Document 
32016L0680
Go to unilingual Language 1 Romanian (ro)
display
French (fr)
4.5.2016    | RO | Jurnalul Oficial al
Uniunii Europene | L 119/89
DIRECTIVA (UE) 2016/680 A
PARLAMENTULUI EUROPEAN ȘI A
CONSILIULUI
din 27 aprilie 2016
privind protecția persoanelor fizice
referitor la prelucrarea datelor cu
caracter personal de către autoritățile
competente în scopul prevenirii,
depistării, investigării sau urmăririi
penale a infracțiunilor sau al executării
pedepselor și privind libera circulație a
acestor date și de abrogare a Deciziei-
cadru 2008/977/JAI a Consiliului
PARLAMENTUL EUROPEAN ȘI CONSILIUL
UNIUNII EUROPENE,
având în vedere Tratatul privind
funcționarea Uniunii Europene, în
special articolul 16 alineatul (2),
având în vedere propunerea Comisiei
Europene,
după transmiterea proiectului de act
legislativ către parlamentele naționale,
având în vedere avizul Comitetului
Regiunilor (1),
hotărând în conformitate cu procedura
legislativă ordinară (2),
întrucât:
(1) | Protecția persoanelor fizice în ceea
ce privește prelucrarea datelor cu
caracter personal reprezintă un drept
fundamental. Articolul 8 alineatul (1)
din Carta drepturilor fundamentale a
Uniunii Europene (Carta) și articolul 16
alineatul (1) din Tratatul privind
funcționarea Uniunii Europene (TFUE)
prevăd dreptul oricărei persoane la
protecția datelor cu caracter personal
care o privesc.
(2) | Principiile și normele referitoare la
protecția persoanelor fizice în ceea ce
privește prelucrarea datelor lor cu
caracter personal ar trebui, indiferent
de cetățenia sau de locul de reședință al
persoanelor fizice, să respecte
drepturile și libertățile fundamentale ale
acestora, în special dreptul la protecția
datelor cu caracter personal. Prezenta
directivă urmărește să contribuie la
realizarea unui spațiu de libertate,
securitate și justiție.
(3) | Evoluțiile tehnologice rapide și
globalizarea au generat noi provocări
pentru protecția datelor cu caracter
personal. Amploarea colectării și a
schimbului de date cu caracter personal
a crescut în mod semnificativ.
Tehnologia permite prelucrarea datelor
cu caracter personal la un nivel fără
precedent în cadrul activităților precum
prevenirea, depistarea, investigarea sau
Language 2 English (en)
Display
4.5.2016    | EN | Official Journal of the
European Union | L 119/89
DIRECTIVE (EU) 2016/680 OF THE
EUROPEAN PARLIAMENT AND OF THE
COUNCIL
of 27 April 2016
on the protection of natural persons
with regard to the processing of
personal data by competent authorities
for the purposes of the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, and on the free
movement of such data, and repealing
Council Framework Decision
2008/977/JHA
THE EUROPEAN PARLIAMENT AND THE
COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the
Functioning of the European Union, and
in particular Article 16(2) thereof,
Having regard to the proposal from the
European Commission,
After transmission of the draft
legislative act to the national
parliaments,
Having regard to the opinion of the
Committee of the Regions (1),
Acting in accordance with the ordinary
legislative procedure (2),
Whereas:
(1) | The protection of natural persons
in relation to the processing of personal
data is a fundamental right. Article 8(1)
of the Charter of Fundamental Rights of
the European Union (‘the Charter’) and
Article 16(1) of the Treaty on the
Functioning of the European Union
(TFEU) provide that everyone has the
right to the protection of personal data
concerning him or her.
(2) | The principles of, and rules on the
protection of natural persons with
regard to the processing of their
personal data should, whatever their
nationality or residence, respect their
fundamental rights and freedoms, in
particular their right to the protection
of personal data. This Directive is
intended to contribute to the
accomplishment of an area of freedom,
security and justice.
(3) | Rapid technological developments
and globalisation have brought new
challenges for the protection of
personal data. The scale of the
collection and sharing of personal data
has increased significantly. Technology
allows personal data to be processed on
an unprecedented scale in order to
pursue activities such as the prevention,
investigation, detection or prosecution
Language 3 Display
information about
this document
4.5.2016    | FR | Journal officiel de
l'Union européenne | L 119/89
DIRECTIVE (UE) 2016/680 DU
PARLEMENT EUROPÉEN ET DU CONSEIL
du 27 avril 2016
relative à la protection des personnes
physiques à l'égard du traitement des
données à caractère personnel par les
autorités compétentes à des fins de
prévention et de détection des
infractions pénales, d'enquêtes et de
poursuites en la matière ou d'exécution
de sanctions pénales, et à la libre
circulation de ces données, et
abrogeant la décision-cadre
2008/977/JAI du Conseil
LE PARLEMENT EUROPÉEN ET LE
CONSEIL DE L'UNION EUROPÉENNE,
vu le traité sur le fonctionnement de
l'Union européenne, et notamment son
article 16, paragraphe 2,
vu la proposition de la Commission
européenne,
après transmission du projet d'acte
législatif aux parlements nationaux,
vu l'avis du Comité des régions (1),
statuant conformément à la procédure
législative ordinaire (2),
considérant ce qui suit:
(1) | La protection des personnes
physiques à l'égard du traitement des
données à caractère personnel est un
droit fondamental. L'article 8,
paragraphe 1, de la Charte des droits
fondamentaux de l'Union européenne
(ci-après dénommée «Charte») et
l'article 16, paragraphe 1, du traité sur
le fonctionnement de l'Union
européenne disposent que toute
personne a droit à la protection des
données à caractère personnel la
concernant.
(2) | Les principes et les règles
applicables en matière de protection
des personnes physiques à l'égard du
traitement des données à caractère
personnel les concernant devraient,
quelle que soit la nationalité ou la
résidence de ces personnes physiques,
respecter leurs libertés et droits
fondamentaux, en particulier leur droit
à la protection des données à caractère
personnel. La présente directive vise à
contribuer à la réalisation d'un espace
de liberté, de sécurité et de justice.
(3) | L'évolution rapide des technologies
et la mondialisation ont créé de
nouveaux défis pour la protection des
données à caractère personnel.
L'ampleur de la collecte et du partage
de données à caractère personnel a
augmenté de manière importante. Les
technologies permettent de traiter les
données à caractère personnel comme
jamais auparavant dans le cadre
urmărirea penală a infracțiunilor ori
executarea pedepselor.
(4) | Libera circulație a datelor cu
caracter personal între autoritățile
competente în scopul prevenirii,
depistării, investigării sau urmăririi
penale a infracțiunilor sau al executării
pedepselor, inclusiv al protejării
împotriva amenințărilor la adresa
securității publice și al prevenirii
acestora în cadrul Uniunii, și transferul
de astfel de date cu caracter personal
către țări terțe și organizații
internaționale, ar trebui facilitate
asigurând, totodată, un nivel ridicat de
protecție a datelor cu caracter personal.
Aceste evoluții impun realizarea unui
cadru solid și mai coerent în materie de
protecție a datelor cu caracter personal
în Uniune, însoțit de o aplicare
riguroasă a normelor.
(5) | Directiva 95/46/CE a Parlamentului
European și a Consiliului (3) se aplică
oricărei prelucrări de date cu caracter
personal în statele membre, atât în
sectorul public, cât și în cel privat. Cu
toate acestea, directiva menționată nu
se aplică prelucrării datelor cu caracter
personal în cursul exercitării unei
activității care nu se înscrie în domeniul
de aplicare a dreptului comunitar, cum
sunt activitățile în domeniul cooperării
judiciare în materie penală și al
cooperării polițienești.
(6) | Decizia-cadru 2008/977/JAI a
Consiliului (4) se aplică în domeniul
cooperării judiciare în materie penală și
al cooperării polițienești. Domeniul de
aplicare a deciziei-cadru menționate
este limitat la prelucrarea datelor cu
caracter personal transmise sau puse la
dispoziție între statele membre.
(7) | Asigurarea unui nivel omogen și
ridicat de protecție a datelor cu caracter
personal ale persoanelor fizice și
facilitarea schimbului de date cu
caracter personal între autoritățile
competente ale statelor membre sunt
esențiale pentru a se garanta
eficacitatea cooperării judiciare în
materie penală și a cooperării
polițienești. În acest scop, nivelul de
protecție a drepturilor și libertăților
persoanelor fizice în ceea ce privește
prelucrarea datelor cu caracter personal
de către autoritățile competente în
scopul prevenirii, depistării, investigării
sau urmăririi penale a infracțiunilor sau
al executării pedepselor, inclusiv al
protejării împotriva amenințărilor la
adresa securității publice și al prevenirii
acestora, ar trebui să fie echivalent în
toate statele membre. Protecția efectivă
a datelor cu caracter personal în
întreaga Uniune necesită nu numai
consolidarea drepturilor persoanelor
vizate și a obligațiilor celor care
prelucrează date cu caracter personal,
ci și competențe echivalente pentru
monitorizarea și asigurarea
conformității cu normele în materie de
protecție a datelor cu caracter personal
în statele membre.
of criminal offences or the execution of
criminal penalties.
(4) | The free flow of personal data
between competent authorities for the
purposes of the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, including the
safeguarding against and the
prevention of threats to public security
within the Union and the transfer of
such personal data to third countries
and international organisations, should
be facilitated while ensuring a high level
of protection of personal data. Those
developments require the building of a
strong and more coherent framework
for the protection of personal data in
the Union, backed by strong
enforcement.
(5) | Directive 95/46/EC of the
European Parliament and of the
Council (3) applies to all processing of
personal data in Member States in both
the public and the private sectors.
However, it does not apply to the
processing of personal data in the
course of an activity which falls outside
the scope of Community law, such as
activities in the areas of judicial
cooperation in criminal matters and
police cooperation.
(6) | Council Framework Decision
2008/977/JHA (4) applies in the areas
of judicial cooperation in criminal
matters and police cooperation. The
scope of application of that Framework
Decision is limited to the processing of
personal data transmitted or made
available between Member States.
(7) | Ensuring a consistent and high
level of protection of the personal data
of natural persons and facilitating the
exchange of personal data between
competent authorities of Members
States is crucial in order to ensure
effective judicial cooperation in criminal
matters and police cooperation. To that
end, the level of protection of the rights
and freedoms of natural persons with
regard to the processing of personal
data by competent authorities for the
purposes of the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, including the
safeguarding against and the
prevention of threats to public security,
should be equivalent in all Member
States. Effective protection of personal
data throughout the Union requires the
strengthening of the rights of data
subjects and of the obligations of those
who process personal data, as well as
equivalent powers for monitoring and
ensuring compliance with the rules for
the protection of personal data in the
Member States.
d'activités telles que la prévention et la
détection des infractions pénales, les
enquêtes et les poursuites en la matière
ou l'exécution de sanctions pénales.
(4) | Il convient de faciliter le libre flux
des données à caractère personnel
entre les autorités compétentes à des
fins de prévention et de détection des
infractions pénales, d'enquêtes et de
poursuites en la matière ou d'exécution
de sanctions pénales, y compris la
protection contre les menaces pour la
sécurité publique et la prévention de
telles menaces au sein de l'Union, et le
transfert de telles données vers des
pays tiers et à des organisations
internationales, tout en assurant un
niveau élevé de protection des données
à caractère personnel. Ces évolutions
obligent à mettre en place dans l'Union
un cadre pour la protection des
données à caractère personnel solide et
plus cohérent, assorti d'une application
rigoureuse des règles.
(5) | La directive 95/46/CE du
Parlement européen et du Conseil (3)
s'applique à l'ensemble des traitements
des données à caractère personnel dans
les États membres, à la fois dans le
secteur public et le secteur privé. Elle
ne s'applique cependant pas au
traitement de données à caractère
personnel mis en œuvre pour l'exercice
d'activités qui ne relèvent pas du champ
d'application du droit communautaire,
telles que les activités dans les
domaines de la coopération judiciaire
en matière pénale et de la coopération
policière.
(6) | La décision-cadre 2008/977/JAI
du Conseil (4) s'applique dans les
domaines de la coopération judiciaire
en matière pénale et de la coopération
policière. Son champ d'application se
limite au traitement des données à
caractère personnel qui sont transmises
ou mises à disposition entre les États
membres.
(7) | Il est crucial d'assurer un niveau
élevé et homogène de protection des
données à caractère personnel des
personnes physiques et de faciliter
l'échange de données à caractère
personnel entre les autorités
compétentes des États membres, afin
de garantir l'efficacité de la coopération
judiciaire en matière pénale et de la
coopération policière. À cette fin, le
niveau de protection des droits et
libertés des personnes physiques à
l'égard du traitement des données à
caractère personnel par les autorités
compétentes à des fins de prévention et
de détection des infractions pénales,
d'enquêtes et de poursuites en la
matière ou d'exécution de sanctions
pénales, y compris la protection contre
les menaces pour la sécurité publique
et la prévention de telles menaces,
devrait être équivalent dans tous les
États membres. Une protection effective
des données à caractère personnel dans
l'ensemble de l'Union exige non
seulement de renforcer les droits des
personnes concernées et les obligations
de ceux qui traitent les données à
caractère personnel, mais aussi de
renforcer les pouvoirs équivalents de
suivi et de contrôle du respect des
règles relatives à la protection des
données à caractère personnel dans les
États membres.
(8) | Articolul 16 alineatul (2) din TFUE
mandatează Parlamentul European și
Consiliul să stabilească normele privind
protecția persoanelor fizice referitor la
prelucrarea datelor cu caracter
personal, precum și normele privind
libera circulație a acestor date.
(9) | Pe această bază, Regulamentul (UE)
2016/679 al Parlamentului European și
al Consiliului (5) stabilește normele
generale pentru protecția persoanelor
fizice în ceea ce privește prelucrarea
datelor cu caracter personal și
garantarea liberei circulații a acestor
date în cadrul Uniunii.
(10) | În Declarația nr. 21 cu privire la
protecția datelor cu caracter personal în
domeniul cooperării judiciare în materie
penală și al cooperării polițienești,
anexată la actul final al Conferinței
interguvernamentale care a adoptat
Tratatul de la Lisabona, conferința a
recunoscut că s-ar putea dovedi
necesare norme specifice privind
protecția datelor cu caracter personal și
libera circulație a datelor cu caracter
personal în domeniul cooperării
judiciare în materie penală și al
cooperării polițienești în temeiul
articolului 16 din TFUE, având în vedere
natura specifică a acestor domenii.
(11) | Prin urmare, domeniile
menționate ar trebui să fie
reglementate printr-o directivă care să
stabilească norme specifice privind
protecția persoanelor fizice referitor la
prelucrarea datelor cu caracter personal
de către autoritățile competente în
scopul prevenirii, depistării, investigării
sau urmăririi penale a infracțiunilor sau
al executării pedepselor, inclusiv al
protejării împotriva amenințărilor la
adresa securității publice și al prevenirii
acestora, cu respectarea naturii speciale
a activităților în cauză. Pot reprezenta
astfel de autorități competente nu
numai autoritățile publice, precum
autoritățile judiciare, poliția sau alte
autorități de aplicare a legii, ci și orice
alt organism sau altă entitate
însărcinată prin dreptul intern să
exercite autoritatea publică și
competențe publice în sensul prezentei
directive. În cazul în care un astfel de
organism sau de entitate prelucrează
date cu caracter personal în alte scopuri
decât cele urmărite de prezenta
directivă, se aplică Regulamentul (UE)
2016/679. Regulamentul (UE)
2016/679 se aplică, prin urmare, în
cazurile în care un organism sau o
entitate colectează date cu caracter
personal în alte scopuri și ulterior
prelucrează datele cu caracter personal
respective în vederea respectării unei
obligații legale care îi revine. De
exemplu, în scopul depistării,
investigării sau urmăririi infracțiunilor,
instituțiile financiare păstrează anumite
date cu caracter personal care sunt
prelucrate de către acestea și
furnizează datele cu caracter personal
respective numai autorităților naționale
competente în cazuri specifice și în
conformitate cu dreptul intern. Unui
organism sau entități care prelucrează
date cu caracter personal în numele
acestor autorități, în cadrul domeniului
(8) | Article 16(2) TFEU mandates the
European Parliament and the Council to
lay down the rules relating to the
protection of natural person s with
regard to the processing of personal
data and the rules relating to the free
movement of personal data.
(9) | On that basis, Regulation (EU)
2016/679 of the European Parliament
and of the Council (5) lays down general
rules to protect natural persons in
relation to the processing of personal
data and to ensure the free movement
of personal data within the Union.
(10) | In Declaration No 21 on the
protection of personal data in the fields
of judicial cooperation in criminal
matters and police cooperation,
annexed to the final act of the
intergovernmental conference which
adopted the Treaty of Lisbon, the
conference acknowledged that specific
rules on the protection of personal data
and the free movement of personal data
in the fields of judicial cooperation in
criminal matters and police cooperation
based on Article 16 TFEU may prove
necessary because of the specific
nature of those fields.
(11) | It is therefore appropriate for
those fields to be addressed by a
directive that lays down the specific
rules relating to the protection of
natural persons with regard to the
processing of personal data by
competent authorities for the purposes
of the prevention, investigation,
detection or prosecution of criminal
offences or the execution of criminal
penalties, including the safeguarding
against and the prevention of threats to
public security, respecting the specific
nature of those activities. Such
competent authorities may include not
only public authorities such as the
judicial authorities, the police or other
law-enforcement authorities but also
any other body or entity entrusted by
Member State law to exercise public
authority and public powers for the
purposes of this Directive. Where such a
body or entity processes personal data
for purposes other than for the
purposes of this Directive, Regulation
(EU) 2016/679 applies. Regulation (EU)
2016/679 therefore applies in cases
where a body or entity collects personal
data for other purposes and further
processes those personal data in order
to comply with a legal obligation to
which it is subject. For example, for the
purposes of investigation detection or
prosecution of criminal offences
financial institutions retain certain
personal data which are processed by
them, and provide those personal data
only to the competent national
authorities in specific cases and in
accordance with Member State law. A
body or entity which processes personal
data on behalf of such authorities
within the scope of this Directive should
be bound by a contract or other legal
act and by the provisions applicable to
processors pursuant to this Directive,
while the application of Regulation (EU)
(8) | L'article 16, paragraphe 2, du traité
sur le fonctionnement de l'Union
européenne donne mandat au
Parlement européen et au Conseil pour
fixer les règles relatives à la protection
des personnes physiques à l'égard du
traitement des données à caractère
personnel et les règles relatives à la
libre circulation de ces données.
(9) | Sur cette base, le règlement (UE)
2016/679 du Parlement européen et du
Conseil (5) définit des règles générales
visant à protéger les personnes
physiques à l'égard du traitement des
données à caractère personnel et à
garantir la libre circulation de ces
données dans l'Union.
(10) | Dans la déclaration no 21 sur la
protection des données à caractère
personnel dans le domaine de la
coopération judiciaire en matière pénale
et de la coopération policière, annexée
à l'acte final de la Conférence
intergouvernementale qui a adopté le
traité de Lisbonne, la conférence a
reconnu que des règles spécifiques sur
la protection des données à caractère
personnel et sur la libre circulation des
données à caractère personnel dans les
domaines de la coopération judiciaire
en matière pénale et de la coopération
policière se basant sur l'article 16 du
traité sur le fonctionnement de l'Union
européenne pourraient s'avérer
nécessaires en raison de la nature
spécifique de ces domaines.
(11) | Il convient dès lors que ces
domaines soient régis par une directive
qui fixe les règles spécifiques relatives
à la protection des personnes physiques
à l'égard du traitement des données à
caractère personnel par les autorités
compétentes à des fins de prévention et
de détection des infractions pénales,
d'enquêtes et de poursuites en la
matière ou d'exécution de sanctions
pénales, y compris la protection contre
les menaces pour la sécurité publique
et la prévention de telles menaces, en
respectant la nature spécifique de ces
activités. Les autorités compétentes en
question peuvent comprendre non
seulement les autorités publiques telles
que les autorités judiciaires, la police
ou d'autres autorités répressives mais
aussi tout autre organisme ou entité à
qui le droit d'un État membre confie
l'exercice de l'autorité publique et des
prérogatives de puissance publique aux
fins de la présente directive. Lorsqu'un
tel organisme ou une telle entité traite
des données à caractère personnel à
des fins autres que celles prévues dans
la présente directive, le règlement (UE)
2016/679 s'applique. Par conséquent,
le règlement (UE) 2016/679 s'applique
lorsqu'un organisme ou une entité
recueille des données à caractère
personnel à d'autres fins et les traite
ultérieurement pour respecter une
obligation légale à laquelle il est
soumis. Par exemple, les
établissements financiers conservent, à
des fins de détection ou de poursuites
d'infractions pénales ou d'enquêtes en
la matière, certaines données à
caractère personnel qu'ils traitent et
qu'ils ne transmettent aux autorités
nationales compétentes que dans des
cas spécifiques et conformément au
droit des États membres. Un organisme
ou une entité qui traite des données à
caractère personnel pour le compte de
de aplicare al prezentei directive, ar
trebui să îi revină obligații în temeiul
unui contract sau al altui act juridic și al
dispozițiilor aplicabile persoanelor
împuternicite de către operatori în
conformitate cu prezenta directivă, fără
ca prin aceasta să se aducă atingere
aplicării Regulamentului (UE) 2016/679
în ceea ce privește prelucrarea datelor
cu caracter personal de către persoana
împuternicită de către operator, atunci
când această prelucrare nu intră sub
incidența prezentei directive.
(12) | Activitățile desfășurate de poliție
sau de alte autorități de aplicare a legii,
inclusiv activitățile polițienești
desfășurate fără a cunoaște dinainte
dacă un incident constituie o
infracțiune, se concentrează în principal
asupra prevenirii, depistării, investigării
sau urmăririi penale a infracțiunilor.
Activitățile respective pot include, de
asemenea, exercitarea autorității prin
aplicarea unor măsuri coercitive,
precum activitățile polițienești
desfășurate cu ocazia unor manifestații,
evenimente sportive majore și revolte.
De asemenea, activitățile menționate
includ menținerea legii și ordinii ca
atribuții ale poliției sau ale altor
autorități de aplicare a legii atunci când
aceasta se impune pentru a se asigura
protecția împotriva amenințărilor la
adresa securității publice și la adresa
intereselor fundamentale ale societății
protejate prin lege și pentru prevenirea
acestor amenințări, care pot conduce la
o infracțiune. Statele membre pot
încredința autorităților competente alte
sarcini care nu sunt neapărat îndeplinite
în scopul prevenirii, depistării,
investigării sau urmăririi penale a
infracțiunilor, inclusiv al protejării
împotriva amenințărilor la adresa
securității publice și al prevenirii
acestora, astfel încât prelucrarea datelor
cu caracter personal în aceste alte
scopuri, în măsura în care se
circumscriu domeniului de aplicare al
dreptului Uniunii, intră sub incidența
Regulamentului (UE) 2016/679.
(13) | Noțiunea de infracțiune, în sensul
prezentei directive, ar trebui să
constituie o noțiune autonomă de drept
al Uniunii astfel cum este interpretat de
Curtea de Justiție a Uniunii Europene
(„Curtea de Justiție”).
(14) | Având în vedere că prezenta
directivă nu ar trebui să se aplice
prelucrării datelor cu caracter personal
în cadrul unei activități care nu intră
sub incidența dreptului Uniunii,
activitățile privind securitatea națională,
activitățile agențiilor sau ale unităților
specializate pe probleme de securitate
națională și prelucrarea datelor cu
caracter personal de către statele
membre atunci când acestea desfășoară
activități circumscrise domeniului de
aplicare al titlului V capitolul 2 din
Tratatul privind Uniunea Europeană
(TUE) nu ar trebui să fie considerate
activități care se încadrează în domeniul
de aplicare al prezentei directive.
(15) | În vederea asigurării aceluiași
nivel de protecție pentru persoanele
fizice prin drepturi garantate din punct
2016/679 remains unaffected for the
processing of personal data by the
processor outside the scope of this
Directive.
(12) | The activities carried out by the
police or other law-enforcement
authorities are focused mainly on the
prevention, investigation, detection or
prosecution of criminal offences,
including police activities without prior
knowledge if an incident is a criminal
offence or not. Such activities can also
include the exercise of authority by
taking coercive measures such as police
activities at demonstrations, major
sporting events and riots. They also
include maintaining law and order as a
task conferred on the police or other
law-enforcement authorities where
necessary to safeguard against and
prevent threats to public security and to
fundamental interests of the society
protected by law which may lead to a
criminal offence. Member States may
entrust competent authorities with
other tasks which are not necessarily
carried out for the purposes of the
prevention, investigation, detection or
prosecution of criminal offences,
including the safeguarding against and
the prevention of threats to public
security, so that the processing of
personal data for those other purposes,
in so far as it is within the scope of
Union law, falls within the scope of
Regulation (EU) 2016/679.
(13) | A criminal offence within the
meaning of this Directive should be an
autonomous concept of Union law as
interpreted by the Court of Justice of
the European Union (the ‘Court of
Justice’).
(14) | Since this Directive should not
apply to the processing of personal
data in the course of an activity which
falls outside the scope of Union law,
activities concerning national security,
activities of agencies or units dealing
with national security issues and the
processing of personal data by the
Member States when carrying out
activities which fall within the scope of
Chapter 2 of Title V of the Treaty on
European Union (TEU) should not be
considered to be activities falling within
the scope of this Directive.
(15) | In order to ensure the same level
of protection for natural persons
through legally enforceable rights
ces autorités dans le cadre du champ
d'application de la présente directive
devrait être lié par un contrat ou un
autre acte juridique et par les
dispositions applicables aux sous-
traitants en vertu de la présente
directive, le règlement (UE) 2016/679
continuant de s'appliquer aux
traitements de données à caractère
personnel par le sous-traitant en
dehors du champ d'application de la
présente directive.
(12) | Les activités menées par la police
ou d'autres autorités répressives sont
axées principalement sur la prévention
et la détection des infractions pénales
et les enquêtes et les poursuites en la
matière, y compris les activités de
police effectuées sans savoir au
préalable si un incident constitue une
infraction pénale ou non. Ces activités
peuvent également comprendre
l'exercice de l'autorité par l'adoption de
mesures coercitives, par exemple les
activités de police lors de
manifestations, de grands événements
sportifs et d'émeutes. Parmi ces
activités figure également le maintien
de l'ordre public lorsque cette mission
est confiée à la police ou à d'autres
autorités répressives lorsque cela est
nécessaire à des fins de protection
contre les menaces pour la sécurité
publique et pour les intérêts
fondamentaux de la société protégés
par la loi, et de prévention de telles
menaces, qui sont susceptibles de
déboucher sur une infraction pénale.
Les États membres peuvent confier aux
autorités compétentes d'autres
missions qui ne sont pas
nécessairement menées à des fins de
prévention et de détection des
infractions pénales, d'enquêtes ou de
poursuites en la matière, y compris la
protection contre les menaces pour la
sécurité publique et la prévention de
telles menaces, de sorte que le
traitement de données à caractère
personnel à ces autres fins, pour autant
qu'il relève du champ d'application du
droit de l'Union, relève du champ
d'application du règlement (UE)
2016/679.
(13) | La notion d'infraction pénale au
sens de la présente directive devrait
être une notion autonome du droit de
l'Union conforme à l'interprétation de la
Cour de justice de l'Union européenne
(ci-après dénommée «Cour de justice»).
(14) | Étant donné que la présente
directive ne devrait pas s'appliquer au
traitement de données à caractère
personnel effectué dans le cadre d'une
activité ne relevant pas du champ
d'application du droit de l'Union, il
convient que les activités relatives à la
sécurité nationale, les activités des
agences ou des services responsables
des questions de sécurité nationale et le
traitement de données à caractère
personnel par les États membres dans
le cadre d'activités relevant du champ
d'application du titre V, chapitre 2, du
traité sur l'Union européenne ne soient
pas considérées comme des activités
relevant du champ d'application de la
présente directive.
(15) | Afin d'assurer le même niveau de
protection pour les personnes
physiques à l'aide de droits opposables
de vedere juridic în întreaga Uniune și a
preîntâmpinării discrepanțelor care
împiedică schimbul de date cu caracter
personal între autoritățile competente,
prezenta directivă ar trebui să prevadă
norme armonizate pentru protecția și
libera circulație a datelor cu caracter
personal prelucrate în scopul prevenirii,
depistării, investigării sau urmăririi
penale a infracțiunilor sau al executării
pedepselor, inclusiv al protejării
împotriva amenințărilor la adresa
securității publice și al prevenirii
acestora. Armonizarea drepturilor
statelor membre nu ar trebui să aibă ca
rezultat diminuarea nivelului de
protecție a datelor cu caracter personal
pe care îl oferă statele respective, ci ar
trebui, dimpotrivă, să urmărească să
asigure un înalt nivel de protecție în
cadrul Uniunii. Statele membre nu ar
trebui să fie împiedicate să prevadă
garanții mai mari decât cele stabilite în
prezenta directivă pentru protecția
drepturilor și libertăților persoanelor
vizate în ceea ce privește prelucrarea
datelor cu caracter personal de către
autoritățile competente.
(16) | Prezenta directivă nu aduce
atingere principiului accesului
publicului la documente oficiale. În
temeiul Regulamentului (UE) 2016/679,
datele cu caracter personal din
documentele oficiale deținute de o
autoritate publică sau de un organism
public sau privat pentru îndeplinirea
unei atribuții de interes public pot fi
divulgate de autoritatea sau organismul
respectiv în conformitate cu dreptul
Uniunii sau cu dreptul intern sub
incidența căruia intră autoritatea sau
organismul, pentru a stabili un echilibru
între accesul public la documente
oficiale și dreptul la protecția datelor cu
caracter personal.
(17) | Protecția conferită de prezenta
directivă ar trebui să vizeze persoanele
fizice, indiferent de cetățenia sau de
locul de reședință al acestora, în ceea
ce privește prelucrarea datelor cu
caracter personal ale acestora.
(18) | Pentru a preîntâmpina un risc
serios de eludare, protecția persoanelor
fizice ar trebui să fie neutră din punct
de vedere tehnologic și nu ar trebui să
depindă de tehnicile utilizate. Protecția
persoanelor fizice ar trebui să se aplice
în ceea ce privește prelucrarea datelor
cu caracter personal prin mijloace
automate, precum și prelucrarea
manuală, în cazul în care datele cu
caracter personal sunt cuprinse sau
destinate să fie cuprinse într-un sistem
de evidență. Dosarele sau seturile de
dosare, precum și copertele acestora,
care nu sunt structurate în conformitate
cu criterii specifice, nu ar trebui să intre
sub incidența prezentei directive.
(19) | Regulamentul (CE) nr. 45/2001 al
Parlamentului European și al
Consiliului (6) se aplică prelucrării
datelor cu caracter personal de către
instituțiile, organele, oficiile și agențiile
Uniunii. Regulamentul (CE) nr. 45/2001
și alte acte juridice ale Uniunii aplicabile
throughout the Union and to prevent
divergences hampering the exchange of
personal data between competent
authorities, this Directive should
provide for harmonised rules for the
protection and the free movement of
personal data processed for the
purposes of the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, including the
safeguarding against and the
prevention of threats to public security.
The approximation of Member States'
laws should not result in any lessening
of the personal data protection they
afford but should, on the contrary, seek
to ensure a high level of protection
within the Union. Member States should
not be precluded from providing higher
safeguards than those established in
this Directive for the protection of the
rights and freedoms of the data subject
with regard to the processing of
personal data by competent authorities.
(16) | This Directive is without prejudice
to the principle of public access to
official documents. Under Regulation
(EU) 2016/679 personal data in official
documents held by a public authority or
a public or private body for the
performance of a task carried out in the
public interest may be disclosed by that
authority or body in accordance with
Union or Member State law to which the
public authority or body is subject in
order to reconcile public access to
official documents with the right to the
protection of personal data.
(17) | The protection afforded by this
Directive should apply to natural
persons, whatever their nationality or
place of residence, in relation to the
processing of their personal data.
(18) | In order to prevent creating a
serious risk of circumvention, the
protection of natural persons should be
technologically neutral and should not
depend on the techniques used. The
protection of natural persons should
apply to the processing of personal
data by automated means, as well as to
manual processing, if the personal data
are contained or are intended to be
contained in a filing system. Files or
sets of files, as well as their cover
pages, which are not structured
according to specific criteria should not
fall within the scope of this Directive.
(19) | Regulation (EC) No 45/2001 of
the European Parliament and of the
Council (6) applies to the processing of
personal data by the Union institutions,
bodies, offices and agencies. Regulation
(EC) No 45/2001 and other Union legal
acts applicable to such processing of
dans l'ensemble de l'Union et d'éviter
que des divergences n'entravent les
échanges de données à caractère
personnel entre les autorités
compétentes, la présente directive
devrait prévoir des règles harmonisées
pour la protection et la libre circulation
des données à caractère personnel
traitées à des fins de prévention et de
détection des infractions pénales,
d'enquêtes et de poursuites en la
matière ou d'exécution de sanctions
pénales, y compris la protection contre
les menaces pour la sécurité publique
et la prévention de telles menaces. Le
rapprochement des législations des
États membres ne devrait pas conduire
à un affaiblissement de la protection
des données à caractère personnel
qu'elles offrent mais devrait, au
contraire, avoir pour objectif de garantir
un niveau élevé de protection dans
l'Union. Il convient que les États
membres ne soient pas empêchés de
prévoir des garanties plus étendues que
celles établies dans la présente directive
pour la protection des droits et des
libertés des personnes concernées à
l'égard du traitement des données à
caractère personnel par les autorités
compétentes.
(16) | La présente directive s'applique
sans préjudice du principe du droit
d'accès du public aux documents
officiels. En vertu du règlement (UE)
2016/679, les données à caractère
personnel figurant dans des documents
officiels détenus par une autorité
publique ou par un organisme public ou
privé pour l'exécution d'une mission
d'intérêt public peuvent être
communiquées par cette autorité ou cet
organisme conformément au droit de
l'Union ou au droit de l'État membre
auquel l'autorité publique ou
l'organisme public est soumis, afin de
concilier le droit d'accès du public aux
documents officiels et le droit à la
protection des données à caractère
personnel.
(17) | La protection conférée par la
présente directive devrait s'appliquer
aux personnes physiques,
indépendamment de leur nationalité ou
de leur lieu de résidence, en ce qui
concerne le traitement de leurs données
à caractère personnel.
(18) | Afin d'éviter de créer un risque
grave de contournement, la protection
des personnes physiques devrait être
neutre sur le plan technologique et ne
devrait pas dépendre des techniques
utilisées. Elle devrait s'appliquer aux
traitements de données à caractère
personnel à l'aide de procédés
automatisés ainsi qu'aux traitements
manuels, si les données à caractère
personnel sont contenues ou destinées
à être contenues dans un fichier. Les
dossiers ou ensembles de dossiers, de
même que leurs couvertures, qui ne
sont pas structurés selon des critères
déterminés ne devraient pas relever du
champ d'application de la présente
directive.
(19) | Le règlement (CE) no 45/2001 du
Parlement européen et du Conseil (6)
s'applique au traitement des données à
caractère personnel par les institutions,
organes et organismes de l'Union. Le
règlement (CE) no 45/2001 et les autres
actes juridiques de l'Union applicables
unei asemenea prelucrări a datelor cu
caracter personal ar trebui adaptate la
principiile și normele stabilite prin
Regulamentul (UE) 2016/679.
(20) | Prezenta directivă nu împiedică
statele membre să precizeze
operațiunile și procedurile de prelucrare
în normele naționale privind procedurile
penale în ceea ce privește prelucrarea
datelor cu caracter personal de către
instanțe și alte autorități judiciare, în
special în ceea ce privește datele cu
caracter personal conținute într-o
hotărâre judecătorească sau în
înregistrările legate de proceduri
penale.
(21) | Principiile protecției datelor ar
trebui să se aplice oricărei informații
referitoare la o persoană fizică
identificată sau identificabilă. Pentru a
se determina dacă o persoană fizică
este identificabilă, ar trebui să se ia în
considerare toate mijloacele, cum ar fi
individualizarea, pe care este probabil,
în mod rezonabil, să le utilizeze fie
operatorul, fie o altă persoană în scopul
identificării, în mod direct sau indirect,
a persoanei fizice respective. Pentru a
se determina dacă este probabil, în mod
rezonabil, să fie utilizate mijloace în
scopul identificării persoanei fizice, ar
trebui luați în considerare toți factorii
obiectivi, precum costurile și intervalul
de timp necesare pentru identificare,
ținându-se seama de tehnologia
disponibilă la momentul prelucrării și
de dezvoltarea tehnologică. Principiile
protecției datelor ar trebui, prin urmare,
să nu se aplice informațiilor anonime,
adică informațiilor care nu sunt legate
de o persoană fizică identificată sau
identificabilă, sau datelor cu caracter
personal care sunt anonimizate astfel
încât persoana vizată nu mai este
identificabilă.
(22) | Autoritățile publice cărora le sunt
divulgate date cu caracter personal în
conformitate cu o obligație legală
pentru exercitarea misiunii lor oficiale,
cum ar fi autoritățile fiscale și vamale,
unitățile de investigare financiară,
autoritățile administrative independente
sau autoritățile piețelor financiare,
responsabile de reglementarea și de
supravegherea piețelor valorilor
mobiliare, nu ar trebui să fie
considerate drept destinatari în cazul în
care primesc date cu caracter personal
care sunt necesare pentru desfășurarea
unei anumite anchete de interes
general, în conformitate cu dreptul
Uniunii sau cu dreptul intern. Cererile
de divulgare transmise de autoritățile
publice ar trebui să se facă întotdeauna
în scris, să fie motivate și ocazionale și
nu ar trebui să se refere la totalitatea
unui sistem de evidență sau să conducă
la interconectarea sistemelor de
evidență. Prelucrarea datelor cu caracter
personal de către respectivele autorități
publice ar trebui să respecte normele
aplicabile privind protecția datelor, în
conformitate cu scopurile prelucrării.
personal data should be adapted to the
principles and rules established in
Regulation (EU) 2016/679.
(20) | This Directive does not preclude
Member States from specifying
processing operations and processing
procedures in national rules on criminal
procedures in relation to the processing
of personal data by courts and other
judicial authorities, in particular as
regards personal data contained in a
judicial decision or in records in
relation to criminal proceedings.
(21) | The principles of data protection
should apply to any information
concerning an identified or identifiable
natural person. To determine whether a
natural person is identifiable, account
should be taken of all the means
reasonably likely to be used, such as
singling out, either by the controller or
by another person to identify the
natural person directly or indirectly. To
ascertain whether means are reasonably
likely to be used to identify the natural
person, account should be taken of all
objective factors, such as the costs of
and the amount of time required for
identification, taking into consideration
the available technology at the time of
the processing and technological
developments. The principles of data
protection should therefore not apply to
anonymous information, namely
information which does not relate to an
identified or identifiable natural person
or to personal data rendered
anonymous in such a manner that the
data subject is no longer identifiable.
(22) | Public authorities to which
personal data are disclosed in
accordance with a legal obligation for
the exercise of their official mission,
such as tax and customs authorities,
financial investigation units,
independent administrative authorities,
or financial market authorities
responsible for the regulation and
supervision of securities markets
should not be regarded as recipients if
they receive personal data which are
necessary to carry out a particular
inquiry in the general interest, in
accordance with Union or Member State
law. The requests for disclosure sent by
the public authorities should always be
in writing, reasoned and occasional and
should not concern the entirety of a
filing system or lead to the
interconnection of filing systems. The
processing of personal data by those
public authorities should comply with
the applicable data protection rules
according to the purposes of the
processing.
audit traitement des données à
caractère personnel devraient être
adaptés aux principes et aux règles
fixés dans le règlement (UE) 2016/679.
(20) | La présente directive n'empêche
pas les États membres de préciser, dans
les règles nationales relatives aux
procédures pénales, les opérations et
les procédures de traitement en ce qui
concerne le traitement des données à
caractère personnel par les juridictions
et les autres autorités judiciaires,
notamment pour ce qui est des
données à caractère personnel figurant
dans les décisions judiciaires ou les
documents relatifs aux procédures
pénales.
(21) | Il y a lieu d'appliquer les principes
relatifs à la protection des données à
toute information concernant une
personne physique identifiée ou
identifiable. Pour déterminer si une
personne physique est identifiable, il
convient de prendre en considération
l'ensemble des moyens
raisonnablement susceptibles d'être
utilisés par le responsable du
traitement ou par toute autre personne
pour identifier la personne physique
directement ou indirectement, tels que
le ciblage. Pour établir si des moyens
sont raisonnablement susceptibles
d'être utilisés pour identifier une
personne physique, il convient de
prendre en considération l'ensemble
des facteurs objectifs, tels que le coût
de l'identification et le temps nécessaire
à celle-ci, en tenant compte des
technologies disponibles au moment du
traitement et de l'évolution de celles-ci.
Il n'y a dès lors pas lieu d'appliquer les
principes relatifs à la protection des
données aux informations anonymes, à
savoir les informations ne concernant
pas une personne physique identifiée
ou identifiable, ni aux données à
caractère personnel rendues anonymes
de telle manière que la personne
concernée ne soit pas ou plus
identifiable.
(22) | Les autorités publiques
auxquelles des données à caractère
personnel sont communiquées
conformément à une obligation légale
pour l'exercice de leurs fonctions
officielles, telles que les autorités
fiscales et douanières, les cellules
d'enquête financière, les autorités
administratives indépendantes ou les
autorités des marchés financiers
responsables de la réglementation et de
la surveillance des marchés de valeurs
mobilières ne devraient pas être
considérées comme des destinataires si
elles reçoivent des données à caractère
personnel qui sont nécessaires pour
mener une enquête particulière dans
l'intérêt général, conformément au droit
de l'Union ou au droit d'un État
membre. Les demandes de
communication adressées par les
autorités publiques devraient toujours
être présentées par écrit, être motivées
et revêtir un caractère occasionnel, et
elles ne devraient pas porter sur
l'intégralité d'un fichier ni conduire à
l'interconnexion de fichiers. Le
traitement des données à caractère
personnel par les autorités publiques en
question devrait être effectué dans le
respect des règles applicables en
matière de protection des données en
fonction des finalités du traitement.
(23) | Datele genetice ar trebui definite
drept date cu caracter personal
referitoare la caracteristicile genetice
moștenite sau dobândite ale unei
persoane fizice, care oferă informații
unice despre fiziologia sau starea de
sănătate a persoanei respective, și care
rezultă în urma unei analize a unei
mostre de material biologic al persoanei
fizice în cauză, în special a analizei
cromozomiale, a unei analize a acidului
dezoxiribonucleic (ADN) sau a acidului
ribonucleic (ARN) sau în urma analizei
oricărui alt element care permite
obținerea unor informații echivalente.
Având în vedere complexitatea și
sensibilitatea informațiilor genetice,
există un risc ridicat de utilizare
abuzivă și de reutilizare în diverse
scopuri neautorizate de către operator.
Orice discriminare bazată pe
caracteristici genetice ar trebui să fie, în
principiu, interzisă.
(24) | Datele cu caracter personal
privind sănătatea ar trebui să includă
toate datele având legătură cu starea de
sănătate a persoanei vizate, care să
dezvăluie informații despre starea de
sănătate fizică sau mentală trecută,
prezentă sau viitoare a persoanei
vizate. Acestea includ informații privind
persoana fizică colectate în cursul
înscrierii acesteia la serviciile de
asistență medicală sau în cadrul
acordării serviciilor respective persoanei
fizice în cauză, astfel cum sunt
menționate în Directiva 2011/24/UE a
Parlamentului European și a
Consiliului (7); un număr, un simbol sau
un semn distinctiv atribuit unei
persoane fizice pentru identificarea
singulară a acesteia în scopuri
medicale; informații rezultate din
testarea sau examinarea unei părți a
corpului sau a unei substanțe corporale,
inclusiv din date genetice și eșantioane
de material biologic; precum și orice
informații privind, de exemplu, o boală,
un handicap, un risc de îmbolnăvire,
istoricul medical, tratamentul clinic sau
starea fiziologică sau biomedicală a
persoanei vizate, indiferent de sursa
acestora, ca de exemplu, un medic sau
un alt cadru medical, un spital, un
dispozitiv medical sau un test de
diagnostic in vitro.
(25) | Toate statele membre sunt afiliate
la Organizația Internațională de Poliție
Criminală (Interpol). Pentru a-și
îndeplini misiunea, Interpol primește,
stochează și difuzează date cu caracter
personal pentru a ajuta autoritățile
competente să prevină și să combată
criminalitatea internațională. Prin
urmare, este adecvat să se consolideze
cooperarea dintre Uniune și Interpol
prin promovarea unui schimb eficient
de date cu caracter personal, asigurând,
în același timp, respectarea drepturilor
și libertăților fundamentale în ceea ce
privește prelucrarea automată a datelor
cu caracter personal. Atunci când se
transferă date cu caracter personal din
Uniune către Interpol și către țările care
au membri delegați la Interpol, ar trebui
să se aplice prezenta directivă, în
special dispozițiile privind transferurile
internaționale. Prezenta directivă nu ar
trebui să aducă atingere normelor
(23) | Genetic data should be defined as
personal data relating to the inherited
or acquired genetic characteristics of a
natural person which give unique
information about the physiology or
health of that natural person and which
result from the analysis of a biological
sample from the natural person in
question, in particular chromosomal,
deoxyribonucleic acid (DNA) or
ribonucleic acid (RNA) analysis, or from
the analysis of another element
enabling equivalent information to be
obtained. Considering the complexity
and sensitivity of genetic information,
there is a great risk of misuse and re-
use for various purposes by the
controller. Any discrimination based on
genetic features should in principle be
prohibited.
(24) | Personal data concerning health
should include all data pertaining to the
health status of a data subject which
reveal information relating to the past,
current or future physical or mental
health status of the data subject. This
includes information about the natural
person collected in the course of the
registration for, or the provision of,
health care services as referred to in
Directive 2011/24/EU of the European
Parliament and of the Council (7) to that
natural person; a number, symbol or
particular assigned to a natural person
to uniquely identify the natural person
for health purposes; information
derived from the testing or examination
of a body part or bodily substance,
including from genetic data and
biological samples; and any information
on, for example, a disease, disability,
disease risk, medical history, clinical
treatment or the physiological or
biomedical state of the data subject
independent of its source, for example
from a physician or other health
professional, a hospital, a medical
device or an in vitro diagnostic test.
(25) | All Member States are affiliated to
the International Criminal Police
Organisation (Interpol). To fulfil its
mission, Interpol receives, stores and
circulates personal data to assist
competent authorities in preventing and
combating international crime. It is
therefore appropriate to strengthen
cooperation between the Union and
Interpol by promoting an efficient
exchange of personal data whilst
ensuring respect for fundamental rights
and freedoms regarding the automatic
processing of personal data. Where
personal data are transferred from the
Union to Interpol, and to countries
which have delegated members to
Interpol, this Directive, in particular the
provisions on international transfers,
should apply. This Directive should be
without prejudice to the specific rules
laid down in Council Common Position
(23) | Les données génétiques devraient
être définies comme les données à
caractère personnel relatives aux
caractéristiques génétiques héréditaires
ou acquises d'une personne physique,
qui donnent des informations uniques
sur la physiologie ou l'état de santé de
cette personne et qui résultent de
l'analyse d'un échantillon biologique de
la personne physique en question,
notamment une analyse des
chromosomes, de l'acide
désoxyribonucléique (ADN) ou de
l'acide ribonucléique (ARN), ou de
l'analyse d'un autre élément permettant
d'obtenir des informations équivalentes.
Compte tenu du caractère complexe et
sensible des informations génétiques,
le risque est grand que le responsable
du traitement fasse un usage abusif et
réutilise des données à diverses fins. Il
y a lieu d'interdire en principe toute
discrimination fondée sur des
caractéristiques génétiques.
(24) | Les données à caractère
personnel concernant la santé devraient
comprendre l'ensemble des données se
rapportant à l'état de santé d'une
personne concernée qui révèlent des
informations sur l'état de santé
physique ou mentale passé, présent ou
futur de la personne concernée. Cela
comprend des informations sur la
personne physique collectées lors de
l'inscription de cette personne en vue
de bénéficier de services de soins de
santé ou lors de la prestation de ces
services au sens de la directive
2011/24/UE du Parlement européen et
du Conseil (7) au bénéfice de cette
personne physique; un numéro, un
symbole ou un élément spécifique
attribué à une personne physique pour
l'identifier de manière unique à des fins
de santé; des informations obtenues
lors du test ou de l'examen d'une partie
du corps ou d'une substance corporelle,
y compris à partir de données
génétiques et d'échantillons
biologiques; et toute information
concernant, par exemple, une maladie,
un handicap, un risque de maladie, des
antécédents médicaux, un traitement
clinique ou l'état physiologique ou
biomédical de la personne concernée,
indépendamment de sa source, qu'elle
provienne par exemple d'un médecin ou
d'un autre professionnel de la santé,
d'un hôpital, d'un dispositif médical ou
d'un test de diagnostic in vitro.
(25) | Tous les États membres sont
affiliés à l'Organisation internationale
de police criminelle (Interpol). Pour
exécuter sa mission, Interpol reçoit,
conserve et diffuse des données à
caractère personnel pour aider les
autorités compétentes à prévenir et à
combattre la criminalité internationale.
Il est dès lors approprié de renforcer la
coopération entre l'Union et Interpol en
favorisant un échange efficace de
données à caractère personnel tout en
garantissant le respect des libertés et
droits fondamentaux en ce qui
concerne le traitement automatique des
données à caractère personnel. Lorsque
des données à caractère personnel sont
transférées de l'Union vers Interpol, et
vers des pays qui ont délégué des
membres à Interpol, la présente
directive, en particulier ses dispositions
relatives aux transferts internationaux,
devrait s'appliquer. La présente
specifice stabilite în Poziția comună
2005/69/JAI a Consiliului (8) și în
Decizia 2007/533/JAI a Consiliului (9).
(26) | Orice prelucrare a datelor cu
caracter personal trebuie să fie legală,
echitabilă și transparentă față de
persoanele fizice în cauză, iar
prelucrarea trebuie să fie făcută numai
pentru scopuri specifice prevăzute de
lege. Acest lucru nu împiedică, în sine,
autoritățile de aplicare a legii să
desfășoare activități precum
investigațiile sub acoperire sau
supravegherea video. Aceste activități
pot fi întreprinse în scopul prevenirii,
depistării, investigării sau urmăririi
penale a infracțiunilor sau al executării
sancțiunilor penale, inclusiv al protecției
împotriva fraudei și al prevenirii
amenințărilor la adresa securității
publice, în măsura în care sunt
prevăzute de lege și constituie o
măsură necesară și proporțională într-o
societate democratică, ținându-se
seama în mod corespunzător de
interesele legitime ale respectivei
persoane fizice. Principiul prelucrării
echitabile a datelor din domeniul
protecției datelor cu caracter personal
este o noțiune distinctă de dreptul la un
proces echitabil, astfel cum este definit
la articolul 47 din Cartă și la articolul 6
din Convenția europeană pentru
apărarea drepturilor omului și a
libertăților fundamentale (CEDO).
Persoanele fizice ar trebui să fie
informate cu privire la riscurile,
normele, garanțiile și drepturile în
materie de prelucrare a datelor acestora
cu caracter personal și cu privire la
modul în care să își exercite drepturile
respective. În special, scopurile
specifice în care datele cu caracter
personal sunt prelucrate ar trebui să fie
explicite și legitime și să fie
determinate la momentul colectării
datelor. Datele cu caracter personal ar
trebui să fie adecvate și relevante
pentru scopurile în care sunt prelucrate.
În special, ar trebui să se asigure faptul
că datele cu caracter personal colectate
nu sunt excesive și că nu sunt stocate
mai mult timp decât este necesar
pentru îndeplinirea scopului în care
sunt prelucrate. Datele cu caracter
personal ar trebui prelucrate doar în
cazul în care scopul prelucrării nu poate
fi îndeplinit, în mod rezonabil, prin alte
mijloace. În vederea asigurării faptului
că datele nu sunt păstrate mai mult
timp decât este necesar, ar trebui să se
stabilească de către operator termene
pentru ștergere sau revizuire periodică.
Statele membre ar trebui să stabilească
garanții adecvate pentru datele cu
caracter personal care sunt stocate pe o
perioadă mai lungă, în scopuri de
arhivare în interes public sau în scopuri
științifice, statistice sau istorice.
(27) | Pentru prevenirea, investigarea și
urmărirea penală a infracțiunilor,
autoritățile competente trebuie să
prelucreze datele cu caracter personal
colectate în contextul prevenirii,
depistării, investigării sau urmăririi
penale a anumitor infracțiuni dincolo de
acest context pentru a înțelege mai bine
activitățile infracționale și pentru a face
2005/69/JHA (8) and Council Decision
2007/533/JHA (9).
(26) | Any processing of personal data
must be lawful, fair and transparent in
relation to the natural persons
concerned, and only processed for
specific purposes laid down by law. This
does not in itself prevent the law-
enforcement authorities from carrying
out activities such as covert
investigations or video surveillance.
Such activities can be done for the
purposes of the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, including the
safeguarding against and the
prevention of threats to public security,
as long as they are laid down by law
and constitute a necessary and
proportionate measure in a democratic
society with due regard for the
legitimate interests of the natural
person concerned. The data protection
principle of fair processing is a distinct
notion from the right to a fair trial as
defined in Article 47 of the Charter and
in Article 6 of the European Convention
for the Protection of Human Rights and
Fundamental Freedoms (ECHR). Natural
persons should be made aware of risks,
rules, safeguards and rights in relation
to the processing of their personal data
and how to exercise their rights in
relation to the processing. In particular,
the specific purposes for which the
personal data are processed should be
explicit and legitimate and determined
at the time of the collection of the
personal data. The personal data should
be adequate and relevant for the
purposes for which they are processed.
It should, in particular, be ensured that
the personal data collected are not
excessive and not kept longer than is
necessary for the purpose for which
they are processed. Personal data
should be processed only if the purpose
of the processing could not reasonably
be fulfilled by other means. In order to
ensure that the data are not kept longer
than necessary, time limits should be
established by the controller for erasure
or for a periodic review. Member States
should lay down appropriate safeguards
for personal data stored for longer
periods for archiving in the public
interest, scientific, statistical or
historical use.
(27) | For the prevention, investigation
and prosecution of criminal offences, it
is necessary for competent authorities
to process personal data collected in
the context of the prevention,
investigation, detection or prosecution
of specific criminal offences beyond
that context in order to develop an
understanding of criminal activities and
directive devrait être sans préjudice des
règles spécifiques énoncées dans la
position commune 2005/69/JAI du
Conseil (8) et dans la décision
2007/533/JAI du Conseil (9).
(26) | Tout traitement de données à
caractère personnel doit être licite, loyal
et transparent à l'égard des personnes
physiques concernées et n'être effectué
qu'aux fins spécifiques fixées par la loi.
Cela n'interdit pas en soi aux autorités
répressives de mener des activités telles
que des enquêtes discrètes ou de la
vidéosurveillance. Ces activités peuvent
être menées à des fins de prévention et
de détection des infractions pénales,
d'enquêtes et de poursuites en la
matière ou d'exécution de sanctions
pénales, y compris la protection contre
les menaces pour la sécurité publique
et la prévention de telles menaces, pour
autant qu'elles soient déterminées par
la loi et qu'elles constituent une mesure
nécessaire et proportionnée dans une
société démocratique, en tenant
dûment compte des intérêts légitimes
de la personne physique concernée. Le
principe en matière de protection des
données de traitement loyal est une
notion distincte du droit à accéder à un
tribunal impartial défini à l'article 47 de
la Charte et à l'article 6 de la convention
de sauvegarde des droits de l'homme et
des libertés fondamentales (ci-après
dénommée «convention européenne
des droits de l'homme»). Les personnes
physiques devraient être informées des
risques, règles, garanties et droits en ce
qui concerne le traitement de données à
caractère personnel les concernant et
des modalités d'exercice de leurs droits
par rapport au traitement. En
particulier, les finalités spécifiques du
traitement des données à caractère
personnel devraient être explicites et
légitimes, et déterminées au moment
de la collecte des données à caractère
personnel. Les données à caractère
personnel devraient être adéquates et
pertinentes au regard des finalités pour
lesquelles elles sont traitées. Il convient
notamment de veiller à ce que les
données à caractère personnel
collectées ne soient pas excessives, ni
conservées pendant une durée
excédant celle nécessaire au regard des
finalités pour lesquelles elles sont
traitées. Les données à caractère
personnel ne devraient être traitées que
si la finalité du traitement ne peut être
raisonnablement atteinte par d'autres
moyens. Afin de garantir que les
données ne sont pas conservées plus
longtemps que nécessaire, des délais
devraient être fixés par le responsable
du traitement en vue de leur effacement
ou d'un examen périodique. Les États
membres devraient établir des garanties
appropriées pour les données à
caractère personnel conservées pendant
des périodes plus longues à des fins
archivistiques dans l'intérêt public, à
des fins scientifiques, statistiques ou
historiques.
(27) | Aux fins de la prévention des
infractions pénales, et des enquêtes et
poursuites en la matière, les autorités
compétentes ont besoin de traiter des
données à caractère personnel,
collectées dans le cadre de la
prévention et de la détection
d'infractions pénales spécifiques, et des
enquêtes et poursuites en la matière
legături între diferitele infracțiuni
detectate.
(28) | În vederea menținerii securității în
ceea ce privește prelucrarea și a
prevenirii prelucrărilor care nu respectă
prezenta directivă, datele cu caracter
personal ar trebui prelucrate într-un
mod care să asigure un nivel
corespunzător de securitate și
confidențialitate, inclusiv prin
prevenirea accesului neautorizat la
acestea sau a utilizării neautorizate a
datelor și a echipamentului utilizat
pentru prelucrare și luând în
considerare stadiul actual al tehnologiei
disponibile, costurile punerii acesteia în
aplicare în raport cu riscurile și natura
datelor cu caracter personal a căror
protecție trebuie asigurată.
(29) | Colectarea datelor cu caracter
personal ar trebui să fie efectuată în
scopuri determinate, explicite și
legitime în cadrul domeniului de
aplicare al prezentei directive, iar
prelucrarea acestora nu ar trebui să se
facă în scopuri care sunt incompatibile
cu obiectivele prevenirii, depistării,
investigării sau urmăririi penale a
infracțiunilor sau ale executării
pedepselor, inclusiv al protejării
împotriva amenințărilor la adresa
securității publice și al prevenirii
acestora. În cazul în care datele cu
caracter personal sunt prelucrate de
către același sau de către un alt
operator într-un scop care se
încadrează în domeniul de aplicare al
prezentei directive, dar este diferit de
scopul în care au fost colectate, o astfel
de prelucrare ar trebui să fie permisă cu
condiția ca o astfel de prelucrare să fie
autorizată în conformitate cu
dispozițiile legale aplicabile și este
necesară și proporțională în raport cu
acest alt scop.
(30) | Principiul exactității datelor ar
trebui aplicat luând în considerare
natura și scopul prelucrării în cauză. În
special în cadrul procedurilor judiciare,
declarațiile care conțin date cu caracter
personal se bazează pe o percepție
subiectivă a persoanelor fizice și nu
sunt întotdeauna verificabile. În
consecință, acest principiu nu ar trebui
să se aplice exactității unei declarații, ci
doar faptului că o anumită declarație a
fost făcută.
(31) | Prelucrarea datelor cu caracter
personal în domeniul cooperării
judiciare în materie penală și al
cooperării polițienești presupune
prelucrarea datelor cu caracter personal
referitoare la diferite categorii de
persoane. Prin urmare, ar trebui să se
facă o distincție clară, după caz și în
măsura posibilului, între datele cu
caracter personal ale diferitelor
categorii de persoane vizate, cum ar fi
suspecții, persoanele condamnate
pentru comiterea unei infracțiuni,
victimele și alte părți, cum ar fi martorii,
persoanele care dețin informații sau
contacte relevante și complicii
suspecților și ai infractorilor
condamnați. Acest lucru nu ar trebui să
to make links between different
criminal offences detected.
(28) | In order to maintain security in
relation to processing and to prevent
processing in infringement of this
Directive, personal data should be
processed in a manner that ensures an
appropriate level of security and
confidentiality, including by preventing
unauthorised access to or use of
personal data and the equipment used
for the processing, and that takes into
account available state of the art and
technology, the costs of
implementation in relation to the risks
and the nature of the personal data to
be protected.
(29) | Personal data should be collected
for specified, explicit and legitimate
purposes within the scope of this
Directive and should not be processed
for purposes incompatible with the
purposes of the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, including the
safeguarding against and the
prevention of threats to public security.
If personal data are processed by the
same or another controller for a
purpose within the scope of this
Directive other than that for which it
has been collected, such processing
should be permitted under the
condition that such processing is
authorised in accordance with
applicable legal provisions and is
necessary for and proportionate to that
other purpose.
(30) | The principle of accuracy of data
should be applied while taking account
of the nature and purpose of the
processing concerned. In particular in
judicial proceedings, statements
containing personal data are based on
the subjective perception of natural
persons and are not always verifiable.
Consequently, the requirement of
accuracy should not appertain to the
accuracy of a statement but merely to
the fact that a specific statement has
been made.
(31) | It is inherent to the processing of
personal data in the areas of judicial
cooperation in criminal matters and
police cooperation that personal data
relating to different categories of data
subjects are processed. Therefore, a
clear distinction should, where
applicable and as far as possible, be
made between personal data of
different categories of data subjects
such as: suspects; persons convicted of
a criminal offence; victims and other
parties, such as witnesses; persons
possessing relevant information or
contacts; and associates of suspects
and convicted criminals. This should
not prevent the application of the right
of presumption of innocence as
au-delà de ce cadre, pour acquérir une
meilleure compréhension des activités
criminelles et établir des liens entre les
différentes infractions pénales mises au
jour.
(28) | Afin de préserver la sécurité
entourant le traitement et de prévenir
tout traitement effectué en violation de
la présente directive, il convient que les
données à caractère personnel soient
traitées de manière à garantir un niveau
de sécurité et de confidentialité
approprié, notamment en empêchant
l'accès non autorisé à ces données et à
l'équipement servant à leur traitement
ainsi que l'utilisation non autorisée de
ces données et de cet équipement, et à
tenir compte de l'état des
connaissances et de la technologie
disponible, des coûts de mise en œuvre
au regard des risques et de la nature
des données à caractère personnel à
protéger.
(29) | Les données à caractère
personnel devraient être collectées pour
des finalités déterminées, explicites et
légitimes relevant du champ
d'application de la présente directive et
elles ne devraient pas être traitées à des
fins incompatibles avec les finalités de
prévention et de détection des
infractions pénales, d'enquêtes et de
poursuites en la matière, ou d'exécution
de sanctions pénales, y compris de
protection contre les menaces pour la
sécurité publique et de prévention de
telles menaces. Si des données à
caractère personnel sont traitées par le
même responsable du traitement ou un
autre pour une finalité relevant du
champ d'application de la présente
directive autre que celle pour laquelle
elles ont été collectées, un tel
traitement devrait être permis à
condition qu'il soit autorisé
conformément aux dispositions légales
applicables et qu'il soit nécessaire et
proportionné au regard de cette autre
finalité.
(30) | Il convient d'appliquer le principe
d'exactitude des données tout en tenant
compte de la nature et de la finalité du
traitement concerné. Dans le cadre des
procédures judiciaires notamment, les
déclarations contenant des données à
caractère personnel sont fondées sur
les perceptions subjectives des
personnes physiques et ne sont pas
toujours vérifiables. Le principe
d'exactitude ne devrait, par conséquent,
pas s'appliquer à l'exactitude de la
déclaration elle-même mais simplement
au fait qu'une déclaration déterminée a
été faite.
(31) | Le traitement des données à
caractère personnel dans les domaines
de la coopération judiciaire en matière
pénale et de la coopération policière
implique nécessairement le traitement
de données à caractère personnel
concernant différentes catégories de
personnes concernées. Il importe dès
lors d'établir une distinction claire, le
cas échéant et dans la mesure du
possible, entre les données à caractère
personnel de différentes catégories de
personnes concernées, telles que: les
suspects; les personnes reconnues
coupables d'une infraction pénale; les
victimes et les autres parties, tels que
les témoins; les personnes détenant des
informations ou des contacts utiles; et
împiedice aplicarea dreptului la
prezumția de nevinovăție, astfel cum
este garantat de Cartă și de CEDO, după
cum a fost interpretat de jurisprudența
Curții de Justiție și, respectiv, a Curții
Europene a Drepturilor Omului.
(32) | Autoritățile competente ar trebui
să se asigure că nu se transmit sau nu
se pun la dispoziție date cu caracter
personal care sunt inexacte, incomplete
sau nu mai sunt actuale. Pentru a
asigura protecția persoanelor fizice și
exactitatea, caracterul integral sau
gradul de actualitate și fiabilitatea
datelor cu caracter personal transmise
sau puse la dispoziție, autoritățile
competente ar trebui, pe cât posibil, să
adauge informațiile necesare în toate
transmiterile de date cu caracter
personal.
(33) | Atunci când prezenta directivă
face trimitere la dreptul intern, la un
temei juridic sau la o măsură legislativă,
aceasta nu necesită neapărat un act
legislativ adoptat de către un
parlament, fără a aduce atingere
cerințelor care decurg din ordinea
constituțională a statului membru în
cauză. Cu toate acestea, dreptul intern,
temeiul juridic sau măsura legislativă în
cauză ar trebui să fie clare și precise,
iar aplicarea să fie previzibilă
destinatarilor, în conformitate cu
jurisprudența Curții de Justiție și a
Curții Europene a Drepturilor Omului.
Dreptul intern care reglementează
prelucrarea datelor cu caracter personal
din domeniul de aplicare al prezentei
directive ar trebui să precizeze cel puțin
obiectivele, datele cu caracter personal
care urmează a fi prelucrate, scopurile
prelucrării și procedurile de păstrare a
integrității și a confidențialității datelor
cu caracter personal și procedurile de
distrugere a acestora, oferind astfel
garanții suficiente împotriva riscurilor
de abuzuri și de arbitrar.
(34) | Prelucrarea datelor cu caracter
personal de către autoritățile
competente în scopul prevenirii,
depistării, investigării sau urmăririi
penale a infracțiunilor sau al executării
sancțiunilor penale, inclusiv al protejării
împotriva amenințărilor la adresa
securității publice și al prevenirii
acestora, ar trebui să acopere orice
operațiune sau serie de operațiuni care
se efectuează asupra datelor cu caracter
personal sau seturilor de date cu
caracter personal în aceste scopuri
efectuată prin mijloace automate sau în
alt mod, precum colectarea,
înregistrarea, organizarea, structurarea,
stocarea, adaptarea sau modificarea,
extragerea, consultarea, utilizarea,
alinierea sau combinarea,
restricționarea prelucrării, ștergerea sau
distrugerea. În special, normele din
prezenta directivă ar trebui să se aplice
transmiterii datelor cu caracter personal
în sensul prezentei directive către un
destinatar care nu face obiectul
guaranteed by the Charter and by the
ECHR, as interpreted in the case-law of
the Court of Justice and by the
European Court of Human Rights
respectively.
(32) | The competent authorities should
ensure that personal data which are
inaccurate, incomplete or no longer up
to date are not transmitted or made
available. In order to ensure the
protection of natural persons, the
accuracy, completeness or the extent to
which the personal data are up to date
and the reliability of the personal data
transmitted or made available, the
competent authorities should, as far as
possible, add necessary information in
all transmissions of personal data.
(33) | Where this Directive refers to
Member State law, a legal basis or a
legislative measure, this does not
necessarily require a legislative act
adopted by a parliament, without
prejudice to requirements pursuant to
the constitutional order of the Member
State concerned. However, such a
Member State law, legal basis or
legislative measure should be clear and
precise and its application foreseeable
for those subject to it, as required by
the case-law of the Court of Justice and
the European Court of Human Rights.
Member State law regulating the
processing of personal data within the
scope of this Directive should specify at
least the objectives, the personal data
to be processed, the purposes of the
processing and procedures for
preserving the integrity and
confidentiality of personal data and
procedures for its destruction, thus
providing sufficient guarantees against
the risk of abuse and arbitrariness.
(34) | The processing of personal data
by competent authorities for the
purposes of the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, including the
safeguarding against and the
prevention of threats to public security,
should cover any operation or set of
operations which are performed upon
personal data or sets of personal data
for those purposes, whether by
automated means or otherwise, such as
collection, recording, organisation,
structuring, storage, adaptation or
alteration, retrieval, consultation, use,
alignment or combination, restriction of
processing, erasure or destruction. In
particular, the rules of this Directive
should apply to the transmission of
personal data for the purposes of this
Directive to a recipient not subject to
this Directive. Such a recipient should
encompass a natural or legal person,
public authority, agency or any other
les complices de personnes
soupçonnées et de criminels
condamnés. Cela ne devrait pas
empêcher l'application du droit à la
présomption d'innocence garanti par la
Charte et par la convention européenne
des droits de l'homme, telles qu'elles
ont été interprétées respectivement par
la Cour de justice et par la Cour
européenne des droits de l'homme dans
leur jurisprudence.
(32) | Les autorités compétentes
devraient veiller à ce que les données à
caractère personnel qui sont inexactes,
incomplètes ou qui ne sont plus à jour
ne soient pas transmises ou mises à
disposition. Afin de garantir la
protection des personnes physiques,
l'exactitude, et la fiabilité des données à
caractère personnel transmises ou
mises à disposition ainsi que leur
exhaustivité ou leur niveau de mise à
jour, les autorités compétentes
devraient, dans la mesure du possible,
ajouter les informations nécessaires
dans tous les transferts de données à
caractère personnel.
(33) | Lorsque la présente directive fait
référence au droit d'un État membre, à
une base juridique ou à une mesure
législative, cela ne signifie pas
nécessairement que l'adoption d'un acte
législatif par un parlement est exigée,
sans préjudice des obligations prévues
en vertu de l'ordre constitutionnel de
l'État membre concerné. Cependant, ce
droit d'un État membre, cette base
juridique ou cette mesure législative
devrait être clair et précis et son
application devrait être prévisible pour
les justiciables, conformément à la
jurisprudence de la Cour de justice et
de la Cour européenne des droits de
l'homme. Le droit des États membres
qui réglemente le traitement des
données à caractère personnel relevant
du champ d'application de la présente
directive devrait préciser au minimum
les objectifs, les données à caractère
personnel qui feront l'objet d'un
traitement, les finalités du traitement et
les procédures pour garantir l'intégrité
et la confidentialité des données à
caractère personnel et les procédures
prévues pour la destruction de celles-
ci, fournissant ainsi des garanties
suffisantes vis-à-vis des risques
d'utilisation abusive et d'arbitraire.
(34) | Le traitement de données à
caractère personnel effectué par les
autorités compétentes à des fins de
prévention et de détection des
infractions pénales, d'enquêtes et de
poursuites en la matière ou d'exécution
de sanctions pénales, y compris la
protection contre les menaces pour la
sécurité publique et la prévention de
telles menaces, devrait couvrir les
opérations ou séries d'opérations
appliquées à des données ou à des
ensembles de données à caractère
personnel à ces fins, qu'elles soient
effectuées à l'aide de procédés
automatisés ou d'une autre manière,
telles que la collecte, l'enregistrement,
l'organisation, la structuration, la
conservation, l'adaptation ou la
modification, l'extraction, la
consultation, l'utilisation, le
rapprochement ou l'interconnexion, la
limitation du traitement, l'effacement
ou la destruction. En particulier, les
règles fixées dans la présente directive
prezentei directive. Un astfel de
destinatar ar trebui să includă o
persoană fizică sau juridică, o autoritate
publică, o agenție sau orice alt organ
căruia îi sunt divulgate în mod legal
datele cu caracter personal de către
autoritățile competente. În cazul în care
datele cu caracter personal au fost
inițial colectate de către o autoritate
competentă în unul dintre scopurile
prezentei directive, Regulamentul (UE)
2016/679 ar trebui să se aplice
prelucrării acestor date în alte scopuri
decât cele ale prezentei directive atunci
când o astfel de prelucrare este
autorizată de dreptul Uniunii sau de
dreptul intern. În special, normele din
Regulamentul (UE) 2016/679 ar trebui
să se aplice la transmiterea de date cu
caracter personal în scopuri care nu
intră sub incidența prezentei directive.
Prelucrarea datelor cu caracter personal
de către un destinatar care nu este sau
nu acționează în calitate de autoritate
competentă în sensul prezentei
directive și căruia îi sunt divulgate în
mod legal date cu caracter personal de
către o autoritate competentă, ar trebui
să intre sub incidența Regulamentului
(UE) 2016/679. La punerea în aplicare a
prezentei directive, statele membre ar
trebui, de asemenea, să poată aduce
precizări suplimentare cu privire la
aplicarea normelor din Regulamentul
(UE) 2016/679, sub rezerva condițiilor
prevăzute în regulamentul respectiv.
(35) | Pentru a fi legală, prelucrarea
datelor cu caracter personal în temeiul
prezentei directive ar trebui să fie
necesară pentru îndeplinirea unei
atribuții de interes public de către o
autoritate competentă în temeiul
dreptului Uniunii sau al dreptului intern,
în scopul prevenirii, depistării,
investigării sau urmăririi penale a
infracțiunilor sau al executării
pedepselor, inclusiv al protejării
împotriva amenințărilor la adresa
securității publice și al prevenirii
acestora. Aceste activități ar trebui să
acopere protejarea intereselor vitale ale
persoanei vizate. Îndeplinirea sarcinilor
de prevenire, depistare, investigare sau
urmărire penală a infracțiunilor,
conferită în mod instituțional prin lege
autorităților competente, le permite
acestora să solicite sau să impună
persoanelor fizice să respecte cerințele
formulate. În acest caz, consimțământul
persoanei vizate, astfel cum este definit
în Regulamentul (UE) 2016/679, nu ar
trebui să constituie un temei juridic
pentru prelucrarea datelor cu caracter
personal de către autoritățile
competente. În cazul în care i se solicită
persoanei vizate să respecte o obligație
legală, persoana vizată nu dispune cu
adevărat de libertatea de alegere, astfel
încât reacția persoanei vizate nu poate
fi considerată ca o manifestare liberă a
voinței sale. Acest lucru nu ar trebui să
împiedice statele membre să prevadă
prin lege că persoana vizată poate
accepta prelucrarea datelor sale cu
caracter personal în scopurile prezentei
directive, cum ar fi testele ADN în
anchetele penale sau monitorizarea
body to which personal data are
lawfully disclosed by the competent
authority. Where personal data were
initially collected by a competent
authority for one of the purposes of this
Directive, Regulation (EU) 2016/679
should apply to the processing of those
data for purposes other than the
purposes of this Directive where such
processing is authorised by Union or
Member State law. In particular, the
rules of Regulation (EU) 2016/679
should apply to the transmission of
personal data for purposes outside the
scope of this Directive. For the
processing of personal data by a
recipient that is not a competent
authority or that is not acting as such
within the meaning of this Directive and
to which personal data are lawfully
disclosed by a competent authority,
Regulation (EU) 2016/679 should apply.
While implementing this Directive,
Member States should also be able to
further specify the application of the
rules of Regulation (EU) 2016/679,
subject to the conditions set out
therein.
(35) | In order to be lawful, the
processing of personal data under this
Directive should be necessary for the
performance of a task carried out in the
public interest by a competent authority
based on Union or Member State law for
the purposes of the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, including the
safeguarding against and the
prevention of threats to public security.
Those activities should cover the
protection of vital interests of the data
subject. The performance of the tasks
of preventing, investigating, detecting
or prosecuting criminal offences
institutionally conferred by law to the
competent authorities allows them to
require or order natural persons to
comply with requests made. In such a
case, the consent of the data subject, as
defined in Regulation (EU) 2016/679,
should not provide a legal ground for
processing personal data by competent
authorities. Where the data subject is
required to comply with a legal
obligation, the data subject has no
genuine and free choice, so that the
reaction of the data subject could not
be considered to be a freely given
indication of his or her wishes. This
should not preclude Member States
from providing, by law, that the data
subject may agree to the processing of
his or her personal data for the
purposes of this Directive, such as DNA
tests in criminal investigations or the
monitoring of his or her location with
electronic tags for the execution of
criminal penalties.
devraient s'appliquer au transfert de
données à caractère personnel aux fins
de la présente directive à un
destinataire non soumis à celle-ci. Par
«destinataire», on devrait entendre une
personne physique ou morale, une
autorité publique, un service ou tout
autre organisme auquel une autorité
compétente communique de manière
licite les données à caractère personnel.
Lorsque des données à caractère
personnel ont été initialement
collectées par une autorité compétente
pour l'une des finalités prévues par la
présente directive, le règlement (UE)
2016/679 devrait s'appliquer au
traitement de ces données à des fins
autres que celles prévues par la
présente directive lorsqu'un tel
traitement est autorisé par le droit de
l'Union ou le droit d'un État membre. En
particulier, les règles fixées dans le
règlement (UE) 2016/679 devraient
s'appliquer au transfert de données à
caractère personnel à des fins ne
relevant pas du champ d'application de
la présente directive. Le règlement (UE)
2016/679 devrait s'appliquer au
traitement de données à caractère
personnel par un destinataire qui n'est
pas une autorité compétente ou qui
n'agit pas en cette qualité au sens de la
présente directive et auquel une
autorité compétente communique de
manière licite des données à caractère
personnel. Dans le cadre de la mise en
œuvre de la présente directive, les États
membres devraient aussi pouvoir
préciser plus en détail les modalités
d'application des règles du règlement
(UE) 2016/679, sous réserve des
conditions fixées dans ledit règlement.
(35) | Pour être licite, le traitement des
données à caractère personnel au titre
de la présente directive devrait être
nécessaire à l'exécution d'une mission
d'intérêt général par une autorité
compétente, fondée sur le droit de
l'Union ou le droit d'un État membre, à
des fins de prévention et de détection
des infractions pénales, d'enquêtes et
de poursuites en la matière ou
d'exécution de sanctions pénales, y
compris la protection contre les
menaces pour la sécurité publique et la
prévention de telles menaces. Ces
activités devraient couvrir la protection
des intérêts vitaux de la personne
concernée. Dans le cadre de l'exécution
des missions de prévention et de
détection des infractions pénales,
d'enquêtes et de poursuites en la
matière ou d'exécution de sanctions
pénales qui leur sont confiées de
manière institutionnelle par la loi, les
autorités compétentes peuvent
demander ou ordonner aux personnes
physiques de donner suite aux
demandes qui leur sont adressées.
Dans ce cas, le consentement de la
personne concernée, au sens du
règlement (UE) 2016/679, ne devrait
pas constituer une base juridique pour
le traitement de données à caractère
personnel par les autorités
compétentes. Lorsqu'elle est tenue de
respecter une obligation légale, la
personne concernée ne dispose pas
d'une véritable liberté de choix; sa
réaction ne pourrait dès lors être
considérée comme une manifestation
libre de sa volonté. Cela ne devrait pas
empêcher les États membres de prévoir
localizării persoanei vizate prin
dispozitive electronice pentru
executarea pedepselor.
(36) | Statele membre ar trebui să
prevadă că, în cazul în care dreptul
Uniunii sau dreptul intern aplicabil
autorității competente care a transmis
datele prevede condiții specifice
aplicabile în situații specifice prelucrării
datelor cu caracter personal, cum ar fi
folosirea unor coduri de utilizare,
autoritatea competentă care a transmis
datele ar trebui să informeze
destinatarul respectivelor date cu
caracter personal cu privire la astfel de
condiții și obligația de a le respecta.
Astfel de condiții ar putea include, de
exemplu, interdicția de a transmite
datele cu caracter personal altor
destinatari sau de a le utiliza în alte
scopuri decât cele pentru care au fost
transmise destinatarului, sau de a
informa persoana vizată în cazul unei
limitări a dreptului la informare fără
aprobarea prealabilă a autorității
competente care a transmis datele.
Obligațiile menționate ar trebui să se
aplice, de asemenea, transferurilor
realizate de autoritatea competentă
care a transmis datele către destinatari
din țări terțe sau către organizații
internaționale. Statele membre ar trebui
să garanteze neaplicarea de către
autoritatea competentă care a transmis
datele nu aplică în cazul destinatarilor
din alte state membre sau în cazul
agențiilor, oficiilor și organelor
instituite în conformitate cu titlul V
capitolele 4 și 5 din TFUE, alte condiții
decât cele aplicabile transmiterii
similare de date în statul membru al
autorității competente respective.
(37) | Datele cu caracter personal care
sunt, prin natura lor, deosebit de
sensibile în ceea ce privește drepturile
și libertățile fundamentale necesită o
protecție specifică, deoarece contextul
prelucrării acestora ar putea genera
riscuri considerabile la adresa
drepturilor și libertăților fundamentale.
Aceste date cu caracter personal ar
trebui să includă datele cu caracter
personal care dezvăluie originea rasială
sau etnică, utilizarea termenului
„origine rasială” în prezenta directivă
neimplicând o acceptare de către
Uniune a teoriilor care urmăresc să
stabilească existența unor rase umane
separate. Asemenea date cu caracter
personal nu ar trebui prelucrate, cu
excepția cazului în care prelucrarea face
obiectul unor garanții adecvate pentru
drepturile și libertățile persoanei vizate
prevăzute de lege și este autorizată în
cazuri prevăzute de lege; dacă nu este
deja autorizată de o astfel de lege,
prelucrarea este necesară pentru a
proteja interesele vitale ale persoanei
vizate sau ale altei persoane; sau
prelucrarea se referă la date care sunt
făcute publice în mod manifest de către
persoana vizată. Garanțiile adecvate
(36) | Member States should provide
that where Union or Member State law
applicable to the transmitting
competent authority provides for
specific conditions applicable in specific
circumstances to the processing of
personal data, such as the use of
handling codes, the transmitting
competent authority should inform the
recipient of such personal data of those
conditions and the requirement to
respect them. Such conditions could,
for example, include a prohibition
against transmitting the personal data
further to others, or using them for
purposes other than those for which
they were transmitted to the recipient,
or informing the data subject in the
case of a limitation of the right of
information without the prior approval
of the transmitting competent
authority. Those obligations should also
apply to transfers by the transmitting
competent authority to recipients in
third countries or international
organisations. Member States should
ensure that the transmitting competent
authority does not apply such
conditions to recipients in other
Member States or to agencies, offices
and bodies established pursuant to
Chapters 4 and 5 of Title V of the TFEU
other than those applicable to similar
data transmissions within the Member
State of that competent authority.
(37) | Personal data which are, by their
nature, particularly sensitive in relation
to fundamental rights and freedoms
merit specific protection as the context
of their processing could create
significant risks to the fundamental
rights and freedoms. Those personal
data should include personal data
revealing racial or ethnic origin,
whereby the use of the term ‘racial
origin’ in this Directive does not imply
an acceptance by the Union of theories
which attempt to determine the
existence of separate human races.
Such personal data should not be
processed, unless processing is subject
to appropriate safeguards for the rights
and freedoms of the data subject laid
down by law and is allowed in cases
authorised by law; where not already
authorised by such a law, the
processing is necessary to protect the
vital interests of the data subject or of
another person; or the processing
relates to data which are manifestly
made public by the data subject.
Appropriate safeguards for the rights
and freedoms of the data subject could
include the possibility to collect those
data only in connection with other data
par la loi que la personne concernée
peut consentir au traitement de
données à caractère personnel la
concernant aux fins de la présente
directive, par exemple pour des tests
ADN dans des enquêtes pénales ou le
suivi de sa localisation au moyen de
dispositifs électroniques dans le cadre
de l'exécution de sanctions pénales.
(36) | Les États membres devraient
prévoir que lorsque le droit de l'Union
ou le droit d'un État membre applicable
à l'autorité compétente qui transmet les
données soumet le traitement de
données à caractère personnel à des
conditions spécifiques applicables dans
certaines situations particulières, telles
que l'utilisation de codes de traitement,
l'autorité compétente qui transmet les
données devrait informer le destinataire
de ces données à caractère personnel
de ces conditions et de l'obligation de
les respecter. Ces conditions
pourraient, par exemple, comprendre
une interdiction de transmission
ultérieure des données à caractère
personnel à autrui, une interdiction
d'utilisation desdites données à des fins
autres que celles pour lesquelles elles
ont été transmises au destinataire, ou
une interdiction d'informer la personne
concernée lorsque le droit à
l'information est limité en l'absence
d'autorisation préalable de l'autorité
compétente qui transmet les données.
Ces obligations devraient également
s'appliquer aux transferts de données
par l'autorité compétente qui transmet
les données à des destinataires dans
des pays tiers ou des organisations
internationales. Les États membres
devraient veiller à ce que l'autorité
compétente qui transmet les données
n'applique pas aux destinataires dans
les autres États membres ou aux
services, organes et organismes établis
en vertu du titre V, chapitres 4 et 5, du
traité sur le fonctionnement de l'Union
européenne des conditions différentes
de celles applicables aux transferts de
données similaires à l'intérieur de l'État
membre dont relève ladite autorité
compétente.
(37) | Les données à caractère
personnel qui sont, par nature,
particulièrement sensibles du point de
vue des libertés et droits fondamentaux
méritent une protection spécifique, car
le contexte dans lequel elles sont
traitées pourrait engendrer des risques
importants pour ces libertés et droits.
Ces données à caractère personnel
devraient comprendre les données à
caractère personnel qui révèlent
l'origine raciale ou ethnique, étant
entendu que l'utilisation de l'expression
«origine raciale» dans la présente
directive n'implique pas que l'Union
adhère à des théories tendant à établir
l'existence de races humaines
distinctes. Ces données à caractère
personnel ne devraient pas faire l'objet
d'un traitement, à moins que celui-ci ne
s'accompagne de garanties appropriées
pour les droits et libertés de la
personne concernée fixées par la loi et
ne soit permis dans des cas autorisés
par la loi; lorsqu'il n'est pas déjà
autorisé par une telle loi, qu'il ne soit
nécessaire à la sauvegarde des intérêts
vitaux de la personne concernée ou
d'une autre personne; ou qu'il ne porte
sur des données manifestement
pentru drepturile și libertățile persoanei
vizate ar putea include posibilitatea de
a colecta aceste date numai în legătură
cu alte date referitoare la persoana
fizică respectivă, posibilitatea de a
garanta în mod adecvat datele
colectate, reguli mai stricte privind
accesul la date al personalului
autorității competente și interzicerea
transmiterii datelor respective.
Prelucrarea unor astfel de date ar
trebui, de asemenea, să fie permisă de
lege, atunci când persoana vizată a fost
de acord în mod explicit, în cazurile în
care prelucrarea este deosebit de
intruzivă pentru aceasta. Cu toate
acestea, consimțământul persoanei
vizate nu ar trebui să constituie, în sine,
un temei juridic pentru prelucrarea unor
astfel de date sensibile cu caracter
personal de către autoritățile
competente.
(38) | Persoana vizată ar trebui să aibă
dreptul de a nu face obiectul unei
decizii care evaluează aspecte cu
caracter personal referitoare la propria
persoană, care se bazează exclusiv pe
prelucrarea automată și care produce
efecte juridice negative care privesc
propria persoană sau o afectează în
mod semnificativ. În orice caz, o astfel
de prelucrare ar trebui să facă obiectul
unor garanții corespunzătoare, inclusiv
o informare specifică a persoanei vizate
și dreptul acesteia de a obține
intervenție umană, în special de a-și
exprima punctul de vedere, de a primi o
explicație privind decizia luată în urma
unei astfel de evaluări sau de a contesta
decizia. Crearea de profiluri care are
drept rezultat discriminarea
persoanelor fizice pe baza datelor cu
caracter personal care sunt, prin natura
lor, deosebit de sensibile în ceea ce
privește drepturile și libertățile
fundamentale este interzisă în condițiile
prevăzute la articolele 21 și 52 din
Cartă.
(39) | Pentru ca persoana vizată să își
poată exercita drepturile, toate
informațiile adresate persoanei vizate ar
trebui să fie ușor accesibile, inclusiv pe
site-ul internet al operatorului, și ușor
de înțeles, fiind necesar ca limbajul
folosit să fie simplu și clar. Respectivele
informații ar trebui să fie adaptate la
nevoile persoanelor vulnerabile, cum ar
fi copiii.
(40) | Ar trebui să fie prevăzute
modalități de facilitare a exercitării de
către persoana vizată a drepturilor care
îi sunt conferite prin dispozițiile
adoptate în temeiul prezentei directive,
inclusiv mecanismele prin care aceasta
poate solicita și, după caz obține, în
mod gratuit, în special, acces la datele
cu caracter personal, precum și
rectificarea sau ștergerea acestora și
restricționarea prelucrării. Operatorul ar
trebui să aibă obligația de a răspunde
cererilor persoanelor vizate fără
întârzieri nejustificate, cu excepția
cazului în care operatorul aplică limitări
ale drepturilor persoanelor vizate în
conformitate cu prezenta directivă. În
plus, în cazul în care cererile sunt în
mod vădit nefondate sau excesive, de
on the natural person concerned, the
possibility to secure the data collected
adequately, stricter rules on the access
of staff of the competent authority to
the data and the prohibition of
transmission of those data. The
processing of such data should also be
allowed by law where the data subject
has explicitly agreed to the processing
that is particularly intrusive to him or
her. However, the consent of the data
subject should not provide in itself a
legal ground for processing such
sensitive personal data by competent
authorities.
(38) | The data subject should have the
right not to be subject to a decision
evaluating personal aspects relating to
him or her which is based solely on
automated processing and which
produces adverse legal effects
concerning, or significantly affects, him
or her. In any case, such processing
should be subject to suitable
safeguards, including the provision of
specific information to the data subject
and the right to obtain human
intervention, in particular to express his
or her point of view, to obtain an
explanation of the decision reached
after such assessment or to challenge
the decision. Profiling that results in
discrimination against natural persons
on the basis of personal data which are
by their nature particularly sensitive in
relation to fundamental rights and
freedoms should be prohibited under
the conditions laid down in Articles 21
and 52 of the Charter.
(39) | In order to enable him or her to
exercise his or her rights, any
information to the data subject should
be easily accessible, including on the
website of the controller, and easy to
understand, using clear and plain
language. Such information should be
adapted to the needs of vulnerable
persons such as children.
(40) | Modalities should be provided for
facilitating the exercise of the data
subject's rights under the provisions
adopted pursuant to this Directive,
including mechanisms to request and, if
applicable, obtain, free of charge, in
particular, access to and rectification or
erasure of personal data and restriction
of processing. The controller should be
obliged to respond to requests of the
data subject without undue delay,
unless the controller applies limitations
to data subject rights in accordance
with this Directive. Moreover, if
requests are manifestly unfounded or
excessive, such as where the data
subject unreasonably and repetitiously
requests information or where the data
subject abuses his or her right to
rendues publiques par la personne
concernée. Des garanties appropriées
pour les droits et des libertés de la
personne concernée pourraient
comprendre la possibilité de ne
collecter ces données qu'en rapport
avec d'autres données relatives à la
personne physique concernée, la
possibilité de sécuriser les données
collectées de manière adéquate, des
règles plus strictes pour l'accès du
personnel de l'autorité compétente aux
données et l'interdiction de la
transmission de ces données. Il
convient également que le traitement
de pareilles données soit autorisé par la
loi lorsque la personne concernée a
expressément marqué son accord au
traitement qui est particulièrement
intrusif pour elle. Toutefois, l'accord de
la personne concernée ne devrait pas
constituer en soi une base juridique
pour le traitement de ces données à
caractère personnel sensibles par les
autorités compétentes.
(38) | La personne concernée devrait
avoir le droit de ne pas faire l'objet
d'une décision impliquant l'évaluation
de certains aspects personnels la
concernant, qui est prise sur le seul
fondement d'un traitement automatisé
et qui produit des effets juridiques
défavorables la concernant ou qui
l'affecte de manière significative. En
tout état de cause, un traitement de ce
type devrait être assorti de garanties
appropriées, y compris la fourniture
d'informations spécifiques à la
personne concernée et le droit d'obtenir
une intervention humaine, en particulier
d'exprimer son point de vue, d'obtenir
une explication quant à la décision
prise à l'issue de ce type d'évaluation ou
de contester la décision. Tout profilage
qui entraîne une discrimination à
l'égard de personnes physiques sur la
base de données à caractère personnel
qui sont, par nature, particulièrement
sensibles du point de vue des libertés et
des droits fondamentaux, devrait être
interdit en application des conditions
établies aux articles 21 et 52 de la
Charte.
(39) | Afin de permettre aux personnes
concernées d'exercer leurs droits, toute
information qui leur est communiquée
devrait être aisément accessible, y
compris sur le site internet du
responsable du traitement, et facile à
comprendre, et formulée en des termes
clairs et simples. Ces informations
devraient être adaptées aux besoins des
personnes vulnérables telles que les
enfants.
(40) | Des modalités devraient être
prévues pour faciliter l'exercice par la
personne concernée des droits qui lui
sont conférés par la présente directive,
y compris les moyens de demander et,
le cas échéant, d'obtenir, sans frais,
notamment l'accès aux données à
caractère personnel, et leur rectification
ou leur effacement et la limitation du
traitement. Le responsable du
traitement devrait être tenu de
répondre aux demandes de la personne
concernée dans les meilleurs délais, à
moins qu'il n'applique des limitations
aux droits de la personne concernée
conformément à la présente directive.
En outre, si les demandes sont
manifestement infondées ou
excessives, par exemple lorsque la
exemplu atunci când persoana vizată
solicită informații în mod nejustificat și
repetat sau atunci când persoana vizată
abuzează de dreptul său de a primi
informații, de exemplu prin furnizarea
de informații false sau înșelătoare în
momentul efectuării cererii, operatorul
ar trebui să poată percepe o taxă
rezonabilă sau să refuze să dea curs
cererii.
(41) | Atunci când operatorul solicită
furnizarea de informații suplimentare
necesare pentru a confirma identitatea
persoanei vizate, respectivele informații
ar trebui să fie prelucrate numai în
acest scop specific și nu ar trebui să fie
stocate pentru o perioadă mai lungă
decât cea necesară în acest scop
specific.
(42) | Cel puțin următoarele informații
ar trebui să fie puse la dispoziția
persoanei vizate: identitatea
operatorului, existența operațiunii de
prelucrare, scopurile prelucrării, dreptul
de a înainta o plângere și existența
dreptului de a solicita operatorului
accesul la prelucrare, precum și
rectificarea sau ștergerea datelor cu
caracter personal sau restricționarea
prelucrării. Acest lucru ar putea să se
realizeze pe site-ul internet al
autorității competente. În plus, în cazuri
specifice și pentru a-i permite
persoanei vizate să își exercite
drepturile, persoana vizată ar trebui să
fie informată cu privire la temeiul juridic
al prelucrării și cu privire la cât timp vor
fi stocate datele, în măsura în care
astfel de informații suplimentare sunt
necesare, având în vedere
circumstanțele specifice în care sunt
prelucrate datele, pentru a garanta o
prelucrare echitabilă în ceea ce privește
persoana vizată.
(43) | O persoană fizică ar trebui să aibă
drept de acces la datele colectate care o
privesc și ar trebui să își exercite acest
drept cu ușurință și la intervale de timp
rezonabile, pentru a fi informată cu
privire la prelucrare și pentru a verifica
legalitatea acesteia. Orice persoană
vizată ar trebui, prin urmare, să aibă
dreptul de a cunoaște și de a i se
comunica în ce scopuri sunt prelucrate
datele, pentru ce perioadă sunt acestea
prelucrate și care este identitatea
destinatarilor datelor, inclusiv din țările
terțe. Când respectiva comunicare
include informații cu privire la originea
datelor cu caracter personal, astfel de
informații nu ar trebui să dezvăluie
identitatea persoanelor fizice, în special
a surselor confidențiale. Pentru ca acest
drept să fie respectat, este suficient ca
persoana vizată să dețină o sinteză
completă a respectivelor date într-o
formă inteligibilă, adică o formă care să
permită persoanei vizate să ia
cunoștință de aceste date și să verifice
că acestea sunt exacte și prelucrate în
conformitate cu prezenta directivă,
astfel încât persoana vizată să poată să
își exercite drepturile care îi sunt
conferite prin prezenta directivă. O
astfel de sinteză ar putea fi furnizată
sub forma unei copii a datelor cu
caracter personal care sunt în curs de
prelucrare.
receive information, for example, by
providing false or misleading
information when making the request,
the controller should be able to charge
a reasonable fee or refuse to act on the
request.
(41) | Where the controller requests the
provision of additional information
necessary to confirm the identity of the
data subject, that information should be
processed only for that specific purpose
and should not be stored for longer
than needed for that purpose.
(42) | At least the following information
should be made available to the data
subject: the identity of the controller,
the existence of the processing
operation, the purposes of the
processing, the right to lodge a
complaint and the existence of the right
to request from the controller access to
and rectification or erasure of personal
data or restriction of processing. This
could take place on the website of the
competent authority. In addition, in
specific cases and in order to enable
the exercise of his or her rights, the
data subject should be informed of the
legal basis for the processing and of
how long the data will be stored, in so
far as such further information is
necessary, taking into account the
specific circumstances in which the data
are processed, to guarantee fair
processing in respect of the data
subject.
(43) | A natural person should have the
right of access to data which has been
collected concerning him or her, and to
exercise this right easily and at
reasonable intervals, in order to be
aware of and verify the lawfulness of
the processing. Every data subject
should therefore have the right to
know, and obtain communications
about, the purposes for which the data
are processed, the period during which
the data are processed and the
recipients of the data, including those
in third countries. Where such
communications include information as
to the origin of the personal data, the
information should not reveal the
identity of natural persons, in particular
confidential sources. For that right to
be complied with, it is sufficient that
the data subject be in possession of a
full summary of those data in an
intelligible form, that is to say a form
which allows that data subject to
become aware of those data and to
verify that they are accurate and
processed in accordance with this
Directive, so that it is possible for him
or her to exercise the rights conferred
on him or her by this Directive. Such a
summary could be provided in the form
of a copy of the personal data
undergoing processing.
personne concernée présente de façon
répétée et déraisonnable des demandes
d'information ou fait une utilisation
abusive de son droit de recevoir des
informations, par exemple en
fournissant des informations fausses ou
trompeuses lorsqu'elle présente sa
demande, le responsable du traitement
devrait pouvoir exiger le paiement de
frais raisonnables ou refuser de donner
suite à la demande.
(41) | Lorsque le responsable du
traitement demande que des
informations supplémentaires lui soient
fournies pour confirmer l'identité de la
personne concernée, il convient que ces
informations fassent l'objet d'un
traitement uniquement pour cette
finalité précise et qu'elles ne soient pas
conservées pendant une durée
excédant celle nécessaire au regard de
ladite finalité.
(42) | Les informations suivantes, au
moins, devraient être communiquées à
la personne concernée: l'identité du
responsable du traitement, l'existence
d'une opération de traitement, les
finalités du traitement, le droit
d'introduire une réclamation et
l'existence du droit de demander au
responsable du traitement l'accès aux
données à caractère personnel, leur
rectification ou leur effacement ou la
limitation du traitement. Ces
informations pourraient figurer sur le
site internet de l'autorité compétente.
En outre, dans des cas précis et afin de
permettre à la personne concernée
d'exercer ses droits, celle-ci devrait être
informée de la base juridique du
traitement et de la durée pendant
laquelle les données seront conservées,
dans la mesure où ces informations
complémentaires sont nécessaires pour
assurer un traitement loyal des données
à l'égard de la personne concernée,
compte tenu des circonstances
particulières dans lesquelles les
données sont traitées.
(43) | Une personne physique devrait
avoir le droit d'accéder aux données qui
ont été collectées la concernant et
d'exercer ce droit facilement, à des
intervalles raisonnables, afin de prendre
connaissance du traitement et d'en
vérifier la licéité. En conséquence,
chaque personne concernée devrait
avoir le droit de connaître et de se faire
communiquer les finalités du traitement
des données, la durée pendant laquelle
les données sont traitées, ainsi que
l'identité des destinataires, y compris
les destinataires se trouvant dans des
pays tiers. Lorsque ces communications
comportent des informations relatives à
l'origine des données à caractère
personnel, ces informations ne
devraient pas révéler l'identité des
personnes physiques, en particulier les
sources confidentielles. Pour que ce
droit soit respecté, il suffit que la
personne concernée dispose d'un
aperçu complet de ces données sous
une forme intelligible, c'est-à-dire une
forme qui lui permette de prendre
connaissance de ces données et de
vérifier si elles sont exactes et traitées
conformément à la présente directive,
de sorte qu'elle puisse exercer les
droits que lui confère la présente
directive. Cet aperçu pourrait être
fourni sous la forme d'une copie des

(44) | Statele membre ar trebui să aibă
posibilitatea de a adopta măsuri
legislative în vederea amânării, a
restricționării sau a omiterii informării
persoanelor vizate sau în vederea
restricționării, integrale sau parțiale, a
accesului la datele lor cu caracter
personal, în măsura în care și atât timp
cât o astfel de măsură constituie o
măsură necesară și proporțională într-o
societate democratică, ținând seama în
mod corespunzător de drepturile
fundamentale și de interesele legitime
ale persoanei fizice în cauză, pentru a
se evita obstrucționarea cercetărilor, a
anchetelor sau a procedurilor oficiale
sau judiciare, pentru a nu se afecta
prevenirea, investigarea, depistarea sau
urmărirea penală a infracțiunilor sau
executarea pedepselor, pentru a se
apăra securitatea publică sau
securitatea națională ori pentru a se
apăra drepturile și libertățile altor
persoane. Operatorul ar trebui să
evalueze, prin intermediul unei
examinări concrete și individuale a
fiecărui caz în parte, dacă dreptul de
acces ar trebui să fie limitat parțial sau
complet.
(45) | Orice refuz sau limitare a
accesului ar trebui, în principiu, să fie
prezentată în scris persoanei vizate și
ar trebui să includă motivele de fapt și
de drept pe care se bazează decizia.
(46) | Orice limitare a drepturilor
persoanei vizate trebuie să fie în
conformitate cu Carta și cu CEDO, după
cum a fost interpretată de jurisprudența
Curții de Justiție și, respectiv, a Curții
Europene a Drepturilor Omului și,
îndeosebi, trebuie să respecte esența
drepturilor și libertăților respective.
(47) | O persoană fizică ar trebui să aibă
dreptul de a obține rectificarea datelor
cu caracter personal inexacte care o
privesc, mai ales când acestea se referă
la fapte, precum și dreptul la ștergerea
datelor în cazul în care prelucrarea
datelor respective nu respectă prezenta
directivă. Cu toate acestea, dreptul la
rectificare nu ar trebui să afecteze, de
exemplu, conținutul depozițiilor
martorilor. O persoană fizică ar trebui
să aibă, de asemenea, dreptul la
restricționarea prelucrării atunci când
această persoană contestă exactitatea
datelor cu caracter personal și nu se
poate stabili exactitatea sau
inexactitatea lor sau în cazul în care
datele cu caracter personal trebuie să
fie păstrate ca mijloace de probă. În
special, în loc ca datele cu caracter
personal să fie șterse, prelucrarea ar
trebui să fie restricționată dacă într-un
caz specific există motive întemeiate să
se considere că ștergerea lor ar putea
afecta interesele legitime ale persoanei
vizate. În acest caz, datele restricționate
ar trebui să fie prelucrate doar în scopul
care a împiedicat ștergerea lor.
Metodele de restricționare a prelucrării
ar putea include, printre altele,
transferul datelor selectate în alt sistem
de prelucrare, de exemplu în scopuri de
arhivare, sau anularea accesului
utilizatorilor la datele selectate. În ceea
ce privește sistemele automatizate de
evidență a datelor, restricționarea
(44) | Member States should be able to
adopt legislative measures delaying,
restricting or omitting the information
to data subjects or restricting, wholly or
partly, the access to their personal data
to the extent that and as long as such a
measure constitutes a necessary and
proportionate measure in a democratic
society with due regard for the
fundamental rights and the legitimate
interests of the natural person
concerned, to avoid obstructing official
or legal inquiries, investigations or
procedures, to avoid prejudicing the
prevention, investigation, detection or
prosecution of criminal offences or the
execution of criminal penalties, to
protect public security or national
security, or to protect the rights and
freedoms of others. The controller
should assess, by way of a concrete and
individual examination of each case,
whether the right of access should be
partially or completely restricted.
(45) | Any refusal or restriction of
access should in principle be set out in
writing to the data subject and include
the factual or legal reasons on which
the decision is based.
(46) | Any restriction of the rights of the
data subject must comply with the
Charter and with the ECHR, as
interpreted in the case-law of the Court
of Justice and by the European Court of
Human Rights respectively, and in
particular respect the essence of those
rights and freedoms.
(47) | A natural person should have the
right to have inaccurate personal data
concerning him or her rectified, in
particular where it relates to facts, and
the right to erasure where the
processing of such data infringes this
Directive. However, the right to
rectification should not affect, for
example, the content of a witness
testimony. A natural person should also
have the right to restriction of
processing where he or she contests
the accuracy of personal data and its
accuracy or inaccuracy cannot be
ascertained or where the personal data
have to be maintained for purpose of
evidence. In particular, instead of
erasing personal data, processing
should be restricted if in a specific case
there are reasonable grounds to believe
that erasure could affect the legitimate
interests of the data subject. In such a
case, restricted data should be
processed only for the purpose which
prevented their erasure. Methods to
restrict the processing of personal data
could include, inter alia, moving the
selected data to another processing
system, for example for archiving
purposes, or making the selected data
unavailable. In automated filing systems
the restriction of processing should in
principle be ensured by technical
means. The fact that the processing of
personal data is restricted should be
indicated in the system in such a
données à caractère personnel faisant
l'objet du traitement.
(44) | Les États membres devraient
pouvoir adopter des mesures
législatives visant à retarder ou à limiter
l'information des personnes concernées
ou à ne pas leur accorder cette
information, ou à leur limiter,
complètement ou partiellement, l'accès
aux données à caractère personnel les
concernant, dès lors qu'une telle
mesure constitue une mesure
nécessaire et proportionnée dans une
société démocratique, compte dûment
tenu des droits fondamentaux et des
intérêts légitimes de la personne
physique concernée, pour éviter de
gêner des enquêtes, des recherches ou
des procédures officielles ou judiciaires,
pour éviter de nuire à la prévention et à
la détection des infractions pénales,
aux enquêtes et poursuites en la
matière ou à l'exécution de sanctions
pénales, pour sauvegarder la sécurité
publique ou la sécurité nationale, ou
pour protéger les droits et libertés
d'autrui. Le responsable du traitement
devrait apprécier, en examinant chaque
cas de façon concrète et individuelle,
s'il y a lieu de limiter le droit d'accès
partiellement ou complètement.
(45) | Tout refus d'accès ou toute
limitation de l'accès devrait en principe
être présenté par écrit à la personne
concernée et indiquer les motifs
factuels ou juridiques sur lesquels la
décision est fondée.
(46) | Toute limitation des droits de la
personne concernée doit respecter la
Charte et la convention européenne des
droits de l'homme, telles qu'elles sont
interprétées respectivement par la Cour
de justice et par la Cour européenne
des droits de l'homme dans leur
jurisprudence, et notamment respecter
l'essence desdits droits et libertés.
(47) | Une personne physique devrait
avoir le droit de faire rectifier des
données à caractère personnel
inexactes la concernant, en particulier
lorsque cela touche aux faits, et
disposer d'un droit d'effacement
lorsque le traitement de ces données
constitue une violation de la présente
directive. Cependant, le droit de
rectification ne devrait pas affecter, par
exemple, la teneur d'une déposition.
Une personne physique devrait
également avoir le droit d'obtenir la
limitation du traitement lorsqu'elle
conteste l'exactitude des données à
caractère personnel et qu'il ne peut être
déterminé si ces données sont exactes
ou non, ou lorsque les données à
caractère personnel doivent être
conservées à des fins probatoires. Plus
particulièrement, les données à
caractère personnel devraient faire
l'objet d'une limitation du traitement
plutôt qu'être effacées si, dans un cas
déterminé, il existe des motifs
raisonnables de penser que
l'effacement pourrait nuire aux intérêts
légitimes de la personne concernée. En
pareil cas, les données faisant l'objet
d'une limitation du traitement ne
devraient être traitées que pour la
finalité qui a empêché leur effacement.
Les méthodes visant à limiter le
traitement de données à caractère
personnel pourraient consister, entre
autres, à déplacer les données
prelucrării de date cu caracter personal
ar trebui, în principiu, asigurată prin
mijloace tehnice; faptul că prelucrarea
datelor cu caracter personal este
restricționată ar trebui indicat în sistem
în așa fel încât să se înțeleagă clar că
această restricționare are loc. O astfel
de rectificare sau ștergere a datelor cu
caracter personal sau restricționare a
prelucrării ar trebui să fie comunicată
destinatarilor cărora le-au fost
divulgate datele și autorităților
competente de la care provin datele
inexacte. Operatorii ar trebui, de
asemenea, să nu comunice mai departe
astfel de date.
(48) | În cazul în care operatorul refuză
unei persoane vizate drepturile acesteia
la informare, acces ori la rectificarea
sau ștergerea datelor cu caracter
personal sau la restricționarea
prelucrării, persoana vizată ar trebui să
aibă dreptul de a solicita ca autoritatea
națională de supraveghere să verifice
legalitatea prelucrării. Persoana vizată
ar trebui să fie informată cu privire la
acest drept. Atunci când autoritatea de
supraveghere acționează în numele
persoanei vizate, persoana vizată ar
trebui să fie informată de către
autoritatea de supraveghere cel puțin
cu privire la faptul că toate verificările
sau revizuirile necesare au fost
efectuate de către autoritatea de
supraveghere. Autoritatea de
supraveghere ar trebui, de asemenea,
să informeze persoana vizată în
legătură cu dreptul de a introduce o
cale de atac.
(49) | În cazul în care datele cu caracter
personal sunt prelucrate în cadrul unei
anchete penale și al unor acțiuni în
instanță în materie penală, statele
membre ar trebui să poată garanta
exercitarea drepturilor la informare,
acces și de rectificare sau ștergere a
datelor cu caracter personal și de
restricționare a prelucrării în
conformitate cu normele naționale
privind procedurile judiciare.
(50) | Ar trebui să se stabilească
responsabilitatea și răspunderea
operatorului pentru orice prelucrare a
datelor cu caracter personal efectuată
de către acesta sau în numele său. În
special, operatorul ar trebui să fie
obligat să pună în aplicare măsuri
adecvate și eficace și să fie în măsură să
demonstreze că activitățile de
prelucrare respectă prezenta directivă.
Măsurile respective ar trebui să țină
seama de natura, domeniul de aplicare,
contextul și scopurile prelucrării,
precum și de riscul la adresa drepturilor
și libertăților persoanelor fizice.
Măsurile luate de operator ar trebui să
includă elaborarea și punerea în
aplicare a unor garanții specifice cu
privire la tratamentul datelor cu
caracter personal ale persoanelor
vulnerabile, în special ale copiilor.
(51) | Riscurile la adresa drepturilor și
libertăților persoanelor fizice,
manner that it is clear that the
processing of the personal data is
restricted. Such rectification or erasure
of personal data or restriction of
processing should be communicated to
recipients to whom the data have been
disclosed and to the competent
authorities from which the inaccurate
data originated. The controllers should
also abstain from further dissemination
of such data.
(48) | Where the controller denies a data
subject his or her right to information,
access to or rectification or erasure of
personal data or restriction of
processing, the data subject should
have the right to request that the
national supervisory authority verify the
lawfulness of the processing. The data
subject should be informed of that
right. Where the supervisory authority
acts on behalf of the data subject, the
data subject should be informed by the
supervisory authority at least that all
necessary verifications or reviews by the
supervisory authority have taken place.
The supervisory authority should also
inform the data subject of the right to
seek a judicial remedy.
(49) | Where the personal data are
processed in the course of a criminal
investigation and court proceedings in
criminal matters, Member States should
be able to provide that the exercise the
right to information, access to and
rectification or erasure of personal data
and restriction of processing is carried
out in accordance with national rules on
judicial proceedings.
(50) | The responsibility and liability of
the controller for any processing of
personal data carried out by the
controller or on the controller's behalf
should be established. In particular, the
controller should be obliged to
implement appropriate and effective
measures and should be able to
demonstrate that processing activities
are in compliance with this Directive.
Such measures should take into account
the nature, scope, context and
purposes of the processing and the risk
to the rights and freedoms of natural
persons. The measures taken by the
controller should include drawing up
and implementing specific safeguards
in respect of the treatment of personal
data of vulnerable natural persons, such
as children.
(51) | The risk to the rights and
freedoms of natural persons, of varying
sélectionnées vers un autre système de
traitement, par exemple à des fins
archivistiques, ou à rendre les données
sélectionnées inaccessibles. Dans les
fichiers automatisés, la limitation du
traitement devrait en principe être
assurée par des moyens techniques. Le
fait que le traitement des données à
caractère personnel est limité devrait
être indiqué de manière claire dans le
fichier. Cette rectification ou cet
effacement des données à caractère
personnel ou cette limitation du
traitement devraient être communiqués
aux destinataires auxquels les données
ont été communiquées et aux autorités
compétentes à l'origine des données
inexactes. Les responsables du
traitement devraient également cesser
de continuer à diffuser ces données.
(48) | Lorsque le responsable du
traitement refuse à une personne
concernée le droit à l'information, le
droit d'accès aux données à caractère
personnel, de rectification ou
d'effacement de celles-ci ou le droit de
limitation du traitement, la personne
concernée devrait avoir le droit de
demander à l'autorité de contrôle
nationale de vérifier la licéité du
traitement. La personne concernée
devrait être informée de ce droit.
Lorsque l'autorité de contrôle agit au
nom de la personne concernée, cette
dernière devrait à tout le moins être
informée par l'autorité de contrôle que
toutes les vérifications ou tous les
examens nécessaires par l'autorité
compétente ont eu lieu. L'autorité de
contrôle devrait également informer la
personne concernée de son droit de
former un recours juridictionnel.
(49) | Lorsque les données à caractère
personnel sont traitées dans le cadre
d'une enquête pénale ou d'une
procédure judiciaire en matière pénale,
les États membres devraient pouvoir
prévoir que le droit à l'information, le
droit d'accès aux données à caractère
personnel, de rectification ou
d'effacement de celles-ci, et le droit de
limitation du traitement sont exercés
conformément aux règles nationales
relatives à la procédure judiciaire.
(50) | Il y a lieu d'instaurer la
responsabilité du responsable du
traitement pour tout traitement de
données à caractère personnel qu'il
effectue lui-même ou qui est réalisé
pour son compte. Il importe en
particulier que le responsable du
traitement soit tenu de mettre en œuvre
des mesures appropriées et effectives
et soit à même de démontrer que les
activités de traitement respectent la
présente directive. Ces mesures
devraient tenir compte de la nature, de
la portée, du contexte et des finalités
du traitement ainsi que du risque que
ceux-ci présentent pour les droits et
libertés des personnes physiques. Les
mesures prises par le responsable du
traitement devraient comprendre
l'établissement et la mise en œuvre de
garanties spécifiques destinées au
traitement de données à caractère
personnel relatives aux personnes
physiques vulnérables telles que les
enfants.
(51) | Des risques pour les droits et
libertés des personnes physiques, dont
prezentând grade diferite de
probabilitate și gravitate, pot fi
rezultatul unei prelucrări a datelor care
ar putea genera prejudicii de natură
fizică, materială sau morală, în special
în cazurile în care: prelucrarea poate
genera discriminare, furtul sau
uzurparea identității, prejudiciu
financiar, compromiterea reputației,
pierderea confidențialității datelor
protejate prin secret profesional,
inversarea neautorizată a
pseudonimizării sau la orice alt
prejudiciu semnificativ de natură
economică sau socială; persoanele
vizate ar putea fi private de drepturile și
libertățile lor sau de capacitatea de a-și
exercita controlul asupra datelor lor cu
caracter personal; datele cu caracter
personal prelucrate sunt date care
dezvăluie originea rasială sau etnică,
opiniile politice, religia sau convingerile
filozofice, ori apartenența sindicală;
sunt prelucrate date genetice sau date
biometrice pentru identificarea
singulară a unei persoane sau date
privind sănătatea sau date privind viața
sexuală și orientarea sexuală sau
condamnările penale și infracțiunile sau
măsurile de securitate conexe; sunt
evaluate aspecte de natură personală,
de exemplu analizarea și previzionarea
unor aspecte privind randamentul la
locul de muncă, situația economică,
starea de sănătate, preferințele sau
interesele personale, fiabilitatea sau
comportamentul, localizarea sau
deplasările, în scopul de a se crea sau
de a se utiliza profiluri personale; sunt
prelucrate date cu caracter personal ale
unor persoane vulnerabile, în special
ale copiilor; sau prelucrarea implică un
volum mare de date cu caracter
personal și afectează un număr larg de
persoane vizate.
(52) | Probabilitatea și gravitatea
riscului ar trebui să fie determinate în
raport de natura, domeniul de aplicare,
contextul și scopurile prelucrării. Riscul
ar trebui să facă obiectul unei evaluări
obiective, prin care să se stabilească
dacă operațiunile de prelucrare a
datelor prezintă un risc ridicat. Un risc
ridicat este un risc deosebit de
prejudiciere a drepturilor și libertăților
persoanelor vizate.
(53) | Protecția drepturilor și libertăților
persoanelor fizice în ceea ce privește
prelucrarea datelor cu caracter personal
necesită adoptarea de măsuri tehnice și
organizatorice corespunzătoare pentru
a se asigura îndeplinirea cerințelor din
prezenta directivă. Punerea în aplicare a
unor astfel de măsuri nu ar trebui să se
întemeieze doar pe considerente
economice. Pentru a fi în măsură să
demonstreze respectarea prezentei
directive, operatorul ar trebui să adopte
politici interne și să pună în aplicare
măsuri care să adere, în special, la
principiul protecției datelor începând cu
momentul conceperii și al protecției
implicite a datelor. În cazul în care
operatorul a realizat o evaluare a
likelihood and severity, may result from
data processing which could lead to
physical, material or non-material
damage, in particular: where the
processing may give rise to
discrimination, identity theft or fraud,
financial loss, damage to the
reputation, loss of confidentiality of
data protected by professional secrecy,
unauthorised reversal of
pseudonymisation or any other
significant economic or social
disadvantage; where data subjects
might be deprived of their rights and
freedoms or from exercising control
over their personal data; where
personal data are processed which
reveal racial or ethnic origin, political
opinions, religion or philosophical
beliefs or trade union membership;
where genetic data or biometric data
are processed in order to uniquely
identify a person or where data
concerning health or data concerning
sex life and sexual orientation or
criminal convictions and offences or
related security measures are
processed; where personal aspects are
evaluated, in particular analysing and
predicting aspects concerning
performance at work, economic
situation, health, personal preferences
or interests, reliability or behaviour,
location or movements, in order to
create or use personal profiles; where
personal data of vulnerable natural
persons, in particular children, are
processed; or where processing
involves a large amount of personal
data and affects a large number of data
subjects.
(52) | The likelihood and severity of the
risk should be determined by reference
to the nature, scope, context and
purposes of the processing. Risk should
be evaluated on the basis of an
objective assessment, through which it
is established whether data-processing
operations involve a high risk. A high
risk is a particular risk of prejudice to
the rights and freedoms of data
subjects.
(53) | The protection of the rights and
freedoms of natural persons with
regard to the processing of personal
data requires that appropriate technical
and organisational measures are taken,
to ensure that the requirements of this
Directive are met. The implementation
of such measures should not depend
solely on economic considerations. In
order to be able to demonstrate
compliance with this Directive, the
controller should adopt internal policies
and implement measures which adhere
in particular to the principles of data
protection by design and data
protection by default. Where the
controller has carried out a data
protection impact assessment pursuant
le degré de probabilité et de gravité
varie, peuvent résulter du traitement de
données qui pourraient entraîner des
dommages physiques matériels ou un
préjudice moral, en particulier lorsque
le traitement peut donner lieu à une
discrimination, à un vol ou une
usurpation d'identité, à une perte
financière, à une atteinte à la
réputation, à une perte de
confidentialité de données protégées
par le secret professionnel, à un
renversement non autorisé du
processus de pseudonymisation ou à
tout autre dommage économique ou
social important; lorsque les personnes
concernées pourraient être privées de
leurs droits et libertés ou empêchées
d'exercer le contrôle sur leurs données
à caractère personnel; lorsque le
traitement concerne des données à
caractère personnel qui révèlent
l'origine raciale ou ethnique, les
opinions politiques, la religion ou les
convictions philosophiques ou
l'appartenance syndicale; lorsque des
données génétiques ou biométriques
sont traitées afin d'identifier une
personne de manière unique ou lorsque
des données concernant la santé ou des
données concernant la vie sexuelle et
l'orientation sexuelle, ou des données
relatives à des condamnations pénales
et à des infractions, ou encore à des
mesures de sûreté connexes sont
traitées; lorsque des aspects personnels
sont évalués, en particulier dans le
cadre de l'analyse et de la prédiction
d'éléments concernant le rendement au
travail, la situation économique, la
santé, les préférences ou centres
d'intérêt personnels, la fiabilité ou le
comportement, la localisation ou les
déplacements, en vue de créer ou
d'utiliser des profils individuels; lorsque
le traitement porte sur des données à
caractère personnel relatives à des
personnes physiques vulnérables, en
particulier les enfants; ou lorsque le
traitement porte sur un volume
important de données à caractère
personnel et touche un nombre
important de personnes concernées.
(52) | Il convient de déterminer la
probabilité et la gravité du risque en
fonction de la nature, de la portée, du
contexte et des finalités du traitement.
Le risque devrait faire l'objet d'une
évaluation objective permettant de
déterminer si les opérations de
traitement des données comportent un
risque élevé. On entend par risque élevé
un risque particulier de porter atteinte
aux droits et aux libertés des personnes
concernées.
(53) | La protection des droits et
libertés des personnes physiques à
l'égard du traitement des données à
caractère personnel exige l'adoption de
mesures techniques et
organisationnelles appropriées, pour
garantir que les exigences de la
présente directive soient respectées. La
mise en œuvre de telles mesures ne
devrait pas dépendre uniquement de
considérations économiques. Afin d'être
en mesure de démontrer qu'il respecte
la présente directive, le responsable du
traitement devrait adopter des règles
internes et mettre en œuvre des
mesures qui respectent, en particulier,
les principes de protection des données
dès la conception et de protection des
impactului asupra protecției datelor în
temeiul prezentei directive, ar trebui să
se țină cont de rezultatele acesteia la
elaborarea măsurilor și procedurilor
respective. Măsurile ar putea consta,
printre altele, în utilizarea
pseudonimizării, cât mai curând posibil.
Utilizarea pseudonimizării în sensul
prezentei directive poate servi ca
instrument care ar putea facilita, în
special, libera circulație a datelor cu
caracter personal în cadrul spațiului de
libertate, securitate și justiție.
(54) | Protecția drepturilor și libertăților
persoanelor vizate, precum și
responsabilitatea și răspunderea
operatorilor și a persoanelor
împuternicite de către operator, inclusiv
în ceea ce privește monitorizarea de
către autoritățile de supraveghere și
măsurile adoptate de acestea, necesită
o atribuire clară a responsabilităților
stabilite prin prezenta directivă, inclusiv
în cazul în care un operator stabilește
scopurile și mijloacele prelucrării
împreună cu alți operatori sau în cazul
în care o operațiune de prelucrare este
efectuată în numele unui operator.
(55) | Efectuarea prelucrării de către o
persoană împuternicită de către un
operator ar trebui să fie reglementată
printr-un act juridic care să includă un
contract care creează obligații pentru
persoana împuternicită de către
operator în raport cu operatorul și care
să stipuleze, în special, că persoana
împuternicită de către operator ar
trebui să acționeze numai la
instrucțiunile operatorului. Persoana
împuternicită de către operator ar
trebui să țină cont de principiul
protecției datelor începând cu
momentul conceperii și al protecției
implicite a datelor.
(56) | În vederea demonstrării
conformității cu prezenta directivă,
operatorul sau persoana împuternicită
de către operator ar trebui să păstreze
evidențe ale tuturor categoriilor de
activități de prelucrare aflate în
responsabilitatea sa. Fiecare operator și
fiecare persoană împuternicită de către
operator ar trebui să aibă obligația de a
coopera cu autoritatea de supraveghere
și de a pune la dispoziția acesteia, la
cerere, aceste evidențe, pentru a putea
fi utilizate în scopul monitorizării
respectivelor operațiuni de prelucrare.
Operatorul sau persoana împuternicită
de către operator care prelucrează date
cu caracter personal în sisteme de
prelucrare neautomată ar trebui să
dispună de metode eficiente pentru a
demonstra legalitatea prelucrării, a
permite monitorizarea proprie și a
garanta integritatea și securitatea
datelor, precum înregistrări sau alte
forme de evidențe.
(57) | Înregistrările ar trebui păstrate cel
puțin pentru operațiunile din cadrul
sistemelor de prelucrare automată,
precum colectarea, modificarea,
consultarea, divulgarea, inclusiv
transferurile, combinarea sau ștergerea.
Identificarea persoanei care a consultat
to this Directive, the results should be
taken into account when developing
those measures and procedures. The
measures could consist, inter alia, of
the use of pseudonymisation, as early
as possible. The use of
pseudonymisation for the purposes of
this Directive can serve as a tool that
could facilitate, in particular, the free
flow of personal data within the area of
freedom, security and justice.
(54) | The protection of the rights and
freedoms of data subjects as well as the
responsibility and liability of controllers
and processors, also in relation to the
monitoring by and measures of
supervisory authorities, requires a clear
attribution of the responsibilities set
out in this Directive, including where a
controller determines the purposes and
means of the processing jointly with
other controllers or where a processing
operation is carried out on behalf of a
controller.
(55) | The carrying-out of processing by
a processor should be governed by a
legal act including a contract binding
the processor to the controller and
stipulating, in particular, that the
processor should act only on
instructions from the controller. The
processor should take into account the
principle of data protection by design
and by default.
(56) | In order to demonstrate
compliance with this Directive, the
controller or processor should maintain
records regarding all categories of
processing activities under its
responsibility. Each controller and
processor should be obliged to
cooperate with the supervisory
authority and make those records
available to it on request, so that they
might serve for monitoring those
processing operations. The controller or
the processor processing personal data
in non-automated processing systems
should have in place effective methods
of demonstrating the lawfulness of the
processing, of enabling self-monitoring
and of ensuring data integrity and data
security, such as logs or other forms of
records.
(57) | Logs should be kept at least for
operations in automated processing
systems such as collection, alteration,
consultation, disclosure including
transfers, combination or erasure. The
identification of the person who
consulted or disclosed personal data
données par défaut. Lorsque le
responsable du traitement a procédé à
une analyse d'impact relative à la
protection des données en vertu de la
présente directive, les résultats
devraient être pris en compte lors de
l'élaboration desdites mesures et
procédures. Les mesures pourraient
consister notamment dans le recours à
la pseudonymisation le plus tôt
possible. Le recours à la
pseudonymisation aux fins de la
présente directive peut servir d'outil
susceptible de faciliter, en particulier, le
libre flux des données à caractère
personnel au sein de l'espace de liberté,
de sécurité et de justice.
(54) | La protection des droits et
libertés des personnes concernées, de
même que la responsabilité des
responsables du traitement et des
sous-traitants, y compris dans le cadre
de la surveillance exercée par les
autorités de contrôle et des mesures
prises par celles-ci, exige une
répartition claire des responsabilités
fixées dans la présente directive, y
compris dans le cas où le responsable
du traitement détermine les finalités et
les moyens du traitement
conjointement avec d'autres
responsables du traitement, ou
lorsqu'un traitement est effectué pour
le compte d'un responsable du
traitement.
(55) | La réalisation du traitement par
un sous-traitant devrait être régie par
un acte juridique comprenant un
contrat liant le sous-traitant au
responsable du traitement et prévoyant
notamment que le sous-traitant ne
devrait agir que sur instruction du
responsable du traitement. Le sous-
traitant devrait tenir compte du principe
de protection des données dès la
conception et par défaut.
(56) | Afin d'apporter la preuve qu'il
respecte la présente directive, le
responsable du traitement ou le sous-
traitant devrait tenir des registres pour
toutes les catégories d'activités de
traitement relevant de sa responsabilité.
Chaque responsable du traitement et
sous-traitant devrait être tenu de
coopérer avec l'autorité de contrôle et
de mettre ces registres à sa disposition
sur demande pour qu'ils puissent servir
au contrôle de ces opérations de
traitement. Le responsable du
traitement ou le sous-traitant qui traite
des données à caractère personnel dans
des systèmes de traitement non
automatisés devrait s'être doté des
moyens effectifs de démontrer la licéité
du traitement, de pratiquer
l'autocontrôle et de garantir l'intégrité
et la sécurité des données, tels que des
journaux ou d'autres formes de
registres.
(57) | Des journaux devraient être
établis au moins pour les opérations
effectuées dans des systèmes de
traitement automatisé telles que la
collecte, la modification, la
consultation, la communication, y
compris les transferts, l'interconnexion
sau divulgat date cu caracter personal
ar trebui să fie înregistrată și, plecând
de la identificarea respectivă, ar putea fi
posibil să se stabilească justificarea
operațiunilor de prelucrare.
Înregistrările ar trebui să fie utilizate
numai pentru verificarea legalității
prelucrării, monitorizarea proprie,
asigurarea integrității și securității
datelor și pentru proceduri penale.
Monitorizarea proprie include, de
asemenea, proceduri disciplinare
interne ale autorităților competente.
(58) | Operatorul ar trebui să realizeze
o evaluare a impactului asupra
protecției datelor în cazurile în care
operațiunile de prelucrare pot avea
drept rezultat, prin natura, domeniul de
aplicare sau scopurile lor, un risc ridicat
la adresa drepturilor și libertăților
persoanelor vizate, evaluare care ar
trebui să includă în special măsurile,
garanțiile și mecanismele preconizate în
vederea asigurării protecției datelor cu
caracter personal și a atestării
conformității cu prezenta directivă.
Evaluările impactului ar trebui să
acopere sistemele și procesele relevante
aferente operațiunilor de prelucrare, și
nu cazuri individuale.
(59) | Pentru a garanta protecția
eficientă a drepturilor și libertăților
persoanelor vizate, operatorul sau
persoana împuternicită de către
operator ar trebui să se consulte cu
autoritatea de supraveghere în anumite
cazuri, înainte de prelucrare.
(60) | În vederea menținerii securității și
a prevenirii prelucrărilor care încalcă
prezenta directivă, operatorul sau
persoana împuternicită de către
operator ar trebui să evalueze riscurile
inerente prelucrării și să pună în
aplicare măsuri pentru atenuarea
acestor riscuri, precum criptarea.
Măsurile respective ar trebui să asigure
un nivel corespunzător de securitate,
inclusiv de confidențialitate, luând în
considerare stadiul actual al
tehnologiei, costurile punerii lor în
aplicare în raport cu riscurile și natura
datelor cu caracter personal a căror
protecție trebuie asigurată. La evaluarea
riscurilor la adresa securității datelor, ar
trebui să se acorde atenție riscurilor pe
care le prezintă prelucrarea datelor,
cum ar fi distrugerea, pierderea sau
modificarea accidentală sau ilegală,
divulgarea neautorizată sau accesul
neautorizat la datele cu caracter
personal transmise, stocate sau
prelucrate în alt mod, care pot duce în
special la prejudicii fizice, materiale sau
morale. Operatorul și persoana
împuternicită de către operator ar
trebui să se asigure că prelucrarea
datelor cu caracter personal nu se
realizează de către persoane
neautorizate.
(61) | Dacă nu este soluționată la timp
și într-un mod adecvat, o încălcare a
securității datelor cu caracter personal
poate genera prejudicii fizice, materiale
sau morale persoanelor fizice, cum ar fi
pierderea controlului asupra datelor lor
cu caracter personal sau limitarea
drepturilor lor, discriminare, furt sau
should be logged and from that
identification it should be possible to
establish the justification for the
processing operations. The logs should
solely be used for the verification of the
lawfulness of the processing, self-
monitoring, for ensuring data integrity
and data security and criminal
proceedings. Self-monitoring also
includes internal disciplinary
proceedings of competent authorities.
(58) | A data protection impact
assessment should be carried out by
the controller where the processing
operations are likely to result in a high
risk to the rights and freedoms of data
subjects by virtue of their nature, scope
or purposes, which should include, in
particular, the measures, safeguards
and mechanisms envisaged to ensure
the protection of personal data and to
demonstrate compliance with this
Directive. Impact assessments should
cover relevant systems and processes of
processing operations, but not
individual cases.
(59) | In order to ensure effective
protection of the rights and freedoms
of data subjects, the controller or
processor should consult the
supervisory authority, in certain cases,
prior to the processing.
(60) | In order to maintain security and
to prevent processing that infringes this
Directive, the controller or processor
should evaluate the risks inherent in the
processing and should implement
measures to mitigate those risks, such
as encryption. Such measures should
ensure an appropriate level of security,
including confidentiality and take into
account the state of the art, the costs of
implementation in relation to the risk
and the nature of the personal data to
be protected. In assessing data security
risks, consideration should be given to
the risks that are presented by data
processing, such as the accidental or
unlawful destruction, loss, alteration or
unauthorised disclosure of or access to
personal data transmitted, stored or
otherwise processed, which may, in
particular, lead to physical, material or
non-material damage. The controller
and processor should ensure that the
processing of personal data is not
carried out by unauthorised persons.
(61) | A personal data breach may, if
not addressed in an appropriate and
timely manner, result in physical,
material or non-material damage to
natural persons such as loss of control
over their personal data or limitation of
their rights, discrimination, identity
theft or fraud, financial loss,
ou l'effacement. L'identification de la
personne qui a consulté ou
communiqué les données à caractère
personnel devrait apparaître dans le
journal et cette identification devrait
permettre d'établir les motifs des
opérations de traitement. Les journaux
devraient être utilisés uniquement à des
fins de vérification de la licéité du
traitement, d'autocontrôle, de garantie
de l'intégrité et de la sécurité des
données et pour les besoins de
procédures pénales. L'autocontrôle
comprend aussi les procédures
disciplinaires internes des autorités
compétentes.
(58) | Lorsque des opérations de
traitement sont, du fait de leur nature,
de leur portée ou de leurs finalités,
susceptibles d'engendrer un risque
élevé pour les droits et libertés des
personnes concernées, le responsable
du traitement devrait effectuer une
analyse d'impact relative à la protection
des données comprenant notamment
les mesures, les garanties et les
mécanismes envisagés pour assurer la
protection des données à caractère
personnel et pour apporter la preuve du
respect de la présente directive. Les
analyses d'impact devraient porter sur
les systèmes et processus pertinents
des opérations de traitement, et non
sur des cas individuels.
(59) | Afin de garantir une protection
effective des droits et libertés des
personnes concernées, le responsable
du traitement ou le sous-traitant
devrait, dans certains cas, consulter
l'autorité de contrôle préalablement au
traitement.
(60) | Afin de préserver la sécurité et de
prévenir tout traitement en violation de
la présente directive, il importe que le
responsable du traitement ou le sous-
traitant évalue les risques inhérents au
traitement et mette en œuvre des
mesures pour les atténuer, telles que le
chiffrement. Ces mesures devraient
assurer un niveau de sécurité
approprié, y compris la confidentialité,
et tenir compte de l'état des
connaissances, des coûts de mise en
œuvre au regard des risques et de la
nature des données à caractère
personnel à protéger. Dans le cadre de
l'évaluation des risques pour la sécurité
des données, il convient d'apprécier les
risques que présente le traitement de
données, tels que la destruction, la
perte, l'altération ou la divulgation non
autorisée de données à caractère
personnel transmises, conservées ou
traitées d'une autre manière ou l'accès
non autorisé à de telles données, de
manière accidentelle ou illicite, qui sont
susceptibles, notamment, d'entraîner
des dommages physiques, matériels ou
un préjudice moral. Le responsable du
traitement et le sous-traitant devraient
veiller à ce que le traitement des
données à caractère personnel ne soit
pas effectué par des personnes non
autorisées.
(61) | Une violation de données à
caractère personnel risque, si l'on
n'intervient pas à temps et de manière
appropriée, de causer aux personnes
physiques concernées des dommages
physiques, matériels ou un préjudice
moral tels qu'une perte de contrôle sur
leurs données à caractère personnel ou
uzurpare de identitate, prejudiciu
financiar, inversarea neautorizată a
pseudonimizării, compromiterea
reputației, pierderea confidențialității
datelor cu caracter personal protejate
prin secret profesional sau orice alt
prejudiciu important de natură
economică sau socială cauzat acelei
persoane fizice. Prin urmare, de îndată
ce a luat cunoștință de producerea unei
încălcări a securității datelor cu caracter
personal, operatorul ar trebui să
notifice încălcarea securității datelor cu
caracter personal autorității de
supraveghere fără întârziere
nejustificată și, dacă este posibil, în cel
mult 72 de ore după ce a luat
cunoștință de existența acesteia, cu
excepția cazului în care operatorul este
în măsură să demonstreze, în
conformitate cu principiul
responsabilității, că încălcarea
securității datelor cu caracter personal
nu este susceptibilă să genereze un risc
pentru drepturile și libertățile
persoanelor fizice. Atunci când
notificarea nu se poate realiza în
termen de 72 de ore, aceasta ar trebui
să cuprindă motivele întârzierii, iar
informațiile pot fi furnizate treptat, fără
altă întârziere.
(62) | Persoanele fizice ar trebui să fie
notificate fără întârziere în cazul în care
încălcarea securității datelor cu caracter
personal este susceptibilă să genereze
un risc ridicat la adresa drepturilor și
libertăților persoanelor fizice, pentru a
le permite acestora să ia măsurile de
precauție necesare. Notificarea ar trebui
să descrie natura încălcării securității
datelor cu caracter personal și să
formuleze recomandări pentru
persoana fizică în cauză în scopul
atenuării eventualelor efecte negative.
Notificarea persoanelor vizate ar trebui
să fie efectuate în cel mai scurt timp
posibil în mod rezonabil și în strânsă
cooperare cu autoritatea de
supraveghere și în conformitate cu
orientările furnizate de aceasta sau de
alte autorități relevante. De exemplu,
necesitatea de a atenua un risc imediat
de producere a unor prejudicii ar
presupune notificarea cu promptitudine
a persoanelor vizate, în timp ce
necesitatea de a pune în aplicare măsuri
corespunzătoare împotriva încălcării în
continuare a securității datelor sau
împotriva unor încălcări similare ale
securității datelor ar putea justifica un
termen mai îndelungat. În cazul în care
evitarea obstrucționării cercetărilor, a
anchetelor sau a procedurilor oficiale
sau judiciare, evitarea aducerii de
prejudicii la adresa prevenirii, depistării,
investigării sau urmăririi penale a
infracțiunilor sau a executării
pedepselor, a protejării securității
publice, a protejării securității naționale
sau a apărării drepturilor și libertăților
altora nu pot fi obținute prin amânarea
sau restricționarea comunicării unei
încălcări a securității datelor cu caracter
personal către persoana fizică în cauză,
o astfel de comunicare ar putea fi omisă
în circumstanțe excepționale.
(63) | Operatorul ar trebui să
desemneze o persoană care să îi acorde
asistență pentru a monitoriza
unauthorised reversal of
pseudonymisation, damage to
reputation, loss of confidentiality of
personal data protected by professional
secrecy or any other significant
economic or social disadvantage to the
natural person concerned. Therefore, as
soon as the controller becomes aware
that a personal data breach has
occurred, the controller should notify
the personal data breach to the
supervisory authority without undue
delay and, where feasible, not later than
72 hours after having become aware of
it, unless the controller is able to
demonstrate, in accordance with the
accountability principle, that the
personal data breach is unlikely to
result in a risk to the rights and
freedoms of natural persons. Where
such notification cannot be achieved
within 72 hours, the reasons for the
delay should accompany the
notification and information may be
provided in phases without undue
further delay.
(62) | Natural persons should be
informed without undue delay where
the personal data breach is likely to
result in a high risk to the rights and
freedoms of natural persons, in order to
allow them to take the necessary
precautions. The communication should
describe the nature of the personal data
breach and include recommendations
for the natural person concerned to
mitigate potential adverse effects.
Communication to data subjects should
be made as soon as reasonably feasible,
in close cooperation with the
supervisory authority, and respecting
guidance provided by it or other
relevant authorities. For example, the
need to mitigate an immediate risk of
damage would call for a prompt
communication to data subjects,
whereas the need to implement
appropriate measures against
continuing or similar data breaches may
justify more time for the
communication. Where avoiding
obstruction of official or legal inquiries,
investigations or procedures, avoiding
prejudice to the prevention, detection,
investigation or prosecution of criminal
offences or the execution of criminal
penalties, protecting public security,
protecting national security or
protecting the rights and freedoms of
others cannot be achieved by delaying
or restricting the communication of a
personal data breach to the natural
person concerned, such communication
could, in exceptional circumstances, be
omitted.
(63) | The controller should designate a
person who would assist it in
monitoring internal compliance with the
la limitation de leurs droits, une
discrimination, un vol ou une
usurpation d'identité, une perte
financière, un renversement non
autorisé de la procédure de
pseudonymisation, une atteinte à la
réputation, une perte de confidentialité
de données à caractère personnel
protégées par le secret professionnel
ou tout autre dommage économique ou
social important pour la personne
physique concernée. En conséquence,
dès que le responsable du traitement
apprend qu'une violation de données à
caractère personnel s'est produite, il
convient qu'il notifie cette violation de
données à caractère personnel à
l'autorité de contrôle dans les meilleurs
délais et, lorsque c'est possible, dans
les 72 heures au plus tard après en
avoir pris connaissance, à moins qu'il
ne puisse démontrer, conformément au
principe de responsabilité, qu'il est peu
probable que la violation en question
engendre un risque pour les droits et
les libertés des personnes physiques. Si
une telle notification ne peut avoir lieu
dans ce délai de 72 heures, la
notification devrait être assortie des
motifs du retard et des informations
peuvent être fournies de manière
échelonnée sans autre retard indu.
(62) | Lorsqu'une violation de données à
caractère personnel est susceptible
d'engendrer un risque élevé pour les
droits et libertés d'une personne
physique, celle-ci devrait être informée
dans les meilleurs délais afin qu'elle
puisse prendre les précautions qui
s'imposent. La communication devrait
décrire la nature de la violation des
données à caractère personnel et
formuler des recommandations à la
personne physique concernée pour
atténuer les effets négatifs potentiels. Il
convient que de telles communications
aux personnes physiques concernées
soient effectuées aussi rapidement qu'il
est raisonnablement possible et en
coopération étroite avec l'autorité de
contrôle, dans le respect des directives
données par celle-ci ou par d'autres
autorités compétentes. Par exemple, la
nécessité d'atténuer un risque immédiat
de dommage pourrait justifier
d'adresser rapidement une
communication aux personnes
concernées, alors que la nécessité de
mettre en œuvre des mesures
appropriées empêchant la poursuite de
la violation des données ou la
survenance de violations similaires peut
justifier un délai plus long pour la
communication. Lorsque le fait de
retarder ou de limiter la communication
à la personne physique concernée d'une
violation des données à caractère
personnel ne permet pas d'éviter de
gêner des enquêtes, des recherches ou
des procédures officielles ou judiciaires,
d'éviter de nuire à la prévention et à la
détection des infractions pénales, aux
enquêtes et poursuites en la matière ou
à l'exécution de sanctions pénales, de
sauvegarder la sécurité publique ou la
sécurité nationale, ou de protéger les
droits et libertés d'autrui, la
communication pourrait, dans des
circonstances exceptionnelles, être
omise.
(63) | Le responsable du traitement
devrait désigner une personne qui
l'aiderait à vérifier le respect, au niveau
respectarea, la nivel intern, a
dispozițiilor adoptate în temeiul
prezentei directive, cu excepția cazului
în care un stat membru decide să
exonereze instanțele și alte autorități
judiciare independente atunci când
acționează în exercițiul funcției lor
judiciare. Persoana respectivă ar putea
fi un membru al personalului existent al
operatorului care a beneficiat de o
formare specială în materie de legislație
și practici privind protecția datelor
pentru a dobândi cunoștințe de
specialitate în domeniul respectiv.
Nivelul necesar al cunoștințelor de
specialitate ar trebui să se stabilească
în special în funcție de prelucrarea
efectuată asupra datelor și de gradul de
protecție impus pentru datele cu
caracter personal prelucrate de către
operator. Îndeplinirea sarcinilor sale
poate fi efectuată cu normă întreagă
sau cu fracțiune de normă. Un
responsabil cu protecția datelor poate fi
numit în comun de mai mulți operatori,
ținând seama de structura
organizatorică și de dimensiunea
acestora, de exemplu în caz de resurse
comune în unitățile centrale. Persoana
respectivă poate fi, de asemenea,
numită în posturi diferite în cadrul
structurii operatorilor relevanți.
Persoana respectivă ar trebui să îl ajute
pe operator și pe angajații care
prelucrează date cu caracter personal,
prin informarea și consilierea acestora
cu privire la respectarea obligațiilor
relevante ale acestora în materie de
protecție a datelor. Astfel de
responsabili cu protecția datelor ar
trebui să fie în măsură să își
îndeplinească îndatoririle și sarcinile în
mod independent, în conformitate cu
dreptul intern.
(64) | Statele membre ar trebui să
asigure că transferul către o țară terță
sau către o organizație internațională
are loc numai în cazul în care acest
transfer este necesar pentru prevenirea,
depistarea, investigarea sau urmărirea
penală a infracțiunilor sau pentru
executarea pedepselor, inclusiv pentru
protejarea împotriva amenințărilor la
adresa securității publice și prevenirea
acestora, iar operatorul din țara terță
sau din organizația internațională este o
autoritate competentă în sensul
prezentei directive. Un transfer ar trebui
să poată fi efectuat numai de către
autoritățile competente, acționând în
calitate de operatori, cu excepția
cazului în care persoanele împuternicite
de către operatori primesc instrucțiuni
în mod expres să transfere în numele
operatorilor. Un astfel de transfer poate
avea loc în cazul în care Comisia decide
că țara terță sau organizația
internațională în cauză asigură un nivel
adecvat de protecție, atunci când se
asigură garanții corespunzătoare ori
când se aplică derogări pentru situații
speciale. În cazul în care se transferă
date cu caracter personal din Uniune
către operatori, persoane împuternicite
de către operatori sau alți destinatari
din țări terțe sau organizații
internaționale, nivelul de protecție a
persoanelor fizice garantat în Uniune
prin prezenta directivă nu ar trebui să
fie diminuat, inclusiv în cazurile de
transferuri ulterioare de date cu
caracter personal dinspre țara terță sau
provisions adopted pursuant to this
Directive, except where a Member State
decides to exempt courts and other
independent judicial authorities when
acting in their judicial capacity. That
person could be a member of the
existing staff of the controller who
received special training in data
protection law and practice in order to
acquire expert knowledge in that field.
The necessary level of expert
knowledge should be determined, in
particular, according to the data
processing carried out and the
protection required for the personal
data processed by the controller. His or
her task could be carried out on a part-
time or full-time basis. A data
protection officer may be appointed
jointly by several controllers, taking
into account their organisational
structure and size, for example in the
case of shared resources in central
units. That person can also be
appointed to different positions within
the structure of the relevant controllers.
That person should help the controller
and the employees processing personal
data by informing and advising them on
compliance with their relevant data
protection obligations. Such data
protection officers should be in a
position to perform their duties and
tasks in an independent manner in
accordance with Member State law.
(64) | Member States should ensure that
a transfer to a third country or to an
international organisation takes place
only if necessary for the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, including the
safeguarding against and the
prevention of threats to public security,
and that the controller in the third
country or international organisation is
an authority competent within the
meaning of this Directive. A transfer
should be carried out only by
competent authorities acting as
controllers, except where processors
are explicitly instructed to transfer on
behalf of controllers. Such a transfer
may take place in cases where the
Commission has decided that the third
country or international organisation in
question ensures an adequate level of
protection, where appropriate
safeguards have been provided, or
where derogations for specific
situations apply. Where personal data
are transferred from the Union to
controllers, to processors or to other
recipients in third countries or
international organisations, the level of
protection of natural persons provided
for in the Union by this Directive should
not be undermined, including in cases
of onward transfers of personal data
from the third country or international
organisation to controllers or
processors in the same or in another
interne, des dispositions adoptées en
vertu de la présente directive, sauf
lorsqu'un État membre décide que des
tribunaux et d'autres autorités
judiciaires indépendantes en sont
dispensés dans l'exercice de leur
fonction juridictionnelle. Cette
personne pourrait être un membre du
personnel du responsable du traitement
ayant reçu une formation spéciale dans
le domaine du droit et des pratiques en
matière de protection des données afin
d'acquérir des connaissances
spécialisées dans ce domaine. Le niveau
de connaissances spécialisées requis
devrait être déterminé notamment en
fonction du traitement des données
effectué et de la protection exigée pour
les données à caractère personnel
traitées par le responsable du
traitement. Cette personne pourrait
exercer cette fonction à temps plein ou
à temps partiel. Un délégué à la
protection des données peut être
désigné conjointement par plusieurs
responsables du traitement, compte
tenu de leur structure organisationnelle
et de leur taille, par exemple en cas de
partage des ressources au sein d'unités
centrales. Cette personne peut
également être désignée pour occuper
différents postes au sein de la structure
des responsables du traitement
concernés. Elle devrait aider le
responsable du traitement et les
employés traitant des données à
caractère personnel en les informant et
en les conseillant sur le respect des
obligations leur incombant en matière
de protection des données. Ces
délégués à la protection des données
devraient être en mesure d'exercer
leurs fonctions et missions en toute
indépendance conformément au droit
de l'État membre.
(64) | Les États membres devraient
veiller à ce qu'un transfert vers un pays
tiers ou à une organisation
internationale n'ait lieu que s'il est
nécessaire à des fins de prévention et
de détection des infractions pénales,
d'enquêtes et de poursuites en la
matière ou d'exécution des sanctions
pénales, y compris la protection contre
les menaces pour la sécurité publique
et la prévention de telles menaces, et si
le responsable du traitement dans le
pays tiers ou dans l'organisation
internationale est une autorité
compétente au sens de la présente
directive. Un transfert ne devrait être
effectué que par les autorités
compétentes agissant en qualité de
responsables du traitement, sauf dans
le cas où les sous-traitants sont
expressément chargés de procéder au
transfert pour le compte des
responsables du traitement. Un tel
transfert peut avoir lieu lorsque la
Commission a décidé que le pays tiers
ou l'organisation internationale en
question garantit un niveau adéquat de
protection, lorsque des garanties
appropriées ont été prévues ou lorsque
des dérogations pour des situations
particulières s'appliquent. Lorsque des
données à caractère personnel sont
transférées de l'Union à des
responsables du traitement, à des
sous-traitants ou à d'autres
destinataires dans des pays tiers ou à
des organisations internationales, il
importe que le niveau de protection des
organizația internațională către
operatori sau persoane împuternicite de
către operatori din aceeași sau dintr-o
altă țară terță sau organizație
internațională.
(65) | În cazul transferului de date cu
caracter personal de la un stat membru
către țări terțe sau către organizații
internaționale, un astfel de transfer ar
trebui să aibă loc, în principiu, numai
după ce statul membru de la care au
fost obținute datele a acordat o
autorizație în ceea ce privește
transferul. Interesele unei cooperări
eficiente în domeniul aplicării legii
impun ca, în cazul în care natura unei
amenințări la adresa securității publice
a unui stat membru sau a unei țări terțe
sau la adresa intereselor fundamentale
ale unui stat membru este atât de
urgentă încât să facă imposibilă
obținerea unei autorizații prealabile în
timp util, autoritatea competentă ar
trebui să poată transfera datele cu
caracter personal relevante către țara
terță sau organizația internațională în
cauză fără o astfel de autorizație
prealabilă. Statele membre ar trebui să
prevadă că orice condiții specifice
pentru transfer ar trebui să fie
comunicate țărilor terțe sau
organizațiilor internaționale.
Transferurile ulterioare de date cu
caracter personal ar trebui să facă
obiectul autorizării prealabile de către
autoritatea competentă care a realizat
transferul inițial. Atunci când decide cu
privire la o cerere de autorizare a unui
transfer ulterior, autoritatea
competentă care a realizat transferul
inițial ar trebui să țină seama în mod
corespunzător de toți factorii relevanți,
inclusiv de gravitatea infracțiunii, de
condițiile specifice transferului și de
scopul pentru care datele au fost
transferate inițial, de natura și condițiile
executării pedepsei, precum și de
nivelul de protecție a datelor cu caracter
personal din țara terță sau dintr-o
organizație internațională către care
datele cu caracter personal sunt
transferate ulterior. Autoritatea
competentă care a realizat transferul
inițial ar trebui, de asemenea, să poată
aplica transferului ulterior condiții
specifice. Astfel de condiții specifice pot
fi descrise, de exemplu, în coduri de
utilizare.
(66) | Comisia ar trebui să poată decide,
cu efect în întreaga Uniune, că anumite
țări terțe, un teritoriu ori unul sau mai
multe sectoare determinate dintr-o țară
terță sau o organizație internațională
oferă un nivel adecvat de protecție a
datelor, furnizând astfel securitate
juridică și uniformitate în întreaga
Uniune în ceea ce privește țările terțe
sau organizațiile internaționale care
sunt considerate a furniza un astfel de
nivel de protecție. În astfel de cazuri,
transferurile de date cu caracter
personal către țările respective ar trebui
să se poată realiza fără a fi necesară
obținerea unei autorizații speciale, cu
excepția cazului în care un alt stat
membru de la care au fost obținute
third country or international
organisation.
(65) | Where personal data are
transferred from a Member State to
third countries or international
organisations, such a transfer should,
in principle, take place only after the
Member State from which the data were
obtained has given its authorisation to
the transfer. The interests of efficient
law-enforcement cooperation require
that where the nature of a threat to the
public security of a Member State or a
third country or to the essential
interests of a Member State is so
immediate as to render it impossible to
obtain prior authorisation in good time,
the competent authority should be able
to transfer the relevant personal data to
the third country or international
organisation concerned without such a
prior authorisation. Member States
should provide that any specific
conditions concerning the transfer
should be communicated to third
countries or international organisations.
Onward transfers of personal data
should be subject to prior authorisation
by the competent authority that carried
out the original transfer. When deciding
on a request for the authorisation of an
onward transfer, the competent
authority that carried out the original
transfer should take due account of all
relevant factors, including the
seriousness of the criminal offence, the
specific conditions subject to which,
and the purpose for which, the data was
originally transferred, the nature and
conditions of the execution of the
criminal penalty, and the level of
personal data protection in the third
country or an international organisation
to which personal data are onward
transferred. The competent authority
that carried out the original transfer
should also be able to subject the
onward transfer to specific conditions.
Such specific conditions can be
described, for example, in handling
codes.
(66) | The Commission should be able
to decide with effect for the entire
Union that certain third countries, a
territory or one or more specified
sectors within a third country, or an
international organisation, offer an
adequate level of data protection, thus
providing legal certainty and uniformity
throughout the Union as regards the
third countries or international
organisations which are considered to
provide such a level of protection. In
such cases, transfers of personal data
to those countries should be able to
take place without the need to obtain
any specific authorisation, except where
another Member State from which the
personnes physiques prévu dans l'Union
par la présente directive ne soit pas
compromis, y compris en cas de
transferts ultérieurs de données à
caractère personnel au départ du pays
tiers ou de l'organisation internationale
à des responsables du traitement ou à
des sous-traitants dans le même pays
tiers ou dans un pays tiers différent, ou
à une autre organisation internationale.
(65) | Lorsque des données à caractère
personnel sont transférées d'un État
membre vers des pays tiers ou à des
organisations internationales, un tel
transfert ne devrait en principe avoir
lieu qu'après que l'État membre auprès
duquel les données ont été collectées a
autorisé le transfert. Il est dans l'intérêt
d'une coopération efficace en matière
répressive que lorsque le caractère
immédiat de la menace pour la sécurité
publique d'un État membre ou d'un
pays tiers ou pour les intérêts essentiels
d'un État membre est tel qu'il rend
impossible l'obtention d'une
autorisation préalable en temps utile,
l'autorité compétente puisse transférer
les données à caractère personnel
pertinentes vers le pays tiers concerné
ou à l'organisation internationale
concernée sans cette autorisation
préalable. Les États membres devraient
prévoir que les éventuelles conditions
particulières applicables au transfert
devraient être communiquées aux pays
tiers ou aux organisations
internationales. Les transferts ultérieurs
de données à caractère personnel
devraient être soumis à l'autorisation
préalable de l'autorité compétente qui a
procédé au transfert initial. Lorsqu'elle
statue sur une demande d'autorisation
d'un transfert ultérieur, l'autorité
compétente qui a procédé au transfert
initial devrait prendre dûment en
considération l'ensemble des facteurs
pertinents, y compris la gravité de
l'infraction pénale, les conditions
particulières applicables au transfert
initial des données et la finalité pour
laquelle les données ont été transférées
initialement, la nature et les conditions
de l'exécution de la sanction pénale, et
le niveau de protection des données à
caractère personnel dans le pays tiers
ou au sein de l'organisation
internationale vers lequel ou laquelle
les données à caractère personnel sont
transférées ultérieurement. L'autorité
compétente qui a effectué le transfert
initial devrait aussi pouvoir assortir le
transfert ultérieur de conditions
particulières. Ces conditions
particulières peuvent être décrites, par
exemple, dans des codes de traitement.
(66) | La Commission devrait pouvoir
décider, avec effet dans l'ensemble de
l'Union, que certains pays tiers, un
territoire ou un ou plusieurs secteurs
déterminés dans un pays tiers, ou une
organisation internationale offrent un
niveau adéquat de protection des
données, assurant ainsi une sécurité
juridique et une uniformité dans
l'ensemble de l'Union en ce qui
concerne les pays tiers ou les
organisations internationales qui sont
réputés offrir un tel niveau de
protection. Dans ces cas, les transferts
de données à caractère personnel vers
ces pays devraient pouvoir avoir lieu
sans qu'il soit nécessaire d'obtenir une
autorisation spécifique, sauf lorsqu'un
datele trebuie să își dea autorizația
pentru transfer.
(67) | În conformitate cu valorile
fundamentale pe care se întemeiază
Uniunea, în special apărarea drepturilor
omului, Comisia ar trebui, în evaluarea
sa referitoare la țara terță sau la un
teritoriu sau la un sector determinat
dintr-o țară terță, să ia în considerare
modul în care o anumită țară terță
respectă statul de drept, accesul la
justiție, precum și normele și
standardele internaționale în materie de
drepturi ale omului și legislația sa
generală și sectorială, inclusiv legislația
privind securitatea publică, apărarea și
securitatea națională, precum și ordinea
publică și dreptul penal. Adoptarea unei
decizii privind caracterul adecvat al
nivelului de protecție în ceea ce privește
un teritoriu sau un sector determinat
dintr-o țară terță ar trebui să țină
seama de criterii clare și obiective, cum
ar fi activitățile specifice de prelucrare
și domeniul de aplicare al standardelor
juridice aplicabile și legislația în vigoare
în țara terță respectivă. Țara terță ar
trebui să garanteze un nivel adecvat de
protecție, echivalent în esență celui
asigurat în cadrul Uniunii, în special
atunci când datele sunt prelucrate în
unul sau mai multe sectoare specifice.
În special, țara terță ar trebui să asigure
o supraveghere efectivă independentă
în materie de protecție a datelor și să
prevadă mecanisme de cooperare cu
autoritățile de protecție a datelor din
statele membre, iar persoanele vizate ar
trebui să beneficieze de drepturi
efective și opozabile și de reparații
efective pe cale administrativă și
judiciară.
(68) | Pe lângă angajamentele
internaționale asumate de țara terță sau
de organizația internațională, Comisia
ar trebui să țină seama și de obligațiile
care decurg din participarea țării terțe
sau a organizației internaționale la
sistemele multilaterale sau regionale, în
special în ceea ce privește protecția
datelor cu caracter personal, precum și
de punerea în aplicare a unor astfel de
obligații. În special, ar trebui să fie luată
în considerare aderarea țării terțe la
Convenția Consiliului Europei din 28
ianuarie 1981 pentru protejarea
persoanelor față de prelucrarea
automatizată a datelor cu caracter
personal și la protocolul adițional la
aceasta. Comisia ar trebui să consulte
Comitetul european pentru protecția
datelor instituit prin Regulamentul (UE)
2016/679 („comitetul”) atunci când
evaluează nivelul de protecție din țările
terțe sau din organizațiile
internaționale. De asemenea, Comisia
ar trebui să țină seama de orice decizie
relevantă a Comisiei privind caracterul
adecvat al nivelului de protecție,
adoptată în conformitate cu articolul 45
din Regulamentul (UE) 2016/679.
(69) | Comisia ar trebui să monitorizeze
funcționarea deciziilor privind nivelul de
protecție dintr-o țară terță, un teritoriu
sau un sector determinat dintr-o țară
terță sau dintr-o organizație
internațională. În ceea ce privește
data were obtained has to give its
authorisation to the transfer.
(67) | In line with the fundamental
values on which the Union is founded,
in particular the protection of human
rights, the Commission should, in its
assessment of the third country, or of a
territory or specified sector within a
third country, take into account how a
particular third country respects the
rule of law, access to justice as well as
international human rights norms and
standards and its general and sectoral
law, including legislation concerning
public security, defence and national
security, as well as public order and
criminal law. The adoption of an
adequacy decision with regard to a
territory or a specified sector in a third
country should take into account clear
and objective criteria, such as specific
processing activities and the scope of
applicable legal standards and
legislation in force in the third country.
The third country should offer
guarantees ensuring an adequate level
of protection essentially equivalent to
that ensured within the Union, in
particular where data are processed in
one or several specific sectors. In
particular, the third country should
ensure effective independent data
protection supervision and provide for
cooperation mechanisms with the
Member States' data protection
authorities, and the data subjects
should be provided with effective and
enforceable rights and effective
administrative and judicial redress.
(68) | Apart from the international
commitments the third country or
international organisation has entered
into, the Commission should also take
account of obligations arising from the
third country's or international
organisation's participation in
multilateral or regional systems, in
particular in relation to the protection
of personal data, as well as the
implementation of such obligations. In
particular the third country's accession
to the Council of Europe Convention of
28 January 1981 for the Protection of
Individuals with regard to the Automatic
Processing of Personal Data and its
Additional Protocol should be taken
into account. The Commission should
consult with the European Data
Protection Board established by
Regulation (EU) 2016/679 (the ‘Board’)
when assessing the level of protection
in third countries or international
organisations. The Commission should
also take into account any relevant
Commission adequacy decision adopted
in accordance with Article 45 of
Regulation (EU) 2016/679.
(69) | The Commission should monitor
the functioning of decisions on the level
of protection in a third country, a
territory or a specified sector within a
third country, or an international
organisation. In its adequacy decisions,
autre État membre auprès duquel les
données ont été collectées doit
autoriser le transfert.
(67) | Eu égard aux valeurs
fondamentales sur lesquelles est fondée
l'Union, en particulier la protection des
droits de l'homme, la Commission
devrait, dans son évaluation d'un pays
tiers ou d'un territoire ou d'un secteur
déterminé dans un pays tiers, prendre
en considération la manière dont un
pays tiers en particulier respecte l'état
de droit, garantit l'accès à la justice et
observe les règles et normes
internationales dans le domaine des
droits de l'homme, ainsi que sa
législation générale et sectorielle, y
compris la législation sur la sécurité
publique, la défense et la sécurité
nationale ainsi que l'ordre public et le
droit pénal. Lors de l'adoption, à l'égard
d'un territoire ou d'un secteur
déterminé dans un pays tiers, d'une
décision d'adéquation, il y a lieu de
prendre en compte des critères clairs et
objectifs, telles que les activités de
traitement spécifiques et le champ
d'application des normes juridiques
applicables et du droit en vigueur dans
le pays tiers. Le pays tiers devrait offrir
des garanties assurant un niveau
adéquat de protection essentiellement
équivalent à celui qui est assuré au sein
de l'Union, en particulier lorsque les
données sont traitées dans un ou
plusieurs secteurs spécifiques. Plus
particulièrement, le pays tiers devrait
assurer un contrôle indépendant effectif
de la protection des données et prévoir
des mécanismes de coopération avec
les autorités de protection des données
des États membres, et les personnes
concernées devraient se voir octroyer
des droits effectifs et opposables ainsi
que des possibilités effectives de
recours administratif ou juridictionnel.
(68) | Outre les engagements
internationaux pris par le pays tiers ou
l'organisation internationale, la
Commission devrait également tenir
compte des obligations découlant de la
participation du pays tiers ou de
l'organisation internationale à des
systèmes multilatéraux ou régionaux,
notamment en matière de protection
des données à caractère personnel,
ainsi que de la mise en œuvre de ces
obligations. Il y a lieu, en particulier, de
prendre en considération l'adhésion du
pays tiers à la convention du Conseil de
l'Europe du 28 janvier 1981 pour la
protection des personnes à l'égard du
traitement automatisé des données à
caractère personnel et à son protocole
additionnel. Aux fins de l'évaluation du
niveau de protection offert par des pays
tiers ou des organisations
internationales, la Commission devrait
consulter le comité européen de la
protection des données établi par le
règlement (UE) 2016/679 (ci-après
dénommé «comité»). La Commission
devrait également tenir compte de toute
décision d'adéquation pertinente qu'elle
aurait adoptée conformément à
l'article 45 du règlement (UE)
2016/679.
(69) | La Commission devrait surveiller
le fonctionnement des décisions
relatives au niveau de protection offert
par un pays tiers, un territoire ou un
secteur déterminé dans un pays tiers,
ou par une organisation internationale.
deciziile sale privind caracterul adecvat
al nivelului de protecție, Comisia ar
trebui să prevadă un mecanism de
revizuire periodică a funcționării
acestora. Această revizuire periodică ar
trebui să se realizeze în consultare cu
țara terță sau cu organizația
internațională în cauză și ar trebui să ia
în considerare toate evoluțiile relevante
din țara terță sau organizația
internațională.
(70) | Comisia ar trebui, de asemenea,
să fie în măsură să constate faptul că o
țară terță, un teritoriu sau un sector
determinat dintr-o țară terță ori o
organizație internațională nu mai
asigură un nivel corespunzător de
protecție a datelor. În consecință,
transferul de date cu caracter personal
către țara terță sau organizația
internațională respectivă ar trebui să fie
interzis, cu excepția cazului când sunt
îndeplinite cerințele prevăzute în
prezenta directivă referitoare la
transferul de date sub rezerva unor
garanții adecvate și a unor derogări în
situații specifice. Ar trebui să se
prevadă proceduri de consultare între
Comisie și astfel de țări terțe sau
organizații internaționale. Comisia ar
trebui ca, în timp util, să informeze țara
terță sau organizația internațională cu
privire la aceste motive și să inițieze
consultări cu aceasta pentru remedierea
situației.
(71) | Transferurile care nu se
întemeiază pe o astfel de decizie
privind caracterul adecvat al nivelului de
protecție ar trebui să fie permise numai
în cazul în care au fost prezentate
garanții corespunzătoare într-un
instrument cu caracter juridic
obligatoriu, care să asigure protecția
datelor cu caracter personal, sau în
cazul în care operatorul a evaluat toate
circumstanțele legate de datele
transferate și, pe baza acestei evaluări,
consideră că există garanții adecvate în
ceea ce privește protecția datelor cu
caracter personal. Astfel de instrumente
cu caracter juridic obligatoriu ar putea
fi, de exemplu, acorduri bilaterale cu
caracter juridic obligatoriu care au fost
încheiate de statele membre și puse în
aplicare în ordinea juridică a acestora și
a căror respectare poate fi impusă de
către persoanele vizate din respectivele
state membre, asigurând respectarea
cerințelor în materie de protecție a
datelor și drepturile persoanelor vizate,
inclusiv dreptul de a obține reparații
efective pe cale administrativă sau
judiciară. Operatorul ar trebui să ia în
considerare acordurile de cooperare
încheiate între Europol sau Eurojust și
țări terțe care permit schimbul de date
cu caracter personal atunci când se
efectuează evaluarea tuturor
circumstanțelor legate de transferul de
date. Operatorul ar trebui, de
asemenea, să poată lua în considerare
faptul că transferul de date cu caracter
personal va fi supus obligațiilor de
confidențialitate și principiului
specificității, asigurându-se că datele
nu vor fi prelucrate în alte scopuri decât
cel al transferului. În plus, operatorul ar
trebui să ia în considerare faptul că
datele cu caracter personal nu vor fi
folosite pentru a solicita, a pronunța
sau a executa pedeapsa cu moartea sau
orice altă formă de tratament crud și
inuman. Chiar dacă aceste condiții ar
the Commission should provide for a
periodic review mechanism of their
functioning. That periodic review
should be undertaken in consultation
with the third country or international
organisation in question and should
take into account all relevant
developments in the third country or
international organisation.
(70) | The Commission should also be
able to recognise that a third country, a
territory or a specified sector within a
third country, or an international
organisation, no longer ensures an
adequate level of data protection.
Consequently, the transfer of personal
data to that third country or
international organisation should be
prohibited unless the requirements in
this Directive relating to transfers
subject to appropriate safeguards and
derogations for specific situations are
fulfilled. Provision should be made for
procedures for consultations between
the Commission and such third
countries or international organisations.
The Commission should, in a timely
manner, inform the third country or
international organisation of the
reasons and enter into consultations
with it in order to remedy the situation.
(71) | Transfers not based on such an
adequacy decision should be allowed
only where appropriate safeguards have
been provided in a legally binding
instrument which ensures the
protection of personal data or where
the controller has assessed all the
circumstances surrounding the data
transfer and, on the basis of that
assessment, considers that appropriate
safeguards with regard to the
protection of personal data exist. Such
legally binding instruments could, for
example, be legally binding bilateral
agreements which have been concluded
by the Member States and implemented
in their legal order and which could be
enforced by their data subjects,
ensuring compliance with data
protection requirements and the rights
of the data subjects, including the right
to obtain effective administrative or
judicial redress. The controller should
be able to take into account
cooperation agreements concluded
between Europol or Eurojust and third
countries which allow for the exchange
of personal data when carrying out the
assessment of all the circumstances
surrounding the data transfer. The
controller should be able to also take
into account the fact that the transfer of
personal data will be subject to
confidentiality obligations and the
principle of specificity, ensuring that
the data will not be processed for other
purposes than for the purposes of the
transfer. In addition, the controller
should take into account that the
personal data will not be used to
request, hand down or execute a death
penalty or any form of cruel and
inhuman treatment. While those
conditions could be considered to be
appropriate safeguards allowing the
transfer of data, the controller should
be able to require additional
safeguards.
Dans ses décisions d'adéquation, la
Commission devrait prévoir un
mécanisme d'examen périodique de
leur fonctionnement. Cet examen
périodique devrait être effectué en
consultation avec le pays tiers ou
l'organisation internationale en
question et tenir compte de l'ensemble
des évolutions pertinentes dans le pays
tiers ou au sein de l'organisation
internationale.
(70) | La Commission devrait également
pouvoir constater qu'un pays tiers, un
territoire ou un secteur déterminé dans
un pays tiers, ou une organisation
internationale n'assure plus un niveau
adéquat de protection des données. En
conséquence, le transfert de données à
caractère personnel vers ce pays tiers
ou à cette organisation internationale
devrait être interdit, à moins que les
exigences de la présente directive
relatives aux transferts moyennant des
garanties appropriées et aux
dérogations pour des situations
particulières soient respectées. Il y
aurait lieu de prévoir des procédures de
consultation entre la Commission et le
pays tiers ou l'organisation
internationale en question. La
Commission devrait informer en temps
utile le pays tiers ou l'organisation
internationale des motifs de sa
conclusion et engager des consultations
en vue de remédier à la situation.
(71) | Les transferts qui ne sont pas
fondés sur une décision d'adéquation
ne devraient être autorisés que lorsque
des garanties appropriées ont été
offertes dans un instrument
juridiquement contraignant assurant la
protection des données à caractère
personnel, ou lorsque le responsable du
traitement a évalué toutes les
circonstances entourant le transfert de
données et estime, au vu de cette
évaluation, qu'il existe des garanties
appropriées en matière de protection
des données à caractère personnel. Ces
instruments juridiquement
contraignants pourraient, par exemple,
être des accords bilatéraux
juridiquement contraignants que les
États membres ont conclus et mis en
œuvre dans leur ordre juridique et que
les personnes concernées pourraient
faire exécuter, qui respectent les
exigences en matière de protection des
données et les droits des personnes
concernées, y compris le droit à un
recours administratif ou juridictionnel
effectif. Lorsqu'il évalue toutes les
circonstances entourant le transfert de
données, le responsable du traitement
devrait pouvoir tenir compte des
accords de coopération conclus entre
Europol ou Eurojust et des pays tiers
qui permettent un échange de données
à caractère personnel. Le responsable
du traitement devrait aussi pouvoir
prendre en compte le fait que le
transfert de données à caractère
personnel sera soumis à des obligations
de confidentialité et au principe de
spécificité, ce qui garantit que les
données ne seront pas traitées à des
fins autres que celles pour lesquelles
elles ont été transférées. En outre, le
responsable du traitement devrait
prendre en compte le fait que les
données à caractère personnel ne
seront pas utilisées pour demander,
prononcer ou mettre à exécution une
putea fi considerate garanții adecvate
care să permită transferul de date,
operatorul ar trebui să poată solicita
garanții suplimentare.
(72) | În cazul în care nu există nicio
decizie privind caracterul adecvat al
nivelului de protecție sau nicio garanție
adecvată, un transfer sau o categorie de
transferuri poate avea loc numai în
situații specifice, dacă este necesar în
scopul protejării intereselor vitale ale
persoanei vizate sau ale unei alte
persoane sau al protejării intereselor
legitime ale persoanei vizate, în cazul în
care se prevede astfel în dreptul statului
membru care transferă datele cu
caracter personal; pentru prevenirea
unei amenințări imediate și grave la
adresa securității publice a unui stat
membru sau a unei țări terțe; într-un
caz specific, în scopul prevenirii,
depistării, investigării sau urmăririi
penale a infracțiunilor sau al executării
pedepselor, inclusiv în scopul protejării
împotriva amenințărilor la adresa
securității publice; sau, într-un caz
specific, pentru constatarea, exercitarea
sau apărarea unui drept în instanță.
Aceste derogări ar trebui interpretate
restrictiv și nu ar trebui să permită
transferuri frecvente, masive și
structurale de date cu caracter personal
sau transferuri la scară largă de date, ci
ar trebui să se limiteze la datele strict
necesare. Astfel de transferuri ar trebui
să fie documentate și să fie puse la
dispoziția autorității de supraveghere la
cerere, în scopul monitorizării legalității
transferului.
(73) | Autoritățile competente ale
statelor membre aplică acordurile
internaționale bilaterale sau
multilaterale în vigoare, încheiate cu țări
terțe în domeniul cooperării judiciare în
materie penală și al cooperării
polițienești, în schimbul obținerii de
informații relevante care să le permită
să își îndeplinească sarcinile atribuite în
mod legal. În principiu, acest lucru are
loc prin intermediul sau cel puțin cu
cooperarea autorităților competente din
țările terțe implicate în scopul prezentei
directive, uneori chiar în absența unui
acord internațional bilateral sau
multilateral. Cu toate acestea, în
anumite cazuri individuale, procedurile
obișnuite care necesită contactarea
autorității din țara terță pot fi
ineficiente sau inadecvate, în special din
cauza faptului că transferul nu poate fi
efectuat în timp util sau din cauza
faptului că autoritatea din țara terță nu
respectă statul de drept sau normele și
standardele internaționale în materie de
drepturi ale omului, astfel încât
autoritățile competente ale statelor
membre ar putea decide să transfere
datele cu caracter personal direct
beneficiarilor stabiliți în țări terțe.
Acesta ar putea fi cazul atunci când
există o nevoie urgentă de a transfera
date cu caracter personal pentru a salva
viața unei persoane care se află în
pericol de a deveni victimă a unei
infracțiuni sau în interesul prevenirii
săvârșirii iminente a unei infracțiuni,
(72) | Where no adequacy decision or
appropriate safeguards exist, a transfer
or a category of transfers could take
place only in specific situations, if
necessary to protect the vital interests
of the data subject or another person,
or to safeguard legitimate interests of
the data subject where the law of the
Member State transferring the personal
data so provides; for the prevention of
an immediate and serious threat to the
public security of a Member State or a
third country; in an individual case for
the purposes of the prevention,
investigation, detection or prosecution
of criminal offences or the execution of
criminal penalties, including the
safeguarding against and the
prevention of threats to public security;
or in an individual case for the
establishment, exercise or defence of
legal claims. Those derogations should
be interpreted restrictively and should
not allow frequent, massive and
structural transfers of personal data, or
large-scale transfers of data, but
should be limited to data strictly
necessary. Such transfers should be
documented and should be made
available to the supervisory authority on
request in order to monitor the
lawfulness of the transfer.
(73) | Competent authorities of Member
States apply bilateral or multilateral
international agreements in force,
concluded with third countries in the
field of judicial cooperation in criminal
matters and police cooperation, for the
exchange of relevant information to
allow them to perform their legally
assigned tasks. In principle, this takes
place through, or at least with, the
cooperation of the authorities
competent in the third countries
concerned for the purposes of this
Directive, sometimes even in the
absence of a bilateral or multilateral
international agreement. However, in
specific individual cases, the regular
procedures requiring contacting such
an authority in the third country may be
ineffective or inappropriate, in
particular because the transfer could
not be carried out in a timely manner,
or because that authority in the third
country does not respect the rule of law
or international human rights norms
and standards, so that competent
authorities of Member States could
decide to transfer personal data directly
to recipients established in those third
countries. This may be the case where
there is an urgent need to transfer
personal data to save the life of a
person who is in danger of becoming a
victim of a criminal offence or in the
interest of preventing an imminent
perpetration of a crime, including
terrorism. Even if such a transfer
condamnation à la peine de mort ou
toute forme de traitement cruel et
inhumain. Si ces conditions peuvent
être considérées comme des garanties
appropriées permettant le transfert de
données, le responsable du traitement
devrait pouvoir exiger des garanties
supplémentaires.
(72) | En l'absence de décision
d'adéquation ou de garanties
appropriées, un transfert ou une
catégorie de transferts ne peuvent être
effectués que dans des situations
particulières, s'ils sont nécessaires à la
sauvegarde des intérêt vitaux de la
personne concernée ou d'une autre
personne ou à la sauvegarde des
intérêts légitimes de la personne
concernée lorsque le droit de l'État
membre qui transfère les données à
caractère personnel le prévoit; à la
prévention d'une menace grave et
immédiate pour la sécurité publique
d'un État membre ou d'un pays tiers;
dans un cas particulier, à des fins de
prévention et de détection des
infractions pénales, d'enquêtes et de
poursuites en la matière ou d'exécution
des sanctions pénales, y compris la
protection contre les menaces pour la
sécurité publique et la prévention de
telles menaces; ou, dans un cas
particulier, à la constatation, l'exercice
ou la défense de droits en justice. Ces
dérogations devraient être interprétées
de manière restrictive et ne devraient
pas permettre des transferts fréquents,
massifs et structurels de données à
caractère personnel ni des transferts de
données à grande échelle, mais des
transferts qui devraient être limités aux
données strictement nécessaires. Ces
transferts devraient être documentés et
mis à la disposition de l'autorité de
contrôle, sur demande, afin qu'elle
puisse en vérifier la licéité.
(73) | Les autorités compétentes des
États membres appliquent les accords
internationaux bilatéraux ou
multilatéraux conclus avec des pays
tiers qui sont en vigueur dans le
domaine de la coopération judiciaire en
matière pénale et de la coopération
policière, aux fins d'échanger les
informations nécessaires pour leur
permettre d'accomplir les missions que
leur confie la loi. En principe, ce
processus se déroule moyennant, ou
tout au moins avec, la coopération des
autorités compétentes dans les pays
tiers concernés aux fins de la présente
directive, parfois même en l'absence
d'un accord international bilatéral ou
multilatéral. Cependant, dans certains
cas particuliers, il se peut que les
procédures normales exigeant de
contacter ladite autorité dans le pays
tiers soient inefficaces ou
inappropriées, notamment parce que le
transfert ne pourrait être effectué en
temps opportun ou parce que cette
autorité dans le pays tiers ne respecte
pas l'état de droit ou n'observe pas les
règles et normes internationales dans le
domaine des droits de l'homme de
sorte que les autorités compétentes des
États membres pourraient décider de
transférer les données à caractère
personnel directement à des
destinataires établis dans ces pays tiers.
C'est notamment le cas lorsqu'il est
urgent de transférer des données à
caractère personnel afin de sauver la vie
inclusiv a terorismului. Chiar dacă acest
transfer între autoritățile competente și
destinatarii stabiliți în țări terțe ar trebui
să aibă loc numai în anumite cazuri
individuale, prezenta directivă ar trebui
să prevadă condițiile pentru
reglementarea unor astfel de cazuri.
Aceste dispoziții nu ar trebui să fie
considerate derogări de la niciun acord
internațional bilateral sau multilateral
existent în domeniul cooperării
judiciare în materie penală și al
cooperării polițienești. Aceste norme ar
trebui să se aplice în completarea altor
norme din directivă, în special cele cu
privire la legalitatea prelucrării și cele
din capitolul V.
(74) | Fluxul transfrontalier de date cu
caracter personal poate expune unui
risc sporit capacitatea persoanelor
fizice de a-și exercita drepturile în
materie de protecție a datelor pentru a
se proteja împotriva utilizării sau a
divulgării ilegale a acestor date. În
același timp, autoritățile de
supraveghere pot constata că se află în
imposibilitatea de a da curs unor
plângeri sau de a efectua investigații
referitoare la activitățile desfășurate în
afara frontierelor lor. Eforturile lor de a
conlucra în context transfrontalier pot
fi, de asemenea, îngreunate de
insuficiența competențelor de prevenire
sau remediere și de caracterul eterogen
al regimurilor juridice. Prin urmare, este
necesar să se promoveze o cooperare
mai strânsă între autoritățile de
supraveghere a protecției datelor
pentru a le ajuta să facă schimb de
informații cu omologii lor străini.
(75) | Instituirea în statele membre a
unor autorități de supraveghere
capabile să își exercite atribuțiile în
deplină independență reprezintă un
element esențial al protecției
persoanelor fizice în ceea ce privește
prelucrarea datelor lor cu caracter
personal. Autoritățile de supraveghere
ar trebui să monitorizeze aplicarea
dispozițiilor adoptate în temeiul
prezentei directive și ar trebui să
contribuie la aplicarea ei consecventă în
întreaga Uniune, în scopul asigurării
protecției persoanelor fizice în ceea ce
privește prelucrarea datelor lor cu
caracter personal. În acest scop,
autoritățile de supraveghere ar trebui să
coopereze între ele și cu Comisia.
(76) | Statele membre pot încredința
unei autorități de supraveghere deja
înființate în temeiul Regulamentului
(UE) 2016/679 responsabilitatea pentru
sarcinile care urmează să fie îndeplinite
de către autoritățile naționale de
supraveghere care urmează a fi
înființate în temeiul prezentei directive.
(77) | Statele membre ar trebui să aibă
posibilitatea de a institui mai multe
autorități de supraveghere, pentru a
reflecta structura lor constituțională,
organizatorică și administrativă. Fiecare
autoritate de supraveghere ar trebui să
beneficieze de resurse financiare și
umane, de localuri și de infrastructura
necesare pentru îndeplinirea cu
between competent authorities and
recipients established in third countries
should take place only in specific
individual cases, this Directive should
provide for conditions to regulate such
cases. Those provisions should not be
considered to be derogations from any
existing bilateral or multilateral
international agreements in the field of
judicial cooperation in criminal matters
and police cooperation. Those rules
should apply in addition to the other
rules of this Directive, in particular
those on the lawfulness of processing
and Chapter V.
(74) | Where personal data move across
borders it may put at increased risk the
ability of natural persons to exercise
data protection rights to protect
themselves from the unlawful use or
disclosure of those data. At the same
time, supervisory authorities may find
that they are unable to pursue
complaints or conduct investigations
relating to the activities outside their
borders. Their efforts to work together
in the cross-border context may also be
hampered by insufficient preventative
or remedial powers and inconsistent
legal regimes. Therefore, there is a
need to promote closer cooperation
among data protection supervisory
authorities to help them exchange
information with their foreign
counterparts.
(75) | The establishment in Member
States of supervisory authorities that
are able to exercise their functions with
complete independence is an essential
component of the protection of natural
persons with regard to the processing
of their personal data. The supervisory
authorities should monitor the
application of the provisions adopted
pursuant to this Directive and should
contribute to their consistent
application throughout the Union in
order to protect natural persons with
regard to the processing of their
personal data. To that end, the
supervisory authorities should
cooperate with each other and with the
Commission.
(76) | Member States may entrust a
supervisory authority already
established under Regulation (EU)
2016/679 with the responsibility for
the tasks to be performed by the
national supervisory authorities to be
established under this Directive.
(77) | Member States should be allowed
to establish more than one supervisory
authority to reflect their constitutional,
organisational and administrative
structure. Each supervisory authority
should be provided with the financial
and human resources, premises and
infrastructure, which are necessary for
the effective performance of their tasks,
d'une personne qui risque de devenir la
victime d'une infraction pénale ou pour
éviter la commission imminente d'un
crime, y compris d'un acte de
terrorisme. Même si ce transfert entre
autorités compétentes et destinataires
établis dans des pays tiers ne devrait
avoir lieu que dans certains cas précis,
la présente directive devrait prévoir les
conditions qui réglementent ces cas.
Ces dispositions ne devraient pas être
considérées comme constituant des
dérogations aux accords internationaux
bilatéraux ou multilatéraux en vigueur
dans le domaine de la coopération
judiciaire en matière pénale et de la
coopération policière. Ces règles
devraient s'appliquer en complément
des autres règles énoncées dans la
présente directive, en particulier celles
sur la licéité du traitement et celles du
chapitre V.
(74) | Lorsque des données à caractère
personnel franchissent les frontières,
cela peut accroître le risque que les
personnes physiques ne puissent
exercer leur droit à la protection des
données pour se protéger de
l'utilisation ou la divulgation illicite de
ces dernières. De même, les autorités
de contrôle peuvent être confrontées à
l'impossibilité d'examiner des
réclamations ou de mener des enquêtes
sur les activités exercées en dehors de
leurs frontières. Leurs efforts pour
collaborer dans le contexte
transfrontalier peuvent également être
freinés par les pouvoirs insuffisants
dont elles disposent en matière de
prévention ou de recours et par
l'hétérogénéité des régimes juridiques.
En conséquence, il est nécessaire de
favoriser une coopération plus étroite
entre les autorités de contrôle de la
protection des données, afin qu'elles
puissent échanger des informations
avec leurs homologues étrangers.
(75) | L'institution d'autorités de
contrôle dans les États membres, qui
sont en mesure d'exercer leurs
fonctions en toute indépendance, est
un élément essentiel de la protection
des personnes physiques à l'égard du
traitement des données à caractère
personnel. Il y a lieu que les autorités
de contrôle surveillent l'application des
dispositions adoptées en vertu de la
présente directive et contribuent à ce
que son application soit cohérente dans
l'ensemble de l'Union, afin de protéger
les personnes physiques à l'égard du
traitement de leurs données à caractère
personnel. À cet effet, les autorités de
contrôle devraient coopérer entre elles
et avec la Commission.
(76) | Les États membres peuvent
confier à une autorité de contrôle déjà
créée en vertu du règlement (UE)
2016/679 la responsabilité des
missions incombant aux autorités de
contrôle nationales à instituer au titre
de la présente directive.
(77) | Les États membres devraient avoir
la possibilité d'instituer plusieurs
autorités de contrôle en fonction de
leur structure constitutionnelle,
organisationnelle et administrative. Il
convient que chaque autorité de
contrôle soit dotée de tous les moyens
financiers et humains ainsi que des
locaux et des infrastructures
eficacitate a sarcinilor lor, inclusiv a
celor legate de asistența reciprocă și
cooperarea cu alte autorități de
supraveghere în întreaga Uniune.
Fiecare autoritate de supraveghere ar
trebui să aibă un buget public anual
distinct, care poate face parte din
bugetul general de stat sau național.
(78) | Autoritățile de supraveghere ar
trebui să facă obiectul unui control
independent sau al unor mecanisme de
monitorizare în ceea ce privește
cheltuielile lor financiare, cu condiția ca
acest control financiar să nu le afecteze
independența.
(79) | Condițiile generale pentru
membrul sau membrii autorității de
supraveghere ar trebui stabilite prin
dreptul intern și ar trebui, în special, să
prevadă că respectivii membri ar trebui
să fie numiți de parlamentul și/sau de
guvernul ori de șeful de stat al statului
membru în cauză, pe baza unei
propuneri din partea guvernului sau a
unui membru al guvernului ori din
partea parlamentului sau camerei
acestuia, ori de către un organism
independent împuternicit prin dreptul
intern să facă numirea prin intermediul
unei proceduri transparente. În vederea
asigurării independenței autorității de
supraveghere, membrul sau membrii
acesteia ar trebui să dea dovadă de
integritate, nu ar trebui să întreprindă
acțiuni incompatibile cu îndatoririle lor,
iar, pe durata mandatului, nu ar trebui
să desfășoare activități incompatibile,
remunerate sau nu. În vederea
asigurării independenței autorității de
supraveghere, personalul ar trebui să
fie ales de autoritatea de supraveghere,
ceea ce poate include o intervenție din
partea unui organism independent
împuternicit în acest sens prin dreptul
intern.
(80) | Cu toate că prezenta directivă se
aplică, de asemenea, activităților
instanțelor naționale și ale altor
autorități judiciare, prelucrarea datelor
cu caracter personal nu ar trebui să fie
de competența autorităților de
supraveghere atunci când instanțele
acționează în exercițiul funcției lor
judiciare, în scopul asigurării
independenței judecătorilor în
îndeplinirea sarcinilor lor judiciare.
Această derogare ar trebui să se
limiteze la activități judiciare în cadrul
acțiunilor în instanță și să nu se aplice
altor activități în care judecătorii ar
putea fi implicați, în conformitate cu
dreptul intern. Statele membre ar
trebui, de asemenea, să poată să
prevadă faptul că nu este de
competența autorității de supraveghere
prelucrarea datelor cu caracter personal
ale altor autorități judiciare
independente care acționează în
exercițiul funcției lor judiciare, de
exemplu ministerul public. În orice caz,
respectarea normelor prezentei
directive de către instanțe și alte
autorități judiciare independente face
întotdeauna obiectul unei supravegheri
independente în conformitate cu
articolul 8 alineatul (3) din Cartă.
(81) | Fiecare autoritate de
supraveghere ar trebui să trateze
plângerile depuse de orice persoană
including for the tasks related to
mutual assistance and cooperation with
other supervisory authorities
throughout the Union. Each supervisory
authority should have a separate, public
annual budget, which may be part of
the overall state or national budget.
(78) | Supervisory authorities should be
subject to independent control or
monitoring mechanisms regarding their
financial expenditure, provided that
such financial control does not affect
their independence.
(79) | The general conditions for the
member or members of the supervisory
authority should be laid down by
Member State law and should in
particular provide that those members
should be either appointed by the
parliament or the government or the
head of State of the Member State
based on a proposal from the
government or a member of the
government, or the parliament or its
chamber, or by an independent body
entrusted by Member State law with the
appointment by means of a transparent
procedure. In order to ensure the
independence of the supervisory
authority, the member or members
should act with integrity, should refrain
from any action incompatible with their
duties and should not, during their
term of office, engage in any
incompatible occupation, whether
gainful or not. In order to ensure the
independence of the supervisory
authority, the staff should be chosen by
the supervisory authority which may
include an intervention by an
independent body entrusted by Member
State law.
(80) | While this Directive applies also to
the activities of national courts and
other judicial authorities, the
competence of the supervisory
authorities should not cover the
processing of personal data where
courts are acting in their judicial
capacity, in order to safeguard the
independence of judges in the
performance of their judicial tasks. That
exemption should be limited to judicial
activities in court cases and not apply to
other activities where judges might be
involved in accordance with Member
State law. Member States should also be
able to provide that the competence of
the supervisory authority does not
cover the processing of personal data of
other independent judicial authorities
when acting in their judicial capacity,
for example public prosecutor's office.
In any event, the compliance with the
rules of this Directive by the courts and
other independent judicial authorities is
always subject to independent
supervision in accordance with Article 8
(3) of the Charter.
(81) | Each supervisory authority should
handle complaints lodged by any data
subject and should investigate the
nécessaires à la bonne exécution de ses
missions, y compris celles qui sont liées
à l'assistance mutuelle et à la
coopération avec d'autres autorités de
contrôle dans l'ensemble de l'Union.
Chaque autorité de contrôle devrait
disposer d'un budget annuel public
propre, qui peut faire partie du budget
global national ou d'une entité fédérée.
(78) | Les autorités de contrôle
devraient être soumises à des
mécanismes indépendants de contrôle
ou de suivi de leur gestion financière, à
condition que ce contrôle financier ne
nuise pas à leur indépendance.
(79) | Les conditions générales
applicables au(x) membre(s) de
l'autorité de contrôle devraient être
fixées par le droit de l'État membre et
prévoir notamment que ces membres
sont nommés par le parlement ou le
gouvernement ou le chef d'État de l'État
membre, sur proposition du
gouvernement ou d'un membre du
gouvernement, ou du parlement ou de
sa chambre, ou par un organisme
indépendant chargé, par le droit de
l'État membre, de procéder à la
nomination selon une procédure
transparente. Afin de garantir
l'indépendance de l'autorité de contrôle,
il convient que le ou les membres de
celle-ci agissent avec intégrité,
s'abstiennent de tout acte incompatible
avec leurs fonctions et n'exercent,
pendant la durée de leur mandat,
aucune activité professionnelle
incompatible, rémunérée ou non. Afin
de garantir l'indépendance de l'autorité
de contrôle, il convient que le personnel
soit choisi par cette dernière, avec la
possibilité qu'intervienne dans ce
processus un organe indépendant qui
en serait chargé par le droit de l'État
membre.
(80) | Bien que la présente directive
s'applique également aux activités des
juridictions nationales et autres
autorités judiciaires, la compétence des
autorités de contrôle ne devrait pas
s'étendre au traitement des données à
caractère personnel effectué par les
juridictions dans l'exercice de leur
fonction juridictionnelle, afin de
préserver l'indépendance des juges
dans l'accomplissement de leurs
missions judiciaires. Il convient que
cette exception soit limitée aux activités
judiciaires dans le cadre d'affaires
portées devant les juridictions et qu'elle
ne s'applique pas aux autres activités
auxquelles les juges pourraient être
associés conformément au droit d'un
État membre. Les États membres
devraient aussi pouvoir prévoir que la
compétence de l'autorité de contrôle ne
s'étend pas aux traitements de données
à caractère personnel effectués par
d'autres autorités judiciaires
indépendantes dans l'exercice de leur
fonction juridictionnelle, par exemple le
ministère public. En tout état de cause,
le respect des règles de la présente
directive par les juridictions et autres
autorités judiciaires indépendantes fait
toujours l'objet d'un contrôle
indépendant conformément à l'article 8,
paragraphe 3, de la Charte.
(81) | Chaque autorité de contrôle
devrait traiter les réclamations
introduites par les personnes
vizată și ar trebui să investigheze cazul
sau să-l transmită autorității de
supraveghere competente. Investigația
în urma unei plângeri ar trebui să fie
efectuată, sub rezerva controlului
jurisdicțional, în măsura necesară
fiecărui caz. Autoritatea de
supraveghere ar trebui să informeze
persoana vizată cu privire la evoluția și
soluționarea plângerii într-un termen
rezonabil. În eventualitatea în care
cazul necesită o investigare
suplimentară sau coordonarea cu o altă
autoritate de supraveghere, ar trebui să
se furnizeze informații intermediare
persoanei vizate.
(82) | Pentru a se asigura eficacitatea,
fiabilitatea și consecvența monitorizării
respectării și a aplicării prezentei
directive în întreaga Uniune, în
conformitate cu TFUE, astfel cum a fost
interpretat de Curtea de Justiție,
autorităților de supraveghere din fiecare
stat membru ar trebui să le revină
aceleași sarcini și competențe efective,
inclusiv competențe de investigare,
corective și de consiliere, care
constituie mijloace necesare pentru
îndeplinirea sarcinilor lor. Cu toate
acestea, competențele acestora nu ar
trebui să afecteze normele speciale de
procedură penală, inclusiv cele
referitoare la investigarea și urmărirea
penală a infracțiunilor, sau
independența justiției. Fără a aduce
atingere competențelor autorităților de
urmărire penală în temeiul dreptului
intern, autoritățile de supraveghere ar
trebui să aibă, de asemenea,
competența de a aduce în atenția
autorităților judiciare cazurile de
încălcare a prezentei directive sau de a
desfășura proceduri judiciare.
Competențele autorităților de
supraveghere ar trebui să fie exercitate
în conformitate cu garanțiile
procedurale adecvate prevăzute în
dreptul Uniunii și în dreptul intern, în
mod imparțial, echitabil și într-un
termen rezonabil. În special, fiecare
măsură ar trebui să fie adecvată,
necesară și proporțională în scopul de a
asigura conformitatea cu prezenta
directivă, luând în considerare
circumstanțele fiecărui caz în parte, să
respecte dreptul oricărei persoane de a
fi ascultată înainte de a fi luată orice
măsură individuală care ar putea să îi
aducă atingere și să evite costurile
inutile și inconvenientele excesive
pentru persoanele în cauză.
Competențele de investigare în ceea ce
privește accesul în incinte ar trebui
exercitate în conformitate cu cerințele
specifice din dreptul intern, cum ar fi
obligația de a obține în prealabil o
autorizare judiciară. Adoptarea unei
decizii obligatorii din punct de vedere
juridic ar trebui să facă obiectul
controlului jurisdicțional în statul
membru al autorității de supraveghere
care a adoptat decizia.
(83) | Autoritățile de supraveghere ar
trebui să se sprijine reciproc în
îndeplinirea sarcinilor care le revin și ar
trebui să își acorde asistență reciprocă,
pentru a se asigura aplicarea
consecventă a dispozițiilor adoptate în
temeiul prezentei directive.
matter or transmit it to the competent
supervisory authority. The investigation
following a complaint should be carried
out, subject to judicial review, to the
extent that is appropriate in the specific
case. The supervisory authority should
inform the data subject of the progress
and the outcome of the complaint
within a reasonable period. If the case
requires further investigation or
coordination with another supervisory
authority, intermediate information
should be provided to the data subject.
(82) | In order to ensure effective,
reliable and consistent monitoring of
compliance with and enforcement of
this Directive throughout the Union
pursuant to the TFEU as interpreted by
the Court of Justice, the supervisory
authorities should have in each Member
State the same tasks and effective
powers, including investigative,
corrective, and advisory powers which
constitute necessary means to perform
their tasks. However, their powers
should not interfere with specific rules
for criminal proceedings, including
investigation and prosecution of
criminal offences, or the independence
of the judiciary. Without prejudice to
the powers of prosecutorial authorities
under Member State law, supervisory
authorities should also have the power
to bring infringements of this Directive
to the attention of the judicial
authorities or to engage in legal
proceedings. The powers of supervisory
authorities should be exercised in
accordance with appropriate procedural
safeguards laid down by Union and
Member State law, impartially, fairly and
within a reasonable time. In particular
each measure should be appropriate,
necessary and proportionate in view of
ensuring compliance with this Directive,
taking into account the circumstances
of each individual case, respect the
right of every person to be heard before
any individual measure that would
adversely affect the person concerned is
taken, and avoiding superfluous costs
and excessive inconvenience to the
person concerned. Investigative powers
as regards access to premises should
be exercised in accordance with specific
requirements in Member State law, such
as the requirement to obtain a prior
judicial authorisation. The adoption of a
legally binding decision should be
subject to judicial review in the Member
State of the supervisory authority that
adopted the decision.
(83) | The supervisory authorities
should assist one another in performing
their tasks and provide mutual
assistance, so as to ensure the
consistent application and enforcement
of the provisions adopted pursuant to
this Directive.
concernées et enquêter sur les affaires
en question ou les transmettre à
l'autorité de contrôle compétente.
L'enquête faisant suite à une
réclamation devrait être menée, sous
contrôle juridictionnel, dans la mesure
appropriée requise par le cas d'espèce.
L'autorité de contrôle devrait informer
la personne concernée de l'état
d'avancement et de l'issue de la
réclamation dans un délai raisonnable.
Si l'affaire requiert un complément
d'enquête ou une coordination avec une
autre autorité de contrôle, des
informations intermédiaires devraient
être fournies à la personne concernée.
(82) | Afin d'assurer l'efficacité, la
fiabilité et la cohérence du contrôle du
respect et de l'application de la
présente directive dans l'ensemble de
l'Union conformément au traité sur le
fonctionnement de l'Union européenne
tel qu'il est interprété par la Cour de
justice, les autorités de contrôle
devraient avoir, dans chaque État
membre, les mêmes missions et les
mêmes pouvoirs effectifs, dont celui
d'enquêter, d'adopter des mesures
correctrices et d'émettre des avis
consultatifs, qui constituent les moyens
nécessaires à l'accomplissement de
leurs missions. Cependant, leurs
pouvoirs ne devraient pas interférer
avec les règles spécifiques relatives à la
procédure pénale, y compris pour les
enquêtes et les poursuites concernant
les infractions pénales, ni avec
l'indépendance du pouvoir judiciaire.
Sans préjudice des pouvoirs des
autorités chargées des poursuites en
vertu du droit de l'État membre, les
autorités de contrôle devraient aussi
avoir le pouvoir de porter les violations
de la présente directive à l'attention des
autorités judiciaires ou d'ester en
justice. Les pouvoirs des autorités de
contrôle devraient être exercés en
conformité avec les garanties
procédurales appropriées prévues par le
droit de l'Union et le droit des États
membres, d'une manière impartiale et
équitable et dans un délai raisonnable.
Cela signifie, en particulier, que toute
mesure devrait être appropriée,
nécessaire et proportionnée en vue de
garantir le respect de la présente
directive, compte tenu des
circonstances de l'espèce, respecter le
droit de chacun à être entendu avant
que ne soit prise toute mesure
individuelle susceptible d'affecter
défavorablement la personne concernée
et éviter les coûts superflus ainsi que
les désagréments excessifs pour la
personne concernée. Les pouvoirs
d'enquête en ce qui concerne l'accès
aux installations devraient être exercés
dans le respect des exigences
spécifiques du droit de l'État membre,
par exemple l'obligation d'obtenir une
autorisation judiciaire préalable. Si une
décision juridiquement contraignante
est adoptée, elle devrait donner lieu à
un contrôle juridictionnel dans l'État
membre de l'autorité de contrôle qui a
adopté cette décision.
(83) | Les autorités de contrôle
devraient s'entraider et se prêter
mutuellement assistance dans
l'accomplissement de leurs missions
afin d'assurer l'application cohérente et
l'exécution des dispositions adoptées
en vertu de la présente directive.
(84) | Comitetul, ar trebui să contribuie
la aplicarea coerentă a prezentei
directive în întreaga Uniune, inclusiv
prin consilierea Comisiei și prin
promovarea cooperării autorităților de
supraveghere în întreaga Uniune.
(85) | Orice persoană vizată ar trebui să
aibă dreptul de a depune o plângere la
o singură autoritate de supraveghere și
la o cale de atac eficientă în
conformitate cu articolul 47 din Cartă,
în cazul în care persoana vizată
consideră că sunt încălcate drepturile
care îi revin în conformitate cu
dispozițiile adoptate în temeiul
prezentei directive sau în cazul în care
autoritatea de supraveghere nu dă curs
unei plângeri, respinge sau refuză
parțial sau total o plângere sau nu
acționează atunci când o astfel de
acțiune este necesară pentru asigurarea
protecției drepturilor persoanei vizate.
Investigația în urma unei plângeri ar
trebui să fie efectuată, făcând obiectul
controlului jurisdicțional, în măsura în
care este necesar, în funcție de caz.
Autoritatea de supraveghere
competentă ar trebui să informeze
persoana vizată cu privire la evoluția și
soluționarea plângerii într-un termen
rezonabil. În eventualitatea în care
cazul necesită o investigare
suplimentară sau coordonarea cu o altă
autoritate de supraveghere, ar trebui să
se furnizeze informații intermediare
persoanei vizate. În vederea facilitării
depunerii plângerilor, fiecare autoritate
de supraveghere ar trebui să ia măsuri
precum punerea la dispoziție a unui
formular de depunere a plângerii, care
să poată fi completat inclusiv în format
electronic, fără a exclude alte mijloace
de comunicare.
(86) | Orice persoană fizică sau juridică
ar trebui să aibă dreptul la o cale de
atac eficientă în fața instanței naționale
competente, împotriva unei decizii a
unei autorități de supraveghere care
produce efecte juridice privind
persoana respectivă. O astfel de decizie
se referă în special la exercitarea
competențelor de investigare, corective
și de autorizare de către autoritatea de
supraveghere sau la refuzul sau
respingerea plângerilor. Cu toate
acestea, dreptul respectiv nu privește
alte măsuri ale autorităților de
supraveghere care nu sunt obligatorii
din punct de vedere juridic, cum ar fi
avizele emise de autoritatea de
supraveghere sau consultanța furnizată
de aceasta. Acțiunile inițiate împotriva
unei autorități de supraveghere ar
trebui să fie aduse în fața instanțelor
statului membru în care este stabilită
autoritatea de supraveghere și ar trebui
să se desfășoare în conformitate cu
dreptul intern al statului membru
respectiv. Respectivele instanțe ar
trebui să își exercite competența
deplină, care ar trebui să includă
competența de a examina toate
aspectele de fapt sau de drept care au
relevanță pentru litigiul cu care acestea
sunt sesizate.
(87) | În cazul în care persoana vizată
consideră că drepturile sale în temeiul
prezentei directive sunt încălcate,
aceasta ar trebui să aibă dreptul să
mandateze un organism care are drept
obiectiv asigurarea protecției
drepturilor și a intereselor persoanelor
(84) | The Board should contribute to
the consistent application of this
Directive throughout the Union,
including advising the Commission and
promoting the cooperation of the
supervisory authorities throughout the
Union.
(85) | Every data subject should have
the right to lodge a complaint with a
single supervisory authority and to an
effective judicial remedy in accordance
with Article 47 of the Charter where the
data subject considers that his or her
rights under provisions adopted
pursuant to this Directive are infringed
or where the supervisory authority does
not act on a complaint, partially or
wholly rejects or dismisses a complaint
or does not act where such action is
necessary to protect the rights of the
data subject. The investigation
following a complaint should be carried
out, subject to judicial review, to the
extent that is appropriate in the specific
case. The competent supervisory
authority should inform the data
subject of the progress and the
outcome of the complaint within a
reasonable period. If the case requires
further investigation or coordination
with another supervisory authority,
intermediate information should be
provided to the data subject. In order to
facilitate the submission of complaints,
each supervisory authority should take
measures such as providing a complaint
submission form which can also be
completed electronically, without
excluding other means of
communication.
(86) | Each natural or legal person
should have the right to an effective
judicial remedy before the competent
national court against a decision of a
supervisory authority which produces
legal effects concerning that person.
Such a decision concerns in particular
the exercise of investigative, corrective
and authorisation powers by the
supervisory authority or the dismissal
or rejection of complaints. However,
that right does not encompass other
measures of supervisory authorities
which are not legally binding, such as
opinions issued by or advice provided
by the supervisory authority.
Proceedings against a supervisory
authority should be brought before the
courts of the Member State where the
supervisory authority is established and
should be conducted in accordance with
Member State law. Those courts should
exercise full jurisdiction which should
include jurisdiction to examine all
questions of fact and law relevant to the
dispute before it.
(87) | Where a data subject considers
that his or her rights under this
Directive are infringed, he or she should
have the right to mandate a body which
aims to protect the rights and interests
of data subjects in relation to the
protection of their personal data and is
(84) | Le comité devrait contribuer à
l'application cohérente de la présente
directive dans l'ensemble de l'Union,
notamment en conseillant la
Commission et en favorisant la
coopération des autorités de contrôle
dans l'ensemble de l'Union.
(85) | Toute personne concernée devrait
avoir le droit d'introduire une
réclamation auprès d'une autorité de
contrôle unique et disposer du droit à
un recours juridictionnel effectif
conformément à l'article 47 de la Charte
lorsqu'elle estime qu'il y a violation des
droits que lui confèrent les dispositions
adoptées en vertu de la présente
directive, ou si l'autorité de contrôle ne
donne pas à la suite de sa réclamation,
la refuse ou la rejette, en tout ou en
partie, ou si elle n'agit pas alors qu'une
action est nécessaire pour protéger les
droits de la personne concernée.
L'enquête faisant suite à une
réclamation devrait être menée, sous
contrôle juridictionnel, dans la mesure
appropriée au cas d'espèce. L'autorité
de contrôle compétente devrait
informer la personne concernée de
l'état d'avancement et de l'issue de la
réclamation dans un délai raisonnable.
Si l'affaire requiert un complément
d'enquête ou une coordination avec une
autre autorité de contrôle, des
informations intermédiaires devraient
être fournies à la personne concernée.
Afin de faciliter l'introduction des
réclamations, chaque autorité de
contrôle devrait prendre des mesures
telles que la fourniture d'un formulaire
de réclamation qui peut être rempli
également par voie électronique, sans
que d'autres moyens de communication
ne soient exclus.
(86) | Toute personne physique ou
morale devrait disposer du droit à un
recours juridictionnel effectif, devant la
juridiction nationale compétente, contre
une décision d'une autorité de contrôle
qui produit des effets juridiques à son
égard. Une telle décision concerne en
particulier l'exercice, par l'autorité de
contrôle, de pouvoirs d'enquête, du
pouvoir d'adopter des mesures
correctrices et du pouvoir d'autorisation
ou le refus ou le rejet de réclamations.
Toutefois, ce droit ne couvre pas
d'autres mesures prises par les
autorités de contrôle qui ne sont pas
juridiquement contraignantes, telles
que les avis émis ou les conseils fournis
par l'autorité de contrôle. Les actions
contre une autorité de contrôle
devraient être intentées devant les
juridictions de l'État membre sur le
territoire duquel l'autorité de contrôle
est établie et être menées
conformément au droit de l'État
membre en question. Ces juridictions
devraient disposer d'une pleine
compétence, et notamment de celle
d'examiner toutes les questions de fait
et de droit relatives au litige dont elles
sont saisies.
(87) | Lorsqu'une personne concernée
estime que les droits que lui confère la
présente directive ne sont pas
respectés, elle devrait avoir le droit de
mandater un organisme qui œuvre à la
protection des droits et intérêts des
personnes concernées dans le domaine
vizate în ceea ce privește protecția
datelor acestora cu caracter personal și
este constituit în conformitate cu
dreptul intern, să depună o plângere în
numele persoanei vizate la o autoritate
de supraveghere sau să exercite dreptul
la o cale de atac. Dreptul de
reprezentare a persoanelor vizate ar
trebui să nu aducă atingere dreptului
procedural intern care poate impune
reprezentarea în mod obligatoriu a
persoanelor vizate de un avocat, astfel
cum este definit în Directiva
77/249/CEE a Consiliului (10), în fața
instanțelor naționale.
(88) | Orice daună pe care o persoană o
poate suferi ca urmare a unei prelucrări
care încalcă dispozițiile adoptate în
temeiul prezentei directive ar trebui să
fie despăgubită de operator sau de
orice altă autoritate competentă în
conformitate cu dreptul intern
respectiv. Conceptul de „prejudiciu” ar
trebui interpretat, în sens larg, din
perspectiva jurisprudenței Curții de
Justiție, într-un mod care să reflecte pe
deplin obiectivele prezentei directive.
Prezenta dispoziție nu aduce atingere
niciunei acțiuni în despăgubire care
rezultă din încălcarea altor norme din
dreptul Uniunii sau din dreptul intern.
Atunci când se face trimitere la o
prelucrare care este ilegală sau care
încalcă dispozițiile adoptate în temeiul
prezentei directive, trimiterea vizează și
prelucrarea care nu respectă actele de
punere în aplicare adoptate în temeiul
prezentei directive. Persoanele vizate ar
trebui să primească despăgubiri
integrale și efective pentru prejudiciile
suferite.
(89) | Ar trebui să se aplice sancțiuni
oricărei persoane fizice sau juridice, de
drept privat sau public, care încalcă
prezenta directivă. Statele membre ar
trebui să se asigure că sancțiunile sunt
eficace, proporționale și disuasive și ar
trebui să adopte toate măsurile pentru
aplicarea sancțiunilor.
(90) | În vederea asigurării unor condiții
uniforme de punere în aplicare a
prezentei directive, Comisiei ar trebui
să i confere competențe de executare
referitor la nivelul adecvat de protecție
oferit de o țară terță, de un teritoriu sau
de un sector determinat din țara terță
respectivă sau de o organizație
internațională, formatul și procedurile
pentru asistență reciprocă și
modalitățile de schimb de informații
prin mijloace electronice între
autoritățile de supraveghere, precum și
între autoritățile de supraveghere și
comitet. Competențele respective ar
trebui să fie exercitate în conformitate
cu Regulamentul (UE) nr. 182/2011 al
Parlamentului European și al
Consiliului (11).
(91) | Procedura de examinare ar trebui
să fie utilizată pentru adoptarea actelor
de punere în aplicare privind nivelul
adecvat de protecție oferit de o țară
terță, de un teritoriu sau de un sector
determinat din țara terță respectivă sau
de o organizație internațională, precum
și privind formatul și procedurile pentru
asistență reciprocă și modalitățile de
constituted according to Member State
law to lodge a complaint on his or her
behalf with a supervisory authority and
to exercise the right to a judicial
remedy. The right of representation of
data subjects should be without
prejudice to Member State procedural
law which may require mandatory
representation of data subjects by a
lawyer, as defined in Council Directive
77/249/EEC (10), before national
courts.
(88) | Any damage which a person may
suffer as a result of processing that
infringes the provisions adopted
pursuant to this Directive should be
compensated by the controller or any
other authority competent under
Member State law. The concept of
damage should be broadly interpreted
in the light of the case-law of the Court
of Justice in a manner which fully
reflects the objectives of this Directive.
This is without prejudice to any claims
for damage deriving from the violation
of other rules in Union or Member State
law. When reference is made to
processing that is unlawful or that
infringes the provisions adopted
pursuant to this Directive it also covers
processing that infringes implementing
acts adopted pursuant to this Directive.
Data subjects should receive full and
effective compensation for the damage
that they have suffered.
(89) | Penalties should be imposed on
any natural or legal person, whether
governed by private or public law, who
infringes this Directive. Member States
should ensure that the penalties are
effective, proportionate and dissuasive
and should take all measures to
implement the penalties.
(90) | In order to ensure uniform
conditions for the implementation of
this Directive, implementing powers
should be conferred on the Commission
with regard to the adequate level of
protection afforded by a third country, a
territory or a specified sector within a
third country, or an international
organisation and the format and
procedures for mutual assistance and
the arrangements for the exchange of
information by electronic means
between supervisory authorities, and
between supervisory authorities and the
Board. Those powers should be
exercised in accordance with Regulation
(EU) No 182/2011 of the European
Parliament and of the Council (11).
(91) | The examination procedure
should be used for the adoption of
implementing acts on the adequate
level of protection afforded by a third
country, a territory or a specified sector
within a third country, or an
international organisation and on the
format and procedures for mutual
assistance and the arrangements for the
de la protection des données à
caractère personnel et qui est constitué
conformément au droit d'un État
membre, pour qu'il introduise une
réclamation en son nom auprès d'une
autorité de contrôle et pour qu'il exerce
le droit à un recours juridictionnel. Le
droit de représentation des personnes
concernées ne devrait pas porter
atteinte au droit procédural d'un État
membre qui peut prévoir que les
personnes concernées doivent être
obligatoirement représentées devant les
juridictions nationales par un avocat au
sens de la directive 77/249/CEE du
Conseil (10).
(88) | Tout dommage qu'une personne
pourrait subir du fait d'un traitement
qui constitue une violation des
dispositions adoptées en vertu de la
présente directive devrait être réparé
par le responsable du traitement ou
toute autre autorité compétente en
vertu du droit des États membres. La
notion de dommage devrait être
interprétée au sens large, à la lumière
de la jurisprudence de la Cour de
justice, de façon à tenir pleinement
compte des objectifs de la présente
directive. Cela est sans préjudice de
toute action en dommages-intérêts
fondée sur la violation d'autres règles
du droit de l'Union ou du droit des États
membres. Lorsqu'il est fait référence à
un traitement illicite ou qui constitue
une violation des dispositions adoptées
en vertu de la présente directive, cela
concerne aussi un traitement qui
constitue une violation des actes
d'exécution adoptés en vertu de la
présente directive. Les personnes
concernées devraient recevoir une
indemnisation complète et effective
pour le dommage subi.
(89) | Toute personne physique ou
morale, qu'elle soit soumise au droit
privé ou au droit public, qui enfreint la
présente directive devrait faire l'objet
de sanctions. Les États membres
devraient veiller à ce que les sanctions
soient effectives, proportionnées et
dissuasives, et prendre toutes les
mesures nécessaires à leur mise en
œuvre.
(90) | Afin d'assurer des conditions
uniformes d'exécution de la présente
directive, il convient de conférer des
compétences d'exécution à la
Commission en ce qui concerne le
niveau adéquat de protection offert par
un pays tiers, un territoire ou un
secteur déterminé dans un pays tiers,
ou une organisation internationale,
ainsi que la forme et les procédures de
l'assistance mutuelle et les modalités de
l'échange d'informations par voie
électronique entre les autorités de
contrôle et entre les autorités de
contrôle et le comité. Ces compétences
devraient être exercées en conformité
avec le règlement (UE) no 182/2011 du
Parlement européen et du Conseil (11).
(91) | Il convient d'avoir recours à la
procédure d'examen pour l'adoption
d'actes d'exécution en ce qui concerne
le niveau adéquat de protection offert
par un pays tiers, un territoire ou un
secteur déterminé dans un pays tiers,
ou une organisation internationale ainsi
que la forme et les procédures de
l'assistance mutuelle et les modalités de
schimb de informații prin mijloace
electronice între autoritățile de
supraveghere și între autoritățile de
supraveghere și comitet, ținând seama
de faptul că actele respective au un
caracter general.
(92) | Comisia ar trebui să adopte acte
de punere în aplicare imediat aplicabile
atunci când acest lucru se impune din
motive imperative de urgență, în cazuri
justificate în mod corespunzător
referitoare la o țară terță, la un teritoriu
sau la un sector determinat din țara
terță respectivă sau la o organizație
internațională care nu mai asigură un
nivel de protecție adecvat.
(93) | Întrucât obiectivele prezentei
directive, și anume protejarea
drepturilor și a libertăților
fundamentale ale persoanelor fizice, în
special dreptul acestora la protecția
datelor cu caracter personal și
asigurarea liberului schimb de date cu
caracter personal de către autoritățile
competente în cadrul Uniunii, nu pot fi
realizate în mod satisfăcător de către
statele membre ci, datorită amplorii sau
a efectelor acțiunii, pot fi realizate mai
bine la nivelul Uniunii, Uniunea poate
adopta măsuri, în conformitate cu
principiul subsidiarității, astfel cum este
definit la articolul 5 din TUE. În
conformitate cu principiul
proporționalității, astfel cum este
definit la articolul respectiv, prezenta
directivă nu depășește ceea ce este
necesar pentru realizarea obiectivelor
menționate.
(94) | Dispozițiile speciale din actele
Uniunii adoptate în domeniul cooperării
judiciare în materie penală și al
cooperării polițienești, care au fost
adoptate înainte de data adoptării
prezentei directive, care reglementează
prelucrarea datelor cu caracter personal
între statele membre sau accesul
autorităților desemnate ale statelor
membre la sistemele de informații
stabilite în conformitate cu tratatele, ar
trebui să rămână neatinse, cum ar fi, de
exemplu, dispozițiile speciale
referitoare la protecția datelor cu
caracter personal aplicate în
conformitate cu Decizia 2008/615/JAI a
Consiliului (12), sau articolul 23 din
Convenția privind asistența judiciară
reciprocă în materie penală între statele
membre ale Uniunii Europene (13).
Întrucât articolul 8 din Cartă și articolul
16 din TFUE prevăd că dreptul
fundamental la protecția datelor cu
caracter personal trebuie să fie asigurat
în mod consecvent în întreaga Uniune,
Comisia ar trebui să evalueze situația în
ceea ce privește relația dintre prezenta
directivă și actele adoptate înainte de
data adoptării prezentei directive care
reglementează prelucrarea datelor cu
caracter personal între statele membre
și accesul autorităților desemnate de
statele membre la sistemele de
informații instituite în conformitate cu
tratatele, pentru a evalua necesitatea
alinierii acestor dispoziții specifice cu
prezenta directivă. Dacă este cazul,
Comisia ar trebui să prezinte propuneri
cu scopul de a asigura norme juridice
coerente privind prelucrarea datelor cu
caracter personal.
exchange of information by electronic
means between supervisory authorities,
and between supervisory authorities
and the Board, given that those acts are
of a general scope.
(92) | The Commission should adopt
immediately applicable implementing
acts where, in duly justified cases
relating to a third country, a territory or
a specified sector within a third
country, or an international
organisation which no longer ensure an
adequate level of protection, imperative
grounds of urgency so require.
(93) | Since the objectives of this
Directive, namely to protect the
fundamental rights and freedoms of
natural persons and in particular their
right to the protection of personal data
and to ensure the free exchange of
personal data by competent authorities
within the Union, cannot be sufficiently
achieved by the Member States and can
rather, by reason of the scale or effects
of the action, be better achieved at
Union level, the Union may adopt
measures, in accordance with the
principle of subsidiarity as set out in
Article 5 of the TEU. In accordance with
the principle of proportionality as set
out in that Article, this Directive does
not go beyond what is necessary in
order to achieve those objectives
(94) | Specific provisions of acts of the
Union adopted in the field of judicial
cooperation in criminal matters and
police cooperation which were adopted
prior to the date of the adoption of this
Directive, regulating the processing of
personal data between Member States
or the access of designated authorities
of Member States to information
systems established pursuant to the
Treaties, should remain unaffected,
such as, for example, the specific
provisions concerning the protection of
personal data applied pursuant to
Council Decision 2008/615/JHA (12), or
Article 23 of the Convention on Mutual
Assistance in Criminal Matters between
the Member States of the European
Union (13). Since Article 8 of the
Charter and Article 16 TFEU require that
the fundamental right to the protection
of personal data be ensured in a
consistent manner throughout the
Union, the Commission should evaluate
the situation with regard to the
relationship between this Directive and
the acts adopted prior to the date of
adoption of this Directive regulating the
processing of personal data between
Member States or the access of
designated authorities of Member
States to information systems
established pursuant to the Treaties, in
order to assess the need for alignment
of those specific provisions with this
Directive. Where appropriate, the
Commission should make proposals
with a view to ensuring consistent legal
rules relating to the processing of
personal data.
l'échange d'informations par voie
électronique entre les autorités de
contrôle et entre les autorités de
contrôle et le comité, étant donné que
ces actes sont de portée générale.
(92) | La Commission devrait adopter
des actes d'exécution immédiatement
applicables lorsque, dans des cas
dûment justifiés liés à un pays tiers, un
territoire ou un secteur déterminé dans
un pays tiers, ou une organisation
internationale, qui n'assure plus un
niveau adéquat de protection, des
raisons d'urgence impérieuses le
requièrent.
(93) | Étant donné que les objectifs de
la présente directive, à savoir protéger
les libertés et les droits fondamentaux
des personnes physiques, et en
particulier leur droit à la protection des
données à caractère personnel, et
garantir le libre échange des données à
caractère personnel par les autorités
compétentes au sein de l'Union, ne
peuvent pas être atteints de manière
suffisante par les États membres mais
peuvent, en raison des dimensions ou
des effets de l'action, l'être mieux au
niveau de l'Union, celle-ci peut prendre
des mesures conformément au principe
de subsidiarité consacré à l'article 5 du
traité sur l'Union européenne.
Conformément au principe de
proportionnalité tel qu'énoncé audit
article, la présente directive n'excède
pas ce qui est nécessaire pour atteindre
ces objectifs.
(94) | Les dispositions particulières des
actes de l'Union adoptés dans le
domaine de la coopération judiciaire en
matière pénale et de la coopération
policière avant la date d'adoption de la
présente directive qui réglementent le
traitement des données à caractère
personnel entre États membres ou
l'accès d'autorités désignées des États
membres aux systèmes d'information
créés en vertu des traités devraient
demeurer inchangées, tels que, par
exemple, les dispositions particulières
relatives à la protection des données à
caractère personnel appliquées en vertu
de la décision 2008/615/JAI (12) ou
l'article 23 de la convention relative à
l'entraide judiciaire en matière pénale
entre les États membres de l'Union
européenne (13). Étant donné que
l'article 8 de la Charte et l'article 16 du
traité sur le fonctionnement de l'Union
européenne exigent que le droit
fondamental à la protection des
données à caractère personnel soit
garanti de manière homogène dans
l'ensemble de l'Union, la Commission
devrait évaluer la situation en ce qui
concerne la relation entre la présente
directive et les actes adoptés avant la
date d'adoption de la présente directive
qui réglementent le traitement des
données à caractère personnel entre
États membres ou l'accès d'autorités
désignées des États membres aux
systèmes d'information créés en vertu
des traités, afin d'apprécier la nécessité
de mettre ces dispositions particulières
en conformité avec la présente
directive. Le cas échéant, la
Commission devrait faire des
propositions en vue d'assurer la
cohérence des règles juridiques
relatives au traitement des données à
caractère personnel.
(95) | În vederea asigurării unei protecții
globale și consecvente a datelor cu
caracter personal în cadrul Uniunii,
acordurile internaționale care au fost
încheiate de către statele membre
înainte de data intrării în vigoare a
prezentei directive și care respectă
dispozițiile relevante din dreptul Uniunii
aplicabil înainte de data respectivă ar
trebui să rămână în vigoare până la data
la care sunt modificate, înlocuite sau
revocate.
(96) | Statelor membre ar trebui să le fie
acordat un termen de cel mult doi ani
de la data intrării în vigoare a prezentei
directive în vederea transpunerii sale.
Prelucrările în derulare la data
menționată ar trebui să fie aduse în
conformitate cu prezenta directivă în
termen de doi ani de la data intrării în
vigoare a prezentei directive. Cu toate
acestea, în cazul în care o astfel de
prelucrare respectă dreptul Uniunii
aplicabil înainte de data intrării în
vigoare a prezentei directive, cerințele
din prezenta directivă cu privire la
consultarea prealabilă a autorității de
supraveghere nu ar trebui să se aplice
operațiunilor de prelucrare aflate deja
în derulare la data menționată, având în
vedere că respectivele cerințe, prin
însăși natura lor, trebuie să fie
îndeplinite înainte de prelucrare. În
cazul în care statele membre aplică
termenul mai lung pentru punerea în
aplicare, care expiră după șapte ani de
la data intrării în vigoare a prezentei
directive, pentru îndeplinirea
obligațiilor de înregistrare pentru
sistemele de prelucrare automată
instituite înainte de data respectivă,
operatorul sau persoana împuternicită
de către operator ar trebui să dispună
de metode eficiente pentru a demonstra
legalitatea prelucrării datelor, a permite
monitorizarea proprie și a garanta
integritatea și securitatea datelor,
precum înregistrări sau alte forme de
evidențe.
(97) | Prezenta directivă se aplică fără a
aduce atingere normelor privind
combaterea abuzului sexual, a
exploatării sexuale a copiilor și a
pornografiei infantile, astfel cum se
prevede în Directiva 2011/93/UE a
Parlamentului European și a
Consiliului (14).
(98) | Decizia-cadru 2008/977/JAI a
Consiliului ar trebui, prin urmare, să fie
abrogată.
(99) | În conformitate cu articolul 6a din
Protocolul nr. 21 privind poziția
Regatului Unit și a Irlandei în ceea ce
privește spațiul de libertate, securitate
și justiție, anexat la TUE și la TFUE,
Regatului Unit și Irlandei nu le revin
obligații în temeiul normelor stabilite în
prezenta directivă referitoare la
prelucrarea datelor cu caracter personal
de către statele membre în exercitarea
activităților care intră în domeniul de
aplicare al părții a treia titlul V capitolul
4 sau 5 din TFUE, atât timp cât
Regatului Unit sau Irlandei nu le revin
obligații în temeiul normelor Uniunii
privind formele de cooperare judiciară
în materie penală sau de cooperare
polițienească care necesită respectarea
dispozițiilor stabilite în temeiul
articolului 16 din TFUE.
(95) | In order to ensure a
comprehensive and consistent
protection of personal data in the
Union, international agreements which
were concluded by Member States prior
to the date of entry into force of this
Directive and which comply with the
relevant Union law applicable prior to
that date should remain in force until
amended, replaced or revoked.
(96) | Member States should be allowed
a period of not more than two years
from the date of entry into force of this
Directive to transpose it. Processing
already under way on that date should
be brought into conformity with this
Directive within the period of two years
after which this Directive enters into
force. However, where such processing
complies with the Union law applicable
prior to the date of entry into force of
this Directive, the requirements of this
Directive concerning the prior
consultation of the supervisory
authority should not apply to the
processing operations already under
way on that date given that those
requirements, by their very nature, are
to be met prior to the processing.
Where Member States use the longer
implementation period expiring seven
years after the date of entry into force
of this Directive for meeting the logging
obligations for automated processing
systems set up prior to that date, the
controller or the processor should have
in place effective methods for
demonstrating the lawfulness of the
data processing, for enabling self-
monitoring and for ensuring data
integrity and data security, such as logs
or other forms of records.
(97) | This Directive is without prejudice
to the rules on combating the sexual
abuse and sexual exploitation of
children and child pornography as laid
down in Directive 2011/93/EU of the
European Parliament and of the
Council (14).
(98) | Framework Decision
2008/977/JHA should therefore be
repealed.
(99) | In accordance with Article 6a of
Protocol No 21 on the position of the
United Kingdom and Ireland in respect
of the area of freedom, security and
justice, as annexed to the TEU and to
the TFEU, the United Kingdom and
Ireland are not bound by the rules laid
down in this Directive which relate to
the processing of personal data by the
Member States when carrying out
activities which fall within the scope of
Chapter 4 or Chapter 5 of Title V of Part
Three of the TFEU where the United
Kingdom and Ireland are not bound by
the rules governing the forms of judicial
cooperation in criminal matters or
police cooperation which require
compliance with the provisions laid
down on the basis of Article 16 TFEU.
(95) | Afin d'assurer une protection
exhaustive et cohérente des données à
caractère personnel dans l'Union, il
convient que les accords internationaux
qui ont été conclus par les États
membres avant la date d'entrée en
vigueur de la présente directive et qui
respectent les dispositions pertinentes
du droit de l'Union applicables avant
cette date, restent en vigueur jusqu'à ce
qu'ils soient modifiés, remplacés ou
révoqués.
(96) | Les États membres devraient
disposer d'un délai maximal de deux
ans à compter de la date d'entrée en
vigueur de la présente directive pour sa
transposition. Les traitements déjà en
cours à cette date devraient être mis en
conformité avec la présente directive
dans un délai de deux ans après son
entrée en vigueur. Toutefois, lorsque
ces traitements ont lieu en conformité
avec le droit de l'Union applicable avant
la date d'entrée en vigueur de la
présente directive, les exigences
prévues par celle-ci concernant la
consultation préalable de l'autorité de
contrôle ne devraient pas s'appliquer
aux opérations de traitement déjà en
cours à ladite date, étant donné que ces
exigences, de par leur nature même,
doivent être satisfaites avant le
traitement. Lorsque les États membres
recourent au délai de mise en œuvre
plus long, venant à expiration sept ans
après la date d'entrée en vigueur de la
présente directive, pour se conformer
aux obligations en matière de
journalisation pour les systèmes de
traitement automatisé mis en place
avant cette date, le responsable du
traitement ou le sous-traitant devrait
s'être doté des moyens effectifs de
démontrer la licéité du traitement des
données, de pratiquer l'autocontrôle et
de garantir l'intégrité et la sécurité des
données, tels que des journaux ou
d'autres formes de registres.
(97) | La présente directive s'entend
sans préjudice des règles relatives à la
lutte contre les abus sexuels et
l'exploitation sexuelle des enfants, et la
pédopornographie qui figurent dans la
directive 2011/93/UE du Parlement
européen et du Conseil (14).
(98) | Il y a dès lors lieu d'abroger la
décision-cadre 2008/977/JAI.
(99) | Conformément à l'article 6 bis du
protocole no 21 sur la position du
Royaume-Uni et de l'Irlande à l'égard de
l'espace de liberté, de sécurité et de
justice, annexé au traité sur l'Union
européenne et au traité sur le
fonctionnement de l'Union européenne,
le Royaume-Uni et l'Irlande ne sont pas
liés par les règles fixées dans la
présente directive concernant le
traitement de données à caractère
personnel par les États membres dans
l'exercice d'activités qui relèvent du
champ d'application du chapitre 4 ou 5
du titre V de la troisième partie du
traité sur le fonctionnement de l'Union
européenne, lorsque le Royaume-Uni et
l'Irlande ne sont pas liés par les règles
qui régissent des formes de
coopération judiciaire en matière pénale
ou de coopération policière dans le
cadre desquelles les dispositions fixées

(100) | În conformitate cu articolele 2 și
2a din Protocolul nr. 22 privind poziția
Danemarcei, astfel cum a fost anexat la
TUE și la TFUE, Danemarcei nu îi revin
obligații în temeiul normelor stabilite în
prezenta directivă și acestea nu i se
aplică în ceea ce privește prelucrarea
datelor cu caracter personal de către
statele membre în exercitarea
activităților care intră sub incidența
părții a treia titlul V capitolul 4 sau 5
din TFUE. Având în vedere faptul că
prezenta directivă constituie o
dezvoltare a acquis-ului Schengen, în
temeiul părții a treia titlul V din TFUE,
Danemarca decide, în conformitate cu
articolul 4 din protocolul respectiv, în
termen de șase luni de la adoptarea
prezentei directive, dacă o va pune în
aplicare în dreptul său intern.
(101) | În ceea ce privește Islanda și
Norvegia, prezenta directivă constituie
o dezvoltare a dispozițiilor acquis-ului
Schengen, în conformitate cu Acordul
încheiat între Consiliul Uniunii Europene
și de Republica Islanda și Regatul
Norvegiei în ceea ce privește asocierea
acestor două state la implementarea,
aplicarea și dezvoltarea acquis-ului
Schengen (15).
(102) | În ceea ce privește Elveția,
prezenta directivă constituie o
dezvoltare a dispozițiilor acquis-ului
Schengen, în conformitate cu Acordul
dintre Uniunea Europeană, Comunitatea
Europeană și Confederația Elvețiană
privind asocierea Confederației
Elvețiene la punerea în aplicare,
respectarea și dezvoltarea acquis-ului
Schengen (16).
(103) | În ceea ce privește Liechtenstein,
prezenta directivă reprezintă o
dezvoltare a dispozițiilor acquis-ului
Schengen, astfel cum se prevede în
Protocolul dintre Uniunea Europeană,
Comunitatea Europeană, Confederația
Elvețiană și Principatul Liechtenstein
privind aderarea Principatului
Liechtenstein la Acordul dintre Uniunea
Europeană, Comunitatea Europeană și
Confederația Elvețiană privind asocierea
Confederației Elvețiene la punerea în
aplicare, respectarea și dezvoltarea
acquis-ului Schengen (17).
(104) | Prezenta directivă respectă
drepturile fundamentale și principiile
recunoscute de cartă, astfel cum sunt
consacrate în TFUE, în special dreptul la
respectarea vieții private și de familie,
dreptul la protecția datelor cu caracter
personal, dreptul la o cale de atac
eficientă și la un proces echitabil.
Limitările aduse acestor drepturi sunt în
conformitate cu articolul 52 alineatul (1)
din Cartă întrucât sunt necesare pentru
atingerea obiectivelor de interes general
recunoscute de Uniune sau pentru a
proteja drepturile și libertățile celorlalți.
(100) | In accordance with Articles 2
and 2a of Protocol No 22 on the
position of Denmark, as annexed to the
TEU and to the TFEU, Denmark is not
bound by the rules laid down in this
Directive or subject to their application
which relate to the processing of
personal data by the Member States
when carrying out activities which fall
within the scope of Chapter 4 or
Chapter 5 of Title V of Part Three of the
TFEU. Given that this Directive builds
upon the Schengen acquis, under Title
V of Part Three of the TFEU, Denmark,
in accordance with Article 4 of that
Protocol, is to decide within six months
after adoption of this Directive whether
it will implement it in its national law.
(101) | As regards Iceland and Norway,
this Directive constitutes a development
of provisions of the Schengen acquis, as
provided for by the Agreement
concluded by the Council of the
European Union and the Republic of
Iceland and the Kingdom of Norway
concerning the association of those two
States with the implementation,
application and development of the
Schengen acquis  (15).
(102) | As regards Switzerland, this
Directive constitutes a development of
provisions of the Schengen acquis, as
provided for by the Agreement between
the European Union, the European
Community and the Swiss
Confederation concerning the
association of the Swiss Confederation
with the implementation, application
and development of the Schengen
acquis  (16).
(103) | As regards Liechtenstein, this
Directive constitutes a development of
provisions of the Schengen acquis, as
provided for by the Protocol between
the European Union, the European
Community, the Swiss Confederation
and the Principality of Liechtenstein on
the accession of the Principality of
Liechtenstein to the Agreement
between the European Union, the
European Community and the Swiss
Confederation on the Swiss
Confederation's association with the
implementation, application and
development of the Schengen acquis
 (17).
(104) | This Directive respects the
fundamental rights and observes the
principles recognised in the Charter as
enshrined in the TFEU, in particular the
right to respect for private and family
life, the right to the protection of
personal data, the right to an effective
remedy and to a fair trial. Limitations
placed on those rights are in
accordance with Article 52(1) of the
Charter as they are necessary to meet
objectives of general interest
recognised by the Union or the need to
protect the rights and freedoms of
others.
sur la base de l'article 16 du traité sur
le fonctionnement de l'Union
européenne doivent être respectées.
(100) | Conformément aux articles 2 et
2 bis du protocole no 22 sur la position
du Danemark, annexé au traité sur
l'Union européenne et au traité sur le
fonctionnement de l'Union européenne,
le Danemark n'est pas lié par les règles
fixées dans la présente directive ni
soumis à leur application, lorsqu'elles
concernent le traitement des données à
caractère personnel par les États
membres dans l'exercice d'activités qui
relèvent du champ d'application du
chapitre 4 ou 5 du titre V de la
troisième partie du traité sur le
fonctionnement de l'Union européenne.
Étant donné que la présente directive
développe l'acquis de Schengen, en
vertu du titre V de la troisième partie du
traité sur le fonctionnement de l'Union
européenne, le Danemark décide,
conformément à l'article 4 dudit
protocole, dans un délai de six mois
après l'adoption de la présente
directive, s'il transposera celle-ci dans
son droit national.
(101) | En ce qui concerne l'Islande et la
Norvège, la présente directive constitue
un développement des dispositions de
l'acquis de Schengen au sens de
l'accord conclu par le Conseil de l'Union
européenne, la République d'Islande et
le Royaume de Norvège sur l'association
de ces deux États à la mise en œuvre, à
l'application et au développement de
l'acquis de Schengen (15).
(102) | En ce qui concerne la Suisse, la
présente directive constitue un
développement des dispositions de
l'acquis de Schengen au sens de
l'accord entre l'Union européenne, la
Communauté européenne et la
Confédération suisse sur l'association
de la Confédération suisse à la mise en
œuvre, à l'application et au
développement de l'acquis de
Schengen (16).
(103) | En ce qui concerne le
Liechtenstein, la présente directive
constitue un développement des
dispositions de l'acquis de Schengen au
sens du protocole entre l'Union
européenne, la Communauté
européenne, la Confédération suisse et
la Principauté de Liechtenstein sur
l'adhésion de la Principauté de
Liechtenstein à l'accord entre l'Union
européenne, la Communauté
européenne et la Confédération suisse
sur l'association de la Confédération
suisse à la mise en œuvre, à
l'application et au développement de
l'acquis de Schengen (17).
(104) | La présente directive respecte
les droits fondamentaux et observe les
principes reconnus par la Charte, tels
qu'ils sont consacrés par le traité sur le
fonctionnement de l'Union européenne,
et notamment le droit au respect de la
vie privée et familiale, le droit à la
protection des données à caractère
personnel et le droit à un recours
effectif et à accéder à un tribunal
impartial. Les limitations apportées à
ces droits sont conformes à l'article 52,
paragraphe 1, de la Charte car elles
sont nécessaires pour répondre à des
objectifs d'intérêt général reconnus par

(105) | În conformitate cu Declarația
politică comună a statelor membre și a
Comisiei din 28 septembrie 2011
privind documentele explicative, statele
membre s-au angajat să însoțească, în
cazurile justificate, notificarea măsurilor
de transpunere cu unul sau mai multe
documente care să explice relația dintre
componentele unei directive și părțile
corespunzătoare din măsurile naționale
de transpunere. În ceea ce privește
prezenta directivă, legiuitorul consideră
că este justificată transmiterea unor
astfel de documente.
(106) | Autoritatea Europeană pentru
Protecția Datelor a fost consultată în
conformitate cu articolul 28 alineatul (2)
din Regulamentul (CE) nr. 45/2001 și a
emis un aviz la data de 7 martie
2012 (18).
(107) | Prezenta directivă nu ar trebui
să împiedice statele membre să pună în
aplicare exercitarea, în cadrul
procedurilor penale, a drepturilor
persoanelor vizate cu privire la
informare, acces și rectificarea sau
ștergerea datelor cu caracter personal și
restricționare a prelucrării, precum și
eventualele limitări ale acestor drepturi
în normele procedurale penale de drept
intern,
ADOPTĂ PREZENTA DIRECTIVĂ:
CAPITOLUL I
Dispoziții generale
Articolul 1
Obiect și obiective
(1)   Prezenta directivă stabilește
normele referitoare la protecția
persoanelor fizice în ceea ce privește
prelucrarea datelor cu caracter personal
de către autoritățile competente în
scopul prevenirii, depistării, investigării
sau urmăririi penale a infracțiunilor sau
al executării pedepselor, inclusiv al
protejării împotriva amenințărilor la
adresa securității publice și al prevenirii
acestora.
(2)   În conformitate cu prezenta
directivă, statele membre:
(a) | protejează drepturile și libertățile
fundamentale ale persoanelor fizice, în
special dreptul acestora la protecția
datelor cu caracter personal; și
(b) | se asigură că schimbul de date cu
caracter personal de către autoritățile
competente în cadrul Uniunii, în cazul
în care schimbul respectiv de informații
este impus de dreptul Uniunii sau de
dreptul intern, nu este limitat sau
interzis din motive legate de protecția
persoanelor fizice în ceea ce privește
prelucrarea datelor cu caracter
personal.
(3)   Prezenta directivă nu împiedică
statele membre să prevadă garanții
sporite față de cele stabilite în prezenta
directivă pentru protecția drepturilor și
libertăților persoanelor vizate în ceea ce
privește prelucrarea datelor cu caracter
personal de către autoritățile
competente.
(105) | In accordance with the Joint
Political Declaration of 28 September
2011 of Member States and the
Commission on explanatory
documents, Member States have
undertaken to accompany, in justified
cases, the notification of their
transposition measures with one or
more documents explaining the
relationship between the components
of a directive and the corresponding
parts of national transposition
measures. With regard to this Directive,
the legislator considers the
transmission of such documents to be
justified.
(106) | The European Data Protection
Supervisor was consulted in accordance
with Article 28(2) of Regulation (EC) No
45/2001 and delivered an opinion on 7
March 2012 (18).
(107) | This Directive should not
preclude Member States from
implementing the exercise of the rights
of data subjects on information, access
to and rectification or erasure of
personal data and restriction of
processing in the course of criminal
proceedings, and their possible
restrictions thereto, in national rules on
criminal procedure,
HAVE ADOPTED THIS DIRECTIVE:
CHAPTER I
General provisions
Article 1
Subject-matter and objectives
1.   This Directive lays down the rules
relating to the protection of natural
persons with regard to the processing
of personal data by competent
authorities for the purposes of the
prevention, investigation, detection or
prosecution of criminal offences or the
execution of criminal penalties,
including the safeguarding against and
the prevention of threats to public
security.
2.   In accordance with this Directive,
Member States shall:
(a) | protect the fundamental rights and
freedoms of natural persons and in
particular their right to the protection
of personal data; and
(b) | ensure that the exchange of
personal data by competent authorities
within the Union, where such exchange
is required by Union or Member State
law, is neither restricted nor prohibited
for reasons connected with the
protection of natural persons with
regard to the processing of personal
data.
3.   This Directive shall not preclude
Member States from providing higher
safeguards than those established in
this Directive for the protection of the
rights and freedoms of the data subject
with regard to the processing of
personal data by competent authorities.
l'Union ou au besoin de protection des
droits et libertés d'autrui.
(105) | Conformément à la déclaration
politique commune du 28 septembre
2011 des États membres et de la
Commission sur les documents
explicatifs, les États membres se sont
engagés à joindre à la notification de
leurs mesures de transposition, dans
les cas où cela se justifie, un ou
plusieurs documents expliquant le lien
entre les éléments d'une directive et les
parties correspondantes des mesures
nationales de transposition. En ce qui
concerne la présente directive, le
législateur estime que la transmission
de ces documents est justifiée.
(106) | Le Contrôleur européen de la
protection des données a été consulté
conformément à l'article 28,
paragraphe 2, du règlement (CE)
no 45/2001 et a rendu son avis le
7 mars 2012 (18).
(107) | La présente directive ne saurait
empêcher les États membres de mettre
en œuvre l'exercice des droits des
personnes concernées en matière
d'information, d'accès aux données à
caractère personnel, de rectification ou
d'effacement de celles-ci et de
limitation du traitement dans le cadre
de poursuites pénales, et les
éventuelles limitations de ces droits,
dans leurs règles nationales en matière
de procédure pénale,
ONT ADOPTÉ LA PRÉSENTE DIRECTIVE:
CHAPITRE I
Dispositions générales
Article premier
Objet et objectifs
1.   La présente directive établit des
règles relatives à la protection des
personnes physiques à l'égard du
traitement des données à caractère
personnel par les autorités compétentes
à des fins de prévention et de détection
des infractions pénales, d'enquêtes et
de poursuites en la matière ou
d'exécution de sanctions pénales, y
compris la protection contre les
menaces pour la sécurité publique et la
prévention de telles menaces.
2.   Conformément à la présente
directive, les États membres:
a) | protègent les libertés et droits
fondamentaux des personnes
physiques, et en particulier leur droit à
la protection des données à caractère
personnel; et
b) | veillent à ce que l'échange de
données à caractère personnel par les
autorités compétentes au sein de
l'Union, lorsque cet échange est requis
par le droit de l'Union ou le droit d'un
État membre, ne soit ni limité ni interdit
pour des motifs liés à la protection des
personnes physiques à l'égard du
traitement des données à caractère
personnel.
3.   La présente directive n'empêche pas
les États membres de prévoir des
garanties plus étendues que celles
établies dans la présente directive pour
la protection des droits et des libertés
des personnes concernées à l'égard du
traitement des données à caractère
personnel par les autorités
compétentes.
Articolul 2
Domeniul de aplicare
(1)   Prezenta directivă se aplică
prelucrării datelor cu caracter personal
de către autoritățile competente în
scopurile prevăzute la articolul 1
alineatul (1).
(2)   Prezenta directivă se aplică
prelucrării datelor cu caracter personal
realizate integral sau parțial prin
mijloace automatizate, precum și
prelucrării prin alte mijloace decât cele
automatizate a datelor cu caracter
personal care fac parte dintr-un sistem
de evidență a datelor sau care urmează
să facă parte dintr-un sistem de
evidență a datelor.
(3)   Prezenta directivă nu se aplică
prelucrării datelor cu caracter personal:
(a) | în cadrul unei activități care nu
intră sub incidența dreptului Uniunii;
(b) | de către instituțiile, organele,
oficiile și agențiile Uniunii.
Articolul 3
Definiții
În sensul prezentei directive:
1. | „date cu caracter personal”
înseamnă orice informații privind o
persoană fizică identificată sau
identificabilă („persoana vizată”); o
persoană fizică identificabilă este o
persoană care poate fi identificată,
direct sau indirect, în special prin
referire la un element de identificare,
cum ar fi un nume, un număr de
identificare, date de localizare, un
identificator online, sau la unul sau mai
multe elemente specifice, proprii
identității sale fizice, fiziologice,
genetice, psihice, economice, culturale
sau sociale.
2. | „prelucrare” înseamnă orice
operațiune sau set de operațiuni
efectuate asupra datelor cu caracter
personal sau seturilor de date cu
caracter personal, cu sau fără utilizarea
de mijloace automatizate, cum ar fi
colectarea, înregistrarea, organizarea,
structurarea, stocarea, adaptarea sau
modificarea, extragerea, consultarea,
utilizarea, dezvăluirea prin transmitere,
diseminarea sau punerea la dispoziție
în orice alt mod, alinierea sau
combinarea, restricționarea, ștergerea
sau distrugerea;
3. | „restricționarea prelucrării”
înseamnă marcarea datelor cu caracter
personal stocate, cu scopul de a limita
prelucrarea viitoare a acestora;
4. | „creare de profiluri” înseamnă orice
formă de prelucrare automată a datelor
cu caracter personal care constă în
utilizarea datelor cu caracter personal
pentru a evalua anumite aspecte
personale referitoare la o persoană
fizică, în special pentru a analiza sau a
preconiza aspecte privind performanța
la locul de muncă, situația economică,
sănătatea, preferințele personale,
interesele, fiabilitatea, comportamentul,
localizarea sau deplasările respectivei
persoane fizice;
Article 2
Scope
1.   This Directive applies to the
processing of personal data by
competent authorities for the purposes
set out in Article 1(1).
2.   This Directive applies to the
processing of personal data wholly or
partly by automated means, and to the
processing other than by automated
means of personal data which form part
of a filing system or are intended to
form part of a filing system.
3.   This Directive does not apply to the
processing of personal data:
(a) | in the course of an activity which
falls outside the scope of Union law;
(b) | by the Union institutions, bodies,
offices and agencies.
Article 3
Definitions
For the purposes of this Directive:
(1) | ‘personal data’ means any
information relating to an identified or
identifiable natural person (‘data
subject’); an identifiable natural person
is one who can be identified, directly or
indirectly, in particular by reference to
an identifier such as a name, an
identification number, location data, an
online identifier or to one or more
factors specific to the physical,
physiological, genetic, mental,
economic, cultural or social identity of
that natural person;
(2) | ‘processing’ means any operation
or set of operations which is performed
on personal data or on sets of personal
data, whether or not by automated
means, such as collection, recording,
organisation, structuring, storage,
adaptation or alteration, retrieval,
consultation, use, disclosure by
transmission, dissemination or
otherwise making available, alignment
or combination, restriction, erasure or
destruction;
(3) | ‘restriction of processing’ means
the marking of stored personal data
with the aim of limiting their processing
in the future;
(4) | ‘profiling’ means any form of
automated processing of personal data
consisting of the use of personal data
to evaluate certain personal aspects
relating to a natural person, in
particular to analyse or predict aspects
concerning that natural person's
performance at work, economic
situation, health, personal preferences,
interests, reliability, behaviour, location
or movements;
Article 2
Champ d'application
1.   La présente directive s'applique au
traitement de données à caractère
personnel effectué par les autorités
compétentes aux fins énoncées à
l'article 1er, paragraphe 1.
2.   La présente directive s'applique au
traitement de données à caractère
personnel, automatisé en tout ou en
partie, ainsi qu'au traitement non
automatisé de données à caractère
personnel contenues ou appelées à
figurer dans un fichier.
3.   La présente directive ne s'applique
pas au traitement de données à
caractère personnel effectué:
a) | dans le cadre d'une activité qui ne
relève pas du champ d'application du
droit de l'Union;
b) | par les institutions, organes, et
organismes de l'Union.
Article 3
Définitions
Aux fins de la présente directive, on
entend par:
1. | «données à caractère personnel»,
toute information se rapportant à une
personne physique identifiée ou
identifiable (ci-après dénommée
«personne concernée»); est réputée être
une «personne physique identifiable»
une personne physique qui peut être
identifiée, directement ou
indirectement, notamment par
référence à un identifiant, tel qu'un
nom, un numéro d'identification, des
données de localisation, un identifiant
en ligne, ou à un ou plusieurs éléments
spécifiques propres à son identité
physique, physiologique, génétique,
psychique, économique, culturelle ou
sociale;
2. | «traitement», toute opération ou
tout ensemble d'opérations effectuées
ou non à l'aide de procédés automatisés
et appliquées à des données à caractère
personnel ou des ensembles de
données à caractère personnel, telles
que la collecte, l'enregistrement,
l'organisation, la structuration, la
conservation, l'adaptation ou la
modification, l'extraction, la
consultation, l'utilisation, la
communication par transmission, la
diffusion ou toute autre forme de mise
à disposition, le rapprochement ou
l'interconnexion, la limitation,
l'effacement ou la destruction;
3. | «limitation du traitement», le
marquage de données à caractère
personnel conservées en vue de limiter
leur traitement futur;
4. | «profilage», toute forme de
traitement automatisé de données à
caractère personnel consistant à utiliser
ces données à caractère personnel pour
évaluer certains aspects personnels
relatifs à une personne physique,
notamment pour analyser ou prédire
des éléments concernant le rendement
au travail, la situation économique, la
santé, les préférences personnelles, les
intérêts, la fiabilité, le comportement, la
localisation ou les déplacements de
cette personne;
5. | „pseudonimizare” înseamnă
prelucrarea datelor cu caracter personal
într-un asemenea mod încât acestea să
nu mai poată fi atribuite unei anume
persoane vizate fără a se utiliza
informații suplimentare, în măsura în
care aceste informații suplimentare sunt
stocate separat și fac obiectul unor
măsuri de natură tehnică și
organizatorică destinate să garanteze
neatribuirea unei persoane fizice
identificate sau identificabile;
6. | „sistem de evidență a datelor”
înseamnă orice set structurat de date cu
caracter personal accesibile conform
unor criterii specifice, fie ele
centralizate, descentralizate sau
repartizate după criterii funcționale sau
geografice;
7. | „autoritate competentă” înseamnă: |
(a) | orice autoritate publică competentă
în materie de prevenire, depistare,
investigare sau urmărire penală a
infracțiunilor sau de executare a
pedepselor, inclusiv în materie de
protejare împotriva amenințărilor la
adresa securității publice și de
prevenire a acestora; sau | (b) | orice alt
organism sau entitate împuternicit(ă) de
dreptul intern să exercite autoritate
publică și competențe publice în scopul
în prevenirii, depistării, investigării sau
urmăririi penale a infracțiunilor sau al
executării pedepselor, inclusiv al
protejării împotriva amenințărilor la
adresa securității publice și al prevenirii
acestora;
8. | „operator” înseamnă autoritatea
competentă care, singură sau împreună
cu altele, stabilește scopurile și
mijloacele de prelucrare a datelor cu
caracter personal; atunci când scopurile
și mijloacele de prelucrare sunt stabilite
prin dreptul Uniunii sau prin dreptul
intern, operatorul sau criteriile specifice
pentru desemnarea acestuia pot fi
stabilite prin dreptul Uniunii sau prin
dreptul intern;
9. | „persoană împuternicită de către
operator” înseamnă persoana fizică sau
juridică, autoritatea publică, agenția sau
alt organism care prelucrează datele cu
caracter personal în numele
operatorului;
10. | „destinatar” înseamnă persoana
fizică sau juridică, autoritatea publică,
agenția sau un alt organism căruia îi
sunt transmise datele cu caracter
personal, fie că aceasta este sau nu o
parte terță; sunt exceptate, cu toate
acestea, autoritățile publice care pot
primi date cu caracter personal în
cadrul unei anumite anchete în
conformitate cu dreptul intern, iar
prelucrarea datelor cu caracter personal
respective de către acestea respectă
normele aplicabile în materie de
protecție a datelor în conformitate cu
scopurile prelucrării;
11. | „încălcarea securității datelor cu
caracter personal” înseamnă o încălcare
a securității, care duce, în mod
accidental sau ilegal, la distrugerea,
(5) | ‘pseudonymisation’ means the
processing of personal data in such a
manner that the personal data can no
longer be attributed to a specific data
subject without the use of additional
information, provided that such
additional information is kept
separately and is subject to technical
and organisational measures to ensure
that the personal data are not
attributed to an identified or
identifiable natural person;
(6) | ‘filing system’ means any
structured set of personal data which
are accessible according to specific
criteria, whether centralised,
decentralised or dispersed on a
functional or geographical basis;
(7) | ‘competent authority’ means: | (a) |
any public authority competent for the
prevention, investigation, detection or
prosecution of criminal offences or the
execution of criminal penalties,
including the safeguarding against and
the prevention of threats to public
security; or | (b) | any other body or
entity entrusted by Member State law to
exercise public authority and public
powers for the purposes of the
prevention, investigation, detection or
prosecution of criminal offences or the
execution of criminal penalties,
including the safeguarding against and
the prevention of threats to public
security;
(8) | ‘controller’ means the competent
authority which, alone or jointly with
others, determines the purposes and
means of the processing of personal
data; where the purposes and means of
such processing are determined by
Union or Member State law, the
controller or the specific criteria for its
nomination may be provided for by
Union or Member State law;
(9) | ‘processor’ means a natural or
legal person, public authority, agency
or other body which processes personal
data on behalf of the controller;
(10) | ‘recipient’ means a natural or
legal person, public authority, agency
or another body, to which the personal
data are disclosed, whether a third
party or not. However, public
authorities which may receive personal
data in the framework of a particular
inquiry in accordance with Member
State law shall not be regarded as
recipients; the processing of those data
by those public authorities shall be in
compliance with the applicable data
protection rules according to the
purposes of the processing;
(11) | ‘personal data breach’ means a
breach of security leading to the
accidental or unlawful destruction, loss,
alteration, unauthorised disclosure of,
5. | «pseudonymisation», le traitement
de données à caractère personnel de
telle façon que celles-ci ne puissent
plus être attribuées à une personne
concernée précise sans avoir recours à
des informations supplémentaires, pour
autant que ces informations
supplémentaires soient conservées
séparément et soumises à des mesures
techniques et organisationnelles afin de
garantir que les données à caractère
personnel ne sont pas attribuées à une
personne physique identifiée ou
identifiable;
6. | «fichier», tout ensemble structuré
de données à caractère personnel
accessibles selon des critères
déterminés, que cet ensemble soit
centralisé, décentralisé ou réparti de
manière fonctionnelle ou géographique;
7. | «autorité compétente»: | a) | toute
autorité publique compétente pour la
prévention et la détection des
infractions pénales, les enquêtes et les
poursuites en la matière ou l'exécution
de sanctions pénales, y compris la
protection contre les menaces pour la
sécurité publique et la prévention de
telles menaces; ou | b) | tout autre
organisme ou entité à qui le droit d'un
État membre confie l'exercice de
l'autorité publique et des prérogatives
de puissance publique à des fins de
prévention et de détection des
infractions pénales, d'enquêtes et de
poursuites en la matière ou d'exécution
de sanctions pénales, y compris la
protection contre les menaces pour la
sécurité publique et la prévention de
telles menaces;
8. | «responsable du traitement»,
l'autorité compétente qui, seule ou
conjointement avec d'autres, détermine
les finalités et les moyens du traitement
de données à caractère personnel;
lorsque les finalités et les moyens de ce
traitement sont déterminés par le droit
de l'Union ou le droit d'un État membre,
le responsable du traitement ou les
critères spécifiques applicables à sa
désignation peuvent être prévus par le
droit de l'Union ou le droit d'un État
membre;
9. | «sous-traitant», la personne
physique ou morale, l'autorité publique,
le service ou un autre organisme qui
traite des données à caractère
personnel pour le compte du
responsable du traitement;
10. | «destinataire», la personne
physique ou morale, l'autorité publique,
le service ou tout autre organisme qui
reçoit communication des données à
caractère personnel, qu'il s'agisse ou
non d'un tiers. Toutefois, les autorités
publiques qui sont susceptibles de
recevoir communication de données à
caractère personnel dans le cadre d'une
mission d'enquête particulière
conformément au droit d'un État
membre ne sont pas considérées
comme des destinataires; le traitement
de ces données par les autorités
publiques en question est conforme
aux règles applicables en matière de
protection des données en fonction des
finalités du traitement;
11. | «violation de données à caractère
personnel», une violation de la sécurité
entraînant, de manière accidentelle ou
illicite, la destruction, la perte,
pierderea, modificarea, divulgarea
neautorizată sau accesul neautorizat la
datele cu caracter personal transmise,
stocate sau prelucrate în alt mod;
12. | „date genetice” înseamnă datele cu
caracter personal referitoare la
caracteristicile genetice moștenite sau
dobândite ale unei persoane fizice care
oferă informații unice privind fiziologia
sau sănătatea respectivei persoane
fizice, astfel cum rezultă în special în
urma unei analize a unei mostre de
material biologic recoltate de la acea
persoană fizică;
13. | „date biometrice” înseamnă date
cu caracter personal care rezultă în
urma unor tehnici de prelucrare
specifice, referitoare la caracteristicile
fizice, fiziologice sau comportamentale
ale unei persoane fizice, care permit
sau confirmă identificarea unică a
respectivei persoane fizice, cum ar fi
imaginile faciale sau datele
dactiloscopice;
14. | „date privind sănătatea” înseamnă
date cu caracter personal legate de
sănătatea fizică sau mentală a unei
persoane fizice, inclusiv acordarea de
servicii de asistență medicală, care
dezvăluie informații despre starea de
sănătate a acesteia;
15. | „autoritate de supraveghere”
înseamnă o autoritate publică
independentă instituită de un stat
membru în temeiul articolului 41;
16. | „organizație internațională”
înseamnă o organizație și organismele
sale subordonate reglementate de
dreptul internațional public sau orice alt
organism care este instituit printr-un
acord încheiat între două sau mai multe
țări sau în temeiul unui astfel de acord.
CAPITOLUL II
Principii
Articolul 4
Principii referitoare la prelucrarea
datelor cu caracter personal
(1)   Statele membre garantează că
datele cu caracter personal:
(a) | sunt prelucrate în mod legal și
echitabil;
(b) | sunt colectate în scopuri
determinate, explicite și legitime și nu
sunt prelucrate într-un mod
incompatibil cu aceste scopuri;
(c) | sunt adecvate, relevante și
neexcesive în ceea ce privește scopurile
în care sunt prelucrate;
(d) | sunt exacte și, dacă este necesar,
sunt actualizate; trebuie să se ia toate
măsurile rezonabile pentru a asigura
faptul că datele cu caracter personal
care sunt inexacte, având în vedere
scopurile pentru care sunt prelucrate,
să fie șterse sau rectificate fără
întârziere;
(e) | sunt păstrate într-o formă care
permite identificarea persoanelor vizate
pe o perioadă care nu depășește
perioada necesară îndeplinirii scopurilor
pentru care sunt prelucrate datele
respective;
(f) | sunt prelucrate într-un mod care să
asigure securitatea adecvată a datelor
cu caracter personal, inclusiv protecția
împotriva prelucrării neautorizate sau
or access to, personal data transmitted,
stored or otherwise processed;
(12) | ‘genetic data’ means personal
data, relating to the inherited or
acquired genetic characteristics of a
natural person which give unique
information about the physiology or the
health of that natural person and which
result, in particular, from an analysis of
a biological sample from the natural
person in question;
(13) | ‘biometric data’ means personal
data resulting from specific technical
processing relating to the physical,
physiological or behavioural
characteristics of a natural person,
which allow or confirm the unique
identification of that natural person,
such as facial images or dactyloscopic
data;
(14) | ‘data concerning health’ means
personal data related to the physical or
mental health of a natural person,
including the provision of health care
services, which reveal information
about his or her health status;
(15) | ‘supervisory authority’ means an
independent public authority which is
established by a Member State pursuant
to Article 41;
(16) | ‘international organisation’
means an organisation and its
subordinate bodies governed by public
international law, or any other body
which is set up by, or on the basis of,
an agreement between two or more
countries.
CHAPTER II
Principles
Article 4
Principles relating to processing of
personal data
1.   Member States shall provide for
personal data to be:
(a) | processed lawfully and fairly;
(b) | collected for specified, explicit and
legitimate purposes and not processed
in a manner that is incompatible with
those purposes;
(c) | adequate, relevant and not
excessive in relation to the purposes for
which they are processed;
(d) | accurate and, where necessary,
kept up to date; every reasonable step
must be taken to ensure that personal
data that are inaccurate, having regard
to the purposes for which they are
processed, are erased or rectified
without delay;
(e) | kept in a form which permits
identification of data subjects for no
longer than is necessary for the
purposes for which they are processed;
(f) | processed in a manner that ensures
appropriate security of the personal
data, including protection against
unauthorised or unlawful processing
l'altération, la divulgation non autorisée
de données à caractère personnel
transmises, conservées ou traitées
d'une autre manière, ou l'accès non
autorisé à de telles données;
12. | «données génétiques», les
données à caractère personnel relatives
aux caractéristiques génétiques
héréditaires ou acquises d'une
personne physique qui donnent des
informations uniques sur la physiologie
ou l'état de santé de cette personne
physique et qui résultent, notamment,
d'une analyse d'un échantillon
biologique de la personne physique en
question;
13. | «données biométriques», les
données à caractère personnel résultant
d'un traitement technique spécifique,
relatives aux caractéristiques
physiques, physiologiques ou
comportementales d'une personne
physique, qui permettent ou confirment
son identification unique, telles que des
images faciales ou des données
dactyloscopiques;
14. | «données concernant la santé», les
données à caractère personnel relatives
à la santé physique ou mentale d'une
personne physique, y compris la
fourniture de soins de santé, qui
révèlent des informations sur l'état de
santé de cette personne;
15. | «autorité de contrôle», une
autorité publique indépendante qui est
instituée par un État membre en vertu
de l'article 41;
16. | «organisation internationale», une
organisation internationale et les
organismes de droit public international
qui en relèvent, ou tout autre
organisme qui est créé par un accord
entre deux pays ou plus, ou en vertu
d'un tel accord.
CHAPITRE II
Principes
Article 4
Principes relatifs au traitement des
données à caractère personnel
1.   Les États membres prévoient que
les données à caractère personnel sont:
a) | traitées de manière licite et loyale;
b) | collectées pour des finalités
déterminées, explicites et légitimes et
ne sont pas traitées d'une manière
incompatible avec ces finalités;
c) | adéquates, pertinentes et non
excessives au regard des finalités pour
lesquelles elles sont traitées;
d) | exactes et, si nécessaire, tenues à
jour; toutes les mesures raisonnables
doivent être prises pour que les
données à caractère personnel qui sont
inexactes, eu égard aux finalités pour
lesquelles elles sont traitées, soient
effacées ou rectifiées sans tarder;
e) | conservées sous une forme
permettant l'identification des
personnes concernées pendant une
durée n'excédant pas celle nécessaire
au regard des finalités pour lesquelles
elles sont traitées;
f) | traitées de façon à garantir une
sécurité appropriée des données à
caractère personnel, y compris la
protection contre le traitement non
ilegale și împotriva pierderii, a
distrugerii sau a deteriorării
accidentale, prin luarea de măsuri
tehnice sau organizatorice
corespunzătoare.
(2)   Prelucrarea de către același
operator sau de către un altul, în oricare
dintre scopurile stabilite la articolul 1
alineatul (1), altele decât cele pentru
care datele cu caracter personal au fost
colectate, este permisă în măsura în
care:
(a) | operatorul este autorizat să
prelucreze astfel de date cu caracter
personal în scopul respectiv, în
conformitate cu dreptul Uniunii sau cu
dreptul intern; și
(b) | prelucrarea este necesară și
proporțională în raport cu respectivul
alt scop, în conformitate cu dreptul
Uniunii sau cu dreptul intern.
(3)   Prelucrarea de către același
operator sau de către un altul poate
include arhivarea în interes public sau
în scopuri științifice, statistice sau
istorice pentru scopurile stabilite la
articolul 1 alineatul (1), cu condiția unor
garanții adecvate pentru drepturile și
libertățile persoanelor vizate.
(4)   Operatorul este responsabil de
respectarea alineatelor (1), (2) și (3) și
poate demonstra acest lucru.
Articolul 5
Termene pentru stocare și revizuire
Statele membre garantează stabilirea
unor termene corespunzătoare pentru
ștergerea datelor cu caracter personal
sau pentru o revizuire periodică a
necesității de stocare a datelor cu
caracter personal. Respectarea acestor
termene este asigurată prin măsuri
procedurale.
Articolul 6
Distincția între diferitele categorii de
persoane vizate
Statele membre garantează că, după
caz și în măsura posibilului, operatorul
face distincție clară între datele cu
caracter personal ale diferitelor
categorii de persoane vizate, precum:
(a) | persoane în privința cărora există
motive serioase să se creadă că au
săvârșit sau că urmează să săvârșească
o infracțiune;
(b) | persoane condamnate pentru
săvârșirea unei infracțiuni;
(c) | victime ale unei infracțiuni sau
persoane în privința cărora, în baza
anumitor fapte, există motive să se
creadă că persoanele respective ar
putea fi victimele unei infracțiuni; și
(d) | alte părți care au legătură cu
infracțiunea, ca de exemplu persoane
care ar putea fi chemate să depună
mărturie în cadrul anchetelor legate de
infracțiuni sau în cadrul procedurilor
penale ulterioare sau persoane care pot
oferi informații cu privire la infracțiuni
sau persoane care sunt în legătură sau
asociate cu persoanele menționate la
literele (a) și (b).
Articolul 7
and against accidental loss, destruction
or damage, using appropriate technical
or organisational measures.
2.   Processing by the same or another
controller for any of the purposes set
out in Article 1(1) other than that for
which the personal data are collected
shall be permitted in so far as:
(a) | the controller is authorised to
process such personal data for such a
purpose in accordance with Union or
Member State law; and
(b) | processing is necessary and
proportionate to that other purpose in
accordance with Union or Member State
law.
3.   Processing by the same or another
controller may include archiving in the
public interest, scientific, statistical or
historical use, for the purposes set out
in Article 1(1), subject to appropriate
safeguards for the rights and freedoms
of data subjects.
4.   The controller shall be responsible
for, and be able to demonstrate
compliance with, paragraphs 1, 2 and
3.
Article 5
Time-limits for storage and review
Member States shall provide for
appropriate time limits to be
established for the erasure of personal
data or for a periodic review of the need
for the storage of personal data.
Procedural measures shall ensure that
those time limits are observed.
Article 6
Distinction between different categories
of data subject
Member States shall provide for the
controller, where applicable and as far
as possible, to make a clear distinction
between personal data of different
categories of data subjects, such as:
(a) | persons with regard to whom there
are serious grounds for believing that
they have committed or are about to
commit a criminal offence;
(b) | persons convicted of a criminal
offence;
(c) | victims of a criminal offence or
persons with regard to whom certain
facts give rise to reasons for believing
that he or she could be the victim of a
criminal offence; and
(d) | other parties to a criminal offence,
such as persons who might be called on
to testify in investigations in connection
with criminal offences or subsequent
criminal proceedings, persons who can
provide information on criminal
offences, or contacts or associates of
one of the persons referred to in points
(a) and (b).
Article 7
autorisé ou illicite et contre la perte, la
destruction ou les dégâts d'origine
accidentelle, à l'aide de mesures
techniques ou organisationnelles
appropriées.
2.   Le traitement, par le même ou par
un autre responsable du traitement,
pour l'une des finalités énoncées à
l'article 1er, paragraphe 1, autre que
celles pour lesquelles les données ont
été collectées, est autorisé à condition
que:
a) | le responsable du traitement soit
autorisé à traiter ces données à
caractère personnel pour une telle
finalité conformément au droit de
l'Union ou au droit d'un État membre; et
b) | le traitement soit nécessaire et
proportionné à cette autre finalité
conformément au droit de l'Union ou au
droit d'un État membre.
3.   Le traitement des données par le
même ou par un autre responsable du
traitement peut comprendre l'archivage
dans l'intérêt public, à des fins
scientifiques, statistiques ou
historiques, aux fins énoncées à
l'article 1er, paragraphe 1, sous réserve
de garanties appropriées pour les droits
et libertés de la personne concernée.
4.   Le responsable du traitement est
responsable du respect des
paragraphes 1, 2 et 3 et est en mesure
de démontrer que ces dispositions sont
respectées.
Article 5
Délais de conservation et d'examen
Les États membres prévoient que des
délais appropriés sont fixés pour
l'effacement des données à caractère
personnel ou pour la vérification
régulière de la nécessité de conserver
les données à caractère personnel. Des
règles procédurales garantissent le
respect de ces délais.
Article 6
Distinction entre différentes catégories
de personnes concernées
Les États membres prévoient que le
responsable du traitement établit, le cas
échéant et dans la mesure du possible,
une distinction claire entre les données
à caractère personnel de différentes
catégories de personnes concernées,
telles que:
a) | les personnes à l'égard desquelles il
existe des motifs sérieux de croire
qu'elles ont commis ou sont sur le point
de commettre une infraction pénale;
b) | les personnes reconnues coupables
d'une infraction pénale;
c) | les victimes d'une infraction pénale
ou les personnes à l'égard desquelles
certains faits portent à croire qu'elles
pourraient être victimes d'une infraction
pénale; et
d) | les tiers à une infraction pénale,
tels que les personnes pouvant être
appelées à témoigner lors d'enquêtes
en rapport avec des infractions pénales
ou des procédures pénales ultérieures,
des personnes pouvant fournir des
informations sur des infractions
pénales, ou des contacts ou des
associés de l'une des personnes visées
aux points a) et b).
Article 7
Distincția între datele cu caracter
personal și verificarea calității datelor
cu caracter personal
(1)   Statele membre garantează că se
face distincție, pe cât posibil, între
datele cu caracter personal bazate pe
fapte și datele cu caracter personal
bazate pe evaluări personale.
(2)   Statele membre garantează că
autoritățile competente iau toate
măsurile rezonabile pentru a se asigura
că datele cu caracter personal care sunt
inexacte, incomplete sau nu mai sunt
actuale nu sunt transmise sau puse la
dispoziție. În acest scop, fiecare
autoritate competentă verifică, în
măsura în care este posibil, calitatea
datelor cu caracter personal înainte ca
acestea să fie transmise sau puse la
dispoziție. În măsura în care acest lucru
este posibil, în cadrul tuturor
transmiterilor de date cu caracter
personal, se adaugă informații necesare
care permit autorității competente
destinatare să evalueze gradul de
exactitate, caracterul integral, gradul de
fiabilitate și de actualitate al datelor cu
caracter personal.
(3)   În cazul în care se constată
transmiterea unor date cu caracter
personal incorecte sau transmiterea
unor date cu caracter personal în mod
ilegal, acest lucru se comunică de
îndată destinatarului. Într-un astfel de
caz, datele cu caracter personal sunt
rectificate sau șterse sau prelucrarea
este restricționată în conformitate cu
articolul 16.
Articolul 8
Legalitatea prelucrării
(1)   Statele membre garantează
legalitatea prelucrării numai dacă și în
măsura în care aceasta este necesară
pentru îndeplinirea unei sarcini de către
o autoritate competentă în scopurile
stabilite la articolul 1 alineatul (1) și că
aceasta se întemeiază pe dreptul
Uniunii sau pe dreptul intern.
(2)   Dreptul intern care reglementează
prelucrarea care intră sub incidența
prezentei directive precizează cel puțin
obiectivele prelucrării, datele cu
caracter personal care urmează să fie
prelucrate și scopurile prelucrării.
Articolul 9
Condiții specifice de prelucrare
(1)   Datele cu caracter personal
colectate de autoritățile competente în
scopurile stabilite la articolul 1 alineatul
(1) nu se prelucrează în alte scopuri
decât cele stabilite la articolul 1
alineatul (1), cu excepția cazurilor în
care o astfel de prelucrare este
autorizată în temeiul dreptului Uniunii
sau al dreptului intern. În cazurile în
care datele cu caracter personal sunt
prelucrate în alte scopuri, prelucrării
respective i se aplică Regulamentul (UE)
2016/679, cu excepția cazului în care
prelucrarea este efectuată în cadrul unei
activități care nu intră sub incidența
dreptului Uniunii.
Distinction between personal data and
verification of quality of personal data
1.   Member States shall provide for
personal data based on facts to be
distinguished, as far as possible, from
personal data based on personal
assessments.
2.   Member States shall provide for the
competent authorities to take all
reasonable steps to ensure that
personal data which are inaccurate,
incomplete or no longer up to date are
not transmitted or made available. To
that end, each competent authority
shall, as far as practicable, verify the
quality of personal data before they are
transmitted or made available. As far as
possible, in all transmissions of
personal data, necessary information
enabling the receiving competent
authority to assess the degree of
accuracy, completeness and reliability
of personal data, and the extent to
which they are up to date shall be
added.
3.   If it emerges that incorrect personal
data have been transmitted or personal
data have been unlawfully transmitted,
the recipient shall be notified without
delay. In such a case, the personal data
shall be rectified or erased or
processing shall be restricted in
accordance with Article 16.
Article 8
Lawfulness of processing
1.   Member States shall provide for
processing to be lawful only if and to
the extent that processing is necessary
for the performance of a task carried
out by a competent authority for the
purposes set out in Article 1(1) and that
it is based on Union or Member State
law.
2.   Member State law regulating
processing within the scope of this
Directive shall specify at least the
objectives of processing, the personal
data to be processed and the purposes
of the processing.
Article 9
Specific processing conditions
1.   Personal data collected by
competent authorities for the purposes
set out in Article 1(1) shall not be
processed for purposes other than
those set out in Article 1(1) unless such
processing is authorised by Union or
Member State law. Where personal data
are processed for such other purposes,
Regulation (EU) 2016/679 shall apply
unless the processing is carried out in
an activity which falls outside the scope
of Union law.
Distinction entre les données à
caractère personnel et vérification de la
qualité des données à caractère
personnel
1.   Les États membres prévoient que
les données à caractère personnel
fondées sur des faits sont, dans la
mesure du possible, distinguées de
celles fondées sur des appréciations
personnelles.
2.   Les États membres prévoient que
les autorités compétentes prennent
toutes les mesures raisonnables pour
garantir que les données à caractère
personnel qui sont inexactes,
incomplètes ou ne sont plus à jour ne
soient pas transmises ou mises à
disposition. À cette fin, chaque autorité
compétente vérifie, dans la mesure du
possible, la qualité des données à
caractère personnel avant leur
transmission ou mise à disposition.
Dans la mesure du possible, lors de
toute transmission de données à
caractère personnel, sont ajoutées des
informations nécessaires permettant à
l'autorité compétente destinataire de
juger de l'exactitude, de l'exhaustivité,
et de la fiabilité des données à
caractère personnel, et de leur niveau
de mise à jour.
3.   S'il s'avère que des données à
caractère personnel inexactes ont été
transmises ou que des données à
caractère personnel ont été transmises
de manière illicite, le destinataire en est
informé sans retard. Dans ce cas, les
données à caractère personnel sont
rectifiées ou effacées ou leur traitement
est limité conformément à l'article 16.
Article 8
Licéité du traitement
1.   Les États membres prévoient que le
traitement n'est licite que si et dans la
mesure où il est nécessaire à
l'exécution d'une mission effectuée par
une autorité compétente, pour les
finalités énoncées à l'article 1er,
paragraphe 1, et où il est fondé sur le
droit de l'Union ou le droit d'un État
membre.
2.   Une disposition du droit d'un État
membre qui réglemente le traitement
relevant du champ d'application de la
présente directive précise au moins les
objectifs du traitement, les données à
caractère personnel devant faire l'objet
d'un traitement et les finalités du
traitement.
Article 9
Conditions spécifiques applicables au
traitement
1.   Les données à caractère personnel
collectées par les autorités compétentes
pour les finalités énoncées à
l'article 1er, paragraphe 1, ne peuvent
être traitées à des fins autres que celles
énoncées à l'article 1er, paragraphe 1, à
moins qu'un tel traitement ne soit
autorisé par le droit de l'Union ou le
droit d'un État membre. Lorsque des
données à caractère personnel sont
traitées à de telles autres fins, le
règlement (UE) 2016/679 s'applique, à
moins que le traitement ne soit effectué
dans le cadre d'une activité ne relevant
pas du champ d'application du droit de
l'Union.
(2)   În cazul în care autoritățile
competente sunt împuternicite prin
dreptul intern să îndeplinească alte
atribuții decât cele aferente scopurilor
stabilite la articolul 1 alineatul (1),
pentru prelucrarea în astfel de scopuri
se aplică Regulamentul (UE) 2016/679,
inclusiv în ce privește prelucrarea în
scopuri de arhivare în interes public, în
scopuri de cercetare științifică sau
istorică ori în scopuri statistice, cu
excepția cazului în care prelucrarea este
efectuată în cadrul unei activități care
nu intră sub incidența dreptului Uniunii.
(3)   Statele membre garantează că, în
cazul în care dreptul Uniunii sau dreptul
intern aplicabil autorității competente
care a transmis datele prevede condiții
specifice de prelucrare, autoritatea
competentă care a transmis datele
informează destinatarul respectivelor
date cu caracter personal cu privire la
aceste condiții și la obligația de a le
respecta.
(4)   Statele membre garantează că
autoritatea competentă care a transmis
datele nu aplică condițiile prevăzute la
alineatul (3) destinatarilor din alte state
membre sau agențiilor, oficiilor și
organismelor instituite în conformitate
cu titlul V capitolele 4 și 5 din TFUE,
altele decât cele aplicabile transmiterii
similare de date în statul membru al
autorității competente care a transmis
datele.
Articolul 10
Prelucrarea de categorii speciale de
date cu caracter personal
Prelucrarea datelor cu caracter personal
care dezvăluie originea rasială sau
etnică, opiniile politice, confesiunea
religioasă sau convingerile filozofice,
afilierea sindicală, prelucrarea datelor
genetice, prelucrarea datelor biometrice
pentru identificarea unică a unei
persoane fizice sau prelucrarea datelor
privind sănătatea sau a datelor privind
viața sexuală și orientarea sexuală a
unei persoane fizice este autorizată
numai atunci când este strict necesară
și sub rezerva unor garanții adecvate
pentru drepturile și libertățile persoanei
vizate și numai atunci când:
(a) | este autorizată de dreptul Uniunii
sau de dreptul intern;
(b) | este necesară pentru a proteja
interesele vitale ale persoanei vizate sau
ale unei alte persoane fizice; sau
(c) | prelucrarea respectivă se referă la
date care sunt făcute publice în mod
manifest de persoana vizată.
Articolul 11
Procesul decizional individual
automatizat
(1)   Statele membre garantează că o
decizie întemeiată exclusiv pe
prelucrarea automată, inclusiv crearea
de profiluri, care produce un efect
juridic negativ pentru persoana vizată
sau care o afectează în mod
semnificativ, este interzisă, cu excepția
cazului în care este autorizată de
dreptul Uniunii sau de dreptul intern
care se aplică operatorului și care
2.   Where competent authorities are
entrusted by Member State law with the
performance of tasks other than those
performed for the purposes set out in
Article 1(1), Regulation (EU) 2016/679
shall apply to processing for such
purposes, including for archiving
purposes in the public interest,
scientific or historical research
purposes or statistical purposes, unless
the processing is carried out in an
activity which falls outside the scope of
Union law.
3.   Member States shall, where Union
or Member State law applicable to the
transmitting competent authority
provides specific conditions for
processing, provide for the transmitting
competent authority to inform the
recipient of such personal data of those
conditions and the requirement to
comply with them.
4.   Member States shall provide for the
transmitting competent authority not to
apply conditions pursuant to paragraph
3 to recipients in other Member States
or to agencies, offices and bodies
established pursuant to Chapters 4 and
5 of Title V of the TFEU other than
those applicable to similar
transmissions of data within the
Member State of the transmitting
competent authority.
Article 10
Processing of special categories of
personal data
Processing of personal data revealing
racial or ethnic origin, political
opinions, religious or philosophical
beliefs, or trade union membership,
and the processing of genetic data,
biometric data for the purpose of
uniquely identifying a natural person,
data concerning health or data
concerning a natural person's sex life or
sexual orientation shall be allowed only
where strictly necessary, subject to
appropriate safeguards for the rights
and freedoms of the data subject, and
only:
(a) | where authorised by Union or
Member State law;
(b) | to protect the vital interests of the
data subject or of another natural
person; or
(c) | where such processing relates to
data which are manifestly made public
by the data subject.
Article 11
Automated individual decision-making
1.   Member States shall provide for a
decision based solely on automated
processing, including profiling, which
produces an adverse legal effect
concerning the data subject or
significantly affects him or her, to be
prohibited unless authorised by Union
or Member State law to which the
controller is subject and which provides
appropriate safeguards for the rights
2.   Lorsque les autorités compétentes
sont chargées par le droit d'un État
membre d'exécuter des missions autres
que celles exécutées pour les finalités
énoncées à l'article 1er, paragraphe 1,
le règlement (UE) 2016/679 s'applique
au traitement effectué à de telles fins, y
compris à des fins archivistiques dans
l'intérêt public, à des fins de recherche
scientifique ou historique, ou à des fins
statistiques, à moins que le traitement
ne soit effectué dans le cadre d'une
activité ne relevant pas du champ
d'application du droit de l'Union.
3.   Les États membres prévoient que,
lorsque le droit de l'Union ou le droit
d'un État membre applicable à l'autorité
compétente qui transmet les données
soumet le traitement à des conditions
spécifiques, l'autorité compétente qui
transmet les données informe le
destinataire de ces données à caractère
personnel de ces conditions et de
l'obligation de les respecter.
4.   Les États membres prévoient que
l'autorité compétente qui transmet les
données n'applique pas aux
destinataires dans les autres États
membres ou aux services, organes et
organismes établis en vertu des
chapitres 4 et 5 du titre V du traité sur
le fonctionnement de l'Union
européenne des conditions en vertu du
paragraphe 3 différentes de celles
applicables aux transferts de données
similaires à l'intérieur de l'État membre
dont relève l'autorité compétente qui
transmet les données.
Article 10
Traitement portant sur des catégories
particulières de données à caractère
personnel
Le traitement des données à caractère
personnel qui révèlent l'origine raciale
ou ethnique, les opinions politiques, les
convictions religieuses ou
philosophiques, ou l'appartenance
syndicale, et le traitement des données
génétiques, des données biométriques
aux fins d'identifier une personne
physique de manière unique, des
données concernant la santé ou des
données concernant la vie sexuelle ou
l'orientation sexuelle d'une personne
physique est autorisé uniquement en
cas de nécessité absolue, sous réserve
de garanties appropriées pour les droits
et libertés de la personne concernée, et
uniquement:
a) | lorsqu'ils sont autorisés par le droit
de l'Union ou le droit d'un État membre;
b) | pour protéger les intérêts vitaux de
la personne concernée ou d'une autre
personne physique; ou
c) | lorsque le traitement porte sur des
données manifestement rendues
publiques par la personne concernée.
Article 11
Décision individuelle automatisée
1.   Les États membres prévoient que
toute décision fondée exclusivement
sur un traitement automatisé, y compris
le profilage, qui produit des effets
juridiques défavorables pour la
personne concernée ou l'affecte de
manière significative, est interdite, à
moins qu'elle ne soit autorisée par le
droit de l'Union ou le droit d'un État
membre auquel le responsable du
prevede garanții adecvate pentru
drepturile și libertățile persoanei vizate,
cel puțin dreptul de a obține intervenția
umană din partea operatorului.
(2)   Deciziile menționate la alineatul (1)
din prezentul articol nu se întemeiază
pe categoriile speciale de date cu
caracter personal menționate la
articolul 10, cu excepția cazului în care
au fost instituite măsuri
corespunzătoare pentru protejarea
drepturilor, a libertăților și a intereselor
legitime ale persoanei vizate.
(3)   În conformitate cu dreptul Uniunii,
este interzisă crearea de profiluri care
are drept rezultat discriminarea
persoanelor fizice pe baza categoriilor
speciale de date cu caracter personal
menționate la articolul 10.
CAPITOLUL III
Drepturile persoanei vizate
Articolul 12
Comunicare și modalități de exercitare
a drepturilor persoanei vizate
(1)   Statele membre garantează faptul
că operatorul ia măsuri rezonabile
pentru a transmite persoanei vizate
orice informații menționate la articolul
13 și transmite acesteia orice
comunicare în legătură cu articolele 11,
14-18 și 31 referitoare la prelucrare,
într-o formă concisă, inteligibilă și ușor
accesibilă, utilizând un limbaj clar și
simplu. Informațiile se transmit prin
orice mijloace adecvate, inclusiv prin
mijloace electronice. Ca regulă
generală, operatorul transmite
informațiile în același format în care a
fost primită cererea.
(2)   Statele membre garantează faptul
că operatorul facilitează exercitarea
drepturilor persoanei vizate în temeiul
articolelor 11 și 14-18.
(3)   Statele membre garantează faptul
că operatorul informează în scris
persoana vizată cu privire la modul în
care a dat curs cererii acesteia, fără
întârzieri nejustificate.
(4)   Statele membre garantează faptul
că transmiterea informațiilor în
conformitate cu articolul 13 și orice
comunicare transmisă și măsură luată
în temeiul articolelor 11, 14-18 și 31
este gratuită. În cazul în care cererile
din partea unei persoane vizate sunt în
mod vădit nefondate sau excesive, în
special din cauza caracterului lor
repetitiv, operatorul poate:
(a) | să perceapă o taxă rezonabilă care
să țină cont de costurile administrative
pentru transmiterea informațiilor sau a
comunicărilor sau pentru luarea
măsurilor solicitate; sau
(b) | poate refuza să dea curs cererii.
Operatorului îi revine sarcina de a
demonstra caracterul vădit nefondat
sau excesiv al cererii.
and freedoms of the data subject, at
least the right to obtain human
intervention on the part of the
controller.
2.   Decisions referred to in paragraph 1
of this Article shall not be based on
special categories of personal data
referred to in Article 10, unless suitable
measures to safeguard the data
subject's rights and freedoms and
legitimate interests are in place.
3.   Profiling that results in
discrimination against natural persons
on the basis of special categories of
personal data referred to in Article 10
shall be prohibited, in accordance with
Union law.
CHAPTER III
Rights of the data subject
Article 12
Communication and modalities for
exercising the rights of the data subject
1.   Member States shall provide for the
controller to take reasonable steps to
provide any information referred to in
Article 13 and make any communication
with regard to Articles 11, 14 to 18 and
31 relating to processing to the data
subject in a concise, intelligible and
easily accessible form, using clear and
plain language. The information shall
be provided by any appropriate means,
including by electronic means. As a
general rule, the controller shall provide
the information in the same form as the
request.
2.   Member States shall provide for the
controller to facilitate the exercise of
the rights of the data subject under
Articles 11 and 14 to 18.
3.   Member States shall provide for the
controller to inform the data subject in
writing about the follow up to his or her
request without undue delay.
4.   Member States shall provide for the
information provided under Article 13
and any communication made or action
taken pursuant to Articles 11, 14 to 18
and 31 to be provided free of charge.
Where requests from a data subject are
manifestly unfounded or excessive, in
particular because of their repetitive
character, the controller may either:
(a) | charge a reasonable fee, taking
into account the administrative costs of
providing the information or
communication or taking the action
requested; or
(b) | refuse to act on the request.
The controller shall bear the burden of
demonstrating the manifestly
unfounded or excessive character of the
request.
traitement est soumis et qui fournit des
garanties appropriées pour les droits et
libertés de la personne concernée, et au
minimum le droit d'obtenir une
intervention humaine de la part du
responsable du traitement.
2.   Les décisions visées au
paragraphe 1 du présent article ne sont
pas fondées sur les catégories
particulières de données à caractère
personnel visées à l'article 10, à moins
que des mesures appropriées pour la
sauvegarde des droits et des libertés et
des intérêts légitimes de la personne
concernée ne soient en place.
3.   Tout profilage qui entraîne une
discrimination à l'égard des personnes
physiques sur la base des catégories
particulières de données à caractère
personnel visées à l'article 10 est
interdit, conformément au droit de
l'Union.
CHAPITRE III
Droits de la personne concernée
Article 12
Communication et modalités de
l'exercice des droits de la personne
concernée
1.   Les États membres prévoient que le
responsable du traitement prend des
mesures raisonnables pour fournir
toute information visée à l'article 13 et
procède à toute communication relative
au traitement ayant trait à l'article 11,
aux articles 14 à 18 et à l'article 31 à la
personne concernée d'une façon
concise, compréhensible et aisément
accessible, en des termes clairs et
simples. Les informations sont fournies
par tout moyen approprié, y compris
par voie électronique. De manière
générale, le responsable du traitement
fournit les informations sous la même
forme que la demande.
2.   Les États membres prévoient que le
responsable du traitement facilite
l'exercice des droits conférés à la
personne concernée par l'article 11 et
les articles 14 à 18.
3.   Les États membres prévoient que le
responsable du traitement informe par
écrit, dans les meilleurs délais, la
personne concernée des suites données
à sa demande.
4.   Les États membres prévoient
qu'aucun paiement n'est exigé pour
fournir les informations visées à
l'article 13 et pour procéder à toute
communication et prendre toute
mesure au titre de l'article 11, des
articles 14 à 18 et de l'article 31.
Lorsque les demandes d'une personne
concernée sont manifestement
infondées ou excessives, notamment en
raison de leur caractère répétitif, le
responsable du traitement peut:
a) | soit exiger le paiement de frais
raisonnables qui tiennent compte des
coûts administratifs supportés pour
fournir les informations, procéder à la
communication ou prendre les mesures
demandées;
b) | soit refuser de donner suite à la
demande.
Il incombe au responsable du
traitement de démontrer le caractère
manifestement infondé ou excessif de
la demande.
(5)   În cazul în care operatorul are
îndoieli întemeiate cu privire la
identitatea persoanei fizice care
înaintează cererea menționată la
articolul 14 sau 16, acesta poate
solicita furnizarea de informații
suplimentare necesare pentru a
confirma identitatea persoanei vizate.
Articolul 13
Informații care se pun la dispoziția
persoanei vizate sau se comunică
acesteia
(1)   Statele membre garantează că
operatorul pune la dispoziția
persoanelor vizate cel puțin
următoarele informații:
(a) | identitatea și datele de contact ale
operatorului;
(b) | datele de contact ale
responsabilului cu protecția datelor,
după caz;
(c) | scopurile în care sunt prelucrate
datele cu caracter personal;
(d) | dreptul de a depune o plângere în
fața autorității de supraveghere și
datele de contact ale autorității de
supraveghere;
(e) | existența dreptului de a solicita
operatorului acces la datele cu caracter
personal referitoare la persoana vizată
ori rectificarea sau ștergerea acestor
date sau restricționarea prelucrării lor.
(2)   În plus față de informațiile
menționate la alineatul (1), statele
membre garantează prin lege că
operatorul comunică persoanei vizate,
în anumite cazuri, următoarele
informații suplimentare, pentru a
permite acesteia exercitarea drepturilor
sale:
(a) | temeiul juridic al prelucrării;
(b) | perioada pentru care vor fi stocate
datele cu caracter personal sau, în cazul
în care nu este posibil, criteriile utilizate
pentru a stabili respectiva perioadă;
(c) | dacă este cazul, categoriile de
destinatari ai datelor cu caracter
personal, inclusiv în țări terțe sau
organizații internaționale;
(d) | în cazul în care este necesar,
informații suplimentare, în special
atunci când datele cu caracter personal
sunt colectate fără știrea persoanei
vizate.
(3)   Statele membre pot adopta măsuri
legislative de amânare, restricționare
sau omitere a furnizării de informații
persoanei vizate în conformitate cu
alineatul (2) în măsura în care și atât
timp cât o astfel de măsură constituie o
măsură necesară și proporțională într-o
societate democratică, ținând seama de
drepturile fundamentale și de interesele
legitime ale persoanei fizice, pentru:
(a) | evitarea obstrucționării cercetărilor,
anchetelor sau procedurilor oficiale sau
juridice;
5.   Where the controller has reasonable
doubts concerning the identity of the
natural person making a request
referred to in Article 14 or 16, the
controller may request the provision of
additional information necessary to
confirm the identity of the data subject.
Article 13
Information to be made available or
given to the data subject
1.   Member States shall provide for the
controller to make available to the data
subject at least the following
information:
(a) | the identity and the contact details
of the controller;
(b) | the contact details of the data
protection officer, where applicable;
(c) | the purposes of the processing for
which the personal data are intended;
(d) | the right to lodge a complaint with
a supervisory authority and the contact
details of the supervisory authority;
(e) | the existence of the right to
request from the controller access to
and rectification or erasure of personal
data and restriction of processing of the
personal data concerning the data
subject.
2.   In addition to the information
referred to in paragraph 1, Member
States shall provide by law for the
controller to give to the data subject, in
specific cases, the following further
information to enable the exercise of
his or her rights:
(a) | the legal basis for the processing;
(b) | the period for which the personal
data will be stored, or, where that is not
possible, the criteria used to determine
that period;
(c) | where applicable, the categories of
recipients of the personal data,
including in third countries or
international organisations;
(d) | where necessary, further
information, in particular where the
personal data are collected without the
knowledge of the data subject.
3.   Member States may adopt
legislative measures delaying,
restricting or omitting the provision of
the information to the data subject
pursuant to paragraph 2 to the extent
that, and for as long as, such a measure
constitutes a necessary and
proportionate measure in a democratic
society with due regard for the
fundamental rights and the legitimate
interests of the natural person
concerned, in order to:
(a) | avoid obstructing official or legal
inquiries, investigations or procedures;
5.   Lorsque le responsable du
traitement a des doutes raisonnables
quant à l'identité de la personne
physique présentant la demande visée à
l'article 14 ou 16, il peut demander que
lui soient fournies des informations
supplémentaires nécessaires pour
confirmer l'identité de la personne
concernée.
Article 13
Informations à mettre à la disposition
de la personne concernée ou à lui
fournir
1.   Les États membres prévoient que le
responsable du traitement met à la
disposition de la personne concernée
au moins les informations suivantes:
a) | l'identité et les coordonnées du
responsable du traitement;
b) | le cas échéant, les coordonnées du
délégué à la protection des données;
c) | les finalités du traitement auquel
sont destinées les données à caractère
personnel;
d) | le droit d'introduire une réclamation
auprès d'une autorité de contrôle et les
coordonnées de ladite autorité;
e) | l'existence du droit de demander au
responsable du traitement l'accès aux
données à caractère personnel, leur
rectification ou leur effacement, et la
limitation du traitement des données à
caractère personnel relatives à une
personne concernée.
2.   En plus des informations visées au
paragraphe 1, les États membres
prévoient, par la loi, que le responsable
du traitement fournit à la personne
concernée, dans des cas particuliers, les
informations additionnelles suivantes
afin de lui permettre d'exercer ses
droits:
a) | la base juridique du traitement,
b) | la durée de conservation des
données à caractère personnel ou,
lorsque ce n'est pas possible, les
critères utilisés pour déterminer cette
durée;
c) | le cas échéant, les catégories de
destinataires des données à caractère
personnel, y compris dans les pays tiers
ou au sein d'organisations
internationales;
d) | au besoin, des informations
complémentaires, en particulier lorsque
les données à caractère personnel sont
collectées à l'insu de la personne
concernée.
3.   Les États membres peuvent adopter
des mesures législatives visant à
retarder ou limiter la fourniture des
informations à la personne concernée
en application du paragraphe 2, ou à ne
pas fournir ces informations, dès lors et
aussi longtemps qu'une mesure de
cette nature constitue une mesure
nécessaire et proportionnée dans une
société démocratique, en tenant
dûment compte des droits
fondamentaux et des intérêts légitimes
de la personne physique concernée
pour:
a) | éviter de gêner des enquêtes, des
recherches ou des procédures officielles
ou judiciaires;
(b) | a nu prejudicia prevenirea,
depistarea, investigarea sau urmărirea
penală a infracțiunilor sau executarea
pedepselor;
(c) | protejarea securității publice;
(d) | protejarea securității naționale;
(e) | protejarea drepturilor și libertăților
celorlalți.
(4)   Statele membre pot adopta măsuri
legislative pentru a stabili categoriile de
prelucrare care pot intra, integral sau
parțial, sub incidența oricăreia dintre
literele de la alineatul (3).
Articolul 14
Dreptul de acces al persoanei vizate
Sub rezerva articolului 15, statele
membre garantează dreptul persoanei
vizate de a obține din partea
operatorului o confirmare că se
prelucrează sau nu date cu caracter
personal care o privesc și, în caz
afirmativ, acces la datele respective și la
următoarele informații:
(a) | scopurile și temeiul juridic al
prelucrării;
(b) | categoriile de date cu caracter
personal vizate;
(c) | destinatarii sau categoriile de
destinatari cărora le-au fost divulgate
datele cu caracter personal, în special
destinatarii din țări terțe sau organizații
internaționale;
(d) | acolo unde este posibil, perioada
pentru care se preconizează că vor fi
stocate datele cu caracter personal sau,
în cazul în care acest lucru nu este
posibil, criteriile utilizate pentru a
stabili această perioadă;
(e) | existența dreptului de a solicita de
la operator rectificarea sau ștergerea
datelor cu caracter personal, sau
restricționarea prelucrării datelor cu
caracter personal referitoare la
persoana vizată;
(f) | dreptul de a depune o plângere în
fața autorității de supraveghere și
datele de contact ale autorității de
supraveghere;
(g) | comunicarea datelor cu caracter
personal care sunt în curs de prelucrare
și a oricărei informații disponibile cu
privire la originea datelor.
Articolul 15
Limitarea dreptului de acces
(1)   Statele membre pot adopta măsuri
legislative care limitează, integral sau
parțial, dreptul de acces al persoanei
vizate în măsura și atât timp o astfel de
limitare, parțială sau totală, constituie o
măsură necesară și proporțională într-o
societate democratică, ținându-se
seama de drepturile fundamentale și de
interesele legitime ale respectivei
persoane fizice, pentru:
(a) | evitarea obstrucționării cercetărilor,
anchetelor sau procedurilor oficiale sau
juridice;
(b) | avoid prejudicing the prevention,
detection, investigation or prosecution
of criminal offences or the execution of
criminal penalties;
(c) | protect public security;
(d) | protect national security;
(e) | protect the rights and freedoms of
others.
4.   Member States may adopt
legislative measures in order to
determine categories of processing
which may wholly or partly fall under
any of the points listed in paragraph 3.
Article 14
Right of access by the data subject
Subject to Article 15, Member States
shall provide for the right of the data
subject to obtain from the controller
confirmation as to whether or not
personal data concerning him or her are
being processed, and, where that is the
case, access to the personal data and
the following information:
(a) | the purposes of and legal basis for
the processing;
(b) | the categories of personal data
concerned;
(c) | the recipients or categories of
recipients to whom the personal data
have been disclosed, in particular
recipients in third countries or
international organisations;
(d) | where possible, the envisaged
period for which the personal data will
be stored, or, if not possible, the
criteria used to determine that period;
(e) | the existence of the right to
request from the controller rectification
or erasure of personal data or
restriction of processing of personal
data concerning the data subject;
(f) | the right to lodge a complaint with
the supervisory authority and the
contact details of the supervisory
authority;
(g) | communication of the personal
data undergoing processing and of any
available information as to their origin.
Article 15
Limitations to the right of access
1.   Member States may adopt
legislative measures restricting, wholly
or partly, the data subject's right of
access to the extent that, and for as
long as such a partial or complete
restriction constitutes a necessary and
proportionate measure in a democratic
society with due regard for the
fundamental rights and legitimate
interests of the natural person
concerned, in order to:
(a) | avoid obstructing official or legal
inquiries, investigations or procedures;
b) | éviter de nuire à la prévention ou à
la détection d'infractions pénales, aux
enquêtes ou aux poursuites en la
matière ou à l'exécution de sanctions
pénales;
c) | protéger la sécurité publique;
d) | protéger la sécurité nationale;
e) | protéger les droits et libertés
d'autrui.
4.   Les États membres peuvent adopter
des mesures législatives afin de
déterminer des catégories de
traitements susceptibles de relever,
dans leur intégralité ou en partie, d'un
quelconque des points énumérés au
paragraphe 3.
Article 14
Droit d'accès par la personne concernée
Sous réserve de l'article 15, les États
membres prévoient que la personne
concernée a le droit d'obtenir du
responsable du traitement la
confirmation que des données à
caractère personnel la concernant sont
ou ne sont pas traitées et, lorsqu'elles
le sont, l'accès auxdites données ainsi
que les informations suivantes:
a) | les finalités du traitement ainsi que
sa base juridique;
b) | les catégories de données à
caractère personnel concernées;
c) | les destinataires ou catégories de
destinataires auxquels les données à
caractère personnel ont été
communiquées, en particulier les
destinataires qui sont établis dans des
pays tiers ou les organisations
internationales;
d) | lorsque cela est possible, la durée
de conservation des données à
caractère personnel envisagée ou,
lorsque ce n'est pas possible, les
critères utilisés pour déterminer cette
durée;
e) | l'existence du droit de demander au
responsable du traitement la
rectification ou l'effacement des
données à caractère personnel, ou la
limitation du traitement des données à
caractère personnel relatives à la
personne concernée;
f) | le droit d'introduire une réclamation
auprès de l'autorité de contrôle et les
coordonnées de ladite autorité;
g) | la communication des données à
caractère personnel en cours de
traitement, ainsi que toute information
disponible quant à leur source.
Article 15
Limitations du droit d'accès
1.   Les États membres peuvent adopter
des mesures législatives limitant,
entièrement ou partiellement, le droit
d'accès de la personne concernée, dès
lors et aussi longtemps qu'une telle
limitation partielle ou complète
constitue une mesure nécessaire et
proportionnée dans une société
démocratique, en tenant dûment
compte des droits fondamentaux et des
intérêts légitimes de la personne
physique concernée, pour:
a) | éviter de gêner des enquêtes, des
recherches ou des procédures officielles
ou judiciaires;
(b) | a nu prejudicia prevenirea,
depistarea, investigarea sau urmărirea
penală a infracțiunilor sau executarea
pedepselor;
(c) | protejarea securității publice;
(d) | protejarea securității naționale;
(e) | protejarea drepturilor și libertăților
celorlalți.
(2)   Statele membre pot adopta măsuri
legislative pentru a stabili categoriile de
prelucrare care se pot intra, integral sau
parțial, sub incidența literelor (a)-(e) de
la alineatul (1).
(3)   În cazurile prevăzute la alineatele
(1) și (2), statele membre garantează că
operatorul informează în scris persoana
vizată, fără întârzieri nejustificate, cu
privire la refuzarea sau limitarea
accesului și la motivele refuzului sau ale
limitării. Astfel de informații pot fi
omise atunci când furnizarea lor ar
contraveni unuia dintre scopurile de la
alineatul (1). Statele membre
garantează că operatorul informează
persoana vizată cu privire la
posibilitatea de a depune o plângere la
autoritatea de supraveghere sau de a
introduce o cale de atac judiciară.
(4)   Statele membre garantează că
operatorul justifică motivele de fapt și
de drept pe care se întemeiază decizia.
Aceste informații se pun la dispoziția
autorităților de supraveghere.
Articolul 16
Dreptul la rectificarea sau la ștergerea
datelor cu caracter personal și la
restricționarea prelucrării
(1)   Statele membre garantează
persoanei vizate dreptul de a obține de
la operator, fără întârzieri nejustificate,
rectificarea datelor cu caracter personal
inexacte care o privesc. Ținându-se
seama de scopurile prelucrării, statele
membre garantează persoanei vizate
dreptul de a obține completarea datelor
cu caracter personal care sunt
incomplete, inclusiv prin furnizarea
unei declarații suplimentare.
(2)   Statele membre impun operatorului
obligația de a șterge datele cu caracter
personal fără întârzieri nejustificate și
garantează persoanei vizate dreptul de
a obține de la operator ștergerea
datelor cu caracter personal care o
privesc, fără întârzieri nejustificate, în
cazul în care prelucrarea încalcă
dispozițiile adoptate în temeiul
articolului 4, 8 sau 10, sau în cazul în
care datele cu caracter personal trebuie
șterse pentru îndeplinirea unei obligații
legale care îi revine operatorului.
(3)   În loc de ștergere, operatorul
restricționează prelucrarea datelor cu
caracter personal în cazul în care:
(a) | exactitatea datelor cu caracter
personal este contestată de persoana
vizată, iar exactitatea sau inexactitatea
(b) | avoid prejudicing the prevention,
detection, investigation or prosecution
of criminal offences or the execution of
criminal penalties;
(c) | protect public security;
(d) | protect national security;
(e) | protect the rights and freedoms of
others.
2.   Member States may adopt
legislative measures in order to
determine categories of processing
which may wholly or partly fall under
points (a) to (e) of paragraph 1.
3.   In the cases referred to in
paragraphs 1 and 2, Member States
shall provide for the controller to
inform the data subject, without undue
delay, in writing of any refusal or
restriction of access and of the reasons
for the refusal or the restriction. Such
information may be omitted where the
provision thereof would undermine a
purpose under paragraph 1. Member
States shall provide for the controller to
inform the data subject of the
possibility of lodging a complaint with a
supervisory authority or seeking a
judicial remedy.
4.   Member States shall provide for the
controller to document the factual or
legal reasons on which the decision is
based. That information shall be made
available to the supervisory authorities.
Article 16
Right to rectification or erasure of
personal data and restriction of
processing
1.   Member States shall provide for the
right of the data subject to obtain from
the controller without undue delay the
rectification of inaccurate personal data
relating to him or her. Taking into
account the purposes of the processing,
Member States shall provide for the
data subject to have the right to have
incomplete personal data completed,
including by means of providing a
supplementary statement.
2.   Member States shall require the
controller to erase personal data
without undue delay and provide for the
right of the data subject to obtain from
the controller the erasure of personal
data concerning him or her without
undue delay where processing infringes
the provisions adopted pursuant to
Article 4, 8 or 10, or where personal
data must be erased in order to comply
with a legal obligation to which the
controller is subject.
3.   Instead of erasure, the controller
shall restrict processing where:
(a) | the accuracy of the personal data is
contested by the data subject and their
b) | éviter de nuire à la prévention ou à
la détection d'infractions pénales, aux
enquêtes ou aux poursuites en la
matière ou à l'exécution de sanctions
pénales;
c) | protéger la sécurité publique;
d) | protéger la sécurité nationale;
e) | protéger les droits et libertés
d'autrui.
2.   Les États membres peuvent adopter
des mesures législatives afin de
déterminer des catégories de
traitements de données susceptibles de
relever, dans leur intégralité ou en
partie, des points a) à e) du
paragraphe 1.
3.   Dans les cas visés aux
paragraphes 1 et 2, les États membres
prévoient que le responsable du
traitement informe la personne
concernée par écrit, dans les meilleurs
délais, de tout refus ou de toute
limitation d'accès, ainsi que des motifs
du refus ou de la limitation. Ces
informations peuvent ne pas être
fournies lorsque leur communication
risque de compromettre l'un des
objectifs énoncés au paragraphe 1. Les
États membres prévoient que le
responsable du traitement informe la
personne concernée des possibilités
d'introduire une réclamation auprès
d'une autorité de contrôle ou de former
un recours juridictionnel.
4.   Les États membres prévoient que le
responsable du traitement consigne les
motifs de fait ou de droit sur lesquels
se fonde la décision. Ces informations
sont mises à la disposition des autorités
de contrôle.
Article 16
Droit de rectification ou d'effacement
des données à caractère personnel et
limitation du traitement
1.   Les États membres prévoient le
droit pour la personne concernée
d'obtenir du responsable du traitement,
dans les meilleurs délais, la rectification
des données à caractère personnel la
concernant qui sont inexactes. Compte
tenu des finalités du traitement, les
États membres prévoient que la
personne concernée a le droit d'obtenir
que les données à caractère personnel
incomplètes soient complétées, y
compris en fournissant à cet effet une
déclaration complémentaire.
2.   Les États membres exigent que le
responsable du traitement efface dans
les meilleurs délais les données à
caractère personnel et accordent à la
personne concernée le droit d'obtenir
du responsable du traitement
l'effacement dans les meilleurs délais
de données à caractère personnel la
concernant lorsque le traitement
constitue une violation des dispositions
adoptées en vertu de l'article 4, 8 ou 10
ou lorsque les données à caractère
personnel doivent être effacées pour
respecter une obligation légale à
laquelle est soumis le responsable du
traitement.
3.   Au lieu de procéder à l'effacement,
le responsable du traitement limite le
traitement lorsque:
a) | l'exactitude des données à caractère
personnel est contestée par la personne
concernée et qu'il ne peut être
datelor respective nu poate fi stabilită
cu certitudine; sau
(b) | datele cu caracter personal trebuie
să fie păstrate ca mijloace de probă.
În cazul în care prelucrarea este
restricționată în conformitate cu litera
(a) de la primul paragraf, operatorul
informează în acest sens persoana
vizată înainte de ridicarea restricțiilor
de prelucrare.
(4)   Statele garantează că operatorul
informează în scris persoana vizată cu
privire la orice refuz de rectificare sau
de ștergere a datelor cu caracter
personal sau de restricționare a
prelucrării și cu privire la motivele
refuzului. Statele membre pot adopta
măsuri legislative care restricționează,
integral sau parțial, obligația de a
furniza astfel de informații în măsura în
care o astfel de restricționare a
prelucrării constituie o măsură necesară
și proporțională într-o societate
democratică, ținându-se seama în mod
corespunzător de drepturile
fundamentale și de interesele legitime
ale persoanei fizice vizate pentru:
(a) | a evita obstrucționarea cercetărilor,
anchetelor sau procedurilor oficiale sau
juridice;
(b) | a nu prejudicia prevenirea,
depistarea, investigarea sau urmărirea
penală a infracțiunilor sau executarea
pedepselor;
(c) | a proteja securitatea publică;
(d) | a proteja securitatea națională;
(e) | a proteja drepturile și libertățile
celorlalți.
Statele membre garantează că
operatorul informează persoana vizată
cu privire la posibilitatea de a depune o
plângere la autoritatea de supraveghere
sau de a introduce o cale de atac
judiciară.
(5)   Statele membre garantează
comunicarea de către operator a
rectificării datelor cu caracter personal
inexacte autorității competente de la
care provin datele cu caracter personal
inexacte.
(6)   Statele membre garantează faptul
că operatorul informează destinatarii cu
privire la rectificarea sau ștergerea
datelor cu caracter personal sau cu
privire la restricționarea prelucrării, în
temeiul alineatelor (1), (2) și (3), precum
și faptul că destinatarii rectifică sau
șterg datele cu caracter personal sau
restricționează prelucrarea datelor cu
caracter personal atunci când le revine
responsabilitatea pentru acestea.
Articolul 17
Exercitarea drepturilor de către
persoana vizată și verificarea de către
autoritatea de supraveghere
(1)   În cazurile menționate la articolul
13 alineatul (3), la articolul 15 alineatul
(3) și la articolul 16 alineatul (4), statele
membre adoptă măsuri prin care se
prevede că drepturile persoanei vizate
pot fi, de asemenea, exercitate prin
intermediul autorității de supraveghere
competente.
accuracy or inaccuracy cannot be
ascertained; or
(b) | the personal data must be
maintained for the purposes of
evidence.
Where processing is restricted pursuant
to point (a) of the first subparagraph,
the controller shall inform the data
subject before lifting the restriction of
processing.
4.   Member States shall provide for the
controller to inform the data subject in
writing of any refusal of rectification or
erasure of personal data or restriction
of processing and of the reasons for the
refusal. Member States may adopt
legislative measures restricting, wholly
or partly, the obligation to provide such
information to the extent that such a
restriction constitutes a necessary and
proportionate measure in a democratic
society with due regard for the
fundamental rights and legitimate
interests of the natural person
concerned in order to:
(a) | avoid obstructing official or legal
inquiries, investigations or procedures;
(b) | avoid prejudicing the prevention,
detection, investigation or prosecution
of criminal offences or the execution of
criminal penalties;
(c) | protect public security;
(d) | protect national security;
(e) | protect the rights and freedoms of
others.
Member States shall provide for the
controller to inform the data subject of
the possibility of lodging a complaint
with a supervisory authority or seeking
a judicial remedy.
5.   Member States shall provide for the
controller to communicate the
rectification of inaccurate personal data
to the competent authority from which
the inaccurate personal data originate.
6.   Member States shall, where
personal data has been rectified or
erased or processing has been
restricted pursuant to paragraphs 1, 2
and 3, provide for the controller to
notify the recipients and that the
recipients shall rectify or erase the
personal data or restrict processing of
the personal data under their
responsibility.
Article 17
Exercise of rights by the data subject
and verification by the supervisory
authority
1.   In the cases referred to in Article 13
(3), Article 15(3) and Article 16(4)
Member States shall adopt measures
providing that the rights of the data
subject may also be exercised through
the competent supervisory authority.
déterminé si les données sont exactes
ou non; ou
b) | les données à caractère personnel
doivent être conservées à des fins
probatoires.
Lorsque le traitement est limité en vertu
du premier alinéa, point a), le
responsable du traitement informe la
personne concernée avant de lever la
limitation du traitement.
4.   Les États membres prévoient que le
responsable du traitement informe la
personne concernée par écrit de tout
refus de rectifier ou d'effacer des
données à caractère personnel ou de
limiter le traitement, ainsi que des
motifs du refus. Les États membres
peuvent adopter des mesures
législatives limitant, en tout ou partie,
l'obligation de fournir ces informations,
dès lors qu'une telle limitation constitue
une mesure nécessaire et
proportionnée dans une société
démocratique en tenant dûment compte
des droits fondamentaux et des intérêts
légitimes de la personne physique
concernée pour:
a) | éviter de gêner des enquêtes, des
recherches ou des procédures officielles
ou judiciaires;
b) | éviter de nuire à la prévention ou à
la détection d'infractions pénales, aux
enquêtes ou aux poursuites en la
matière ou à l'exécution de sanctions
pénales;
c) | protéger la sécurité publique;
d) | protéger la sécurité nationale;
e) | protéger les droits et libertés
d'autrui.
Les États membres prévoient que le
responsable du traitement informe la
personne concernée des possibilités
d'introduire une réclamation auprès
d'une autorité de contrôle ou de former
un recours juridictionnel.
5.   Les États membres prévoient que le
responsable du traitement communique
la rectification des données à caractère
personnel inexactes à l'autorité
compétente dont proviennent les
données à caractère personnel
inexactes.
6.   Les États membres prévoient que,
lorsque des données à caractère
personnel ont été rectifiées ou effacées
ou que le traitement a été limité au titre
des paragraphes 1, 2 et 3, le
responsable du traitement adresse une
notification aux destinataires et que
ceux-ci rectifient ou effacent les
données à caractère personnel ou
limitent le traitement des données à
caractère personnel sous leur
responsabilité.
Article 17
Exercice des droits de la personne
concernée et vérification par l'autorité
de contrôle
1.   Dans les cas visés à l'article 13,
paragraphe 3, à l'article 15,
paragraphe 3, et à l'article 16,
paragraphe 4, les États membres
adoptent des mesures afin que les
droits de la personne concernée
puissent également être exercés par
l'intermédiaire de l'autorité de contrôle
compétente.
(2)   Statele membre garantează că
operatorul informează persoana vizată
cu privire la posibilitatea de a-și
exercita drepturile prin intermediul
autorității de supraveghere în temeiul
alineatului (1).
(3)   Atunci când este exercitat dreptul
menționat la alineatul (1), autoritatea de
supraveghere informează persoana
vizată cel puțin că au fost realizate
toate verificările necesare sau o
revizuire de către autoritatea de
supraveghere. Autoritatea de
supraveghere informează, de
asemenea, persoana vizată în legătură
cu dreptul acesteia de a introduce o
cale de atac.
Articolul 18
Drepturile persoanei vizate în cadrul
investigațiilor și procedurilor penale
Statele membre garantează că
drepturile menționate la articolele 13,
14 și 16 se exercită în conformitate cu
dreptul intern în cazul în care datele cu
caracter personal sunt conținute într-o
hotărâre judecătorească sau într-un
cazier sau dosar prelucrat pe parcursul
investigațiilor și procedurilor penale.
CAPITOLUL IV
Operatorul și persoana împuternicită de
către operator
Secțiunea 1
Obligații generale
Articolul 19
Obligațiile operatorului
(1)   Statele membre garantează că,
ținând seama de natura, domeniul de
aplicare, contextul și scopurile
prelucrării, precum și de riscurile cu
grade diferite de probabilitate și
gravitate la adresa drepturilor și
libertăților persoanelor fizice,
operatorul pune în aplicare măsuri
tehnice și organizatorice adecvate
pentru a garanta și a fi în măsură să
demonstreze că prelucrarea se
efectuează în conformitate cu prezenta
directivă. Respectivele măsuri se
revizuiesc și se actualizează dacă este
necesar.
(2)   Atunci când sunt proporționale în
raport cu operațiunile de prelucrare,
măsurile menționate la alineatul (1)
includ punerea în aplicare de către
operator a unor politici
corespunzătoare de protecție a datelor.
Articolul 20
Asigurarea protecției datelor începând
cu momentul conceperii și în mod
implicit
(1)   Statele membre garantează că,
având în vedere stadiul actual al
tehnologiei, costurile de punere în
aplicare, precum și natura, domeniul de
aplicare, contextul și scopurile
prelucrării, precum și riscurile cu grade
diferite de probabilitate și de gravitate
la adresa drepturilor și libertăților
persoanelor fizice pe care le prezintă
prelucrarea, operatorul, atât la
momentul stabilirii mijloacelor de
prelucrare, cât și la cel al prelucrării în
sine, pune în aplicare măsuri tehnice și
organizatorice adecvate, cum ar fi
2.   Member States shall provide for the
controller to inform the data subject of
the possibility of exercising his or her
rights through the supervisory authority
pursuant to paragraph 1.
3.   Where the right referred to in
paragraph 1 is exercised, the
supervisory authority shall inform the
data subject at least that all necessary
verifications or a review by the
supervisory authority have taken place.
The supervisory authority shall also
inform the data subject of his or her
right to seek a judicial remedy.
Article 18
Rights of the data subject in criminal
investigations and proceedings
Member States may provide for the
exercise of the rights referred to in
Articles 13, 14 and 16 to be carried out
in accordance with Member State law
where the personal data are contained
in a judicial decision or record or case
file processed in the course of criminal
investigations and proceedings.
CHAPTER IV
Controller and processor
Section 1
General obligations
Article 19
Obligations of the controller
1.   Member States shall provide for the
controller, taking into account the
nature, scope, context and purposes of
processing as well as the risks of
varying likelihood and severity for the
rights and freedoms of natural persons,
to implement appropriate technical and
organisational measures to ensure and
to be able to demonstrate that
processing is performed in accordance
with this Directive. Those measures
shall be reviewed and updated where
necessary.
2.   Where proportionate in relation to
the processing activities, the measures
referred to in paragraph 1 shall include
the implementation of appropriate data
protection policies by the controller.
Article 20
Data protection by design and by
default
1.   Member States shall provide for the
controller, taking into account the state
of the art, the cost of implementation
and the nature, scope, context and
purposes of processing, as well as the
risks of varying likelihood and severity
for rights and freedoms of natural
persons posed by the processing, both
at the time of the determination of the
means for processing and at the time of
the processing itself, to implement
appropriate technical and
organisational measures, such as
pseudonymisation, which are designed
2.   Les États membres prévoient que le
responsable du traitement informe la
personne concernée de la possibilité
qu'elle a d'exercer ses droits par
l'intermédiaire de l'autorité de contrôle
en application du paragraphe 1.
3.   Lorsque le droit visé au
paragraphe 1 est exercé, l'autorité de
contrôle informe au moins la personne
concernée du fait qu'elle a procédé à
toutes les vérifications nécessaires ou à
un examen. L'autorité de contrôle
informe également la personne
concernée de son droit de former un
recours juridictionnel.
Article 18
Droits des personnes concernées lors
des enquêtes judiciaires et des
procédures pénales
Les États membres peuvent prévoir que
les droits visés aux articles 13, 14 et 16
sont exercés conformément au droit
d'un État membre lorsque les données à
caractère personnel figurent dans une
décision judiciaire ou un casier ou
dossier judiciaire faisant l'objet d'un
traitement lors d'une enquête judiciaire
et d'une procédure pénale.
CHAPITRE IV
Responsable du traitement et sous-
traitant
Section 1
Obligations générales
Article 19
Obligations incombant au responsable
du traitement
1.   Les États membres prévoient que le
responsable du traitement, compte tenu
de la nature, de la portée, du contexte
et des finalités du traitement ainsi que
des risques, dont le degré de
probabilité et de gravité varie, pour les
droits et libertés des personnes
physiques, met en œuvre les mesures
techniques et organisationnelles
appropriées pour s'assurer et être en
mesure de démontrer que le traitement
est effectué conformément à la
présente directive. Ces mesures sont
réexaminées et actualisées, si
nécessaire.
2.   Lorsque cela est proportionné au
regard des activités de traitement, les
mesures visées au paragraphe 1
comprennent la mise en œuvre de
politiques appropriées en matière de
protection des données par le
responsable du traitement.
Article 20
Protection des données dès la
conception et protection des données
par défaut
1.   Les États membres prévoient que,
compte tenu de l'état des
connaissances, des coûts de la mise en
œuvre et de la nature, de la portée, du
contexte et des finalités du traitement,
ainsi que des risques, dont le degré de
probabilité et de gravité varie, que
présente le traitement pour les droits et
libertés des personnes physiques, le
responsable du traitement met en
œuvre, tant lors de la détermination des
moyens du traitement que lors du
traitement proprement dit, des mesures
techniques et organisationnelles
pseudonimizarea, care sunt destinate
să pună în aplicare în mod eficient
principiile de protecție a datelor,
precum reducerea la minim a datelor și
să integreze garanțiile necesare în
cadrul prelucrării, pentru a îndeplini
cerințele prezentei directive și a proteja
drepturile persoanelor vizate.
(2)   Statele membre garantează că
operatorul pune în aplicare măsuri
tehnice și organizatorice adecvate prin
care să se asigure că, în mod implicit,
sunt prelucrate numai date cu caracter
personal care sunt necesare pentru
fiecare scop specific al prelucrării.
Obligația respectivă se aplică volumului
de date cu caracter personal colectate,
gradului de prelucrare a acestora,
perioadei lor de stocare și accesibilității
lor. În special, măsurile respective
trebuie să asigure că, în mod implicit,
datele cu caracter personal nu sunt
accesibile, fără intervenția persoanei
fizice, unui număr nedefinit de
persoane fizice.
Articolul 21
Operatori asociați
(1)   Statele membre garantează faptul
că, atunci când doi sau mai mulți
operatori stabilesc în comun scopurile
și mijloacele de prelucrare, aceștia sunt
operatori asociați. Aceștia stabilesc
într-un mod transparent
responsabilitățile care revin fiecăruia în
vederea respectării prezentei directive,
în special în ceea ce privește exercitarea
drepturilor persoanelor vizate și
îndatoririle fiecăruia de furnizare a
informațiilor prevăzute la articolul 13,
prin intermediul unui acord între ei, cu
excepția cazului și în măsura în care
responsabilitățile operatorilor sunt
stabilite de dreptul Uniunii sau de
dreptul intern care li se aplică. Acordul
desemnează punctul de contact pentru
persoanele vizate. Statele membre pot
desemna care dintre operatorii asociați
poate acționa ca punct unic de contact
pentru exercitarea de către persoanele
vizate a drepturilor lor.
(2)   Indiferent de termenii acordului
menționat la alineatul (1), statele
membre pot să prevadă dispoziții
potrivit cărora persoana vizată își
exercită drepturile cu privire la și în
raport cu fiecare dintre operatori în
conformitate cu dispozițiile adoptate în
temeiul prezentei directive.
Articolul 22
Persoana împuternicită de către
operator
(1)   Statele membre garantează că,
atunci când o prelucrare urmează să fie
realizată în numele unui operator,
operatorul recurge doar la persoane
împuternicite care să ofere garanții
suficiente pentru punerea în aplicare a
măsurilor tehnice și organizatorice
adecvate, astfel încât prelucrarea să
îndeplinească cerințele prezentei
directive și să asigure protecția
drepturilor persoanei vizate.
to implement data protection
principles, such as data minimisation,
in an effective manner and to integrate
the necessary safeguards into the
processing, in order to meet the
requirements of this Directive and
protect the rights of data subjects.
2.   Member States shall provide for the
controller to implement appropriate
technical and organisational measures
ensuring that, by default, only personal
data which are necessary for each
specific purpose of the processing are
processed. That obligation applies to
the amount of personal data collected,
the extent of their processing, the
period of their storage and their
accessibility. In particular, such
measures shall ensure that by default
personal data are not made accessible
without the individual's intervention to
an indefinite number of natural
persons.
Article 21
Joint controllers
1.   Member States shall, where two or
more controllers jointly determine the
purposes and means of processing,
provide for them to be joint controllers.
They shall, in a transparent manner,
determine their respective
responsibilities for compliance with this
Directive, in particular as regards the
exercise of the rights of the data
subject and their respective duties to
provide the information referred to in
Article 13, by means of an arrangement
between them unless, and in so far as,
the respective responsibilities of the
controllers are determined by Union or
Member State law to which the
controllers are subject. The
arrangement shall designate the contact
point for data subjects. Member States
may designate which of the joint
controllers can act as a single contact
point for data subjects to exercise their
rights.
2.   Irrespective of the terms of the
arrangement referred to in paragraph 1,
Member States may provide for the data
subject to exercise his or her rights
under the provisions adopted pursuant
to this Directive in respect of and
against each of the controllers.
Article 22
Processor
1.   Member States shall, where
processing is to be carried out on
behalf of a controller, provide for the
controller to use only processors
providing sufficient guarantees to
implement appropriate technical and
organisational measures in such a
manner that the processing will meet
the requirements of this Directive and
ensure the protection of the rights of
the data subject.
appropriées, telles que la
pseudonymisation, qui sont destinées à
mettre en œuvre les principes relatifs à
la protection des données, par exemple
la minimisation des données, de façon
effective et à assortir le traitement des
garanties nécessaires, afin de répondre
aux exigences de la présente directive
et de protéger les droits des personnes
concernées.
2.   Les États membres prévoient que le
responsable du traitement met en
œuvre les mesures techniques et
organisationnelles appropriées pour
garantir que, par défaut, seules les
données à caractère personnel qui sont
nécessaires au regard de chaque finalité
spécifique du traitement sont traitées.
Cette obligation s'applique à la quantité
de données à caractère personnel
collectées, à l'étendue de leur
traitement, à leur durée de conservation
et à leur accessibilité. En particulier, ces
mesures garantissent que, par défaut,
les données à caractère personnel ne
sont pas rendues accessibles à un
nombre indéterminé de personnes
physiques sans l'intervention de la
personne concernée.
Article 21
Responsables conjoints du traitement
1.   Les États membres prévoient que,
lorsque deux responsables du
traitement ou plus déterminent
conjointement les finalités et les
moyens du traitement, ils sont les
responsables conjoints du traitement.
Les responsables conjoints du
traitement définissent de manière
transparente leurs obligations
respectives aux fins d'assurer le respect
de la présente directive, notamment en
ce qui concerne l'exercice des droits de
la personne concernée, et leurs
obligations respectives quant à la
communication des informations visées
à l'article 13, par voie d'accord entre
eux, sauf si et dans la mesure où leurs
obligations respectives sont définies
par le droit de l'Union ou le droit d'un
État membre auquel les responsables
du traitement sont soumis. Le point de
contact pour les personnes concernées
est désigné dans l'accord. Les États
membres peuvent préciser lequel des
responsables conjoints peut servir de
point de contact unique pour que les
personnes concernées puissent exercer
leurs droits.
2.   Indépendamment des termes de
l'accord visé au paragraphe 1, les États
membres peuvent prévoir que la
personne concernée peut exercer les
droits que lui confère les dispositions
adoptées en vertu de la présente
directive à l'égard de et contre chacun
des responsables du traitement.
Article 22
Sous-traitant
1.   Les États membres prévoient que le
responsable du traitement, lorsqu'un
traitement doit être effectué pour son
compte, fait uniquement appel à des
sous-traitants qui présentent des
garanties suffisantes quant à la mise en
œuvre de mesures techniques et
organisationnelles appropriées de
manière que le traitement réponde aux
exigences de la présente directive et

(2)   Statele membre garantează că
persoana împuternicită de către
operator nu recrutează o altă persoană
împuternicită de operator fără a primi în
prealabil o autorizație scrisă, specifică
sau generală, din partea operatorului. În
cazul unei autorizații scrise generale,
persoana împuternicită de către
operator informează operatorul cu
privire la orice modificări preconizate
privind adăugarea sau înlocuirea altor
persoane împuternicite de către
operator, oferind astfel operatorului
posibilitatea de a formula obiecții față
de aceste modificări.
(3)   Statele membre garantează că
prelucrarea de către o persoană
împuternicită de un operator este
reglementată printr-un contract sau un
alt act juridic în temeiul dreptului
Uniunii sau al dreptului intern, care are
caracter obligatoriu pentru persoana
împuternicită de către operator în
raport cu operatorul și care stabilește
obiectul și durata prelucrării, natura și
scopul prelucrării, tipul de date cu
caracter personal și categoriile de
persoane vizate, precum și obligațiile și
drepturile operatorului. Respectivul
contract sau act juridic prevede, în
special, că persoana împuternicită de
operator:
(a) | acționează numai la instrucțiunile
operatorului;
(b) | garantează faptul că persoanele
autorizate să prelucreze date cu
caracter personal s-au angajat să
respecte confidențialitatea sau au o
obligație legală de confidențialitate
corespunzătoare;
(c) | asistă operatorul prin orice
mijloace adecvate pentru a asigura
respectarea dispozițiilor privind
drepturile persoanei vizate;
(d) | la alegerea operatorului, șterge sau
returnează toate datele cu caracter
personal operatorului după încetarea
furnizării serviciilor de prelucrare a
datelor și elimină copiile existente, cu
excepția cazului în care dreptului
Uniunii sau dreptul intern prevede
stocarea datelor cu caracter personal;
(e) | pune la dispoziția operatorului
toate informațiile necesare pentru a
demonstra respectarea prezentului
articol;
(f) | respectă condițiile menționate la
alineatele (2) și (3) pentru recrutarea
unei alte persoane împuternicite de
către operator.
(4)   Contractul sau un alt act juridic
menționat la alineatul (3) se întocmește
în scris și poate fi pus la dispoziție în
format electronic.
(5)   În cazul în care o persoană
împuternicită de către operator
stabilește, cu încălcarea prezentei
directive, scopurile și mijloacele de
prelucrare, persoana împuternicită este
considerată ca fiind operator în ceea ce
privește prelucrarea respectivă.
Articolul 23
Desfășurarea activității de prelucrare
sub autoritatea operatorului sau a
2.   Member States shall provide for the
processor not to engage another
processor without prior specific or
general written authorisation by the
controller. In the case of general written
authorisation, the processor shall
inform the controller of any intended
changes concerning the addition or
replacement of other processors,
thereby giving the controller the
opportunity to object to such changes.
3.   Member States shall provide for the
processing by a processor to be
governed by a contract or other legal
act under Union or Member State law,
that is binding on the processor with
regard to the controller and that sets
out the subject-matter and duration of
the processing, the nature and purpose
of the processing, the type of personal
data and categories of data subjects
and the obligations and rights of the
controller. That contract or other legal
act shall stipulate, in particular, that the
processor:
(a) | acts only on instructions from the
controller;
(b) | ensures that persons authorised to
process the personal data have
committed themselves to confidentiality
or are under an appropriate statutory
obligation of confidentiality;
(c) | assists the controller by any
appropriate means to ensure
compliance with the provisions on the
data subject's rights;
(d) | at the choice of the controller,
deletes or returns all the personal data
to the controller after the end of the
provision of data processing services,
and deletes existing copies unless
Union or Member State law requires
storage of the personal data;
(e) | makes available to the controller all
information necessary to demonstrate
compliance with this Article;
(f) | complies with the conditions
referred to in paragraphs 2 and 3 for
engaging another processor.
4.   The contract or the other legal act
referred to in paragraph 3 shall be in
writing, including in an electronic form.
5.   If a processor determines, in
infringement of this Directive, the
purposes and means of processing, that
processor shall be considered to be a
controller in respect of that processing.
Article 23
Processing under the authority of the
controller or processor
garantisse la protection des droits de la
personne concernée.
2.   Les États membres prévoient que le
sous-traitant ne recrute pas un autre
sous-traitant sans l'autorisation écrite
préalable, spécifique ou générale, du
responsable du traitement. Dans le cas
d'une autorisation écrite générale, le
sous-traitant informe le responsable du
traitement de tout changement prévu
concernant l'ajout ou le remplacement
d'autres sous-traitants, donnant ainsi
au responsable du traitement la
possibilité d'émettre des objections à
l'encontre de ces changements.
3.   Les États membres prévoient que le
traitement par un sous-traitant est régi
par un contrat ou un autre acte
juridique au titre du droit de l'Union ou
du droit d'un État membre, qui lie le
sous-traitant à l'égard du responsable
du traitement et qui définit l'objet et la
durée du traitement, la nature et la
finalité du traitement, le type de
données à caractère personnel et les
catégories de personnes concernées et
les obligations et les droits du
responsable du traitement. Ce contrat
ou cet autre acte juridique prévoit,
notamment, que le sous-traitant:
a) | n'agit que sur instruction du
responsable du traitement;
b) | veille à ce que les personnes
autorisées à traiter les données à
caractère personnel s'engagent à
respecter la confidentialité ou soient
soumises à une obligation légale
appropriée de confidentialité;
c) | aide le responsable du traitement,
par tout moyen approprié, à veiller au
respect des dispositions relatives aux
droits de la personne concernée;
d) | selon le choix du responsable du
traitement, supprime toutes les
données à caractère personnel ou les
renvoie au responsable du traitement
au terme de la prestation des services
de traitement des données, et détruit
les copies existantes, à moins que le
droit de l'Union ou le droit d'un État
membre n'exige la conservation des
données à caractère personnel;
e) | met à la disposition du responsable
du traitement toutes les informations
nécessaires pour apporter la preuve du
respect du présent article;
f) | respecte les conditions visées aux
paragraphes 2 et 3 pour recruter un
autre sous-traitant.
4.   Le contrat ou l'autre acte juridique
visé au paragraphe 3 revêt la forme
écrite, y compris la forme électronique.
5.   Si, en violation de la présente
directive, un sous-traitant détermine
les finalités et les moyens du
traitement, il est considéré comme un
responsable du traitement pour ce qui
concerne ce traitement.
Article 23
Traitement effectué sous l'autorité du
responsable du traitement ou du sous-
traitant
persoanei împuternicite de către
operator
Statele membre garantează că persoana
împuternicită de către operator și orice
persoană care acționează sub
autoritatea operatorului sau a persoanei
împuternicite de către operator care are
acces la datele cu caracter personal
prelucrează datele respective numai la
cererea operatorului, cu excepția
cazului în care dreptul Uniunii sau
dreptul intern impun aceasta.
Articolul 24
Evidențe ale activităților de prelucrare
(1)   Statele membre garantează că
operatorul menține o evidență a tuturor
categoriilor de activități de prelucrare
aflate în responsabilitatea sa.
Respectiva evidență cuprinde toate
informațiile următoare:
(a) | numele și datele de contact ale
operatorului și, după caz, ale
operatorului asociat și ale
responsabilului cu protecția datelor;
(b) | scopurile prelucrării;
(c) | categoriile de destinatari cărora le-
au fost sau le vor fi divulgate datele cu
caracter personal, inclusiv destinatarii
din țări terțe sau organizații
internaționale;
(d) | o descriere a categoriilor de
persoane vizate și a categoriilor de date
cu caracter personal;
(e) | acolo unde este cazul, utilizarea
creării de profiluri;
(f) | acolo unde este cazul, categoriile
de transferuri de date cu caracter
personal către o țară terță sau o
organizație internațională;
(g) | indicarea temeiului juridic al
operațiunii de prelucrare, inclusiv
transferurile, pentru care sunt destinate
datele cu caracter personal;
(h) | acolo unde este posibil, termenele-
limită preconizate pentru ștergerea
diferitelor categorii de date cu caracter
personal;
(i) | acolo unde este posibil, o descriere
generală a măsurilor tehnice și
organizatorice de securitate menționate
la articolul 29 alineatul (1).
(2)   Statele membre garantează că
fiecare persoană împuternicită de către
operator păstrează o evidență a tuturor
categoriilor de activități de prelucrare
desfășurate în numele operatorului,
evidență care cuprinde:
(a) | numele și datele de contact ale
persoanei sau persoanelor împuternicite
de către operator, ale fiecărui operator
în numele căruia acționează această
persoană și, după caz, cele ale
responsabilului cu protecția datelor;
(b) | categoriile de activități de
prelucrare desfășurate în numele
fiecărui operator;
(c) | acolo unde este cazul, transferurile
de date cu caracter personal către o
țară terță sau către o organizație
internațională, inclusiv, identificarea
țării terțe sau a organizației
internaționale respective, atunci când
au primit instrucțiuni explicite în acest
sens de la operator;
Member States shall provide for the
processor and any person acting under
the authority of the controller or of the
processor, who has access to personal
data, not to process those data except
on instructions from the controller,
unless required to do so by Union or
Member State law.
Article 24
Records of processing activities
1.   Member States shall provide for
controllers to maintain a record of all
categories of processing activities
under their responsibility. That record
shall contain all of the following
information:
(a) | the name and contact details of the
controller and, where applicable, the
joint controller and the data protection
officer;
(b) | the purposes of the processing;
(c) | the categories of recipients to
whom the personal data have been or
will be disclosed including recipients in
third countries or international
organisations;
(d) | a description of the categories of
data subject and of the categories of
personal data;
(e) | where applicable, the use of
profiling;
(f) | where applicable, the categories of
transfers of personal data to a third
country or an international
organisation;
(g) | an indication of the legal basis for
the processing operation, including
transfers, for which the personal data
are intended;
(h) | where possible, the envisaged time
limits for erasure of the different
categories of personal data;
(i) | where possible, a general
description of the technical and
organisational security measures
referred to in Article 29(1).
2.   Member States shall provide for
each processor to maintain a record of
all categories of processing activities
carried out on behalf of a controller,
containing:
(a) | the name and contact details of the
processor or processors, of each
controller on behalf of which the
processor is acting and, where
applicable, the data protection officer;
(b) | the categories of processing
carried out on behalf of each controller;
(c) | where applicable, transfers of
personal data to a third country or an
international organisation where
explicitly instructed to do so by the
controller, including the identification
of that third country or international
organisation;
Les États membres prévoient que le
sous-traitant et toute personne
agissant sous l'autorité du responsable
du traitement ou sous celle du sous-
traitant, qui a accès à des données à
caractère personnel, ne les traite que
sur instruction du responsable du
traitement, à moins d'y être obligé par
le droit de l'Union ou le droit d'un État
membre.
Article 24
Registre des activités de traitement
1.   Les États membres prévoient que
les responsables du traitement tiennent
un registre de toutes les catégories
d'activités de traitement effectuées sous
leur responsabilité. Ce registre
comporte toutes les informations
suivantes:
a) | le nom et les coordonnées du
responsable du traitement et, le cas
échéant, du responsable conjoint du
traitement et du délégué à la protection
des données;
b) | les finalités du traitement;
c) | les catégories de destinataires
auxquels les données à caractère
personnel ont été ou seront
communiquées, y compris les
destinataires dans des pays tiers ou des
organisations internationales;
d) | une description des catégories de
personnes concernées et des catégories
de données à caractère personnel;
e) | le cas échéant, le recours au
profilage;
f) | le cas échéant, les catégories de
transferts de données à caractère
personnel vers un pays tiers ou à une
organisation internationale;
g) | une indication de la base juridique
de l'opération de traitement, y compris
les transferts, à laquelle les données à
caractère personnel sont destinées;
h) | dans la mesure du possible, les
délais prévus pour l'effacement des
différentes catégories de données à
caractère personnel;
i) | dans la mesure du possible, une
description générale des mesures de
sécurité techniques et
organisationnelles visées à l'article 29,
paragraphe 1.
2.   Les États membres prévoient que
chaque sous-traitant tient un registre
de toutes les catégories d'activités de
traitement effectuées pour le compte
du responsable du traitement,
comprenant:
a) | le nom et les coordonnées du ou
des sous-traitants, de chaque
responsable du traitement pour le
compte duquel le sous-traitant agit et,
le cas échéant, du délégué à la
protection des données;
b) | les catégories de traitements
effectués pour le compte de chaque
responsable du traitement;
c) | le cas échéant, les transferts de
données à caractère personnel vers un
pays tiers ou à une organisation
internationale, lorsqu'il en est
expressément chargé par le
responsable du traitement, y compris
l'identification de ce pays tiers ou de
cette organisation internationale;
(d) | acolo unde este posibil, o descriere
generală a măsurilor tehnice și
organizatorice de securitate menționate
la articolul 29 alineatul (1).
(3)   Evidențele menționate la alineatele
(1) și (2) se păstrează în scris, inclusiv
în format electronic.
Operatorul și persoana împuternicită de
acesta pun evidențele la dispoziția
autorității de supraveghere, la cererea
acesteia.
Articolul 25
Înregistrarea
(1)   Statele membre se asigură că se
înregistrează cel puțin următoarele
operațiuni de prelucrare din cadrul
sistemelor de prelucrare automată:
colectarea, modificarea, consultarea,
divulgarea inclusiv transferurile,
combinarea și ștergerea. Înregistrările
consultărilor și ale divulgărilor fac
posibilă determinarea motivelor, a datei
și a momentului acestor operațiuni și,
în măsura în care este posibil,
identificarea persoanei care a consultat
sau a divulgat date cu caracter personal
și identitatea destinatarilor acestor date
cu caracter personal.
(2)   Înregistrările sunt utilizate numai
pentru verificarea legalității prelucrării,
monitorizare proprie, asigurarea
integrității și a securității datelor cu
caracter personal și în cadrul unor
proceduri penale.
(3)   Operatorul și persoana
împuternicită de către operator pun
înregistrările la dispoziția autorității de
supraveghere, la cererea acesteia.
Articolul 26
Cooperarea cu autoritatea de
supraveghere
Statele membre garantează că
operatorul și persoana împuternicită de
către operator cooperează cu
autoritatea de supraveghere, la cererea
acesteia, în îndeplinirea sarcinilor
acesteia.
Articolul 27
Evaluarea impactului asupra protecției
datelor
(1)   În cazul în care un tip de
prelucrare, în special care implică
utilizarea de noi tehnologii, și, ținând
seama de natura, domeniul de aplicare,
contextul și scopurile prelucrării, este
susceptibil să genereze un risc ridicat la
adresa drepturilor și libertăților
persoanelor fizice, statele membre
garantează că operatorul, înainte de
prelucrare, efectuează o evaluare a
impactului operațiunilor de prelucrare
preconizate asupra protecției datelor cu
caracter personal.
(2)   Evaluarea menționată la alineatul
(1) cuprinde cel puțin o descriere
generală a operațiunilor de prelucrare
preconizate, o evaluare a riscurilor la
adresa drepturilor și libertăților
persoanelor vizate, măsurile
preconizate în vederea abordării
riscurilor, garanțiile, măsurile de
securitate și mecanismele menite să
(d) | where possible, a general
description of the technical and
organisational security measures
referred to in Article 29(1).
3.   The records referred to in
paragraphs 1 and 2 shall be in writing,
including in electronic form.
The controller and the processor shall
make those records available to the
supervisory authority on request.
Article 25
Logging
1.   Member States shall provide for
logs to be kept for at least the following
processing operations in automated
processing systems: collection,
alteration, consultation, disclosure
including transfers, combination and
erasure. The logs of consultation and
disclosure shall make it possible to
establish the justification, date and time
of such operations and, as far as
possible, the identification of the
person who consulted or disclosed
personal data, and the identity of the
recipients of such personal data.
2.   The logs shall be used solely for
verification of the lawfulness of
processing, self-monitoring, ensuring
the integrity and security of the
personal data, and for criminal
proceedings.
3.   The controller and the processor
shall make the logs available to the
supervisory authority on request.
Article 26
Cooperation with the supervisory
authority
Member States shall provide for the
controller and the processor to
cooperate, on request, with the
supervisory authority in the
performance of its tasks on request.
Article 27
Data protection impact assessment
1.   Where a type of processing, in
particular, using new technologies, and
taking into account the nature, scope,
context and purposes of the processing
is likely to result in a high risk to the
rights and freedoms of natural persons,
Member States shall provide for the
controller to carry out, prior to the
processing, an assessment of the
impact of the envisaged processing
operations on the protection of
personal data.
2.   The assessment referred to in
paragraph 1 shall contain at least a
general description of the envisaged
processing operations, an assessment
of the risks to the rights and freedoms
of data subjects, the measures
envisaged to address those risks,
safeguards, security measures and
mechanisms to ensure the protection of
d) | dans la mesure du possible, une
description générale des mesures de
sécurité techniques et
organisationnelles visées à l'article 29,
paragraphe 1.
3.   Les registres visés aux
paragraphes 1 et 2 se présentent sous
une forme écrite, y compris la forme
électronique.
Le responsable du traitement et le
sous-traitant mettent ces registres à la
disposition de l'autorité de contrôle, sur
demande.
Article 25
Journalisation
1.   Les États membres prévoient que
des journaux sont établis au moins
pour les opérations de traitement
suivantes dans des systèmes de
traitement automatisé: la collecte, la
modification, la consultation, la
communication, y compris les
transferts, l'interconnexion et
l'effacement. Les journaux des
opérations de consultation et de
communication permettent d'établir le
motif, la date et l'heure de celles-ci et,
dans la mesure du possible,
l'identification de la personne qui a
consulté ou communiqué les données à
caractère personnel, ainsi que l'identité
des destinataires de ces données à
caractère personnel.
2.   Les journaux sont utilisés
uniquement à des fins de vérification de
la licéité du traitement, d'autocontrôle,
de garantie de l'intégrité et de la
sécurité des données à caractère
personnel et à des fins de procédures
pénales.
3.   Le responsable du traitement et le
sous-traitant mettent les journaux à la
disposition de l'autorité de contrôle, sur
demande.
Article 26
Coopération avec l'autorité de contrôle
Les États membres prévoient que le
responsable du traitement et le sous-
traitant coopèrent avec l'autorité de
contrôle, à la demande de celle-ci, dans
l'exécution de ses missions.
Article 27
Analyse d'impact relative à la protection
des données
1.   Lorsqu'un type de traitement, en
particulier par le recours aux nouvelles
technologies, et compte tenu de la
nature, de la portée, du contexte et des
finalités du traitement, est susceptible
d'engendrer un risque élevé pour les
droits et les libertés des personnes
physiques, les États membres prévoient
que le responsable du traitement
effectue préalablement au traitement
une analyse de l'impact des opérations
de traitement envisagées sur la
protection des données à caractère
personnel.
2.   L'analyse visée au paragraphe 1
contient au moins une description
générale des opérations de traitement
envisagées, une évaluation des risques
pour les droits et libertés des
personnes concernées, les mesures
envisagées pour faire face à ces
risques, les garanties, mesures et
mécanismes de sécurité visant à assurer
asigure protecția datelor cu caracter
personal și să demonstreze respectarea
prezentei directive, luând în considerare
drepturile și interesele legitime ale
persoanelor vizate și ale celorlalte
persoane interesate.
Articolul 28
Consultarea prealabilă a autorității de
supraveghere
(1)   Statele membre garantează că
operatorul sau persoana împuternicită
de către operator consultă autoritatea
de supraveghere înainte de prelucrarea
datelor cu caracter personal care fac
parte dintr-un sistem nou de evidență a
datelor care urmează a fi creat, în cazul
în care:
(a) | o evaluare a impactului asupra
protecției datelor, prevăzută la articolul
27, indică faptul că prelucrarea ar
genera un risc ridicat în absența
măsurilor luate de operator pentru
atenuarea riscului sau
(b) | un tip de prelucrare, în special în
cazul în care se utilizează noi
tehnologii, mecanisme sau proceduri,
implică un risc ridicat la adresa
drepturilor și libertăților persoanelor
vizate.
(2)   Statele membre garantează că
autoritatea de supraveghere este
consultată în cadrul procesului de
pregătire a unei propuneri de măsură
legislativă care să fie adoptată de un
parlament național sau a unei măsuri de
reglementare întemeiate pe o astfel de
măsură legislativă, care se referă la
prelucrare.
(3)   Statele membre garantează că
autoritatea de supraveghere poate
stabili o listă a operațiunilor de
prelucrare care fac obiectul consultării
prealabile, în conformitate cu alineatul
(1).
(4)   Statele membre garantează că
operatorul transmite autorității de
supraveghere evaluarea impactului
asupra protecției datelor în temeiul
articolului 27 și, la cererea acesteia,
orice altă informație care permite
autorității de supraveghere să evalueze
conformitatea prelucrării și în special
riscurile la adresa protecției datelor cu
caracter personal ale persoanei vizate și
garanțiile aferente.
(5)   Statele membre garantează că
atunci când autoritatea de supraveghere
consideră că prelucrarea preconizată,
menționată la alineatul (1) din prezentul
articol, ar încălca dispozițiile adoptate
în temeiul prezentei directive, în special
în cazul în care riscul nu a fost
identificat sau atenuat într-o măsură
suficientă de către operator, autoritatea
de supraveghere oferă consiliere în
scris operatorului, în termen de cel mult
șase săptămâni de la primirea cererii de
consultare, și, dacă este cazul,
persoanei împuternicite de către
operator, și își poate recurge la oricare
dintre competențele menționate la
articolul 47. Termenul menționat poate
fi prelungit cu o lună, ținându-se seama
de complexitatea prelucrării
preconizate. Autoritatea de
supraveghere informează operatorul și,
dacă este cazul, persoana împuternicită
de către operator, cu privire la
prelungirea termenului respectiv,
personal data and to demonstrate
compliance with this Directive, taking
into account the rights and legitimate
interests of the data subjects and other
persons concerned.
Article 28
Prior consultation of the supervisory
authority
1.   Member States shall provide for the
controller or processor to consult the
supervisory authority prior to
processing which will form part of a
new filing system to be created, where:
(a) | a data protection impact
assessment as provided for in Article 27
indicates that the processing would
result in a high risk in the absence of
measures taken by the controller to
mitigate the risk; or
(b) | the type of processing, in
particular, where using new
technologies, mechanisms or
procedures, involves a high risk to the
rights and freedoms of data subjects.
2.   Member States shall provide for the
supervisory authority to be consulted
during the preparation of a proposal for
a legislative measure to be adopted by
a national parliament or of a regulatory
measure based on such a legislative
measure, which relates to processing.
3.   Member States shall provide that
the supervisory authority may establish
a list of the processing operations
which are subject to prior consultation
pursuant to paragraph 1.
4.   Member States shall provide for the
controller to provide the supervisory
authority with the data protection
impact assessment pursuant to Article
27 and, on request, with any other
information to allow the supervisory
authority to make an assessment of the
compliance of the processing and in
particular of the risks for the protection
of personal data of the data subject and
of the related safeguards.
5.   Member States shall, where the
supervisory authority is of the opinion
that the intended processing referred to
in paragraph 1 of this Article would
infringe the provisions adopted
pursuant to this Directive, in particular
where the controller has insufficiently
identified or mitigated the risk, provide
for the supervisory authority to provide,
within a period of up to six weeks of
receipt of the request for consultation,
written advice to the controller and,
where applicable, to the processor, and
may use any of its powers referred to in
Article 47. That period may be
extended by a month, taking into
account the complexity of the intended
processing. The supervisory authority
shall inform the controller and, where
applicable, the processor of any such
extension within one month of receipt
of the request for consultation,
together with the reasons for the delay.
la protection des données à caractère
personnel et à apporter la preuve du
respect de la présente directive, compte
tenu des droits et des intérêts légitimes
des personnes concernées et des autres
personnes touchées.
Article 28
Consultation préalable de l'autorité de
contrôle
1.   Les États membres prévoient que le
responsable du traitement ou le sous-
traitant consulte l'autorité de contrôle
préalablement au traitement des
données à caractère personnel qui fera
partie d'un nouveau fichier à créer:
a) | lorsqu'une analyse d'impact relative
à la protection des données, telle
qu'elle est prévue à l'article 27, indique
que le traitement présenterait un risque
élevé si le responsable du traitement ne
prenait pas de mesures pour atténuer le
risque; ou
b) | lorsque le type de traitement, en
particulier, en raison de l'utilisation de
nouveaux mécanismes, technologies ou
procédures, présente des risques élevés
pour les libertés et les droits des
personnes concernées.
2.   Les États membres prévoient que
l'autorité de contrôle est consultée dans
le cadre de l'élaboration d'une
proposition de mesure législative
devant être adoptée par un parlement
national ou d'une mesure réglementaire
fondée sur une telle mesure législative
qui se rapporte au traitement.
3.   Les États membres prévoient que
l'autorité de contrôle peut établir une
liste des opérations de traitement
devant faire l'objet d'une consultation
préalable conformément au
paragraphe 1.
4.   Les États membres prévoient que le
responsable du traitement fournit à
l'autorité de contrôle l'analyse d'impact
relative à la protection des données en
vertu de l'article 27 et, sur demande,
toute autre information afin de
permettre à l'autorité de contrôle
d'apprécier la conformité du traitement
et, en particulier, les risques pour la
protection des données à caractère
personnel de la personne concernée et
les garanties qui s'y rapportent.
5.   Les États membres prévoient que,
lorsque l'autorité de contrôle est d'avis
que le traitement prévu, visé au
paragraphe 1 du présent article,
constituerait une violation des
dispositions adoptées en vertu de la
présente directive, en particulier
lorsque le responsable du traitement
n'a pas suffisamment identifié ou
atténué le risque, l'autorité de contrôle
fournit par écrit, dans un délai
maximum de six semaines à compter
de la réception de la demande de
consultation, un avis écrit au
responsable du traitement, et le cas
échéant au sous-traitant, et elle peut
faire usage des pouvoirs visés à
l'article 47. Ce délai peut être prolongé
d'un mois, en fonction de la complexité
du traitement prévu. L'autorité de
contrôle informe le responsable du
traitement et, le cas échéant, le sous-
traitant de toute prorogation dans un
délai d'un mois à compter de la
inclusiv cu privire la motivele
prelungirii, în termen de o lună de la
primirea cererii de consultare.
Secțiunea 2
Securitatea datelor cu caracter personal
Articolul 29
Securitatea prelucrării
(1)   Statele membre garantează că,
având în vedere stadiul actual al
tehnologiei și costurile implementării și
ținând seama de natura,domeniul de
aplicare, contextul și scopurile
prelucrării, precum și de riscurile cu
grade diferite de probabilitate și de
gravitate la adresa drepturilor și
libertăților persoanelor fizice,
operatorul și persoana împuternicită de
acesta implementează măsuri tehnice și
organizatorice adecvate în vederea
asigurării unui nivel de securitate
corespunzător acestui risc, în special în
ceea ce privește prelucrarea categoriilor
speciale de date cu caracter personal
menționate la articolul 10.
(2)   În ceea ce privește prelucrarea
automată, fiecare stat membru
garantează că operatorul sau persoana
împuternicită de către operator pune în
aplicare, în urma unei evaluări a
riscurilor, măsuri menite:
(a) | să împiedice accesul persoanelor
neautorizate la echipamentele de
prelucrare utilizate pentru prelucrare
(„controlul accesului la echipamente”);
(b) | să împiedice orice citire, copiere,
modificare sau eliminare neautorizată a
suporturilor de date („controlul
suporturilor de date”);
(c) | să împiedice introducerea
neautorizată de date cu caracter
personal și inspectarea, modificarea sau
ștergerea neautorizată a datelor cu
caracter personal stocate („controlul
stocării”);
(d) | să împiedice utilizarea sistemelor
de prelucrare automată de către
persoane neautorizate cu ajutorul
echipamentelor de comunicare a datelor
(„controlul utilizatorului”);
(e) | să asigure faptul că persoanele
autorizate să utilizeze un sistem de
prelucrare automată au acces numai la
datele cu caracter personal pentru care
au autorizare („controlul accesului la
date”);
(f) | să asigure că este posibilă
verificarea și identificarea organismelor
cărora le-au fost transmise sau puse la
dispoziție sau s-ar putea să le fie
transmise sau puse la dispoziție date cu
caracter personal utilizându-se
echipamente de comunicare a datelor
(„controlul comunicării”);
(g) | să asigure că este posibil ulterior
să se verifice și să se identifice datele
cu caracter personal introduse în
sistemele de prelucrare automată,
momentul introducerii datelor cu
caracter personal și entitatea care le-a
introdus („controlul introducerii
datelor”);
(h) | să împiedice citirea, copierea,
modificarea sau ștergerea neautorizată
a datelor cu caracter personal în timpul
transferurilor de date cu caracter
Section 2
Security of personal data
Article 29
Security of processing
1.   Member States shall provide for the
controller and the processor, taking
into account the state of the art, the
costs of implementation and the nature,
scope, context and purposes of the
processing as well as the risk of varying
likelihood and severity for the rights
and freedoms of natural persons, to
implement appropriate technical and
organisational measures to ensure a
level of security appropriate to the risk,
in particular as regards the processing
of special categories of personal data
referred to in Article 10.
2.   In respect of automated processing,
each Member State shall provide for the
controller or processor, following an
evaluation of the risks, to implement
measures designed to:
(a) | deny unauthorised persons access
to processing equipment used for
processing (‘equipment access
control’);
(b) | prevent the unauthorised reading,
copying, modification or removal of
data media (‘data media control’);
(c) | prevent the unauthorised input of
personal data and the unauthorised
inspection, modification or deletion of
stored personal data (‘storage control’);
(d) | prevent the use of automated
processing systems by unauthorised
persons using data communication
equipment (‘user control’);
(e) | ensure that persons authorised to
use an automated processing system
have access only to the personal data
covered by their access authorisation
(‘data access control’);
(f) | ensure that it is possible to verify
and establish the bodies to which
personal data have been or may be
transmitted or made available using
data communication equipment
(‘communication control’);
(g) | ensure that it is subsequently
possible to verify and establish which
personal data have been input into
automated processing systems and
when and by whom the personal data
were input (‘input control’);
(h) | prevent the unauthorised reading,
copying, modification or deletion of
personal data during transfers of
réception de la demande de
consultation, ainsi que des motifs du
retard.
Section 2
Sécurité des données
Article 29
Sécurité du traitement
1.   Les États membres prévoient que,
compte tenu de l'état des
connaissances, des coûts de la mise en
œuvre et de la nature, de la portée, du
contexte et des finalités du traitement
ainsi que des risques, dont le degré de
probabilité et de gravité varie, pour les
droits et libertés des personnes
physiques, le responsable du traitement
et le sous-traitant mettent en œuvre les
mesures techniques et
organisationnelles appropriées afin de
garantir un niveau de sécurité adapté
au risque, notamment en ce qui
concerne le traitement portant sur des
catégories particulières de données à
caractère personnel visées à l'article 10.
2.   En ce qui concerne le traitement
automatisé, chaque État membre
prévoit que le responsable du
traitement ou le sous-traitant met en
œuvre, à la suite d'une évaluation des
risques, des mesures destinées à:
a) | empêcher toute personne non
autorisée d'accéder aux installations
utilisées pour le traitement (contrôle de
l'accès aux installations);
b) | empêcher que des supports de
données puissent être lus, copiés,
modifiés ou supprimés de façon non
autorisée (contrôle des supports de
données);
c) | empêcher l'introduction non
autorisée de données à caractère
personnel dans le fichier, ainsi que
l'inspection, la modification ou
l'effacement non autorisé de données à
caractère personnel enregistrées
(contrôle de la conservation);
d) | empêcher que les systèmes de
traitement automatisé puissent être
utilisés par des personnes non
autorisées à l'aide d'installations de
transmission de données (contrôle des
utilisateurs);
e) | garantir que les personnes
autorisées à utiliser un système de
traitement automatisé ne puissent
accéder qu'aux données à caractère
personnel sur lesquelles porte leur
autorisation (contrôle de l'accès aux
données);
f) | garantir qu'il puisse être vérifié et
constaté à quelles instances des
données à caractère personnel ont été
ou peuvent être transmises ou mises à
disposition par des installations de
transmission de données (contrôle de la
transmission);
g) | garantir qu'il puisse être vérifié et
constaté a posteriori quelles données à
caractère personnel ont été introduites
dans les systèmes de traitement
automatisé, et à quel moment et par
quelle personne elles y ont été
introduites (contrôle de l'introduction);
h) | empêcher que, lors de la
transmission de données à caractère
personnel ainsi que lors du transport de
supports de données, les données
personal sau în timpul transportării
suporturilor de date („controlul
transportării”);
(i) | să asigure posibilitatea recuperării
sistemelor instalate în cazul unei
întreruperi („recuperarea”);
(j) | să asigure funcționarea sistemului,
raportarea defecțiunilor de funcționare
(fiabilitate) și imposibilitatea coruperii
datelor cu caracter personal stocate din
cauza funcționării defectuoase a
sistemului („integritate”).
Articolul 30
Notificarea autorității de supraveghere
în cazul încălcării securității datelor cu
caracter personal
(1)   Statele membre garantează că, în
cazul în care are loc o încălcare a
securității datelor cu caracter personal,
operatorul notifică acest lucru
autorității de supraveghere fără
întârzieri nejustificate și, în cazul în
care este posibil, în cel mult 72 de ore
după ce a luat cunoștință de aceasta, cu
excepția cazului în care încălcarea
securității datelor cu caracter personal
nu este susceptibilă să genereze un risc
la adresa drepturilor și libertăților
persoanelor fizice. În cazul notificarea
se efectuează în termen de 72 de ore,
aceasta va fi însoțită de o justificare a
întârzierii.
(2)   Persoana împuternicită de către
operator înștiințează operatorul fără
întârzieri nejustificate după ce ia
cunoștință de o încălcare a securității
datelor cu caracter personal.
(3)   Notificarea menționată la alineatul
(1) trebuie, cel puțin:
(a) | să descrie caracterul încălcării
securității datelor cu caracter personal,
inclusiv, acolo unde este posibil,
categoriile și numărul aproximativ de
persoane vizate în cauză, precum și
categoriile și numărul aproximativ de
înregistrări de date cu caracter personal
în cauză;
(b) | să comunice numele și datele de
contact ale responsabilului cu protecția
datelor sau un alt punct de contact de
unde se pot obține mai multe
informații;
(c) | să descrie consecințele probabile
ale încălcării securității datelor cu
caracter personal;
(d) | să descrie măsurile luate sau
propuse de operator pentru a remedia
încălcarea securității datelor cu caracter
personal, inclusiv, dacă este cazul,
măsuri pentru a atenua eventualele
efecte adverse ale acesteia.
(4)   În cazul în care și în măsura în care
furnizarea informațiilor în același timp
nu este posibilă, informațiile pot fi
furnizate treptat, fără întârzieri
nejustificate.
(5)   Statele membre garantează că
operatorul păstrează documente
referitoare la toate cazurile de încălcare
a securității datelor cu caracter
personal, menționate la alineatul (1),
care cuprind o descriere a situației în
care a avut loc încălcarea securității
datelor cu caracter personal, a efectelor
acesteia și a măsurilor de remediere
personal data or during transportation
of data media (‘transport control’);
(i) | ensure that installed systems may,
in the case of interruption, be restored
(‘recovery’);
(j) | ensure that the functions of the
system perform, that the appearance of
faults in the functions is reported
(‘reliability’) and that stored personal
data cannot be corrupted by means of a
malfunctioning of the system
(‘integrity’).
Article 30
Notification of a personal data breach
to the supervisory authority
1.   Member States shall, in the case of
a personal data breach, provide for the
controller to notify without undue delay
and, where feasible, not later than 72
hours after having become aware of it,
the personal data breach to the
supervisory authority, unless the
personal data breach is unlikely to
result in a risk to the rights and
freedoms of natural persons. Where the
notification to the supervisory authority
is not made within 72 hours, it shall be
accompanied by reasons for the delay.
2.   The processor shall notify the
controller without undue delay after
becoming aware of a personal data
breach.
3.   The notification referred to in
paragraph 1 shall at least:
(a) | describe the nature of the personal
data breach including, where possible,
the categories and approximate number
of data subjects concerned and the
categories and approximate number of
personal data records concerned;
(b) | communicate the name and
contact details of the data protection
officer or other contact point where
more information can be obtained;
(c) | describe the likely consequences of
the personal data breach;
(d) | describe the measures taken or
proposed to be taken by the controller
to address the personal data breach,
including, where appropriate, measures
to mitigate its possible adverse effects.
4.   Where, and in so far as, it is not
possible to provide the information at
the same time, the information may be
provided in phases without undue
further delay.
5.   Member States shall provide for the
controller to document any personal
data breaches referred to in paragraph
1, comprising the facts relating to the
personal data breach, its effects and the
remedial action taken. That
documentation shall enable the
supervisory authority to verify
compliance with this Article.
puissent être lues, copiées, modifiées
ou supprimées de façon non autorisée
(contrôle du transport);
i) | garantir que les systèmes installés
puissent être rétablis en cas
d'interruption (restauration);
j) | garantir que les fonctions du
système opèrent, que les erreurs de
fonctionnement soient signalées
(fiabilité) et que les données à caractère
personnel conservées ne puissent pas
être corrompues par un
dysfonctionnement du système
(intégrité).
Article 30
Notification à l'autorité de contrôle
d'une violation de données à caractère
personnel
1.   Les États membres prévoient qu'en
cas de violation de données à caractère
personnel, le responsable du traitement
notifie la violation en question à
l'autorité de contrôle dans les meilleurs
délais et, si possible, dans un délai de
72 heures au plus tard après en avoir
pris connaissance, à moins qu'il soit
peu probable que la violation en
question n'engendre des risques pour
les droits et les libertés d'une personne
physique. Lorsque la notification à
l'autorité de contrôle n'a pas lieu dans
les 72 heures, elle est accompagnée
des motifs du retard.
2.   Le sous-traitant notifie au
responsable du traitement toute
violation de données à caractère
personnel dans les meilleurs délais
après en avoir pris connaissance.
3.   La notification visée au
paragraphe 1 doit, à tout le moins:
a) | décrire la nature de la violation de
données à caractère personnel y
compris, si possible, les catégories et le
nombre approximatif de personnes
concernées par la violation et les
catégories et le nombre approximatif
d'enregistrements de données à
caractère personnel concernés;
b) | communiquer le nom et les
coordonnées du délégué à la protection
des données ou d'un autre point de
contact auprès duquel des informations
supplémentaires peuvent être obtenues;
c) | décrire les conséquences probables
de la violation de données à caractère
personnel;
d) | décrire les mesures prises ou que le
responsable du traitement propose de
prendre pour remédier à la violation de
données à caractère personnel, y
compris, le cas échéant, les mesures
pour en atténuer les éventuelles
conséquences négatives.
4.   Si et dans la mesure où il n'est pas
possible de fournir toutes les
informations en même temps, les
informations peuvent être
communiquées de manière échelonnée
sans autre retard indu.
5.   Les États membres prévoient que le
responsable du traitement documente
toute violation de données à caractère
personnel visée au paragraphe 1, en
indiquant les faits concernant la
violation des données à caractère
personnel, ses effets et les mesures
prises pour y remédier. La
documentation ainsi constituée permet
întreprinse. Această documentație
trebuie să permită autorității de
supraveghere să verifice respectarea
prezentului articol.
(6)   Statele membre garantează că, în
cazul în care încălcarea securității
datelor implică date cu caracter
personal care au fost transmise de un
operator dintr-un alt stat membru sau
către un astfel de operator, informațiile
prevăzute la alineatul (3) se comunică
operatorului din respectivul stat
membru fără întârzieri nejustificate.
Articolul 31
Informarea persoanei vizate cu privire la
încălcarea securității datelor cu caracter
personal
(1)   Statele membre garantează că, în
cazul în care încălcarea securității
datelor cu caracter personal este
susceptibilă să genereze un risc ridicat
la adresa drepturilor și libertăților
persoanelor fizice, operatorul
informează persoana vizată, fără
întârzieri nejustificate, cu privire la
încălcarea securității datelor cu caracter
personal.
(2)   În informarea transmisă persoanei
vizate, prevăzută la alineatul (1) din
prezentul articol, se include o descriere
într-un limbaj simplu și clar a
caracterului încălcării securității datelor
cu caracter personal, precum și cel
puțin informațiile și măsurile
menționate la articolul 30 alineatul (3)
literele (b), (c) și (d).
(3)   Informarea persoanei vizate,
menționată la alineatul (1), nu este
necesară în cazul în care este
îndeplinită oricare dintre următoarele
condiții:
(a) | operatorul a pus în aplicare măsuri
tehnologice și organizatorice adecvate
de protecție, iar aceste măsuri au fost
aplicate în cazul datelor cu caracter
personal afectate de încălcarea
securității datelor cu caracter personal,
în special măsuri prin care se asigură că
datele cu caracter personal devin
neinteligibile oricărei persoane care nu
este autorizată să le acceseze, cum ar fi
criptarea;
(b) | operatorul a luat măsuri ulterioare
prin care se asigură că riscul ridicat la
adresa drepturilor și libertăților
persoanelor vizate menționat la
alineatul (1) nu mai este susceptibil să
se materializeze;
(c) | aceasta ar necesita un efort
disproporționat. În acest caz,
informarea se înlocuiește printr-o
informare publică sau o măsură similară
prin care persoanele vizate sunt
informate într-un mod la fel de eficace.
(4)   În cazul în care operatorul nu a
informat deja persoana vizată cu privire
la încălcarea securității datelor cu
caracter personal, autoritatea de
supraveghere, luând în considerare
probabilitatea ca încălcarea securității
datelor cu caracter personal să
genereze un risc ridicat, poate să îi
solicite să facă acest lucru sau poate
decide că oricare dintre condițiile
menționate la alineatul (3) sunt
îndeplinite.
(5)   Informarea persoanei vizate
menționată la alineatul (1) din prezentul
6.   Member States shall, where the
personal data breach involves personal
data that have been transmitted by or
to the controller of another Member
State, provide for the information
referred to in paragraph 3 to be
communicated to the controller of that
Member State without undue delay.
Article 31
Communication of a personal data
breach to the data subject
1.   Member States shall, where the
personal data breach is likely to result
in a high risk to the rights and
freedoms of natural persons, provide
for the controller to communicate the
personal data breach to the data
subject without undue delay.
2.   The communication to the data
subject referred to in paragraph 1 of
this Article shall describe in clear and
plain language the nature of the
personal data breach and shall contain
at least the information and measures
referred to in points (b), (c) and (d) of
Article 30(3).
3.   The communication to the data
subject referred to in paragraph 1 shall
not be required if any of the following
conditions are met:
(a) | the controller has implemented
appropriate technological and
organisational protection measures,
and those measures were applied to the
personal data affected by the personal
data breach, in particular those that
render the personal data unintelligible
to any person who is not authorised to
access it, such as encryption;
(b) | the controller has taken
subsequent measures which ensure that
the high risk to the rights and freedoms
of data subjects referred to in
paragraph 1 is no longer likely to
materialise;
(c) | it would involve a disproportionate
effort. In such a case, there shall
instead be a public communication or a
similar measure whereby the data
subjects are informed in an equally
effective manner.
4.   If the controller has not already
communicated the personal data breach
to the data subject, the supervisory
authority, having considered the
likelihood of the personal data breach
resulting in a high risk, may require it
to do so, or may decide that any of the
conditions referred to in paragraph 3
are met.
5.   The communication to the data
subject referred to in paragraph 1 of
à l'autorité de contrôle de vérifier le
respect du présent article.
6.   Les États membres prévoient que,
lorsque la violation de données à
caractère personnel porte sur des
données à caractère personnel qui ont
été transmises par le responsable du
traitement d'un autre État membre ou à
celui-ci, les informations visées au
paragraphe 3 sont communiquées au
responsable du traitement de cet État
membre dans les meilleurs délais.
Article 31
Communication à la personne
concernée d'une violation de données à
caractère personnel
1.   Les États membres prévoient que,
lorsqu'une violation de données à
caractère personnel est susceptible
d'engendrer un risque élevé pour les
droits et les libertés d'une personne
physique, le responsable du traitement
communique la violation à la personne
concernée dans les meilleurs délais.
2.   La communication à la personne
concernée visée au paragraphe 1 du
présent article décrit, en des termes
clairs et simples, la nature de la
violation de données à caractère
personnel et contient au moins les
informations et les mesures visées à
l'article 30, paragraphe 3, points b), c)
et d).
3.   La communication à la personne
concernée visée au paragraphe 1 n'est
pas nécessaire si l'une ou l'autre des
conditions suivantes est remplie:
a) | le responsable du traitement a mis
en œuvre les mesures de protection
techniques et organisationnelles
appropriées et ces dernières ont été
appliquées aux données à caractère
personnel affectées par ladite violation,
en particulier les mesures qui rendent
les données à caractère personnel
incompréhensibles pour toute personne
qui n'est pas autorisée à y avoir accès,
telles que le chiffrement;
b) | le responsable du traitement a pris
des mesures ultérieures qui
garantissent que le risque élevé pour
les droits et les libertés des personnes
concernées visé au paragraphe 1 n'est
plus susceptible de se matérialiser;
c) | elle exigerait des efforts
disproportionnés. Dans ce cas, il est
plutôt procédé à une communication
publique ou à une mesure similaire
permettant aux personnes concernées
d'être informées de manière tout aussi
efficace.
4.   Si le responsable du traitement n'a
pas déjà communiqué à la personne
concernée la violation de données à
caractère personnel la concernant,
l'autorité de contrôle peut, après avoir
examiné si cette violation est
susceptible d'engendrer un risque
élevé, exiger du responsable du
traitement qu'il procède à cette
communication ou décider que l'une ou
l'autre des conditions visées au
paragraphe 3 est remplie.
5.   La communication à la personne
concernée visée au paragraphe 1 du
articol poate fi amânată, restricționată
sau omisă, sub rezerva condițiilor și a
motivelor menționate la articolul 13
alineatul (3).
Secțiunea 3
Responsabilul cu protecția datelor
Articolul 32
Desemnarea responsabilului cu
protecția datelor
(1)   Statele membre garantează că
operatorul desemnează un responsabil
cu protecția datelor. Statele membre
pot scuti de această obligație instanțele
și alte autorități judiciare independente
atunci când acționează în exercițiul
funcției lor judiciare.
(2)   Responsabilul cu protecția datelor
este desemnat pe baza calităților sale
profesionale și, în special, a
cunoștințelor de specialitate în
domeniul legislației și practicilor privind
protecția datelor, precum și pe baza
capacității de a îndeplini sarcinile
prevăzute la articolul 34.
(3)   Un unic responsabil cu protecția
datelor poate fi desemnat pentru mai
multe autorități competente, luând în
considerare structura organizatorică și
dimensiunea acestora.
(4)   Statele membre garantează că
operatorul publică datele de contact ale
responsabilului cu protecția datelor și le
transmite autorității de supraveghere.
Articolul 33
Funcția responsabilului cu protecția
datelor
(1)   Statele membre impun operatorului
să se asigure că responsabilul cu
protecția datelor este consultat în mod
corespunzător și în timp util în toate
aspectele legate de protecția datelor cu
caracter personal.
(2)   Operatorul sprijină responsabilul
cu protecția datelor în îndeplinirea
sarcinilor menționate la articolul 34,
asigurându-i resursele necesare pentru
executarea acestor sarcini, precum și
accesul la datele cu caracter personal și
la operațiunile de prelucrare, și să își
mențină cunoștințele de specialitate.
Articolul 34
Sarcinile responsabilului cu protecția
datelor
Statele membre garantează că
operatorul încredințează
responsabilului cu protecția datelor cel
puțin următoarele sarcini:
(a) | informarea și consilierea
operatorului și a angajaților care
efectuează prelucrarea cu privire la
obligațiile care le revin în temeiul
prezentei directive și al altor dispoziții
de drept al Uniunii sau de drept intern
privind protecția datelor;
(b) | monitorizarea respectării prezentei
directive, a altor dispoziții de drept al
Uniunii sau de drept intern privind
protecția datelor și a politicilor
operatorului în ceea ce privește
protecția datelor cu caracter personal,
inclusiv alocarea responsabilităților și
acțiunile de sensibilizare și de formare
this Article may be delayed, restricted
or omitted subject to the conditions
and on the grounds referred to in
Article 13(3).
Section 3
Data protection officer
Article 32
Designation of the data protection
officer
1.   Member States shall provide for the
controller to designate a data
protection officer. Member States may
exempt courts and other independent
judicial authorities when acting in their
judicial capacity from that obligation.
2.   The data protection officer shall be
designated on the basis of his or her
professional qualities and, in particular,
his or her expert knowledge of data
protection law and practice and ability
to fulfil the tasks referred to in Article
34.
3.   A single data protection officer may
be designated for several competent
authorities, taking account of their
organisational structure and size.
4.   Member States shall provide for the
controller to publish the contact details
of the data protection officer and
communicate them to the supervisory
authority.
Article 33
Position of the data protection officer
1.   Member States shall provide for the
controller to ensure that the data
protection officer is involved, properly
and in a timely manner, in all issues
which relate to the protection of
personal data.
2.   The controller shall support the
data protection officer in performing
the tasks referred to in Article 34 by
providing resources necessary to carry
out those tasks and access to personal
data and processing operations, and to
maintain his or her expert knowledge.
Article 34
Tasks of the data protection officer
Member States shall provide for the
controller to entrust the data protection
officer at least with the following tasks:
(a) | to inform and advise the controller
and the employees who carry out
processing of their obligations pursuant
to this Directive and to other Union or
Member State data protection
provisions;
(b) | to monitor compliance with this
Directive, with other Union or Member
State data protection provisions and
with the policies of the controller in
relation to the protection of personal
data, including the assignment of
responsibilities, awareness-raising and
présent article peut être retardée,
limitée ou omise, sous réserve des
conditions et pour les motifs visés à
l'article 13, paragraphe 3.
Section 3
Délégué à la protection des données
Article 32
Désignation du délégué à la protection
des données
1.   Les États membres prévoient que le
responsable du traitement désigne un
délégué à la protection des données.
Les États membres peuvent dispenser
les tribunaux et d'autres autorités
judiciaires indépendantes de cette
obligation lorsqu'elles agissent dans
l'exercice de leur fonction
juridictionnelle.
2.   Le délégué à la protection des
données est désigné sur la base de ses
qualités professionnelles et, en
particulier, de ses connaissances
spécialisées du droit et des pratiques
en matière de protection des données,
et de sa capacité à exercer les missions
visées à l'article 34.
3.   Un seul délégué à la protection des
données peut être désigné pour
plusieurs autorités compétentes,
compte tenu de leur structure
organisationnelle et de leur taille.
4.   Les États membres prévoient que le
responsable du traitement publie les
coordonnées du délégué à la protection
des données et les communique à
l'autorité de contrôle.
Article 33
Fonction du délégué à la protection des
données
1.   Les États membres prévoient que le
responsable du traitement veille à ce
que le délégué à la protection des
données soit associé, d'une manière
appropriée et en temps utile, à toutes
les questions relatives à la protection
des données à caractère personnel.
2.   Le responsable du traitement aide
le délégué à la protection des données
à exercer les missions visées à
l'article 34 en fournissant les ressources
nécessaires pour exercer ces missions
ainsi que l'accès aux données à
caractère personnel et aux traitements,
et lui permettant d'entretenir ses
connaissances spécialisées.
Article 34
Missions du délégué à la protection des
données
Les États membres prévoient que le
responsable du traitement confie au
délégué à la protection des données au
moins les missions suivantes:
a) | informer et conseiller le
responsable du traitement et les
employés qui procèdent au traitement
sur les obligations qui leur incombent
en vertu de la présente directive et
d'autres dispositions du droit de l'Union
ou du droit des États membres en
matière de protection des données;
b) | contrôler le respect de la présente
directive, d'autres dispositions du droit
de l'Union ou du droit des États
membres en matière de protection des
données et des règles internes du
responsable du traitement en matière
de protection des données à caractère
personnel, y compris en ce qui
a personalului implicat în operațiunile
de prelucrare, precum și auditurile
aferente;
(c) | furnizarea de consiliere la cerere în
ceea ce privește evaluarea impactului
asupra protecției datelor și
monitorizarea funcționării acesteia, în
conformitate cu articolul 27;
(d) | cooperarea cu autoritatea de
supraveghere;
(e) | asumarea rolului de punct de
contact pentru autoritatea de
supraveghere privind aspectele legate
de prelucrare, inclusiv consultarea
prealabilă menționată la articolul 28,
precum și, dacă este cazul, acordarea
consultanței cu privire la orice altă
chestiune.
CAPITOLUL V
Transferurile de date cu caracter
personal către țări terțe sau organizații
internaționale
Articolul 35
Principii generale pentru transferurile
de date cu caracter personal
(1)   Statele membre garantează că orice
transfer de date cu caracter personal de
către autoritățile competente, care sunt
în curs de prelucrare sau care sunt
destinate prelucrării după transferul
către o țară terță sau către o organizație
internațională, inclusiv transferurilor
ulterioare către o altă țară terță sau
organizație internațională, poate avea
loc numai sub rezerva respectării altor
dispoziții ale prezentei directive, în
cazul în care sunt îndeplinite condițiile
prevăzute în prezentul capitol, și
anume:
(a) | transferul este necesar în scopurile
stabilite la articolul 1 alineatul (1);
(b) | datele cu caracter personal sunt
transferate unui operator într-o țară
terță sau unei organizații internaționale
care este o autoritate competentă în
sensul articolului 1 alineatul (1);
(c) | în cazul în care datele cu caracter
personal sunt transmise sau puse la
dispoziție din alt stat membru, acel stat
membru a autorizat în prealabil
efectuarea transferului, în conformitate
cu dreptul său intern;
(d) | Comisia a adoptat o decizie privind
caracterul adecvat al nivelului de
protecție, în temeiul articolului 36, sau,
în absența unei astfel de decizii, există
sau se oferă garanții adecvate în
temeiul articolului 37 sau, în absența
unei decizii privind caracterul adecvat al
nivelului de protecție în conformitate cu
articolul 36 sau a unor garanții adecvate
în conformitate cu articolul 37, se aplică
derogări pentru situații speciale în
conformitate cu articolul 38; și
(e) | în cazul unui transfer ulterior către
o altă țară terță sau organizație
internațională, autoritatea competentă
care a realizat transferul inițial sau o
altă autoritate competentă din același
stat membru autorizează transferul
ulterior, ținând seama în mod
corespunzător de toți factorii relevanți,
inclusiv de gravitatea infracțiunii, de
training of staff involved in processing
operations, and the related audits;
(c) | to provide advice where requested
as regards the data protection impact
assessment and monitor its
performance pursuant to Article 27;
(d) | to cooperate with the supervisory
authority;
(e) | to act as the contact point for the
supervisory authority on issues relating
to processing, including the prior
consultation referred to in Article 28,
and to consult, where appropriate, with
regard to any other matter.
CHAPTER V
Transfers of personal data to third
countries or international organisations
Article 35
General principles for transfers of
personal data
1.   Member States shall provide for any
transfer by competent authorities of
personal data which are undergoing
processing or are intended for
processing after transfer to a third
country or to an international
organisation including for onward
transfers to another third country or
international organisation to take place,
subject to compliance with the national
provisions adopted pursuant to other
provisions of this Directive, only where
the conditions laid down in this Chapter
are met, namely:
(a) | the transfer is necessary for the
purposes set out in Article 1(1);
(b) | the personal data are transferred
to a controller in a third country or
international organisation that is an
authority competent for the purposes
referred to in Article 1(1);
(c) | where personal data are
transmitted or made available from
another Member State, that Member
State has given its prior authorisation to
the transfer in accordance with its
national law;
(d) | the Commission has adopted an
adequacy decision pursuant to Article
36, or, in the absence of such a
decision, appropriate safeguards have
been provided or exist pursuant to
Article 37, or, in the absence of an
adequacy decision pursuant to Article
36 and of appropriate safeguards in
accordance with Article 37, derogations
for specific situations apply pursuant to
Article 38; and
(e) | in the case of an onward transfer to
another third country or international
organisation, the competent authority
that carried out the original transfer or
another competent authority of the
same Member State authorises the
onward transfer, after taking into due
account all relevant factors, including
the seriousness of the criminal offence,
concerne la répartition des
responsabilités, la sensibilisation et la
formation du personnel participant à
des opérations de traitement, et les
audits s'y rapportant;
c) | dispenser des conseils, sur
demande, en ce qui concerne l'analyse
d'impact relative à la protection des
données et vérifier l'exécution de celle-
ci en vertu de l'article 27;
d) | coopérer avec l'autorité de contrôle;
e) | faire office de point de contact pour
l'autorité de contrôle sur les questions
relatives au traitement, y compris la
consultation préalable visée à
l'article 28, et mener des consultations,
le cas échéant, sur tout autre sujet.
CHAPITRE V
Transferts de données à caractère
personnel vers des pays tiers ou à des
organisations internationales
Article 35
Principes généraux applicables aux
transferts de données à caractère
personnel
1.   Les États membres prévoient qu'un
transfert, par des autorités
compétentes, de données à caractère
personnel qui font ou sont destinées à
faire l'objet d'un traitement après leur
transfert vers un pays tiers ou à une
organisation internationale, y compris
des transferts ultérieurs vers un autre
pays tiers ou à une autre organisation
internationale, n'a lieu, sous réserve du
respect des dispositions nationales
adoptées en application d'autres
dispositions de la présente directive,
que lorsque les conditions définies dans
le présent chapitre sont respectées, à
savoir:
a) | le transfert est nécessaire aux fins
énoncées à l'article 1er, paragraphe 1;
b) | les données à caractère personnel
sont transférées à un responsable du
traitement dans un pays tiers ou à une
organisation internationale qui est une
autorité compétente aux fins visées à
l'article 1er, paragraphe 1;
c) | en cas de transmission ou de mise à
disposition de données à caractère
personnel provenant d'un autre État
membre, celui-ci a préalablement
autorisé ce transfert conformément à
son droit national;
d) | la Commission a adopté une
décision d'adéquation en application de
l'article 36, ou, en l'absence d'une telle
décision, des garanties appropriées ont
été prévues ou existent en application
de l'article 37 ou, en l'absence de
décision d'adéquation au titre de
l'article 36 et de garanties appropriées
conformément à l'article 37, des
dérogations pour des situations
particulières s'appliquent en vertu de
l'article 38; et
e) | en cas de transfert ultérieur vers un
autre pays tiers ou à une autre
organisation internationale, l'autorité
compétente qui a procédé au transfert
initial ou une autre autorité compétente
du même État membre autorise le
transfert ultérieur, après avoir dûment
pris en considération l'ensemble des
facteurs pertinents, y compris la gravité
scopul în care datele cu caracter
personal au fost transferate inițial și de
nivelul de protecție a datelor cu caracter
personal din țara terță sau din
organizația internațională către care
sunt transferate ulterior datele cu
caracter personal.
(2)   Statele membre garantează că
transferurile fără autorizarea prealabilă
de către un alt stat membru, în
conformitate cu litera (c) de la alineatul
(1), sunt permise numai dacă transferul
de date cu caracter personal este
necesar pentru prevenirea unei
amenințări imediate și grave la adresa
securității publice a unui stat membru
sau a unei țări terțe sau a intereselor
fundamentale ale unui stat membru, iar
autorizarea prealabilă nu poate fi
obținută în timp util. Autoritatea
responsabilă pentru acordarea unei
autorizări prealabile este informată fără
întârziere.
(3)   Toate dispozițiile din prezentul
capitol se aplică pentru a se asigura că
nivelul de protecție a persoanelor fizice
garantat prin prezenta directivă nu este
subminat.
Articolul 36
Transferuri în baza unei decizii privind
caracterul adecvat al nivelului de
protecție
(1)   Statele membre garantează că
transferul de date cu caracter personal
către o țară terță sau o organizație
internațională se poate realiza atunci
când Comisia a decis că țara terță, un
teritoriu ori unul sau mai multe
sectoare determinate din acea țară terță
sau organizația internațională în cauză
asigură un nivel de protecție adecvat.
Transferurile realizate în aceste condiții
nu necesită autorizări speciale.
(2)   Atunci când evaluează caracterul
adecvat al nivelului de protecție,
Comisia ține seama, în special, de
următoarele elemente:
(a) | statul de drept, respectarea
drepturilor omului și a libertăților
fundamentale, legislația relevantă, atât
generală, cât și sectorială, inclusiv
privind securitatea publică, apărarea,
securitatea națională și dreptul penal și
accesul autorităților publice la datele cu
caracter personal, precum și punerea în
aplicare a acestei legislații, a normelor
de protecție a datelor, a normelor
profesionale și a măsurilor de
securitate, inclusiv a normelor privind
transferul ulterior de date cu caracter
personal către o altă țară terță sau
organizație internațională, care sunt
respectate în țara respectivă sau de
organizația internațională respectivă,
jurisprudența, precum și drepturile
efective și opozabile ale persoanelor
vizate și reparații efective pe cale
administrativă și judiciară pentru
persoanele vizate ale căror date cu
caracter personal sunt transferate;
(b) | existența și funcționarea efectivă a
uneia sau a mai multor autorități de
the purpose for which the personal data
was originally transferred and the level
of personal data protection in the third
country or an international organisation
to which personal data are onward
transferred.
2.   Member States shall provide for
transfers without the prior authorisation
by another Member State in accordance
with point (c) of paragraph 1 to be
permitted only if the transfer of the
personal data is necessary for the
prevention of an immediate and serious
threat to public security of a Member
State or a third country or to essential
interests of a Member State and the
prior authorisation cannot be obtained
in good time. The authority responsible
for giving prior authorisation shall be
informed without delay.
3.   All provisions in this Chapter shall
be applied in order to ensure that the
level of protection of natural persons
ensured by this Directive is not
undermined.
Article 36
Transfers on the basis of an adequacy
decision
1.   Member States shall provide that a
transfer of personal data to a third
country or an international organisation
may take place where the Commission
has decided that the third country, a
territory or one or more specified
sectors within that third country, or the
international organisation in question
ensures an adequate level of protection.
Such a transfer shall not require any
specific authorisation.
2.   When assessing the adequacy of the
level of protection, the Commission
shall, in particular, take account of the
following elements:
(a) | the rule of law, respect for human
rights and fundamental freedoms,
relevant legislation, both general and
sectoral, including concerning public
security, defence, national security and
criminal law and the access of public
authorities to personal data, as well as
the implementation of such legislation,
data protection rules, professional rules
and security measures, including rules
for the onward transfer of personal data
to another third country or international
organisation, which are complied with
in that country or international
organisation, case-law, as well as
effective and enforceable data subject
rights and effective administrative and
judicial redress for the data subjects
whose personal data are transferred;
(b) | the existence and effective
functioning of one or more independent
de l'infraction pénale, la finalité pour
laquelle les données à caractère
personnel ont été transférées
initialement et le niveau de protection
des données à caractère personnel dans
le pays tiers ou au sein de l'organisation
internationale vers lequel/laquelle les
données à caractère personnel sont
transférées ultérieurement.
2.   Les États membres prévoient que
les transferts effectués sans
l'autorisation préalable d'un autre État
membre prévue au paragraphe 1,
point c), sont autorisés uniquement
lorsque le transfert de données à
caractère personnel est nécessaire aux
fins de la prévention d'une menace
grave et immédiate pour la sécurité
publique d'un État membre ou d'un
pays tiers ou pour les intérêts essentiels
d'un État membre et si l'autorisation
préalable ne peut pas être obtenue en
temps utile. L'autorité à laquelle il
revient d'accorder l'autorisation
préalable est informée sans retard.
3.   Toutes les dispositions du présent
chapitre sont appliquées de manière
que le niveau de protection des
personnes physiques assuré par la
présente directive ne soit pas
compromis.
Article 36
Transferts sur la base d'une décision
d'adéquation
1.   Les États membres prévoient qu'un
transfert de données à caractère
personnel vers un pays tiers ou à une
organisation internationale peut avoir
lieu lorsque la Commission a constaté
par voie de décision que le pays tiers,
un territoire ou un ou plusieurs
secteurs déterminés dans ce pays tiers,
ou l'organisation internationale en
question assure un niveau de protection
adéquat. Un tel transfert ne nécessite
pas d'autorisation spécifique.
2.   Lorsqu'elle évalue le caractère
adéquat du niveau de protection, la
Commission tient compte en particulier
des éléments suivants:
a) | l'état de droit, le respect des droits
de l'homme et des libertés
fondamentales, la législation
pertinente, tant générale que
sectorielle, y compris en ce qui
concerne la sécurité publique, la
défense, la sécurité nationale et le droit
pénal ainsi que l'accès des autorités
publiques aux données à caractère
personnel, de même que la mise en
œuvre de ladite législation, les règles
en matière de protection des données,
les règles professionnelles et les
mesures de sécurité, y compris les
règles relatives au transfert ultérieur de
données à caractère personnel vers un
autre pays tiers ou à une autre
organisation internationale qui sont
respectées dans le pays tiers ou par
l'organisation internationale en
question, la jurisprudence, ainsi que les
droits effectifs et opposables dont
bénéficient les personnes concernées et
les recours administratifs et judiciaires
que peuvent effectivement introduire
les personnes concernées dont les
données à caractère personnel sont
transférées;
b) | l'existence et le fonctionnement
effectif d'une ou de plusieurs autorités
supraveghere independente în țara terță
sau sub incidența cărora intră o
organizație internațională, cu
responsabilitate pentru asigurarea și
impunerea respectării normelor de
protecție a datelor, incluzând
competențe adecvate de sancționare,
pentru acordarea de asistență și
consiliere persoanelor vizate cu privire
la exercitarea drepturilor acestora și
pentru cooperarea cu autoritățile de
supraveghere din statele membre; și
(c) | angajamentele internaționale la
care a aderat țara terță sau organizația
internațională în cauză sau alte obligații
care decurg din convenții sau
instrumente cu caracter juridic
obligatoriu, precum și participarea
acesteia la sisteme multilaterale sau
regionale, mai ales în domeniul
protecției datelor cu caracter personal.
(3)   Comisia, după ce evaluează
caracterul adecvat al nivelului de
protecție, poate decide, prin
intermediul unui act de punere în
aplicare, că o țară terță, un teritoriu sau
unul sau mai multe sectoare
determinate dintr-o țară terță sau o
organizație internațională asigură un
nivel de protecție adecvat în sensul
alineatului (2) din prezentul articol.
Actul de punere în aplicare prevede un
mecanism de revizuire periodică, cel
puțin o dată la patru ani, care ia în
considerare toate evoluțiile relevante
din țara terță sau organizația
internațională. Actul de punere în
aplicare menționează aplicarea sa
teritorială și sectorială și, după caz,
identifică autoritatea sau autoritățile de
supraveghere menționate la alineatul (2)
litera (b) din prezentul articol. Actul de
punere în aplicare se adoptă în
conformitate cu procedura de
examinare menționată la articolul 58
alineatul (2).
(4)   Comisia monitorizează în
permanență evoluțiile din țările terțe și
organizațiile internaționale care ar
putea afecta funcționarea deciziilor
adoptate în conformitate cu alineatul
(3).
(5)   În cazul în care din informațiile
disponibile, în special în urma revizuirii
menționate la alineatul (3) din prezentul
articol, reiese că o țară terță, un
teritoriu sau un sector determinat
dintr-o țară terță sau o organizație
internațională nu mai asigură un nivel
de protecție adecvat în sensul
alineatului (2) din prezentul articol,
Comisia, în măsura în care este necesar,
abrogă, modifică sau suspendă, prin
intermediul unor acte de punere în
aplicare, decizia menționată la
alineatul (3) din prezentul articol fără
efect retroactiv. Actele de punere în
aplicare respective se adoptă în
conformitate cu procedura de
examinare menționată la articolul 58
alineatul (2).
Din motive imperioase de urgență
justificate corespunzător, Comisia
adoptă acte de punere în aplicare
imediat aplicabile în conformitate cu
procedura menționată la articolul 58
alineatul (3).
(6)   Comisia inițiază consultări cu țara
terță sau organizația internațională în
vederea remedierii situației care a stat
supervisory authorities in the third
country or to which an international
organisation is subject, with
responsibility for ensuring and
enforcing compliance with data
protection rules, including adequate
enforcement powers, for assisting and
advising data subjects in exercising
their rights and for cooperation with the
supervisory authorities of the Member
States; and
(c) | the international commitments the
third country or international
organisation concerned has entered
into, or other obligations arising from
legally binding conventions or
instruments as well as from its
participation in multilateral or regional
systems, in particular in relation to the
protection of personal data.
3.   The Commission, after assessing
the adequacy of the level of protection,
may decide, by means of implementing
act, that a third country, a territory or
one or more specified sectors within a
third country, or an international
organisation ensures an adequate level
of protection within the meaning of
paragraph 2 of this Article. The
implementing act shall provide a
mechanism for periodic review, at least
every four years, which shall take into
account all relevant developments in
the third country or international
organisation. The implementing act
shall specify its territorial and sectoral
application and, where applicable,
identify the supervisory authority or
authorities referred to in point (b) of
paragraph 2 of this Article. The
implementing act shall be adopted in
accordance with the examination
procedure referred to in Article 58(2).
4.   The Commission shall, on an
ongoing basis, monitor developments
in third countries and international
organisations that could affect the
functioning of decisions adopted
pursuant to paragraph 3.
5.   The Commission shall, where
available information reveals, in
particular following the review referred
to in paragraph 3 of this Article, that a
third country, a territory or one or more
specified sectors within a third country,
or an international organisation no
longer ensures an adequate level of
protection within the meaning of
paragraph 2 of this Article, to the
extent necessary, repeal, amend or
suspend the decision referred to in
paragraph 3 of this Article by means of
implementing acts without retro-active
effect. Those implementing acts shall
be adopted in accordance with the
examination procedure referred to in
Article 58(2).
On duly justified imperative grounds of
urgency, the Commission shall adopt
immediately applicable implementing
acts in accordance with the procedure
referred to in Article 58(3).
6.   The Commission shall enter into
consultations with the third country or
international organisation with a view to
de contrôle indépendantes dans le pays
tiers, ou auxquelles une organisation
internationale est soumise, chargées
d'assurer le respect des règles en
matière de protection des données et
de les faire appliquer, y compris par des
pouvoirs appropriés d'application
desdites règles, d'assister et de
conseiller les personnes concernées
dans l'exercice de leurs droits et de
coopérer avec les autorités de contrôle
des États membres; et
c) | les engagements internationaux
pris par le pays tiers ou l'organisation
internationale en question, ou d'autres
obligations découlant de conventions
ou d'instruments juridiquement
contraignants et de sa participation à
des systèmes multilatéraux ou
régionaux, en particulier en ce qui
concerne la protection des données à
caractère personnel.
3.   La Commission, après avoir évalué
le caractère adéquat du niveau de
protection, peut constater au moyen
d'un acte d'exécution qu'un pays tiers,
un territoire ou un ou plusieurs
secteurs déterminés dans un pays tiers
en question, ou une organisation
internationale, assure un niveau de
protection adéquat au sens du
paragraphe 2 du présent article. L'acte
d'exécution prévoit un mécanisme
d'examen périodique, au moins tous les
quatre ans, qui prend en compte toutes
les évolutions pertinentes dans le pays
tiers ou au sein de l'organisation
internationale. L'acte d'exécution
précise son champ d'application
territorial et sectoriel et, le cas échéant,
nomme la ou des autorités de contrôle
visées au paragraphe 2, point b), du
présent article. L'acte d'exécution est
adopté en conformité avec la procédure
d'examen visée à l'article 58,
paragraphe 2.
4.   La Commission suit, de manière
permanente, les évolutions dans les
pays tiers et au sein des organisations
internationales qui pourraient porter
atteinte au fonctionnement des
décisions adoptées en vertu du
paragraphe 3.
5.   Lorsque les informations
disponibles révèlent, en particulier à la
suite de l'examen visé au paragraphe 3
du présent article, qu'un pays tiers, un
territoire ou un ou plusieurs secteurs
déterminés dans un pays tiers, ou une
organisation internationale n'assure
plus un niveau de protection adéquat
au sens du paragraphe 2 du présent
article, la Commission abroge, modifie
ou suspend, si nécessaire, la décision
visée au paragraphe 3 du présent article
par voie d'actes d'exécution sans effet
rétroactif. Ces actes d'exécution sont
adoptés en conformité avec la
procédure d'examen visée à l'article 58,
paragraphe 2.
Pour des raisons d'urgence impérieuses
dûment justifiées, la Commission
adopte des actes d'exécution
immédiatement applicables en
conformité avec la procédure visée à
l'article 58, paragraphe 3.
6.   La Commission engage des
consultations avec le pays tiers ou
l'organisation internationale en vue de
la baza deciziei luate în conformitate cu
alineatul (5).
(7)   Statele membre garantează că o
decizie luată în temeiul alineatului (5)
nu aduce atingere transferurilor de date
cu caracter personal către țara terță,
către teritoriul sau către unul sau mai
multe sectoare determinate din acea
țară terță sau către organizația
internațională în cauză în conformitate
cu articolele 37 și 38.
(8)   Comisia publică în Jurnalul Oficial
al Uniunii Europene și pe site-ul său
web o listă a țărilor terțe, a teritoriilor și
sectoarelor determinate din țările terțe
și a organizațiilor internaționale în
cazul cărora a decis că nivelul de
protecție adecvat este asigurat sau nu
mai este asigurat.
Articolul 37
Transferuri sub rezerva unor garanții
adecvate
(1)   În absența unei decizii luate în
conformitate cu articolul 36 alineatul
(3), statele membre garantează că
transferul de date cu caracter personal
către o țară terță sau către o organizație
internațională poate avea loc atunci
când:
(a) | s-au prezentat garanții adecvate în
ceea ce privește protecția datelor cu
caracter personal printr-un act cu
caracter juridic obligatoriu; sau
(b) | operatorul a evaluat toate
circumstanțele aferente transferului de
date cu caracter personal și a
concluzionat că există garanții adecvate
în ceea ce privește protecția datelor cu
caracter personal.
(2)   Operatorul informează autoritatea
de supraveghere cu privire la categoriile
de transferuri în temeiul alineatului (1)
litera (b).
(3)   Atunci când un transfer se
întemeiază pe alineatul (1) litera (b), un
astfel de transfer se documentează, iar
documentația se pune la dispoziția
autorității de supraveghere la cerere,
incluzând data și ora transferului,
informații cu privire la autoritatea
competentă destinatară, justificarea
transferului și datele cu caracter
personal transferate.
Articolul 38
Derogări pentru situații specifice
(1)   În absența unei decizii privind
caracterul adecvat al nivelului de
protecție în conformitate cu articolul 37
sau a unor garanții adecvate în
conformitate cu articolul 36, statele
membre garantează că un transfer sau
o categorie de transferuri de date cu
caracter personal către o țară terță sau
către o organizație internațională poate
avea loc numai în condițiile în care
transferul este necesar:
(a) | pentru protejarea intereselor vitale
ale persoanei vizate sau ale unei alte
persoane;
(b) | pentru protejarea intereselor
legitime ale persoanei vizate, în cazul în
care dreptul statului membru care
transferă datele cu caracter personal
prevede acest lucru;
remedying the situation giving rise to
the decision made pursuant to
paragraph 5.
7.   Member States shall provide for a
decision pursuant to paragraph 5 to be
without prejudice to transfers of
personal data to the third country, the
territory or one or more specified
sectors within that third country, or the
international organisation in question
pursuant to Articles 37 and 38.
8.   The Commission shall publish in
the Official Journal of the European
Union and on its website a list of the
third countries, territories and specified
sectors within a third country and
international organisations for which it
has decided that an adequate level of
protection is or is no longer ensured.
Article 37
Transfers subject to appropriate
safeguards
1.   In the absence of a decision
pursuant to Article 36(3), Member
States shall provide that a transfer of
personal data to a third country or an
international organisation may take
place where:
(a) | appropriate safeguards with regard
to the protection of personal data are
provided for in a legally binding
instrument; or
(b) | the controller has assessed all the
circumstances surrounding the transfer
of personal data and concludes that
appropriate safeguards exist with
regard to the protection of personal
data.
2.   The controller shall inform the
supervisory authority about categories
of transfers under point (b) of
paragraph 1.
3.   When a transfer is based on point
(b) of paragraph 1, such a transfer shall
be documented and the documentation
shall be made available to the
supervisory authority on request,
including the date and time of the
transfer, information about the
receiving competent authority, the
justification for the transfer and the
personal data transferred.
Article 38
Derogations for specific situations
1.   In the absence of an adequacy
decision pursuant to Article 36, or of
appropriate safeguards pursuant to
Article 37, Member States shall provide
that a transfer or a category of transfers
of personal data to a third country or an
international organisation may take
place only on the condition that the
transfer is necessary:
(a) | in order to protect the vital
interests of the data subject or another
person;
(b) | to safeguard legitimate interests of
the data subject, where the law of the
Member State transferring the personal
data so provides;
remédier à la situation donnant lieu à la
décision adoptée en vertu du
paragraphe 5.
7.   Les États membres prévoient qu'une
décision adoptée en vertu du
paragraphe 5 est sans préjudice des
transferts de données à caractère
personnel vers le pays tiers, le territoire
ou un ou plusieurs secteurs déterminés
dans ce pays tiers, ou à l'organisation
internationale en question, effectués en
application des articles 37 et 38.
8.   La Commission publie au Journal
officiel de l'Union européenne et sur
son site internet une liste des pays
tiers, des territoires et des secteurs
déterminés dans un pays tiers et des
organisations internationales pour
lesquels elle a constaté par voie de
décision qu'un niveau de protection
adéquat est ou n'est plus assuré.
Article 37
Transferts moyennant des garanties
appropriées
1.   En l'absence de décision en vertu de
l'article 36, paragraphe 3, les États
membres prévoient qu'un transfert de
données à caractère personnel vers un
pays tiers ou à une organisation
internationale peut avoir lieu lorsque:
a) | des garanties appropriées en ce qui
concerne la protection des données à
caractère personnel sont fournies dans
un instrument juridiquement
contraignant; ou
b) | le responsable du traitement a
évalué toutes les circonstances du
transfert et estime qu'il existe des
garanties appropriées au regard de la
protection des données à caractère
personnel.
2.   Le responsable du traitement
informe l'autorité de contrôle des
catégories de transferts relevant du
paragraphe 1, point b).
3.   Lorsqu'un transfert est effectué sur
la base du paragraphe 1, point b), ce
transfert est documenté et la
documentation est mise à la disposition
de l'autorité de contrôle, sur demande,
et comporte la date et l'heure du
transfert, des informations sur l'autorité
compétente destinataire, la justification
du transfert et les données à caractère
personnel transférées.
Article 38
Dérogations pour des situations
particulières
1.   En l'absence de décision
d'adéquation en vertu de l'article 36 ou
de garanties appropriées en vertu de
l'article 37, les États membres prévoient
qu'un transfert ou une catégorie de
transferts de données à caractère
personnel vers un pays tiers ou à une
organisation internationale ne peut
avoir lieu qu'à condition que le transfert
soit nécessaire:
a) | à la sauvegarde des intérêts vitaux
de la personne concernée ou d'une
autre personne;
b) | à la sauvegarde des intérêts
légitimes de la personne concernée
lorsque le droit de l'État membre
transférant les données à caractère
personnel le prévoit;
(c) | pentru prevenirea unei amenințări
imediate și grave la adresa securității
publice a unui stat membru sau a unei
țări terțe;
(d) | în cazuri individuale în scopurile
stabilite la articolul 1 alineatul (1); sau
(e) | într-un caz individual pentru
constatarea, exercitarea sau apărarea
unui drept în instanță privind scopurile
stabilite la articolul 1 alineatul (1).
(2)   Datele cu caracter personal nu sunt
transferate dacă autoritatea competentă
care transferă datele stabilește că
drepturile și libertățile fundamentale ale
persoanei vizate în cauză prevalează
asupra interesului public în cazul
transferului prevăzut la alineatul (1)
literele (d) și (e).
(3)   Atunci când un transfer se
întemeiază pe alineatul (1), un astfel de
transfer trebuie să fie documentat, iar
documentația trebuie pusă la dispoziția
autorității de supraveghere la cerere,
incluzând data și ora transferului,
informații cu privire la autoritatea
competentă destinatară, justificarea
transferului și datele cu caracter
personal transferate.
Articolul 39
Transferurile de date cu caracter
personal către destinatari stabiliți în țări
terțe
(1)   Prin derogare de la articolul 35
alineatul (1) litera (b) și fără a aduce
atingere niciunui acord internațional
menționat la alineatul (2) din prezentul
articol, dreptul Uniunii sau dreptul
intern poate să prevadă că autoritățile
competente menționate la articolul 3
punctul 7 litera (a) pot, în cazuri
individuale și specifice, transfera date
cu caracter personal direct
destinatarilor stabiliți în țări terțe, dar
numai în cazul în care celelalte
dispoziții ale prezentei directive sunt
respectate și dacă sunt îndeplinite
următoarele condiții:
(a) | transferul este strict necesar pentru
executarea unei sarcini de către
autoritatea competentă care transferă
datele, astfel cum este prevăzut de
dreptul Uniunii sau de dreptul intern în
scopurile prevăzute la articolul 1
alineatul (1);
(b) | autoritatea competentă care
transferă datele stabilește că niciunul
dintre drepturile și libertățile
fundamentale ale persoanei vizate în
cauză nu prevalează în fața interesului
public care necesită transferul în cazul
respectiv;
(c) | autoritatea competentă care
transferă datele consideră că transferul
către o autoritate din țara terță, care
este competentă în scopurile
menționate la articolul 1 alineatul (1),
este ineficient sau necorespunzător, în
special din cauză că transferul nu poate
fi realizat în timp util;
(d) | autoritatea din țara terță, care este
competentă în scopurile menționate la
articolul 1 alineatul (1), este informată
fără întârzieri nejustificate, cu excepția
cazului în care această măsură este
ineficientă sau necorespunzătoare; și
(c) | for the prevention of an immediate
and serious threat to public security of
a Member State or a third country;
(d) | in individual cases for the purposes
set out in Article 1(1); or
(e) | in an individual case for the
establishment, exercise or defence of
legal claims relating to the purposes set
out in Article 1(1).
2.   Personal data shall not be
transferred if the transferring
competent authority determines that
fundamental rights and freedoms of the
data subject concerned override the
public interest in the transfer set out in
points (d) and (e) of paragraph 1.
3.   Where a transfer is based on
paragraph 1, such a transfer shall be
documented and the documentation
shall be made available to the
supervisory authority on request,
including the date and time of the
transfer, information about the
receiving competent authority, the
justification for the transfer and the
personal data transferred.
Article 39
Transfers of personal data to recipients
established in third countries
1.   By way of derogation from point (b)
of Article 35(1) and without prejudice to
any international agreement referred to
in paragraph 2 of this Article, Union or
Member State law may provide for the
competent authorities referred to in
point (7)(a) of Article 3, in individual
and specific cases, to transfer personal
data directly to recipients established in
third countries only if the other
provisions of this Directive are complied
with and all of the following conditions
are fulfilled:
(a) | the transfer is strictly necessary for
the performance of a task of the
transferring competent authority as
provided for by Union or Member State
law for the purposes set out in Article 1
(1);
(b) | the transferring competent
authority determines that no
fundamental rights and freedoms of the
data subject concerned override the
public interest necessitating the
transfer in the case at hand;
(c) | the transferring competent
authority considers that the transfer to
an authority that is competent for the
purposes referred to in Article 1(1) in
the third country is ineffective or
inappropriate, in particular because the
transfer cannot be achieved in good
time;
(d) | the authority that is competent for
the purposes referred to in Article 1(1)
in the third country is informed without
undue delay, unless this is ineffective or
inappropriate;
c) | pour prévenir une menace grave et
immédiate pour la sécurité publique
d'un État membre ou d'un pays tiers;
d) | dans des cas particuliers, aux fins
énoncées à l'article 1er, paragraphe 1;
ou
e) | dans un cas particulier, à la
constatation, à l'exercice ou à la
défense de droits en justice en rapport
avec les fins énoncées à l'article 1er,
paragraphe 1.
2.   Les données à caractère personnel
ne sont pas transférées si l'autorité
compétente qui transfère les données
estime que les libertés et droits
fondamentaux de la personne
concernée l'emportent sur l'intérêt
public dans le cadre du transfert visé au
paragraphe 1, points d) et e).
3.   Lorsqu'un transfert est effectué sur
la base du paragraphe 1, point b), ce
transfert est documenté et la
documentation est mise à la disposition
de l'autorité de contrôle, sur demande,
et indique la date et l'heure du
transfert, donne des informations sur
l'autorité compétente destinataire,
indique la justification du transfert et
les données à caractère personnel
transférées.
Article 39
Transferts de données à caractère
personnel à des destinataires établis
dans des pays tiers
1.   Par dérogation à l'article 35,
paragraphe 1, point b), et sans
préjudice de tout accord international
visé au paragraphe 2 du présent article,
le droit de l'Union ou le droit d'un État
membre peut prévoir que les autorités
compétentes au sens de l'article 3,
point 7) a), peuvent, dans certains cas
particuliers, transférer des données à
caractère personnel directement aux
destinataires établis dans des pays
tiers, uniquement lorsque les autres
dispositions de la présente directive
sont respectées et que toutes les
conditions ci-après sont remplies:
a) | le transfert est strictement
nécessaire à l'exécution de la mission
de l'autorité compétente qui transfère
les données ainsi que le prévoit le droit
de l'Union ou le droit d'un État membre
aux fins énoncées à l'article 1er,
paragraphe 1;
b) | l'autorité compétente qui transfère
les données établit qu'il n'existe pas de
libertés ni de droits fondamentaux de la
personne concernée qui prévalent sur
l'intérêt public nécessitant le transfert
dans le cas en question;
c) | l'autorité compétente qui transfère
les données estime que le transfert à
une autorité qui est compétente aux
fins visées à l'article 1er, paragraphe 1,
dans le pays tiers est inefficace ou
inapproprié, notamment parce que le
transfert ne peut pas être effectué en
temps opportun;
d) | l'autorité qui est compétente aux
fins visées à l'article 1er, paragraphe 1,
dans le pays tiers est informée dans les
meilleurs délais, à moins que cela ne
soit inefficace ou inapproprié;
(e) | autoritatea competentă care
transferă datele informează destinatarul
cu privire la scopul sau scopurile
determinate exclusive în care aceasta
din urmă poate să prelucreze datele cu
caracter personal, cu condiția ca o
astfel de prelucrare să fie necesară.
(2)   Un acord internațional menționat la
alineatul (1) este orice acord
internațional bilateral sau multilateral în
vigoare între statele membre și țări
terțe în domeniul cooperării judiciare în
materie penală și al cooperării
polițienești.
(3)   Autoritatea competentă care
transferă datele informează autoritatea
de supraveghere cu privire la
transferurile efectuate în temeiul
prezentului articol.
(4)   Atunci când un transfer se
întemeiază pe alineatul (1), un astfel de
transfer trebuie să fie documentat.
Articolul 40
Cooperarea internațională în domeniul
protecției datelor cu caracter personal
În ceea ce privește țările terțe și
organizațiile internaționale, Comisia și
statele membre iau măsurile
corespunzătoare pentru:
(a) | elaborarea de mecanisme de
cooperare internațională pentru a
facilita asigurarea efectivă a respectării
legislației privind protecția datelor cu
caracter personal;
(b) | acordarea de asistență
internațională reciprocă în asigurarea
respectării legislației din domeniul
protecției datelor cu caracter personal,
inclusiv prin notificări, transferul
reclamațiilor, asistență în anchete și
schimb de informații, sub rezerva unor
garanții adecvate pentru protecția
datelor cu caracter personal și a altor
drepturi și libertăți fundamentale;
(c) | implicarea părților interesate
relevante în discuțiile și activitățile care
au ca scop consolidarea cooperării
internaționale în vederea asigurării
respectării legislației din domeniul
protecției datelor cu caracter personal;
(d) | promovarea schimburilor de
legislație și practici în materie de
protecție a datelor cu caracter personal
și a documentării cu privire la acestea,
inclusiv cu privire la conflictele de
jurisdicție cu țările terțe.
CAPITOLUL VI
Autorități de supraveghere
independente
Secțiunea 1
Statut independent
Articolul 41
Autoritatea de supraveghere
(1)   Fiecare stat membru garantează că
una sau mai multe autorități publice
independente sunt responsabile de
monitorizarea aplicării prezentei
directive, în vederea protejării
drepturilor și libertăților fundamentale
ale persoanelor fizice în ceea ce
privește prelucrarea și în vederea
facilitării liberei circulații a datelor cu
(e) | the transferring competent
authority informs the recipient of the
specified purpose or purposes for
which the personal data are only to be
processed by the latter provided that
such processing is necessary.
2.   An international agreement referred
to in paragraph 1 shall be any bilateral
or multilateral international agreement
in force between Member States and
third countries in the field of judicial
cooperation in criminal matters and
police cooperation.
3.   The transferring competent
authority shall inform the supervisory
authority about transfers under this
Article.
4.   Where a transfer is based on
paragraph 1, such a transfer shall be
documented.
Article 40
International cooperation for the
protection of personal data
In relation to third countries and
international organisations, the
Commission and Member States shall
take appropriate steps to:
(a) | develop international cooperation
mechanisms to facilitate the effective
enforcement of legislation for the
protection of personal data;
(b) | provide international mutual
assistance in the enforcement of
legislation for the protection of
personal data, including through
notification, complaint referral,
investigative assistance and information
exchange, subject to appropriate
safeguards for the protection of
personal data and other fundamental
rights and freedoms;
(c) | engage relevant stakeholders in
discussion and activities aimed at
furthering international cooperation in
the enforcement of legislation for the
protection of personal data;
(d) | promote the exchange and
documentation of personal data
protection legislation and practice,
including on jurisdictional conflicts with
third countries.
CHAPTER VI
Independent supervisory authorities
Section 1
Independent status
Article 41
Supervisory authority
1.   Each Member State shall provide for
one or more independent public
authorities to be responsible for
monitoring the application of this
Directive, in order to protect the
fundamental rights and freedoms of
natural persons in relation to
processing and to facilitate the free
flow of personal data within the Union
(‘supervisory authority’).
e) | l'autorité compétente qui transfère
les données informe le destinataire de
la finalité ou des finalités déterminées
pour lesquelles les données à caractère
personnel ne doivent faire l'objet d'un
traitement que par cette dernière, à
condition qu'un tel traitement soit
nécessaire.
2.   Par accord international visé au
paragraphe 1, on entend tout accord
international bilatéral ou multilatéral en
vigueur entre les États membres et des
pays tiers dans le domaine de la
coopération judiciaire en matière pénale
et de la coopération policière.
3.   L'autorité compétente qui transfère
les données informe l'autorité de
contrôle des transferts relevant du
présent article.
4.   Lorsqu'un transfert est effectué sur
la base du paragraphe 1, ce transfert
est documenté.
Article 40
Coopération internationale dans le
domaine de la protection des données à
caractère personnel
La Commission et les États membres
prennent, à l'égard des pays tiers et des
organisations internationales, les
mesures appropriées pour:
a) | élaborer des mécanismes de
coopération internationaux destinés à
faciliter l'application effective de la
législation relative à la protection des
données à caractère personnel;
b) | se prêter mutuellement assistance
sur le plan international dans
l'application de la législation relative à
la protection des données à caractère
personnel, notamment par la
notification, la transmission des
réclamations, l'entraide pour les
enquêtes et l'échange d'informations,
sous réserve de garanties appropriées
pour la protection des données à
caractère personnel et pour d'autres
libertés et droits fondamentaux;
c) | associer les parties prenantes
intéressées aux discussions et activités
visant à développer la coopération
internationale dans le domaine de
l'application de la législation relative à
la protection des données à caractère
personnel;
d) | favoriser l'échange et la
documentation de la législation et des
pratiques en matière de protection des
données à caractère personnel, y
compris en ce qui concerne les conflits
de compétence avec des pays tiers.
CHAPITRE VI
Autorités de contrôle indépendantes
Section 1
Statut d'indépendance
Article 41
Autorité de contrôle
1.   Chaque État membre prévoit qu'une
ou plusieurs autorités publiques
indépendantes sont chargées de
surveiller l'application de la présente
directive, afin de protéger les libertés et
droits fondamentaux des personnes
physiques à l'égard du traitement et de
faciliter le libre flux des données à
caractère personnel au sein de l'Union
caracter personal în cadrul Uniunii
(„autoritatea de supraveghere”).
(2)   Fiecare autoritate de supraveghere
contribuie la aplicarea consecventă a
prezentei directive în întreaga Uniune.
În acest scop, autoritățile de
supraveghere cooperează atât între ele,
cât și cu Comisia, în conformitate cu
capitolul VII.
(3)   Statele membre pot să prevadă că
o autoritate de supraveghere instituită
în conformitate cu Regulamentul (UE)
2016/679 constituie autoritatea de
supraveghere menționată în prezenta
directivă și își asumă responsabilitatea
pentru sarcinile autorității de
supraveghere care urmează să fie
instituită în conformitate cu alineatul (1)
din prezentul articol.
(4)   În cazul în care un stat membru
instituie mai multe autorități de
supraveghere, statul membru respectiv
desemnează autoritatea de
supraveghere care reprezintă
autoritățile respective în cadrul
comitetului menționat la articolul 51.
Articolul 42
Independență
(1)   Fiecare stat membru garantează că
autoritatea sa de supraveghere
beneficiază de independență deplină în
îndeplinirea sarcinilor și exercitarea
competențelor care le revin în
conformitate cu prezenta directivă.
(2)   Statele membre garantează că
membrii autorităților lor de
supraveghere, în îndeplinirea sarcinilor
și în exercitarea competențelor care le
revin în conformitate cu prezenta
directivă, rămân independenți de orice
influență externă directă sau indirectă
și nici nu solicită, nici nu acceptă
instrucțiuni de la nimeni.
(3)   Membrii autorităților de
supraveghere din statele membre nu
întreprind acțiuni incompatibile cu
îndatoririle lor, iar, pe durata
mandatului, nu desfășoară activități
incompatibile, remunerate sau nu.
(4)   Fiecare stat membru garantează că
autoritatea sa de supraveghere
beneficiază de resurse umane, tehnice
și financiare, de un sediu și de
infrastructura necesară pentru
îndeplinirea sarcinilor și exercitarea
competențelor în mod eficace, inclusiv a
celor care urmează să fie realizate în
contextul asistenței reciproce, al
cooperării și al participării în cadrul
comitetului.
(5)   Fiecare stat membru garantează că
autoritatea sa de supraveghere
selectează și dispune de personal
propriu, care se află sub conducerea
exclusivă a membrului sau membrilor
autorității de supraveghere vizate.
(6)   Fiecare stat membru garantează că
autoritatea sa de supraveghere face
obiectul unui control financiar care nu
aduce atingere independenței sale și că
dispune de bugete publice anuale
distincte, care pot face parte din
bugetul general de stat sau național.
Articolul 43
Condiții generale aplicabile membrilor
autorității de supraveghere
2.   Each supervisory authority shall
contribute to the consistent application
of this Directive throughout the Union.
For that purpose, the supervisory
authorities shall cooperate with each
other and with the Commission in
accordance with Chapter VII.
3.   Member States may provide for a
supervisory authority established under
Regulation (EU) 2016/679 to be the
supervisory authority referred to in this
Directive and to assume responsibility
for the tasks of the supervisory
authority to be established under
paragraph 1 of this Article.
4.   Where more than one supervisory
authority is established in a Member
State, that Member State shall designate
the supervisory authority which are to
represent those authorities in the Board
referred to in Article 51.
Article 42
Independence
1.   Each Member State shall provide for
each supervisory authority to act with
complete independence in performing
its tasks and exercising its powers in
accordance with this Directive.
2.   Member States shall provide for the
member or members of their
supervisory authorities in the
performance of their tasks and exercise
of their powers in accordance with this
Directive, to remain free from external
influence, whether direct or indirect,
and that they shall neither seek nor
take instructions from anybody.
3.   Members of Member States'
supervisory authorities shall refrain
from any action incompatible with their
duties and shall not, during their term
of office, engage in any incompatible
occupation, whether gainful or not.
4.   Each Member State shall ensure that
each supervisory authority is provided
with the human, technical and financial
resources, premises and infrastructure
necessary for the effective performance
of its tasks and exercise of its powers,
including those to be carried out in the
context of mutual assistance,
cooperation and participation in the
Board.
5.   Each Member State shall ensure that
each supervisory authority chooses and
has its own staff which shall be subject
to the exclusive direction of the
member or members of the supervisory
authority concerned.
6.   Each Member State shall ensure that
each supervisory authority is subject to
financial control which does not affect
its independence and that it has
separate, public annual budgets, which
may be part of the overall state or
national budget.
Article 43
General conditions for the members of
the supervisory authority
(ci-après dénommées «autorité de
contrôle»).
2.   Chaque autorité de contrôle
contribue à l'application cohérente de la
présente directive dans l'ensemble de
l'Union. À cette fin, les autorités de
contrôle coopèrent entre elles et avec la
Commission conformément au chapitre
VII.
3.   Les États membres peuvent prévoir
qu'une autorité de contrôle instituée au
titre du règlement (UE) 2016/679 est
l'autorité de contrôle visée dans la
présente directive et prend en charge
les missions de l'autorité de contrôle
devant être instituée en vertu du
paragraphe 1 du présent article.
4.   Lorsqu'un État membre institue
plusieurs autorités de contrôle, il
désigne celle qui représente ces
autorités au comité visé à l'article 51.
Article 42
Indépendance
1.   Chaque État membre prévoit que
chaque autorité de contrôle agit en
toute indépendance dans l'exercice de
ses missions et des pouvoirs dont elle
est investie conformément à la présente
directive.
2.   Les États membres prévoient que,
dans l'exercice de leurs missions et de
leurs pouvoirs conformément à la
présente directive, le ou les membres
de leurs autorités de contrôle
demeurent libres de toute influence
extérieure, qu'elle soit directe ou
indirecte, et ne sollicitent ni n'acceptent
d'instructions de quiconque.
3.   Le ou les membres des autorités de
contrôle des États membres
s'abstiennent de tout acte incompatible
avec leurs fonctions et, pendant la
durée de leur mandat, n'exercent
aucune activité professionnelle
incompatible, rémunérée ou non.
4.   Chaque État membre veille à ce que
chaque autorité de contrôle dispose des
ressources humaines, techniques et
financières ainsi que des locaux et de
l'infrastructure nécessaires à l'exercice
effectif de ses missions et de ses
pouvoirs, y compris lorsque celle-ci
doit agir dans le cadre de l'assistance
mutuelle, de la coopération et de la
participation au comité.
5.   Chaque État membre veille à ce que
chaque autorité de contrôle choisisse et
dispose de ses propres agents, qui sont
placés sous les ordres exclusifs du
membre ou des membres de l'autorité
de contrôle concernée.
6.   Chaque État membre veille à ce que
chaque autorité de contrôle soit
soumise à un contrôle financier qui ne
menace pas son indépendance et
qu'elle dispose d'un budget annuel
public propre, qui peut faire partie du
budget global national ou d'une entité
fédérée.
Article 43
Conditions générales applicables aux
membres de l'autorité de contrôle
(1)   Statele membre garantează că
fiecare membru al autorităților lor de
supraveghere este numit prin
intermediul unei proceduri
transparente:
— | de către parlament;
— | de către guvern;
— | de către șeful statului membru în
cauză; sau
— | de către un organism independent
împuternicit prin dreptul intern să facă
numirea.
(2)   Fiecare membru dispune de
calificările, experiența și competențele,
în special în domeniul protecției datelor
cu caracter personal, necesare pentru
îndeplinirea atribuțiilor și exercitarea
competențelor sale.
(3)   Atribuțiile unui membru încetează
în cazul expirării mandatului, în cazul
demisiei sau destituirii în conformitate
cu dreptul statului membru în cauză.
(4)   Un membru poate fi demis doar în
cazuri de abateri grave sau în cazul în
care membrul respectiv nu mai
întrunește condițiile necesare pentru
îndeplinirea atribuțiilor sale.
Articolul 44
Norme privind instituirea autorității de
supraveghere
(1)   Fiecare stat membru prevede în
dreptul său următoarele:
(a) | instituirea autorității sale de
supraveghere;
(b) | calificările și condițiile de
eligibilitate necesare pentru a fi numit
membru al autorității sale de
supraveghere;
(c) | normele și procedurile pentru
numirea membrului sau a membrilor
autorității sale de supraveghere;
(d) | durata mandatului membrului sau
al membrilor autorității sale de
supraveghere, care nu poate fi mai mică
de patru ani, cu excepția primului
mandat după 6 mai 2016, care poate fi
mai scurt în cazul în care acest lucru
este necesar pentru a proteja
independența autorității de
supraveghere printr-o procedură de
numiri eșalonate;
(e) | dacă și de câte ori este eligibil
pentru reînnoire mandatul membrului
sau membrilor autorității sale de
supraveghere; și
(f) | condițiile care reglementează
obligațiile membrului sau membrilor și
ale personalului autorității sale de
supraveghere, interdicțiile privind
acțiunile, ocupațiile și beneficiile
incompatibile cu acestea în cursul
mandatului și după încetarea acestuia,
precum și normele care reglementează
încetarea activității profesionale.
(2)   Membrul sau membrii și personalul
fiecărei autorități de supraveghere au
obligația, în conformitate cu dreptul
Uniunii sau cu dreptul intern, de a
păstra atât pe parcursul mandatului, cât
și după încetarea acestuia, secretul
profesional în ceea ce privește toate
informațiile confidențiale de care au
luat cunoștință în cursul îndeplinirii
atribuțiilor sau al exercitării
competențelor lor. Pe durata
1.   Member States shall provide for
each member of their supervisory
authorities to be appointed by means of
a transparent procedure by:
— | their parliament;
— | their government;
— | their head of State; or
— | an independent body entrusted
with the appointment under Member
State law.
2.   Each member shall have the
qualifications, experience and skills, in
particular in the area of the protection
of personal data, required to perform
their duties and exercise their powers.
3.   The duties of a member shall end in
the event of the expiry of the term of
office, resignation or compulsory
retirement, in accordance with the law
of the Member State concerned.
4.   A member shall be dismissed only
in cases of serious misconduct or if the
member no longer fulfils the conditions
required for the performance of the
duties.
Article 44
Rules on the establishment of the
supervisory authority
1.   Each Member State shall provide by
law for all of the following:
(a) | the establishment of each
supervisory authority;
(b) | the qualifications and eligibility
conditions required to be appointed as
a member of each supervisory
authority;
(c) | the rules and procedures for the
appointment of the member or
members of each supervisory authority;
(d) | the duration of the term of the
member or members of each
supervisory authority of not less than
four years, except for the first
appointment after 6 May 2016, part of
which may take place for a shorter
period where that is necessary to
protect the independence of the
supervisory authority by means of a
staggered appointment procedure;
(e) | whether and, if so, for how many
terms the member or members of each
supervisory authority is eligible for
reappointment;
(f) | the conditions governing the
obligations of the member or members
and staff of each supervisory authority,
prohibitions on actions, occupations
and benefits incompatible therewith
during and after the term of office and
rules governing the cessation of
employment.
2.   The member or members and the
staff of each supervisory authority shall,
in accordance with Union or Member
State law, be subject to a duty of
professional secrecy both during and
after their term of office, with regard to
any confidential information which has
come to their knowledge in the course
of the performance of their tasks or the
exercise of their powers. During their
term of office, that duty of professional
1.   Les États membres prévoient que
chacun des membres de leurs autorités
de contrôle est nommé selon une
procédure transparente par:
— | leur parlement,
— | leur gouvernement,
— | leur chef d'État, ou
— | un organisme indépendant chargé
de procéder à la nomination en vertu du
droit de l'État membre.
2.   Chaque membre a les qualifications,
l'expérience et les compétences
nécessaires, en particulier dans le
domaine de la protection des données à
caractère personnel, pour l'exercice de
leurs fonctions et de leurs pouvoirs.
3.   Les fonctions d'un membre
prennent fin à l'échéance de son
mandat, en cas de démission ou de
mise à la retraite d'office,
conformément au droit de l'État
membre concerné.
4.   Un membre ne peut être démis de
ses fonctions que s'il a commis une
faute grave ou s'il ne remplit plus les
conditions nécessaires à l'exercice de
ses fonctions.
Article 44
Règles relatives à l'établissement de
l'autorité de contrôle
1.   Chaque État membre prévoit, par la
loi, tous les éléments suivants:
a) | la création de chaque autorité de
contrôle;
b) | les qualifications et les conditions
d'éligibilité requises pour être nommé
membre de chaque autorité de contrôle;
c) | les règles et les procédures pour la
nomination du ou des membres de
chaque autorité de contrôle;
d) | la durée du mandat du ou des
membres de chaque autorité de
contrôle, qui ne peut être inférieure à
quatre ans, sauf pour la première
nomination après le 6 mai 2016, dont
une partie peut être d'une durée plus
courte lorsque cela est nécessaire pour
protéger l'indépendance de l'autorité de
contrôle au moyen d'une procédure de
nominations échelonnées;
e) | le caractère renouvelable ou non
renouvelable du mandat du ou des
membres de chaque autorité de
contrôle et, si c'est le cas, le nombre de
mandats;
f) | les conditions régissant les
obligations du ou des membres et des
agents de chaque autorité de contrôle,
les interdictions d'activités, d'emplois et
d'avantages incompatibles avec celles-
ci, y compris après la fin de leur
mandat, et les règles régissant la
cessation de l'emploi.
2.   Le membre ou les membres et les
agents de chaque autorité de contrôle
sont soumis, conformément au droit de
l'Union ou au droit de l'État membre, au
secret professionnel concernant toute
information confidentielle dont ils ont
eu connaissance dans l'exercice de
leurs missions ou de leurs pouvoirs, y
compris après la cessation de leurs
activités. Pendant la durée de leur
mandat, ce devoir de secret
mandatului lor, această obligație de
păstrare a secretului profesional se
aplică, în special, în ceea ce privește
denunțarea de către persoane fizice a
cazurilor de încălcare a prezentei
directive.
Secțiunea 2
Abilitări, sarcini și competențe
Articolul 45
Abilitări
(1)   Fiecare stat membru garantează că
autoritatea sa de supraveghere este
abilitată să îndeplinească sarcinile și să
exercite competențele care îi revin în
conformitate cu prezenta directivă pe
teritoriul respectivului stat membru.
(2)   Fiecare stat membru garantează că
autorității sale de supraveghere îi revine
competența să supravegheze
operațiunile de prelucrare ale
instanțelor atunci când acestea
acționează în exercițiul funcției lor
judiciare. Statele membre pot să
stabilească dispoziții potrivit cărora
autorităților sale de supraveghere nu le
revine competența să supravegheze
operațiunile de prelucrare ale altor
autorități judiciare independente atunci
când acestea acționează în exercițiul
funcției lor judiciare.
Articolul 46
Sarcini
(1)   Fiecare stat membru garantează,
pe teritoriul său, că autoritatea sa de
supraveghere:
(a) | monitorizează și asigură
respectarea prezentei directive și a
măsurilor de punere în aplicare aferente
acesteia;
(b) | promovează acțiuni de
sensibilizare și de înțelegere în rândul
publicului a riscurilor, normelor,
garanțiilor și drepturilor în materie de
prelucrare;
(c) | oferă consiliere, în conformitate cu
dreptul intern, parlamentului național,
guvernului și altor instituții și
organisme cu privire la măsurile
legislative și administrative referitoare
la protecția drepturilor și libertăților
persoanelor fizice în ceea ce privește
prelucrarea;
(d) | promovează acțiuni de
sensibilizare a operatorilor și a
persoanelor împuternicite de aceștia cu
privire la obligațiile care le revin în
temeiul prezentei directive;
(e) | furnizează informații, la cerere,
oricărei persoane vizate în legătură cu
exercitarea drepturilor sale în temeiul
prezentei directive și, dacă este cazul,
cooperează cu autoritățile de
supraveghere din alte state membre în
acest scop;
(f) | tratează plângerile depuse de o
persoană vizată sau de un organism, o
organizație sau o asociație, în
conformitate cu articolul 55,
investighează într-o măsură adecvată
obiectul plângerii și informează
persoana care a depus plângerea cu
privire la evoluția și rezultatul
investigației, într-un termen rezonabil,
în special dacă este necesară efectuarea
unei investigații mai amănunțite sau
secrecy shall in particular apply to
reporting by natural persons of
infringements of this Directive.
Section 2
Competence, tasks and powers
Article 45
Competence
1.   Each Member State shall provide for
each supervisory authority to be
competent for the performance of the
tasks assigned to, and for the exercise
of the powers conferred on, it in
accordance with this Directive on the
territory of its own Member State.
2.   Each Member State shall provide for
each supervisory authority not to be
competent for the supervision of
processing operations of courts when
acting in their judicial capacity. Member
States may provide for their supervisory
authority not to be competent to
supervise processing operations of
other independent judicial authorities
when acting in their judicial capacity.
Article 46
Tasks
1.   Each Member State shall provide, on
its territory, for each supervisory
authority to:
(a) | monitor and enforce the
application of the provisions adopted
pursuant to this Directive and its
implementing measures;
(b) | promote public awareness and
understanding of the risks, rules,
safeguards and rights in relation to
processing;
(c) | advise, in accordance with Member
State law, the national parliament, the
government and other institutions and
bodies on legislative and administrative
measures relating to the protection of
natural persons' rights and freedoms
with regard to processing;
(d) | promote the awareness of
controllers and processors of their
obligations under this Directive;
(e) | upon request, provide information
to any data subject concerning the
exercise of their rights under this
Directive and, if appropriate, cooperate
with the supervisory authorities in other
Member States to that end;
(f) | deal with complaints lodged by a
data subject, or by a body, organisation
or association in accordance with
Article 55, and investigate, to the
extent appropriate, the subject-matter
of the complaint and inform the
complainant of the progress and the
outcome of the investigation within a
reasonable period, in particular if
further investigation or coordination
with another supervisory authority is
necessary;
professionnel s'applique en particulier
au signalement par des personnes
physiques de violations de la présente
directive.
Section 2
Compétence, missions et pouvoirs
Article 45
Compétence
1.   Chaque État membre prévoit que
chaque autorité de contrôle est
compétente pour exercer les missions
et les pouvoirs dont elle est investie
conformément à la présente directive,
sur le territoire de l'État membre dont
elle relève.
2.   Chaque État membre prévoit que
chaque autorité de contrôle n'est pas
compétente pour contrôler les
opérations de traitement effectuées par
les juridictions dans l'exercice de leur
fonction juridictionnelle. Les États
membres peuvent prévoir que leur
autorité de contrôle n'est pas
compétente pour contrôler les
opérations de traitement effectuées par
d'autres autorités judiciaires
indépendantes lorsqu'elles agissent
dans l'exercice de leur fonction
juridictionnelle.
Article 46
Missions
1.   Chaque État membre prévoit que,
sur son territoire, chaque autorité de
contrôle:
a) | contrôle l'application des
dispositions adoptées en application de
la présente directive et de ses mesures
d'exécution et veille au respect de
celles-ci;
b) | favorise la sensibilisation du public
et sa compréhension des risques, des
règles, des garanties et des droits
relatifs au traitement;
c) | conseille, conformément au droit de
l'État membre, le parlement national, le
gouvernement et d'autres institutions et
organismes au sujet des mesures
législatives et administratives relatives à
la protection des droits et libertés des
personnes physiques à l'égard du
traitement;
d) | encourage la sensibilisation des
responsables du traitement et des
sous-traitants aux obligations qui leur
incombent en vertu de la présente
directive;
e) | fournit, sur demande, à toute
personne concernée, des informations
sur l'exercice de ses droits découlant de
la présente directive et, le cas échéant,
coopère à cette fin avec les autorités de
contrôle d'autres États membres;
f) | traite les réclamations introduites
par une personne concernée ou par un
organisme, une organisation ou une
association conformément à l'article 55,
enquête sur l'objet de la réclamation,
dans la mesure nécessaire, et informe
l'auteur de la réclamation de l'état
d'avancement et de l'issue de l'enquête
dans un délai raisonnable, notamment
si un complément d'enquête ou une
coordination avec une autre autorité de
contrôle est nécessaire;
coordonarea cu o altă autoritate de
supraveghere;
(g) | verifică legalitatea prelucrării în
conformitate cu articolul 17 și
informează persoana vizată, într-un
termen rezonabil, cu privire la
rezultatul verificării în temeiul
alineatului (3) al articolului respectiv
sau la motivele pentru care nu a avut
loc verificarea;
(h) | cooperează, inclusiv prin schimb
de informații, cu alte autorități de
supraveghere și își oferă reciproc
asistență pentru a asigura consecvența
aplicării și respectării prezentei
directive;
(i) | desfășoară investigații privind
aplicarea prezentei directive, inclusiv pe
baza unor informații primite de la o altă
autoritate de supraveghere sau
autoritate publică;
(j) | monitorizează evoluțiile relevante,
în măsura în care acestea au impact
asupra protecției datelor cu caracter
personal, în special evoluția
tehnologiilor informațiilor și
comunicațiilor;
(k) | oferă consiliere cu privire la
operațiunile de prelucrare menționate la
articolul 28; și
(l) | contribuie la activitățile comitetului.
(2)   Fiecare autoritate de supraveghere
facilitează depunerea plângerilor
menționate la alineatul (1) litera (f) prin
măsuri precum punerea la dispoziție a
unui formular de depunere a plângerii,
care să poată fi completat inclusiv în
format electronic, fără a exclude alte
mijloace de comunicare.
(3)   Îndeplinirea sarcinilor fiecărei
autorități de supraveghere este gratuită
pentru persoana vizată și pentru
responsabilul cu protecția datelor.
(4)   În cazul în care o cerere este în
mod vădit nefondată sau excesivă, în
special când este repetitivă, autoritatea
de supraveghere poate percepe o taxă
rezonabilă pe baza costurilor sale
administrative sau poate refuza să îi
dea curs. Obligația de a demonstra
caracterul evident nefondat sau excesiv
al cererii respective revine autorității de
supraveghere.
Articolul 47
Competențe
(1)   Fiecare stat membru garantează
prin lege că autorității sale de
supraveghere îi revin competențe de
investigare efective. Respectivele
competențe includ, cel puțin,
competența de a obține, din partea
operatorului și a persoanei
împuternicite de operator, accesul la
toate datele cu caracter personal care
sunt prelucrate și la toate informațiile
necesare pentru îndeplinirea sarcinilor
sale.
(2)   Fiecare stat membru garantează
prin lege că autorității sale de
supraveghere îi revin competențe
corective efective, cum ar fi, de
exemplu:
(a) | de a emite avertizări în atenția unui
operator sau a unei persoane
împuternicite de operator cu privire la
probabilitatea ca operațiunile de
prelucrare preconizate să încalce
(g) | check the lawfulness of processing
pursuant to Article 17, and inform the
data subject within a reasonable period
of the outcome of the check pursuant
to paragraph 3 of that Article or of the
reasons why the check has not been
carried out;
(h) | cooperate with, including by
sharing information, and provide
mutual assistance to other supervisory
authorities, with a view to ensuring the
consistency of application and
enforcement of this Directive;
(i) | conduct investigations on the
application of this Directive, including
on the basis of information received
from another supervisory authority or
other public authority;
(j) | monitor relevant developments
insofar as they have an impact on the
protection of personal data, in
particular the development of
information and communication
technologies;
(k) | provide advice on the processing
operations referred to in Article 28; and
(l) | contribute to the activities of the
Board.
2.   Each supervisory authority shall
facilitate the submission of complaints
referred to in point (f) of paragraph 1
by measures such as providing a
complaint submission form which can
also be completed electronically,
without excluding other means of
communication.
3.   The performance of the tasks of
each supervisory authority shall be free
of charge for the data subject and for
the data protection officer.
4.   Where a request is manifestly
unfounded or excessive, in particular
because it is repetitive, the supervisory
authority may charge a reasonable fee
based on its administrative costs, or
may refuse to act on the request. The
supervisory authority shall bear the
burden of demonstrating that the
request is manifestly unfounded or
excessive.
Article 47
Powers
1.   Each Member State shall provide by
law for each supervisory authority to
have effective investigative powers.
Those powers shall include at least the
power to obtain from the controller and
the processor access to all personal
data that are being processed and to all
information necessary for the
performance of its tasks.
2.   Each Member State shall provide by
law for each supervisory authority to
have effective corrective powers such
as, for example:
(a) | to issue warnings to a controller or
processor that intended processing
operations are likely to infringe the
provisions adopted pursuant to this
Directive;
g) | vérifie la licéité du traitement en
vertu de l'article 17, et informe la
personne concernée dans un délai
raisonnable de l'issue de la vérification,
conformément au paragraphe 3 dudit
article, ou des motifs ayant empêché sa
réalisation;
h) | coopère avec d'autres autorités de
contrôle, y compris en partageant des
informations, et leur fournit une
assistance mutuelle dans ce cadre en
vue d'assurer une application cohérente
de la présente directive et des mesures
prises pour en assurer le respect;
i) | effectue des enquêtes sur
l'application de la présente directive, y
compris sur la base d'informations
reçues d'une autre autorité de contrôle
ou d'une autre autorité publique;
j) | suit les évolutions pertinentes, dans
la mesure où elles ont une incidence
sur la protection des données à
caractère personnel, notamment dans le
domaine des technologies de
l'information et de la communication;
k) | fournit des conseils sur les
opérations de traitement visées à
l'article 28; et
l) | contribue aux activités du comité.
2.   Chaque autorité de contrôle facilite
l'introduction des réclamations visées
au paragraphe 1, point f), par des
mesures telles que la fourniture d'un
formulaire de réclamation qui peut être
rempli également par voie électronique,
sans que d'autres moyens de
communication ne soient exclus.
3.   L'accomplissement des missions de
chaque autorité de contrôle est gratuit
pour la personne concernée et pour le
délégué à la protection des données.
4.   Lorsqu'une demande est
manifestement infondée ou excessive,
en raison, notamment, de son caractère
répétitif, l'autorité de contrôle peut
exiger le paiement de frais raisonnables
basés sur ses coûts administratifs ou
refuser de donner suite à la demande. Il
incombe à l'autorité de contrôle de
démontrer le caractère manifestement
infondé ou excessif de la demande.
Article 47
Pouvoirs
1.   Chaque État membre prévoit, par la
loi, que chaque autorité de contrôle
dispose de pouvoirs d'enquête effectifs.
Ces pouvoirs comprennent au moins
celui d'obtenir du responsable du
traitement ou du sous-traitant l'accès à
toutes les données à caractère
personnel qui sont traitées et à toutes
les informations nécessaires à l'exercice
de ses missions.
2.   Chaque État membre prévoit, par la
loi, que chaque autorité de contrôle
dispose de pouvoirs effectifs en matière
d'adoption de mesures correctrices, tels
que, par exemple:
a) | avertir un responsable du
traitement ou un sous-traitant du fait
que les opérations de traitement
envisagées sont susceptibles de violer
dispozițiile adoptate în temeiul
prezentei directive;
(b) | de a da dispoziții operatorului sau
persoanei împuternicite de operator să
asigure conformitatea operațiunilor de
prelucrare cu dispozițiile adoptate în
temeiul prezentei directive, specificând,
după caz, modalitatea și termenul-
limită pentru aceasta; în special
dispunând rectificarea sau ștergerea
datelor cu caracter personal, sau
restricționarea prelucrării, în
conformitate cu articolul 16;
(c) | de a impune o limitare temporară
sau definitivă, inclusiv o interdicție, în
ce privește prelucrarea.
(3)   Fiecare stat membru garantează
prin lege că autorității sale de
supraveghere îi revin competențe de
consiliere efective pentru a oferi
consiliere operatorului în conformitate
cu procedura de consultare prealabilă
menționată la articolul 28 și de a emite
avize, din proprie inițiativă sau la
cerere, parlamentului național,
guvernului sau, în conformitate cu
dreptul său intern, altor instituții și
organisme, precum și publicului, cu
privire la orice aspect legat de protecția
datelor cu caracter personal.
(4)   Exercitarea competențelor conferite
autorității de supraveghere în temeiul
prezentului articol face obiectul unor
garanții adecvate, inclusiv căi de atac
judiciare eficiente și procese echitabile,
prevăzute de dreptul Uniunii și de
dreptul intern în conformitate cu Carta.
(5)   Fiecare stat membru garantează
prin lege că autorității sale de
supraveghere îi revine competența de a
aduce în atenția autorităților judiciare
cazurile de încălcare a dispozițiilor
adoptate în temeiul prezentei directive
și, după caz, de a iniția sau de a se
implica într-un alt mod în proceduri
judiciare, în scopul de a asigura
respectarea dispozițiilor adoptate în
temeiul prezentei directive.
Articolul 48
Denunțarea cazurilor de încălcare
Statele membre garantează că
autoritățile competente instituie
mecanisme eficiente de încurajare a
denunțării confidențiale a cazurilor de
încălcare a prezentei directive.
Articolul 49
Rapoarte de activitate
Fiecare autoritate de supraveghere
întocmește un raport anual cu privire la
activitățile sale, care poate include o
listă a cazurilor de încălcare notificate și
natura sancțiunilor aplicate. Rapoartele
se transmit parlamentului național,
guvernului și altor autorități desemnate
de dreptul intern. Rapoartele se pune la
dispoziția publicului, a Comisiei și a
comitetului.
CAPITOLUL VII
Cooperarea
Articolul 50
Asistență reciprocă
(1)   Fiecare stat membru garantează că
autoritățile sale de supraveghere își
(b) | to order the controller or processor
to bring processing operations into
compliance with the provisions adopted
pursuant to this Directive, where
appropriate, in a specified manner and
within a specified period, in particular
by ordering the rectification or erasure
of personal data or restriction of
processing pursuant to Article 16;
(c) | to impose a temporary or definitive
limitation, including a ban, on
processing.
3.   Each Member State shall provide by
law for each supervisory authority to
have effective advisory powers to advise
the controller in accordance with the
prior consultation procedure referred to
in Article 28 and to issue, on its own
initiative or on request, opinions to its
national parliament and its government
or, in accordance with its national law,
to other institutions and bodies as well
as to the public on any issue related to
the protection of personal data.
4.   The exercise of the powers
conferred on the supervisory authority
pursuant to this Article shall be subject
to appropriate safeguards, including
effective judicial remedy and due
process, as set out in Union and
Member State law in accordance with
the Charter.
5.   Each Member State shall provide by
law for each supervisory authority to
have the power to bring infringements
of provisions adopted pursuant to this
Directive to the attention of judicial
authorities and, where appropriate, to
commence or otherwise engage in legal
proceedings, in order to enforce the
provisions adopted pursuant to this
Directive.
Article 48
Reporting of infringements
Member States shall provide for
competent authorities to put in place
effective mechanisms to encourage
confidential reporting of infringements
of this Directive.
Article 49
Activity reports
Each supervisory authority shall draw
up an annual report on its activities,
which may include a list of types of
infringement notified and types of
penalties imposed. Those reports shall
be transmitted to the national
parliament, the government and other
authorities as designated by Member
State law. They shall be made available
to the public, the Commission and the
Board.
CHAPTER VII
Cooperation
Article 50
Mutual assistance
1.   Each Member State shall provide for
their supervisory authorities to provide
les dispositions adoptées en vertu de la
présente directive;
b) | ordonner au responsable du
traitement ou au sous-traitant de
mettre les opérations de traitement en
conformité avec les dispositions
adoptées en vertu de la présente
directive, le cas échéant, de manière
spécifique et dans un délai déterminé,
en particulier en ordonnant la
rectification ou l'effacement de données
à caractère personnel ou la limitation
du traitement en application de
l'article 16;
c) | limiter temporairement ou
définitivement, y compris interdire, un
traitement.
3.   Chaque État membre prévoit, par la
loi, que chaque autorité de contrôle
dispose de pouvoirs consultatifs
effectifs pour conseiller le responsable
du traitement conformément à la
procédure de consultation préalable
visée à l'article 28 et d'émettre, de sa
propre initiative ou sur demande, des
avis à l'attention de son parlement
national et de son gouvernement ou,
conformément à son droit national,
d'autres institutions et organismes ainsi
que du public, sur toute question
relative à la protection des données à
caractère personnel.
4.   L'exercice des pouvoirs conférés à
l'autorité de contrôle en application du
présent article est subordonné à des
garanties appropriées, y compris le
droit à un recours juridictionnel effectif
et à une procédure régulière, prévues
par le droit de l'Union et le droit de
l'État membre conformément à la
Charte.
5.   Chaque État membre prévoit, par la
loi, que chaque autorité de contrôle a le
pouvoir de porter les violations des
dispositions adoptées en vertu de la
présente directive à la connaissance des
autorités judiciaires et, le cas échéant,
d'ester en justice d'une manière ou
d'une autre, en vue de faire respecter
les dispositions adoptées en vertu de la
présente directive.
Article 48
Signalement des violations
Les États membres prévoient que les
autorités compétentes mettent en place
des mécanismes efficaces pour
encourager le signalement confidentiel
des violations de la présente directive.
Article 49
Rapports d'activité
Chaque autorité de contrôle établit un
rapport annuel sur ses activités, qui
peut comprendre une liste des types de
violations notifiées et des types de
sanctions imposées. Les rapports sont
transmis au parlement national, au
gouvernement et à d'autres autorités
désignées par le droit de l'État membre.
Ils sont mis à la disposition du public,
de la Commission et du comité.
CHAPITRE VII
Coopération
Article 50
Assistance mutuelle
1.   Chaque État membre prévoit que
leurs autorités de contrôle se
furnizează reciproc informațiile
relevante și asistență pentru a pune în
aplicare și a aplica prezenta directivă în
mod consecvent și instituie măsuri de
cooperare eficace între ele. Asistența
reciprocă se referă, în special, la cereri
de informații și măsuri de
supraveghere, cum ar fi cereri în
vederea efectuării de consultări,
inspecții și investigații.
(2)   Fiecare stat membru garantează
luarea de către fiecare autoritate de
supraveghere a tuturor măsurilor
corespunzătoare necesare pentru a
răspunde cererii unei alte autorități de
supraveghere, fără întârziere și în cel
mult o lună de la data primirii cererii.
Astfel de măsuri pot include, în special,
transmiterea informațiilor relevante
privind desfășurarea unei investigații.
(3)   Cererile de asistență cuprind toate
informațiile necesare, inclusiv scopul și
motivele care stau la baza acesteia.
Informațiile care fac obiectul schimbului
se utilizează numai în scopul în care au
fost solicitate.
(4)   O autoritate de supraveghere
căreia i se adresează o cerere de
asistență nu poate refuza să îi dea curs,
cu excepția cazului în care:
(a) | nu are competență cu privire la
obiectul cererii sau la măsurile pe care
este solicitată să le execute; sau
(b) | a da curs cererii ar încălca prezenta
directivă sau dreptul Uniunii sau dreptul
intern sub incidența căruia intră
autoritatea de supraveghere care a
primit cererea.
(5)   Autoritatea de supraveghere căreia
i s-a adresat cererea informează
autoritatea de supraveghere care a
transmis cererea cu privire la rezultate
sau, după caz, la progresele înregistrate
ori măsurile întreprinse pentru a
răspunde cererii. În cazul unui refuz în
temeiul alineatului (4), autoritatea de
supraveghere căreia i s-a adresat
cererea explică motivele de refuz.
(6)   Autoritățile de supraveghere cărora
li s-a adresat o cerere furnizează, de
regulă, informațiile solicitate de alte
autorități de supraveghere prin mijloace
electronice, utilizând un formular-
standard.
(7)   Pentru acțiunile întreprinse în urma
unei cereri de asistență reciprocă
autoritățile de supraveghere cărora li
s-a adresat o cerere nu percep taxă.
Autoritățile de supraveghere pot
conveni asupra unor compensații
reciproce în cazul unor cheltuieli
specifice rezultate în urma acordării de
asistență reciprocă în situații
excepționale.
(8)   Comisia poate preciza, prin
intermediul unor acte de punere în
aplicare, forma și procedurile pentru
asistența reciprocă menționată în
prezentul articol, precum și modalitățile
de schimb de informații prin mijloace
electronice între autoritățile de
supraveghere și între autoritățile de
supraveghere și comitet. Actele de
punere în aplicare respective se adoptă
în conformitate cu procedura de
each other with relevant information
and mutual assistance in order to
implement and apply this Directive in a
consistent manner, and to put in place
measures for effective cooperation with
one another. Mutual assistance shall
cover, in particular, information
requests and supervisory measures,
such as requests to carry out
consultations, inspections and
investigations.
2.   Each Member States shall provide
for each supervisory authority to take
all appropriate measures required to
reply to a request of another
supervisory authority without undue
delay and no later than one month after
receiving the request. Such measures
may include, in particular, the
transmission of relevant information on
the conduct of an investigation.
3.   Requests for assistance shall
contain all the necessary information,
including the purpose of and reasons
for the request. Information exchanged
shall be used only for the purpose for
which it was requested.
4.   The requested supervisory authority
shall not refuse to comply with the
request unless:
(a) | it is not competent for the subject-
matter of the request or for the
measures it is requested to execute; or
(b) | compliance with the request would
infringe this Directive or Union or
Member State law to which the
supervisory authority receiving the
request is subject.
5.   The requested supervisory authority
shall inform the requesting supervisory
authority of the results or, as the case
may be, of the progress of the
measures taken in order to respond to
the request. The requested supervisory
authority shall provide reasons for any
refusal to comply with a request
pursuant to paragraph 4.
6.   Requested supervisory authorities
shall, as a rule, supply the information
requested by other supervisory
authorities by electronic means, using a
standardised format.
7.   Requested supervisory authorities
shall not charge a fee for any action
taken by them pursuant to a request for
mutual assistance. Supervisory
authorities may agree on rules to
indemnify each other for specific
expenditure arising from the provision
of mutual assistance in exceptional
circumstances.
8.   The Commission may, by means of
implementing acts, specify the format
and procedures for mutual assistance
referred to in this Article and the
arrangements for the exchange of
information by electronic means
between supervisory authorities, and
between supervisory authorities and the
Board. Those implementing acts shall
be adopted in accordance with the
examination procedure referred to in
Article 58(2).
communiquent les informations utiles
et se prêtent mutuellement assistance
en vue de mettre en œuvre et
d'appliquer la présente directive de
façon cohérente, et met en place des
mesures pour coopérer efficacement.
L'assistance mutuelle concerne
notamment les demandes d'information
et les mesures de contrôle, telles que
les demandes de consultation, les
inspections et les enquêtes.
2.   Chaque État membre prévoit que
chaque autorité de contrôle prend
toutes les mesures appropriées
requises pour répondre à la demande
d'une autre autorité de contrôle dans
les meilleurs délais et au plus tard un
mois après réception de la demande.
De telles mesures peuvent comprendre
notamment la transmission
d'informations utiles sur la conduite
d'une enquête.
3.   Les demandes d'assistance
contiennent toutes les informations
nécessaires, notamment la finalité et les
motifs de la demande. Les informations
échangées ne sont utilisées qu'aux fins
pour lesquelles elles ont été
demandées.
4.   Une autorité de contrôle saisie
d'une demande ne peut refuser d'y
satisfaire, sauf si:
a) | elle n'est pas compétente pour
traiter l'objet de la demande ou les
mesures qu'elle est invitée à exécuter;
ou
b) | satisfaire à la demande
constituerait une violation de la
présente directive ou du droit de l'Union
ou du droit de l'État membre auquel
l'autorité de contrôle qui a reçu la
demande est soumise.
5.   L'autorité de contrôle requise
informe l'autorité de contrôle
requérante des résultats obtenus ou,
selon le cas, de l'avancement du dossier
ou des mesures prises pour donner
suite à la demande. L'autorité de
contrôle requise donne les motifs de
tout refus de satisfaire à une demande
en application du paragraphe 4.
6.   Les autorités de contrôle requises
communiquent, en règle générale, par
voie électronique et au moyen d'un
formulaire type, les informations
demandées par d'autres autorités de
contrôle.
7.   Les autorités de contrôle requises
ne perçoivent pas de frais pour une
mesure qu'elles prennent à la suite
d'une demande d'assistance mutuelle.
Les autorités de contrôle peuvent
convenir de règles concernant l'octroi
de dédommagements entre elles pour
des dépenses spécifiques résultant de
la fourniture d'une assistance mutuelle
dans des circonstances exceptionnelles.
8.   La Commission peut, par voie
d'actes d'exécution, préciser la forme et
les procédures de l'assistance mutuelle
visée au présent article, ainsi que les
modalités de l'échange d'informations
par voie électronique entre les autorités
de contrôle et entre les autorités de
contrôle et le comité. Ces actes
d'exécution sont adoptés en conformité
avec la procédure d'examen visée à
l'article 58, paragraphe 2.
examinare menționată la articolul 58
alineatul (2).
Articolul 51
Sarcinile comitetului
(1)   Comitetul instituit prin
Regulamentul (UE) 2016/679
îndeplinește, în ceea ce privește
prelucrarea care intră sub incidența
prezentei directive, toate sarcinile
următoare:
(a) | oferă Comisiei consiliere cu privire
la orice aspect legat de protecția datelor
cu caracter personal în cadrul Uniunii,
inclusiv cu privire la orice propunere de
modificare a prezentei directive;
(b) | examinează, din proprie inițiativă,
la cererea unuia dintre membrii săi sau
la cererea Comisiei, orice chestiune
referitoare la aplicarea prezentei
directive și emite orientări, recomandări
și bune practici pentru a încuraja
aplicarea consecventă a prezentei
directive;
(c) | elaborează orientări destinate
autorităților de supraveghere,
referitoare la aplicarea măsurilor
menționate la articolul 47 alineatele (1)
și (3);
(d) | emite orientări, recomandări și
bune practici, în conformitate cu litera
(b) de la prezentul alineat, pentru
stabilirea cazurilor de încălcare a
securității datelor cu caracter personal
și pentru determinarea întârzierilor
nejustificate menționate la articolul 30
alineatele (1) și (2), precum și pentru
circumstanțele speciale în care un
operator sau o persoană împuternicită
de către operator are obligația de a
notifica încălcarea securității datelor cu
caracter personal;
(e) | emite orientări, recomandări și
bune practici, în conformitate cu litera
(b) de la prezentul alineat, în ceea ce
privește circumstanțele în care o
încălcare a securității datelor cu
caracter personal este susceptibilă să
genereze un risc ridicat la adresa
drepturilor și libertăților persoanelor
menționate la articolul 31 alineatul (1);
(f) | revizuiește aplicarea practică a
orientărilor, a recomandărilor și a
bunelor practici menționate la literele
(b) și (c);
(g) | prezintă Comisiei un aviz pentru
evaluarea caracterului adecvat al
nivelului de protecție dintr-o țară terță,
un teritoriu sau unul sau mai multe
sectoare determinate dintr-o țară terță,
sau o organizație internațională,
inclusiv pentru a evalua dacă o țară
terță, un teritoriu, un sector determinat
sau o organizație internațională nu mai
asigură un nivel de protecție adecvat.
(h) | promovează cooperarea și
schimbul eficient bilateral și multilateral
de informații și cele mai bune practici
între autoritățile de supraveghere;
(i) | promovează programe comune de
formare și facilitează schimburile de
personal între autoritățile de
supraveghere și, după caz, cu
Article 51
Tasks of the Board
1.   The Board established by
Regulation (EU) 2016/679 shall perform
all of the following tasks in relation to
processing within the scope of this
Directive:
(a) | advise the Commission on any
issue related to the protection of
personal data in the Union, including on
any proposed amendment of this
Directive;
(b) | examine, on its own initiative, on
request of one of its members or on
request of the Commission, any
question covering the application of
this Directive and issue guidelines,
recommendations and best practices in
order to encourage consistent
application of this Directive;
(c) | draw up guidelines for supervisory
authorities concerning the application
of measures referred to in Article 47(1)
and (3);
(d) | issue guidelines, recommendations
and best practices in accordance with
point (b) of this subparagraph for
establishing personal data breaches and
determining the undue delay referred to
in Article 30(1) and (2) and for the
particular circumstances in which a
controller or a processor is required to
notify the personal data breach;
(e) | issue guidelines, recommendations
and best practices in accordance with
point (b) of this subparagraph as to the
circumstances in which a personal data
breach is likely to result in a high risk
to the rights and freedoms of natural
persons as referred to in Article 31(1);
(f) | review the practical application of
the guidelines, recommendations and
best practices referred to in points (b)
and (c);
(g) | provide the Commission with an
opinion for the assessment of the
adequacy of the level of protection in a
third country, a territory or one or more
specified sectors within a third country,
or an international organisation,
including for the assessment whether
such a third country, territory, specified
sector, or international organisation no
longer ensures an adequate level of
protection;
(h) | promote the cooperation and the
effective bilateral and multilateral
exchange of information and best
practices between the supervisory
authorities;
(i) | promote common training
programmes and facilitate personnel
exchanges between the supervisory
authorities and, where appropriate, with
the supervisory authorities of third
Article 51
Missions du comité
1.   Le comité institué par le règlement
(UE) 2016/679 exerce les missions ci-
après en ce qui concerne les activités de
traitement relevant du champ
d'application de la présente directive:
a) | conseiller la Commission sur toute
question relative à la protection des
données à caractère personnel dans
l'Union, notamment sur tout projet de
modification de la présente directive;
b) | examiner, de sa propre initiative, à
la demande de l'un de ses membres ou
à la demande de la Commission, toute
question portant sur l'application de la
présente directive, et publier des lignes
directrices, des recommandations et
des bonnes pratiques afin de favoriser
l'application cohérente de la présente
directive;
c) | élaborer, à l'intention des autorités
de contrôle, des lignes directrices
concernant l'application des mesures
visées à l'article 47, paragraphes 1 et 3;
d) | publier des lignes directrices, des
recommandations et des bonnes
pratiques conformément au point b) du
présent alinéa, en vue d'établir les
violations de données à caractère
personnel et de déterminer les
meilleurs délais visés à l'article 30,
paragraphes 1 et 2, et de préciser les
circonstances particulières dans
lesquelles un responsable du traitement
ou un sous-traitant est tenu de notifier
la violation des données à caractère
personnel;
e) | publier des lignes directrices, des
recommandations et des bonnes
pratiques conformément au point b) du
présent alinéa concernant les
circonstances dans lesquelles une
violation de données à caractère
personnel est susceptible d'engendrer
un risque élevé pour les droits et
libertés des personnes physiques,
comme le prévoit l'article 31,
paragraphe 1;
f) | faire le bilan de l'application
pratique des lignes directrices, des
recommandations et des bonnes
pratiques visées aux points b) et c);
g) | rendre à la Commission un avis en
ce qui concerne l'évaluation du
caractère adéquat du niveau de
protection assuré par un pays tiers, un
territoire ou un ou plusieurs secteurs
déterminés dans un pays tiers, ou une
organisation internationale, y compris
concernant l'évaluation visant à
déterminer si ce pays tiers, ce territoire,
ce secteur déterminé ou cette
organisation internationale n'assure
plus un niveau adéquat de protection;
h) | promouvoir la coopération et
l'échange bilatéral et multilatéral
effectif d'informations et de bonnes
pratiques entre les autorités de
contrôle;
i) | promouvoir l'élaboration de
programmes de formation conjoints et
faciliter les échanges de personnel
entre autorités de contrôle, ainsi que, le
cas échéant, avec les autorités de
autoritățile de supraveghere ale țărilor
terțe sau cu organizațiile internaționale;
(j) | promovează schimbul de cunoștințe
și de documente privind dreptul și
practicile în materie de protecție a
datelor cu autoritățile de supraveghere
a protecției datelor la nivel mondial.
În ceea ce privește litera (g) de la primul
paragraf, Comisia pune la dispoziția
comitetului toată documentația
necesară, inclusiv corespondența
purtată cu guvernul țării terțe, al
teritoriului respectiv sau cu sectorul
specific din respectiva țară terță, sau cu
organizația internațională.
(2)   În cazul în care Comisia solicită
consiliere din partea comitetului,
aceasta poate indica un termen limită,
ținând seama de caracterul urgent al
chestiunii.
(3)   Comitetul își transmite avizele,
orientările, recomandările și bunele
practici Comisiei și comitetului
menționat la articolul 58 alineatul (1) și
le publică.
(4)   Comisia informează comitetul cu
privire la măsurile pe care le-a luat în
urma avizelor, orientărilor,
recomandărilor și bunelor practici
emise de comitet.
CAPITOLUL VIII
Căi de atac, răspundere și sancțiuni
Articolul 52
Dreptul de a depune o plângere la o
autoritate de supraveghere
(1)   Fără a aduce atingere oricăror alte
căi de atac administrative sau judiciare,
statele membre garantează oricărei
persoane vizate dreptul de a depune o
plângere la o singură autoritate de
supraveghere, în cazul în care persoana
vizată consideră că prelucrarea datelor
cu caracter personal care o vizează
încalcă dispozițiile adoptate în temeiul
prezentei directive.
(2)   Statele membre garantează că, în
cazul în care plângerea nu este depusă
la autoritatea de supraveghere
competentă în temeiul articolului 45
alineatul (1), autoritatea de
supraveghere la care a fost depusă
plângerea o transmite autorității de
supraveghere competente, fără
întârzieri nejustificate. Persoana vizată
este informată cu privire la transmitere.
(3)   Statele membre garantează că
autoritatea de supraveghere la care s-a
depus plângerea oferă, la cerere,
asistență suplimentară persoanei vizate.
(4)   Persoana vizată este informată de
către autoritatea de supraveghere
competentă cu privire la evoluția și
rezultatul plângerii, inclusiv cu privire la
posibilitatea de a exercita o cale de atac
judiciară în conformitate cu articolul 53.
Articolul 53
Dreptul la o cale de atac judiciară
eficientă împotriva unei autorități de
supraveghere
(1)   Fără a aduce atingere oricăror alte
căi de atac administrative sau
extrajudiciare, statele membre dispun
că o persoană fizică sau juridică are
dreptul de a exercita o cale de atac
countries or with international
organisations;
(j) | promote the exchange of
knowledge and documentation on data
protection law and practice with data
protection supervisory authorities
worldwide.
With regard to point (g) of the first
subparagraph, the Commission shall
provide the Board with all necessary
documentation, including
correspondence with the government of
the third country, with the territory or
specified sector within that third
country, or with the international
organisation.
2.   Where the Commission requests
advice from the Board, it may indicate a
time limit, taking into account the
urgency of the matter.
3.   The Board shall forward its
opinions, guidelines, recommendations
and best practices to the Commission
and to the committee referred to in
Article 58(1) and make them public.
4.   The Commission shall inform the
Board of the action it has taken
following opinions, guidelines,
recommendations and best practices
issued by the Board.
CHAPTER VIII
Remedies, liability and penalties
Article 52
Right to lodge a complaint with a
supervisory authority
1.   Without prejudice to any other
administrative or judicial remedy,
Member States shall provide for every
data subject to have the right to lodge a
complaint with a single supervisory
authority, if the data subject considers
that the processing of personal data
relating to him or her infringes
provisions adopted pursuant to this
Directive.
2.   Member States shall provide for the
supervisory authority with which the
complaint has been lodged to transmit
it to the competent supervisory
authority, without undue delay if the
complaint is not lodged with the
supervisory authority that is competent
pursuant to Article 45(1). The data
subject shall be informed about the
transmission.
3.   Member States shall provide for the
supervisory authority with which the
complaint has been lodged to provide
further assistance on request of the
data subject.
4.   The data subject shall be informed
by the competent supervisory authority
of the progress and the outcome of the
complaint, including of the possibility
of a judicial remedy pursuant to Article
53.
Article 53
Right to an effective judicial remedy
against a supervisory authority
1.   Without prejudice to any other
administrative or non-judicial remedy,
Member States shall provide for the
right of a natural or legal person to an
effective judicial remedy against a
contrôle de pays tiers ou avec des
organisations internationales;
j) | promouvoir l'échange, avec des
autorités de contrôle de la protection
des données de tous pays, de
connaissances et de documentation sur
le droit et les pratiques en matière de
protection des données.
En ce qui concerne le point g) du
premier alinéa, la Commission fournit
au comité tous les documents
nécessaires, y compris la
correspondance avec le gouvernement
du pays tiers, le territoire ou le secteur
déterminé dans ce pays tiers, ou avec
l'organisation internationale.
2.   Lorsque la Commission demande
conseil au comité, elle peut mentionner
un délai, selon l'urgence de la question.
3.   Le comité transmet ses avis, lignes
directrices, recommandations et bonnes
pratiques à la Commission et au comité
visé à l'article 58, paragraphe 1, et les
publie.
4.   La Commission informe le comité
des suites qu'elle a réservées aux avis,
lignes directrices, recommandations et
bonnes pratiques publiés par le comité.
CHAPITRE VIII
Voies de recours, responsabilité et
sanctions
Article 52
Droit d'introduire une réclamation
auprès d'une autorité de contrôle
1.   Sans préjudice de tout autre recours
administratif ou juridictionnel, les États
membres prévoient que toute personne
concernée a le droit d'introduire une
réclamation auprès d'une autorité de
contrôle unique, si elle considère que le
traitement de données à caractère
personnel la concernant constitue une
violation des dispositions adoptées en
vertu de la présente directive.
2.   Les États membres prévoit que, si la
réclamation n'est pas introduite auprès
de l'autorité de contrôle compétente au
titre de l'article 45, paragraphe 1,
l'autorité de contrôle auprès de laquelle
la réclamation a été introduite la
transmet dans les meilleurs délais à
l'autorité de contrôle compétente. La
personne concernée est informée de
cette transmission.
3.   Les États membres prévoient que
l'autorité de contrôle auprès de laquelle
la réclamation a été introduite fournit
une assistance supplémentaire à la
demande de la personne concernée.
4.   La personne concernée est informée
par l'autorité de contrôle compétente de
l'état d'avancement et de l'issue de la
réclamation, y compris de la possibilité
d'un recours juridictionnel en vertu de
l'article 53.
Article 53
Droit à un recours juridictionnel effectif
contre une autorité de contrôle
1.   Sans préjudice de tout autre recours
administratif ou extrajudiciaire, les
États membres prévoient qu'une
personne physique ou morale a le droit
de former un recours juridictionnel
judiciară eficientă împotriva unei decizii
obligatorii din punct de vedere juridic a
unei autorități de supraveghere care o
vizează.
(2)   Fără a aduce atingere oricăror alte
căi de atac administrative sau
extrajudiciare, fiecare persoană vizată
are dreptul de a exercita o cale de atac
judiciară eficientă în cazul în care
autoritatea de supraveghere
competentă în conformitate cu articolul
45 alineatul (1) nu tratează o plângere
sau nu informează persoana vizată în
termen de trei luni cu privire la
progresele sau la soluționarea plângerii
depuse în conformitate cu articolul 52.
(3)   Statele membre garantează că
acțiunile împotriva unei autorități de
supraveghere sunt introduse în fața
instanțelor din statul membru în care
este stabilită autoritatea de
supraveghere.
Articolul 54
Dreptul la o cale de atac judiciară
eficientă împotriva unui operator sau a
unei persoane împuternicite de către
operator
Fără a aduce atingere vreunei căi de
atac administrative sau extrajudiciare
disponibile, inclusiv dreptului de a
depune o plângere la o autoritate de
supraveghere în conformitate cu
articolul 52, statele membre garantează
persoanei vizate dreptul la exercitarea
unei căi de atac judiciare eficiente în
cazul în care aceasta consideră că, prin
prelucrarea datelor sale cu caracter
personal cu nerespectarea dispozițiilor
adoptate în temeiul prezentei directive,
au fost încălcate drepturile care îi revin
în conformitate cu dispozițiile
respective.
Articolul 55
Reprezentarea persoanelor vizate
În conformitate cu dreptul intern
procedural, statele membre garantează
oricărei persoane vizate dreptul de a
mandata un organism, o organizație
sau o asociație, care nu are scop
lucrativ și care a fost constituită în mod
corespunzător în conformitate cu
dreptul intern, ale cărei obiective
statutare sunt de interes public și care
este activă în domeniul protecției
drepturilor și libertăților persoanelor
vizate în ceea ce privește protecția
datelor lor cu caracter personal, să
depună plângerea în numele său și să
exercite în numele său drepturile
menționate la articolele 52, 53 și 54.
Articolul 56
Dreptul la despăgubiri
Statele membre garantează oricărei
persoane care a suferit prejudicii
materiale sau morale ca urmare a unei
operațiuni de prelucrare ilegale sau a
oricărei acțiuni care încalcă dispozițiile
adoptate în temeiul prezentei directive
dreptul de a obține despăgubiri, în
temeiul dreptului intern, pentru
prejudiciul cauzat de operator sau de o
altă autoritate competentă.
Articolul 57
Sancțiuni
legally binding decision of a supervisory
authority concerning them.
2.   Without prejudice to any other
administrative or non-judicial remedy,
each data subject shall have the right to
an effective judicial remedy where the
supervisory authority which is
competent pursuant to Article 45(1)
does not handle a complaint or does
not inform the data subject within three
months of the progress or outcome of
the complaint lodged pursuant to
Article 52.
3.   Member States shall provide for
proceedings against a supervisory
authority to be brought before the
courts of the Member State where the
supervisory authority is established.
Article 54
Right to an effective judicial remedy
against a controller or processor
Without prejudice to any available
administrative or non-judicial remedy,
including the right to lodge a complaint
with a supervisory authority pursuant to
Article 52, Member States shall provide
for the right of a data subject to an
effective judicial remedy where he or
she considers that his or her rights laid
down in provisions adopted pursuant to
this Directive have been infringed as a
result of the processing of his or her
personal data in non-compliance with
those provisions.
Article 55
Representation of data subjects
Member States shall, in accordance with
Member State procedural law, provide
for the data subject to have the right to
mandate a not-for-profit body,
organisation or association which has
been properly constituted in accordance
with Member State law, has statutory
objectives which are in the public
interest and is active in the field of
protection of data subject's rights and
freedoms with regard to the protection
of their personal data to lodge the
complaint on his or her behalf and to
exercise the rights referred to in
Articles 52, 53 and 54 on his or her
behalf.
Article 56
Right to compensation
Member States shall provide for any
person who has suffered material or
non-material damage as a result of an
unlawful processing operation or of any
act infringing national provisions
adopted pursuant to this Directive to
have the right to receive compensation
for the damage suffered from the
controller or any other authority
competent under Member State law.
Article 57
Penalties
effectif contre une décision
juridiquement contraignante d'une
autorité de contrôle qui la concerne.
2.   Sans préjudice de tout autre recours
administratif ou extrajudiciaire, toute
personne concernée a le droit de former
un recours juridictionnel effectif lorsque
l'autorité de contrôle qui est
compétente en vertu de l'article 45,
paragraphe 1, ne traite pas une
réclamation ou n'informe pas la
personne concernée, dans un délai de
trois mois, de l'état d'avancement ou de
l'issue de la réclamation qu'elle a
introduite au titre de l'article 52.
3.   Les États membres disposent que
les actions contre une autorité de
contrôle sont intentées devant les
juridictions de l'État membre sur le
territoire duquel l'autorité de contrôle
est établie.
Article 54
Droit à un recours juridictionnel effectif
contre un responsable du traitement ou
un sous-traitant
Les États membres prévoient que, sans
préjudice de tout recours administratif
ou extrajudiciaire qui leur est ouvert,
notamment le droit d'introduire une
réclamation auprès d'une autorité de
contrôle en vertu de l'article 52, une
personne concernée a droit à un
recours juridictionnel effectif lorsqu'elle
considère que ses droits prévus dans
les dispositions adoptées en vertu de la
présente directive ont été violés du fait
d'un traitement de ses données à
caractère personnel effectué en
violation desdites dispositions.
Article 55
Représentation des personnes
concernées
Les États membres prévoient,
conformément à leur droit procédural,
que la personne concernée a le droit de
mandater un organisme, une
organisation ou une association à but
non lucratif, qui a été valablement
constitué conformément au droit d'un
État membre, dont les objectifs
statutaires sont d'intérêt public et qui
est actif dans le domaine de la
protection des droits et libertés des
personnes concernées dans le cadre de
la protection des données à caractère
personnel la concernant, pour qu'il
introduise une réclamation en son nom
et exerce en son nom les droits visés
aux articles 52, 53 et 54.
Article 56
Droit à réparation
Les États membres prévoient que toute
personne ayant subi un dommage
matériel ou un préjudice moral du fait
d'une opération de traitement illicite ou
de toute action qui constitue une
violation des dispositions nationales
adoptées en vertu de la présente
directive a le droit d'obtenir du
responsable du traitement, ou de toute
autre autorité compétente en vertu du
droit d'un État membre, réparation du
préjudice subi.
Article 57
Sanctions
Statele membre definesc normele
privind sancțiunile aplicabile în cazurile
de încălcare a dispozițiilor adoptate în
temeiul prezentei directive și iau toate
măsurile necesare pentru a se asigura
că acestea sunt puse în aplicare.
Sancțiunile prevăzute trebuie să fie
eficace, proporționale și disuasive.
CAPITOLUL IX
Acte de punere în aplicare
Articolul 58
Procedura comitetului
(1)   Comisia este asistată de comitetul
înființat prin articolul 93 din
Regulamentul (UE) 2016/679. Acesta
reprezintă un comitet în sensul
Regulamentului (UE) nr. 182/2011.
(2)   Atunci când se face trimitere la
prezentul alineat, se aplică articolul 5
din Regulamentul (UE) nr. 182/2011.
(3)   Atunci când se face trimitere la
prezentul alineat, se aplică articolul 8
din Regulamentul (UE) nr. 182/2011
coroborat cu articolul 5 din același
regulament.
CAPITOLUL X
Dispoziții finale
Articolul 59
Abrogarea Deciziei-cadru 2008/977/JAI
(1)   Decizia-cadru 2008/977/JAI se
abrogă începând cu 6 mai 2018.
(2)   Trimiterile la decizia abrogată
menționată la alineatul (1) se
interpretează ca trimiteri la prezenta
directivă.
Articolul 60
Actele Uniunii aflate deja în vigoare
Dispozițiile specifice referitoare la
protecția datelor cu caracter personal
din actele juridice ale Uniunii care au
intrat în vigoare până la 6 mai 2016 în
domeniul cooperării judiciare în materie
penală și al cooperării polițienești, care
reglementează prelucrarea între statele
membre și accesul autorităților
desemnate ale statelor membre la
sistemele de informații instituite în
temeiul tratatelor și care intră sub
incidența prezentei directive nu sunt
afectate.
Articolul 61
Relația cu acordurile internaționale
încheiate anterior în domeniul
cooperării judiciare în materie penală și
al cooperării polițienești
Acordurile internaționale care implică
transferul de date cu caracter personal
către țări terțe sau organizații
internaționale, care au fost încheiate de
statele membre înainte de 6 mai 2016
și sunt aplicabile înainte de 6 mai 2016
și care sunt în conformitate cu dreptul
Uniunii, rămân în vigoare până la
modificarea, înlocuirea sau revocarea
lor.
Articolul 62
Rapoartele Comisiei
(1)   Până la 6 mai 2022 și, ulterior, la
fiecare patru ani, Comisia transmite
Member States shall lay down the rules
on penalties applicable to infringements
of the provisions adopted pursuant to
this Directive and shall take all
measures necessary to ensure that they
are implemented. The penalties
provided for shall be effective,
proportionate and dissuasive.
CHAPTER IX
Implementing acts
Article 58
Committee procedure
1.   The Commission shall be assisted
by the committee established by Article
93 of Regulation (EU) 2016/679. That
committee shall be a committee within
the meaning of Regulation (EU) No
182/2011.
2.   Where reference is made to this
paragraph, Article 5 of Regulation (EU)
No 182/2011 shall apply.
3.   Where reference is made to this
paragraph, Article 8 of Regulation (EU)
No 182/2011, in conjunction with
Article 5 thereof, shall apply.
CHAPTER X
Final provisions
Article 59
Repeal of Framework Decision
2008/977/JHA
1.   Framework Decision 2008/977/JHA
is repealed with effect from 6 May
2018.
2.   References to the repealed Decision
referred to in paragraph 1 shall be
construed as references to this
Directive.
Article 60
Union legal acts already in force
The specific provisions for the
protection of personal data in Union
legal acts that entered into force on or
before 6 May 2016 in the field of
judicial cooperation in criminal matters
and police cooperation, which regulate
processing between Member States and
the access of designated authorities of
Member States to information systems
established pursuant to the Treaties
within the scope of this Directive, shall
remain unaffected.
Article 61
Relationship with previously concluded
international agreements in the field of
judicial cooperation in criminal matters
and police cooperation
International agreements involving the
transfer of personal data to third
countries or international organisations
which were concluded by Member
States prior to 6 May 2016 and which
comply with Union law as applicable
prior to that date shall remain in force
until amended, replaced or revoked.
Article 62
Commission reports
1.   By 6 May 2022, and every four years
thereafter, the Commission shall submit
Les États membres déterminent le
régime des sanctions applicables en cas
de violations des dispositions adoptées
en vertu de la présente directive et
prennent toutes les mesures
nécessaires pour garantir leur mise en
œuvre. Les sanctions ainsi prévues
doivent être effectives, proportionnées
et dissuasives.
CHAPITRE IX
Actes d'exécution
Article 58
Comité
1.   La Commission est assistée par le
comité institué par l'article 93 du
règlement (UE) 2016/679. Ledit comité
est un comité au sens du règlement
(UE) no 182/2011.
2.   Lorsqu'il est fait référence au
présent paragraphe, l'article 5 du
règlement (UE) no 182/2011 s'applique.
3.   Lorsqu'il est fait référence au
présent paragraphe, l'article 8 du
règlement (UE) no 182/2011 s'applique,
en liaison avec son article 5.
CHAPITRE X
Dispositions finales
Article 59
Abrogation de la décision-cadre
2008/977/JAI
1.   La décision-cadre 2008/977/JAI est
abrogée à compter du 6 mai 2018.
2.   Les références faites à la décision
abrogée visée au paragraphe 1
s'entendent comme faites à la présente
directive.
Article 60
Actes juridiques de l'Union déjà en
vigueur
Les dispositions spécifiques relatives à
la protection des données à caractère
personnel figurant dans des actes
juridiques de l'Union qui sont entrés en
vigueur le 6 mai 2016 ou avant cette
date dans le domaine de la coopération
judiciaire en matière pénale et de la
coopération policière, qui réglementent
le traitement entre États membres et
l'accès des autorités nationales
désignées des États membres aux
systèmes d'information créés en vertu
des traités, dans le cadre de la présente
directive, demeurent inchangées.
Article 61
Relation avec les accords internationaux
conclus antérieurement dans le
domaine de la coopération judiciaire en
matière pénale et de la coopération
policière
Les accords internationaux impliquant
le transfert de données à caractère
personnel vers des pays tiers ou à des
organisations internationales qui ont
été conclus par les États membres avant
le 6 mai 2016 et qui respectent le droit
de l'Union tel qu'il est applicable avant
cette date restent en vigueur jusqu'à
leur modification, leur remplacement ou
leur révocation.
Article 62
Rapports de la Commission
1.   Au plus tard le 6 mai 2022, et tous
les quatre ans par la suite, la
Parlamentului European și Consiliului,
un raport privind evaluarea și revizuirea
prezentei directive. Rapoartele sunt
făcute publice.
(2)   În contextul evaluărilor și
revizuirilor menționate la alineatul (1),
Comisia examinează, în special,
aplicarea și funcționarea capitolului V
privind transferul datelor cu caracter
personal către țări terțe sau organizații
internaționale, acordând o atenție
deosebită deciziilor adoptate în temeiul
articolului 36 alineatul (3) și al
articolului 39.
(3)   În scopul alineatelor (1) și (2),
Comisia poate solicita informații de la
statele membre și de la autoritățile de
supraveghere.
(4)   La efectuarea evaluărilor și
revizuirilor menționate la alineatele (1)
și (2), Comisia ia în considerare pozițiile
și concluziile Parlamentului European,
ale Consiliului și ale altor organisme și
surse relevante.
(5)   Comisia transmite, dacă este
necesar, propuneri corespunzătoare în
vederea modificării prezentei directive,
în special ținând seama de evoluțiile din
domeniul tehnologiei informației și
având în vedere progresele societății
informaționale.
(6)   Până la 6 mai 2019, Comisia
revizuiește celelalte acte adoptate de
Uniune care reglementează prelucrarea
de către autoritățile competente în
scopurile prevăzute la articolul 1
alineatul (1), inclusiv actele menționate
la articolul 60, pentru a evalua
necesitatea de a le alinia la prezenta
directivă și prezintă, după caz,
propunerile necesare de modificare a
actelor respective pentru a asigura o
abordare uniformă privind protecția
datelor cu caracter personal care intră
în domeniul de aplicare al prezentei
directive.
Articolul 63
Transpunerea
(1)   Statele membre adoptă și publică,
până la 6 mai 2018, actele cu putere de
lege și actele administrative necesare
pentru a se conforma prezentei
directive. Statele membre notifică de
îndată Comisiei textele acestor
dispoziții. Statele membre aplică aceste
dispoziții începând cu 6 mai 2018.
Atunci când statele membre adoptă
dispozițiile respective, acestea conțin o
trimitere la prezenta directivă sau sunt
însoțite de o astfel de trimitere la data
publicării lor oficiale. Statele membre
stabilesc modalitatea de efectuare a
acestei trimiteri.
(2)   Prin derogare de la alineatul (1), un
stat membru poate prevedea că, în mod
excepțional, în cazul în care acest lucru
implică eforturi disproporționate,
sistemele de prelucrare automată
instituite înainte de 6 mai 2016 sunt
aduse în conformitate cu articolul 25
alineatul (1) până la 6 mai 2023.
(3)   Prin derogare de la alineatele (1) și
(2) din prezentul articol, un stat
membru poate aduce, în circumstanțe
a report on the evaluation and review of
this Directive to the European
Parliament and to the Council. The
reports shall be made public.
2.   In the context of the evaluations
and reviews referred to in paragraph 1,
the Commission shall examine, in
particular, the application and
functioning of Chapter V on the transfer
of personal data to third countries or
international organisations with
particular regard to decisions adopted
pursuant to Article 36(3) and Article 39.
3.   For the purposes of paragraphs 1
and 2, the Commission may request
information from Member States and
supervisory authorities.
4.   In carrying out the evaluations and
reviews referred to in paragraphs 1 and
2, the Commission shall take into
account the positions and findings of
the European Parliament, of the Council
and of other relevant bodies or sources.
5.   The Commission shall, if necessary,
submit appropriate proposals with a
view to amending this Directive, in
particular taking account of
developments in information
technology and in the light of the state
of progress in the information society.
6.   By 6 May 2019, the Commission
shall review other legal acts adopted by
the Union which regulate processing by
the competent authorities for the
purposes set out in Article 1(1)
including those referred to in Article 60,
in order to assess the need to align
them with this Directive and to make,
where appropriate, the necessary
proposals to amend those acts to
ensure a consistent approach to the
protection of personal data within the
scope of this Directive.
Article 63
Transposition
1.   Member States shall adopt and
publish, by 6 May 2018, the laws,
regulations and administrative
provisions necessary to comply with
this Directive. They shall forthwith
notify to the Commission the text of
those provisions. They shall apply those
provisions from 6 May 2018.
When Member States adopt those
provisions, they shall contain a
reference to this Directive or shall be
accompanied by such a reference on
the occasion of their official
publication. Member States shall
determine how such reference is to be
made.
2.   By way of derogation from
paragraph 1, a Member State may
provide, exceptionally, where it involves
disproportionate effort, for automated
processing systems set up before 6 May
2016 to be brought into conformity
with Article 25(1) by 6 May 2023.
3.   By way of derogation from
paragraphs 1 and 2 of this Article, a
Member State may, in exceptional
Commission présente au Parlement
européen et au Conseil un rapport sur
l'évaluation et le réexamen de la
présente directive. Ces rapports sont
publiés.
2.   Dans le cadre de ces évaluations et
réexamens visés au paragraphe 1, la
Commission examine, en particulier,
l'application et le fonctionnement du
chapitre V sur le transfert de données à
caractère personnel vers des pays tiers
ou à des organisations internationales,
en accordant une attention particulière
aux décisions adoptées en vertu de
l'article 36, paragraphe 3, et de
l'article 39.
3.   Aux fins des paragraphes 1 et 2, la
Commission peut demander des
informations aux États membres et aux
autorités de contrôle.
4.   Lorsqu'elle procède aux évaluations
et réexamens visés aux paragraphes 1
et 2, la Commission tient compte des
positions et des conclusions du
Parlement européen, du Conseil ainsi
que d'autres organismes ou sources
pertinents.
5.   La Commission présente, si
nécessaire, des propositions législatives
visant à modifier la présente directive,
en particulier en tenant compte des
évolutions en matière de technologie de
l'information et de l'état d'avancement
de la société de l'information.
6.   Au plus tard le 6 mai 2019, la
Commission réexamine d'autres actes
juridiques adoptés par l'Union qui
réglementent le traitement par les
autorités compétentes aux fins
énoncées à l'article 1er, paragraphe 1, y
compris ceux qui sont visés à
l'article 60, afin d'apprécier la nécessité
de les mettre en conformité avec la
présente directive et de formuler, le cas
échéant, les propositions nécessaires
en vue de modifier ces actes pour
assurer une approche cohérente de la
protection des données à caractère
personnel dans le cadre de la présente
directive.
Article 63
Transposition
1.   Les États membres adoptent et
publient, au plus tard le 6 mai 2018, les
dispositions législatives, réglementaires
et administratives nécessaires pour se
conformer à la présente directive. Ils
communiquent immédiatement à la
Commission le texte de ces
dispositions. Ils appliquent ces
dispositions à partir du 6 mai 2018.
Lorsque les États membres adoptent
ces dispositions, celles-ci contiennent
une référence à la présente directive ou
sont accompagnées d'une telle
référence lors de leur publication
officielle. Les modalités de cette
référence sont arrêtées par les États
membres.
2.   Par dérogation au paragraphe 1, un
État membre peut prévoir que, à titre
exceptionnel, lorsque cela exige des
efforts disproportionnés, les systèmes
de traitement automatisé installés avant
le 6 mai 2016 sont mis en conformité
avec l'article 25, paragraphe 1, au plus
tard le 6 mai 2023.
3.   Par dérogation aux paragraphes 1
et 2 du présent article, un État membre
peut, dans des circonstances
excepționale, în conformitate cu
articolul 25 alineatul (1), un sistem de
prelucrare automată, în conformitate cu
alineatul (2) din prezentul articol, într-
un termen determinat, după încheierea
perioadei menționate la alineatul (2) din
prezentul articol, dacă, în caz contrar,
s-ar provoca dificultăți majore pentru
funcționarea respectivului sistem de
prelucrare automată. Statul membru
respectiv notifică Comisiei motivele
respectivelor dificultăți majore și
motivele pe care se întemeiază
termenul determinat în care statul
membru aduce în conformitate cu
articolul 25 alineatul (1) respectivul
sistem de prelucrare automată.
Termenul determinat nu depășește în
niciun caz 6 mai 2026.
(4)   Statele membre comunică Comisiei
textul principalelor dispoziții de drept
intern pe care le adoptă în domeniul
reglementat de prezenta directivă.
Articolul 64
Intrarea în vigoare
Prezenta directivă intră în vigoare în
ziua următoare datei publicării în
Jurnalul Oficial al Uniunii Europene.
Articolul 65
Destinatari
Prezenta directivă se adresează statelor
membre.
Adoptată la Bruxelles, 27 aprilie 2016.
Pentru Parlamentul European
Președintele
M. SCHULZ
Pentru Consiliu
Președintele
J.A. HENNIS-PLASSCHAERT
(1)  JO C 391, 18.12.2012, p. 127.
(2)  Poziția Parlamentului European din
12 martie 2014 (nepublicată încă în
Jurnalul Oficial) și Poziția în primă
lectură a Consiliului din 8 aprilie 2016
(nepublicată încă în Jurnalul Oficial).
Poziția Parlamentului European din 14
aprilie 2016.
(3)  Directiva 95/46/CE a Parlamentului
European și a Consiliului din 24
octombrie 1995 privind protecția
persoanelor fizice în ceea ce privește
prelucrarea datelor cu caracter personal
și libera circulație a acestor date (JO
L 281, 23.11.1995, p. 31).
(4)  Decizia-cadru 2008/977/JAI a
Consiliului din 27 noiembrie 2008
privind protecția datelor cu caracter
personal prelucrate în cadrul cooperării
polițienești și judiciare în materie
penală (JO L 350, 30.12.2008, p. 60).
(5)  Regulamentul (UE) 2016/679 al
Parlamentului European și al Consiliului
din 27 aprilie 2016 privind protecția
persoanelor fizice referitor la
prelucrarea datelor cu caracter personal
și libera circulație a acestor date și de
abrogare a Directivei 95/46/CE
(Regulamentul general privind protecția
datelor) (a se vedea pagina 1 din
prezentul Jurnal Oficial).
(6)  Regulamentul (CE) nr. 45/2001 al
Parlamentului European și al Consiliului
din 18 decembrie 2000 privind
circumstances, bring an automated
processing system as referred to in
paragraph 2 of this Article into
conformity with Article 25(1) within a
specified period after the period
referred to in paragraph 2 of this
Article, if it would otherwise cause
serious difficulties for the operation of
that particular automated processing
system. The Member State concerned
shall notify the Commission of the
grounds for those serious difficulties
and the grounds for the specified
period within which it shall bring that
particular automated processing system
into conformity with Article 25(1). The
specified period shall in any event not
be later than 6 May 2026.
4.   Member States shall communicate
to the Commission the text of the main
provisions of national law which they
adopt in the field covered by this
Directive.
Article 64
Entry into force
This Directive shall enter into force on
the day following that of its publication
in the Official Journal of the European
Union.
Article 65
Addressees
This Directive is addressed to the
Member States.
Done at Brussels, 27 April 2016.
For the European Parliament
The President
M. SCHULZ
For the Council
The President
J.A. HENNIS-PLASSCHAERT
(1)  OJ C 391, 18.12.2012, p. 127.
(2)  Position of the European Parliament
of 12 March 2014 (not yet published in
the Official Journal) and position of the
Council at first reading of 8 April 2016
(not yet published in the Official
Journal). Position of the European
Parliament of 14 April 2016.
(3)  Directive 95/46/EC of the European
Parliament and of the Council of 24
October 1995 on the protection of
individuals with regard to the
processing of personal data and on the
free movement of such data (OJ L 281,
23.11.1995, p. 31).
(4)  Council Framework Decision
2008/977/JHA of 27 November 2008
on the protection of personal data
processed in the framework of police
and judicial cooperation in criminal
matters (OJ L 350, 30.12.2008, p. 60).
(5)  Regulation (EU) 2016/679 of the
European Parliament and of the Council
of 27 April 2016 on the protection of
natural persons with regard to the
processing of personal data and on the
free movement of such data and
repealing Directive 95/46/EC (General
Data Protection Regulation) (see page 1
of this Official Journal).
(6)  Regulation (EC) No 45/2001 of the
European Parliament and of the Council
of 18 December 2000 on the protection
exceptionnelles, mettre un système
donné de traitement automatisé visé au
paragraphe 2 du présent article, en
conformité avec l'article 25,
paragraphe 1, dans un délai déterminé
après le délai visé au paragraphe 2 du
présent article, lorsque, à défaut de
cela, de graves difficultés se poseraient
pour le fonctionnement du système de
traitement automatisé en question.
L'État membre concerné notifie à la
Commission les raisons de ces graves
difficultés et les motifs justifiant le délai
déterminé de mise en conformité du
système donné de traitement
automatisé avec l'article 25,
paragraphe 1. Le délai déterminé n'est
en aucun cas fixé au-delà du 6 mai
2026.
4.   Les États membres communiquent à
la Commission le texte des dispositions
essentielles de droit interne qu'ils
adoptent dans le domaine régi par la
présente directive.
Article 64
Entrée en vigueur
La présente directive entre en vigueur le
jour suivant celui de sa publication au
Journal officiel de l'Union européenne.
Article 65
Destinataires
Les États membres sont destinataires
de la présente directive.
Fait à Bruxelles, le 27 avril 2016.
Par le Parlement européen
Le président
M. SCHULZ
Par le Conseil
Le président
J.A. HENNIS-PLASSCHAERT
(1)  JO C 391 du 18.12.2012, p. 127.
(2)  Position du Parlement européen du
12 mars 2014 (non encore parue au
Journal officiel) et position du Conseil
en première lecture du 8 avril 2016
(non encore parue au Journal officiel).
Position du Parlement européen du
14 avril 2016.
(3)  Directive 95/46/CE du Parlement
européen et du Conseil du 24 octobre
1995 relative à la protection des
personnes physiques à l'égard du
traitement des données à caractère
personnel et à la libre circulation de ces
données (JO L 281 du 23.11.1995,
p. 31).
(4)  Décision-cadre 2008/977/JAI du
Conseil du 27 novembre 2008 relative à
la protection des données à caractère
personnel traitées dans le cadre de la
coopération policière et judiciaire en
matière pénale (JO L 350 du
30.12.2008, p. 60).
(5)  Règlement (UE) 2016/679 du
Parlement européen et du Conseil du
27 avril 2016 relatif à la protection des
personnes physiques à l'égard du
traitement des données à caractère
personnel et à la libre circulation de ces
données et abrogeant la directive
95/46/CE (règlement général sur la
protection des données) (voir page 1 du
présent Journal officiel).
(6)  Règlement (CE) no 45/2001 du
Parlement européen et du Conseil du
18 décembre 2000 relatif à la
protecția persoanelor fizice cu privire la
prelucrarea datelor cu caracter personal
de către instituțiile și organele
comunitare și privind libera circulație a
acestor date (JO L 8, 12.1.2001, p. 1).
(7)  Directiva 2011/24/UE a
Parlamentului European și a Consiliului
din 9 martie 2011 privind aplicarea
drepturilor pacienților în cadrul
asistenței medicale transfrontaliere (JO
L 88, 4.4.2011, p. 45).
(8)  Poziția comună 2005/69/JAI a
Consiliului din 24 ianuarie 2005 privind
schimbul de anumite date cu Interpol
(JO L 27, 29.1.2005, p. 61).
(9)  Decizia 2007/533/JAI a Consiliului
din 12 iunie 2007 privind înființarea,
funcționarea și utilizarea Sistemului de
informații Schengen de a doua
generație (SIS II) (JO L 205, 7.8.2007,
p. 63).
(10)  Directiva 77/249/CEE a Consiliului
din 22 martie 1977 de facilitare a
exercitării efective a libertății de a
presta servicii de către avocați (JO L 78,
26.3.1977, p. 17).
(11)  Regulamentul (UE) nr. 182/2011 al
Parlamentului European și al Consiliului
din 16 februarie 2011 de stabilire a
normelor și principiilor generale privind
mecanismele de control de către statele
membre al exercitării competențelor de
executare de către Comisie (JO L 55,
28.2.2011, p. 13).
(12)  Decizia 2008/615/JAI a Consiliului
din 23 iunie 2008 privind intensificarea
cooperării transfrontaliere, în special în
domeniul combaterii terorismului și a
criminalității transfrontaliere (JO L 210,
6.8.2008, p. 1).
(13)  Actul Consiliului din 29 mai 2000
de elaborare, în temeiul articolului 34
din Tratatul privind Uniunea Europeană,
a Convenției privind asistența judiciară
reciprocă în materie penală între statele
membre ale Uniunii Europene (JO
C 197, 12.7.2000, p. 1).
(14)  Directiva 2011/93/UE a
Parlamentului European și a Consiliului
din 13 decembrie 2011 privind
combaterea abuzului sexual asupra
copiilor, a exploatării sexuale a copiilor
și a pornografiei infantile și de înlocuire
a Deciziei-cadru 2004/68/JAI a
Consiliului (JO L 335, 17.12.2011, p. 1).
(15)  JO L 176, 10.7.1999, p. 36.
(16)  JO L 53, 27.2.2008, p. 52.
(17)  JO L 160, 18.6.2011, p. 21.
(18)  JO C 192, 30.6.2012, p. 7.
of individuals with regard to the
processing of personal data by the
Community institutions and bodies and
on the free movement of such data (OJ
L 8, 12.1.2001, p. 1).
(7)  Directive 2011/24/EU of the
European Parliament and of the Council
of 9 March 2011 on the application of
patients' rights in cross-border
healthcare (OJ L 88, 4.4.2011, p. 45).
(8)  Council Common Position
2005/69/JHA of 24 January 2005 on
exchanging certain data with Interpol
(OJ L 27, 29.1.2005, p. 61).
(9)  Council Decision 2007/533/JHA of
12 June 2007 on the establishment,
operation and use of the second
generation Schengen Information
System (SIS II) (OJ L 205, 7.8.2007,
p. 63).
(10)  Council Directive 77/249/EEC of
22 March 1977 to facilitate the effective
exercise by lawyers of freedom to
provide services (OJ L 78, 26.3.1977,
p. 17).
(11)  Regulation (EU) No 182/2011 of
the European Parliament and of the
Council of 16 February 2011 laying
down the rules and general principles
concerning mechanisms for control by
the Member States of the Commission's
exercise of implementing powers (OJ
L 55, 28.2.2011, p. 13).
(12)  Council Decision 2008/615/JHA of
23 June 2008 on the stepping up of
cross-border cooperation, particularly
in combating terrorism and cross-
border crime (OJ L 210, 6.8.2008, p. 1).
(13)  Council Act of 29 May 2000
establishing in accordance with Article
34 of the Treaty on European Union the
Convention on Mutual Assistance in
Criminal Matters between the Member
States of the European Union (OJ C 197,
12.7.2000, p. 1).
(14)  Directive 2011/93/EU of the
European Parliament and of the Council
of 13 December 2011 on combating the
sexual abuse and sexual exploitation of
children and child pornography, and
replacing Council Framework Decision
2004/68/JHA (OJ L 335, 17.12.2011,
p. 1).
(15)  OJ L 176, 10.7.1999, p. 36.
(16)  OJ L 53, 27.2.2008, p. 52.
(17)  OJ L 160, 18.6.2011, p. 21.
(18)  OJ C 192, 30.6.2012, p. 7.
protection des personnes physiques à
l'égard du traitement des données à
caractère personnel par les institutions
et organes communautaires et à la libre
circulation de ces données (JO L 8 du
12.1.2001, p. 1).
(7)  Directive 2011/24/UE du Parlement
européen et du Conseil du 9 mars 2011
relative à l'application des droits des
patients en matière de soins de santé
transfrontaliers (JO L 88 du 4.4.2011,
p. 45).
(8)  Position commune 2005/69/JAI du
Conseil du 24 janvier 2005 relative à
l'échange de certaines données avec
Interpol (JO L 27 du 29.1.2005, p. 61).
(9)  Décision 2007/533/JAI du Conseil
du 12 juin 2007 sur l'établissement, le
fonctionnement et l'utilisation du
système d'information Schengen de
deuxième génération (SIS II) (JO L 205
du 7.8.2007, p. 63).
(10)  Directive 77/249/CEE du Conseil
du 22 mars 1977 tendant à faciliter
l'exercice effectif de la libre prestation
de services par les avocats (JO L 78 du
26.3.1977, p. 17).
(11)  Règlement (UE) no 182/2011 du
Parlement européen et du Conseil du
16 février 2011 établissant les règles et
principes généraux relatifs aux
modalités de contrôle par les États
membres de l'exercice des compétences
d'exécution par la Commission (JO L 55
du 28.2.2011, p. 13).
(12)  Décision 2008/615/JAI du Conseil
du 23 juin 2008 relative à
l'approfondissement de la coopération
transfrontalière, notamment en vue de
lutter contre le terrorisme et la
criminalité transfrontalière (JO L 210 du
6.8.2008, p. 1).
(13)  Acte du Conseil du 29 mai 2000
établissant, conformément à l'article 34
du traité sur l'Union européenne, la
convention relative à l'entraide
judiciaire en matière pénale entre les
États membres de l'Union européenne
(JO C 197 du 12.7.2000, p. 1).
(14)  Directive 2011/93/UE du
Parlement européen et du Conseil du
13 décembre 2011 relative à la lutte
contre les abus sexuels et l'exploitation
sexuelle des enfants, ainsi que la
pédopornographie et remplaçant la
décision-cadre 2004/68/JAI du Conseil
(JO L 335 du 17.12.2011, p. 1).
(15)  JO L 176 du 10.7.1999, p. 36.
(16)  JO L 53 du 27.2.2008, p. 52.
(17)  JO L 160 du 18.6.2011, p. 21.
(18)  JO C 192 du 30.6.2012, p. 7.