REGULAMENTUL (UE) 2016/679 (RGPD 2018) privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date

(124) In cazul in care prelucrarea datelor cu caracter personal se desfasoara in cadrul activitatilor unui sediu al unui operator sau al unei persoane imputernicite de operator din Uniune, iar operatorul sau persoana imputernicita de operator are sedii in mai multe state membre, sau in cazul in care prelucrarea care se desfasoara in contextul activitatilor unui singur sediu al unui operator sau al unei persoane imputernicite de operator din Uniune afecteaza sau este susceptibila sa afecteze semnificativ persoane vizate din mai multe state membre, autoritatea de supraveghere a sediului principal al operatorului sau al persoanei imputernicite de operator ori a sediului unic al operatorului sau al persoanei imputernicite de operator ar trebui sa actioneze in calitate de autoritate principala. Aceasta ar trebui sa coopereze cu celelalte autoritati vizate, pentru ca operatorul sau persoana imputernicita de operator are un sediu pe teritoriul statului lor membru, pentru ca persoanele vizate care isi au resedinta pe teritoriul lor sunt afectate in mod semnificativ sau pentru ca le-a fost inaintata o plangere . De asemenea, in cazul in care o persoana vizata care nu isi are resedinta in statul membru respectiv a depus o plangere, autoritatea de supraveghere la care a fost depusa plangerea ar trebui, de asemenea, sa fie o autoritate de supraveghere vizata. In cadrul sarcinilor sale de a emite orientari cu privire la orice chestiune referitoare la punerea in aplicare a prezentului regulament, comitetul ar trebui sa poata emite orientari privind, in special, criteriile care trebuie luate in considerare pentru a se stabili daca prelucrarea in cauza afecteaza in mod semnificativ persoane vizate din mai multe state membre si privind continutul unei obiectii relevante si motivate.
(125) Autoritatea principala ar trebui sa aiba competenta de a adopta decizii obligatorii privind masurile de aplicare a competentelor care ii sunt conferite in conformitate cu prezentul regulament. In calitatea sa de autoritate principala, autoritatea de supraveghere ar trebui sa implice indeaproape si sa coordoneze activitatile autoritatilor de supraveghere vizate in procesul decizional. In cazurile in care decizia este de respingere partiala sau totala a plangerii din partea persoanei vizate, o asemenea decizie ar trebui adoptata de catre autoritatea de supraveghere la care s-a depus plangerea.
(126) Decizia ar trebui convenita in comun de autoritatea de supraveghere principala si de autoritatile de supraveghere vizate si ar trebui sa vizeze sediul principal sau sediul unic al operatorului sau al persoanei imputernicite de operator si sa fie obligatorie pentru operator si pentru persoana imputernicita de operator . Operatorul sau persoana imputernicita de operator ar trebui sa ia masurile necesare pentru a asigura conformitatea cu prezentul regulament si punerea in aplicare a deciziei notificate de autoritatea de supraveghere principala sediului principal al operatorului sau al persoanei imputernicite de operator in ceea ce priveste activitatile de prelucrare in Uniune.
(127) Fiecare autoritate de supraveghere care nu actioneaza ca autoritate de supraveghere principala ar trebui sa aiba competenta de a trata cazuri locale, in care operatorul sau persoana imputernicita de operator are sedii in mai multe state membre, dar obiectul respectivei prelucrari priveste doar prelucrarea efectuata intr-un singur stat membru si implicand doar persoane vizate din acel unic stat membru, de exemplu in cazul in care obiectul il constituie prelucrarea datelor cu caracter personal ale angajatilor in contextul specific legat de forta de munca dintr-un stat membru. In astfel de cazuri, autoritatea de supraveghere ar trebui sa informeze fara intarziere autoritatea de supraveghere principala cu privire la aceasta chestiune. Dupa ce a fost informata, autoritatea de supraveghere principala ar trebui sa decida daca va trata ea insasi cazul in temeiul dispozitiei privind cooperarea intre autoritatea de supraveghere principala si alte autoritati de supraveghere vizate (``mecanismul ghiseului unic``), sau daca autoritatea de supraveghere care a informat-o ar trebui sa se ocupe de caz la nivel local. Atunci cand decide daca va trata cazul, autoritatea de supraveghere principala ar trebui sa ia in considerare daca exista un sediu al operatorului sau al persoanei imputernicite de operator in statul membru al autoritatii de supraveghere care a informat-o, in vederea garantarii respectarii efective a unei decizii in ceea ce priveste operatorul sau persoana imputernicita de operator . In cazul in care autoritatea de supraveghere principala decide sa trateze cazul, autoritatea de supraveghere care a informat-o ar trebui sa beneficieze de posibilitatea de a prezenta un proiect de decizie, de care autoritatea de supraveghere principala ar trebui sa tina seama in cea mai mare masura atunci cand pregateste proiectul sau de decizie in cadrul respectivului mecanism al ghiseului unic.
(128) Normele privind autoritatea de supraveghere principala si mecanismul ghiseului unic nu ar trebui sa se aplice in cazul in care prelucrarea este efectuata de autoritati publice sau organisme private in interes public. In asemenea cazuri, singura autoritate de supraveghere competenta sa isi exercite competentele care i-au fost atribuite in conformitate cu prezentul regulament ar trebui sa fie autoritatea de supraveghere a statului membru in care autoritatea publica sau organismul privat isi are sediul .
(129) Pentru a se asigura consecventa monitorizarii si a aplicarii prezentului regulament in intreaga Uniune, autoritatile de supraveghere ar trebui sa aiba in fiecare stat membru aceleasi sarcini si competente efective, inclusiv competente de investigare, competente corective si sanctiuni, precum si competente de autorizare si de consiliere, in special in cazul plangerilor depuse de persoane fizice, precum si, fara a aduce atingere competentelor autoritatilor de urmarire penala in temeiul dreptului intern, de a aduce in atentia autoritatilor judiciare cazurile de incalcare a prezentului regulament si de a se implica in proceduri judiciare. Aceste competente ar trebui sa includa si competenta de a impune o limitare temporara sau definitiva, inclusiv o interdictie, asupra prelucrarii. Statele membre pot stabili alte sarcini legate de protectia datelor cu caracter personal in temeiul prezentului regulament. Competentele autoritatilor de supraveghere ar trebui exercitate in conformitate cu garantii procedurale adecvate prevazute in dreptul Uniunii si in dreptul intern, in mod impartial, echitabil si intr-un termen rezonabil. In special, fiecare masura ar trebui sa fie adecvata, necesara si proportionala in scopul de a asigura conformitatea cu dispozitiile prezentului regulament, luand in considerare circumstantele fiecarui caz in parte, sa respecte dreptul oricarei persoane de a fi ascultata inainte de luarea oricarei masuri individuale care ar putea sa ii aduca atingere si sa evite costurile inutile si inconvenientele excesive pentru persoanele in cauza. Competentele de investigare in ceea ce priveste accesul in incinte ar trebui exercitate in conformitate cu cerintele specifice din dreptul procedural national, cum ar fi obligatia de a obtine in prealabil o autorizare judiciara. Fiecare masura obligatorie din punct de vedere juridic luata de autoritatea de supraveghere ar trebui sa fie prezentata in scris, sa fie clara si lipsita de ambiguitate, sa indice autoritatea de supraveghere care a emis masura, data emiterii masurii, sa poarte semnatura sefului sau a unui membru al autoritatii de supraveghere autorizat de acesta, sa furnizeze motivele pentru care s-a luat masura si sa faca trimitere la dreptul la o cale de atac eficienta. Acest lucru nu ar trebui sa excluda cerinte suplimentare in conformitate cu dreptul procedural national. Adoptarea unor astfel de decizii obligatorii din punct de vedere juridic implica faptul ca se poate da nastere unui control jurisdictional in statul membru al autoritatii de supraveghere care a adoptat decizia.
(130) In cazul in care autoritatea de supraveghere la care s-a depus plangerea nu este autoritatea de supraveghere principala, autoritatea de supraveghere principala ar trebui sa coopereze indeaproape cu autoritatea de supraveghere la care s-a depus plangerea, in conformitate cu dispozitiile privind cooperarea si consecventa prevazute in prezentul regulament. In astfel de cazuri, autoritatea de supraveghere principala ar trebui, atunci cand ia masuri destinate sa produca efecte juridice, inclusiv impunerea de amenzi administrative, sa tina seama cat mai mult posibil de opinia autoritatii de supraveghere la care a fost depusa plangerea si care ar trebui sa isi mentina competenta de a desfasura orice investigatie pe teritoriul propriului stat membru, in colaborare cu autoritatea de supraveghere principala.
(131) In cazurile in care o alta autoritate de supraveghere ar trebui sa actioneze in calitate de autoritate de supraveghere principala pentru activitatile de prelucrare ale operatorului sau ale persoanei imputernicite de operator, dar obiectul concret al unei plangeri sau posibila incalcare vizeaza numai activitatile de prelucrare ale operatorului sau ale persoanei imputernicite de operator in statul membru in care a fost depusa plangerea sau a fost depistata posibila incalcare, iar chestiunea nu afecteaza in mod substantial sau nu este susceptibila sa afecteze in mod substantial persoane vizate din alte state membre, autoritatea de supraveghere care a primit o plangere sau a depistat ori a fost informata in alt mod asupra unor situatii de posibile incalcari ale prezentului regulament ar trebui sa incerce o solutionare pe cale amiabila cu operatorul si, in cazul in care aceasta esueaza, sa isi exercite plenitudinea competentelor. Aceasta ar trebui sa includa activitati specifice de prelucrare efectuate pe teritoriul statului membru al autoritatii de supraveghere ori cu privire la persoane vizate de pe teritoriul acelui stat membru, activitati de prelucrare care au loc in contextul unei oferte de bunuri sau servicii destinate in mod special persoanelor vizate pe teritoriul statului membru al autoritatii de supraveghere sau activitati de prelucrare care trebuie evaluate tinand seama de obligatiile juridice relevante in temeiul dreptului intern.
(132) Activitatile de crestere a gradului de constientizare organizate pentru public de autoritatile de supraveghere ar trebui sa includa masuri specifice care sa vizeze operatorii si persoanele imputernicite de operatori, inclusiv microintreprinderile si intreprinderile mici si mijlocii, precum si persoanele fizice, in special in context educational.
(133) Autoritatile de supraveghere ar trebui sa isi acorde reciproc asistenta in indeplinirea sarcinilor care le revin, pentru a se asigura coerenta aplicarii prezentului regulament pe piata interna. O autoritate de supraveghere care solicita asistenta reciproca poate adopta o masura provizorie in cazul in care nu primeste un raspuns la o solicitare de asistenta reciproca in termen de o luna de la primirea solicitarii de catre cealalta autoritate de supraveghere .
(134) Fiecare autoritate de supraveghere ar trebui sa participe, dupa caz, la operatiuni comune intre autoritatile de supraveghere . Autoritatea de supraveghere careia i s-a adresat solicitarea ar trebui sa aiba obligatia de a raspunde cererii intr-un anumit termen.
(135) Pentru a se asigura aplicarea coerenta a prezentului regulament in intreaga Uniune, ar trebui sa se instituie un mecanism pentru asigurarea coerentei in cadrul caruia autoritatile de supraveghere sa coopereze. Acest mecanism ar trebui sa se aplice, in special, in cazul in care o autoritate de supraveghere intentioneaza sa adopte o masura prevazuta a produce efecte juridice in ceea ce priveste operatiunile de prelucrare care afecteaza in mod substantial un numar semnificativ de persoane vizate din mai multe state membre. Mecanismul ar trebui sa se aplice, de asemenea, in cazul in care o autoritate de supraveghere vizata sau Comisia solicita ca aspectul respectiv sa fie tratat in cadrul mecanismului pentru asigurarea coerentei. Acest mecanism nu ar trebui sa aduca atingere masurilor pe care Comisia le poate adopta in exercitarea competentelor care ii revin in temeiul tratatelor.
(136) In aplicarea mecanismului pentru asigurarea coerentei, comitetul ar trebui, intr-un anumit termen, sa emita un aviz in cazul in care o majoritate a membrilor sai decide astfel sau in cazul in care orice autoritate de supraveghere vizata sau Comisia solicita acest lucru. Comitetul ar trebui, de asemenea, sa fie imputernicit sa adopte decizii obligatorii din punct de vedere juridic in cazul unor litigii intre autoritatile de supraveghere . In acest scop, acesta ar trebui sa emita, in principiu cu o majoritate de doua treimi din membrii sai, decizii obligatorii din punct de vedere juridic, in cazuri bine definite, in cazul in care exista opinii divergente intre autoritatile de supraveghere, in special in cadrul mecanismului de cooperare intre autoritatea de supraveghere principala si autoritatile de supraveghere vizate privind fondul cauzei, in special existenta sau nu a unei incalcari a prezentului regulament.

(137) Este posibil sa existe o necesitate urgenta de a se actiona pentru asigurarea protectiei drepturilor si libertatilor persoanelor vizate, in special in cazul in care exista pericolul ca exercitarea unui drept al unei persoane vizate sa fie impiedicata in mod considerabil. Prin urmare, o autoritate de supraveghere ar trebui sa poata adopta masuri provizorii pe teritoriul sau, justificate in mod corespunzator, avand o perioada de valabilitate determinata care nu ar trebui sa depaseasca trei luni.
(138) Aplicarea unui astfel de mecanism ar trebui sa constituie o conditie pentru legalitatea unei masuri destinate sa produca efecte juridice, luate de o autoritate de supraveghere, in cazurile in care aplicarea acesteia este obligatorie. In alte cazuri cu relevanta transfrontaliera, ar trebui pus in aplicare mecanismul de cooperare intre autoritatea de supraveghere principala si autoritatile de supraveghere vizate, iar intre autoritatile de supraveghere vizate s-ar putea acorda asistenta reciproca si s-ar putea desfasura operatiuni comune pe baza bilaterala sau multilaterala, fara declansarea mecanismului pentru asigurarea coerentei.
(139) Cu scopul de a promova aplicarea coerenta a prezentului regulament, comitetul ar trebui instituit ca organ independent al Uniunii. Pentru a-si indeplini obiectivele, comitetul ar trebui sa aiba personalitate juridica. Comitetul ar trebui sa fie reprezentat de presedintele sau. Acesta ar trebui sa inlocuiasca Grupul de lucru pentru protectia persoanelor in ceea ce priveste prelucrarea datelor cu caracter personal, instituit prin Directiva 95/46/CE. Acesta ar trebui sa fie alcatuit din sefii autoritatilor de supraveghere din fiecare stat membru si din Autoritatea Europeana pentru Protectia Datelor sau reprezentantii acestora. Comisia ar trebui sa participe la activitatile comitetului fara a avea drept de vot, iar Autoritatea Europeana pentru Protectia Datelor ar trebui sa aiba drepturi de vot speciale. Comitetul ar trebui sa contribuie la aplicarea coerenta a prezentului regulament in intreaga Uniune, inclusiv prin oferirea de consiliere Comisiei, in special cu privire la nivelul de protectie in tarile terte si in cadrul organizatiilor internationale, si prin promovarea cooperarii autoritatilor de supraveghere in intreaga Uniune. Comitetul ar trebui sa actioneze in mod independent in indeplinirea sarcinilor sale.
(140) Comitetul ar trebui sa fie asistat de un secretariat asigurat de Autoritatea Europeana pentru Protectia Datelor. Personalul Autoritatii Europene pentru Protectia Datelor implicat in indeplinirea sarcinilor conferite comitetului in temeiul prezentului regulament ar trebui sa isi indeplineasca sarcinile exclusiv conform instructiunilor presedintelui comitetului si sa raporteze acestuia.
(141) Orice persoana vizata ar trebui sa aiba dreptul de a depune o plangere la o singura autoritate de supraveghere, in special in statul membru in care isi are resedinta obisnuita, precum si dreptul la o cale de atac eficienta in conformitate cu articolul 47 din carta, in cazul in care persoana vizata considera ca drepturile sale in temeiul prezentului regulament sunt incalcate sau in cazul in care autoritatea de supraveghere nu reactioneaza la o plangere, respinge sau refuza partial sau total o plangere sau nu actioneaza atunci cand o astfel de actiune este necesara pentru asigurarea protectiei drepturilor persoanei vizate. Investigatia in urma unei plangeri ar trebui sa fie efectuata, sub control judiciar, in masura in care este necesar, in functie de caz. Autoritatea de supraveghere ar trebui sa informeze persoana vizata cu privire la evolutia si solutionarea plangerii intr-un termen rezonabil. In eventualitatea in care cazul necesita o investigare suplimentara sau coordonarea cu o alta autoritate de supraveghere, ar trebui sa se furnizeze informatii intermediare persoanei vizate. In vederea facilitarii depunerii plangerilor, fiecare autoritate de supraveghere ar trebui sa ia masuri precum punerea la dispozitie a unui formular de depunere a plangerii, care sa poata fi completat inclusiv in format electronic, fara a exclude alte mijloace de comunicare .
(142) In cazul in care persoana vizata considera ca drepturile sale in temeiul prezentului regulament sunt incalcate, aceasta ar trebui sa aiba dreptul de a mandata un organism, o organizatie sau o asociatie fara scop lucrativ care este infiintat(a) in conformitate cu dreptul intern, ale carui (carei) obiective statutare sunt in interesul public si care isi desfasoara activitatea in domeniul asigurarii protectiei datelor cu caracter personal, sa depuna o plangere in numele sau la o autoritate de supraveghere, sa exercite dreptul la o cale de atac in numele persoanelor vizate sau, in cazul in care se prevede in dreptul intern, sa exercite dreptul de a primi despagubiri in numele persoanelor vizate. Un stat membru poate prevedea ca un astfel de organism, organizatie sau asociatie sa aiba dreptul de a depune o plangere in statul membru respectiv, independent de mandatul acordat de o persoana vizata, si sa aiba dreptul la o cale de atac eficienta in cazul in care are motive sa considere ca drepturile unei persoane vizate au fost incalcate ca rezultat al unei prelucrari a datelor cu caracter personal care incalca prezentul regulament. Organismul, organizatia sau asociatia in cauza nu poate pretinde despagubiri in numele unei persoane vizate, independent de mandatul acordat de persoana vizata.
(143) Orice persoana fizica sau juridica are dreptul de a introduce o actiune in anulare impotriva deciziilor comitetului in fata Curtii de Justitie, in conformitate cu conditiile prevazute la articolul 263 din TFUE. In calitate de destinatare ale acestor decizii, autoritatile de supraveghere vizate care doresc sa le conteste trebuie sa introduca o actiune impotriva deciziilor respective in termen de doua luni de la data la care le-au fost notificate, in conformitate cu articolul 263 din TFUE. In cazul in care deciziile comitetului vizeaza in mod direct si individual un operator, o persoana imputernicita de operator sau reclamantul, acestia din urma pot introduce o actiune in anularea respectivelor decizii in termen de doua luni de la publicarea acestora pe site-ul comitetului, in conformitate cu articolul 263 din TFUE. Fara a aduce atingere acestui drept in temeiul articolului 263 din TFUE, orice persoana fizica sau juridica ar trebui sa aiba dreptul la o cale de atac judiciara eficienta in fata instantei nationale competente impotriva unei decizii a unei autoritati de supraveghere care produce efecte juridice privind respectiva persoana . O astfel de decizie se refera in special la exercitarea competentelor de investigare, corective si de autorizare de catre autoritatea de supraveghere sau la refuzul sau respingerea plangerilor. Cu toate acestea, dreptul la o cale de atac judiciara eficienta nu include masuri ale autoritatilor de supraveghere care nu sunt obligatorii din punct de vedere juridic, cum ar fi avizele emise de autoritatea de supraveghere sau consiliere furnizata de aceasta. Actiunile impotriva unei autoritati de supraveghere ar trebui sa fie aduse in fata instantelor statului membru in care este stabilita autoritatea de supraveghere si ar trebui sa se desfasoare in conformitate cu dreptul procesual al statului membru respectiv. Respectivele instante ar trebui sa isi exercite competenta judiciara deplina, care ar trebui sa includa competenta de a examina toate aspectele de fapt sau de drept care au relevanta pentru litigiul cu care acestea sunt sesizate.
In cazul in care o plangere a fost respinsa sau refuzata de o autoritate de supraveghere, reclamantul poate introduce o actiune la instantele din acelasi stat membru. In contextul cailor de atac judiciare privind aplicarea prezentului regulament, instantele nationale care considera necesara o decizie privind chestiunea respectiva pentru a le permite sa ia o hotarare pot sau, in cazul prevazut la articolul 267 din TFUE, trebuie sa solicite Curtii de Justitie sa pronunte o decizie preliminara privind interpretarea dreptului Uniunii, inclusiv a prezentului regulament. In plus, in cazul in care o decizie a unei autoritati de supraveghere care pune in aplicare o decizie a comitetului este contestata in fata unei instante nationale si este in discutie validitatea deciziei comitetului, respectiva instanta nationala nu are competenta de a declara nula decizia comitetului, ci trebuie sa aduca chestiunea validitatii in fata Curtii de Justitie, in conformitate cu articolul 267 din TFUE, astfel cum a fost interpretat de Curtea de Justitie, ori de cate ori instanta nationala considera decizia nula. Cu toate acestea, o instanta nationala nu poate sa transmita o chestiune cu privire la validitatea deciziei comitetului la cererea unei persoane fizice sau juridice care a avut posibilitatea de a introduce o actiune in anulare impotriva respectivei decizii, in special daca aceasta era vizata in mod direct si individual de decizia in cauza, dar nu a facut acest lucru in termenul prevazut la articolul 263 din TFUE.
(144) Atunci cand o instanta sesizata cu o procedura impotriva unei decizii a unei autoritati de supraveghere are motive sa creada ca in fata unei instante competente dintr-un alt stat membru au fost introduse proceduri cu privire la aceeasi prelucrare, cum ar fi acelasi obiect al prelucrarii, de catre acelasi operator sau aceleeasi persoana imputernicita de operator, sau aceeasi cauza, instanta respectiva ar trebui sa contacteze cea de a doua instanta pentru a confirma existenta unor astfel de proceduri conexe. In cazul in care aceste proceduri conexe se afla pe rolul unei instante dintr-un alt stat membru, orice instanta, cu exceptia celei sesizate initial, poate sa isi suspende procedurile sau, la cererea uneia dintre parti, isi poate declina competenta in favoarea instantei sesizate initial, cu conditia ca aceasta din urma sa aiba competenta de a solutiona procedurile in cauza si ca dreptul care i se aplica sa ii permita consolidarea acestor proceduri conexe. Procedurile sunt considerate conexe atunci cand sunt atat de strans legate intre ele incat este oportuna instrumentarea si judecarea lor in acelasi timp pentru a se evita riscul pronuntarii unor hotarari ireconciliabile in cazul judecarii lor in mod separat.
(145) In ceea ce priveste actiunile initiate impotriva unui operator sau unei persoane imputernicite de operator, reclamantul ar trebui sa aiba posibilitatea de a introduce actiunea in fata instantelor din statele membre in care operatorul sau persoana imputernicita de operator are un sediu sau in care persoana vizata isi are resedinta, cu exceptia cazului in care operatorul este o autoritate publica dintr-un stat membru ce actioneaza in exercitarea competentelor sale publice.
(146) Operatorul sau persoana imputernicita de operator ar trebui sa plateasca despagubiri pentru orice prejudiciu pe care o persoana il poate suferi ca urmare a unei prelucrari care incalca prezentul regulament. Operatorul sau persoana imputernicita de operator ar trebui sa fie exonerati de raspundere daca dovedesc ca nu sunt in niciun fel raspunzatori pentru prejudiciu. Conceptul de prejudiciu ar trebui interpretat in sens larg, din perspectiva jurisprudentei Curtii de Justitie, intr-un mod care sa reflecte pe deplin obiectivele prezentului regulament. Aceasta dispozitie nu aduce atingere niciunei cereri de despagubire care rezulta din incalcarea altor norme din dreptul Uniunii sau din dreptul intern. O prelucrare care incalca prezentul regulament include si prelucrarea care incalca actele delegate si de punere in aplicare adoptate in conformitate cu prezentul regulament si cu dreptul intern care specifica norme din prezentul regulament. Persoanele vizate ar trebui sa primeasca despagubiri integrale si eficace pentru prejudiciul pe care le-au suferit. In cazul in care operatorii sau persoanele imputernicite de operatori sunt implicate in aceeasi prelucrare, fiecare operator sau fiecare persoana imputernicita de operator ar trebui sa fie considerata raspunzatoare pentru intregul prejudiciu. Cu toate acestea, atunci cand procedurile juridice care le vizeaza sunt conexate, in conformitate cu dreptul intern, despagubirile pot fi impartite in functie de raspunderea fiecarui operator sau a fiecarei persoane imputernicite de operator, cu conditia sa se asigure despagubirea integrala si efectiva a persoanei vizate care a suferit prejudiciul. Orice operator sau persoana imputernicita de operator care a platit despagubiri integrale poate formula ulterior o actiune in regres impotriva altor operatori sau persoane imputernicite de operatori implicate in aceeasi prelucrare .
(147) In cazul in care prezentul regulament cuprinde norme specifice privind competenta judiciara, in special in ceea ce priveste caile de atac judiciare, inclusiv actiunile in despagubiri, impotriva unui operator sau a unei persoane imputernicite de operator, normele generale privind competenta judiciara precum cele din Regulamentul (UE) nr. 1215/2012 al Parlamentului European si al Consiliului (13) nu ar trebui sa aduca atingere aplicarii unor astfel de norme specifice.
(148) Pentru a consolida respectarea aplicarii normelor prevazute in prezentul regulament, ar trebui impuse sanctiuni, inclusiv amenzi administrative, pentru orice incalcare a prezentului regulament, pe langa sau in locul masurilor adecvate impuse de autoritatea de supraveghere in temeiul prezentului regulament. In cazul unei incalcari minore sau in cazul in care amenda susceptibila de a fi impusa ar constitui o sarcina disproportionata pentru o persoana fizica, poate fi emis un avertisment in locul unei amenzi. Cu toate acestea, ar trebui sa se ia in considerare in mod corespunzator natura, gravitatea si durata incalcarii, caracterul deliberat al incalcarii, actiunile intreprinse pentru a reduce prejudiciul cauzat, gradul de raspundere sau orice incalcari anterioare relevante, modul in care incalcarea a fost adusa la cunostinta autoritatii de supraveghere, conformitatea cu masurile adoptate impotriva operatorului sau a persoanei imputernicite de operator, aderarea la un cod de conduita si orice alt factor agravant sau atenuant. Impunerea de sanctiuni, inclusiv de amenzi administrative, ar trebui sa faca obiectul unor garantii procedurale adecvate, in conformitate cu principiile generale ale dreptului Uniunii si cu carta, inclusiv o protectie judiciara eficienta si un proces echitabil.
(149) Statele membre ar trebui sa poata stabili normele privind sanctiunile penale pentru incalcarile prezentului regulament, inclusiv pentru incalcarea normelor de drept intern adoptate in temeiul si in limitele prezentului regulament. Respectivele sanctiuni penale pot, de asemenea, permite privarea de profiturile obtinute prin incalcarea prezentului regulament. Cu toate acestea, impunerea de sanctiuni penale pentru incalcari ale unor asemenea norme de drept intern si de sanctiuni administrative nu ar trebui sa duca la incalcarea principiului ne bis in idem, astfel cum a fost interpretat de Curtea de Justitie .
(150) Pentru consolidarea si armonizarea sanctiunilor administrative in cazul incalcarii prezentului regulament, fiecare autoritate de supraveghere ar trebui sa aiba competenta de a impune amenzi administrative. Prezentul regulament ar trebui sa indice incalcarile, si limita maxima si criteriile pentru stabilirea amenzilor administrative aferente, care ar trebui sa fie stabilite de autoritatea de supraveghere competenta in fiecare caz in parte, tinand seama de toate circumstantele relevante ale situatiei specifice, luandu-se in considerare in mod corespunzator, in special, natura, gravitatea si durata incalcarii, precum si consecintele acesteia si masurile luate pentru a se asigura respectarea obligatiilor in temeiul prezentului regulament si pentru a se preveni sau atenua consecintele incalcarii. In cazul in care amenzile administrative sunt impuse unei intreprinderi, o intreprindere ar trebui inteleasa ca fiind o intreprindere in conformitate cu articolele 101 si 102 din TFUE in aceste scopuri . In cazul in care se impun amenzi administrative unor persoane care nu sunt intreprinderi, autoritatea de supraveghere ar trebui sa tina seama de nivelul general al veniturilor din statul membru respectiv, precum si de situatia economica a persoanei atunci cand estimeaza cuantumul adecvat al amenzii. Mecanismul pentru asigurarea coerentei poate fi, de asemenea, utilizat pentru a promova aplicarea consecventa a amenzilor administrative. Competenta de a stabili daca si in ce masura autoritatile publice ar trebui sa faca obiectul unor amenzi administrative ar trebui sa revina statelor membre. Impunerea unei amenzi administrative sau transmiterea unei avertizari nu afecteaza aplicarea altor competente ale autoritatilor de supraveghere sau a altor sanctiuni in temeiul prezentului regulament.
(151) Sistemele juridice ale Danemarcei si Estoniei nu permit amenzi administrative astfel cum sunt prevazute in prezentul regulament. Normele privind amenzile administrative pot fi aplicate astfel incat, in Danemarca, amenda sa fie impusa de instantele nationale competente ca sanctiune penala, iar in Estonia amenda sa fie impusa de autoritatea de supraveghere in cadrul unei proceduri privind delictele, cu conditia ca o astfel de aplicare a normelor in statele membre respective sa aiba un efect echivalent cu cel al amenzilor administrative impuse de autoritatile de supraveghere . Prin urmare, instantele nationale competente ar trebui sa tina seama de recomandarea autoritatii de supraveghere care a initiat amenda. In orice caz, amenzile impuse ar trebui sa fie eficace, proportionale si disuasive.
(152) In cazul in care prezentul regulament nu armonizeaza sanctiunile administrative sau in alte cazuri, acolo unde este necesar, de exemplu in cazul unor incalcari grave ale prezentului regulament, statele membre ar trebui sa puna in aplicare un sistem care sa prevada sanctiuni eficace, proportionale si disuasive. Natura unor astfel de sanctiuni, penale sau administrative, ar trebui stabilita in dreptul intern.
(153) Dreptul statelor membre ar trebui sa stabileasca un echilibru intre normele care reglementeaza libertatea de exprimare si de informare, inclusiv exprimarea jurnalistica, academica, artistica si/sau literara, si dreptul la protectia datelor cu caracter personal in temeiul prezentului regulament. Prelucrarea datelor cu caracter personal exclusiv in scopuri jurnalistice sau in scopul exprimarii academice, artistice sau literare ar trebui sa faca obiectul unor derogari sau al unor exceptii de la anumite dispozitii ale prezentului regulament in cazul in care este necesara stabilirea unui echilibru intre dreptul la protectia datelor cu caracter personal si dreptul la libertatea de exprimare si de informare, astfel cum este prevazut in articolul 11 din carta . Acest lucru ar trebui sa se aplice in special prelucrarii datelor cu caracter personal in domeniul audiovizualului, precum si in arhivele de stiri si in bibliotecile ziarelor. Prin urmare, statele membre ar trebui sa adopte masuri legislative care sa prevada exceptiile si derogarile necesare in vederea asigurarii echilibrului intre aceste drepturi fundamentale. Statele membre ar trebui sa adopte astfel de exceptii si derogari in ceea ce priveste principiile generale, drepturile persoanelor vizate, operatorul si persoana imputernicita de operator, transferul de date cu caracter personal catre tari terte sau organizatii internationale, autoritatile de supraveghere independente, cooperarea si coerenta, precum si in ceea ce priveste situatii specifice de prelucrare a datelor. In cazul in care aceste exceptii sau derogari difera de la un stat membru la altul, ar trebui sa se aplice dreptul statului membru sub incidenta caruia intra operatorul. Pentru a tine seama de importanta dreptului la libertatea de exprimare in fiecare societate democratica, este necesar ca notiunile legate de aceasta libertate, cum ar fi jurnalismul, sa fie interpretate in sens larg.
(154) Prezentul regulament permite luarea in considerare a principiului accesului public la documente oficiale in aplicarea prezentului regulament. Accesul public la documente oficiale poate fi considerat a fi in interes public. Datele cu caracter personal din documentele detinute de o autoritate publica sau de un organism public ar trebui sa poata fi divulgate de autoritatea respectiva sau de organismul respectiv in cazul in care dreptul Uniunii sau dreptul intern sub incidenta caruia intra autoritatea publica sau organismul public prevede acest lucru. Dreptul Uniunii si dreptul intern ar trebui sa asigure un echilibru intre accesul public la documentele oficiale si reutilizarea informatiilor din sectorul public, pe de o parte, si dreptul la protectia datelor cu caracter personal, pe de alta parte, si ar putea prin urmare sa prevada echilibrul necesar cu dreptul la protectia datelor cu caracter personal in temeiul prezentului regulament. Trimiterea la autoritatile si organismele publice ar trebui, in acest context, sa includa toate autoritatile sau alte organisme reglementate de dreptul intern privind accesul public la documente. Directiva 2003/98/CE a Parlamentului European si a Consiliului (14) lasa intact si nu aduce atingere in niciun fel nivelului de protectie a persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal in conformitate cu dreptul Uniunii si cu cel intern si, in special, nu modifica drepturile si obligatiile prevazute de prezentul regulament. In special, directiva sus-mentionata nu se aplica documentelor la care accesul este exclus sau restrans in temeiul regimurilor de acces din motive legate de protectia datelor cu caracter personal si nici partilor din documente accesibile in temeiul respectivelor regimuri care contin date cu caracter personal a caror reutilizare a fost stabilita prin lege ca fiind incompatibila cu dreptul privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal.
(155) Dreptul intern sau acordurile colective, inclusiv ``acordurile de munca``, pot prevedea norme specifice care sa reglementeze prelucrarea datelor cu caracter personal ale angajatilor in contextul ocuparii unui loc de munca, in special conditiile in care datele cu caracter personal in contextul ocuparii unui loc de munca pot fi prelucrate pe baza consimtamantului angajatului, in scopul recrutarii, al respectarii clauzelor contractului de munca, inclusiv descarcarea de obligatiile stabilite prin lege sau prin acorduri colective, al gestionarii, planificarii si organizarii muncii, al egalitatii si diversitatii la locul de munca, al asigurarii sanatatii si securitatii la locul de munca, precum si in scopul exercitarii si beneficierii, in mod individual sau colectiv, de drepturile si beneficiile legate de ocuparea unui loc de munca, precum si in scopul incetarii raporturilor de munca .
(156) Prelucrarea datelor cu caracter personal in scopuri de arhivare in interes public, in scopuri de cercetare stiintifica sau istorica ori in scopuri statistice ar trebui sa faca obiectul unor garantii adecvate pentru drepturile si libertatile persoanei vizate in temeiul prezentului regulament. Respectivele garantii ar trebui sa asigure faptul ca au fost instituite masuri tehnice si organizatorice necesare pentru a se asigura, in special, principiul reducerii la minimum a datelor. Prelucrarea ulterioara a datelor cu caracter personal in scopuri de arhivare in interes public, in scopuri de cercetare stiintifica sau istorica ori in scopuri statistice se efectueaza atunci cand operatorul a evaluat fezabilitatea pentru indeplinirea acestor obiective prin prelucrarea unor date cu caracter personal care nu permit sau nu mai permit identificarea persoanelor vizate, cu conditia sa existe garantii adecvate (cum ar fi pseudonimizarea datelor cu caracter personal). Statele membre ar trebui sa prevada garantii adecvate pentru prelucrarea datelor cu caracter personal in scopuri de arhivare in interes public, in scopuri de cercetare stiintifica sau istorica ori in scopuri statistice. Statele membre ar trebui sa fie autorizate sa ofere, in anumite conditii si sub rezerva unor garantii adecvate pentru persoanele vizate, precizari si derogari in ceea ce priveste cererile de informatii si dreptul la rectificare, dreptul la stergere, dreptul de a fi uitat, dreptul la restrictionarea prelucrarii,dreptul la portabilitatea datelor, precum si dreptul la opozitie in cazul prelucrarii datelor cu caracter personal in scopuri de arhivare in interes public, in scopuri de cercetare stiintifica sau istorica ori in scopuri statistice. Conditiile si garantiile in cauza pot genera proceduri specifice astfel incat persoanele vizate sa isi exercite respectivele drepturi daca acest lucru este adecvat in contextul scopurilor vizate de prelucrarea specifica, precum si masuri tehnice si organizationale vizand reducerea la minimum a prelucrarii datelor cu caracter personal, in conformitate cu principiile proportionalitatii si necesitatii. Prelucrarea datelor cu caracter personal in scopuri stiintifice ar trebui sa fie, de asemenea, conforma cu alte acte legislative relevante, cum ar fi cele privind studiile clinice.
(157) Prin combinarea informatiilor din registre, cercetatorii pot obtine noi cunostinte de mare valoare in ceea ce priveste bolile cu larga raspandire, cum ar fi bolile cardiovasculare, cancerul si depresia. Pe baza registrelor, rezultatele cercetarilor pot fi intarite, intrucat acestea se bazeaza pe o populatie mai mare. In domeniul stiintelor sociale, cercetarea pe baza registrelor le permite cercetatorilor sa obtina informatii esentiale despre corelarea pe termen lung a unei serii de conditii sociale, precum somajul sau educatia, cu alte conditii de viata. Rezultatele cercetarilor obtinute pe baza registrelor furnizeaza cunostinte solide, de inalta calitate, care pot constitui baza pentru elaborarea si punerea in aplicare a unor politici bazate pe cunoastere si care pot imbunatati calitatea vietii pentru un numar de persoane, eficienta serviciilor sociale. Pentru a facilita cercetarea stiintifica, datele cu caracter personal pot fi prelucrate in scopuri de cercetare stiintifica, sub rezerva conditiilor si a garantiilor corespunzatoare stabilite in dreptul Uniunii sau in dreptul intern.

(158) In cazul in care datele cu caracter personal sunt prelucrate in scopuri de arhivare, prezentul regulament ar trebui sa se aplice si prelucrarii respective, tinand seama de faptul ca prezentul regulament nu ar trebui sa se aplice persoanelor decedate. Autoritatile publice sau organismele publice sau private care detin evidente de interes public ar trebui, in temeiul dreptului Uniunii sau al dreptului national, sa aiba o obligatie legala de a dobandi, a pastra, a evalua, a pregati, a descrie, a comunica, a promova, a disemina si a asigura accesul la evidente de valoare durabila de interes public general. Statele membre ar trebui, de asemenea, sa poata sa prevada prelucrarea ulterioara a datelor cu caracter personal in scopuri de arhivare, de exemplu cu scopul de a furniza informatii specifice referitoare la comportamentul politic in perioada fostelor regimuri de stat totalitare, la genociduri, la crime impotriva umanitatii, in special holocaustul, sau la crime de razboi.
(159) In cazul in care datele cu caracter personal sunt prelucrate in scopuri de cercetare stiintifica, prezentul regulament ar trebui sa se aplice si prelucrarii respective. In sensul prezentului regulament, prelucrarea datelor cu caracter personal in scopuri de cercetare stiintifica ar trebui sa fie interpretata in sens larg, incluzand de exemplu dezvoltarea tehnologica si activitatile demonstrative, cercetarea fundamentala, cercetarea aplicata si cercetarea finantata din surse private. Ar trebui, in plus, luat in considerare obiectivul Uniunii de creare a unui Spatiu european de cercetare, astfel cum este mentionat la articolul 179 alineatul (1) din TFUE. Scopurile de cercetare stiintifica ar trebui sa includa, de asemenea, studii efectuate in interes public in domeniul sanatatii publice. Pentru a indeplini caracteristicile specifice ale prelucrarii datelor cu caracter personal in scopuri de cercetare stiintifica, ar trebui sa se aplice conditii specifice, in special in ceea ce priveste publicarea sau divulgarea intr-un alt mod a datelor cu caracter personal in contextul scopurilor de cercetare stiintifica. In cazul in care rezultatul cercetarii stiintifice, in special in contextul sanatatii, constituie un motiv pentru masuri suplimentare in interesul persoanei vizate, normele generale ale prezentului regulament ar trebui sa se aplice avand in vedere aceste masuri .
(160) In cazul in care datele cu caracter personal sunt prelucrate in scopuri de cercetare istorica, prezentul regulament ar trebui sa se aplice si prelucrarii respective. Acest lucru ar trebui sa includa, de asemenea, cercetarea istorica si cercetarea in scopuri genealogice, tinand seama de faptul ca prezentul regulament nu ar trebui sa se aplice persoanelor decedate.
(161) In scopul acordarii consimtamantului de a participa la activitati de cercetare stiintifica in cadrul testelor clinice, ar trebui sa se aplice dispozitiile relevante ale Regulamentului (UE) nr. 536/2014 al Parlamentului European si al Consiliului (15).
(162) In cazul in care datele cu caracter personal sunt prelucrate in scopuri statistice, prezentul regulament ar trebui sa se aplice prelucrarii respective. Dreptul Uniunii sau dreptul intern ar trebui, in limitele prezentului regulament, sa determine continutul statistic, controlul accesului, specificatiile pentru prelucrarea datelor cu caracter personal in scopuri statistice si masurile adecvate pentru a proteja drepturile si libertatile persoanelor vizate si pentru a asigura confidentialitatea datelor statistice. Aceste rezultate statistice pot fi utilizate ulterior in diferite scopuri, inclusiv in scopuri de cercetare stiintifica. Scopuri statistice inseamna orice operatiune de colectare si prelucrare de date cu caracter personal necesara pentru anchetele statistice sau pentru producerea de rezultate statistice. Scopurile statistice presupun ca rezultatul prelucrarii in scopuri statistice nu constituie date cu caracter personal, ci date agregate si ca acest rezultat sau datele cu caracter personal nu sunt utilizate in sprijinul unor masuri sau decizii privind o anumita persoana fizica.
(163) Informatiile confidentiale pe care autoritatile statistice de la nivelul Uniunii si de la nivel national le colecteaza in vederea elaborarii de statistici europene si nationale oficiale ar trebui sa fie protejate. Statisticile europene ar trebui concepute, elaborate si difuzate in conformitate cu principiile statistice prevazute la articolul 338 alineatul (2) din TFUE, in timp ce statisticile nationale ar trebui, de asemenea, sa fie in conformitate cu dreptul intern. Regulamentul (CE) nr. 223/2009 al Parlamentului European si al Consiliului (16) prevede specificatii suplimentare privind confidentialitatea datelor statistice pentru statisticile europene.
(164) In ceea ce priveste competentele autoritatilor de supraveghere de a obtine de la operator sau de la persoana imputernicita de operator accesul la datele cu caracter personal si accesul in cladirile lor, statele membre pot adopta, pe cale legislativa si in limitele stabilite de prezentul regulament, norme specifice pentru protejarea secretului profesional sau a altor obligatii echivalente, in masura in care acest lucru este necesar pentru a asigura un echilibru intre dreptul la protectia datelor cu caracter personal si obligatia de pastrare a secretului profesional. Aceasta nu aduce atingere obligatiilor existente ale statelor membre de a adopta norme privind secretul profesional in situatiile cerute de dreptul Uniunii.
(165) Prezentul regulament respecta si nu aduce atingere statutului de care beneficiaza, in temeiul dreptului constitutional existent, bisericile si asociatiile sau comunitatile religioase din statele membre, astfel cum este recunoscut in articolul 17 din TFUE.
(166) In vederea indeplinirii obiectivelor prezentului regulament, si anume protejarea drepturilor si libertatilor fundamentale ale persoanelor fizice si, in special, a dreptului acestora la protectia datelor cu caracter personal, si pentru a se garanta libera circulatie a datelor cu caracter personal pe teritoriul Uniunii, competenta de a adopta acte in conformitate cu articolul 290 din TFUE ar trebui sa fie delegata Comisiei. In special, ar trebui adoptate acte delegate in ceea ce priveste criteriile si cerintele privind mecanismele de certificare, informatiile care trebuie prezentate prin pictograme standardizate si procedurile pentru furnizarea unor astfel de pictograme. Este deosebit de important ca, in cadrul activitatii sale pregatitoare, Comisia sa organizeze consultari adecvate, inclusiv la nivel de experti. Atunci cand pregateste si elaboreaza acte delegate, Comisia ar trebui sa asigure transmiterea simultana, la timp si in mod corespunzator a documentelor relevante catre Parlamentul European si catre Consiliu .
(167) In vederea asigurarii unor conditii uniforme de punere in aplicare a prezentului regulament, Comisia ar trebui investita cu competente de executare in situatiile stabilite de prezentul regulament. Competentele respective ar trebui sa fie exercitate in conformitate cu Regulamentul (UE) nr. 182/2011. In acest context, Comisia ar trebui sa ia in considerare masuri specifice pentru microintreprinderi si pentru intreprinderile mici si mijlocii.
(168) Procedura de examinare ar trebui utilizata pentru adoptarea de acte de punere in aplicare privind: clauzele contractuale standard dintre operatori si persoanele imputernicite de operatori, precum si dintre persoanele imputernicite de operatori; codurile de conduita; standardele tehnice si mecanismele de certificare; nivelul adecvat de protectie oferit de o tara terta, de un teritoriu sau de un anumit sector de prelucrare din tara terta respectiva, sau de o organizatie internationala; clauzele standard de protectie a datelor; formatele si procedurile pentru schimbul electronic de informatii intre operatori, persoanele imputernicite de operatori si autoritatile de supraveghere pentru regulile corporatiste obligatorii; asistenta reciproca; precum si modalitatile de realizare a schimbului electronic de informatii intre autoritatile de supraveghere, precum si intre autoritatile de supraveghere si comitetul .