Capitolul 3 - 2.3. Supravegherea şi asigurarea respectării normelor - Decizia 2574/19-dec-2025 de modificare a Deciziei de punere în aplicare (UE) 2021/1772 a Comisiei în temeiul Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului privind protecţia adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii şi Irlandei de Nord

Acte UE

Jurnalul Oficial seria L

În vigoare

Versiune de la: 23 Decembrie 2025

CAPITOLUL 3:2.3. Supravegherea şi asigurarea respectării normelor

SECŢIUNEA 1:2.3.1. Supravegherea independentă

(58)În Regatul Unit, supravegherea şi asigurarea respectării cadrului de protecţie a datelor continuă să fie efectuate de o autoritate independentă de supraveghere a protecţiei datelor, astfel cum se analizează în considerentele 85-91 din Decizia de punere în aplicare (UE) 2021/1772. Legea în materie de (utilizare şi acces la) date reformează structura de guvernanţă a acestei autorităţi prin înfiinţarea unui organism corporativ, Comisia pentru Informaţii, care va înlocui ICO, care a fost structurat ca o întreprindere individuală.

(59)Mai precis, măsurile de guvernanţă prevăzute în Legea în materie de (utilizare şi acces la) date, odată puse în aplicare, vor elimina Biroul Comisarului pentru Informaţii şi vor transfera funcţiile, personalul şi bunurile de la ICO către noul organism, Comisia pentru Informaţii. Comisia pentru Informaţii este formată din membri executivi şi neexecutivi (⁸⁵). Legea prevede, de asemenea, transferarea, de la Comisarul pentru Informaţii, a rolului de preşedinte al Comisiei pentru Informaţii, care este unul dintre membrii neexecutivi (⁸⁶). Legea în materie de (utilizare şi acces la) date prevede, de asemenea, că, în măsura în care acest lucru este adecvat ca urmare a transferului de funcţii, trimiterile la Comisarul pentru Informaţii din toate actele legislative sau din alte documente (ori de câte ori sunt adoptate sau emise) trebuie tratate ca trimiteri la Comisia pentru Informaţii. Pentru a-şi îndeplini funcţiile, Comisia pentru Informaţii poate institui comitete şi poate delega funcţii unui membru, unui angajat sau unui comitet al Comisiei (⁸⁷) şi poate lua măsuri pentru reglementarea procedurii sale şi a procedurii comitetelor, inclusiv în ceea ce priveşte cvorumul şi luarea deciziilor cu majoritate de voturi. Aceste proceduri trebuie făcute publice (⁸⁸).

(60)Un aspect important îl reprezintă faptul că independenţa Comisiei pentru Informaţii face obiectul aceloraşi garanţii, inclusiv în ceea ce priveşte normele privind numirea şi revocarea preşedintelui, precum cele evaluate în considerentele 87-90 din Decizia de punere în aplicare (UE) 2021/1772 (⁸⁹). Măsuri de protecţie similare se aplică şi în cazul celorlalţi membri neexecutivi ai Comisiei pentru Informaţii. În special, preşedintele Comisiei pentru Informaţii este numit de Majestatea Sa la recomandarea secretarului de stat. Acesta este selectat pe baza meritelor şi în urma unei competiţii deschise şi echitabile (⁹⁰). Ceilalţi membri neexecutivi sunt numiţi de secretarul de stat, în urma consultărilor cu preşedintele. Candidaţii pot fi recomandaţi pentru numire sau pot fi numiţi numai dacă sunt selectaţi pe baza meritelor, în urma unui concurs echitabil şi deschis şi dacă secretarul de stat s-a asigurat că aceştia nu se află într-o situaţie de conflict de interese (⁹¹). Membrii executivi sunt angajaţi ai Comisiei pentru Informaţii în conformitate cu termenii şi condiţiile stabilite de membrii neexecutivi (⁹²). Şeful executivului este numit de preşedinte şi de alţi membri neexecutivi, în urma consultărilor cu secretarul de stat. Numirile membrilor executivi fac, de asemenea, obiectul unei selecţii pe baza meritelor, în urma unui concurs echitabil şi deschis (⁹³).

(61)Preşedintele poate fi revocat din funcţie de Maiestatea Sa numai în urma unei cereri oficiale din partea ambelor camere ale Parlamentului şi numai dacă secretarul de stat a prezentat camerei respective un raport în care declară că secretarul de stat este convins că preşedintele se face vinovat de o abatere gravă, se află într-un conflict de interese, nu a respectat cerinţele specifice de informare cu privire la potenţialele conflicte de interese sau nu este în măsură, nu este apt sau nu doreşte să exercite funcţiile care îi revin preşedintelui (⁹⁴). Membrii neexecutivi pot fi revocaţi din funcţie de către secretarul de stat numai dacă acesta este convins că sunt îndeplinite condiţiile specifice prevăzute în legislaţie. Printre acestea se numără conflictele de interese, abaterile grave sau incapacitatea, refuzul sau inaptitudinea de a-şi îndeplini sarcinile. În ceea ce priveşte garanţiile suplimentare, secretarul de stat are obligaţia de a face publică decizia de a face acest lucru şi de a oferi membrului o motivare pentru revocare (⁹⁵).

(62)Rolul principal al Comisiei pentru Informaţii va consta în continuare în monitorizarea şi aplicarea cadrului de protecţie a datelor în Regatul Unit "pentru a proteja drepturile şi libertăţile fundamentale" ale persoanelor fizice (⁹⁶). În ceea ce priveşte funcţia Comisiei pentru Informaţii de a asigura un nivel adecvat de protecţie a datelor cu caracter personal, Legea în materie de (utilizare şi acces la) date prevede în mod specific obligaţia Comisiei pentru Informaţii de a ţine seama de interesele persoanelor vizate, ale operatorilor şi ale altor persoane şi de aspecte de interes public general, precum şi să promoveze încrederea publicului în prelucrarea datelor cu caracter personal (⁹⁷). Aceste obiective sunt menţionate, de asemenea, în considerentul 7 din Regulamentul (UE) 2016/679.

(63)În plus, Legea în materie de (utilizare şi acces la) date specifică faptul că, atunci când îşi exercită funcţia în temeiul legislaţiei privind protecţia datelor, Comisia pentru Informaţii trebuie să aibă în vedere promovarea inovării şi a concurenţei, importanţa prevenirii, a investigării, a depistării şi a urmăririi penale a infracţiunilor, necesitatea de a proteja siguranţa publică şi securitatea naţională, precum şi nevoile specifice legate de protecţia copiilor (⁹⁸). Legislaţia UE privind protecţia datelor recunoaşte, de asemenea, necesitatea de a asigura un echilibru între protecţia datelor personale şi alte drepturi fundamentale şi obiective, precum progresul economic şi social, securitatea şi justiţia şi libertatea de a desfăşura o activitate comercială (⁹⁹).

(⁹⁸)-Secţiunea 91 din Legea în materie de (utilizare şi acces la) date, care introduce secţiunea 120B în DPA din 2018. Legea în materie de (utilizare şi acces la) date introduce, de asemenea, o nouă secţiune 120C în DPA din 2018, care prevede obligaţia Comisiei pentru Informaţii de a elabora şi de a publica o strategie care, printre altele, să reflecte modul în care aceasta va ţine seama, în exercitarea funcţiilor sale de reglementare, de aspectele menţionate mai sus şi de promovarea creşterii economice.

SECŢIUNEA 2:2.3.2. Asigurarea respectării normelor, inclusiv sancţiunile

(66)Pe de o parte, Legea în materie de (utilizare şi acces la) date clarifică faptul că Comisia pentru Informaţii poate solicita "documente" şi "informaţii" specifice atunci când îşi exercită competenţa referitoare la notificarea de informare (¹⁰¹). Pe de altă parte, Legea în materie de (utilizare şi acces la) date introduce două noi competenţe de investigare pentru Comisia pentru Informaţii: o nouă competenţă de a solicita un raport (¹⁰²) şi o nouă competenţă de a emite "avize de prezentare la audiere" către operatori în cazul unei presupuse încălcări a RGPD al Regatului Unit sau a DPA din 2018 (¹⁰³).

(¹⁰¹)-Secţiunea 97 din Legea în materie de (utilizare şi acces la) date, care modifică secţiunea 142 din DPA din 2018. Consideraţiile privind impactul tehnologiei şi rolul protecţiei datelor în crearea încrederii în economia digitală fac parte din activităţile autorităţilor de reglementare în domeniul protecţiei datelor, atât în Regatul Unit, cât şi în UE. A se vedea, de exemplu, raportul anual pe 2024 al Comitetului european pentru protecţia datelor, pagina 12: "CEPD este un organism dinamic şi de colaborare care joacă un rol esenţial în asigurarea aplicării consecvente a legislaţiei privind protecţia datelor în întreaga Europă. Din perspectiva mea în calitate de vicepreşedinte, consider că acesta este un gardian al drepturilor la viaţă privată ale persoanelor, asigurând un echilibru adecvat între nevoile de inovare şi de creştere economică."

(67)În ceea ce priveşte exercitarea acestor competenţe de către Comisia pentru Informaţii, de la intrarea în vigoare a Deciziei de punere în aplicare (UE) 2021/1772, Comisarul pentru Informaţii a gestionat aproximativ 40 000 de plângeri din partea persoanelor vizate pe an, un număr similar cu numărul de plângeri gestionate atunci când Regatul Unit făcea încă parte din Uniune şi aplica Regulamentul (UE) 2016/679 (¹⁰⁴). Biroul Comisarului pentru Informaţii a efectuat, de asemenea, investigaţii din oficiu, care au acoperit o gamă largă de aspecte sectoriale şi de conformitate, inclusiv drepturile persoanelor vizate (¹⁰⁵).

(68)În ceea ce priveşte măsurile de asigurare a respectării normelor, de la intrarea în vigoare a Deciziei de punere în aplicare (UE) 2021/1772, Comisarul pentru Informaţii a emis 120 de mustrări, 32 de notificări de informare, 3 notificări de evaluare, 12 notificări de executare, 2 avertismente şi 12 amenzi (¹⁰⁶). Printre acestea se numără mai multe sancţiuni financiare semnificative impuse în temeiul RGPD al Regatului Unit şi al DPA din 2018. De exemplu, Comisarul pentru Informaţii a impus în aprilie 2023 o amendă de 12,7 milioane GBP unei platforme de comunicare socială pentru utilizarea abuzivă a datelor copiilor (¹⁰⁷). În martie 2025, o companie de software a fost amendată cu 3,07 milioane GBP pentru deficienţe în materie de securitate care au pus în pericol informaţiile cu caracter personal a peste 70 000 de persoane (¹⁰⁸). Foarte recent, în iunie 2025, Comisarul pentru Informaţii a aplicat unei societăţi de testare genetică o amendă în valoare de 2,31 milioane GBP pentru că nu a pus în aplicare măsuri de securitate adecvate pentru a proteja informaţiile cu caracter personal ale utilizatorilor din Regatul Unit, în urma unui atac cibernetic de mare amploare din 2023 (¹⁰⁹).

(69)De la adoptarea Deciziei de punere în aplicare (UE) 2021/1772, Biroul Comisarului pentru Informaţii a elaborat şi a publicat, de asemenea, un număr semnificativ de orientări, avize şi alte documente de orientare, care clarifică aplicarea normelor de protecţie a datelor în domenii importante, cum ar fi recunoaşterea facială, echitatea în domeniul inteligenţei artificiale, datele copiilor, marketingul direct, supravegherea video, dreptul de acces, transparenţa în domeniul sănătăţii şi al asistenţei sociale etc., pentru diferite categorii de public, inclusiv pentru întreprinderile mici şi mijlocii, entităţi specifice precum şcolile, creşele sau autorităţile publice mici, precum şi pentru întreprinderi în general, publicul larg sau persoanele vizate (¹¹⁰).