Date personale (Directiva Europeana)

De la Saferpedia

Orice informaţii cu caracter personal. Colectarea, procesarea şi stocarea datelor personale trebuie adusă la cunoştinţa utilizatorilor în mod explicit.

Directiva datelor personale este o directivă a Uniunii Europene care reglementează prelucrarea datelor cu caracter personal ȋn cadrul Uniunii Europene. Aceasta este o componentă importantă a UE cu privire la viața privată și la drepturile omului. Directiva a pusă ȋn aplicare ȋn anul 1995 de către Comisia Europeană.

Cuprins

1 Context
2 Conținut
3 Punerea ȋn aplicare de către statele membre
4 Legături externe

Context

Dreptul la viața privată este o zonă foate dezvoltată de legi ȋn Europa. Toate statele membre ale Uniunii Europene sunt de asemenea semnatare ale Convenției Europene a Drepturilor Omului (CEDO). Articolul 8 din CEDO prevede dreptul la respectarea vieții private singulare și de familie, a corespondenței și a domiciliului, sub rezerva anumitor restricții. Aurtea Europeană a Drepturilor Omului a dat acestui articol o interpretare foarte deschisă ȋn jurisprudența sa. Ȋn anul 1981 convenția pentru protecța persoanelor, a negociat ȋn cadrul consiliului Europei situația cu privire la prelucrarea automată a datelor cu caracter personal. Această convenție obligă semnatarii să adopte legi cu privire la prelucrarea automată a datelor cu caracter personal. Multe țari au adoptat asfel de legi ȋn mod corespunzător.

Acum, europenii sunt familiarizați cu pericolele asociate de utilizarea necontrolată a informațiilor cu caracter personal, din experiența lor din era fascistă a guvernelor din al doilea război mondial și a regimurilor comuniste de după al doilea război mondial și sunt extrem de suspicioși și temători de utilizarea necontrolată a informațiilor cu caracter personal.

Ȋn anul 1980, ȋntr-un efort de a crea un sistem de protecție a datelor, ȋn ȋntregime, Organizația pentru Cooperare și Dezvoltare Economică (OCDE) a emis recomandări ale consiliului privind liniile directoare care reglementează protecția vieții private și a flulxului de date trans-frontalier cu caracter personal. Cele șapte principii care reglementau recomandările OCDE pentru protecția datelor personale erau:

Ȋnștiințarea – persoanele vizate trebuie să fie ȋnștiințate atunci când le sunt colectate datele personale
Scopul – datele trebuiesc folosite doar pentru scopurile declarate și nu pentru alte scopuri
Consimțământul – datele nu trebuiesc divulgate fără consimțământul persoanei vizate
Securitatea – datele colectate trebuiesc păstrate ȋn siguranță față de abuzurile potețiale
Dezvăluirea – persoanele vizate trebuiesc informate cu privire la cine le colectează datele
Accesarea – persoanelor vizate trebuie să li se permită accesul la datele lor și să poată face corectări asupra datelor inexacte sau incorecte
Responsabilitatea – persoanele vizate trebuie să aibă la disopziție o metodă de a păstra datele colectate și datele colectorilor pentru a vedea dacă sunt respectate principiile de mai sus

Cu toate acestea, liniile directoare ale OCDE n-au mau fost ȋnchegate, iar legile de confidențialitate asupra datelor personale au variat ȋn ȋntreaga Europă. Cu toate acestea, toate cele șapte principii au fost incluse ȋn directiva UE.

Comisia Europeană și-a dat seama că divergențele ȋn legislația privind protecția datelor ȋn statele membre ale UE ar ȋmpiedica fluxul liber de date ȋn zona UE. Prin urmare, comisia Europeană a hotărât să armonizeze reglementarea privind protecția datelor și a propus Directiva privind protecția datelor cu caracter personal.

Conținut

Directiva reglementează prelucrearea datelor cu caracter personal, indiferent dacă prelucrarea este sau nu automatizată.

Scop

Datele personale sunt definite ca „orice informație referitoare la o persoană identificată sau identificabilă natural”; o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, ȋn special prin referire la un număr de identificare sau la unul sau mai mulți factori specifici identității sale fizice, fiziologice, psihice, economice, culturale sau sociale. (art. 2 a)

Această definiție este menită să fie foarte pe larg. Datele, sunt „date cu caracter personal”, atunci când cineva este ȋn măsură facă legătura ȋntre informațiile respective și o persoană, chiar dacă persoana care deține datele nu poate face această legătură. Câteva exemple de „date personale” sunt: adresa, numărul cardului de credit, extrasele de cont, cazierul judiciar, etc.

Noțiunea prelucrarea ȋnseamnă „orice operațiune sau set de operațiuni care se efectuează asupra datelor cu caracter personal, idiferent dacă sunt sau nu prin mijloace automate, precum colectarea, ȋnregistrarea, organizarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, deavăluirea prin transmitere, diseminare sau ȋn orice alt mod, alăturarea ori combinarea, blocarea, ștergerea sau distrugerea;” (art. 2 b)

Responsabilitatea pentru respectare regulilor revine pe umerii „inspectorului”, ȋnsemnând persoana fizică sau artificială, autoritatea publică, agenția sau orice alt organism care singur sau ȋmpreună cu altele stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; (art. 2 d)

Normele privind protecția datelor sunt aplicabile nu numai ȋn cazul ȋn care operatorul este stabilit ȋn cadrul UE, ci ori de câte ori operatorul folosește echipamente situate ȋn UE pentru a procesa datele. (art. 4) Operatorii din afara UE, care prelucrează date ȋn UE, va trebui să se supună regulamentului de protecție a datelor. Ȋn principiu, orice tranzacționare de afaceri online cu cetăț3nii UE, presupune prelucrarea de date personale și va folosi echipamente din UE pentru procesarea datelor (de exemplu calculatorul clientului). Ȋn consecință, operatorul, ar trebui să respecte normele europene de protecție a datelor.

Principii

Datele cu caracter personal nu ar trebui procesate deloc decât ȋn cazul ȋn care sunt ȋndelpinite anumite condiții. Aceste condiții se ȋmpart ȋn trei categorii: transparență, scop legitim și proporționalități.

Transparența

Persoanele vizate au dreptul să fie informați atunci când le sunt prelucrate date cu caracter personal. Operatorii trebuie să furnizeze numele și adresa, scopul prelucrării, destinatarii datelor și toate celelalte informații necesare pentru a asigura o prelucrare echitabilă.

Datele pot fi prelucrate numai ȋn următoarele situații (art. 7):

Atunci când persoana vizată și-a dat consimțământul
Ȋn cazul ȋn care prelucrarea este necesară pentru ȋncheierea unui contract
Atunci când prelucrarea este necesară pentru respectarea unei obligații legale
Atunci când prelucrarea este necesară cu scopul de a proteja interesele vitale ale persoanei vizate
Când prelucrarea este necesară, pentru ȋndepinirea unei sarcini de interes public sau ȋn exercitarea autorității publice sau a unei părți terțe cărei ȋi sunt comunicate datele
Prelucrarea este necesară, pentru realizarea interesului legitim urmărit de operator sau de către un terț sau părți terțe, cărora le sunt comunicate datele, cu excepția cazului ȋn care acest interes nu va prejudicia interesul pentru drepturile și libertățile fundamentale ale persoanei vizate. Persoana are dreptul de a accesa toate datele prelucrate despre ea. Persoana vizată are dreptul de a solicita rectificarea, ștergerea sau blocarea datelor care sunt incomplete, inexacte sau care nu sunt procesate ȋn conformitate cu normele de protecție a datelor.

Scop legitim

Datele cu caracter personal pot fi prelucrate numai pentru scopuri specifice și legitime și nu pot fi prelucrate ȋn comtinuare ȋntr-o manieră incompatibilă cu aceste scopuri. (art. 6b)

Proporționalitate

Datele cu caracter personal pot fi prelucrate numai ȋn măsura ȋn care acestea sunt adecvate, pertinente și neexcesive ȋn raport cu scopurile pentru care acestea sunt colectate și / sau prelucrate ulterior. Datele trebuie să fie exacte și dacă este necesar actualizate; toate măsurile rezonabile trebuie să fie luate pentru a se asigura că datele care sunt inexacte sau incomplete, având ȋn vedere scopurile pentru care au fost colectate sau pentru care acestea sunt prelucrate ulterior, sunt șterse sau rectificate; Datele nu trebuie păstrate ȋntr-o formă care permite identificarea persoanelor vizate pentru o perioadă mai lungă decât este necesar pentru scopurile pentru care datele au fost colectate sau pentru care vor fi prelucrate ulterior. Statele membre UE, trebuie să stabilească garanțiile corespunzătoare pentru datele cu caracter personal stocate pentru perioade de timp mai lungi, ȋn scopuri istorice, statistice sau științifice. (art. 6)

Când sunt procesate date personale sensibile (convingeri religioase, opinii politice, opinii de sănătate, orientare sexuală, rasă, apartenență la organizații din trecut) se aplică restricții suplimentare. (art. 8)

Persoana vizată se poate opune ȋn orice moment prelucrării datelor cu caracter personal ȋn scopul de marketing direct. (art. 14)

O decizie ce produce efecte juridice legale sau semnificative care afectează persoana vizată, nu poate fi ȋntemeiată numai pe prelucrarea automatizată a datelor. (art. 15) Trebuie furnizată o formă de atac, atunci când sunt utilizate procese automate de luare a deciziei.

Autoritatea de supraveghere și registrul public al operațiunilor de prelucrare

Fiecare stat membru, trebuie să institue o autoritate de supraveghere, un organism independent care va monitoriza nivelul de protecție a datelor ȋn statul respectiv (membru), pentru a da sfaturi guvernului cu privire la măsuri administrative și reglementări și să ȋnceapă procedurile legale atunci când reglementarea pentru protecția datelor cu caracter personal a fost ȋncălcată. (art. 28)

Operatorul trebuie să ȋnștiințeze autoritatea de supraveghere, ȋnainte de ȋncepe să prelucreze datele. Ȋnștiințarea conține cel puțin următoarele informații.

Numele și adresa operatorului și a reprezentantului acestuia, dacă este cazul;
Scopul sau scopurile publicării;
O descriere a categoriei sau a categoriilor de persoane vizate și a datelor sau a categoriilor de date referitoare la acestea;
Destinatarii sau categoriile de destinatari cărora le pot fi dezvăluite datele;
Propunerile de transferuri de date către țările terțe;
O descriere generală a măsurilor luate pentru a asigura securitatea prelucrării.

Aceste informații sunt păstrate ȋntr-un registru public.

Transferul de date cu caracter personal către țări terțe

Termenul țări terțe este utilizat ȋn UE pentru a desemna țările din afara Uniunii Europene. Datele cu caracter personal pot fi transferate către ţări terţe în cazul în care această ţară oferă un nivel adecvat de protecţie. Unele excepţii de la această regulă sunt prevăzute, de exemplu atunci când operatorului însuşi poate garanta că destinatarul se conformează cu normele de protecţie a datelor.

Articolul 29 al directivei a creat „Grupul de lucru al protecției persoanelor cu privire la prelucrarea datelor cu caracter personal”, cunoscut ȋn general ca „Grupul de lucru al articolului 29”. Grupuil de lucru oferă sfaturi cu privire la nivelul de protecție ȋn Uniunea Europeană și țările terțe.

Grupul de lucru a negociat cu reprezentanții Statelor Unite despre protecția datelor cu caracter personal și s-a ajuns ca rezultat la principiile Safe Harbor. Conform criticilor, principiile Safe Harbor nu prevăd un nivel adecvat de protecție deoarece conține mai puține obligații pentru operator și permite anumite drepturi celor care ȋntocmesc contractele.

Ȋn iulie 2007, a fost semnat un nou acord ȋntre Statele Unite și UE, numit „PNR – Passenger Name Record” (Registru de Nume a Pasagerilor).

În februarie 2008, Jonathan Faull, şeful Comisiei de către UE a afacerilor interne, sa plâns cu privire la politica bilaterală a Statelor Unite privind PNR. Statele Unite a semnat, în februarie 2008, un memorandum de înţelegere (MOU - Memorandum Of Understanding) cu Republica Cehă în schimbul unui sistem de Visa Waiver, fără o consultare premergătoare la Bruxelles. Tensiunile între Washington şi Bruxelles sunt în principal cauzate de un nivel mai scăzut de protecţie a datelor în SUA, mai ales că străinii nu beneficiază de confidenţialitatea SUA din 1974. Alte ţări au abordat memorandumul de ȋnţelegere bilaterală printre care și Regatul Unit, Estonia, Germania şi Grecia.

Punerea ȋn aplicare de către statele membre

Directivele UE sunt adresate statelor membre, şi, ȋn principiu, din punct de vedere legal, nu sunt obligatorii pentru cetăţeni. Statele membre trebuie să transpună directiva în legislaţia internă. Directiva 95/46/CE privind protecţia datelor cu caracter personal a trebuit să fie transpusă până la sfârşitul anului 1998. Toate statele membre au adoptat propriile lor legislaţii privind protecţia datelor.