keyboard_tab Data Act 2023/2854 RO

(1)   Un terț prelucrează datele care îi sunt puse la dispoziție în temeiul articolului 5 numai în scopurile și în condițiile convenite cu utilizatorul și sub rezerva dreptului Uniunii și a dreptului intern privind protecția datelor cu caracter personal, inclusiv a drepturilor persoanei vizate în ceea ce privește datele cu caracter personal. Terțul șterge datele când acestea nu mai sunt necesare pentru scopul convenit, cu excepția cazului în care s-a convenit altfel cu utilizatorul cu privire la datele fără caracter personal.

(2)   Terțul nu poate:

(1)   Utilizatorii, deținătorii de date și destinatarii datelor au acces la un organism de soluționare a litigiilor, certificat în conformitate cu alineatul (5) de la prezentul articol, pentru a soluționa litigii în temeiul articolului 4 alineatele (3) și (9) și al articolului 5 alineatul (12), precum și litigii în legătură cu clauzele și condițiile echitabile, rezonabile și nediscriminatorii de punere la dispoziție a datelor și cu modul transparent de punere la dispoziție a datelor, în conformitate cu prezentul capitol și cu capitolul IV.

(2)   Organismele de soluționare a litigiilor aduc taxele sau mecanismele utilizate pentru stabilirea taxelor la cunoștința părților în cauză înainte ca părțile respective să solicite emiterea unei decizii.

(3)   În ceea ce privește litigiile pentru care a fost sesizat organismul de soluționare a litigiilor în temeiul articolului 4 alineatele (3) și (9) și al articolului 5 alineatul (12), în cazul în care organismul de soluționare a litigiilor decide în cadrul unui litigiu în favoarea utilizatorului sau a destinatarului datelor, deținătorul de date suportă toate taxele percepute de organismul de soluționare a litigiilor și rambursează utilizatorului sau destinatarului respectiv orice alte cheltuieli rezonabile pe care le-a suportat în legătură cu soluționarea litigiului. În cazul în care organismul de soluționare a litigiilor decide în cadrul unui litigiu în favoarea deținătorului de date, utilizatorul sau destinatarul datelor nu are obligația de a rambursa eventualele taxe sau alte cheltuieli pe care deținătorul de date le-a plătit sau pe care urmează să le plătească în legătură cu soluționarea litigiului, cu excepția cazului în care organismul de soluționare a litigiilor constată că utilizatorul sau destinatarul datelor a acționat în mod evident cu rea-credință.

(4)   Clienții și furnizorii de servicii de prelucrare a datelor au acces la un organism de soluționare a litigiilor, certificat în conformitate cu alineatul (5) de la prezentul articol, pentru a soluționa litigiile legate de încălcarea drepturilor clienților și a obligațiilor furnizorilor de servicii de prelucrare a datelor, în conformitate cu articolele 23-31.

(5)   Statul membru în care este stabilit organismul de soluționare a litigiilor certifică organismul, la cererea organismului respectiv, în cazul în care acesta a demonstrat că îndeplinește toate condițiile următoare:

(6)   Organismele de soluționare a litigiilor certificate sunt notificate Comisiei de către statele membre în conformitate cu alineatul (5). Comisia publică pe un site specializat o listă a organismelor respective, pe care o actualizează în permanență.

(7)   Un organism de soluționare a litigiilor refuză să trateze o cerere de soluționare a unui litigiu dacă pentru același litigiu s-a introdus deja o cerere în fața altui organism de soluționare a litigiilor ori a unei instanțe judecătorești sau a unui tribunal dintr-un stat membru.

(8)   Un organism de soluționare a litigiilor acordă părților, într-un termen rezonabil, posibilitatea de a-și exprima punctele de vedere asupra chestiunilor pe care părțile respective le-au introdus în fața organismului respectiv. În contextul respectiv, fiecare parte la un litigiu primește concluziile celeilalte părți la litigiu și eventualele declarații ale experților. Părților li se oferă posibilitatea de a prezenta observații cu privire la cererile și declarațiile respective.

(9)   Un organism de soluționare a litigiilor adoptă o decizie cu privire la chestiunea pentru care a fost sesizat în termen de cel mult 90 de zile de la data primirii unei cereri în temeiul alineatelor (1) și (4). Decizia respectivă este scrisă sau pe un suport durabil și este însoțită de o expunere de motive.

(10)   Organismele de soluționare a litigiilor întocmesc și pun la dispoziția publicului rapoartele lor anuale de activitate. Fiecare astfel de raport anual include, în special, următoarele informații:

(11)   Pentru facilitarea schimbului de informații și de bune practici, un organism de soluționare a litigiilor poate decide să includă recomandări în raportul menționat la alineatul (10) privind modul în care pot fi evitate sau soluționate problemele.

(12)   Decizia unui organism de soluționare a litigiilor este obligatorie pentru părți numai dacă părțile și-au dat consimțământul explicit cu privire la caracterul său obligatoriu înainte de începerea procedurii de soluționare a litigiilor.

(13)   Prezentul articol nu aduce atingere dreptului părților de a introduce o cale de atac eficientă în fața unei instanțe judecătorești sau a unui tribunal dintr-un stat membru.

(1)   Un deținător de date poate să aplice măsuri tehnice de protecție corespunzătoare, inclusiv contracte inteligente și criptare, pentru a preveni accesul neautorizat la date, inclusiv metadate, și pentru a asigura respectarea articolelor 4, 5, 6, 8 și 9, precum și a clauzelor contractuale convenite pentru punerea la dispoziție a datelor. Aceste măsuri tehnice de protecție nu discriminează diferiții destinatari ai datelor și nici nu obstrucționează dreptul unui utilizator de a obține o copie a datelor ori de a extrage, utiliza sau accesa datele sau de a furniza date unor terți în temeiul articolului 5 sau orice drept al unui terț prevăzut în dreptul Uniunii sau în legislația națională adoptată în conformitate cu dreptul Uniunii. Utilizatorii, terții și destinatarii datelor nu modifică sau elimină astfel de măsuri tehnice de protecție, cu excepția cazului în care deținătorul de date își dă acordul în acest sens.

(2)   În circumstanțele menționate la alineatul (3), terțul sau destinatarul datelor dă curs, fără întârzieri nejustificate, cererilor deținătorului de date și, după caz, atunci când aceștia nu sunt aceeași persoană, deținătorului secretului comercial, sau ale utilizatorului:

(3)   Alineatul (2) se aplică în cazul în care un terț sau un destinatar al datelor:

(4)   Alineatul (2) se aplică și în cazul în care un utilizator modifică sau elimină măsurile tehnice de protecție aplicate de deținătorul de date sau nu menține măsurile tehnice și organizatorice luate de utilizator de comun acord cu deținătorul de date sau, dacă nu este aceeași persoană, cu deținătorul secretelor comerciale, pentru a păstra secretele comerciale, precum și în ceea ce privește orice altă parte care primește datele de la utilizator prin încălcarea prezentului regulament.

(5)   În cazul în care destinatarul datelor încalcă articolul 6 alineatul (2) litera (a) sau (b), utilizatorii au aceleași drepturi ca deținătorii de date în temeiul alineatului (2) de la prezentul articol.

(1)   Un deținător de date care primește o cerere de a pune la dispoziție date în temeiul prezentului capitol pune datele, fără întârzieri nejustificate, la dispoziția organismului din sectorul public, a Comisiei, Băncii Centrale Europene ori a organului Uniunii care a introdus cererea, ținând seama de măsurile tehnice, organizatorice și juridice necesare.

(2)   Fără a aduce atingere nevoilor specifice în ceea ce privește disponibilitatea datelor definite în dreptul Uniunii sau în dreptul intern, un deținător de date poate să respingă cererea sau să solicite modificarea unei cereri de a pune la dispoziție date în temeiul prezentului capitol fără întârzieri nejustificate și, în orice caz, nu mai târziu de cinci zile lucrătoare de la primirea unei cereri de date necesare pentru răspunsul la o situație de urgență și fără întârzieri nejustificate și, în orice caz, nu mai târziu de 30 de zile lucrătoare de la primirea unei astfel de cereri în alte cazuri de nevoie excepțională, din oricare dintre următoarele motive:

(3)   Dacă decide să respingă cererea sau să solicite modificarea acesteia în conformitate cu alineatul (2) litera (b), deținătorul datelor face cunoscută identitatea organismului din sectorul public, a Comisiei, a Băncii Centrale Europene ori a organului Uniunii care a introdus anterior o cerere în același scop.

(4)   În cazul în care datele solicitate includ date cu caracter personal, deținătorul de date anonimizează în mod corespunzător datele, cu excepția cazului în care respectarea cererii de punere a datelor la dispoziția unui organism din sectorul public, a Comisiei, a Băncii Centrale Europene sau a unui organ al Uniunii impune divulgarea de date cu caracter personal. În aceste cazuri, deținătorul de date pseudonimizează datele.

(5)   În cazul în care organismul din sectorul public, Comisia, Banca Centrală Europeană ori organul Uniunii dorește să conteste refuzul unui deținător de date de a furniza datele solicitate sau în cazul în care deținătorul de date dorește să conteste cererea, iar chestiunea nu poate fi soluționată printr-o modificare adecvată a cererii, este sesizată autoritatea competentă desemnată în temeiul articolului 37 din statul membru în care este stabilit deținătorul de date cu privire la chestiunea în cauză.

(1)   Un organism din sectorul public, Comisia, Banca Centrală Europeană ori un organ al Uniunii care primește date în urma unei cereri introduse în temeiul articolului 14:

(2)   Un organism din sectorul public, Comisia, Banca Centrală Europeană, un organ al Uniunii sau un terț care primește date în temeiul prezentului capitol:

(3)   Divulgarea de secrete comerciale către un organism din sectorul public, către Comisie, Banca Centrală Europeană ori un organ al Uniunii este obligatorie numai dacă ea este strict necesară pentru atingerea scopului unei cereri depuse în temeiul articolului 15. Într-un astfel de caz, deținătorul datelor sau, atunci când aceștia nu sunt aceeași persoană, deținătorul secretului comercial identifică datele care sunt protejate ca secrete comerciale, inclusiv în metadatele relevante. Organismul din sectorul public, Comisia, Banca Centrală Europeană ori organul Uniunii iau, înainte de divulgarea secretelor comerciale, toate măsurile tehnice și organizatorice necesare și adecvate pentru a păstra confidențialitatea secretelor comerciale, inclusiv, după caz, utilizarea de modele de clauze contractuale, de standarde tehnice și aplicarea codurilor de conduită.

(4)   Un organism din sectorul public, Comisia, Banca Centrală Europeană sau un organ al Uniunii este responsabil de securitatea datelor pe care le primește.

(1)   Un organism din sectorul public, Comisia, Banca Centrală Europeană sau un organ al Uniunii au dreptul de a partaja datele primite în temeiul prezentului capitol:

(2)   Persoanele fizice sau organizațiile care primesc datele în temeiul alineatului (1) trebuie să acționeze fără scop lucrativ sau în contextul unei misiuni de interes public recunoscute în dreptul Uniunii sau în dreptul intern. Nu sunt incluse organizațiile asupra cărora întreprinderile comerciale au o influență semnificativă, ceea ce ar putea conduce la un acces preferențial la rezultatele cercetării.

(3)   Persoanele fizice sau organizațiile care primesc datele în temeiul alineatului (1) de la prezentul articol respectă aceleași obligații care sunt aplicabile organelor din sectorul public, Comisiei, Băncii Centrale Europene sau organelor Uniunii în temeiul articolului 17 alineatul (3) și al articolului 19.

(4)   În pofida articolului 19 alineatul (1) litera (c), persoanele fizice sau organizațiile care primesc datele în temeiul alineatului (1) de la prezentul articol pot păstra datele primite în scopul pentru care au fost solicitate timp de până la șase luni de la ștergerea datelor de către organele din sectorul public, Comisie, Banca Centrală Europeană și organele Uniunii.

(5)   În cazul în care un organ din sectorul public, Comisia, Banca Centrală Europeană sau un organ al Uniunii intenționează să transmită sau să pună la dispoziție date în temeiul alineatului (1) de la prezentul articol, acesta notifică fără întârzieri nejustificate deținătorului de date de la care au fost primite datele, precizând identitatea și datele de contact ale organizației sau ale persoanei care primește datele, scopul transmiterii sau punerii la dispoziție a datelor, perioada în care datele urmează să fie utilizate și măsurile tehnice de protecție și organizatorice luate, inclusiv în cazul în care sunt implicate date cu caracter personal sau secrete comerciale. În cazul în care deținătorul de date nu este de acord cu transmiterea sau punerea la dispoziție a datelor, acesta poate depune o plângere la autoritatea competentă desemnată în temeiul articolului 37 din statul membru în care este stabilit deținătorul de date.

(1)   Fără a aduce atingere alineatului (2) sau (3), furnizorii de servicii de prelucrare a datelor iau toate măsurile tehnice, organizatorice și juridice adecvate, inclusiv de ordin contractual, pentru a împiedica transferul internațional de date fără caracter personal deținute în Uniune și accesul la astfel de date al administrațiilor publice ale țărilor terțe, în cazul în care un astfel de transfer sau acces ar crea un conflict cu dreptul Uniunii sau cu dreptul intern al statului membru relevant.

(2)   Deciziile sau hotărârile unei instanțe judecătorești sau ale unui tribunal dintr-o țară terță și deciziile unei autorități administrative dintr-o țară terță prin care se solicită unui furnizor de servicii de prelucrare a datelor să transfere date fără caracter personal deținute în Uniune ce intră în domeniul de aplicare al prezentului regulament sau să acorde acces la astfel de date sunt recunoscute sau pot fi executate sub orice formă doar dacă se bazează pe un acord internațional, cum ar fi un tratat de asistență judiciară reciprocă, în vigoare între țara terță solicitantă și Uniune sau pe orice alt asemenea acord între țara terță solicitantă și un stat membru.

(3)   În absența unui acord internațional de tipul celor menționate la alineatul (2), în cazul în care un furnizor de servicii de prelucrare a datelor este destinatarul unei decizii sau al unei hotărâri a unei instanțe judecătorești sau a unui tribunal dintr-o țară terță ori al unei decizii a unei autorități administrative dintr-o țară terță care prevede transferul de date fără caracter personal deținute în Uniune și care intră în domeniul de aplicare al prezentului regulament sau acordarea accesului la astfel de date iar, prin respectarea unei astfel de decizii, destinatarul riscă să intre în conflict cu dreptul Uniunii sau cu dreptul intern al statului membru relevant, transferul către autoritatea din țara terță respectivă sau accesul acesteia la astfel de date poate avea loc numai atunci când:

Destinatarul deciziei sau hotărârii poate solicita avizul organismului național relevant sau al autorității competente în materie de cooperare judiciară internațională, pentru a stabili dacă condițiile prevăzute la primul paragraf sunt îndeplinite, în special atunci când consideră că decizia poate viza secrete comerciale și alte date sensibile din punct de vedere comercial, precum și conținuturi protejate de drepturi de proprietate intelectuală, ori atunci când transferul datelor poate avea drept rezultat reidentificarea acestora. Organismul național relevant sau autoritatea națională relevantă poate consulta Comisia. În cazul în care destinatarul consideră că decizia sau hotărârea poate afecta interesele Uniunii sau ale statelor membre ale acesteia în materie de securitate sau apărare națională, acesta solicită avizul organismului național relevant sau al autorității naționale relevante pentru a stabili dacă datele solicitate vizează interesele Uniunii sau ale statelor membre ale acesteia în materie de securitate sau apărare națională. În cazul în care destinatarul nu primește un răspuns în termen de o lună sau în care în avizul unui astfel de organism sau al unei astfel de autorități se concluzionează că nu sunt îndeplinite condițiile prevăzute la primul paragraf, destinatarul poate respinge cererea de transfer al datelor fără caracter personal sau de acces la acestea din motivele menționate.

EDIB, astfel cum este menționat la articolul 42, consiliază și asistă Comisia în elaborarea de orientări cu privire la evaluarea îndeplinirii condițiilor prevăzute la primul paragraf de la prezentul alineat.

(4)   Dacă sunt îndeplinite condițiile prevăzute la alineatul (2) sau (3), furnizorul de servicii de prelucrare a datelor pune la dispoziție volumul minim de date permis ca răspuns la o cerere, pe baza unei interpretări rezonabile a cererii respective de către furnizor sau de organismul național relevant sau de autoritatea națională relevantă menționată la alineatul (3) al doilea paragraf.

(5)   Furnizorul de servicii de prelucrare a datelor îl informează pe client cu privire la existența unei cereri prin care o autoritate dintr-o țară terță solicită acces la datele sale, înainte de a da curs cererii respective, cu excepția cazurilor în care cererea servește unor scopuri de asigurare a respectării legii și atât timp cât acest lucru este necesar pentru a se menține eficacitatea activității de asigurare a respectării legii.