În data de 03.10.2017, Grupul de Lucru Art. 291, în vederea asigurării unei aplicări armonizate a Regulamentului General privind Protecția Datelor începând cu data de 25 mai 2018 a adoptat următoarele ghiduri: orientări privind procesul decizional individual automatizat și crearea de profiluri în sensul Regulamentului 2016/679; orientări privind aplicarea și stabilirea amenzilor administrative în sensul Regulamentului 2016/679; orientări privind notificarea privind încălcarea securității datelor cu caracter personal în temeiul Regulamentului 2016/679.
Pentru producători și comercianți aceste reglementări sunt importante atunci când trebuie să gestioneze datele legate de clienții lor, colectate, spre exemplu, în cadrul unor campanii promoționale.
Documentul pune în discuție cadrul și modalitatea de aplicare a amenzilor administrative în conformitate cu prevederile din Regulamentul European nr. 2016/679, fiind destinat să ajute autoritățile de supraveghere să identifice cele mai utile criterii în funcție de care să impună amenzi administrative adecvate și, de asemenea, să ajungă la o decizie cu privire la aplicarea diferitelor alte măsuri sancționatorii (precum limitarea temporară sau definitivă a prelucrării).
Astfel, autoritatea de supraveghere competentă trebuie să identifice cele mai adecvate măsuri raportate la situația respectivă în cazul în care are o loc o încălcare a Regulamentului, ținând seama, printre altele, de următoarele principii:
- Încălcarea Regulamentului ar trebui să conducă la impunerea unor „sancțiuni echivalente”
- Eventualele sancțiuni impuse ar trebui sa fie eficace, proporționale și disuasive prin raportare la încălcarea respectivă
- Autoritatea de supraveghere competentă va realiza o evaluare individuală, de la caz la caz
- Schimbul de informații, precum și o participare mai activă între autoritățile de supraveghere să conducă la o mai bună înțelegere a situației referitoare la amenzile administrative în domeniul protecției datelor
Orientările prezintă modul de interpretare ale condițiilor generale pentru impunerea amenzilor administrative prevăzute de Regulament, precum și o serie de elemente ce trebuie avute în vedere ținând seama de criteriile prevăzute în aceste condiții, după cum urmează:
- Natura, gravitatea și durata încălcării;
- Caracterul intențional sau neglijent al încălcării
- Acțiunile întreprinse de către operator sau persoana împuternicită de operator pentru a reduce pierderile suferite de către persoanele vizate;
- Gradul de responsabilitate al operatorului și al persoanei împuternicite de operator, luând în considerare măsurile tehnice și organizatorice implementate;
- Orice alte încălcări anterioare săvârșite de operatori sau de persoana împuternicită de operator;
- Gradul de cooperare cu autoritățile de supraveghere pentru a remedia încălcarea și a diminua posibilele efecte adverse ale încălcării;
- Categoriile de date personale afectate de încălcare;
- Maniera în cazul in care încălcarea a fost adusa la cunoștința autorității de supraveghere, și dacă operatorul sau persoana împuternicită de operator a notificat ea însăși încălcarea;
- Aderarea la un eventual cod de conduita sau certificare, potrivit Regulamentului.
- Orice alți factori de agravare sau de diminuare aplicabile situației, cum ar fi beneficiile obținute, pierderile directe sau indirecte suferite din cauza încălcării respective.
Orientări privind notificarea în temeiul Regulamentului 2016/679
Documentul pune în discuție cerințele obligatorii cu privire la obligația de notificare în cazul încălcării securității datelor cu caracter personal, precum și pașii pe care operatorul sau persoana împuternicită de operator le-ar putea adopta pentru a se conforma acestei obligații.
În vederea clarificării și interpretării obligației de notificare prevăzute de Regulament, sunt descrise o serie de aspecte precum: înțelegerea noțiunii de securitate privind prelucrarea de date cu caracter personal și, respectiv de încălcare a acesteia, diferite tipuri de încălcări de securitate, posibilele consecințe ale încălcărilor prevederilor de securitate privitoare la date cu caracter personal, fiind totodată furnizate o serie de exemple pentru o mai bună înțelegere.
Totodată, sunt detaliate condițiile și modalitățile de notificare a autorității de supraveghere, oferindu-se informații în legătură cu: stabilirea momentului de notificare, modalitatea de transmitere a informațiilor către autoritatea de supraveghere, existența unei situații în care încălcările securității datelor cu caracter personal pot afecta persoanele din una sau mai multe state, precum și condițiile necesare situației în care notificarea nu este necesară.
În plus, sunt menționate aspecte și exemple în legătură cu cazurile în care încălcarea de securitate a datelor cu caracter personal trebuie sa fie comunicată persoanei fizice ale cărei date au făcut obiectul unei eventuale încălcări de securitate, stabilind condițiile necesare informării, și anume: informația ce urmează a fi transmisă, modalitatea de contactare a indivizilor în cauză, sau, în cazul în care notificarea nu este necesară, condițiile ce trebuie îndeplinite.
De asemenea, documentul oferă informații cu privire la modalitatea de evaluare a riscului, această evaluare fiind importantă pentru operator în vederea luării unor măsuri efective pentru gestionarea incidentului, precum si pentru a ști dacă este necesară efectuarea notificării către autoritate. În evaluarea riscului trebuie luați in considerare mai mulți factori precum: tipul încălcării, natura, sensibilitatea, volumul datelor personale, ușurința în identificarea persoanelor, gravitatea consecințelor pentru aceștia sau numărul persoanelor afectate.
Orientări privind procesul decizional individual automatizat de luare a deciziilor și crearea de profiluri în sensul Regulamentului 2016/679
Documentul prezintă dispoziții specifice cu privire la procesul de luare automată a deciziilor, fiind menționată condiția esențială, și anume ca procesul automatizat să fie bazat pe faptul că trebuie să nu existe vreo intervenție umană în cadrul procesului respectiv. Ghidul face o prezentare a noțiunilor de „efecte juridice care privesc persoana vizată” si „de consecințe care o afectează în mod similar într-o măsură semnificativă”, prezentând, prin exemple, diferite situații ale acestor efecte asupra persoanei fizice ca urmare a procesului automat de luare a deciziilor.
Documentul cuprinde explicații în legătură cu fiecare dintre excepțiile prevăzute de Regulament în care s-ar putea lua decizii automate fără ca persoana în cauză sa aibă dreptul de alege să nu facă obiectul unei astfel de decizii bazate exclusiv pe prelucrarea automată, respectiv:
- atunci când este necesar pentru încheierea sau executarea unui contract între persoana vizată și un operator de date
- atunci când este autorizată prin dreptul Uniunii sau dreptul intern ce se aplică operatorului si care prevede, de asemenea, măsuri corespunzătoare pentru protejarea drepturilor, libertăților si intereselor legitime ale persoanei vizate;
- atunci când are la baza consimțământul explicit al persoanei vizate;
Totodată, se face o descriere a drepturilor persoanelor fizice în legătură cu procesul decizional individual automatizat, respectiv:
- operatorul este obligat sa informeze persoanele vizate, precum si să ofere precizări cu privire la modul prin care operatorii trebuie sa îi informeze pe aceștia despre modalitatea de funcționare a procesului de luare automată deciziilor;
- dreptul de acces al subiecților la informații privitoare la existenta unui proces decizional automatizat;
- dreptul de a nu fi subiect al unei decizii bazate exclusiv pe un proces decizional individual automatizat;
În plus, sunt menționate dispoziții generale privitoare la crearea de profiluri, acestora aplicându-se principiile generale ale protecției datelor. Prin urmare, operatorii în activitatea de profilare si luare automata a deciziilor trebuie să respecte principiile generale ale activității de prelucrare a datelor prevăzute in articolul 5 („Principii legate de prelucrarea datelor cu caracter personal”) din Regulamentul 2016/679, precum si bazele legale privitoare la prelucrare prevăzute in articolul 6 („Legalitatea prelucrării”) din respectivul Regulament.
În final, documentul cuprinde scurte recomandări operatorilor cu privire la diferitele practici stabilite pe baza experienței dobândite a statelor membre ale Uniunii Europene în vederea îndeplinirii dispozițiilor prevăzute in Regulament.
