Raport FRA – „GDPR în practică – Experiențe ale autorităților de protecție a datelor”

Pe data de 11 iunie 2024, Agenția pentru Drepturi Fundamentale a Uniunii Europene (FRA) a publicat raportul intitulat „GDPR în practică – Experiențe ale autorităților de protecție a datelor”, la șase ani de la aplicarea efectivă (25 mai 2018) a Regulamentului (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestora, abrogând Directiva 95/46/CE (GDPR).

Ca răspuns la solicitarea Comisiei Europene, între iunie 2022 și iunie 2023, FRA a realizat 70 de interviuri calitative cu reprezentanți ai DPA din toate cele 27 de state membre ale UE. Astfel a colectat informații privind experiențele, provocările și practicile autorităților de protecție a datelor după adoptarea GDPR.

Intervievații au fost întrebați despre experiențele lor în următoarele domenii:

• independența DPA-urilor;
• capacitatea instituțională a DPA-urilor;
• provocările tehnologice moderne;
• creșterea conștientizării publice;
• competențele de investigație ale DPA-urilor;
• sancționarea încălcărilor GDPR;
• cooperarea între DPA-urile din UE și mecanismul de consistență GDPR;
• cooperarea cu alte autorități naționale de reglementare;
• protecția datelor personale și drepturile fundamentale concurente.

Din datele colectate, FRA a identificat câteva domenii cheie în care DPA-urile au întâmpinat provocări în implementarea GDPR. Acestea sunt:

• Provocările DPA-urilor în ceea ce privește menținerea independenței, privind atât adecvarea resurselor, cât și libertatea de influențe externe.
• Mandatele DPA-urilor: competențele lor de supraveghere și competențele de consiliere
• Cooperarea stabilită de DPA-uri cu alți regulatori la nivel național și cu alte DPA-uri și EDPB la nivelul UE.

Concluziile Raportului GDPR în practică – Experiențe ale autorităților de protecție a datelor”

Iată care sunt principalele concluzii ale Agenției pentru Drepturi Fundamentale a Uniunii Europene (FRA):

1. Resursele insuficiente riscă să submineze implementarea mandatului autorităților de protecție a datelor și independența acestora.

FRA solicită statelor membre să asigure resurse suficiente pentru autoritățile de protecție a datelor, pentru a le permite să își îndeplinească eficient atribuțiile.

2. Supravegherea este esențială, dar ar fi mai eficientă dacă ar fi susținută de instrumente suplimentare

Comisia Europeană ar trebui să ia în considerare introducerea de reforme pentru a spori capacitatea DPA-urilor de a desfășura atât investigații din oficiu, cât și investigații legate de plângeri într-un mod adecvat, eficient și în timp util. Orice reformă propusă ar trebui să consolideze cadrul legal, astfel încât operatorii de date investigați să aibă obligația de a coopera cu DPA

3. Numărul mare de plângeri reprezintă o provocare majoră și ar trebui să fie abordate de autoritățile de protecție a datelor cu prioritate

EDPB ar putea lua în considerare consolidarea schimbului de practici și experiențe naționale, în special în ceea ce privește îmbunătățirea gestionării unui număr mare de reclamații. În special, chestiunile privind prioritizarea și gruparea plângerilor ar beneficia de orientări suplimentare din partea EDPB, și anume orientări cu privire la criteriile și garanțiile care trebuie implementate pentru a se asigura că fiecare plângere este abordată în mod corespunzător.

4. Conștientizarea publicului larg cu privire la existența legilor privind protecția datelor nu înseamnă neapărat că înțeleg cu adevărat aceste legi

FRA solicită statelor membre să asigure resurse suficiente pentru autoritățile de protecție a datelor, pentru a le permite să își îndeplinească eficient atribuțiile.

Instituțiile UE și statele membre ar trebui să sprijine și să promoveze în continuare conștientizarea și înțelegerea drepturilor persoanelor vizate și a obligațiilor operatorilor de date în rândul publicului larg.

Pentru a crește înțelegerea implicațiilor privind protecția datelor în domenii complexe, în special, dar nu numai, atunci când vine vorba de utilizarea noilor tehnologii, EDPB ar putea elabora orientări specifice suplimentare privind prelucrarea datelor care implică noi tehnologii sau legate de domenii complexe.

5. Oferirea de consiliere cercetătorilor științifici este o provocare pentru unele autorități de protecție a datelor

EDPB ar trebui să ia în considerare elaborarea unor orientări specifice suplimentare privind prelucrarea datelor cu caracter personal în scopuri de cercetare, inclusiv prelucrarea datelor sensibile. Ar trebui furnizate mai multe îndrumări și, acolo unde este relevant și fezabil, mai multe instrumente pentru a clarifica aplicarea derogărilor prevăzute la articolul 89 din GDPR.

Acest ghid ar trebui să se adreseze atât cercetătorilor, cât și controlorilor de date pe care cercetătorii îi pot contacta pentru a accesa anumite baze de date. Orientările ar trebui să clarifice faptul că acordarea sau refuzul accesului la date în scopuri de cercetare se bazează numai pe articolul 89 din GDPR și că GDPR nu ar trebui folosit ca justificare pentru a refuza accesul la date în scopuri de cercetare. EDPB ar putea lua în considerare, de asemenea, colectarea și promovarea practicilor promițătoare relevante identificate la nivel național.

Alte concluzii:

• Consilierea și supravegherea organismelor publice care acționează în calitate de operatori de date rămâne o provocare din cauza neîncrederii și neînțelegerii competențelor autorităților de protecție a datelor
• Reglementarea generală privind protecția datelor este percepută ca fiind insuficientă atunci când vine vorba de abordarea concretă a provocărilor prezentate de noile tehnologii
• Consolidarea cooperării dintre autoritățile de protecție a datelor poate necesita consolidarea Comitetului european pentru protecția datelor

Raportul poate fi consultat AICI>>>