Secţiunea 4 - 2.2.4. Drepturi individuale - Decizia 2574/19-dec-2025 de modificare a Deciziei de punere în aplicare (UE) 2021/1772 a Comisiei în temeiul Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului privind protecţia adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii şi Irlandei de Nord

Acte UE

Jurnalul Oficial seria L

În vigoare

Versiune de la: 23 Decembrie 2025

SECŢIUNEA 4:2.2.4. Drepturi individuale

(33)În temeiul cadrului pentru protecţia datelor cu caracter personal din Regatul Unit, persoanele vizate continuă să beneficieze de aceleaşi drepturi individuale precum în temeiul Regulamentului (UE) 2016/679 fără nicio modificare semnificativă (⁴⁹) care să poată fi opusă operatorului sau persoanei împuternicite de operator, în special de dreptul de acces la date, de dreptul de a se opune prelucrării şi de dreptul la rectificarea şi ştergerea datelor, astfel cum se evaluează în considerentele 51-54 din Decizia de punere în aplicare (UE) 2021/1772.

(⁴⁹)-Secţiunea 31 din Legea din 2024 privind victimele şi deţinuţii (Legea VAP) a introdus un temei suplimentar în dreptul la ştergerea datelor prevăzut la articolul 17 din RGPD al Regatului Unit, oferind persoanelor vizate dreptul de a solicita operatorilor de date să le şteargă datele cu caracter personal atunci când acestea au fost prelucrate ca urmare a unei afirmaţii nefondate cu privire la persoana vizată, formulată de o persoană răuvoitoare. O persoană este considerată "răuvoitoare" dacă a fost condamnată pentru o infracţiune specificată la articolul 31 alineatul (3) din Legea VAP (cum ar fi hărţuirea) sau face obiectul unui ordin de protecţie împotriva hărţuirii. Legea VAP este disponibilă la următoarea adresă: https://www.legislation.gov.uk/ukpga/2024/21/contents. În plus, secţiunea 77 din Legea în materie de (utilizare şi acces la) date modifică dreptul la informare, astfel cum este prevăzut la articolul 13 din RGPD al Regatului Unit, astfel încât operatorul nu mai trebuie să informeze persoana vizată cu privire la prelucrarea ulterioară a datelor sale cu caracter personal în scopuri noi, în cazul în care scopurile respective sunt cercetarea ştiinţifică sau istorică, arhivarea în interes public sau un scop statistic, prelucrarea se efectuează în conformitate cu garanţiile specifice prevăzute la noul articol 84B din RGPD al Regatului Unit, iar furnizarea informaţiilor ar fi imposibilă sau disproporţionată.

(34)În primul rând, Legea în materie de (utilizare şi acces la) date clarifică anumite modalităţi prin care pot fi exercitate aceste drepturi. Pe de o parte, aceasta precizează, printr-o modificare a articolului 12 şi prin introducerea unui nou articol 12A din RGPD al Regatului Unit (⁵⁰), termenele în care operatorii trebuie să răspundă cererilor persoanei vizate. Mai precis, articolul 12 din RGPD al Regatului Unit se modifică în aşa fel încât operatorul să nu mai fie obligat să furnizeze informaţii cu privire la măsurile luate (sau cu privire la motivele pentru care nu a luat nicio măsură) ca răspuns la o cerere a persoanei vizate în conformitate cu articolele 15-22 din RGPD al Regatului Unit "în termen de o lună de la primirea cererii", ci mai degrabă "înainte de expirarea perioadei de timp aplicabile". Perioada de timp aplicabilă este definită în continuare la articolul 12A nou introdus din RGPD al Regatului Unit ca fiind o perioadă de o lună începând cu momentul relevant, şi anume momentul în care operatorul primeşte cererea, momentul în care operatorul primeşte orice informaţii solicitate în legătură cu o cerere în temeiul articolului 12 alineatul (6) din RGPD al Regatului Unit sau momentul în care a fost plătită o taxă percepută în legătură cu cererea în temeiul articolului 12 alineatul (5) din RGPD al Regatului Unit, luându-se în considerare data care survine mai târziu (⁵¹). Articolul 12A alineatul (3) permite, de asemenea, operatorului să prelungească perioada de timp aplicabilă cu încă două luni, în cazul în care acest lucru este necesar din cauza complexităţii cererilor formulate de persoana vizată sau a numărului de astfel de cereri. Pe de altă parte, în ceea ce priveşte numai dreptul de acces la informaţii şi la date cu caracter personal, Legea în materie de (utilizare şi acces la) date modifică articolul 15 din RGPD al Regatului Unit pentru a include clarificarea formulată în temeiul jurisprudenţei interne existente, pe baza principiului proporţionalităţii în temeiul legislaţiei UE, potrivit căreia operatorii trebuie să efectueze numai căutări rezonabile şi proporţionale în ceea ce priveşte informaţiile şi datele cu caracter personal solicitate (⁵²). Se preconizează că noua dispoziţie va fi interpretată în conformitate cu jurisprudenţa existentă, care prevede că "[... ] ceea ce se pune în balanţă în cadrul exerciţiului de proporţionalitate este obiectul final al căutării, şi anume beneficiul potenţial pe care furnizarea informaţiilor l-ar putea aduce persoanei vizate, în raport cu mijloacele prin care sunt obţinute informaţiile respective. Va fi necesar să se evalueze în fiecare caz în parte dacă vor fi necesare eforturi disproporţionate pentru găsirea şi furnizarea informaţiilor în raport cu beneficiile pe care acestea le-ar putea aduce persoanei vizate." (⁵³)

(35)Prin urmare, deşi termenele de răspuns la cererile persoanelor vizate şi obligaţiile specifice ale operatorilor de date în ceea ce priveşte dreptul de acces fac obiectul unor norme mai detaliate, sistemul Regatului Unit continuă să asigure faptul că respectivele cereri ale persoanelor vizate trebuie tratate în perioade de timp rezonabile definite pe baza unor factori obiectivi. În plus, obligaţiile de fond ale operatorului atunci când răspunde la cererile de acces sunt încadrate pe baza unor standarde juridice stabilite, care iau în considerare, de asemenea, interesele persoanei vizate. În cele din urmă, în orientările actuale ale ICO se prevede deja că un operator nu are obligaţia de a efectua căutări care ar fi nerezonabile sau disproporţionate în raport cu importanţa acordării accesului la informaţii (⁵⁴).

(36)Restricţiile privind aceste drepturi individuale care sunt prevăzute în DPA din 2018 şi care fac obiectul articolului 23 din RGPD al Regatului Unit, precum şi limitările şi garanţiile care reglementează aplicarea acestor restricţii continuă să fie în vigoare în Regatul Unit (⁵⁵), astfel cum se descrie în detaliu în considerentele 55-67 din Decizia de punere în aplicare (UE) 2021/1772.

(37)În ceea ce priveşte în mod specific restricţionarea datelor cu caracter personal prelucrate în scopul menţinerii unui control eficace al imigraţiei sau investigarea sau detectarea activităţilor care ar submina menţinerea unui control eficace al imigraţiei, în măsura în care aplicarea dispoziţiilor respective ar putea aduce atingere oricăreia dintre aceste aspecte (derogarea în materie de imigraţie) (⁵⁶), Guvernul Regatului Unit a modificat punctul 4 din anexa 2 la DPA din 2018 prin Regulamentele din 2022 referitoare la Legea privind protecţia datelor din 2018 (modificarea anexei 2 privind derogările) (⁵⁷) şi Regulamentele din 2024 referitoare la Legea privind protecţia datelor din 2018 (modificarea anexei 2 privind derogările) (⁵⁸), care completează Regulamentele din 2022 (⁵⁹). Modificările integrează în punctele 4A şi 4B din anexa 2 la DPA din 2018 garanţiile pentru exercitarea derogării în materie de imigraţie care sunt prevăzute la articolul 23 alineatul (2) din RGPD al Regatului Unit. În special, acestea prevăd (i) că derogarea în materie de imigraţie trebuie invocată numai de la caz la caz, separat pentru fiecare dintre dispoziţiile relevante din RGPD al Regatului Unit şi de fiecare dată când secretarul de stat are în vedere neaplicarea sau restricţionarea aplicării oricăreia dintre dispoziţiile relevante din RGPD al Regatului Unit (⁶⁰), (ii) că drepturile şi libertăţile persoanei vizate şi potenţialele vulnerabilităţi trebuie să fie luate în considerare atunci când se exercită derogarea în materie de imigraţie (⁶¹) şi (iii) că secretarul de stat trebuie să ţină o evidenţă a utilizării derogării în materie de imigraţie şi să informeze persoana vizată cu privire la utilizarea acesteia (cu excepţia unor circumstanţe specifice în care informaţiile respective ar aduce atingere obiectivului derogării) (⁶²) şi clarifică (iv) faptul că utilizarea derogării în materie de imigraţie este limitată la prelucrarea datelor cu caracter personal de către secretarul de stat, adică, în practică, de către Ministerul de Interne (Home Office) pentru funcţiile sale relevante în raport cu punctul 4 subpunctul 1 din anexa 2 la DPA din 2018 (⁶³). În plus, acestea explică, de asemenea, exerciţiul de echilibru care trebuie efectuat atunci când se stabileşte dacă exercitarea drepturilor persoanelor vizate este de natură să aducă atingere controlului eficace al imigraţiei şi dacă este necesar şi proporţional să se restricţioneze astfel de drepturi ca urmare a acestui fapt.

(⁵⁶)La momentul adoptării Deciziei de punere în aplicare (UE) 2021/1772, validitatea şi interpretarea derogării în materie de imigraţie în temeiul legislaţiei Regatului Unit nu fuseseră soluţionate, în urma unei decizii a Curţii de Apel din Anglia şi Ţara Galilor din 26 mai 2021, prin care s-a constatat că derogarea în materie de imigraţie, astfel cum era prezentă în DPA din 2018 la momentul respectiv, era incompatibilă cu legislaţia Regatului Unit, întrucât nu conţinea dispoziţii specifice care să stabilească garanţiile enumerate la articolul 23 alineatul (2) din RGPD al Regatului Unit, care reflectă articolul 23 alineatul (2) din Regulamentul (UE) 2016/679. Din acest motiv, datele cu caracter personal transferate în scopul controlului imigraţiei în Regatul Unit sau care intră în alt mod în domeniul de aplicare al derogării în materie de imigraţie au fost excluse din domeniul de aplicare al Deciziei de punere în aplicare (UE) 2021/1772.

(⁵⁹)Derogarea în materie de imigraţie, astfel cum a fost revizuită prin Regulamentele din 2022, a fost contestată din nou prin intermediul controlului jurisdicţional, pe motiv că nu îndeplinea încă toate cerinţele prevăzute la articolul 23 alineatul (2) din RGPD al Regatului Unit. În decembrie 2023, Curtea de Apel a constatat incompatibilitatea acesteia cu cerinţele articolului 23 alineatul (2) din RGPD al Regatului Unit. Ca urmare a acestei hotărâri, Regulamentul din 2024 completează Regulamentul din 2022 şi aduce modificări suplimentare derogării în materie de imigraţie.

(38)În plus, ICO din Regatul Unit a emis orientări detaliate privind utilizarea acestei restricţii specifice (⁶⁴). Orientările prevăd, în special, că "derogarea în materie de imigraţie nu ar trebui aplicată ca derogare generală pentru a limita [... ] drepturile pentru toate datele pe care le deţineţi. Domeniul de aplicare al derogării se limitează la acele drepturi care, dacă ar fi exercitate pentru datele deţinute, ar aduce atingere scopurilor identificate în materie de imigraţie. [... ]. Prin urmare, poziţia implicită a operatorului ar trebui să fie aceea de a respecta, pe cât posibil, cerinţele Regulamentului (UE) 2016/679 şi ale DPA. [... ] Testul de prejudiciu are un prag ridicat, iar derogarea nu ar trebui aplicată în mod generalizat. [... ] Trebuie să analizaţi dacă aplicarea derogării este un răspuns proporţional la cererea persoanei în cauză privind protecţia datelor. Puteţi considera că există o nevoie socială presantă de a aplica derogarea în materie de imigraţie, dar trebuie să analizaţi, de asemenea, dacă acest lucru prevalează asupra obligaţiei care vă revine faţă de persoane în temeiul Regulamentului (UE) 2016/679. Acestea au drepturi asupra datelor lor cu caracter personal, pe care trebuie să le aveţi în vedere în toate circumstanţele, în special dreptul de acces. Prin urmare, este important ca, în fiecare caz, să analizaţi dacă drepturile persoanei la protecţia datelor prevalează asupra riscului de prejudiciu identificat. Aplicarea derogării trebuie să se realizeze în mod proporţional cu circumstanţele, fiecare caz trebuind analizat şi documentat cu atenţie."

(39)În general, restricţia în materie de imigraţie prevăzută la punctul 4 din anexa 2 la DPA din 2018, astfel cum a fost revizuită de Guvernul Regatului Unit în 2022 şi 2024 şi astfel cum a fost interpretată de jurisprudenţă (⁶⁵) şi de orientările Biroului Comisarului pentru Informaţii, face obiectul unei serii de condiţii stricte care reglementează aplicarea sa şi care sunt foarte similare cu condiţiile stabilite în dreptul Uniunii, în special la articolul 23 din Regulamentul (UE) 2016/679, pentru restricţionarea drepturilor şi obligaţiilor în materie de protecţie a datelor pentru obiective importante de interes public, cum ar fi controlul imigraţiei.