REGULAMENTUL (UE) 2016/679 (RGPD 2018) privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date

(169) Comisia ar trebui sa adopte acte de punere in aplicare imediat aplicabile atunci cand dovezile disponibile arata ca o tara terta, un teritoriu sau un anumit sector de prelucrare din tara terta respectiva, sau o organizatie internationala nu asigura un nivel de protectie adecvat, precum si din motive imperative de urgenta.
(170) Deoarece obiectivul prezentului regulament, si anume asigurarea unui nivel echivalent de protectie a persoanelor fizice si libera circulatie a datelor cu caracter personal in intreaga Uniune, nu poate fi realizat in mod satisfacator de catre statele membre dar, avand in vedere amploarea sau efectele actiunii, poate fi realizat mai bine la nivelul Uniunii, aceasta poate adopta masuri in conformitate cu principiul subsidiaritatii, astfel cum este definit la articolul 5 din Tratatul privind Uniunea Europeana (``Tratatul UE``). In conformitate cu principiul proportionalitatii, astfel cum este definit la articolul respectiv, prezentul regulament nu depaseste ceea ce este necesar pentru realizarea obiectivelor mentionate.
(171) Directiva 95/46/CE ar trebui sa fie abrogata prin prezentul regulament. Prelucrarile in derulare la data aplicarii prezentului regulament ar trebui sa fie aduse in conformitate cu prezentul regulament in termen de doi ani de la data intrarii in vigoare a prezentului regulament. In cazul in care prelucrarile se bazeaza pe consimtamant in temeiul Directivei 95/46/CE, nu este necesar ca persoana vizata sa isi dea inca o data consimtamantul in cazul in care modul in care consimtamantul a fost dat este in conformitate cu conditiile din prezentul regulament, astfel incat operatorului sa i se permita sa continue o astfel de prelucrare dupa data aplicarii prezentului regulament. Deciziile adoptate ale Comisiei si autorizatiile autoritatilor de supraveghere emise pe baza Directivei 95/46/CE raman in vigoare pana cand vor fi modificate, inlocuite sau abrogate.
(172) Autoritatea Europeana pentru Protectia Datelor a fost consultata in conformitate cu articolul 28 alineatul (2) din Regulamentul (CE) nr. 45/2001 si a emis un aviz la 7 martie 2012 (17).
(173) Prezentul regulament ar trebui sa se aplice tuturor aspectelor referitoare la protectia drepturilor si libertatilor fundamentale legate de prelucrarea datelor cu caracter personal, care nu fac obiectul unor obligatii specifice cu acelasi obiectiv ca cel stabilit in Directiva 2002/58/CE a Parlamentului European si a Consiliului (18), inclusiv obligatiile privind operatorul si drepturile persoanelor fizice. Pentru a se clarifica relatia dintre prezentul regulament si Directiva 2002/58/CE, respectiva directiva ar trebui sa fie modificata in consecinta. Dupa adoptarea prezentului regulament, Directiva 2002/58/CE ar trebui sa fie revizuita in special pentru a se asigura coerenta cu prezentul regulament,
ADOPTA PREZENTUL REGULAMENT:

CAPITOLUL I
Dispozitii generale

Articolul 1
Obiect si obiective
(1) Prezentul regulament stabileste normele referitoare la protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal, precum si normele referitoare la libera circulatie a datelor cu caracter personal.
(2) Prezentul regulament asigura protectia drepturilor si libertatilor fundamentale ale persoanelor fizice si in special a dreptului acestora la protectia datelor cu caracter personal.
(3) Libera circulatie a datelor cu caracter personal in interiorul Uniunii nu poate fi restrictionata sau interzisa din motive legate de protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal.

Articolul 2
Domeniul de aplicare material
(1) Prezentul regulament se aplica prelucrarii datelor cu caracter personal, efectuata total sau partial prin mijloace automatizate, precum si prelucrarii prin alte mijloace decat cele automatizate a datelor cu caracter personal care fac parte dintr-un sistem de evidenta a datelor sau care sunt destinate sa faca parte dintr-un sistem de evidenta a datelor.
(2) Prezentul regulament nu se aplica prelucrarii datelor cu caracter personal:
(a) in cadrul unei activitati care nu intra sub incidenta dreptului Uniunii;
(b) de catre statele membre atunci cand desfasoara activitati care intra sub incidenta capitolului 2 al titlului V din Tratatul UE;
(c) de catre o persoana fizica in cadrul unei activitati exclusiv personale sau domestice;
(d) de catre autoritatile competente in scopul prevenirii, investigarii, depistarii sau urmaririi penale a infractiunilor, sau al executarii sanctiunilor penale, inclusiv al protejarii impotriva amenintarilor la adresa sigurantei publice si al prevenirii acestora.
(3) Pentru prelucrarea datelor cu caracter personal de catre institutiile, organele, oficiile si agentiile Uniunii, se aplica Regulamentul (CE) nr. 45/2001. Regulamentul (CE) nr. 45/2001 si alte acte juridice ale Uniunii aplicabile unei asemenea prelucrari a datelor cu caracter personal se adapteaza la principiile si normele din prezentul regulament in conformitate cu articolul 98.
(4) Prezentul regulament nu aduce atingere aplicarii Directivei 2000/31/CE, in special normelor privind raspunderea furnizorilor de servicii intermediari, prevazute la articolele 12-15 din directiva mentionata.

Articolul 3
Domeniul de aplicare teritorial
(1) Prezentul regulament se aplica prelucrarii datelor cu caracter personal in cadrul activitatilor unui sediu al unui operator sau al unei persoane imputernicite de operator pe teritoriul Uniunii, indiferent daca prelucrarea are loc sau nu pe teritoriul Uniunii.
(2) Prezentul regulament se aplica prelucrarii datelor cu caracter personal ale unor persoane vizate care se afla in Uniune de catre un operator sau o persoana imputernicita de operator care nu este stabilit(a) in Uniune, atunci cand activitatile de prelucrare sunt legate de:
(a) oferirea de bunuri sau servicii unor astfel de persoane vizate in Uniune, indiferent daca se solicita sau nu efectuarea unei plati de catre persoana vizata; sau
(b) monitorizarea comportamentului lor daca acesta se manifesta in cadrul Uniunii.
(3) Prezentul regulament se aplica prelucrarii datelor cu caracter personal de catre un operator care nu este stabilit in Uniune, ci intr-un loc in care dreptul intern se aplica in temeiul dreptului international public.

Articolul 4
Definitii
In sensul prezentului regulament:
1.
``date cu caracter personal`` inseamna orice informatii privind o persoana fizica identificata sau identificabila (``persoana vizata``); o persoana fizica identificabila este o persoana care poate fi identificata, direct sau indirect, in special prin referire la un element de identificare, cum ar fi un nume, un numar de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identitatii sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;
2.
``prelucrare`` inseamna orice operatiune sau set de operatiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fara utilizarea de mijloace automatizate, cum ar fi colectarea, inregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispozitie in orice alt mod, alinierea sau combinarea, restrictionarea, stergerea sau distrugerea;
3.
``restrictionarea prelucrarii`` inseamna marcarea datelor cu caracter personal stocate cu scopul de a limita prelucrarea viitoare a acestora;
4.
``creare de profiluri`` inseamna orice forma de prelucrare automata a datelor cu caracter personal care consta in utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoana fizica, in special pentru a analiza sau prevedea aspecte privind performanta la locul de munca, situatia economica, sanatatea, preferintele personale, interesele, fiabilitatea, comportamentul, locul in care se afla persoana fizica respectiva sau deplasarile acesteia;
5.
``pseudonimizare`` inseamna prelucrarea datelor cu caracter personal intr-un asemenea mod incat acestea sa nu mai poata fi atribuite unei anume persoane vizate fara a se utiliza informatii suplimentare, cu conditia ca aceste informatii suplimentare sa fie stocate separat si sa faca obiectul unor masuri de natura tehnica si organizatorica care sa asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile;
6.
``sistem de evidenta a datelor`` inseamna orice set structurat de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate dupa criterii functionale sau geografice;