Regulamentul (UE) 2025/2518 al Parlamentului European și al Consiliului din 26 noiembrie 2025 de stabilire a unor norme procedurale suplimentare referitoare la asigurarea respectării Regulamentului (UE) 2016/679 (Text cu relevanță pentru SEE)

Jurnalul Ofícial
al Uniunii Europene

RO

Seria L

2025/2518

12.12.2025

REGULAMENTUL (UE) 2025/2518 AL PARLAMENTULUI EUROPEAN ȘI AL CONSILIULUI

din 26 noiembrie 2025

de stabilire a unor norme procedurale suplimentare referitoare la asigurarea respectării Regulamentului (UE) 2016/679

(Text cu relevanță pentru SEE)

PARLAMENTUL EUROPEAN ȘI CONSILIUL UNIUNII EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 16,

având în vedere propunerea Comisiei Europene,

după transmiterea proiectului de act legislativ parlamentelor naționale,

având în vedere avizul Comitetului Economic și Social European (1),

după consultarea Comitetului Regiunilor,

hotărând în conformitate cu procedura legislativă ordinară (2),

întrucât:

(1)

Prin Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (3) se instituie un sistem descentralizat de asigurare a respectării normelor, care urmărește să asigure interpretarea și aplicarea coerentă a respectivului regulament în cazurile referitoare la prelucrarea transfrontalieră. În astfel de cazuri, sistemul descentralizat de asigurare a respectării normelor necesită ca autoritățile de supraveghere să coopereze în încercarea de a ajunge la un consens. Atunci când autoritățile de supraveghere nu pot ajunge la un consens, Regulamentul (UE) 2016/679 prevede soluționarea litigiilor de către Comitetul european pentru protecția datelor (denumit în continuare „comitetul”).

(2)

Pentru a asigura funcționarea armonioasă și eficace a mecanismului de cooperare prevăzut la articolul 60 din Regulamentul (UE) 2016/679 și a mecanismului de soluționare a litigiilor prevăzut la articolul 65 din regulamentul menționat, este necesară stabilirea unor norme privind desfășurarea procedurilor de către autoritățile de supraveghere în cazurile referitoare la prelucrarea transfrontalieră și de către comitet în timpul soluționării litigiilor, inclusiv în ceea ce privește tratarea plângerilor. Din acest motiv, este necesară, totodată, stabilirea unor norme privind exercitarea dreptului de a fi ascultat înainte de adoptarea deciziilor de către autoritățile de supraveghere și, după caz, de comitet.

(3)

În lipsa unei reglementări a Uniunii în materie, revine fiecărui stat membru, în conformitate cu principiul autonomiei procedurale a statelor membre, sarcina de a stabili norme procedurale detaliate, administrative și judiciare, menite să asigure un nivel ridicat de protecție a drepturilor conferite justițiabililor prin dreptul Uniunii. Prin urmare, dreptul procedural al fiecărui stat membru ar trebui să se aplice autorităților de supraveghere în măsura în care prezentul regulament nu armonizează un aspect și atât timp cât normele procedurale de drept intern respective nu aduc atingere principiilor eficacității și echivalenței dreptului Uniunii.

(4)

Prezentul regulament urmărește să garanteze că investigațiile în cazurile referitoare la prelucrarea transfrontalieră se desfășoară în conformitate cu principiul bunei administrări și, în special, că acestea se desfășoară în mod imparțial, echitabil și într-un termen rezonabil. Prin urmare, prezentul regulament stabilește unele principii orizontale referitoare la procedurile de asigurare a respectării Regulamentului (UE) 2016/679 în astfel de cazuri.

(5)

Plângerile reprezintă o sursă esențială de informare pentru detectarea încălcărilor normelor privind protecția datelor. Informațiile comunicate de reclamant în cadrul plângerii depuse sau când își face cunoscute opiniile pot cuprinde argumente și dovezi în măsură să contribuie la progresul investigației. Este necesară stabilirea unor proceduri clare și eficiente pentru tratarea plângerilor în cazurile referitoare la prelucrarea transfrontalieră, deoarece este posibil ca plângerea să fie tratată de o altă autoritate de supraveghere decât cea la care a fost depusă.

(6)

O plângere ar trebui înțeleasă ca fiind o cerere depusă de o persoană vizată la o autoritate de supraveghere în conformitate cu articolul 77 alineatul (1) sau cu articolul 80 din Regulamentul (UE) 2016/679. Simpla raportare a presupuselor încălcări care nu se referă la prelucrarea datelor cu caracter personal privind persoana vizată, cererile de consiliere din partea operatorilor sau a persoanelor împuternicite de operatori ori cererile generale referitoare la aplicarea Regulamentului (UE) 2016/679, din partea operatorilor, a persoanelor împuternicite de operatori sau a persoanelor fizice, nu trebuie să fie considerate ca fiind plângeri.

(7)

Pentru ca o plângere privind prelucrarea transfrontalieră să fie admisibilă, aceasta ar trebui să conțină informații specifice. Pentru ca o astfel de plângere să fie admisibilă, nu ar trebui să fie necesare informații suplimentare față de cele specificate în prezentul regulament. Continuă să se aplice modalitățile și cerințele administrative pentru admisibilitatea plângerilor în temeiul dreptului intern al autorității de supraveghere la care a fost depusă plângerea, cum ar fi regimul lingvistic, termenul de prescripție, mijloacele de identificare, formularul electronic, modelul specific sau semnătura.

(8)

Datele de contact ale persoanei care depune plângerea ar putea include adresa poștală, locul de reședință și, dacă există, o adresă de e-mail. În momentul depunerii plângerii, trebuie să fie precizat clar dacă reclamantul este o persoană fizică care nu este în măsură să își exercite dreptul de a depune o plângere fără asistența unui reprezentant legal, de exemplu pentru că este copil sau pentru că are o dizabilitate sau o vulnerabilitate și, prin urmare, își exercită drepturile prin intermediul unei alte persoane, cum ar fi un părinte, un tutore legal sau un membru al familiei, cu condiția ca o astfel de reprezentare să fie permisă în temeiul dreptului intern.

(9)

În cazul în care plângerea este depusă de un organism, o organizație sau o asociație fără scop lucrativ, astfel cum se menționează la articolul 80 din Regulamentul (UE) 2016/679, ar trebui să se prezinte dovada că organismul, organizația sau asociația a fost constituit(ă) corespunzător în conformitate cu dreptul unui stat membru, împreună cu denumirea și datele de contact ale respectivului organism, organizație sau asociație, precum și dovada că organismul, organizația sau asociația în cauză acționează pe baza unui mandat din partea persoanei vizate. Modalitățile și procedurile referitoare la dovezile respective sunt stabilite în conformitate cu dreptul statului membru al autorității de supraveghere la care a fost depusă plângerea.

(10)

Reclamantul nu ar trebui să aibă obligația de a contacta partea investigată, înainte de a depune plângerea, pentru ca plângerea respectivă să fie admisibilă. În cazul în care plângerea se referă la exercitarea unui drept al persoanei vizate care se întemeiază pe transmiterea unei cereri operatorului de către persoana vizată, cererea respectivă ar trebui să-i fie transmisă operatorului înainte de depunerea plângerii.

(11)

Autoritatea de supraveghere la care a fost depusă plângerea ar trebui să stabilească, printr-o concluzie preliminară, dacă plângerea se referă la prelucrarea transfrontalieră, autoritatea de supraveghere care se presupune că este competentă să acționeze în calitate de autoritate de supraveghere principală în conformitate cu articolul 56 alineatul (1) din Regulamentul (UE) 2016/679 și dacă se aplică articolul 56 alineatul (2) din regulamentul respectiv. În cazul în care nu a fost inițiată o procedură de soluționare timpurie, autoritatea de supraveghere la care a fost depusă plângerea ar trebui să transmită plângerile admisibile autorității de supraveghere care se presupune că este competentă să acționeze în calitate de autoritate de supraveghere principală și să informeze reclamantul în acest sens. Stabilirea admisibilității plângerii de către autoritatea de supraveghere la care a fost depusă plângerea, ar trebui să aibă caracter obligatoriu pentru autoritatea de supraveghere principală.

(12)

Este important ca autoritățile de supraveghere să faciliteze transmiterea de către reclamant a tuturor informațiilor solicitate, de exemplu prin punerea la dispoziție a unor modele sau formulare electronice, ținând seama de orientările pertinente ale comitetului. Autoritățile de supraveghere pot facilita depunerea plângerilor într-un format electronic ușor de utilizat și ținând seama de nevoile persoanelor cu dizabilități, atât timp cât informațiile solicitate din partea reclamantului corespund informațiilor specifice necesare. Pentru ca cererea să fie considerată admisibilă nu ar trebui să fie necesară nicio informație suplimentară.

(13)

Pentru a facilita tratarea unei plângeri, autoritățile de supraveghere ar trebui să poată solicita informații suplimentare din partea reclamantului. Dacă lipsesc unele dintre informațiile necesare pentru ca o plângere să fie considerată admisibilă, autoritatea de supraveghere la care a fost depusă plângerea ar putea contacta reclamantul pentru a obține informațiile lipsă, în măsura posibilului. În cazul în care o plângere este inadmisibilă, autoritatea de supraveghere ar trebui să declare cererea inadmisibilă și să informeze reclamantul cu privire la informațiile lipsă, în termenul prevăzut de prezentul regulament, pentru a-i oferi acestuia posibilitatea de a depune o plângere admisibilă.

(14)

În cazul în care, după primirea de la o autoritate de supraveghere a unei plângeri admisibile referitoare la prelucrarea transfrontalieră, autoritatea de supraveghere principală solicită informații suplimentare din partea reclamantului care să permită investigarea completă a plângerii, autoritatea de supraveghere la care a fost depusă plângerea ar trebui să asiste autoritatea de supraveghere principală, inclusiv prin contactarea reclamantului pentru a solicita informațiile necesare, dacă este necesar.

(15)

Dacă autoritatea de supraveghere principală inițiază o investigație în temeiul unei plângeri, părțile investigate ar trebui să fie informate fără întârziere cu privire la depunerea plângerii respective și la principalele sale elemente. Cu toate acestea, comunicarea unor astfel de informații de către autoritatea de supraveghere principală ar putea fi amânată atât timp cât este necesar pentru a proteja integritatea investigației și pentru a face posibilă aplicarea eficace a măsurilor de investigare.

(16)

Pentru a garanta funcționarea eficace a mecanismelor de cooperare și pentru asigurarea coerenței prevăzute în capitolul VII din Regulamentul (UE) 2016/679, este important ca soluționarea cazurilor referitoare la prelucrarea transfrontalieră să se asigure în timp util și în spiritul cooperării loiale și eficace care stă la baza articolului 60 din Regulamentul (UE) 2016/679. Autoritatea de supraveghere principală ar trebui să își exercite competența într-un cadru de cooperare strânsă cu celelalte autorități de supraveghere vizate. De asemenea, autoritățile de supraveghere vizate ar trebui să se implice activ în investigație dintr-un stadiu incipient al acesteia, în încercarea de a ajunge la un consens, utilizând pe deplin instrumentele prevăzute în Regulamentul (UE) 2016/679. Este important ca cooperarea dintre autoritățile de supraveghere să se bazeze pe un dialog deschis, care să permită autorităților de supraveghere vizate să aibă un impact semnificativ asupra desfășurării investigației prin partajarea experiențelor și a opiniilor lor cu autoritatea de supraveghere principală, ținând seama în mod corespunzător de marja de apreciere de care dispune fiecare autoritate de supraveghere. Autoritățile de supraveghere ar trebui să desfășoare procedurile rapid și eficient și să coopereze loial și eficace, inclusiv prin acordarea de sprijin, dacă este necesar, și răspunzând fără întârziere cererilor.

(17)

Autoritățile de supraveghere ar trebui să decidă cu privire la plângeri într-un termen rezonabil. Din acest motiv, prezentul regulament stabilește termene. Stabilirea a ceea ce înseamnă un termen rezonabil depinde de împrejurările fiecărui caz și, în special, de contextul acestuia, de diferitele etape procedurale parcurse de autoritatea de supraveghere principală, de comportamentul părților investigate și al reclamantului în cursul procedurii și de complexitatea cazului. Pentru a proteja cu eficacitate drepturile și libertățile fundamentale ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal, este important ca plângerile să fie tratate rapid și eficient. În funcție de circumstanțele cazului, timpul necesar pentru tratarea unei plângeri ar putea fi mai scurt decât termenul prevăzut în prezentul regulament. Cooperarea eficientă dintre autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate poate avea, de asemenea, un impact pozitiv asupra gestionării rapide a cazurilor.

(18)

Un reclamant ar trebui să poată comunica exclusiv cu autoritatea de supraveghere la care i-a fost depusă plângerea. Posibilitatea respectivă nu îl împiedică pe reclamant să comunice direct cu altă autoritate de supraveghere, inclusiv cu autoritatea de supraveghere principală.

(19)

Este important să se țină seama de datele cu caracter personal prelucrate și de situația persoanei vizate, de exemplu în cazul în care o plângere se referă la prelucrarea datelor cu caracter personal ale copiilor.

(20)

Autoritatea de supraveghere principală ar trebui să comunice autorității de supraveghere la care a fost depusă plângerea informațiile necesare cu privire la evoluția investigației cu scopul de a-i oferi informații actualizate reclamantului.

(21)

Pentru a pune capăt rapid încălcărilor Regulamentului (UE) 2016/679 și a le oferi reclamanților o soluționare rapidă a plângerilor lor, autoritățile de supraveghere ar trebui să depună eforturi, după caz, pentru a soluționa plângerile printr-o procedură de soluționare timpurie, în conformitate cu prezentul regulament. În acest scop, autoritatea de supraveghere ar trebui să stabilească dacă presupusa încălcare menționată în plângere a încetat, în așa fel încât plângerea să fi rămas fără obiect. Statele membre nu au obligația să introducă noi proceduri în temeiul dreptului intern pentru a permite autorităților lor de supraveghere să soluționeze o plângere printr-o procedură de soluționare timpurie.

(22)

O plângere ar trebui să fie soluționată printr-o procedură de soluționare timpurie numai atunci când reclamantul nu a prezentat în timp util o obiecție cu privire la constatarea că presupusa încălcare a încetat și astfel plângerea a rămas fără obiect. Prin urmare, soluționarea timpurie a unei plângeri ar trebui să se aplice în cazurile în care reclamantul este în măsură să evalueze corespunzător soluția propusă.

(23)

Soluționarea timpurie a unei plângeri poate fi deosebit de utilă pentru a soluționa rapid în beneficiul reclamantului plângerile referitoare la încălcări ale drepturilor persoanei vizate în temeiul capitolului III din Regulamentul (UE) 2016/679. Respectiva soluționare timpurie ar trebui să permită autorității de supraveghere la care a fost depusă plângerea sau autorității de supraveghere principale să stabilească, pe baza unui dialog preliminar cu operatorul și cu condiția să fi fost obținute probe justificative, că plângerea a rămas fără obiect.

(24)

Soluționarea timpurie a unei plângeri printr-o procedură de soluționare timpurie nu ar trebui să aducă atingere exercitării de către autoritatea de supraveghere principală a competențelor sale în conformitate cu Regulamentul (UE) 2016/679 cu privire la același subiect, de exemplu în cazul încălcărilor sistemice sau repetate ale regulamentului respectiv.

(25)

În cazul în care autoritatea de supraveghere principală căreia i-a fost transmisă plângerea consideră că o plângere poate fi soluționată printr-o procedură de soluționare timpurie, celorlalte autorități de supraveghere vizate ar trebui să le fie transmis, în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679, un proiect de decizie în vederea adoptării unei decizii finale, în conformitate cu articolul 60 alineatul (7) din Regulamentul (UE) 2016/679, prin care se stabilește faptul că presupusa încălcare a încetat și că plângerea a fost soluționată integral sau parțial de către autoritatea de supraveghere principală. Prin urmare, proiectul de decizie prezentat ar putea fi simplificat și s-ar putea limita la comunicarea informației că plângerea a fost soluționată, integral sau parțial, printr-o procedură de soluționare timpurie, precizând motivele care stau la baza deciziei și sfera de aplicare a soluționării și confirmând că plângerea a rămas așadar fără obiect. În astfel de cazuri, autoritatea de supraveghere principală ar trebui să transmită direct proiectul său de decizie celorlalte autorități de supraveghere vizate, fără a trebui să elaboreze și să difuzeze un rezumat al aspectelor-cheie sau al constatărilor preliminare.

(26)

În cazul în care autoritatea de supraveghere principală a formulat o opinie preliminară cu privire la principalele aspecte ale unei investigații, aceasta ar trebui să poată coopera cu celelalte autorități de supraveghere vizate printr-o procedură simplă de cooperare. Procedura simplă de cooperare ar trebui aplicată de la caz la caz, cu condiția ca autoritatea de supraveghere principală să considere că nu există nicio îndoială rezonabilă cu privire la domeniul de aplicare al investigației și că elementele de drept și materiale identificate nu necesită o cooperare suplimentară, care ar fi necesară în scopul unei investigații complexe, în special atunci când elementele respective pot fi abordate pe baza caracteristicilor cazului și a deciziilor anterioare în cazuri similare. Mai mult, este important ca jurisprudența existentă și orientările adoptate de comitet cu privire la presupusele încălcări ale Regulamentului (UE) 2016/679 care urmează să fie investigate să fie, de asemenea, luate în considerare de autoritatea de supraveghere principală atunci când consideră că este probabil să se ajungă la un consens referitor la principalele elemente ale unui caz. În principiu, procedura simplă de cooperare nu se aplică atunci când cazul ridică probleme sistemice sau recurente în mai multe state membre, se referă la o problemă juridică generală privind interpretarea, aplicarea sau asigurarea respectării Regulamentului (UE) 2016/679, se situează la intersecția dintre protecția datelor și alte domenii juridice, afectează un număr mare de persoane vizate din mai multe state membre sau este legat de un număr mare de plângeri din mai multe state membre ori în eventualitatea unui risc ridicat pentru drepturile și libertățile persoanelor vizate.

(27)

În cazul în care autoritatea de supraveghere principală intenționează să aplice procedura simplă de cooperare, aceasta ar trebui să informeze celelalte autorități de supraveghere vizate cu privire la intenția sa și să comunice toate informațiile pertinente privind caracteristicile cazului și ale plângerii, inclusiv principalele fapte pertinente și presupusa încălcare care urmează să fie investigată. Atunci când se aplică procedura simplă de cooperare, autoritatea de supraveghere principală ar trebui să coopereze în continuare cu celelalte autorități de supraveghere vizate și să prezinte un proiect de decizie în termenele prevăzute în prezentul regulament.

(28)

În situația în care o autoritate de supraveghere este obligată să parcurgă anumite etape procedurale în termene determinate, scopul termenelor respective este de a garanta că procedura avansează și se încheie într-un interval de timp rezonabil. Termenele în cauză nu împiedică autoritățile de supraveghere să parcurgă etapele procedurale necesare după expirarea lor. Prin urmare, este necesar să se asigure că parcurgerea unor astfel de etape procedurale după expirarea termenelor aferente nu poate fi considerată drept motiv de nelegalitate sau de nevaliditate a respectivei etape procedurale ori a deciziei finale.

(29)

Autoritatea de supraveghere principală ar trebui să poată prelungi termenul pentru prezentarea unui proiect de decizie. Astfel de prelungiri ar trebui să se aplice numai în mod excepțional, pe baza complexității unui caz. Celelalte autorități de supraveghere vizate ar trebui să fie informate cu privire la prelungiri, precum și să poată prezenta obiecții cu privire la prelungire, de care autoritatea de supraveghere principală ar trebui să țină seama atunci când stabilește dacă va aplica o prelungire a termenului și, după caz, durata prelungirii respective.

(30)

În cazul în care autoritatea de supraveghere principală prelungește termenul de prezentare a unui proiect de decizie, celelalte autorități de supraveghere vizate ar trebui să poată informa autoritatea de supraveghere principală că, potrivit evaluării lor, este necesar să se acționeze pentru a proteja drepturile și libertățile persoanelor vizate. În cazul în care autoritatea de supraveghere principală a fost informată cu privire la o astfel de evaluare și nu prezintă un proiect de decizie în termenul prelungit, criteriile pentru necesitatea urgentă de a acționa, în conformitate cu articolul 66 alineatul (1) din Regulamentul (UE) 2016/679, ar trebui să fie considerate ca fiind îndeplinite. În pofida posibilității respective, procedura de urgență rămâne la dispoziția autorităților de supraveghere, sub rezerva condițiilor prevăzute la articolul 66 din Regulamentul (UE) 2016/679.

(31)

Pentru a garanta că procedurile se desfășoară eficient, fără a aduce atingere autonomiei procedurale a statelor membre, căile de atac împotriva măsurilor procedurale luate de autoritățile de supraveghere este preferabil să fie disponibile numai împreună cu o cale de atac împotriva unei decizii finale, cu excepția situației în care etapa procedurală în sine afectează ireversibil drepturile părții investigate sau ale reclamantului, indiferent de decizia finală.

(32)

Este deosebit de important ca autoritățile de supraveghere să ajungă la un consens cu privire la aspectele-cheie ale cazului cât mai curând posibil și înainte ca proiectul de decizie menționat la articolul 60 din Regulamentul (UE) 2016/679 să fie adoptat.

(33)

Schimbul de informații pertinente între autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate este un element important în sprijinul spiritului de cooperare loială și eficace. Schimbul de informații pertinente și comunicarea în timp util de informații specifice de către autoritatea de supraveghere principală constituie un proces continuu pe parcursul unei investigații, iar documentele și detaliile necesare pot varia în funcție de complexitatea cazului. În funcție de stadiul investigației și de circumstanțele cazului, printre informațiile pertinente s-ar putea număra corespondența schimbată cu operatorul sau cu persoana vizată în ceea ce privește o plângere sau o investigație, documentele pregătitoare pentru un audit sau o inspecție ori o evaluare tehnică sau juridică preliminară efectuată de autoritatea de supraveghere principală în urma unei etape specifice a investigației sale.

(34)

Deși autoritatea de supraveghere principală ar trebui să comunice celorlalte autorități de supraveghere vizate toate informațiile pertinente de îndată ce devin disponibile, celelalte autorități de supraveghere vizate ar trebui, de asemenea, să pună la dispoziție în mod proactiv toate informațiile pertinente considerate a fi utile pentru evaluarea elementelor de drept și materiale ale unui caz. Schimbul de informații pertinente ar trebui să sprijine cooperarea rapidă și eficace dintre autoritățile de supraveghere și poate fi susținut, în anumite cazuri, prin rezumate, extrase sau copii ale documentelor, pentru a facilita înțelegerea rapidă a unui caz, făcând posibilă în același timp comunicarea de informații suplimentare atunci când sunt necesare. Pentru a facilita schimbul eficace și adecvat de informații pertinente între autoritățile de supraveghere, comitetul ar trebui să poată preciza modalitățile și cerințele referitoare la schimbul de astfel de informații.

(35)

Ca parte a informațiilor pertinente cu privire la un anumit caz, autoritatea de supraveghere principală ar trebui să pună la dispoziția celorlalte autorități de supraveghere vizate un rezumat al aspectelor-cheie, în care să își prezinte opinia preliminară cu privire la principalele aspecte ale unei investigații. Rezumatul respectiv ar trebui să fie pus la dispoziție într-o etapă suficient de timpurie pentru a permite includerea efectivă a opiniilor prezentate de celelalte autorități de supraveghere vizate, dar totodată într-o etapă în care autoritatea de supraveghere principală deține suficiente elemente pentru a-și forma opiniile cu privire la caz, eventual prin intermediul unei analize preliminare și al unor posibile măsuri de investigație inițiale. După caz, rezumatul aspectelor-cheie ar trebui să includă, de asemenea, identificarea preliminară a unor eventuale măsuri corective în situațiile în care autoritatea de supraveghere principală dispune de suficiente elemente pentru a-și forma o opinie preliminară cu privire la măsurile respective, în special atunci când dispozițiile Regulamentului (UE) 2016/679 vizate de presupusa încălcare pot fi ușor identificate într-un stadiu incipient.

(36)

Autoritățile de supraveghere vizate ar trebui să aibă posibilitatea de a-și prezenta observațiile referitoare la rezumatul aspectelor-cheie, inclusiv cu privire la o gamă largă de aspecte, cum ar fi domeniul de aplicare al investigației, identificarea presupuselor încălcări și identificarea elementelor de drept și materiale pertinente pentru investigație. Având în vedere că domeniul de aplicare al investigației determină aspectele care trebuie investigate de autoritatea de supraveghere principală, autoritățile de supraveghere ar trebui să depună eforturi pentru a ajunge la un consens cât mai curând posibil cu privire la domeniul de aplicare al investigației.

(37)

În interesul unei cooperări eficace și incluzive între autoritatea de supraveghere principală și toate celelalte autorități de supraveghere vizate, este important ca rezumatul aspectelor-cheie și observațiile autorităților de supraveghere vizate să fie concise și formulate în termeni suficient de clari și de preciși pentru a fi ușor de înțeles de către toate autoritățile de supraveghere. Argumentele juridice ar trebui grupate în funcție de partea din rezumatul aspectelor-cheie la care se referă. Rezumatul aspectelor-cheie și observațiile autorităților de supraveghere vizate pot fi completate cu documente suplimentare. Cu toate acestea, simpla referire în observațiile unei autorități de supraveghere vizate la documente suplimentare nu poate suplini lipsa unor argumente esențiale de drept sau materiale care ar trebui să figureze în observații. Elementele esențiale de drept și materiale pe care se bazează astfel de documente trebuie să figureze, cel puțin într-o formă succintă, însă exprimate într-o manieră coerentă și inteligibilă, în observația propriu-zisă.

(38)

Autoritățile de supraveghere ar trebui să poată utiliza toate mijloacele necesare pentru a ajunge la un consens într-un spirit de cooperare loială și eficace. În cazul în care există o divergență de opinii între autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate în ceea ce privește domeniul de aplicare al unei investigații întemeiate pe o plângere, inclusiv cu privire la dispozițiile Regulamentului (UE) 2016/679 vizate de presupusa încălcare ce urmează să fie investigată, sau în cazul în care observațiile autorităților de supraveghere vizate se referă la o modificare importantă a evaluării elementelor de drept sau materiale complexe ori la identificarea preliminară a unor eventuale măsuri corective, autoritățile de supraveghere vizată pot utiliza instrumentele prevăzute la articolele 61 și 62 din Regulamentul (UE) 2016/679.

(39)

Regulamentul (UE) 2016/679 permite autorității de supraveghere să solicite o decizie obligatorie urgentă din partea comitetului în cazul în care o autoritate de supraveghere competentă nu a luat o măsură adecvată într-o situație în care există o necesitate urgentă de a acționa pentru a proteja drepturile și libertățile persoanelor vizate. În temeiul prezentului regulament, în cazul în care, după utilizarea mijloacelor prevăzute în prezentul regulament, autoritățile de supraveghere nu reușesc să ajungă la un consens în ceea ce privește domeniul de aplicare al unei investigații întemeiate pe o plângere, condițiile pentru a solicita o decizie obligatorie urgentă, menționate la articolul 66 alineatul (3) din Regulamentul (UE) 2016/679, ar trebui să fie considerate ca fiind îndeplinite, iar autoritatea de supraveghere principală ar trebui să solicite o decizie obligatorie urgentă a comitetului. Decizia obligatorie urgentă a comitetului cu privire la domeniul de aplicare al unei investigații întemeiate pe o plângere nu poate aduce atingere rezultatului investigației autorității de supraveghere principale sau eficacității dreptului de a fi ascultate al părților investigate.

(40)

Drepturile procedurale ar trebui să-i fie conferite reclamantului în măsura în care sunt în cauză drepturile și libertățile sale în calitate de persoană vizată. Etapele procedurale prevăzute în prezentul regulament, referitoare la cooperarea dintre autoritățile de supraveghere, nu conferă drepturi reclamantului sau părților investigate. Prin urmare, prezentul regulament precizează acele dispoziții privind etapele procedurale care nu conferă drepturi persoanelor fizice sau părților care fac obiectul unei investigații sau care nu limitează drepturile respective.

(41)

Reclamanții ar trebui să aibă posibilitatea de a-și face cunoscute opiniile înainte de luarea unei decizii care îi afectează în mod negativ. Prin urmare, în cazul în care o plângere este respinsă sau refuzată, integral sau parțial, într-un caz referitor la prelucrarea transfrontalieră, reclamantul ar trebui să aibă posibilitatea de a-și face cunoscute opiniile înainte de prezentarea unui proiect de decizie în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679, a unui proiect revizuit de decizie în temeiul articolului 60 alineatul (5) din regulamentul respectiv sau a unei decizii obligatorii a comitetului în temeiul articolului 65 alineatul (1) litera (a) din regulamentul respectiv.

(42)

În situația în care o plângere este respinsă sau refuzată, integral sau parțial, într-un caz referitor la prelucrarea transfrontalieră, este necesar să se clarifice repartizarea responsabilităților între autoritatea de supraveghere principală și autoritatea de supraveghere la care a fost depusă plângerea. În calitate de punct de contact pentru reclamant în cursul investigației, autoritatea de supraveghere la care a fost depusă plângerea ar trebui să ofere reclamantului posibilitatea de a-și face cunoscute opiniile cu privire la propunerea de a respinge sau refuza, integral sau parțial, plângerea și ar trebui să fie responsabilă de toate comunicările cu reclamantul. Toate aceste comunicări ar trebui transmise autorității de supraveghere principale. Întrucât, în conformitate cu articolul 60 alineatele (8) și (9) din Regulamentul (UE) 2016/679, autoritatea de supraveghere la care a fost depusă plângerea are responsabilitatea de a adopta decizia finală prin care se respinge sau se refuză, integral sau parțial, o plângere, autoritatea de supraveghere principală ar trebui să elaboreze proiectul de decizie în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679 în cooperare cu autoritatea de supraveghere la care a fost depusă plângerea. Cooperarea respectivă include posibilitatea de a solicita asistență din partea autorității de supraveghere la care a fost depusă plângerea la elaborarea proiectului în cauză.

(43)

Asigurarea respectării eficiente a normelor Uniunii privind protecția datelor ar trebui să respecte pe deplin drepturile la apărare ale părților investigate, ceea ce constituie un principiu fundamental al dreptului Uniunii care trebuie respectat în toate împrejurările, iar drepturile respective prezintă o importanță deosebită în procedurile care ar putea conduce la aplicarea de sancțiuni.

(44)

Pentru a garanta în mod eficace dreptul la bună administrare și dreptul la apărare, astfel cum sunt consacrate în Carta drepturilor fundamentale a Uniunii Europene („Carta”), este important să fie stabilite norme clare privind exercitarea dreptului oricărei persoane de a fi ascultată înainte de luarea oricărei măsuri individuale care i-ar putea aduce atingere.

(45)

Normele privind procedura administrativă aplicată de autoritățile de supraveghere atunci când asigură respectarea Regulamentului (UE) 2016/679 ar trebui să asigure faptul că părțile investigate au efectiv posibilitatea de a-și face cunoscute opiniile cu privire la veridicitatea și relevanța presupuselor fapte și a circumstanțelor, precum și a obiecțiilor prezentate de autoritatea de supraveghere în cursul procedurii, permițându-le astfel să își exercite dreptul la apărare. Constatările preliminare stabilesc poziția preliminară cu privire la presupusa încălcare a Regulamentului (UE) 2016/679 în urma unei investigații. Acestea constituie, așadar, o garanție procedurală esențială, prin care se asigură respectarea dreptului de a fi ascultat. Părților investigate ar trebui să li se pună la dispoziție documentele necesare pentru a se apăra în mod eficient și pentru a prezenta observații cu privire la acuzațiile formulate împotriva lor, primind acces la dosarul administrativ.

(46)

Normele respective nu ar trebui să aducă atingere posibilității ca autoritățile de supraveghere să acorde acces suplimentar la dosarul administrativ pentru a asculta opiniile oricăreia dintre părțile investigate sau ale reclamantului în cursul procedurilor, în conformitate cu dreptul intern al autorității de supraveghere principale.

(47)

Constatările preliminare definesc domeniul de aplicare al investigației și, prin urmare, domeniul de aplicare al oricărei decizii finale viitoare, adoptată, după caz, pe baza unei decizii obligatorii emise de comitet în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 care poate fi adresată operatorilor sau persoanelor împuternicite de operatori. Chiar dacă sunt succinte, constatările preliminare ar trebui să fie suficient de clare pentru a permite părților investigate să identifice în mod corespunzător natura presupusei încălcări a Regulamentului (UE) 2016/679. Obligația de a comunica părților investigate toate informațiile necesare pentru a se apăra în mod corespunzător este îndeplinită în cazul în care decizia finală nu susține că părțile investigate au săvârșit alte încălcări decât cele menționate în constatările preliminare și ia în considerare numai faptele cu privire la care părțile investigate au avut posibilitatea de a-și face cunoscute opiniile. Cu toate acestea, nu este necesar ca decizia finală a autorității de supraveghere principale să fie identică cu constatările preliminare. Autoritatea de supraveghere principală ar trebui să poată să țină seama în decizia finală de răspunsurile părților investigate la constatările preliminare și, după caz, în proiectul revizuit de decizie prevăzut la articolul 60 alineatul (5) din Regulamentul (UE) 2016/679. Autoritatea de supraveghere principală ar trebui să poată efectua propria evaluare a faptelor și a argumentelor juridice prezentate de părțile investigate, fie pentru a respinge argumentele atunci când autoritatea de supraveghere principală le consideră nefondate, fie pentru a-și completa și reformula constatările, atât în fapt, cât și în drept, în sprijinul argumentelor pe care le menține. De exemplu, luarea în considerare a unui argument invocat de o parte investigată în cursul procedurii administrative, fără ca acesteia să i se fi oferit posibilitatea de a-și exprima o opinie în această privință înainte de adoptarea deciziei finale, nu poate constitui în sine o încălcare a dreptului la apărare.

(48)

Prezentul regulament prevede norme pentru situațiile în care dreptul intern impune autorității de supraveghere principale să se implice în proceduri interne ulterioare legate de același caz, cum ar fi procedurile de recurs administrativ.

(49)

Părților investigate ar trebui să li se acorde dreptul de a fi ascultate înainte de prezentarea unui proiect revizuit de decizie în temeiul articolului 60 alineatul (5) din Regulamentul (UE) 2016/679 sau înainte de adoptarea unei decizii obligatorii de către comitet în temeiul articolului 65 alineatul (1) litera (a) din regulamentul respectiv. Printre elementele juridice noi se numără obiecții pertinente și motivate în cazul în care obiecțiile respective cuprind alte evaluări juridice decât cele propuse de autoritatea de supraveghere principală în proiectul de decizie transmis în temeiul articolului 60 alineatul (4) din Regulamentul (UE) 2016/679.

(50)

Reclamanților ar trebui să li se ofere posibilitatea de a fi asociați la procedurile inițiate de o autoritate de supraveghere în vederea identificării sau a clarificării aspectelor legate de o posibilă încălcare a Regulamentului (UE) 2016/679. Faptul că o autoritate de supraveghere a inițiat deja o investigație cu privire la obiectul plângerii sau că va trata plângerea în cadrul unei investigații din oficiu după primirea acesteia nu împiedică încadrarea unei persoane vizate drept reclamant. O investigație efectuată de o autoritate de supraveghere cu privire la o posibilă încălcare a Regulamentului (UE) 2016/679 de către un operator sau o persoană împuternicită de operator este o procedură inițiată de o autoritate de supraveghere, din proprie inițiativă sau în temeiul unei plângeri, în vederea îndeplinirii sarcinilor care îi revin în temeiul articolului 57 alineatul (1) din regulamentul respectiv. Părțile investigate și reclamantul nu se află în aceeași situație procedurală și este esențial să se garanteze dreptul la apărare al părții investigate. Părțile investigate și reclamantul pot invoca dreptul fundamental de a fi ascultați atunci când decizia le afectează negativ situația juridică.

(51)

Reclamanților ar trebui să li se ofere posibilitatea de a prezenta în scris opinii cu privire la constatările preliminare, în măsura în care opiniile respective se referă la plângerea lor privind prelucrarea datelor lor cu caracter personal. Totuși, aceștia nu ar trebui să aibă acces la secretele comerciale sau la alte informații confidențiale care aparțin părților investigate sau unor terți.

(52)

Atunci când stabilesc termenele în care părțile investigate și reclamanții trebuie să își prezinte opiniile cu privire la constatările preliminare, este important ca autoritățile de supraveghere să țină seama de complexitatea problemelor ridicate în constatările preliminare, pentru a se asigura că părțile investigate și reclamanții au suficient timp să își prezinte în mod judicios opiniile cu privire la problemele ridicate.

(53)

Schimbul de opinii între autoritățile de supraveghere înainte de prezentarea unui proiect de decizie implică un dialog deschis și un schimb de opinii amplu, în cadrul căruia autoritățile de supraveghere ar trebui să facă tot posibilul pentru a ajunge la un consens cu privire la calea de urmat în cadrul unei investigații. În schimb, dezacordul exprimat în cadrul obiecțiilor relevante și motivate formulate în temeiul articolului 60 alineatul (4) din Regulamentul (UE) 2016/679, care implică posibilitatea recurgerii la mecanismul de soluționare a litigiilor dintre autoritățile de supraveghere prevăzut la articolul 65 din regulamentul respectiv și întârzie adoptarea unei decizii finale de către autoritatea de supraveghere competentă, ar trebui să survină numai în cazul în care autoritățile de supraveghere nu reușesc să ajungă la un consens și, dacă este necesar, pentru a se asigura interpretarea consecventă a Regulamentului (UE) 2016/679. Astfel de obiecții ar trebui să fie utilizate atunci când sunt în joc aspecte legate de asigurarea consecventă a respectării Regulamentului (UE) 2016/679.

(54)

În interesul încheierii eficiente și incluzive a procedurii de soluționare a litigiilor, în care toate autoritățile de supraveghere ar trebui să fie în măsură să își prezinte opiniile și ținând seama de constrângerile de timp aferente procedurii de soluționare a litigiilor, forma și structura obiecțiilor relevante și motivate ar trebui să îndeplinească anumite cerințe.

(55)

Accesul la dosarul administrativ este prevăzut ca parte a dreptului la apărare și a dreptului la bună administrare consacrate în Cartă. Părților investigate ar trebui să li se acorde acces la dosarul administrativ atunci când sunt notificate cu privire la constatările preliminare și ar trebui să fie stabilit termenul pentru transmiterea răspunsului lor scris la constatările preliminare.

(56)

Atunci când acordă acces la dosarul administrativ părților investigate și reclamantului, autoritățile de supraveghere ar trebui să asigure protecția secretelor comerciale și a altor informații confidențiale. Categoria „alte informații confidențiale” cuprinde informații, altele decât secretele comerciale, care pot fi considerate confidențiale în conformitate cu dreptul Uniunii și cu dreptul intern, în măsura în care dezvăluirea lor ar produce un prejudiciu grav unui operator, unei persoane împuternicite de operator sau unei persoane fizice sau juridice. Informațiile confidențiale ar trebui să se refere îndeosebi la informații care sunt cunoscute numai de un număr restrâns de persoane și a căror divulgare este de natură să aducă un prejudiciu important persoanei care le-a comunicat sau unor terți, iar interesele care ar putea fi lezate prin divulgarea respectivelor informații sunt, în mod obiectiv, demne de a fi protejate. Autoritățile de supraveghere ar trebui să poată solicita ca părțile investigate și care prezintă sau au prezentat documente sau declarații să identifice informațiile confidențiale.

(57)

Atunci când divulgarea secretelor comerciale sau a altor informații confidențiale este necesară pentru a dovedi o încălcare, autoritățile de supraveghere ar trebui să evalueze în mod proporțional pentru fiecare document în parte dacă nevoia de a-l divulga prevalează asupra prejudiciului care ar putea fi generat de divulgare.

(58)

Accesul la documentele incluse în dosarul administrativ pe baza accesului la documentele publice se acordă în conformitate cu dreptul intern al statelor membre. În acest sens, este important ca integritatea procesului decizional să fie protejată până la adoptarea deciziei finale de către autoritatea de supraveghere competentă.

(59)

Este important ca comitetul să faciliteze accesul la deciziile adoptate în conformitate cu mecanismele de cooperare și de asigurare a coerenței, prin punerea la dispoziție online, prin intermediul unor registre ușor accesibile, a textului deciziilor finale adoptate de autoritățile naționale de supraveghere. În conformitate cu dreptul intern aplicabil, autoritățile de supraveghere pot secretiza numele, orice altă informație care permite identificarea părților investigate sau a reclamantului și alte informații protejate în temeiul dreptului Uniunii și al dreptului intern aplicabil.

(60)

Este important ca punerea la dispoziția reclamantului a unei versiuni a deciziei finale în conformitate cu prezentul regulament să nu aducă atingere posibilității ca o autoritate de supraveghere să decidă dacă să facă publică decizia în cadrul competențelor sale corective.

(61)

Atunci când transmite o sesizare cu privire la un subiect în vederea soluționării prin procedura de soluționare a litigiilor prevăzută la articolul 65 din Regulamentul (UE) 2016/679, autoritatea de supraveghere principală ar trebui să comunice comitetului toate documentele și informațiile necesare pentru a permite acestuia să evalueze admisibilitatea obiecțiilor relevante și motivate și să adopte o decizie în temeiul articolului 65 alineatul (1) litera (a) din regulamentul respectiv. Odată ce comitetul primește toate documentele și informațiile necesare, președintele comitetului ar trebui să înregistreze sesizarea subiectului în conformitate cu articolul 65 alineatul (2) din Regulamentul (UE) 2016/679.

(62)

Decizia obligatorie a comitetului adoptată în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 ar trebui să se refere exclusiv la aspectele care au condus la declanșarea procedurii de soluționare a litigiilor și să fie redactată într-un mod care să permită autorității de supraveghere principale să își adopte decizia finală pe baza deciziei comitetului.

(63)

Pentru a raționaliza soluționarea litigiilor dintre autoritățile de supraveghere sesizate comitetului în temeiul articolului 65 alineatul (1) literele (b) și (c) din Regulamentul (UE) 2016/679, este necesar să se precizeze normele procedurale privind documentele și informațiile care trebuie să fie transmise comitetului și pe care comitetul ar trebui să își întemeieze decizia. De asemenea, este necesar să se precizeze momentul în care comitetul ar trebui să înregistreze transmiterea spre soluționare a chestiunii prin procedura de soluționare a litigiilor.

(64)

Pentru a raționaliza procedura de adoptare a avizelor de urgență și a deciziilor obligatorii urgente ale comitetului în temeiul articolului 66 alineatul (2) din Regulamentul (UE) 2016/679, este necesar să se specifice normele procedurale privind momentul introducerii cererilor privind un aviz de urgență sau o decizie obligatorie urgentă și documentele și informațiile care trebuie să fie transmise comitetului și pe care comitetul ar trebui să își întemeieze decizia.

(65)

Regulamentul (UE) 2016/679 prevede că persoana vizată are dreptul la o cale de atac judiciară eficientă în cazul în care o autoritate de supraveghere competentă nu tratează o plângere. Prezentul regulament nu creează noi căi de atac judiciare în plus față de cele deja stabilite prin Regulamentul (UE) 2016/679 și nici nu limitează aplicarea căilor de atac judiciare instituite prin regulamentul respectiv. Anumite dispoziții ale prezentului regulament au o importanță deosebită pentru transmiterea la timp a deciziei finale de către autoritățile de supraveghere atunci când tratează plângerile. Atunci când se stabilește dacă o autoritate de supraveghere a tratat o plângere, ar trebui să se analizeze dacă autoritatea de supraveghere a respectat anumite termene prevăzute în prezentul regulament și în Regulamentul (UE) 2016/679. Pentru a stabili acest lucru, este esențial să fie protejat dreptul reclamantului de a i se trata plângerea într-un termen rezonabil. Dispozițiile prezentului regulament nu aduc atingere posibilității de a prevedea căi de atac în dreptul intern pentru partea investigată, având în vedere dreptul său de a beneficia de un tratament într-un termen rezonabil.

(66)

Aplicarea prezentului regulament necesită instrumente digitale adecvate care să sprijine schimbul rapid și securizat de informații. Este important să fie disponibil un instrument electronic comun și securizat adecvat pentru toate autoritățile de protecție a datelor, ținând seama de experiența dobândită în utilizarea instrumentelor existente. De asemenea, este important să se pună la dispoziție resursele necesare pentru punerea în aplicare a unui astfel de instrument electronic și ca un astfel de instrument să faciliteze colectarea și consolidarea de către comitet a statisticilor privind asigurarea respectării legii în cazurile referitoare la prelucrarea transfrontalieră.

(67)

Capitolele III și IV din prezentul regulament privesc cooperarea dintre autoritățile de supraveghere, la drepturile procedurale ale părților investigate și la implicarea reclamanților. Pentru a asigura securitatea juridică, dispozițiile respective nu ar trebui să se aplice investigațiilor în curs la momentul intrării în vigoare a prezentului regulament. Acestea ar trebui să se aplice investigațiilor din oficiu deschise după 15 luni de la data intrării în vigoare a prezentului regulament și investigațiilor întemeiate pe plângeri care au fost depuse după 15 luni de la data intrării în vigoare a prezentului regulament. Capitolele V și VI din prezentul regulament prevăd norme procedurale pentru cazurile transmise spre soluționare prin procedura de soluționare a litigiilor în temeiul articolului 65 din Regulamentul (UE) 2016/679 și pentru cererile privind un aviz de urgență sau o decizie obligatorie urgentă prevăzute la articolul 66 din Regulamentul (UE) 2016/679. Din motive de securitate juridică, capitolele respective nu ar trebui să se aplice cazurilor transmise spre soluționare prin procedura de soluționare a litigiilor înainte de intrarea în vigoare a prezentului regulament. Acestea ar trebui să se aplice tuturor cazurilor transmise spre soluționare prin procedura de soluționare a litigiilor după 15 luni de la data intrării în vigoare a prezentului regulament.

(68)

Autoritatea Europeană pentru Protecția Datelor și Comitetul european pentru protecția datelor au fost consultate în conformitate cu articolul 42 alineatele (1) și (2) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (4) și au emis un aviz comun la 19 septembrie 2023,

ADOPTĂ PREZENTUL REGULAMENT:

CAPITOLUL I

DISPOZIȚII GENERALE

Articolul 1

Obiect și domeniu de aplicare

Prezentul regulament stabilește norme procedurale pentru tratarea plângerilor și desfășurarea investigațiilor în cazurile întemeiate pe plângeri și în cele inițiate din oficiu de către autoritățile de supraveghere în contextul asigurării respectării Regulamentului (UE) 2016/679 atunci când cazurile respective au legătură cu prelucrarea transfrontalieră. Tratarea plângerilor și desfășurarea investigațiilor în cazurile privind prelucrarea transfrontalieră includ stabilirea faptului dacă un caz se referă la prelucrarea transfrontalieră.

Articolul 2

Definiții

În sensul prezentului regulament, se aplică definițiile de la articolul 4 din Regulamentul (UE) 2016/679.

De asemenea, se aplică următoarea definiție:

„parte investigată” înseamnă operatorul sau persoana împuternicită de operator investigată pentru presupusa încălcare a Regulamentului (UE) 2016/679 care se referă la prelucrarea transfrontalieră.

Articolul 3

Principii privind asigurarea respectării Regulamentului (UE) 2016/679 în cazuri care au legătură cu prelucrarea transfrontalieră

(1)   Autoritățile de supraveghere desfășoară procedurile care intră în domeniul de aplicare al prezentului regulament în mod rapid și eficient. Acestea cooperează în mod sincer și eficace, inclusiv prin acordarea de sprijin, dacă este necesar, și răspunzând fără întârziere solicitărilor celeilalte părți.

(2)   O autoritate de supraveghere poate conexa și separa proceduri în conformitate cu dreptul procedural intern, în măsura în care acest lucru nu subminează drepturile părților investigate sau pe cele ale reclamantului.

(3)   Reclamantul are posibilitatea de a comunica exclusiv cu autoritatea de supraveghere la care a depus plângerea în temeiul articolului 77 din Regulamentul (UE) 2016/679.

(4)   Tratarea unei plângeri conduce întotdeauna la adoptarea unei decizii care poate face obiectul unei căi de atac judiciare eficiente în sensul articolului 78 din Regulamentul (UE) 2016/679.

(5)   În interesul eficienței procedurilor, autoritățile de supraveghere pot limita amploarea documentelor transmise de partea investigată și de reclamant, ținând seama de complexitatea cazului și de documentele care au fost deja prezentate.

CAPITOLUL II

DEPUNEREA PLÂNGERILOR ȘI SOLUȚIONAREA TIMPURIE

Articolul 4

Plângeri privind prelucrarea transfrontalieră

(1)   O plângere depusă în temeiul Regulamentului (UE) 2016/679 privind prelucrarea transfrontalieră este admisibilă cu condiția să includă următoarele informații:

(a)

numele și datele de contact ale persoanei care depune plângerea;

(b)

în cazul în care plângerea este depusă de un organism, o organizație sau o asociație fără scop lucrativ astfel cum se menționează la articolul 80 din Regulamentul (UE) 2016/679, dovada că organismul, organizația sau asociația a fost constituită în mod corespunzător în conformitate cu dreptul unui stat membru;

(c)

în cazul în care plângerea este depusă în temeiul articolului 80 alineatul (1) din Regulamentul (UE) 2016/679, denumirea și datele de contact ale organismului, organizației sau asociației fără scop lucrativ care depune plângerea, precum și dovada că organismul, organizația sau asociația respectivă acționează pe baza mandatului din partea unei persoane vizate;

(d)

informațiile care înlesnesc identificarea operatorului sau a persoanei împuternicite de operator care face obiectul plângerii;

(e)

o descriere a presupusei încălcări a Regulamentului (UE) 2016/679.

Nu sunt necesare informații suplimentare față de cele menționate la primul paragraf pentru ca o plângere privind prelucrarea transfrontalieră să fie admisibilă.

Se aplică în continuare modalitățile și cerințele administrative prevăzute în dreptul procedural intern al autorității de supraveghere la care a fost depusă plângerea.

(2)   În cazul în care autoritatea de supraveghere la care a fost depusă o plângere stabilește că plângerea nu conține informațiile menționate la alineatul (1) primul paragraf, aceasta declară plângerea inadmisibilă în termen de două săptămâni de la primirea plângerii respective și informează reclamantul cu privire la motivele inadmisibilității.

(3)   Reclamantul nu ar trebui să aibă obligația de a contacta, înainte de a depune plângerea, partea investigată pentru ca plângerea respectivă să fie admisibilă.

Fără a aduce atingere primului paragraf, în cazul în care o plângere se referă la exercitarea unui drept al persoanei vizate care se întemeiază pe transmiterea unei cereri operatorului de către persoana vizată, cererea respectivă se transmite operatorului înainte de depunerea plângerii respective.

(4)   Autoritatea de supraveghere la care a fost depusă plângerea stabilește, printr-o concluzie preliminară:

(a)

dacă plângerea se referă la prelucrarea transfrontalieră;

(b)

care este autoritatea de supraveghere care se presupune că este competentă să acționeze în calitate de autoritate de supraveghere principală în conformitate cu articolul 56 alineatul (1) din Regulamentul (UE) 2016/679; și

(c)

dacă se aplică articolul 56 alineatul (2) din Regulamentul (UE) 2016/679.

(5)   În cazul în care o plângere care se referă la prelucrarea transfrontalieră este admisibilă și în absența unei soluționări timpurii în temeiul articolului 5, autoritatea de supraveghere la care a fost depusă plângerea transmite plângerea respectivă autorității de supraveghere despre care presupune că este competentă să acționeze în calitate de autoritate de supraveghere principală în termen de cel mult șase săptămâni de la primirea plângerii respective și informează reclamantul cu privire la transmiterea respectivă.

Stabilirea admisibilității unei plângeri de către autoritatea de supraveghere la care a fost depusă plângerea respectivă este obligatorie pentru autoritatea de supraveghere principală.

(6)   În termen de șase săptămâni de la primirea unei plângeri, autoritatea de supraveghere care se presupune că este competentă să acționeze în calitate de autoritate de supraveghere principală își confirmă competența sau, în cazul în care există opinii divergente cu privire la care dintre celelalte autorități de supraveghere vizate este competentă pentru sediul principal, sesizează Comitetul european pentru protecția datelor (denumit în continuare „comitetul”) în vederea soluționării litigiilor în temeiul articolului 65 alineatul (1) litera (b) din Regulamentul (UE) 2016/679.

În cazul în care autoritatea de supraveghere care se presupune că este competentă să acționeze în calitate de autoritate de supraveghere principală nu își confirmă competența sau nu sesizează comitetul cu privire la acest subiect în termenul menționat la primul paragraf, autoritatea de supraveghere la care a fost depusă plângerea sesizează comitetul în vederea soluționării litigiilor în temeiul articolului 65 alineatul (1) litera (b) din Regulamentul (UE) 2016/679.

(7)   Fără a aduce atingere admisibilității sale, autoritatea de supraveghere la care a fost depusă o plângere sau autoritatea de supraveghere principală poate solicita reclamantului să prezinte informații suplimentare pentru a facilita tratarea plângerii respective și pentru a permite investigarea completă a acesteia.

(8)   Autoritatea de supraveghere principală informează fără întârziere partea investigată cu privire la depunerea unei plângeri și la principalele sale elemente.

Articolul 5

Soluționarea timpurie

(1)   O plângere privind prelucrarea transfrontalieră care are ca obiect exercitarea drepturilor persoanei vizate în temeiul capitolului III din Regulamentul (UE) 2016/679 poate fi soluționată, după caz, printr-o procedură de soluționare timpurie de către:

(a)

autoritatea de supraveghere la care a fost depusă plângerea, după ce a stabilit, prin intermediul unei concluzii preliminare, că plângerea se referă la prelucrarea transfrontalieră și înainte de posibila transmitere a plângerii către autoritatea de supraveghere care se presupune că este competentă să acționeze în calitate de autoritate de supraveghere principală; sau

(b)

autoritatea de supraveghere principală căreia i-a fost transmisă plângerea, în orice moment înainte de transmiterea constatărilor preliminare celorlalte autorități de supraveghere vizate în temeiul articolului 19 din prezentul regulament sau, în cazul în care se aplică procedura de cooperare simplă menționată la articolul 6 din prezentul regulament, înainte de prezentarea proiectului de decizie.

Autoritățile de supraveghere pot încuraja și facilita soluționarea timpurie a plângerilor și pot comunica cu partea investigată sau cu reclamantul în acest scop, după caz.

(2)   În scopul soluționării timpurii, în cazul în care autoritatea de supraveghere menționată la alineatul (1) primul paragraf litera (a) sau (b) stabilește, pe baza unor dovezi, că presupusa încălcare a încetat, aceasta consideră plângerea lipsită de obiect.

Atunci când plângerea este considerată ca fiind lipsită de obiect, autoritatea de supraveghere menționată la alineatul (1) primul paragraf litera (a) sau (b) informează reclamantul, într-un limbaj clar și concis, cu privire la:

(a)

faptul că încălcarea a încetat și ca atare plângerea este considerată ca fiind lipsită de obiect;

(b)

consecințele soluționării timpurii; și

(c)

posibilitatea reclamantului de a prezenta o obiecție la soluționarea timpurie, în termen de patru săptămâni de la primirea informațiilor respective.

(3)   În cadrul unei proceduri în fața autorității de supraveghere la care a fost depusă o plângere, în cazul în care reclamantul nu prezintă o obiecție în termenul prevăzut la alineatul (2) al doilea paragraf litera (c), autoritatea de supraveghere respectivă stabilește, în termen de două săptămâni de la expirarea termenului respectiv, că plângerea a fost soluționată și informează reclamantul, partea investigată și, după caz, autoritatea de supraveghere principală cu privire la soluționarea respectivă.

(4)   În cadrul unei proceduri în fața autorității de supraveghere principale căreia i-a fost transmisă plângerea, în cazul în care reclamantul nu prezintă o obiecție în termenul prevăzut la alineatul (2) al doilea paragraf litera (c) de la prezentul articol, autoritatea de supraveghere principală respectivă prezintă un proiect de decizie în conformitate cu articolul 60 alineatul (3) din Regulamentul (UE) 2016/679 în termen de patru săptămâni de la expirarea termenului respectiv, în vederea adoptării unei decizii finale în conformitate cu articolul 60 alineatul (7) din Regulamentul (UE) 2016/679, prin care se stabilește că plângerea a fost soluționată.

(5)   Soluționarea timpurie a unei plângeri nu aduce atingere exercitării de către autoritatea de supraveghere principală a competențelor prevăzute la articolul 58 din Regulamentul (UE) 2016/679 cu privire la același obiect.

(6)   Articolele 10-20 nu se aplică plângerilor soluționate în temeiul prezentului articol.

CAPITOLUL III

COOPERAREA ÎN TEMEIUL ARTICOLULUI 60 DIN REGULAMENTUL (UE) 2016/679

SECȚIUNEA 1

COOPERAREA SIMPLĂ

Articolul 6

Procedura de cooperare simplă

(1)   Odată ce autoritatea de supraveghere principală și-a format o opinie preliminară cu privire la principalele aspecte ale unei investigații, aceasta poate coopera cu celelalte autorități de supraveghere vizate printr-o procedură simplă de cooperare, în conformitate cu prezentul articol, în cazul în care:

(a)

consideră că nu există nicio îndoială rezonabilă în ceea ce privește domeniul de aplicare al investigației, în special cu privire la dispozițiile Regulamentului (UE) 2016/679 vizate de presupusa încălcare care urmează să fie investigată; și

(b)

elementele de drept și materiale identificate de autoritatea de supraveghere principală nu necesită cooperarea suplimentară cu celelalte autorități de supraveghere vizate care ar fi necesară în scopul unei investigații complexe, în special în cazul în care aceste elemente pot fi abordate pe baza unor decizii anterioare în cazuri similare.

În cazul în care autoritatea de supraveghere principală aplică procedura de cooperare simplă menționată la primul paragraf, nu se aplică articolele 10, 11, 16, 19, 20, articolul 23 alineatul (1) literele (a) și (b) și articolul 23 alineatul (2) din prezentul regulament. Autoritatea de supraveghere principală prezintă un proiect de decizie în conformitate cu articolul 60 alineatul (3) din Regulamentul (UE) 2016/679 în termenul menționat la articolul 12 alineatul (6) din prezentul regulament.

(2)   Autoritatea de supraveghere principală notifică celorlalte autorități de supraveghere vizate intenția sa de a aplica procedura de cooperare simplă și comunică informații cu privire la caracteristicile cazului relevant pentru a stabili dacă au fost îndeplinite condițiile prevăzute la alineatul (1) de la prezentul articol, în termen de șase săptămâni de la confirmarea de către autoritatea de supraveghere principală a competenței sale în temeiul articolului 4 alineatul (6) din prezentul regulament sau de la adoptarea unei decizii obligatorii de către comitet în temeiul articolului 65 alineatul (1) litera (b) din Regulamentul (UE) 2016/679.

(3)   În cazul în care oricare dintre celelalte autorități de supraveghere vizate formulează obiecții cu privire la aplicarea procedurii de cooperare simplă în termen de două săptămâni de la notificarea acesteia, procedura respectivă nu se aplică, iar autoritatea de supraveghere principală elaborează un rezumat al aspectelor-cheie în conformitate cu articolul 10 și cooperează cu celelalte autorități de supraveghere vizate în cadrul procedurilor prevăzute în capitolul III.

(4)   Atunci când aplică procedura de cooperare simplă, autoritatea de supraveghere principală se asigură, înainte de prezentarea unui proiect de decizie, că, după caz, părților investigate li se acordă dreptul de a fi audiate și că reclamantului i se oferă posibilitatea de a-și face cunoscute punctele de vedere. În sensul prezentului alineat, se aplică în continuare modalitățile și cerințele administrative prevăzute în dreptul procedural intern al autorității de supraveghere principale sau al autorității de supraveghere la care a fost depusă plângerea, după caz.

(5)   Capitolul III nu se aplică cazurilor tratate de autoritatea de supraveghere vizată în temeiul articolului 56 alineatul (2) din Regulamentul (UE) 2016/679.

SECȚIUNEA 2

AJUNGEREA LA UN CONSENS ÎN SENSUL ARTICOLULUI 60 ALINEATUL (1) DIN REGULAMENTUL (UE) 2016/679

Articolul 7

Conferirea sau limitarea drepturilor

Dispozițiile din prezenta secțiune se referă la cooperarea dintre autoritățile de supraveghere și nu conferă drepturi persoanelor fizice sau părților investigate sau nu limitează drepturile acestora.

Articolul 8

Cooperarea dintre autoritățile de supraveghere

Atunci când cooperează între ele în încercarea de a ajunge la un consens, astfel cum se prevede la articolul 60 alineatul (1) din Regulamentul (UE) 2016/679, autoritățile de supraveghere pot să utilizeze toate mijloacele prevăzute în regulamentul respectiv, inclusiv asistența reciprocă, în temeiul articolului 61 din regulamentul respectiv și operațiunile comune, în temeiul articolului 62 din regulamentul respectiv.

Articolul 9

Informațiile relevante care fac obiectul schimbului între autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate

(1)   Autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate fac schimb de informații relevante menționate la articolul 60 alineatele (1) și (3) din Regulamentul (UE) 2016/679. Respectivele informații includ, după caz:

(a)

informațiile privind deschiderea unei investigații privind o presupusă încălcare a Regulamentului (UE) 2016/679;

(b)

cererile de informații în temeiul articolului 58 alineatul (1) litera (e) din Regulamentul (UE) 2016/679 și documentele aferente care rezultă din cererile respective;

(c)

informațiile privind utilizarea altor competențe de investigare menționate la articolul 58 alineatul (1) din Regulamentul (UE) 2016/679 și documentele aferente care rezultă din exercitarea competențelor de investigare respective;

(d)

în cazul în care se are în vedere respingerea sau refuzul, integral sau parțial, al unei plângeri, motivele pentru care autoritatea de supraveghere principală respinge sau refuză plângerea;

(e)

informațiile privind soluționarea timpurie a unei plângeri în temeiul articolului 5 din prezentul regulament;

(f)

rezumatul aspectelor-cheie și observațiile cu privire la rezumatul menționat la articolul 10 din prezentul regulament;

(g)

informațiile privind domeniul de aplicare al investigației;

(h)

informațiile privind evoluțiile sau constatările care ar putea duce la modificarea domeniului de aplicare al investigației sau la deschiderea unei noi investigații;

(i)

informațiile privind etapele care trebuie parcurse și analiza juridică efectuată pentru a se stabili existența unei încălcări a Regulamentului (UE) 2016/679 înainte de formularea constatărilor preliminare și înainte de elaborarea proiectului de decizie;

(j)

constatările preliminare;

(k)

răspunsurile părților investigate la constatările preliminare;

(l)

opiniile reclamantului cu privire la versiunea neconfidențială a constatărilor preliminare și, dacă prezintă importanță, cu privire la alte aspecte ale investigației cu privire la care reclamantul ar fi putut prezenta observații oficiale scrise;

(m)

în cazul respingerii sau refuzului, integral sau parțial, al unei plângeri, observațiile scrise ale reclamantului;

(n)

informațiile privind orice măsuri relevante luate de autoritatea de supraveghere principală după primirea răspunsurilor părților investigate la constatările preliminare și înainte de prezentarea unui proiect de decizie menționat la articolul 60 alineatul (3) din Regulamentul (UE) 2016/679;

(o)

opiniile părților investigate privind un proiect revizuit de decizie;

(p)

orice alte informații considerate utile și relevante pentru investigație.

(2)   În cursul investigației, autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate fac schimb de informații menționate la alineatul (1) de la prezentul articol cât mai curând posibil și nu mai târziu de o săptămână de la data la care aceste informații devin disponibile, cu excepția cazului în care se prevede altfel în prezentul regulament sau în Regulamentul (UE) 2016/679.

(3)   Comitetul poate specifica modalitățile și cerințele pentru schimbul de informații relevante între autoritățile de supraveghere.

Articolul 10

Rezumatul aspectelor-cheie

(1)   Odată ce autoritatea de supraveghere principală a formulat o opinie preliminară privind principalele aspecte ale unei investigații, aceasta întocmește un rezumat al aspectelor-cheie în scopul cooperării în temeiul articolului 60 alineatul (1) din Regulamentul (UE) 2016/679.

(2)   Rezumatul aspectelor-cheie include următoarele:

(a)

principalele fapte relevante;

(b)

o identificare preliminară a domeniului de aplicare al investigației, în special a dispozițiilor Regulamentului (UE) 2016/679 vizate de presupusa încălcare care urmează să fie investigată;

(c)

elementele de drept și materiale identificate;

(d)

o analiză a opiniilor relevante exprimate de partea investigată sau de reclamant, în cazul în care opiniile respective sunt disponibile la momentul redactării rezumatului aspectelor-cheie;

(e)

după caz, identificarea preliminară a măsurilor corective potențiale.

(3)   Autoritatea de supraveghere principală pune fără întârziere la dispoziția celorlalte autorități de supraveghere vizate rezumatul aspectelor-cheie, în termen de trei luni de la confirmarea de către autoritatea de supraveghere principală a competenței sale în temeiul articolului 4 alineatul (6) din prezentul regulament sau de la adoptarea unei decizii obligatorii de către comitet în temeiul articolului 65 alineatul (1) litera (b) din Regulamentul (UE) 2016/679.

(4)   Autoritățile de supraveghere vizate pot prezenta observații privind rezumatul aspectelor-cheie în termen de patru săptămâni de la primirea rezumatului respectiv. Autoritatea de supraveghere principală poate prelungi perioada respectivă cu două săptămâni din cauza complexității cazului sau la cererea celorlalte autorități de supraveghere vizate.

(5)   În cazul în care autoritățile de supraveghere vizate prezintă observații în temeiul alineatului (4), observațiile respective se pun la dispoziția tuturor celorlalte autorități de supraveghere vizate. Autoritatea de supraveghere principală răspunde la observațiile respective în termen de patru săptămâni de la expirarea termenului menționat la alineatul (4) indicând dacă și în ce mod intenționează să le ia în considerare. Autoritatea de supraveghere principală poate prelungi perioada respectivă cu două săptămâni din cauza complexității cazului.

(6)   Atunci când transferă cazul autorității de supraveghere principale, autoritatea de supraveghere la care a fost depusă plângerea poate comunica autorității de supraveghere principale informații relevante pentru elaborarea rezumatului aspectelor-cheie.

(7)   Comitetul poate specifica modalitățile și cerințele pentru transmiterea observațiilor de către autoritățile de supraveghere vizate cu privire la rezumatul aspectelor-cheie.

Articolul 11

Utilizarea mijloacelor care permit ajungerea la un consens

(1)   În temeiul articolului 60 alineatul (1) din Regulamentul (UE) 2016/679, autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate depun eforturi pentru a ajunge la un consens privind cazurile care vizează prelucrarea transfrontalieră, în conformitate cu prezentul articol, și pot utiliza toate mijloacele prevăzute în Regulamentul (UE) 2016/679, inclusiv asistența reciprocă în temeiul articolului 61 din Regulamentul (UE) 2016/679 și operațiunile comune în temeiul articolului 62 din regulamentul respectiv.

(2)   În cazul în care o autoritate de supraveghere vizată nu este de acord cu autoritatea de supraveghere principală și în absența unui consens, respectiva autoritate de supraveghere poate adresa autorității de supraveghere principale o cerere de asistență reciprocă în temeiul articolului 61 din Regulamentul (UE) 2016/679 sau poate solicita autorității de supraveghere principale să desfășoare operațiuni comune în temeiul articolului 62 din regulamentul respectiv, sau ambele, pentru a ajunge la un consens cu privire la următoarele:

(a)

domeniul de aplicare al investigației în cazurile întemeiate pe plângeri, în special la dispozițiile Regulamentului (UE) 2016/679 care sunt vizate de presupusa încălcare ce urmează să fie investigată;

(b)

elementele de drept sau materiale menționate la articolul 10 alineatul (2) litera (c) din prezentul regulament, după caz;

(c)

identificarea preliminară a măsurilor corective potențiale, în conformitate cu articolul 10 alineatul (2) litera (e) din prezentul regulament.

(3)   O cerere în temeiul alineatului (2) de la prezentul articol se transmite în termen de o lună de la expirarea termenului menționat la articolul 10 alineatul (5).

(4)   În cazul în care se formulează o cerere de desfășurare a unor operațiuni comune în temeiul articolului 62 din Regulamentul (UE) 2016/679 în conformitate cu alineatul (2) de la prezentul articol, autoritatea de supraveghere principală răspunde cererii respective în termen de o lună de la primirea acesteia.

(5)   Autoritatea de supraveghere principală inițiază un dialog cu celelalte autorități de supraveghere vizate pe baza observațiilor prezentate de acestea privind rezumatul aspectelor-cheie și, după caz, ca răspuns la cererile formulate în temeiul articolelor 61 și 62 din Regulamentul (UE) 2016/679, în încercarea de a ajunge la un consens. Consensul cu privire la aspectele menționate la alineatul (2) de la prezentul articol servește drept bază pentru ca autoritatea de supraveghere principală să continue investigația și să elaboreze constatările preliminare sau, după caz, să transmită autorității de supraveghere la care a fost depusă plângerea motivele în sensul articolului 16 alineatul (1) din prezentul regulament.

(6)   În cazul în care, în cadrul unei investigații întemeiate pe o plângere, în conformitate cu procedurile prevăzute la articolul 10 alineatul (5) din prezentul regulament și la alineatul (5) de la prezentul articol, nu există un consens între autoritatea de supraveghere principală și una sau mai multe dintre celelalte autorități de supraveghere vizate cu privire la identificarea preliminară a domeniului de aplicare al investigației menționate la articolul 10 alineatul (2) litera (b) din prezentul regulament, se consideră că sunt îndeplinite condițiile pentru solicitarea unei decizii obligatorii urgente în temeiul articolului 66 alineatul (3) din Regulamentul (UE) 2016/679, iar autoritatea de supraveghere principală solicită comitetului o decizie obligatorie urgentă în temeiul articolului 66 alineatul (3) din Regulamentul (UE) 2016/679.

(7)   Atunci când solicită comitetului o decizie obligatorie urgentă în temeiul alineatului (6) de la prezentul articol, autoritatea de supraveghere principală pune la dispoziția comitetului următoarele:

(a)

informațiile menționate la articolul 10 alineatul (2);

(b)

observațiile celorlalte autorități de supraveghere vizate care nu sunt de acord cu identificarea preliminară a domeniului de aplicare al investigației de către autoritatea de supraveghere principală;

(c)

schimburile suplimentare de informații dintre autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate, în temeiul articolului 10 alineatul (5) și al articolului 11 alineatul (5);

(d)

orice alte documente sau informații relevante, solicitate de comitet.

(8)   Comitetul adoptă o decizie obligatorie urgentă privind domeniul de aplicare al investigației pe baza tuturor informațiilor primite.

Articolul 12

Termenele pentru prezentarea unui proiect de decizie

(1)   Autoritatea de supraveghere principală prezintă un proiect de decizie în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679 în termen de 15 luni de la confirmarea de către autoritatea de supraveghere principală a competenței sale în temeiul articolului 4 alineatul (6) din prezentul regulament sau de la adoptarea unei decizii obligatorii de către comitet în temeiul articolului 65 alineatul (1) litera (b) din Regulamentul (UE) 2016/679.

(2)   În cazul în care autoritatea de supraveghere principală formulează o cerere în temeiul articolului 11 alineatul (6), termenul menționat la alineatul (1) de la prezentul articol se suspendă până la adoptarea de către comitet a deciziei sale obligatorii.

(3)   În mod excepțional, autoritatea de supraveghere principală poate prelungi o singură dată termenul menționat la alineatul (1), pentru o perioadă de cel mult 12 luni, din cauza complexității cazului. Autoritatea de supraveghere principală informează celelalte autorități de supraveghere vizate cu privire la intenția sa de a prelungi termenul menționat la alineatul (1), precizând durata și motivele prelungirii preconizate, cu cel puțin patru săptămâni înainte de expirarea termenului menționat la alineatul (1).

(4)   Orice autoritate de supraveghere vizată poate prezenta o obiecție cu privire la prelungirea termenului în termen de două săptămâni de la data la care a fost informată cu privire la acest lucru în temeiul alineatului (3). Autoritatea respectivă prezintă motivele obiecției sale. Atunci când stabilește dacă să prelungească termenul menționat la alineatul (1) și, după caz, durata prelungirii respective, autoritatea de supraveghere principală ține seama în mod corespunzător de o astfel de obiecție.

(5)   În cazul în care autoritatea de supraveghere principală prelungește termenul menționat la alineatul (1) de la prezentul articol în conformitate cu alineatele (3) și (4) de la prezentul articol, orice altă autoritate de supraveghere vizată poate informa autoritatea de supraveghere principală că consideră că este necesar să se acționeze pentru a proteja drepturile și libertățile persoanelor vizate. În cazul în care autoritatea de supraveghere principală nu prezintă un proiect de decizie în termenul prelungit, o autoritate de supraveghere care a informat autoritatea de supraveghere principală cu privire la nevoia de a acționa pentru a proteja drepturile și libertățile persoanelor vizate poate adopta o măsură provizorie pe teritoriul statului său membru în conformitate cu articolul 55 din Regulamentul (UE) 2016/679. În acest caz, se consideră că sunt îndeplinite condițiile pentru nevoia urgentă de a acționa în temeiul articolului 66 alineatul (1) din Regulamentul (UE) 2016/679.

(6)   În cazul în care se aplică procedura de cooperare simplă în temeiul articolului 6 din prezentul regulament, autoritatea de supraveghere principală prezintă un proiect de decizie în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679 în termen de 12 luni de la confirmarea de către autoritatea de supraveghere principală a competenței sale în temeiul articolului 4 alineatul (6) din prezentul regulament sau de la adoptarea unei decizii obligatorii de către comitet în temeiul articolului 65 alineatul (1) litera (b) din Regulamentul (UE) 2016/679.

În cazul în care dreptul intern impune proceduri interne prealabile sau ulterioare care prevăd obligația prezentării unui proiect de decizie în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679 după expirarea termenului menționat la primul paragraf, autoritatea de supraveghere principală poate prelungi termenul respectiv o singură dată, pentru o perioadă de cel mult două luni. Într-un astfel de caz, autoritatea de supraveghere principală informează celelalte autorități de supraveghere vizate cu privire la prelungirea termenului, stabilind durata prelungirii respective, cu cel puțin două săptămâni înainte de expirarea termenului menționat la primul paragraf.

Articolul 13

Proceduri interne ulterioare

(1)   În cazul în care dreptul intern impune să fie deschise proceduri interne ulterioare referitoare la același caz după adoptarea unei decizii în temeiul articolului 18 sau 21, autoritatea de supraveghere principală:

(a)

nu elaborează un nou rezumat al aspectelor-cheie;

(b)

repetă etapele procedurale în conformitate cu articolul 16 sau cu articolele 19 și 20 numai în cazul în care evaluarea elementelor materiale sau de drept de către autoritatea de supraveghere principală diferă de o decizie anterioară adoptată în temeiul articolului 18 sau 21; și

(c)

prezintă un proiect de decizie înainte de adoptarea oricărei decizii ulterioare care diferă de o decizie anterioară adoptată în temeiul articolului 18 sau 21.

(2)   Termenele menționate la articolul 12 se aplică pentru prezentarea unui proiect de decizie în cadrul oricărei proceduri ulterioare menționate la alineatul (1) de la prezentul articol.

SECȚIUNEA 3

APLICAREA TERMENELOR

Articolul 14

Legalitatea și validitatea etapelor procedurale și decizia finală

În cazul în care prezentul regulament sau articolul 65 alineatul (6) din Regulamentul (UE) 2016/679 impune unei autorități de supraveghere să ia o măsură procedurală într-un anumit termen, luarea unei astfel de măsuri după expirarea termenului respectiv nu afectează legalitatea sau validitatea respectivei etape procedurale sau a deciziei finale.

Articolul 15

Termene și dreptul la o cale de atac judiciară eficientă

Pentru a stabili dacă o autoritate de supraveghere nu a tratat o plângere în conformitate cu articolul 78 alineatul (2) din Regulamentul (UE) 2016/679, se analizează dacă în termenul prevăzut în prezentul regulament sau la articolul 65 alineatul (6) din Regulamentul (UE) 2016/679, inclusiv orice eventuale prelungiri ale acestui termen, respectiva autoritate de supraveghere:

(a)

nu a prezentat un proiect de decizie sau un proiect de decizie revizuit; sau

(b)

nu a adoptat o decizie finală.

SECȚIUNEA 4

RESPINGEREA SAU REFUZUL, INTEGRAL SAU PARȚIAL, AL PLÂNGERILOR

Articolul 16

Procedura pentru respingerea sau refuzul, integral sau parțial, al unei plângeri în sensul articolului 60 alineatele (8) și (9) din Regulamentul (UE) 2016/679

(1)   În cazul în care autoritatea de supraveghere principală intenționează să respingă sau să refuze integral sau parțial o plângere, aceasta prezintă autorității de supraveghere la care a fost depusă plângerea, înainte de a transmite un proiect de decizie în temeiul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679, motivele care stau la baza opiniei sale preliminare conform căreia plângerea trebuie să fie respinsă sau refuzată integral sau parțial.

Autoritatea de supraveghere la care a fost depusă plângerea îl informează pe reclamant cu privire la motivele opiniei preliminare menționate în primul paragraf, îi oferă reclamantului posibilitatea de a-și face cunoscute opiniile în scris și îl informează pe reclamant cu privire la consecințele neprezentării opiniilor sale.

Autoritatea de supraveghere principală stabilește un termen adecvat pentru ca reclamantul să își facă cunoscute opiniile. Termenul respectiv nu poate fi mai scurt de trei săptămâni și nici mai lung de șase săptămâni.

(2)   Autoritatea de supraveghere la care a fost depusă plângerea transmite autorității de supraveghere principale toate opiniile făcute cunoscute de reclamant, cât mai curând posibil și în termen de cel mult o săptămână de la data la care acestea devin disponibile.

(3)   În cazul în care opiniile făcute cunoscute de reclamant în conformitate cu alineatul (1) de la prezentul articol nu conduc la o modificare a opiniei preliminare menționate la alineatul (1) primul paragraf de la prezentul articol, autoritatea de supraveghere principală, în cooperare cu autoritatea de supraveghere la care a fost depusă plângerea, pregătește un proiect de decizie și îl transmite celorlalte autorități de supraveghere vizate, în conformitate cu articolul 60 alineatul (3) din Regulamentul (UE) 2016/679.

(4)   În cazul în care în proiectul de decizie transmis în conformitate cu alineatul (3) se concluzionează că plângerea trebuie să fie parțial respinsă sau refuzată, autoritatea de supraveghere principală își continuă investigația în cooperare cu celelalte autorități de supraveghere vizate în ceea ce privește partea din plângere care rămâne de investigat.

Articolul 17

Proiect de decizie revizuit prin care se respinge sau se refuză, integral sau parțial, o plângere

În cazul în care autoritatea de supraveghere principală stabilește că proiectul de decizie revizuit, în sensul articolului 60 alineatul (5) din Regulamentul (UE) 2016/679, prin care se respinge sau se refuză, integral sau parțial, o plângere, cuprinde elemente noi cu privire la care reclamantul ar trebui să aibă posibilitatea de a-și face cunoscute opiniile, autoritatea de supraveghere la care a fost depusă plângerea îi oferă reclamantului, înainte de transmiterea proiectului de decizie revizuit, în temeiul articolului 60 alineatul (5) din Regulamentul (UE) 2016/679, posibilitatea de a-și face cunoscute opiniile cu privire la aceste noi elemente în conformitate cu articolul 16 din prezentul regulament.

Articolul 18

Decizie prin care se respinge sau se refuză, integral sau parțial, o plângere

Atunci când adoptă o decizie prin care se respinge sau se refuză, integral sau parțial, o plângere în conformitate cu articolul 60 alineatul (8) sau (9) din Regulamentul (UE) 2016/679, autoritatea de supraveghere la care a fost depusă plângerea îl informează pe reclamant privind calea de atac pe care o are la dispoziție în conformitate cu articolul 78 din Regulamentul (UE) 2016/679.

SECȚIUNEA 5

DECIZII ADRESATE PĂRȚILOR INVESTIGATE

Articolul 19

CONSTATĂRILE PRELIMINARE ȘI DREPTUL DE A FI ASCULTAT

(1)   În urma consultărilor și procedurilor prevăzute la articolele 10 și 11 din prezentul regulament, în cazul în care intenționează să prezinte celorlalte autorități de supraveghere vizate un proiect de decizie, în sensul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679, prin care se constată o încălcare a Regulamentului (UE) 2016/679, autoritatea de supraveghere principală elaborează constatări preliminare.

(2)   Constatările preliminare includ constatările investigației și prezintă acuzațiile formulate într-un mod exhaustiv și suficient de clar pentru a le permite părților investigate să ia cunoștință de comportamentul investigat de autoritatea de supraveghere principală. În special, constatările preliminare prezintă în mod clar toate faptele, lista probelor pe care se bazează și întreaga evaluare juridică invocată împotriva părților investigate, astfel încât acestea să își poată exprima opiniile privind faptele respective și concluziile juridice pe care autoritatea de supraveghere principală intenționează să le formuleze în proiectul de decizie în sensul articolului 60 alineatul (3) din Regulamentul (UE) 2016/679.

Constatările preliminare indică, pe baza informațiilor disponibile în stadiul respectiv și fără a aduce atingere opiniilor părților investigate, măsurile corective a căror utilizare este luată în considerare de autoritatea de supraveghere principală.

În cazul în care, pe baza informațiilor disponibile în stadiul respectiv și fără a aduce atingere opiniilor părților investigate, autoritatea de supraveghere principală are în vederea impunerea unei amenzi administrative în conformitate cu articolul 83 din Regulamentul (UE) 2016/679, aceasta indică în constatările preliminare principalele elemente de drept și de fapt de care are cunoștință și pe care intenționează să se bazeze pentru a decide dacă să impună o amendă administrativă, precum și pentru a decide cu privire la cuantumul amenzii, ținând seama de elementele care figurează la articolul 83 alineatul (2) din Regulamentul (UE) 2016/679, inclusiv de orice circumstanțe agravante sau atenuante pe care intenționează să le ia în considerare.

(3)   Autoritatea de supraveghere principală transmite constatările preliminare celorlalte autorități de supraveghere vizate. Aceste autorități pot prezenta autorității de supraveghere principale observații cu privire la constatările respective în termen de patru săptămâni de la transmiterea constatărilor preliminare celorlalte autorități de supraveghere vizate. La cererea uneia dintre celelalte autorități de supraveghere vizate, autoritatea de supraveghere principală prelungește acest termen cu două săptămâni.

(4)   Autoritatea de supraveghere principală notifică fiecăreia dintre părțile investigate constatările preliminare, astfel cum au fost modificate, dacă este cazul, pentru a ține seama de observațiile formulate de celelalte autorități de supraveghere vizate.

(5)   Atunci când notifică constatările preliminare părților investigate, autoritatea de supraveghere principală stabilește un termen adecvat, nu mai scurt de trei săptămâni și nici mai lung de șase săptămâni de la data notificării, în care părțile respective își pot prezenta opiniile în scris, sau organizează o audiere în același termen pentru a asculta opiniile părților investigate prezentate oral.

(6)   Atunci când notifică constatările preliminare părților investigate, autoritatea de supraveghere principală le oferă părților respective acces la dosarul administrativ în conformitate cu articolele 24 și 25.

(7)   În răspunsul lor la constatările preliminare, părțile investigate pot prezenta toate faptele și argumentele juridice pe care le cunosc și care sunt relevante pentru apărarea lor împotriva acuzațiilor formulate de autoritatea de supraveghere principală. Părțile anexează orice documente relevante care dovedesc faptele menționate. Autoritatea de supraveghere principală își întemeiază proiectul de decizie numai pe acuzațiile, pe faptele și evaluarea juridică bazată pe aceste fapte, cu privire la care părțile investigate au avut posibilitatea de a-și prezenta opiniile.

Articolul 20

Transmiterea constatărilor preliminare către reclamanți

(1)   În cazul în care autoritatea de supraveghere principală emite constatări preliminare referitoare la o chestiune cu privire la care a primit o plângere, autoritatea de supraveghere la care a fost depusă plângerea comunică reclamantului respectivele constatări preliminare, în conformitate cu normele privind accesul la dosarul administrativ și la informațiile confidențiale prevăzute la articolele 24 și 25, iar autoritatea de supraveghere principală stabilește un termen adecvat, nu mai scurt de trei săptămâni și nici mai lung de șase săptămâni, în care reclamantul își poate face cunoscute opiniile în scris.

(2)   În sensul alineatului (1), se aplică în continuare modalitățile și cerințele administrative prevăzute de dreptul procedural intern al autorității de supraveghere la care a fost depusă plângerea.

(3)   Alineatul (1) de la prezentul articol se aplică, de asemenea, în cazul în care autoritatea de supraveghere principală:

(a)

tratează o plângere în comun cu alte plângeri;

(b)

tratează separat o parte a unei plângeri; sau

(c)

modifică domeniul de aplicare al investigației în constatările preliminare în orice mod, inclusiv în urma unei decizii obligatorii a comitetului în conformitate cu articolul 11 alineatul (8).

Articolul 21

Adoptarea deciziei finale

(1)   După transmiterea proiectului de decizie celorlalte autorități de supraveghere vizate în conformitate cu articolul 60 alineatul (3) din Regulamentul (UE) 2016/679 și în cazul în care niciuna dintre celelalte autorități de supraveghere nu formulează obiecții cu privire la proiectul de decizie în termenele prevăzute la articolul 60 alineatul (4) sau (5) din Regulamentul (UE) 2016/679, după caz, autoritatea de supraveghere principală, în termen de o lună de la încheierea perioadei menționate la articolul 60 alineatul (4) sau (5) din Regulamentul (UE) 2016/679:

(a)

adoptă decizia sa menționată la articolul 60 alineatul (7) sau, după caz, la articolul 60 alineatul (9) din Regulamentul (UE) 2016/679; și

(b)

notifică decizia menționată la litera (a) sediului principal sau sediului unic al operatorului sau al persoanei împuternicite de operator, după caz.

(2)   Informațiile care sunt puse la dispoziția reclamantului în conformitate cu articolul 60 alineatele (7) și (9) din Regulamentul (UE) 2016/679 includ:

(a)

o versiune a deciziei adoptate care include dispozitivul acesteia în întregime și motivele deciziei respective care nu includ elemente considerate confidențiale în conformitate cu articolul 25 din prezentul regulament; sau

(b)

un rezumat al deciziei adoptate, inclusiv faptele și motivele relevante ale deciziei respective.

În orice caz, reclamantului i se pune la dispoziție, la cerere, o versiune a deciziei menționate în primul paragraf, care include dispozitivul acesteia în întregime și motivele deciziei respective care nu includ elemente considerate confidențiale în conformitate cu articolul 25 din prezentul regulament.

Modalitățile și cerințele administrative prevăzute de dreptul procedural intern al autorității de supraveghere principale continuă să se aplice.

Articolul 22

Dreptul de a fi ascultat în legătură cu proiectul de decizie revizuit prin care se constată o încălcare

(1)   În cazul în care autoritatea de supraveghere principală stabilește că proiectul de decizie revizuit, în sensul articolului 60 alineatul (5) din Regulamentul (UE) 2016/679, prin care se constată o încălcare a Regulamentului (UE) 2016/679, cuprinde elemente noi cu privire la care părțile investigate trebuie să aibă posibilitatea de a-și face cunoscute opiniile, autoritatea de supraveghere principală oferă părților investigate, înainte de prezentarea proiectului de decizie revizuit, în sensul articolului 60 alineatul (5) din Regulamentul (UE) 2016/679, posibilitatea de a-și face cunoscute opiniile cu privire la aceste elemente noi.

(2)   Autoritatea de supraveghere principală stabilește un termen adecvat, nu mai scurt de trei săptămâni și nici mai lung de șase săptămâni, în care părțile investigate își pot face cunoscute opiniile.

(3)   Autoritatea de supraveghere principală informează celelalte autorități de supraveghere vizate cu privire la opiniile exprimate de părțile investigate, cât mai curând posibil și în termen de cel mult o săptămână de la data la care acestea devin disponibile.

SECȚIUNEA 6

OBIECȚII RELEVANTE ȘI MOTIVATE

Articolul 23

Obiecții relevante și motivate

(1)   Orice obiecție relevantă și motivată, astfel cum este definită la articolul 4 punctul 24 din Regulamentul (UE) 2016/679:

(a)

se bazează pe elemente materiale și de drept incluse în proiectul de decizie sau în dosarul de cooperare;

(b)

nu privesc domeniul de aplicare al unei investigații în cazul în care niciuna dintre autoritățile de supraveghere vizate nu a formulat observații în conformitate cu articolul 10 alineatul (4) din prezentul regulament sau în cazul în care s-a ajuns la un consens în urma observațiilor primite, și nici domeniul de aplicare al unei investigații astfel cum este definit într-o decizie obligatorie a comitetului adoptată în temeiul articolului 11 alineatul (8) din prezentul regulament;

(c)

nu privesc un proiect de decizie adoptat în conformitate cu articolul 5 din prezentul regulament.

(2)   Prin derogare de la alineatul (1) litera (b), o autoritate de supraveghere vizată poate prezenta, în cazuri justificate corespunzător, obiecții relevante și motivate care privesc domeniul de aplicare al unei investigații menționate la alineatul (1) litera (b) dacă:

(a)

autoritatea de supraveghere principală nu a investigat toate elementele rezumatului aspectelor-cheie cu privire la care s-a ajuns la un consens în conformitate cu articolul 10 alineatul (5) sau cu articolul 11 alineatul (5), ori nu a respectat decizia obligatorie a comitetului adoptată în temeiul articolului 11 alineatul (8); sau

(b)

elemente noi, care nu erau disponibile la data ajungerii la un consens cu privire la rezumatul aspectelor-cheie în conformitate cu articolul 10 alineatul (5) sau cu articolul 11 alineatul (5), ori la data adoptării deciziei obligatorii a comitetului în temeiul articolului 11 alineatul (8), demonstrează existența unui risc semnificativ pe care proiectul de decizie îl prezintă în ceea ce privește drepturile și libertățile fundamentale ale persoanei vizate și, după caz, libera circulație a datelor cu caracter personal în cadrul Uniunii; sau ambele.

(3)   O obiecție relevantă și motivată trebuie să fie suficient de clară, coerentă și precisă și, dacă este necesar, să identifice elementele proiectului de decizie care urmează să fie modificate pentru a permite autorităților de supraveghere să își pregătească pozițiile și, dacă este cazul, pentru a permite comitetului să soluționeze litigiul în mod eficient.

CAPITOLUL IV

DOSARUL ADMINISTRATIV, DOSARUL DE COOPERARE ȘI TRATAREA INFORMAȚIILOR CONFIDENȚIALE

Articolul 24

Dosarul administrativ

(1)   Dosarul administrativ al unei investigații privind o presupusă încălcare a Regulamentului (UE) 2016/679 conține documentele care au fost obținute sau întocmite de autoritatea de supraveghere principală sau de celelalte autorități de supraveghere vizate și este întocmit de autoritatea de supraveghere principală în cursul procedurii de investigare, inclusiv toate probele incriminatoare și dezincriminatoare.

Dosarul administrativ nu include comunicări interne în cadrul unei autorități de supraveghere.

(2)   La cererea unei părți investigate sau a reclamantului în cazul în care decizia îi poate afecta interesele în mod negativ, autoritatea de supraveghere principală acordă acces la dosarul administrativ părților investigate sau reclamantului, permițându-le să își exercite dreptul de a fi ascultate.

Primul paragraf nu aduce atingere normelor mai favorabile privind acordarea accesului la dosarul administrativ în temeiul dreptului intern al autorității de supraveghere principale.

În cazul în care se acordă acces în conformitate cu primul paragraf, părții investigate i se acordă acest acces de către autoritatea de supraveghere principală, în timp ce reclamantului i se acordă acest acces de către autoritatea de supraveghere la care a fost depusă plângerea.

(3)   Indiferent dacă accesul se acordă în temeiul dreptului Uniunii sau al dreptului intern, este exclus accesul la următoarele documente sau părți ale următoarelor documente:

(a)

corespondența sau deliberările dintre autoritățile de supraveghere;

(b)

informațiile confidențiale în conformitate cu articolul 25 alineatul (1).

(4)   Autoritatea de supraveghere principală acordă acces la obiecțiile relevante și motivate, formulate în conformitate cu articolul 60 alineatul (4) din Regulamentul (UE) 2016/679, pe baza cărora autoritatea de supraveghere respectivă intenționează să adopte un proiect de decizie revizuit, numai dacă acest acces este necesar pentru a permite părților investigate sau reclamantului să își facă cunoscute opiniile și să își apere drepturile.

Articolul 25

Identificarea și protejarea informațiilor confidențiale

(1)   Orice informații, documente sau părți de documente sunt considerate confidențiale în măsura în care conțin secrete comerciale, astfel cum sunt definite în Directiva (UE) 2016/943 a Parlamentului European și a Consiliului (5), sau alte informații confidențiale în conformitate cu dreptul Uniunii sau cu dreptul intern.

(2)   Cu excepția cazului în care se prevede altfel în dreptul Uniunii sau în dreptul intern, informațiile colectate, produse sau obținute de o autoritate de supraveghere într-un caz privind prelucrarea transfrontalieră în temeiul Regulamentului (UE) 2016/679, care sunt considerate confidențiale potrivit alineatului (1), nu sunt comunicate sau puse la dispoziția unei părți care face obiectul unei investigații, a unui reclamant sau a oricărei persoane terțe.

(3)   O parte care face obiectul unei investigații, un reclamant sau o terță persoană care transmite informații pe care le consideră confidențiale identifică în mod clar informațiile respective, indicând motivele pentru solicitarea de confidențialitate. Partea investigată, reclamantul sau terța persoană comunică întotdeauna versiunea completă a informațiilor. Dacă este posibil, aceasta comunică, de asemenea, o propunere de versiune neconfidențială.

(4)   Fără a aduce atingere alineatului (3), autoritatea de supraveghere căreia îi sunt transmise informațiile poate cere părților investigate, sau oricărei alte persoane care prezintă documente, să identifice documentele sau părțile de documente care, din punctul lor de vedere, conțin secrete comerciale sau alte informații confidențiale care le aparțin și să identifice persoanele vizate în ceea ce privește confidențialitatea secretelor comerciale respective sau alte informații confidențiale.

(5)   Autoritatea de supraveghere căreia i se transmit informațiile stabilește un termen adecvat de cel mult șase săptămâni pentru ca părțile investigate și orice altă persoană care susține că informațiile transmise sunt confidențiale:

(a)

să își motiveze afirmațiile potrivit cărora informațiile transmise conțin secrete comerciale sau alte informații confidențiale pentru fiecare document sau parte de document și pentru fiecare declarație sau parte de declarație;

(b)

să propună, dacă este posibil, o versiune neconfidențială a documentelor și declarațiilor, în care secretele comerciale sau alte informații confidențiale sunt ocultate;

(c)

să prezinte o descriere concisă și neconfidențială a fiecărei informații ocultate.

(6)   În cazul în care părțile investigate sau orice altă persoană nu respectă dispozițiile alineatelor (4) și (5), autoritatea de supraveghere căreia îi sunt transmise informațiile poate presupune că documentele sau declarațiile în cauză nu conțin secrete comerciale sau alte informații confidențiale.

(7)   Autoritatea de supraveghere căreia i se transmit informațiile stabilește dacă informațiile sau părțile relevante și specifice ale documentelor sunt sau nu confidențiale, în conformitate cu alineatul (1). Aceasta se asigură că ocultarea documentelor se limitează la ceea ce este necesar și proporțional pentru a proteja informațiile confidențiale. Autoritatea de supraveghere căreia i se transmit informațiile informează celelalte autorități de supraveghere cu privire la caracterul confidențial al informațiilor la momentul transmiterii acestora.

(8)   Informațiile considerate confidențiale în temeiul dreptului intern al autorității de supraveghere căreia îi sunt transmise și care fac obiectul schimbului între autoritățile de supraveghere în temeiul Regulamentului (UE) 2016/679 continuă să fie tratate ca fiind confidențiale de către autoritatea de supraveghere care le primește.

Articolul 26

Dosarul de cooperare

(1)   În scopul schimbului de informații relevante între autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate în conformitate cu articolul 9, autoritatea de supraveghere principală se asigură că aceste informații relevante sunt puse la dispoziție prin intermediul unui dosar de cooperare dedicat fiecărei plângeri sau investigații. Dosarul de cooperare include toate informațiile care fac obiectul schimbului în temeiul articolului 9.

(2)   Dosarul de cooperare se păstrează în format electronic și, prin intermediul unui instrument electronic comun, este accesibil de la distanță autorităților de supraveghere și, după transmiterea unei chestiuni în vederea soluționării litigiilor în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 și, după caz, atunci când se solicită un aviz de urgență sau o decizie obligatorie urgentă în conformitate cu articolul 66 din regulamentul respectiv, este accesibil comitetului. Dosarul de cooperare nu este accesibil în mod direct părților investigate, reclamanților sau terților.

CAPITOLUL V

SOLUȚIONAREA LITIGIILOR

Articolul 27

Transmiterea unei chestiuni în vederea soluționării litigiilor în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679

(1)   În termen de trei luni de la expirarea termenului prevăzut la articolul 60 alineatul (4) din Regulamentul (UE) 2016/679, autoritatea de supraveghere principală prezintă un proiect de decizie revizuit, în conformitate cu articolul 60 alineatul (5) din regulamentul respectiv, sau transmite chestiunea comitetului în vederea soluționării litigiilor în temeiul articolului 65 alineatul (1) litera (a) din regulamentul respectiv.

(2)   În termen de trei luni de la expirarea termenului prevăzut la articolul 60 alineatul (5) din Regulamentul (UE) 2016/679, autoritatea de supraveghere principală prezintă un alt proiect de decizie revizuit, în conformitate cu articolul 60 alineatul (5) din regulamentul respectiv, sau transmite chestiunea comitetului în vederea soluționării litigiilor în temeiul articolului 65 alineatul (1) litera (a) din regulamentul respectiv.

(3)   Atunci când transmite chestiunea în vederea soluționării litigiilor în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679, autoritatea de supraveghere principală pune la dispoziția comitetului următoarele:

(a)

proiectul de decizie sau proiectul de decizie revizuit care face obiectul obiecțiilor relevante și motivate;

(b)

un rezumat al faptelor relevante;

(c)

opiniile exprimate în scris de părțile investigate în conformitate cu articolul 19 și, după caz, cu articolul 22 din prezentul regulament, cel puțin în măsura în care opiniile respective se referă la obiectul chestiunii transmise comitetului;

(d)

opiniile exprimate în scris de reclamanți, după caz, în conformitate cu articolele 16, 17 și 20 din prezentul regulament, cel puțin în măsura în care opiniile respective se referă la obiectul chestiunii transmise comitetului;

(e)

obiecțiile relevante și motivate cărora autoritatea de supraveghere principală nu le-a dat curs și obiecțiile pe care autoritatea de supraveghere principală le-a respins considerând că nu sunt nici relevante, nici motivate;

(f)

motivele în temeiul cărora autoritatea de supraveghere principală nu a dat curs obiecțiilor relevante și motivate sau a respins obiecțiile considerând că nu sunt nici relevante, nici motivate.

(4)   Comitetul poate solicita unei autorități de supraveghere documente suplimentare cu privire la chestiunea care i-a fost transmisă.

(5)   În termen de patru săptămâni de la primirea documentelor și a informațiilor menționate la alineatul (3) de la prezentul articol, comitetul stabilește, cu titlu preliminar, dacă obiecțiile menționate la articolul 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 sunt relevante și motivate și dacă acestea sunt conforme cu articolul 23 din prezentul regulament. În același termen, președintele comitetului înregistrează transmiterea chestiunii respective către comitet. Imediat după înregistrarea sesizării, dosarul este pus la dispoziția membrilor comitetului.

(6)   Termenul pentru adoptarea deciziei obligatorii a comitetului prevăzut la articolul 65 alineatul (2) din Regulamentul (UE) 2016/679 nu curge în perioada menționată la alineatul (5) de la prezentul articol.

Articolul 28

Audierea părții investigate și a reclamantului, înainte de adoptarea unei decizii în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679

(1)   Înainte de adoptarea deciziei obligatorii în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679, comitetul oferă părții investigate sau, în cazul în care decizia comitetului ar putea duce la respingerea sau refuzul, integral sau parțial, al unei plângeri, reclamantului, posibilitatea de a-și face cunoscute în scris opiniile cu privire la orice elemente noi materiale sau de drept pe care urmează să se bazeze decizia sa, inclusiv cu privire la obiecțiile relevante și motivate cărora intenționează să le dea curs în decizia sa.

(2)   În cazul în care părții investigate sau reclamantului, după caz, i se oferă posibilitatea de a-și face cunoscute opiniile în conformitate cu alineatul (1), comitetul stabilește un termen adecvat de cel mult două săptămâni pentru ca aceștia să își facă cunoscute opiniile.

(3)   Termenul de adoptare a deciziei obligatorii a comitetului prevăzut la articolul 65 alineatul (2) din Regulamentul (UE) 2016/679 se suspendă până la data la care partea investigată sau reclamantul, după caz, își face cunoscute opiniile sau până la expirarea termenului menționat la alineatul (2) de la prezentul articol, luându-se în considerare data care survine prima.

Articolul 29

Procedura aferentă deciziilor adoptate în temeiul articolului 65 alineatul (1) litera (b) din Regulamentul (UE) 2016/679

(1)   Atunci când sesizează comitetul cu privire la o chestiune în temeiul articolului 65 alineatul (1) litera (b) din Regulamentul (UE) 2016/679, autoritatea de supraveghere care transmite sesizarea pune la dispoziția comitetului următoarele:

(a)

un rezumat al faptelor relevante, inclusiv în ceea ce privește prelucrarea în cauză;

(b)

evaluarea faptelor relevante respective pentru a stabili dacă o autoritate de supraveghere este competentă să acționeze în calitate de autoritate de supraveghere principală în conformitate cu articolul 56 alineatul (1) din Regulamentul (UE) 2016/679, în special evaluarea vizând stabilirea măsurii în care prelucrarea trebuie considerată prelucrare transfrontalieră și a locului în care se află sediul principal al operatorului sau al persoanei împuternicite de operator;

(c)

opiniile formulate de operator sau de persoana împuternicită de operator al cărui (cărei) sediu principal face obiectul sesizării;

(d)

opiniile altor autorități de supraveghere vizate de sesizare;

(e)

orice alt document sau informație pe care autoritatea de supraveghere care transmite sesizarea o consideră relevantă și necesară pentru soluționarea chestiunii respective.

(2)   Comitetul poate solicita unei autorități de supraveghere documente suplimentare cu privire la chestiunea care i-a fost transmisă.

(3)   În termen de o săptămână de la primirea documentelor și a informațiilor menționate la alineatul (1), președintele comitetului înregistrează transmiterea chestiunii respective către comitet. Imediat după înregistrarea sesizării, dosarul este pus la dispoziția membrilor comitetului.

Articolul 30

Procedura aferentă deciziilor adoptate în temeiul articolului 65 alineatul (1) litera (c) din Regulamentul (UE) 2016/679

(1)   Atunci când transmite comitetului o chestiune în temeiul articolului 65 alineatul (1) litera (c) din Regulamentul (UE) 2016/679, autoritatea de supraveghere sau Comisia pune la dispoziția comitetului următoarele:

(a)

un rezumat al faptelor relevante;

(b)

după caz, avizul emis de comitet în temeiul articolului 64 din Regulamentul (UE) 2016/679; sau, după caz, decizia adoptată de autoritatea de supraveghere competentă în urma avizului emis de comitet în temeiul articolului 64 din Regulamentul (UE) 2016/679;

(c)

opiniile autorității de supraveghere care transmite chestiunea în cauză sau ale Comisiei cu privire la întrebarea dacă, după caz, o autoritate de supraveghere avea obligația de a transmite proiectul de decizie comitetului în temeiul articolului 64 alineatul (1) din Regulamentul (UE) 2016/679 sau dacă o autoritate de supraveghere nu a dat curs avizului comitetului emis în temeiul articolului 64 din Regulamentul (UE) 2016/679, inclusiv indicarea părților din avizul respectiv cărora nu li s-a dat curs și o trimitere la partea relevantă a deciziei adoptate.

(2)   Comitetul solicită următoarele:

(a)

opiniile autorității de supraveghere despre care se presupune că a încălcat cerința de a transmite comitetului un proiect de decizie sau că nu a dat curs unui aviz al comitetului;

(b)

orice alt document sau informație pe care autoritatea de supraveghere respectivă o consideră relevantă și necesară pentru soluționarea chestiunii respective.

(3)   Comitetul poate solicita unei autorități de supraveghere documente suplimentare cu privire la chestiunea care i-a fost transmisă.

(4)   În termen de o săptămână de la primirea documentelor și informațiilor menționate la alineatul (2), președintele comitetului înregistrează transmiterea chestiunii respective către comitet. Imediat după înregistrarea sesizării, dosarul este pus la dispoziția membrilor comitetului.

(5)   În cazul în care o autoritate de supraveghere își declară intenția de a-și prezenta opiniile cu privire la chestiunea transmisă, aceasta prezintă opiniile respective în termen de două săptămâni de la sesizarea menționată la alineatul (1).

CAPITOLUL VI

PROCEDURA DE URGENȚĂ

Articolul 31

Avizul de urgență în temeiul articolului 66 alineatul (2) din Regulamentul (UE) 2016/679

(1)   O cerere de emitere a unui aviz de urgență al comitetului în temeiul articolului 66 alineatul (2) din Regulamentul (UE) 2016/679 se transmite cu cel puțin patru săptămâni înainte de expirarea măsurilor provizorii adoptate în temeiul articolului 66 alineatul (1) din regulamentul respectiv și conține următoarele:

(a)

un rezumat al faptelor relevante, inclusiv acuzațiile privind încălcarea Regulamentului (UE) 2016/679;

(b)

descrierea măsurii provizorii adoptate pe teritoriul statului membru al autorității de supraveghere care solicită avizul de urgență, durata și motivele adoptării acesteia, inclusiv o justificare a necesității urgente de a acționa în vederea protejării drepturilor și libertăților persoanelor vizate;

(c)

o justificare a necesității urgente de a adopta măsuri definitive, inclusiv o explicație a caracterului excepțional al circumstanțelor care impun adoptarea măsurilor definitive în cauză.

(2)   Comitetul poate solicita unei autorități de supraveghere documente suplimentare cu privire la chestiunea care i-a fost transmisă în vederea obținerii unui aviz de urgență.

(3)   În termen de o săptămână de la primirea documentelor și informațiilor menționate la alineatul (1), președintele comitetului înregistrează transmiterea chestiunii respective către comitet. Imediat după înregistrarea sesizării, dosarul este pus la dispoziția membrilor comitetului.

Articolul 32

Decizia obligatorie urgentă în temeiul articolului 66 alineatul (2) din Regulamentul (UE) 2016/679

(1)   O cerere de emitere a unei decizii obligatorii urgente a comitetului în temeiul articolului 66 alineatul (2) din Regulamentul (UE) 2016/679 se transmite cu cel puțin patru săptămâni înainte de expirarea măsurilor provizorii adoptate în temeiul articolului 61 alineatul (8), al articolului 62 alineatul (7) sau al articolului 66 alineatul (1) din regulamentul respectiv. Cererea cuprinde următoarele:

(a)

un rezumat al faptelor relevante, inclusiv acuzațiile privind încălcarea Regulamentului (UE) 2016/679;

(b)

descrierea măsurii provizorii adoptate pe teritoriul statului membru al autorității de supraveghere care solicită decizia obligatorie urgentă, durata și motivele adoptării sale, inclusiv justificarea necesității urgente de a acționa în vederea protejării drepturilor și libertăților persoanelor vizate;

(c)

informații privind orice măsuri de investigare luate pe teritoriul statului membru al autorității de supraveghere care solicită decizia obligatorie urgentă și răspunsurile primite de la părțile investigate sau orice alte informații aflate în posesia autorității de supraveghere solicitante;

(d)

o justificare a necesității urgente de a adopta măsuri definitive, ținând seama de natura excepțională a circumstanțelor care impun adoptarea măsurilor respective, sau dovada că o autoritate de supraveghere nu a respectat articolul 61 alineatul (5) sau articolul 62 alineatul (2) din Regulamentul (UE) 2016/679;

(e)

în cazul în care autoritatea de supraveghere solicitantă nu este autoritatea de supraveghere principală, opiniile autorității de supraveghere principale;

(f)

după caz, opiniile sediului local al părților investigate cărora le-au fost adresate măsurile provizorii menționate la articolul 66 alineatul (1) din Regulamentul (UE) 2016/679.

(2)   Comitetul poate solicita unei autorități de supraveghere documente suplimentare cu privire la chestiunea care i-a fost transmisă.

(3)   În termen de o săptămână de la primirea documentelor și informațiilor menționate la alineatul (1), președintele comitetului înregistrează transmiterea chestiunii respective către comitet. Imediat după înregistrarea sesizării, dosarul este pus la dispoziția membrilor comitetului.

(4)   În cazul în care comitetul adoptă o decizie obligatorie urgentă care indică faptul că trebuie adoptate măsuri definitive, autoritatea de supraveghere căreia i se adresează decizia adoptă astfel de măsuri înainte de expirarea măsurilor provizorii adoptate în temeiul articolului 66 alineatul (1) din Regulamentul (UE) 2016/679.

(5)   În cazul în care o decizie obligatorie urgentă indică faptul că nu trebuie adoptate de urgență măsuri definitive, autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate urmează procedura prevăzută la articolul 60 din Regulamentul (UE) 2016/679.

Articolul 33

Avizul de urgență sau decizia obligatorie urgentă în temeiul articolului 66 alineatul (3) din Regulamentul (UE) 2016/679

(1)   O cerere de emitere de aviz de urgență sau de decizie obligatorie urgentă a comitetului în temeiul articolului 66 alineatul (3) din Regulamentul (UE) 2016/679 cuprinde următoarele:

(a)

un rezumat al faptelor relevante;

(b)

o justificare a necesității urgente de a adopta măsuri adecvate pentru a proteja drepturile și libertățile persoanelor vizate, ținând seama de natura excepțională a circumstanțelor care impun adoptarea măsurilor respective, în special de orice elemente de care autoritatea de supraveghere competentă ar fi trebuit să țină seama în vederea protejării drepturilor și libertăților persoanelor vizate;

(c)

după caz și în funcție de disponibilitate, informații privind orice măsuri de investigare luate de autoritatea de supraveghere solicitantă pe teritoriul statului membru al autorității de supraveghere care solicită un aviz de urgență sau o decizie obligatorie urgentă și răspunsurile primite de la părțile investigate sau orice alte informații aflate în posesia autorității de supraveghere solicitante în cauză;

(d)

opiniile autorității de supraveghere competente menționate la articolul 66 alineatul (3) din Regulamentul (UE) 2016/679.

(2)   Comitetul poate solicita unei autorități de supraveghere documente suplimentare cu privire la chestiunea care i-a fost transmisă.

(3)   În termen de o săptămână de la primirea documentelor și informațiilor menționate la alineatul (1), președintele comitetului înregistrează transmiterea chestiunii respective către comitet. Imediat după înregistrarea sesizării, dosarul este pus la dispoziția membrilor comitetului.

CAPITOLUL VII

DISPOZIȚII GENERALE ȘI FINALE

Articolul 34

Statistici privind aplicarea legislației în cazuri care implică prelucrare transfrontalieră

(1)   În cadrul raportului anual care trebuie elaborat în temeiul articolului 71 din Regulamentul (UE) 2016/679, comitetul pune la dispoziție statistici privind punerea în aplicare a Regulamentului (UE) 2016/679 în cazurile care intră în domeniul de aplicare al prezentului regulament, în special:

(a)

numărul de cazuri inițiate în temeiul unor plângeri și din oficiu;

(b)

numărul de cazuri închise care au fost inițiate în temeiul unor plângeri și din oficiu;

(c)

numărul investigațiilor solicitate de autoritățile de supraveghere vizate în temeiul articolului 61 alineatul (1) din Regulamentul (UE) 2016/679;

(d)

numărul de plângeri depuse;

(e)

numărul de plângeri respinse sau refuzate integral sau parțial;

(f)

durata medie a cazurilor închise care au fost inițiate în temeiul unor plângeri și din oficiu;

(g)

numărul și cuantumurile amenzilor administrative aplicate în conformitate cu articolele 83 și 84 din Regulamentul (UE) 2016/679.

(2)   În cazul în care statisticile menționate la alineatul (1) nu se află în mod direct la dispoziția comitetului, autoritățile de supraveghere le furnizează acestuia, la cerere, într-un termen rezonabil.

Articolul 35

Raportul Comisiei

În cadrul raportului său privind evaluarea și revizuirea Regulamentului (UE) 2016/679 în temeiul articolului 97 din regulamentul respectiv, Comisia raportează, de asemenea, cu privire la aplicarea și funcționarea prezentului regulament.

Articolul 36

Dispoziții tranzitorii

Capitolele III și IV se aplică investigațiilor din oficiu deschise după 2 aprilie 2027 și investigațiilor întemeiate pe plângeri depuse după 2 aprilie 2027.

Capitolele V și VI din prezentul regulament se aplică tuturor cazurilor transmise în vederea soluționării litigiilor în temeiul articolului 65 și procedurii de urgență în temeiul articolului 66 alineatele (2) și (3) din Regulamentul (UE) 2016/679 după 2 aprilie 2027.

Articolul 37

Intrare în vigoare și punere în aplicare

(1)   Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

(2)   Prezentul regulament se aplică de la 2 aprilie 2027.

Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.

Adoptat la Strasbourg, 26 noiembrie 2025.

Pentru Parlamentul European

Președinta

R. METSOLA

Pentru Consiliu

Președintele

M. BJERRE

(1)   JO C, C/2024/1578, 5.3.2024, ELI: http://data.europa.eu/eli/C/2024/1578/oj.

(2)  Poziția Parlamentului European din 21 octombrie 2025 (nepublicată încă în Jurnalul Oficial) și Decizia Consiliului din 17 noiembrie 2025.

(3)  Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4)  Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO L 295, 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(5)  Directiva (UE) 2016/943 a Parlamentului European și a Consiliului din 8 iunie 2016 privind protecția know-how-ului și a informațiilor de afaceri nedivulgate (secrete comerciale) împotriva dobândirii, utilizării și divulgării ilegale (JO L 157, 15.6.2016, p. 1, ELI: http://data.europa.eu/eli/dir/2016/943/oj).

ELI: http://data.europa.eu/eli/reg/2025/2518/oj

ISSN 1977-0782 (electronic edition)

Top

Full & Egal Universal Law Academy