aprobare [(articolul 29 alineatul (1)];

               clauza lingvistică (imediat anterioară semnăturii), care prevede că: (i) acordul va fi semnat în limba engleză și întocmit de către UE în celelalte 23 de limbi oficiale ale UE; (ii) textul acordului poate fi autentificat după semnarea sa în oricare dintre aceste limbi oficiale ale UE prin intermediul unui schimb de note diplomatice cu SUA; (iii) în cazul unor divergențe între diferitele versiuni lingvistice autentice ale acordului, prevalează versiunea în limba engleză.

               2016/0126 (NLE)

               Propunere de

               DECIZIE A CONSILIULUI

               privind încheierea, în numele Uniunii Europene, a unui acord între Statele Unite ale Americii și Uniunea Europeană privind protecția informațiilor cu caracter personal referitoare la prevenirea, investigarea, detectarea și urmărirea penală a infracțiunilor

               CONSILIUL UNIUNII EUROPENE,

               având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 16 coroborat cu articolul 218 alineatul (6) litera (a),

               având în vedere propunerea Comisiei Europene,

               având în vedere aprobarea Parlamentului European,
                  12

               după consultarea Autorității Europene pentru Protecția Datelor,

               întrucât:

               (1)În conformitate cu Decizia […] din […] a Consiliului
                  13
               , Acordul dintre Statele Unite ale Americii și Uniunea Europeană privind protecția informațiilor cu caracter personal referitoare la prevenirea, investigarea, detectarea și urmărirea penală a infracțiunilor („acordul”) a fost semnat la XX XXXX 2016, sub rezerva încheierii sale la o dată ulterioară.

               (2)Acordul urmărește să instituie un cadru cuprinzător de principii și de garanții în materie de protecție a datelor cu ocazia transferului de informații cu caracter personal în scopuri legate de asigurarea respectării dreptului penal între SUA, pe de o parte, și UE sau statele sale membre, pe de altă parte. Obiectivul acordului este asigurarea unui nivel ridicat de protecție a datelor și, prin urmare, intensificarea cooperării între părți. Deși nu constituie în sine temeiul juridic pentru niciun transfer de informații cu caracter personal către SUA, acordul-cadru completează, atunci când este necesar, garanțiile privind protecția datelor prevăzute de actualele și viitoarele acorduri privind transferul de date sau de dispozițiile naționale care autorizează astfel de transferuri.

               (3)Competențele Uniunii acoperă toate dispozițiile acordului. În special, Uniunea a adoptat Directiva 2016/XXX/UE
                  14
                privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și libera circulație a acestor date.

               (4)Uniunea Europeană are competență exclusivă în măsura în care acordul ar putea afecta normele comune ale Uniunii sau modifica domeniul lor de aplicare.

               (5)În conformitate cu articolul 6a din Protocolul nr. 21 privind poziția Regatului Unit și a Irlandei cu privire la spațiul de libertate, securitate și justiție, anexat la TUE și la TFUE, Regatul Unit și Irlanda nu vor fi obligate să aplice normele stabilite în acord referitoare la prelucrarea datelor cu caracter personal în exercitarea activităților aflate sub incidența domeniului de aplicare a părții a treia titlul V capitolul 4 (Cooperarea judiciară în materie penală) sau capitolul 5 (Cooperarea polițienească) din TFUE, atât timp cât Regatul Unit și Irlanda nu sunt obligate să aplice normele care necesită respectarea dispozițiilor acordului.

               (6)În conformitate cu articolele 1 și 2 din Protocolul nr. 22 privind poziția Danemarcei, anexat la Tratatul privind Uniunea Europeană și la Tratatul privind funcționarea Uniunii Europene, Danemarca nu participă la adoptarea prezentei decizii, nu are obligații în temeiul acordului și nu face obiectul aplicării sale.

               (7)Acordul ar trebui să fie aprobat în numele Uniunii,

               ADOPTĂ PREZENTA DECIZIE:

               Articolul 1

               Prin prezenta decizie, Acordul dintre Statele Unite ale Americii și Uniunea Europeană privind protecția informațiilor cu caracter personal referitoare la prevenirea, investigarea, detectarea și urmărirea penală a infracțiunilor este aprobat în numele Uniunii Europene.

               Textul acordului este atașat la prezenta decizie.

               Articolul 2

               Președintele Consiliului desemnează persoana împuternicită să efectueze, în numele Uniunii, notificarea prevăzută la articolul 29 alineatul (1) din acord, prin care se exprimă consimțământul Uniunii Europene de a-și asuma obligații în temeiul acordului.

               Articolul 3

               Prezenta decizie intră în vigoare la data publicării sale în Jurnalul Oficial al Uniunii Europene
                  15
               .

               Adoptată la Bruxelles,

                        Pentru Consiliu,

                        Președintele

                     (1)
                  Reports by the High Level Contact Group (HLCG) on information sharing and privacy and personal data protection [Rapoarte ale Grupului de contact la nivel înalt (HLCG) privind schimbul de informații și protecția vieții private și a datelor cu caracter personal], Bruxelles, 23 noiembrie 2009, 15851/09, JAI 822 DATAPROTECT 74 USA 102.

                     (2)
                  Odată cu adoptarea reformei reglementărilor UE în materie de protecție a datelor și a vieții private și a noului Scutul de confidențialitate UE-SUA privind transferurile de date în domeniul comercial, încheierea unui acord-cadru relevant și cuprinzător reprezintă un element central al strategiei prezentate în Comunicarea Comisiei privind restabilirea încrederii în fluxurile de date dintre UE și SUA [COM(2013) 846] din 27 noiembrie 2013, consultabilă la adresa

                     http://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:52013DC0846

                  . Acest lucru a fost reafirmat în orientările politice ale președintelui Juncker și în Comunicarea Comisiei către Parlamentul European și Consiliu intitulată „Fluxuri de date transatlantice: restabilirea încrederii prin garanții puternice”, COM(2016) 117 final, 29 februarie 2016, consultabilă la adresa: http://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:52016DC0117&qid=1461075570023&from=RO

                     (3)
                  Expresia „informații cu caracter personal”, astfel cum este utilizată în acordul-cadru, este sinonimă cu noțiunea de „date cu caracter personal” utilizată de UE.

                     (4)
                  Propunere de directivă a Parlamentului European și a Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și la libera circulație a acestor date, COM/2012/010 final - 2012/0010 (COD), consultabilă la adresa: http://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:52012PC0010&from=ro

                     (5)
                  Propunere de regulament al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulamentul general privind protecția datelor)”, COM(2012) 11 final - 2012/0011 (COD), consultabilă la: http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_ro.pdf

                     (6)
                  Acordul dintre Statele Unite ale Americii și Uniunea Europeană privind utilizarea și transferul de date din registrele cu numele pasagerilor către Departamentul pentru Securitate Internă al Statelor Unite, JO L 215 din 11.8.2012, p. 5.

                     (7)
                  Acordul dintre Uniunea Europeană și Statele Unite ale Americii privind prelucrarea și transferul datelor de mesagerie financiară din Uniunea Europeană către Statele Unite ale Americii în cadrul Programului de urmărire a finanțărilor în scopuri teroriste, JO L 195 din 27.7.2010, p.5.

                     (8)
                  Al patrulea considerent din preambul precizează că acordul-cadru nu modifică, nu condiționează sau nu derogă în alt mod de la acorduri care stabilesc că oferă un nivel adecvat de protecție a datelor, cu excepția dispoziției privind căile de atac judiciare de la articolul 19, care se aplică și acestor acorduri. Aceasta se referă la acordurile PNR și TFTP.

                     (9)
                  O „țară acoperită” în temeiul Legii SUA privind căile de atac în justiție este o țară i) care a încheiat cu SUA un acord care prevede măsuri adecvate de protecție a vieții private pentru schimbul de informații în scopul asigurării respectării legii (sau care a realizat efectiv schimburi de informații în scopuri legate de asigurarea respectării legii și dispune de măsuri adecvate de protecție a vieții private în ceea ce privește astfel de schimburi de informații); ii) care permite transferul de date cu caracter personal în scopuri comerciale prin intermediul unui acord cu SUA sau într-un alt mod; iii) ale cărei politici privind transferul datelor cu caracter personal în scopuri comerciale nu afectează în mod semnificativ interesele Statelor Unite în materie de securitate națională. O țară este desemnată drept „țară acoperită” de către Procurorul General (Attorney General) al SUA.

                     (10)
                  A se vedea § 57 și considerentul BJ din Rezoluția din 12 martie 2014 referitoare la programul de supraveghere al Agenției Naționale de Securitate (NSA) a SUA, la organismele de supraveghere din diferite state membre și la impactul acestora asupra drepturilor fundamentale ale cetățenilor UE și asupra cooperării transatlantice în materie de justiție și de afaceri interne [2013/2188(INI)], consultabilă la adresa http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2014-0230+0+DOC+XML+V0//RO

                     (11)
                  SUA, fiind o republică federală, există o repartizare a competențelor între guvernul federal și guvernul fiecărui stat [a se vedea, de asemenea, articolul 5 alineatul (2) din acordul-cadru în acest sens].

                     (12)
                  Aprobare din [data], JO C [...], [...], p. [...].

                     (13)
                  JO...

                     (14)
                  Directiva Parlamentului European și a Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului.

                     (15)
                  Data intrării în vigoare a acordului pentru Uniunea Europeană va fi publicată în Jurnalul Oficial al Uniunii Europene de Secretariatul General al Consiliului.

    ---documentbreak---

               COMISIA EUROPEANĂ
            Bruxelles, 29.4.2016
            COM(2016) 237 final
            ANEXĂ
            ACORD ÎNTRE STATELE UNITE ALE AMERICII ȘI UNIUNEA EUROPEANĂ PRIVIND PROTECȚIA INFORMAȚIILOR CU CARACTER PERSONAL REFERITOARE LA PREVENIREA, INVESTIGAREA, DETECTAREA ȘI URMĂRIREA PENALĂ A INFRACȚIUNILOR
            care însoțește
            Propunerea de decizie a Consiliului
            privind încheierea, în numele Uniunii Europene, a unui acord între Statele Unite ale Americii și Uniunea Europeană privind protecția informațiilor cu caracter personal referitoare la prevenirea, investigarea, detectarea și urmărirea penală a infracțiunilor

               ACORD ÎNTRE STATELE UNITE ALE AMERICII ȘI

               UNIUNEA EUROPEANĂ PRIVIND PROTECȚIA INFORMAȚIILOR CU CARACTER PERSONAL REFERITOARE LA PREVENIREA, INVESTIGAREA, DETECTAREA ȘI URMĂRIREA PENALĂ A INFRACȚIUNILOR

               CUPRINS

                  Preambul

                  Articolul 1:
                     Scop

                  Articolul 2:
                     Definiții

                  Articolul 3:
                     Domeniul de aplicare

                  Articolul 4:
                     Nediscriminare

               Articolul 5:
                     Efectul acordului

                  Articolul 6:
                     Limitări legate de scop și de utilizare

                  Articolul 7:
                     Transferul ulterior

               Articolul 8:
                     Păstrarea calității și a integrității informațiilor

                  Articolul 9:
                     Securitatea informațiilor

               Articolul 10:
                     Notificarea unui incident de securitate a informațiilor

               Articolul 11:
                     Păstrarea înregistrărilor

               Articolul 12:
                     Perioada de păstrare

                  Articolul 13:
                     Categorii speciale de informații cu caracter personal

               Articolul 14:
                     Responsabilitate

                  Articolul 15:
                     Deciziile automatizate

                  Articolul 16:
                     Acces

               Articolul 17:
                     Rectificare

               Articolul 18:
                     Căi de atac administrative

               Articolul 19:
                     Căi de atac judiciare

               Articolul 20:
                     Transparență

               Articolul 21:
                     Supravegherea eficace

               Articolul 22:
                     Cooperarea dintre autoritățile de supraveghere

                  Articolul 23:
                     Examinarea comună

               Articolul 24:
                     Notificare

               Articolul 25:
                     Consultare

               Articolul 26:
                     Suspendare

               Articolul 27:
                     Aplicarea teritorială

               Articolul 28:
                     Durată

               Articolul 29:
                     Intrare în vigoare și denunțare

               Ținând seama de faptul că Statele Unite și Uniunea Europeană se angajează să asigure un nivel ridicat de protecție a informațiilor cu caracter personal transmise în contextul prevenirii, al investigării, al detectării și al urmăririi penale a infracțiunilor, inclusiv a terorismului;

               Intenționând să instituie un cadru juridic durabil pentru a facilita schimbul de informații, care este esențial în vederea prevenirii, a investigării, a detectării și a urmăririi penale a infracțiunilor, inclusiv a terorismului, ca un mijloc de protecție a societăților lor democratice și a valorilor lor comune;

               Intenționând, în special, să furnizeze standarde de protecție pentru schimburile de informații cu caracter personal atât pe baza acordurilor existente, cât și a celor viitoare dintre SUA și UE și statele sale membre în domeniul prevenirii, al investigării, al detectării și al urmăririi penale a infracțiunilor, inclusiv a terorismului;

               Recunoscând faptul că anumite acorduri existente între părți cu privire la prelucrarea informațiilor cu caracter personal stabilesc faptul că aceste acorduri furnizează un nivel adecvat de protecție a datelor în cadrul domeniului lor de aplicare, părțile afirmă că prezentul acord nu ar trebui interpretat ca modificând, condiționând sau derogând în alt mod de la aceste acorduri; menționând însă că obligațiile stabilite la articolul 19 din prezentul acord privind căile de atac judiciare s-ar aplica tuturor transferurilor care se încadrează în domeniul de aplicare al prezentului acord și că acest fapt nu aduce atingere niciunei viitoare examinări sau modificări a unor astfel de acorduri, în temeiul termenilor acestora;

               Recunoscând tradițiile îndelungate ale ambelor părți de respectare a vieții private a persoanelor, inclusiv astfel cum sunt reflectate acestea în principiile privind protecția vieții private și a datelor cu caracter personal în scopuri de asigurare a respectării legii, elaborate de Grupul de contact la nivel înalt UE-SUA privind schimbul de informații și protecția vieții private și a datelor cu caracter personal, în Carta drepturilor fundamentale a Uniunii Europene și în legislația aplicabilă a UE, în Constituția Statelor Unite și în legislația aplicabilă a Statelor Unite, precum și în principiile practicii de informare corectă ale Organizației pentru Cooperare și Dezvoltare Economică, și

               Recunoscând principiile proporționalității și necesității, precum și pe cele ale relevanței și rezonabilității, astfel cum au fost puse în aplicare de către părți în cadrele lor juridice respective,

               Statele Unite ale Americii și Uniunea Europeană CONVIN DUPĂ CUM URMEAZĂ:

               Articolul 1: Scopul acordului

               1. Scopul prezentului acord este de a asigura un nivel ridicat de protecție a informațiilor cu caracter personal și de a consolida cooperarea dintre Statele Unite și Uniunea Europeană și statele sale membre în ceea ce privește prevenirea, investigarea, detectarea sau urmărirea penală a infracțiunilor, inclusiv a terorismului.

               2. În acest scop, prezentul acord stabilește cadrul pentru protecția informațiilor cu caracter personal atunci când acestea sunt transferate între Statele Unite, pe de o parte, și Uniunea Europeană sau statele sale membre, pe de altă parte.

               3. Prezentul acord nu poate constitui în sine temeiul juridic pentru transferuri de informații cu caracter personal. Pentru astfel de transferuri este necesar întotdeauna un temei juridic.

               Articolul 2: Definiții

               În sensul prezentului acord:

               1.„informații cu caracter personal” înseamnă informații care se referă la o persoană fizică identificată sau identificabilă. O persoană identificabilă este o persoană care poate fi identificată, în mod direct sau indirect, în special prin referire la un număr de identificare sau la unul ori mai multe elemente specifice, proprii identității sale fizice, fiziologice, psihice, economice, culturale sau sociale;

               2.„prelucrarea informațiilor cu caracter personal” înseamnă orice operațiune sau set de operațiuni care implică colectarea, păstrarea, utilizarea, modificarea, organizarea sau structurarea, divulgarea ori diseminarea sau eliminarea;

               3.„părți” înseamnă Uniunea Europeană și Statele Unite ale Americii;

               4.„stat membru” înseamnă un stat membru al Uniunii Europene;

               5.„autoritate competentă” înseamnă, pentru Statele Unite, o autoritate națională din SUA de asigurare a respectării legii, responsabilă de prevenirea, investigarea, detectarea sau urmărirea penală a infracțiunilor, inclusiv a terorismului, iar pentru Uniunea Europeană, o autoritate a Uniunii Europene și o autoritate a unui stat membru, responsabilă de prevenirea, investigarea, detectarea sau urmărirea penală a infracțiunilor, inclusiv a terorismului.

               Articolul 3: Domeniul de aplicare

               1. Prezentul acord se aplică informațiilor cu caracter personal transferate între autoritățile competente ale unei părți și autoritățile competente ale celeilalte părți sau transferate în alt mod, în conformitate cu un acord încheiat între Statele Unite și Uniunea Europeană sau statele sale membre, în scopul prevenirii, al detectării, al investigării și al urmăririi penale a infracțiunilor, inclusiv a terorismului.

               2. Prezentul acord nu afectează și nu aduce atingere transferurilor sau altor forme de cooperare între autoritățile statelor membre și cele ale Statelor Unite, altele decât cele menționate la articolul 2 alineatul (5), care sunt responsabile de apărarea securității naționale.

               Articolul 4: Nediscriminare

               Fiecare parte respectă obligațiile care îi revin în temeiul prezentului acord în scopul protejării informațiilor cu caracter personal ale propriilor resortisanți și ale resortisanților celeilalte părți, indiferent de naționalitatea lor și fără discriminare arbitrară și nejustificată.

               Articolul 5: Efectul acordului

               1. Prezentul acord completează, după caz, dar nu înlocuiește dispozițiile privind protecția informațiilor cu caracter personal din acordurile internaționale dintre părți sau dintre Statele Unite și statele membre care abordează aspecte ce se încadrează în domeniul de aplicare al prezentului acord.

               2. Părțile iau toate măsurile necesare pentru a pune în aplicare prezentul acord, inclusiv, în special, obligațiile care le revin în temeiul acestuia în ceea ce privește dreptul de acces și de rectificare al persoanelor fizice, precum și căile de atac administrative și judiciare de care dispun acestea. Persoanele fizice și entitățile beneficiază de măsurile de protecție și de căile de atac prevăzute în prezentul acord în modul implementat în legile naționale aplicabile ale fiecărei părți. Pentru Statele Unite, obligațiile sale se aplică în concordanță cu principiile sale fundamentale ale federalismului.

               3. Prin punerea în aplicare a alineatului (2), prelucrarea informațiilor cu caracter personal de către Statele Unite sau Uniunea Europeană și statele sale membre în ceea ce privește aspectele care se încadrează în domeniul de aplicare al prezentului acord se consideră că respectă legislația lor respectivă în materie de protecție a datelor care restricționează sau condiționează transferurile internaționale de informații cu caracter personal și nu este necesară nicio altă autorizație în temeiul unei astfel de legislații.

               Articolul 6: Limitări legate de scop și de utilizare

               1. Transferul informațiilor cu caracter personal se efectuează în scopuri specifice autorizate de temeiul juridic pentru transfer, astfel cum se prevede la articolul 1.

               2. Prelucrarea ulterioară a informațiilor cu caracter personal de către o parte nu este incompatibilă cu scopurile pentru care s-a efectuat transferul. Prelucrarea compatibilă include prelucrarea efectuată în temeiul dispozițiilor acordurilor internaționale existente și ale cadrelor internaționale scrise pentru prevenirea, detectarea, investigarea sau urmărirea penală a infracțiunilor grave. Orice astfel de prelucrare a informațiilor cu caracter personal de către alte autorități naționale de asigurare a respectării legii, de reglementare sau administrative este conformă cu alte dispoziții ale prezentului acord.

               3. Prezentul articol nu aduce atingere capacității autorității competente care transferă informațiile de a impune condiții suplimentare într-un caz specific în măsura în care cadrul juridic aplicabil transferului îi permite să acționeze astfel. Condițiile respective nu includ condiții generice în materie de protecție a datelor, și anume condiții impuse care nu au legătură cu faptele specifice ale cazului. Dacă informațiile sunt supuse unor condiții, autoritatea competentă destinatară se conformează acestora. Autoritatea competentă care furnizează informațiile îi poate solicita, de asemenea, destinatarului să îi aducă la cunoștință modul de utilizare a informațiilor transferate.

               4. În cazul în care Statele Unite, pe de o parte, și Uniunea Europeană sau un stat membru, pe de altă parte, încheie un acord privind transferul de informații cu caracter personal, altul decât cel referitor la cazuri, investigații sau urmăriri penale specifice, în acordul respectiv se detaliază scopurile specificate în care informațiile sunt transferate și prelucrate.

               5. Părțile asigură în cadrul legislației lor respective că informațiile cu caracter personal sunt prelucrate într-un mod care este direct relevant pentru scopurile unei astfel de prelucrări și nu este excesiv sau prea amplu în ceea ce privește scopurile respectivei prelucrări.

               Articolul 7: Transferul ulterior

               1. În cazul în care o autoritate competentă a unei părți a transferat informații cu caracter personal legate de un caz specific unei autorități competente a celeilalte părți, informațiile respective pot fi transferate unui stat care nu are obligații în temeiul prezentului acord sau unui organism internațional numai după ce s-a obținut aprobarea prealabilă a autorității competente care a trimis inițial respectivele informații.

               2. Atunci când își dă aprobarea pentru un transfer în temeiul alineatului (1), autoritatea competentă care a transferat inițial informațiile ia în considerare în mod corespunzător toți factorii relevanți, inclusiv gravitatea infracțiunii, scopul în care datele au fost transferate inițial și stabilirea faptului dacă statul are obligații în temeiul prezentului acord sau dacă organismul internațional în cauză asigură un nivel corespunzător de protecție a informațiilor cu caracter personal. Aceasta poate, de asemenea, să supună transferul unor condiții specifice.

               3. În cazul în care Statele Unite, pe de o parte, și Uniunea Europeană sau un stat membru, pe de altă parte, încheie un acord privind transferul de informații cu caracter personal, altul decât cel referitor la cazuri, investigații sau urmăriri penale specifice, transferul ulterior de informații cu caracter personal poate fi efectuat doar în conformitate cu condițiile specifice stabilite în acord care prevăd justificarea corespunzătoare a transferului ulterior. Acordul prevede, de asemenea, mecanisme corespunzătoare de informare între autoritățile competente.

               4. Nicio dispoziție din prezentul articol nu se interpretează ca afectând vreo cerință, obligație sau practică în temeiul căreia trebuie să se obțină aprobarea prealabilă a autorității competente care a transferat inițial informațiile înainte ca acestea să fie transferate mai departe unui stat sau unui organism care are obligații în temeiul prezentului acord, cu condiția ca nivelul de protecție a datelor din respectivul stat sau organism să nu constituie temeiul refuzului sau al impunerii de condiții cu privire la astfel de transferuri.

               Articolul 8: Păstrarea calității și a integrității informațiilor

               Părțile iau măsuri rezonabile pentru a asigura faptul că informațiile cu caracter personal sunt păstrate cu gradul de exactitate, relevanță, actualitate și exhaustivitate necesar și corespunzător pentru prelucrarea legală a informațiilor. În acest scop, autoritățile competente instituie proceduri menite să asigure calitatea și integritatea informațiilor cu caracter personal, printre acestea numărându-se:

                  (a) măsurile menționate la articolul 17;

               (b) în cazul în care autoritatea competentă care transferă informațiile ia cunoștință de existența unor îndoieli semnificative cu privire la relevanța, actualitatea, exhaustivitatea sau exactitatea respectivelor informații cu caracter personal sau cu privire la o evaluare pe care a transferat-o, aceasta înștiințează, în măsura posibilului, autoritatea competentă destinatară;

               (c) în cazul în care autoritatea competentă destinatară ia cunoștință de existența unor îndoieli semnificative referitoare la relevanța, actualitatea, exhaustivitatea sau exactitatea informațiilor cu caracter personal primite de la o autoritate guvernamentală sau referitoare la o evaluare efectuată de autoritatea competentă care a transferat informațiile privind exactitatea acestora sau fiabilitatea sursei, autoritatea competentă destinatară înștiințează, în măsura posibilului, autoritatea competentă care a transferat informațiile.

               Articolul 9: Securitatea informațiilor

               Părțile se asigură că dispun de mecanisme tehnice, de securitate și organizaționale corespunzătoare pentru protecția informațiilor cu caracter personal în toate cazurile următoare:

                  (a) distrugerea accidentală sau ilegală;

                  (b) pierderea accidentală și

                  (c) divulgarea, modificarea, accesarea sau alt tip de prelucrare neautorizată.

               Mecanismele respective includ garanții corespunzătoare în ceea ce privește autorizarea necesară pentru a avea acces la informațiile cu caracter personal.

               Articolul 10: Notificarea unui incident de securitate a informațiilor

               1. Atunci când constată existența unui incident care implică distrugerea sau pierderea accidentală ori accesarea, divulgarea sau modificarea neautorizată a informațiilor cu caracter personal, care prezintă un risc semnificativ de deteriorare, autoritatea competentă destinatară evaluează cu promptitudine probabilitatea și amploarea daunelor cauzate persoanelor fizice și integrității programului autorității competente care a transferat informațiile și ia, cu promptitudine, măsuri corespunzătoare pentru a atenua orice astfel de daune.

               2. Printre măsurile de atenuare a daunelor se numără notificarea autorității competente care a transferat informațiile. Cu toate acestea, notificarea poate:

                  a) să includă restricții corespunzătoare cu privire la transmiterea ulterioară a notificării;

                  b) să fie amânată sau omisă în cazul în care o astfel de notificare poate pune în pericol securitatea națională;

                  c) să fie amânată în cazul în care o astfel de notificare poate pune în pericol operațiuni de siguranță publică.

               3. Măsurile de atenuare a daunelor includ, de asemenea, notificarea persoanei fizice în cauză, după caz, având în vedere circumstanțele incidentului, cu excepția cazului în care o astfel de notificare poate pune în pericol:

                  a) siguranța publică sau securitatea națională;

                  b) anchetele, investigațiile sau procedurile oficiale;

                  c) prevenirea, detectarea, investigarea sau urmărirea penală a infracțiunilor;

                  d) drepturile și libertăților altor persoane, în special protecția victimelor și a martorilor.

               4. Autoritățile competente implicate în transferul de informații cu caracter personal se pot consulta în ceea privește incidentul și răspunsul la acesta.

               Articolul 11: Păstrarea înregistrărilor

               1. Părțile instituie metode eficace de demonstrare a legalității prelucrării informațiilor cu caracter personal, care pot include utilizarea de registre, precum și a altor forme de înregistrări.

               2. Autoritățile competente pot utiliza respectivele registre sau înregistrări pentru a menține buna desfășurare a operațiunilor efectuate în bazele de date sau în dosarele în cauză, pentru a asigura integritatea și securitatea datelor și, în cazul în care acest lucru este necesar, pentru a urma procedurile de rezervă.

               Articolul 12: Perioada de păstrare

               1. Părțile prevăd în cadrele lor juridice aplicabile perioade specifice de păstrare a înregistrărilor care conțin informații cu caracter personal, al căror scop este asigurarea faptului că informațiile cu caracter personal nu sunt păstrate mai mult decât este necesar și oportun. Respectivele perioade de păstrare iau în considerare scopurile prelucrării, natura datelor și autoritatea care le prelucrează, impactul asupra drepturilor și intereselor relevante ale persoanelor afectate și alte considerații juridice aplicabile.

               2. În cazul în care Statele Unite, pe de o parte, și Uniunea Europeană sau un stat membru, pe de altă parte, încheie un acord privind transferul de informații cu caracter personal, altul decât cel referitor la cazuri, investigații sau urmăriri penale specifice, acordul respectiv va include o dispoziție specifică și convenită de comun acord privind perioadele de păstrare.

               3. Părțile prevăd proceduri de examinare periodică a perioadei de păstrare pentru a stabili dacă evoluția situației necesită modificarea ulterioară a perioadei aplicabile.

               4. Părțile publică sau pun în alt mod la dispoziția publicului respectivele perioade de păstrare.

               Articolul 13: Categorii speciale de informații cu caracter personal

               1. Prelucrarea informațiilor cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau de altă natură, apartenența sindicală sau informațiile cu caracter personal privind starea de sănătate sau viața sexuală se efectuează numai în temeiul unor garanții corespunzătoare în conformitate cu legislația. Respectivele garanții corespunzătoare pot include: limitarea scopurilor în care informațiile pot fi prelucrate, de exemplu autorizarea prelucrării doar de la caz la caz; mascarea, ștergerea sau blocarea informațiilor după atingerea scopului în care au fost prelucrate; limitarea accesului la informații la personalul autorizat; impunerea obligației ca personalul care are acces la informații să beneficieze de o formare specializată; impunerea obligației de a primi aprobarea autorității de supraveghere pentru a avea acces la informații sau alte măsuri de protecție. Garanțiile iau în considerare în mod corespunzător natura informațiilor, sensibilitatea specială a informațiilor și scopul în care acestea sunt prelucrate.

               2. În cazul în care Statele Unite, pe de o parte, și Uniunea Europeană sau un stat membru, pe de altă parte, încheie un acord privind transferul de informații cu caracter personal, altul decât cel referitor la cazuri, investigații sau urmăriri penale specifice, acordul respectiv va specifica în detaliu standardele și condițiile în care informațiile în cauză pot fi prelucrate, ținând seama în mod corespunzător de natura informațiilor și de scopul în care sunt folosite.

               Articolul 14: Responsabilitate

               1. Părțile instituie măsuri de promovare a responsabilității în ceea ce privește prelucrarea informațiilor cu caracter personal în cadrul domeniului de aplicare al prezentului acord de către autoritățile lor competente și orice alte autorități ale părților cărora le-au fost transferate informații cu caracter personal. Măsurile respective includ notificarea garanțiilor aplicabile transferurilor de informații cu caracter personal efectuate în temeiul prezentului acord și a eventualelor condiții pe care autoritatea competentă care transferă informațiile le-a impus în temeiul articolului 6 alineatul (3). Abaterile grave se pedepsesc cu sancțiuni penale, civile sau administrative corespunzătoare și disuasive.

               2. Măsurile prevăzute la alineatul (1) includ, după caz, întreruperea transferului de informații cu caracter personal către autoritățile entităților teritoriale constitutive ale părților care nu intră sub incidența prezentului acord și nu au protejat în mod eficace informațiile cu caracter personal, ținând seama de scopul prezentului acord și, în special, de dispozițiile acestuia privind limitările legate de scop și de utilizare și privind transferul ulterior.

               3. În cazul formulării unor acuzații referitoare la punerea în aplicare necorespunzătoare a prezentului articol, o parte poate solicita celeilalte părți să furnizeze informații relevante, inclusiv, dacă este cazul, privind măsurile luate în temeiul prezentului articol.

               Articolul 15: Deciziile automatizate

               Deciziile care generează acțiuni negative semnificative privind interesele relevante ale unei persoane fizice nu se pot baza doar pe prelucrarea automată a informațiilor cu caracter personal, fără intervenție umană, cu excepția cazului în care acest fapt este autorizat în temeiul dreptului intern și cu condiția existenței unor garanții corespunzătoare care să includă posibilitatea de a obține o intervenție umană.

               Articolul 16: Acces

               1. Părțile se asigură că orice persoană fizică are dreptul de a solicita accesul la informațiile sale cu caracter personal și, sub rezerva restricțiilor prevăzute la alineatul (2), de a-l obține. Accesul respectiv se solicită și se obține din partea autorității competente în conformitate cu dispozițiile cadrului juridic aplicabil al statului în care se introduce cererea.

               2. Obținerea unor astfel de informații într-un anumit caz poate face obiectul unor restricții rezonabile prevăzute în temeiul dreptului intern, ținând seama de interesele legitime ale persoanei fizice vizate, astfel încât:

                  a) să se protejeze drepturile și libertățile altor persoane, inclusiv viața privată a acestora;

                  b) să se garanteze securitatea publică și națională;

                  c) să se protejeze informațiile sensibile în materie de asigurare a respectării legii;

                  d) să se evite obstrucționarea anchetelor, a investigațiilor sau a procedurilor oficiale sau juridice;

               e) să nu se afecteze prevenirea, detectarea, investigarea sau urmărirea penală a infracțiunilor ori executarea pedepselor;

               f) să se protejeze în alt mod interesele prevăzute în legislația privind libertatea de informare și accesul public la documente.

               3. Nu se impun persoanelor fizice cheltuieli excesive ca o condiție de acces la informațiile lor cu caracter personal.

               4. O persoană fizică are dreptul de a autoriza, atunci când acest fapt este permis în temeiul dreptului intern aplicabil, o autoritate de supraveghere sau un alt reprezentant să solicite accesul în numele său.

               5. În cazul în care accesul este refuzat sau restricționat, autoritatea competentă căreia i s-a adresat solicitarea va furniza, fără întârzieri nejustificate, persoanei fizice sau reprezentantului său autorizat în mod corespunzător, astfel cum se prevede la alineatul (4), motivele refuzului sau ale restricționării accesului.

               Articolul 17: Rectificare

               1. Părțile se asigură că orice persoană fizică are dreptul de a solicita corectarea sau rectificarea informațiilor sale cu caracter personal despre care aceasta susține că sunt inexacte sau au fost prelucrate în mod necorespunzător. Corectarea sau rectificarea poate include completarea, ștergerea, blocarea sau alte măsuri ori metode de remediere a inexactităților sau a prelucrării necorespunzătoare. Respectiva corectare sau rectificare se solicită și se obține din partea unei autorități competente în conformitate cu cadrul juridic aplicabil al statului în care se introduce cererea.

               2. În cazul în care autoritatea competentă destinatară concluzionează în urma:

                  a) unei cereri prezentate în temeiul alineatului (1);

                  b) a notificării de către furnizor sau

                  c) a propriilor investigații sau anchete

               că informațiile pe care le-a primit în temeiul prezentului acord sunt inexacte sau au fost prelucrate în mod necorespunzător, aceasta ia măsuri de completare, ștergere sau blocare ori aplică alte metode de corectare sau rectificare, după caz.

               3. O persoană fizică are dreptul de a autoriza, atunci când acest fapt este permis în temeiul dreptului intern aplicabil, o autoritate de supraveghere sau un alt reprezentant să solicite corectarea sau rectificarea în numele său.

               4. În cazul în care corectarea sau rectificarea este refuzată sau restricționată, autoritatea competentă căreia i s-a adresat solicitarea va furniza, fără întârzieri nejustificate, persoanei fizice sau reprezentantului său autorizat în mod corespunzător, astfel cum se prevede la alineatul (3), un răspuns care precizează motivele refuzului sau ale restricționării corectării ori rectificării.

               Articolul 18: Căi de atac administrative

               1. Părțile se asigură că orice persoană fizică are dreptul de a exercita căi de atac administrative în cazul în care aceasta consideră că cererea sa de acces prezentată în temeiul articolului 16 sau de rectificare a unor informații inexacte ori a unei prelucrări necorespunzătoare prezentată în temeiul articolului 17 a fost refuzată pe nedrept. Căile de atac respective se introduc în fața autorității competente și se soluționează de către aceasta în conformitate cu dispozițiile cadrului juridic aplicabil al statului în care se exercită căile de atac.

               2. O persoană fizică are dreptul de a autoriza, atunci când acest fapt este permis în temeiul dreptului intern aplicabil, o autoritate de supraveghere sau un alt reprezentant să exercite căile de atac administrative în numele său.

               3. Autoritatea competentă în fața căreia se introduc căile de atac efectuează anchetele și verificările corespunzătoare și, fără întârzieri nejustificate, răspunde în scris, inclusiv prin mijloace electronice, comunicând rezultatul, precum și măsurile de îmbunătățire sau corective întreprinse, dacă este cazul. Notificarea privind procedura de introducere a unor căi de atac administrative suplimentare este conformă celei prevăzute la articolul 20.

               Articolul 19: Căi de atac judiciare

               1. Părțile prevăd în cadrele lor juridice aplicabile că, sub rezerva oricăror cerințe conform cărora trebuie să se epuizeze mai întâi căile de atac administrative, orice cetățean al unei părți are dreptul de a solicita controlul jurisdicțional cu privire la:

               a) refuzul de către o autoritate competentă de a acorda acces la înregistrările care conțin informațiile sale cu caracter personal;

               a) refuzul de către o autoritate competentă de a modifica înregistrările care conțin informațiile sale cu caracter personal și

               c) divulgarea ilegală a respectivelor informații, efectuată în mod voit sau intenționat, care include posibilitatea unor despăgubiri compensatorii.

               2. Căile de atac judiciare respective se introduc și se soluționează în conformitate cu dispozițiile cadrului juridic aplicabil al statului în care se exercită acestea.

               3. Alineatele (1) și (2) nu aduc atingere oricăror alte căi de atac judiciare disponibile cu privire la prelucrarea informațiilor cu caracter personal ale unei persoane fizice efectuată în temeiul legislației statului în care se exercită căile de atac.

               4. În cazul suspendării sau al denunțării acordului, articolul 26 alineatul (2) sau articolul 29 alineatul (3) nu constituie o bază pentru căile de atac judiciare care nu mai sunt disponibile în temeiul legislației părții în cauză.

               Articolul 20: Transparență

               1. Părțile furnizează persoanei fizice o notificare cu privire la informațiile sale cu caracter personal, care poate fi efectuată de autoritățile competente prin publicarea unor notificări generale sau printr-o notificare efectivă, într-o formă și într-un termen prevăzute de legislația aplicabilă autorității care furnizează notificarea, în ceea ce privește:

                     (a) scopul prelucrării respectivelor informații de către autoritatea în cauză;

                    (b) scopurile în care informațiile pot fi transmise altor autorități;

                    (c) actele cu putere de lege sau normele în temeiul cărora se efectuează prelucrarea respectivă;

                    (d) părțile terțe cărora le sunt divulgate informațiile respective și

                    (e) accesarea, corectarea sau rectificarea și căile de atac disponibile.

               2. Această cerință referitoare la notificare face obiectul restricțiilor rezonabile prevăzute de dreptul intern în ceea ce privește aspectele enunțate la articolul 16 alineatul (2) literele (a)-(f).

               Articolul 21: Supravegherea eficace

               1. Părțile instituie una sau mai multe autorități publice de supraveghere care:

               (a) exercită funcții și competențe de supraveghere independentă, inclusiv control jurisdicțional, investigare și intervenție, dacă este cazul, din proprie inițiativă;

               (b) au competența de a accepta și de a da curs plângerilor înaintate de persoane fizice cu privire la măsurile de punere în aplicare a prezentului acord și

               (c) au competența de a dispune urmărirea penală sau sancționarea disciplinară, după caz, a încălcărilor legii care au legătură cu prezentul acord.

               2. Uniunea Europeană asigură supravegherea în temeiul prezentului articol prin intermediul autorităților sale pentru protecția datelor și al autorităților statelor membre pentru protecția datelor.

               3. Statele Unite asigură în mod cumulativ supravegherea în temeiul prezentului articol, prin intermediul mai multor autorități, care pot include, printre altele, inspectorii generali, înalții responsabili pentru protecția vieții private (chief privacy officers), birourile pentru responsabilitate guvernamentală (government accountability offices), consiliile de supraveghere a vieții private și a libertăților civile, precum și alte organisme executive și legislative de control jurisdicțional competente în domeniul vieții private sau al libertăților civile.

               Articolul 22: Cooperarea dintre autoritățile de supraveghere

               1. Consultările dintre autoritățile care îndeplinesc sarcini de supraveghere în temeiul articolului 21 se efectuează, după caz, în ceea ce privește îndeplinirea funcțiilor în legătură cu prezentul acord, în vederea asigurării punerii în aplicare eficace a dispozițiilor articolelor 16, 17 și 18.

               2. Părțile instituie puncte de contact naționale care vor acorda asistență în ceea ce privește identificarea autorității de supraveghere care trebuie să fie sesizată într-un anumit caz.

               Articolul 23: Examinarea comună

               1. Părțile efectuează examinări comune periodice ale politicilor și procedurilor care pun în aplicare prezentul acord, precum și ale eficacității acestora. În cadrul examinărilor comune se acordă o atenție specială punerii în aplicare cu eficacitate a măsurilor de protecție prevăzute la articolul 14 privind răspunderea, la articolul 16 privind accesul, la articolul 17 privind rectificarea, la articolul 18 privind căile de atac administrative și la articolul 19 privind căile de atac judiciare.

               2. Prima examinare comună se efectuează în termen de cel mult trei ani de la data intrării în vigoare a prezentului acord și, ulterior, examinarea comună se efectuează cu regularitate. Părțile stabilesc în prealabil de comun acord modalitățile și termenii acestei examinări comune și își comunică reciproc componența delegațiilor lor respective, din care fac parte reprezentanți ai autorităților publice de supraveghere menționate la articolul 21 privind supravegherea eficace și reprezentanți ai autorităților de asigurare a respectării legii și ai autorităților judiciare. Constatările examinării comune vor fi făcute publice.

               3. În cazul în care părțile sau Statele Unite și un stat membru au încheiat un alt acord, al cărui obiect se încadrează, de asemenea, în domeniul de aplicare al prezentului acord, care prevede examinări comune, respectivele examinări comune nu se suprapun și, în măsura în care este relevant, constatările acestora fac parte din concluziile examinării comune a prezentului acord.

               Articolul 24: Notificare

               1. Statele Unite notifică Uniunii Europene orice desemnare efectuată de autoritățile din SUA în legătură cu articolul 19 și orice modificare adusă acesteia.

               2. Părțile depun eforturi rezonabile pentru a-și notifica reciproc adoptarea oricăror acte cu putere de lege sau adoptarea unor reglementări care afectează în mod semnificativ punerea în aplicare a prezentului acord, dacă este posibil înainte ca acestea să intre în vigoare.

               Articolul 25: Consultare

               Orice litigiu care rezultă din interpretarea sau aplicarea prezentului acord duce la consultări între părți pentru a se ajunge la o soluție reciproc acceptabilă.

               Articolul 26: Suspendare

               1. În cazul încălcării grave a prezentului acord, acesta poate fi suspendat total sau parțial de oricare dintre părți, prin notificarea scrisă a celeilalte părți prin canale diplomatice. Respectiva notificare scrisă nu se efectuează decât după ce părțile s-au angajat într-o perioadă rezonabilă de consultare fără a ajunge la o soluționare și suspendarea intră în vigoare în termen de douăzeci de zile de la data primirii notificării. Suspendarea poate fi anulată de partea care a decis suspendarea prin notificarea scrisă a celeilalte părți. La primirea notificării, suspendarea se anulează imediat.

               2. Fără a aduce atingere oricărei suspendări a prezentului acord, datele cu caracter personal care se încadrează în domeniul de aplicare al prezentului acord și care au fost transferate anterior suspendării acestuia continuă să fie prelucrate în conformitate cu prezentul acord.

               Articolul 27: Aplicarea teritorială

                        1. Prezentul acord se aplică Danemarcei, Regatului Unit sau Irlandei numai în cazul în care Comisia Europeană notifică Statelor Unite în scris că Danemarca, Regatul Unit sau Irlanda a decis că acesta i se aplică.

                        2. În cazul în care Comisia Europeană notifică Statelor Unite, înainte de intrarea în vigoare a prezentului acord, că acesta se va aplica Danemarcei, Regatului Unit sau Irlandei, prezentul acord se aplică statelor respective de la data intrării sale în vigoare.

                        3. În cazul în care Comisia Europeană notifică Statelor Unite, după intrarea în vigoare a prezentului acord, că acesta se aplică Danemarcei, Regatului Unit sau Irlandei, prezentul acord se aplică statelor respective în prima zi a lunii următoare primirii notificării de către Statele Unite.

               Articolul 28: Durata acordului

               Prezentul acord se încheie pe durată nedeterminată.

               Articolul 29: Intrare în vigoare și denunțare

               1. Prezentul acord intră în vigoare în prima zi a lunii următoare datei la care părțile și-au transmis reciproc notificările care indică faptul că și-au finalizat procedurile interne pentru intrarea în vigoare.

               2. Oricare dintre părți poate denunța prezentul acord, prin notificarea scrisă a celeilalte părți prin canale diplomatice. Denunțarea intră în vigoare în termen de treizeci de zile de la data primirii notificării respective.

               3. În pofida oricărei denunțări a prezentului acord, informațiile cu caracter personal care se încadrează în domeniul de aplicare al prezentului acord și care au fost transferate anterior denunțării sale continuă să fie prelucrate în conformitate cu prezentul acord.

               DREPT CARE, subsemnații plenipotențiari au semnat prezentul acord.

               Încheiat la _, astăzi _ 201_, în două exemplare originale, în limba engleză. În temeiul legislației UE, prezentul acord este întocmit de către UE în limbile bulgară, cehă, croată, daneză, estonă, finlandeză, franceză, germană, greacă, irlandeză, italiană, letonă, lituaniană, maghiară, malteză, neerlandeză, polonă, portugheză, română, slovacă, slovenă, spaniolă și suedeză. Aceste versiuni lingvistice suplimentare pot fi autentificate printr-un schimb de note diplomatice între Statele Unite și Uniunea Europeană. În cazul unor divergențe între versiunile lingvistice autentice, prevalează versiunea în limba engleză.