12.1.2022   

RO

Jurnalul Oficial al Uniunii Europene

C 15/218

P9_TA(2021)0262

Protecția adecvată a datelor cu caracter personal de către Regatul Unit

Rezoluția Parlamentului European din 21 mai 2021 referitoare la protecția adecvată a datelor cu caracter personal de către Regatul Unit (2021/2594(RSP))

(2022/C 15/23)

Parlamentul European,

—

având în vedere Carta drepturilor fundamentale a Uniunii Europene („Carta”), în special articolele 7, 8, 16, 47 și 52,

—

având în vedere Hotărârea Curții de Justiție a Uniunii Europene (CJUE) din 16 iulie 2020 pronunțată în cauza C-311/18, Data Protection Commissioner/Facebook Ireland Limited și Maximillian Schrems (hotărârea Schrems II) (1),

—

având în vedere hotărârea CJUE din 6 octombrie 2015, pronunțată în cauza C-362/14, Maximillian Schrems/Data Protection Commissioner (hotărârea Schrems I) (2),

—

având în vedere hotărârea CJUE din 6 octombrie 2020, pronunțată în cauza C-623/17, Privacy International/Secretary of State for Foreign and Commonwealth Affairs (3),

—

având în vedere rezoluția sa din 12 martie 2014 referitoare la programul de supraveghere al Agenției Naționale de Securitate (NSA) a SUA, la organismele de supraveghere din diferite state membre și la impactul acestora asupra drepturilor fundamentale ale cetățenilor UE și asupra cooperării transatlantice în materie de justiție și de afaceri interne (4),

—

având în vedere rezoluția sa din 5 iulie 2018 referitoare la caracterul adecvat al protecției oferite de Scutul de confidențialitate UE-SUA (5),

—

având în vedere rezoluția sa din 25 octombrie 2018 referitoare la folosirea datelor utilizatorilor Facebook de către Cambridge Analytica și impactul asupra protecției datelor (6),

—

având în vedere rezoluția sa din 20 mai 2021 referitoare la hotărârea CJUE din 16 iulie 2020, Data Protection Commissioner/Facebook Ireland Limited și Maximillian Schrems („Schrems II”), pronunțată în cauza C-311/18 (7),

—

având în vedere rezoluția sa din 26 noiembrie 2020 referitoare la analiza politicii comerciale a UE (8),

—

având în vedere Acordul comercial și de cooperare din 31 decembrie 2020 dintre Uniunea Europeană și Comunitatea Europeană a Energiei Atomice, pe de o parte, și Regatul Unit al Marii Britanii și Irlandei de Nord, pe de altă parte (9),

—

având în vedere rezoluția sa din 28 aprilie 2021 referitoare la rezultatul negocierilor dintre UE și Regatul Unit (10),

—

având în vedere Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (Regulamentul general privind protecția datelor) (RGPD) (11),

—

având în vedere Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date (12) (Directiva privind protecția datelor în materie de asigurare a respectării legii),

—

având în vedere Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor electronice (13),

—

având în vedere propunerea Comisiei din 10 ianuarie 2017 de regulament al Parlamentului European și al Consiliului privind respectarea vieții private și protecția datelor cu caracter personal în comunicațiile electronice (COM(2017)0010) și poziția Parlamentului European cu privire la aceasta, adoptată la 20 octombrie 2017 (14),

—

având în vedere recomandările Comitetului european pentru protecția datelor (CEPD), inclusiv declarația sa din 9 martie 2021 referitoare la Regulamentul privind viața privată și comunicațiile electronice și recomandările sale 01/2020 din 10 noiembrie 2020 privind măsurile care completează instrumentele de transfer pentru a asigura conformitatea cu nivelul UE de protecție a datelor cu caracter personal,

—

având în vedere criteriile de referință privind caracterul adecvat al nivelului de protecție adoptate de Grupul de lucru „Articolul 29” la 6 februarie 2018 și aprobate de CEPD,

—

având în vedere recomandările 01/2021 ale CEPD din 2 februarie 2021 referitoare la criteriile de referință privind caracterul adecvat al nivelului de protecție în temeiul Directivei privind protecția datelor în materie de asigurare a respectării legii,

—

având în vedere proiectele de decizii privind caracterul adecvat publicate de Comisie la 19 februarie 2021, una în temeiul RGPD (15) și cealaltă în temeiul Directivei privind protecția datelor în materie de asigurare a respectării legii (16),

—

având în vedere avizele 14/2021 și 15/2021 ale CEPD din 13 aprilie 2021 referitoare la proiectul de decizie de punere în aplicare a Comisiei Europene în temeiul Directivei (UE) 2016/680 privind protecția adecvată a datelor cu caracter personal în Regatul Unit,

—

având în vedere Convenția europeană a drepturilor omului (CEDO) și Convenția Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal, precum și protocolul său de modificare, („Convenția 108+”), la care Regatul Unit este parte,

—

având în vedere Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului din 16 februarie 2011 de stabilire a normelor și a principiilor generale privind mecanismele de control de către statele membre al exercitării competențelor de executare de către Comisie,

—

având în vedere articolul 132 alineatul (2) din Regulamentul său de procedură,

—

având în vedere propunerea de rezoluție a Comisiei pentru libertăți civile, justiție și afaceri interne,

A.

întrucât capacitatea de a transfera date cu caracter personal peste granițe poate constitui un factor-cheie de inovare, productivitate și competitivitate economică și are o importanță crucială pentru o cooperare eficace în lupta împotriva criminalității transfrontaliere organizate și împotriva infracțiunilor transfrontaliere grave, precum și în combaterea terorismului, care depinde din ce în ce mai mult de schimbul de date cu caracter personal;

B.

întrucât, în hotărârea Schrems I, CJUE a subliniat că accesul nediferențiat al serviciilor de informații la conținutul comunicațiilor electronice încalcă esența dreptului la confidențialitatea comunicațiilor prevăzut la articolul 7 din Cartă și că Statele Unite nu oferă suficiente căi de atac pentru persoanele care nu sunt cetățeni ai SUA împotriva supravegherii în masă, încălcând articolul 47 din Cartă;

C.

întrucât Regatul Unit a fost în mod tradițional un partener comercial important al multor state membre ale Uniunii, precum și un aliat apropiat în domeniul securității; întrucât Uniunea și Regatul Unit ar trebui să mențină această cooperare strânsă, în pofida retragerii Regatului Unit din Uniune, deoarece acest lucru va fi benefic pentru ambele părți;

D.

întrucât întreprinderile europene au nevoie de claritate și securitate juridică, deoarece capacitatea de a transfera date cu caracter personal peste granițe a devenit din ce în ce mai importantă pentru toate tipurile de societăți care furnizează bunuri și servicii la nivel internațional; întrucât o decizie privind caracterul adecvat al nivelului de protecție în ceea ce privește Regatul Unit în temeiul RGPD este extrem de importantă deoarece multe întreprinderi europene desfășoară activități comerciale peste Canalul Mânecii, în special având în vedere faptul că Brexitul este încă foarte recent, iar fluxurile de date în interiorul Uniunii nu au făcut obiectul unor restricții; întrucât neadoptarea unui cadru solid de adecvare ar crea riscul de perturbări ale transferurilor comerciale transfrontaliere de date cu caracter personal între Uniune și Regatul Unit, precum și costuri ridicate de asigurare a conformității;

E.

întrucât Acordul comercial și de cooperare (ACC) include o serie de garanții și condiții pentru schimbul de date cu caracter personal pertinente în contextul aplicării legii; întrucât negocierile privind fluxurile de date cu caracter personal s-au desfășurat în paralel cu negocierile privind ACC, dar nu au fost finalizate până la sfârșitul perioadei de tranziție, la 31 decembrie 2020; întrucât în Acordul comercial și de cooperare a fost inclusă o „clauză pasarelă” ca soluție provizorie, condiționată de angajamentul Regatului Unit de a nu-și modifica regimul actual de protecție a datelor, pentru a asigura continuarea fluxurilor de date cu caracter personal dintre Regatul Unit și Uniune până la adoptarea unei decizii privind caracterul adecvat al nivelului de protecție; întrucât perioada inițială de patru luni a fost prelungită și va expira la sfârșitul lunii iunie 2021;

F.

întrucât evaluarea realizată de Comisie înainte de a-și prezenta proiectul de decizie de punere în aplicare este incompletă și contravine cerințelor CJUE privind evaluările caracterului adecvat al nivelului de protecție, care a fost subliniată de CEPD în avizele sale privind caracterul adecvat, în care recomandă Comisiei să evalueze în continuare elemente specifice ale legislației și practicii din Regatul Unit referitoare la colectarea în masă, divulgarea în străinătate și acordurile internaționale în domeniul schimbului de informații, al utilizării suplimentare a informațiilor colectate în scopul aplicării legii și al independenței comisarilor judiciari;

G.

întrucât anumite aspecte ale legislației și/sau practicii din Regatul Unit nu au fost luate în considerare de Comisie, fapt care a dus la proiecte de decizii de punere în aplicare care nu sunt în concordanță cu dreptul Uniunii; întrucât articolul 45 din RGPD prevede că, „[a]tunci când evaluează caracterul adecvat al nivelului de protecție, Comisia ține seama, în special, de […] legislația relevantă, atât generală, cât și sectorială, inclusiv privind securitatea publică, apărarea, securitatea națională și dreptul penal, precum și accesul autorităților publice la datele cu caracter personal, precum și punerea în aplicare a acestei legislații, normele de protecție a datelor, normele profesionale și măsurile de securitate, inclusiv normele privind transferul ulterior de date cu caracter personal către o altă țară terță sau o organizație internațională, care sunt respectate în țara terță respectivă sau în organizația internațională respectivă, jurisprudența” și de „angajamentele internaționale la care a aderat țara terță sau organizația internațională în cauză sau alte obligații care decurg din convenții sau instrumente obligatorii din punct de vedere juridic, precum și din participarea acesteia la sisteme multilaterale sau regionale, mai ales în domeniul protecției datelor cu caracter personal”, ce include acorduri internaționale în alte domenii care implică accesul la date sau schimbul de informații și, prin urmare, necesită o evaluare a acestor acorduri internaționale;

H.

întrucât CJUE a declarat în mod clar în hotărârea sa Schrems I că atunci când examinează nivelul de protecție oferit de o țară terță, Comisia este obligată să evalueze conținutul normelor aplicabile în țara respectivă care rezultă din dreptul său intern sau din angajamentele sale internaționale și practica menită să asigure respectarea acestor norme, întrucât, în temeiul articolului 25 alineatul (2) din Directiva 95/46/CE, aceasta trebuie să țină seama de toate circumstanțele legate de transferul de date cu caracter personal către o țară terță (punctul 75);

I.

întrucât activitățile serviciilor de informații și schimbul de informații cu țările terțe sunt excluse din domeniul de aplicare al dreptului UE în conformitate cu tratatele atunci când este vorba de statele membre, dat fiind că acestea intră în domeniul de aplicare al evaluării necesare a caracterului adecvat al nivelului de date cu caracter personal oferit de țările terțe, astfel cum a confirmat CJUE în hotărârile Schrems I și II;

J.

întrucât standardele de protecție a datelor nu se bazează numai pe legislația în vigoare, ci și pe aplicarea acestor legi în practică și întrucât, atunci când și-a pregătit decizia, Comisia a evaluat doar legislația, nu și aplicarea efectivă în practică;

K.

întrucât, în prezent, Comisia admite că 12 țări terțe oferă o protecție adecvată în temeiul RGPD și a încheiat recent discuții cu Republica Coreea în această privință; întrucât Regatul Unit este prima țară căreia Comisia a propus să i se acorde caracterul adecvat în temeiul Directivei privind asigurarea respectării legii;

L.

întrucât cazul Regatului Unit este diferit de toate evaluările anterioare ale adecvării, deoarece se referă la un fost stat membru al Uniunii care a încorporat dispozițiile RGPD în dreptul său național și, în plus, a prevăzut că întreaga „legislație națională derivată din UE”, inclusiv legislația de transpunere a Directivei privind asigurarea respectării legii, va continua să se aplice după încheierea perioadei de tranziție,

I.   REGULAMENTUL GENERAL PRIVIND PROTECȚIA DATELOR

Observații generale

1.

 ia act de faptul că Regatul Unit este semnatar al CEDO și al Convenției Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal; se așteaptă ca Regatul Unit să asigure același cadru minim de protecție a datelor, în ciuda faptului că a ieșit din Uniunea Europeană;

2.

 salută angajamentul Regatului Unit de a respecta democrația și statul de drept, de a proteja și de a conferi efecte interne drepturilor fundamentale, cum ar fi cele prevăzute în Convenția europeană a drepturilor omului, inclusiv niveluri ridicate de protecție a datelor; reamintește că aceasta este o condiție prealabilă necesară pentru cooperarea UE cu Regatul Unit; reamintește că, deși articolul 8 din CEDO privind dreptul la viață privată face parte din legislația națională a Regatului Unit prin intermediul Legii privind drepturile omului din 1998 și din common law prin intermediul noului delict de utilizare abuzivă a informațiilor privind viața privată, guvernul a respins eforturile de a include un drept fundamental la protecția datelor;

3.

 subliniază că UE a optat pentru o abordare centrată pe drepturile omului a administrării datelor în elaborarea unor norme solide de protecție a datelor în temeiul RGPD și, prin urmare, este profund îngrijorat de declarațiile publice ale prim-ministrului Regatului Unit care afirmă că Regatul Unit va încerca să se abată de la normele UE privind protecția datelor și să își stabilească propriile controale „suverane” în acest domeniu; consideră că strategia națională a Regatului Unit privind datele din 2020 face trecerea de la protecția datelor cu caracter personal la utilizarea și partajarea mai amplă a datelor, ceea ce este incompatibil cu principiile echității, reducerii la minimum a datelor și limitării scopului în temeiul RGPD; ia act de faptul că, în avizele sale privind caracterul adecvat, CEPD a evidențiat că acest lucru ar putea duce la posibile riscuri în ceea ce privește protecția conferită datelor cu caracter personal transferate din UE;

4.

 evidențiază că deciziile valabile privind caracterul adecvat al nivelului de protecție contribuie în mare măsură la protecția drepturilor fundamentale ale persoanelor și la securitatea juridică pentru întreprinderi; subliniază însă că deciziile privind caracterul adecvat al nivelului de protecție bazate pe evaluări incomplete și care nu sunt puse în aplicare în mod corespunzător de către Comisie pot avea efectul contrar atunci când sunt contestate în instanță;

5.

 întrucât evaluarea realizată de Comisie înainte de a-și prezenta proiectul de decizie de punere în aplicare este incompletă și contravine cerințelor CJUE privind evaluările caracterului adecvat al nivelului de protecție, care a fost subliniată de CEPD în avizele sale privind caracterul adecvat, în care recomandă Comisiei să evalueze în continuare elemente specifice ale legislației sau practicii din Regatul Unit referitoare la colectarea în masă, divulgarea în străinătate și acordurile internaționale în domeniul schimbului de informații, al utilizării ulterioare a informațiilor colectate în scopul aplicării legii și al independenței comisarilor judiciari;

Punerea în aplicare a RGPD

6.

 își exprimă îngrijorarea cu privire la deficiența și adeseori inexistența punerii în aplicare a RGPD de către Regatul Unit atunci când acesta era încă membru al UE; atrage atenția, îndeosebi, asupra faptului că Biroul Comisarului pentru informații al Regatului Unit (ICO, Information Commissioner’s Office) nu a efectuat punerea în aplicare în mod corespunzător în trecut; atrage atenția asupra exemplului în care ICO a închis o reclamație privind tehnologiile utilizate în publicitate după organizarea a două evenimente cu părțile interesate, redactând un raport („Raportul actualizat privind tehnologiile utilizate în publicitate”) și afirmând că „industria tehnologiilor din publicitate pare imatură în nivelul său de înțelegere a cerințelor privind protecția datelor”, fără a recurge însă la niciuna dintre competențele sale de asigurare a respectării legii (17); este preocupat de faptul că absența punerii în aplicare este o problemă structurală, prezentată în politica de acțiune în materie de reglementare a ICO, care afirmă în mod explicit că „[î]n majoritatea cazurilor, ne vom rezerva competențele pentru cazurile cele mai grave, reprezentând cele mai grave încălcări ale obligațiilor privind drepturile de informare. Acestea vor presupune, de regulă, acte intenționate, deliberate sau din neglijență sau încălcări repetate ale obligațiilor privind drepturile de informare, cauzând prejudicii sau daune persoanelor”; subliniază că, în practică, acest lucru a însemnat că un număr ridicat de încălcări ale legislației privind protecția datelor în Regatul Unit nu au fost, așadar, remediate;

7.

 ia act de strategia națională a Regatului Unit privind datele, actualizată la 9 decembrie 2020, care propune tranziția de la protecția datelor cu caracter personal către utilizarea și partajarea din ce în ce mai extinsă a datelor; atrage atenția că poziția indicată în strategie, potrivit căreia „reținerea datelor poate avea un impact negativ asupra societății”, nu este compatibilă cu principiile reducerii la minimum a datelor și limitării scopului în temeiul RGPD și al dreptului primar;

8.

 ia act de faptul că, în 2004, Comisia pentru afaceri constituționale (18) și, în 2014, Comisia pentru afaceri publice a Parlamentului Regatului Unit (19) au recomandat să se asigure independența ICO prin transformarea lui într-un funcționar al Parlamentului, care să răspundă în fața acestuia, mai degrabă decât să fie numit în continuare de ministrul pentru digitalizare, cultură, mass-media și sport; regretă că nu s-a dat curs acestei recomandări;

Prelucrarea datelor pentru controlul imigrației

9.

 observă că dreptul Regatului Unit privind protecția datelor conține o derogare de la anumite aspecte ale drepturilor și principiilor fundamentale de protecție a datelor, cum ar fi dreptul de acces și dreptul unei persoane vizate de a ști cu cine au fost partajate datele sale, în cazul în care o astfel de protecție „ar aduce atingere controlului eficace al imigrației”; evidențiază că monitorizarea și conformitatea utilizării derogării trebuie să se desfășoare în conformitate cu standardele impuse de referința privind caracterul adecvat, care necesită luarea în considerare atât a practicii, cât și a principiului, subliniind că „este necesar să se ia în considerare nu numai conținutul normelor aplicabile datelor cu caracter personal transferate către o țară terță […], ci și sistemul existent pentru a asigura eficacitatea unor astfel de norme”; recunoaște că această derogare, care este disponibilă pentru toți operatorii de date din Regatul Unit, a fost aprobată de ICO și de o instanță și poate fi invocată numai de la caz la caz și aplicată în mod necesar și proporțional; reamintește informațiile recent dezvăluite, conform cărora au fost depuse 17 780 de cereri de acces în legătură cu datele prelucrate de către Ministerul de Interne între 1 aprilie 2018 și 31 martie 2019 referitoare la 146,75 milioane de persoane vizate și că derogarea privind imigrația a fost utilizată în peste 70 % din cererile persoanelor vizate adresate Ministerului de Interne în 2020 (20); subliniază că, chiar și în cazurile în care Ministerul de Interne a făcut uz de derogare, accesul la informații nu a fost complet refuzat, ci s-a limitat la documente ocultate;

10.

 ia act de faptul că această derogare se aplică în prezent cetățenilor UE care își au reședința sau intenționează să locuiască în Regatul Unit; este profund îngrijorat de faptul că derogarea elimină principalele posibilități de asumare a răspunderii și căi de atac și subliniază că acesta nu este un nivel adecvat de protecție;

11.

 își reiterează profunda îngrijorare cu privire la derogarea privind drepturile persoanelor vizate prevăzută în politica de imigrație a Regatului Unit; își reiterează poziția potrivit căreia derogarea pentru prelucrarea datelor cu caracter personal în scopuri legate de imigrație, prevăzută în Legea Regatului Unit privind protecția datelor, trebuie modificată înainte de a se putea emite o decizie valabilă privind caracterul adecvat al nivelului de protecție, astfel cum s-a cerut în repetate rânduri, inclusiv în rezoluția sa din 12 februarie 2020 referitoare la mandatul propus pentru negocierile privind noul parteneriat cu Regatul Unit al Marii Britanii și Irlandei de Nord (21) și în avizul Comisiei pentru libertăți civile, justiție și afaceri interne din 5 februarie 2021 (22); invită Comisia să negocieze eliminarea derogării privind imigrația sau să se asigure că aceasta este reformată, astfel încât derogarea și utilizarea acesteia să ofere suficiente garanții persoanelor vizate și să nu încalce standardele pe care trebuie să le asigure o țară terță;

Supravegherea în masă

12.

 reamintește dezvăluirile făcute de avertizorul Edward Snowden privind supravegherea în masă practicată de SUA și Regatul Unit; reamintește că programul „Tempora”, condus de Cartierul General pentru Comunicații al Guvernului Regatului Unit (GCHQ), interceptează în timp real comunicațiile prin intermediul cablurilor verticale de internet prin fibră optică și înregistrează datele ca să poată fi prelucrate și consultate ulterior; reamintește că această supraveghere în masă a conținutului comunicațiilor și a metadatelor are loc fără nicio suspiciune concretă și fără a fi vizate anumite date;

13.

 reamintește că, în hotărârile sale din cauzele Schrems I și Schrems II, CJUE a susținut că accesul în masă la conținutul comunicațiilor private afectează esența dreptului la viață privată și că, în astfel de cazuri, nici măcar nu mai este necesar să se verifice necesitatea și proporționalitatea acestor acțiuni de accesare a datelor; subliniază că aceste principii se aplică transferurilor de date către alte țări terțe decât SUA, inclusiv către Regatul Unit;

14.

 reamintește rezoluția sa din 12 martie 2014, în care se constată că programele de supraveghere în masă fără discernământ și fără a se întemeia pe suspiciuni concrete, desfășurate de agenția de informații a Regatului Unit GCHQ, nu sunt compatibile cu principiile necesității și proporționalității într-o societate democratică și nu sunt conforme cu dreptul UE în domeniul protecției datelor; recunoaște că, de atunci, Regatul Unit și-a reformat în mod semnificativ legislația în materie de supraveghere și a introdus garanții care depășesc condițiile definite de Curtea de Justiție a Uniunii Europene (CJUE) în hotărârea Schrems II (23) și garanțiile prevăzute în legile privind supravegherea din majoritatea statelor membre; salută, în special, asigurarea accesului deplin la căi de atac judiciare efective; reamintește că raportorul special al ONU pentru dreptul la viață privată a salutat garanțiile solide introduse prin Legea privind competențele de investigare („IPA 2016”) în ceea ce privește necesitatea, proporționalitatea și autorizarea independentă de către un organism judiciar;

15.

 reamintește că, în septembrie 2018, Curtea Europeană a Drepturilor Omului a confirmat că programele britanice de interceptare și păstrare în masă a datelor, inclusiv Tempora, sunt „ilegale și incompatibile cu condițiile necesare pentru o societate democratică” (24);

16.

 consideră inacceptabil faptul că proiectele de decizii privind caracterul adecvat al nivelului de protecție nu iau în considerare lipsa unor restricții pentru utilizarea competențelor Regatului Unit în raport cu datele în bloc, și nici utilizarea efectivă de către Regatul Unit și SUA a operațiunilor de supraveghere, dezvăluită de Edward Snowden, inclusiv următoarele fapte:

(a)

nu există o supraveghere efectivă de fond din partea ICO sau a instanțelor judecătorești cu privire la utilizarea derogării de securitate națională prevăzute în legislația Regatului Unit privind protecția datelor;

(b)

restricțiile privind utilizarea competențelor Regatului Unit în raport cu „datele în bloc” nu sunt prevăzute în legea propriu-zisă, astfel cum prevede CJUE (ci, mai degrabă, sunt lăsate la discreția executivului, sub rezerva unui control judiciar „respectuos”);

(c)

descrierea „datelor secundare” (metadatelor) din proiectele de decizii induce în eroare în mod grav și nu ia act de faptul că astfel de date pot dezvălui foarte multe și pot fi foarte intruzive și fac obiectul unor analize automatizate sofisticate (astfel cum a constatat CJUE în cauza Digital Rights Ireland (25)), însă legislația Regatului Unit nu protejează în mod semnificativ metadatele împotriva accesului nejustificat, a colectării în masă și a analizei de către serviciile de informații din Regatul Unit cu ajutorul IA;

(d)

faptul că agențiile din cadrul grupului Five Eyes, în special GCHQ și Agenția Națională de Securitate (NSA), partajează, în practică, toate datele operative;

subliniază că, în plus, în ceea ce privește SUA, cetățenii Regatului Unit beneficiază de anumite garanții convenite informal de GCHQ și NSA; își exprimă profunda îngrijorare cu privire la faptul că aceste garanții nu ar proteja cetățenii sau locuitorii UE ale căror date pot face obiectul transferurilor ulterioare și al partajării cu NSA;

17.

 invită statele membre să încheie cu Regatul Unit acorduri privind interzicerea spionajului și invită Comisia să facă uz de schimburile sale cu omologii săi din Regatul Unit pentru a transmite mesajul că, în cazul în care nu se modifică legislația și practicile de supraveghere ale Regatului Unit, singura opțiune fezabilă pentru a facilita deciziile privind caracterul adecvat ar fi încheierea unor acorduri de interzicere a spionajului cu statele membre;

Transferurile ulterioare

18.

 subliniază cu insistență faptul că Legea din 2018 privind retragerea din Uniunea Europeană prevede că jurisprudența CJUE generată înainte de încheierea perioadei de tranziție va deveni „drept al UE menținut în dreptul intern” și, prin urmare, va deveni obligatorie din punct de vedere juridic pentru Regatul Unit; subliniază că, atunci când evaluează dacă nivelul de protecție este adecvat în alte țări terțe, Regatul Unit este obligat să respecte principiile și condițiile stabilite de CJUE în hotărârile din cauzele Schrems I și Schrems II; este îngrijorat de faptul că instanțele judecătorești din Regatul Unit nu vor mai aplica Carta; subliniază că Regatul Unit nu mai ține de competența CJUE, care este cea mai înaltă instanță de interpretare a Cartei;

19.

 subliniază că normele Regatului Unit privind schimbul de date cu caracter personal în temeiul Legii privind economia digitală din 2017 și privind transferurile ulterioare de date de cercetare nu sunt în mod clar „în esență echivalente” cu normele prevăzute în RGPD, potrivit interpretării CJUE;

20.

 este preocupat de faptul că Regatul Unit și-a acordat dreptul de a declara că alte țări sau teritorii terțe oferă o protecție adecvată a datelor, indiferent dacă UE consideră că țara terță sau teritoriul în cauză oferă sau nu o astfel de protecție; reamintește că Regatul Unit a declarat deja că Gibraltarul oferă o astfel de protecție, chiar dacă UE nu a făcut o declarație în acest sens; este profund îngrijorat de faptul că atestarea de către Regatului Unit a existenței „unui nivel de protecție adecvat” ar conduce, prin urmare, la ocolirea normelor UE privind transferurile către state sau teritorii care nu sunt considerate adecvate în temeiul dreptului UE;

21.

 ia act de faptul că, la 1 februarie 2021, Regatul Unit a trimis o cerere de aderare la Parteneriatul transpacific cuprinzător și progresiv (CPTPP), în special pentru „a beneficia de norme moderne în domeniul comerțului digital, care permit circulația liberă a datelor între membri, elimină barierele inutile din calea întreprinderilor (etc.)”; constată cu îngrijorare că CPTPP are 11 membri, dintre care opt nu beneficiază de o decizie privind caracterul adecvat al nivelului de protecție din partea UE; își exprimă profunda îngrijorare cu privire la posibilele transferuri ulterioare de date cu caracter personal ale cetățenilor și rezidenților UE către aceste țări, în cazul în care se adoptă o decizie privind caracterul adecvat al nivelului de protecție în Regatul Unit (26);

22.

 regretă faptul că Comisia nu a evaluat impactul și riscurile potențiale ale Acordului dintre Regatul Unit al Marii Britanii și Irlandei de Nord și Japonia privind un parteneriat economic cuprinzător, care include dispoziții privind datele cu caracter personal și nivelul de protecție a datelor;

23.

 este preocupat de faptul că, în cazul în care Regatul Unit include în acordurile comerciale viitoare, inclusiv în acordurile comerciale dintre SUA și Regatul Unit, dispoziții privind transferurile de date, acest lucru ar submina nivelul de protecție asigurat de RGPD;

II.   DIRECTIVA PRIVIND PROTECȚIA DATELOR ÎN MATERIE DE ASIGURARE A RESPECTĂRII LEGII

24.

 subliniază că Regatul Unit este prima țară pentru care Comisia a propus adoptarea unei decizii privind caracterul adecvat al nivelului de protecție în temeiul Directivei (UE) 2016/680;

25.

 ia act de acordul dintre Regatul Unit și SUA privind accesul transfrontalier la date (27), încheiat în temeiul legii CLOUD din SUA, care facilitează transferurile în scopul aplicării legii; este profund preocupat de faptul că acest lucru va permite accesul nejustificat al autorităților SUA la datele cu caracter personal ale cetățenilor și locuitorilor UE; este îngrijorat, la fel ca CEPD, de faptul că, dacă sunt aplicate mutatis mutandis, garanțiile prevăzute în acordul-cadru dintre UE și SUA (28) ar putea să nu îndeplinească criteriile care necesită norme clare, precise și accesibile în ceea ce privește accesul la datele cu caracter personal sau ar putea să nu consacre aceste garanții în măsura în care acestea să fie eficace și aplicabile în dreptul Regatului Unit;

26.

 reamintește că hotărârea CJUE C-623/17 trebuie interpretată în sensul că se opune legislației naționale care permite unei autorități de stat să solicite furnizorilor de servicii de comunicații să efectueze transmiterea generalizată și nediferențiată a datelor privind traficul și a datelor de localizare către agențiile de securitate și de informații ale statului în scopul protejării securității naționale;

27.

 ia act de faptul că, în acest caz, CJUE a hotărât că colectarea de date în bloc, efectuată în Regatul Unit în temeiul Legii din 2000 privind reglementarea competențelor de investigare, este ilegală; subliniază că legea de reglementare a fost înlocuită între timp de Legea privind competențele de investigare (IPA 2016), care pune un accent mai puternic pe principiile necesității și proporționalității; subliniază că IPA 2016 supune acțiunile de interceptare controlului judecătoresc și le permite persoanelor fizice să acceseze datele care le vizează și să depună plângeri în fața tribunalului care are sarcina de a controla competențele de investigare; regretă, cu toate acestea, faptul că IPA 2016 continuă să permită practica păstrării în bloc a datelor;

28.

 este preocupat de relatările recente potrivit cărora Ministerul de Interne al Regatului Unit a implementat, în cadrul unui test desfășurat în temeiul IPA 2016, un sistem de colectare și păstrare în masă a datelor;

29.

 reamintește că, în rezoluția sa din 12 februarie 2020, Parlamentul European a subliniat că „Regatul Unit nu poate avea acces direct la datele din sistemele de informații ale UE și nici nu poate participa la organele de conducere ale agențiilor UE din domeniul libertății, securității și justiției, iar orice partajare de informații cu Regatul Unit, inclusiv de date cu caracter personal, trebuie să facă obiectul unor garanții stricte și al unor condiții stricte de audit și control, inclusiv să existe un nivel de protecție a datelor cu caracter personal echivalent cu cel prevăzut de legislația UE”; ia act de deficiențele identificate în modul în care Regatul Unit a pus în aplicare legislația privind protecția datelor în timp ce era încă membru al UE; reamintește că Regatul Unit a înregistrat și a păstrat o copie a Sistemului de Informații Schengen (SIS); se așteaptă ca agențiile de aplicare a legii din Regatul Unit să respecte pe deplin normele aplicabile atunci când vor face schimb de date cu caracter personal în viitor; reamintește că Regatul Unit menține accesul la unele baze de date ale UE în materie de aplicare a legii numai pe baza unui răspuns pozitiv/negativ („hit/no hit”) și este exclus din punct de vedere juridic de la accesul la SIS;

30.

 își exprimă îngrijorarea cu privire la dezvăluirea din ianuarie 2021 privind ștergerea accidentală din calculatorul național al poliției din Regatul Unit a unui număr de 400 000 de caziere judiciare; subliniază că acest lucru nu dă naștere unui sentiment de încredere față de eforturile depuse de Regatul Unit pentru a asigura protecția datelor în scopul aplicării legii;

31.

 ia act de faptul că proiectul de decizie privind caracterul adecvat al nivelului de protecție evaluează în detaliu drepturile fiecărei autorități din Regatul Unit abilitate în temeiul dreptului național să intercepteze și să păstreze date cu caracter personal din motive de securitate națională; salută, de asemenea, faptul că rapoartele detaliate de supraveghere cu privire la autoritățile responsabile de comunitatea serviciilor de informații oferă informații cu privire la practicile actuale de supraveghere din Regatul Unit; invită Comisia să evalueze și să monitorizeze în continuare tipurile de date transmise în cadrul comunicațiilor care intră sub incidența competențelor Regatului Unit de păstrare a datelor și de interceptare legală;;

32.

 subliniază că Acordul comercial și de cooperare dintre UE și Regatul Unit (ACC) include titluri referitoare la schimbul de date ADN, date privind amprentele digitale și date privind înmatricularea vehiculelor, transferul și prelucrarea datelor din registrul cu numele pasagerilor (PNR), cooperarea privind informațiile operaționale și cooperarea cu Europol și Eurojust, care se vor aplica indiferent de decizia privind caracterul adecvat al nivelului de protecție; reamintește, cu toate acestea, preocupările exprimate în avizul Comisiei pentru libertăți civile, justiție și afaceri interne din februarie 2021 referitor la ACC în ceea ce privește utilizarea specială și păstrarea pe o perioadă mai îndelungată a datelor cu caracter personal transmise Regatului Unit în temeiul titlurilor Prüm și PNR din ACC, care nu corespund cu modalitățile de utilizare și păstrare din statele membre; reamintește dreptul privind introducerea unei acțiuni în fața CJUE pentru a solicita verificarea legalității acordului internațional preconizat și, în special, a compatibilității acestuia cu protecția unui drept fundamental (29);

Concluzii

33.

 invită Comisia să asigure întreprinderile din UE că decizia privind caracterul adecvat al nivelului de protecție va oferi un temei juridic solid, suficient și orientat spre viitor pentru transferurile de date; subliniază că este important să se asigure faptul că decizia privind caracterul adecvat al nivelului de protecție va fi considerată acceptabilă dacă va fi examinată de CJUE și subliniază că toate recomandările formulate în avizul CEPD ar trebui, prin urmare, să fie luate în considerare;

34.

 salută faptul că deciziile privind caracterul adecvat al nivelului de protecție se vor aplica numai pentru o perioadă de patru ani, deoarece Regatul Unit ar putea alege să modifice legislația care face obiectul evaluării de către Comisie a caracterului adecvat, având în vedere că nu mai este stat membru al Uniunii; invită Comisia să monitorizeze în continuare, între timp, nivelul de protecție a datelor în Regatul Unit de drept și de fapt și să efectueze o evaluare aprofundată înainte de reînnoirea deciziei privind caracterul adecvat al nivelului de protecție în 2025;

35.

 consideră că, prin adoptarea celor două decizii de punere în aplicare, care nu sunt conforme cu dreptul Uniunii, fără a fi soluționat toate preocupările exprimate în prezenta rezoluție, Comisia depășește competențele de executare conferite acesteia prin Regulamentul (UE) 2016/679 și Directiva (UE) 2016/680; se opune, așadar, celor două acte de punere în aplicare, deoarece proiectele de decizii de punere în aplicare nu sunt conforme cu dreptul Uniunii;

36.

 invită Comisia să modifice cele două proiecte de decizii de punere în aplicare pentru a le alinia pe deplin cu dreptul și jurisprudența Uniunii;

37.

 solicită ca autoritățile naționale de protecție a datelor să suspende transferul de date cu caracter personal care pot face obiectul unui acces nediferențiat din partea autorităților de informații din Regatul Unit în cazul în care Comisia adoptă deciziile sale privind caracterul adecvat al nivelului de protecție în Regatul Unit înainte ca acesta să rezolve problemele menționate mai sus;

38.

 invită Comisia și autoritățile competente din Regatul Unit să elaboreze un plan de acțiune pentru a aborda cât mai curând posibil deficiențele identificate în avizele CEPD și alte chestiuni nesoluționate în domeniul protecției datelor în Regatul Unit, ceea ce trebuie să fie o condiție necesară pentru adoptarea deciziei finale privind caracterul adecvat al nivelului de protecție;

39.

 invită Comisia să continue să monitorizeze îndeaproape nivelul de protecție a datelor, precum și legile și practicile britanice privind supravegherea în masă; subliniază că, în capitolul V din RGPD, există și alte posibilități legale pentru transferul de date cu caracter personal către Regatul Unit; reamintește că, în conformitate cu Orientările CEPD, transferurile care se bazează pe derogări pentru situații specifice în temeiul articolului 49 din RGPD trebuie să aibă un caracter excepțional;

40.

 regretă faptul că Comisia a ignorat apelurile Parlamentului de a suspenda Scutul de confidențialitate până când autoritățile SUA nu respectă condițiile impuse și a preferat întotdeauna, în schimb, să „monitorizeze situația” fără niciun rezultat concret în ceea ce privește protecția datelor în raport cu cetățenii și securitatea juridică în raport cu întreprinderile; îndeamnă Comisia să învețe din situațiile anterioare în care nu a luat în seamă apelurile din partea Parlamentului și a experților cu privire la adoptarea și monitorizarea deciziilor anterioare privind caracterul adecvat al nivelului de protecție și să nu lase aplicarea corespunzătoare a dreptului UE privind protecția datelor pe seama CJUE, în urma plângerilor depuse de cetățeni;

41.

 invită Comisia să monitorizeze îndeaproape legislația și practicile din Regatul Unit privind protecția datelor, să informeze și să consulte imediat Parlamentul cu privire la orice modificare viitoare a regimului de protecție a datelor din Regatul Unit și să acorde Parlamentului un rol de control în noul cadru instituțional, inclusiv în organismele competente, cum ar fi Comitetul specializat privind cooperarea în materie de asigurare a respectării legii și cooperarea judiciară;

o

o o

42.

 încredințează Președintelui sarcina de a transmite prezenta rezoluție Comisiei, statelor membre, precum și guvernului Regatului Unit.

(1)  ECLI:EU:C:2020:559.

(2)  ECLI:EU:C:2015:650.

(3)  ECLI:EU:C:2020:790.

(4)  JO C 378, 9.11.2017, p. 104.

(5)  JO C 118, 8.4.2020, p. 133.

(6)  JO C 345, 16.10.2020, p. 58.

(7)  Texte adoptate, P9_TA(2021)0256.

(8)  Texte adoptate, P9_TA(2020)0337.

(9)  JO L 444, 31.12.2020, p. 14.

(10)  Texte adoptate, P9_TA(2021)0141.

(11)  JO L 119, 4.5.2016, p. 1.

(12)  JO L 119, 4.5.2016, p. 89.

(13)  JO L 201, 31.7.2002, p. 37.

(14)  A8-0324/2017.

(15)  Proiect de decizie de punere în aplicare al Comisiei în temeiul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția adecvată a datelor cu caracter personal asigurată de Regatul Unit.

(16)  Proiect de decizie de punere în aplicare al Comisiei în temeiul Directivei (UE) 2016/680 a Parlamentului European și a Consiliului privind protecția adecvată a datelor cu caracter personal asigurată de Regatul Unit.

(17)  Lomas, N., „UK’s ICO faces legal action after closing adtech complaint with nothing to show for it” (ICO din Regatul Unit riscă o acțiune în justiție după ce a clasat fără dovezi o plângere privind tehnologiile utilizate în publicitate), TechCrunch, San Francisco, 2020.

(18)  Al șaptelea raport al Comisiei speciale pentru afaceri constituționale, publicat de Camera Comunelor la 13 iunie 2006. Alineatul (108) are următorul conținut: „Considerăm că este de dorit ca comisarul pentru informații să fie responsabil în mod direct față de Parlament și să fie finanțat de acesta și recomandăm ca o astfel de modificare să fie luată în considerare atunci când apare ocazia de a modifica legislația”.

(19)  Raportul Comisiei pentru administrație publică intitulat „Cine este responsabil? Relațiile dintre guvern și organismele independente”, publicat de Camera Comunelor la 4 noiembrie 2014. Alineatul (64) are următorul conținut: „Comisarul pentru informații și Inspectoratul Major al Penitenciarelor ar trebui să fie pe deplin independente de guvern și să răspundă în fața Parlamentului. Comisarul pentru informații, comisarul pentru numiri publice și președintele Comisiei pentru deontologia funcției publice ar trebui să devină funcționari ai Parlamentului, la fel ca mediatorul parlamentar și cel al serviciilor de sănătate, precum și inspectorul și auditorul general.”

(20)  Comunicatul de presă din 3 martie 2021 al Grupului Drepturi Deschise (Open Rights Group) intitulat ‘Documents reveal controversial Immigration Exemption used in 70 % of access requests to Home Office’ (Documente arată utilizarea controversată a derogării privind imigrația în 70 % din cererile de acces adresate Ministerului de Interne).

(21)  Texte adoptate, P9_TA(2020)0033.

(22)  Avizul Comisiei pentru libertăți civile, justiție și afaceri interne referitor la încheierea, în numele Uniunii, a Acordului comercial și de cooperare dintre Uniunea Europeană și Comunitatea Europeană a Energiei Atomice, pe de o parte, și Regatul Unit al Marii Britanii și Irlandei de Nord, pe de altă parte, și a Acordului dintre Uniunea Europeană și Regatul Unit al Marii Britanii și Irlandei de Nord privind procedurile de securitate pentru schimbul de informații clasificate și protecția acestora, LIBE_AL(2021)680848.

(23)  Hotărârea din 16 iulie 2020, Data Protection Commissioner / Facebook Ireland Limited și Maximillian Schrems, C-311/18, ECLI:EU:C:2020:559.

(24)  Hotărârea Curții Europene a Drepturilor Omului din 13 septembrie 2018, Big Brother Watch și alții/Regatul Unit, cererile nr. 58170/13, 62322/14, 24960/15.

(25)  Hotărârea Curții de Justiție din 8 aprilie 2014, Digital Rights Ireland Ltd/Ministrul Comunicațiilor, Resurselor Marine și Naturale și alții și Kärntner Landesregierung și alții, cauzele conexate C-293/12 și C-594/12, ECLI:EU:C:2014:238.

(26)  Comunicatul de presă al Departamentului Regatului Unit pentru Comerț Internațional din 30 ianuarie 2021, intitulat „UK applies to join huge Pacific free trade area CPTPP” [Regatul Unit depune cererea de aderare la enormul spațiu de liber schimb din zona Pacificului, CPTPP].

(27)  Acordul dintre Guvernul Regatului Unit al Marii Britanii și Irlandei de Nord și Guvernul Statelor Unite ale Americii din 3 octombrie 2019 privind accesul la datele electronice în scopul combaterii criminalității grave.

(28)  Acord între Statele Unite ale Americii și Uniunea Europeană privind protecția informațiilor cu caracter personal în ceea ce privește prevenirea, depistarea investigarea și urmărirea penală a infracțiunilor (JO L 336, 10.12.2016, p. 3).

(29)  Rezoluția Parlamentului European referitoare la proiectul de decizie a Comisiei de constatare a nivelului adecvat de protecție asigurat pentru datele cu caracter personal conținute în registrele cu numele pasagerilor (PNR) transferate Biroului vamal și de protecție a frontierelor din SUA (JO C 103 E, 29.4.2004, p. 665).