Capitolul 3 - 3.3. Evoluţii relevante în ceea ce priveşte accesul şi utilizarea de către autorităţile publice din Regatul Unit în scopuri de securitate naţională - Decizia 2574/19-dec-2025 de modificare a Deciziei de punere în aplicare (UE) 2021/1772 a Comisiei în temeiul Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului privind protecţia adecvată a datelor cu caracter personal de către Regatul Unit al Marii Britanii şi Irlandei de Nord

Acte UE

Jurnalul Oficial seria L

În vigoare

Versiune de la: 23 Decembrie 2025

CAPITOLUL 3:3.3. Evoluţii relevante în ceea ce priveşte accesul şi utilizarea de către autorităţile publice din Regatul Unit în scopuri de securitate naţională

(102)În ceea ce priveşte competenţele de investigare exercitate în contextul securităţii naţionale, IPA din 2016 continuă să ofere cadrul juridic pentru utilizarea acestor competenţe. Pe lângă modificările privind competenţele de investigare specifice care, sub rezerva unor condiţii specifice, pot fi invocate şi de anumite autorităţi de aplicare a legii, astfel cum se descrie în considerentele 77-85 din prezenta decizie, Legea privind competenţele de investigare (modificare) din 2024 a adus, de asemenea, modificări în ceea ce priveşte una dintre competenţele prevăzute de IPA din 2016 care pot fi exercitate în masă.

(103)Mai precis, Legea privind competenţele de investigare (modificare) din 2024 a introdus în noua parte 7A din IPA din 2016 un regim specific pentru păstrarea şi examinarea unui subset specific de seturi de date cu caracter personal în masă (¹⁵⁶), şi anume pentru seturile de date în cazul cărora persoanele la care se referă datele cu caracter personal nu ar putea avea aşteptări rezonabile sau ar putea avea doar aşteptări rezonabile reduse în ceea ce priveşte confidenţialitatea datelor (¹⁵⁷). Şeful unui serviciu de informaţii stabileşte în ce măsură un set de date cu caracter personal în masă face sau nu parte din acest subset specific de seturi de date, ţinând cont de toate circumstanţele, cum ar fi, în special: (i) natura datelor; (ii) măsura în care datele au fost făcute publice de către persoanele fizice sau dacă persoanele fizice au consimţit ca datele să fie făcute publice; (iii) dacă datele au fost publicate, măsura în care au fost publicate sub control editorial sau de către o persoană care acţionează în conformitate cu standardele profesionale; (iv) dacă datele au fost publicate sau se află în alt mod în domeniul public, măsura în care datele sunt cunoscute pe scară largă şi (v) măsura în care datele au fost deja utilizate în domeniul public (¹⁵⁸).

(¹⁵⁶)Mandatele privind seturile de date cu caracter personal colectate în masă emise în temeiul secţiunii 200 din IPA din 2016 autorizează serviciile de informaţii să păstreze şi să examineze seturi de date care conţin date cu caracter personal referitoare la o serie de persoane, setul respectiv fiind de aşa natură încât majoritatea persoanelor nu prezintă interes şi este puţin probabil ca acestea să prezinte interes pentru serviciul de informaţii în exercitarea funcţiilor sale, şi care sunt păstrate electronic de un serviciu de informaţii şi deţinute pentru analiză în exercitarea funcţiilor sale statutare - a se vedea, de asemenea, secţiunea 199 din IPA din 2016.

(104)Este important de remarcat faptul că, pentru păstrarea şi examinarea seturilor de date cu caracter personal în masă care nu se încadrează în această categorie, şi anume cele care sunt mai sensibile şi, prin urmare, implică o aşteptare rezonabilă în ceea ce priveşte confidenţialitatea, regimul evaluat în considerentele 239 şi 240 din Decizia de punere în aplicare (UE) 2021/1772 rămâne în vigoare, în special necesitatea unui mandat care să fie aprobat mai întâi de secretarul de stat şi apoi de comisarul judiciar, sub rezerva cerinţelor privind necesitatea şi proporţionalitatea măsurii, astfel cum se prevede în partea 7 din IPA din 2016 (¹⁵⁹).

(105)- Partea 7A din IPA din 2016 prevede două tipuri de autorizaţii: autorizaţia individuală şi autorizaţia pe categorii. Păstrarea sau păstrarea şi examinarea fiecărui set de date cu caracter personal în masă deţinut în temeiul părţii 7A trebuie să fie autorizate în temeiul uneia dintre aceste autorizaţii. Ambele autorizaţii necesită, în principiu (¹⁶⁰), o autorizare din partea şefului serviciului de informaţii (sau a unei persoane care acţionează în numele acestuia) şi aprobarea de către un comisar judiciar independent (¹⁶¹). O autorizaţie individuală este acordată de şeful unui serviciu de informaţii sub rezerva condiţiilor prevăzute în secţiunea 226B alineatul (4) din IPA din 2016 şi sub rezerva aprobării prealabile de către comisarii judiciari. Comisarul judiciar trebuie să examineze concluziile referitoare la secţiunea 226A formulate de persoana care a acordat autorizaţia, mai precis dacă setul de date cu caracter personal în masă descris în autorizaţie face obiectul unor aşteptări rezonabile reduse sau nu face obiectul unor aşteptări rezonabile în ceea ce priveşte cerinţa de confidenţialitate a datelor (¹⁶²).

(¹⁶⁰)O autorizaţie individuală poate fi acordată fără aprobare judiciară prealabilă numai (i) dacă persoana care acordă autorizaţia individuală consideră că setul de date cu caracter personal în masă în cauză se încadrează într-o autorizaţie de categorie existentă sau (ii) în caz de urgenţă, a se vedea secţiunea 226B alineatul (6) din IPA din 2016. În acest din urmă caz, decizia de a acorda o autorizaţie individuală urgentă trebuie să fie revizuită de un comisar judiciar în termen de trei zile lucrătoare de la data emiterii, a se vedea secţiunea 226BC din IPA din 2016.

(107)Decizia de acordare a autorizaţiei de categorie este luată de şeful serviciului de informaţii atunci când acesta consideră că secţiunea 226A se aplică oricărui set de date din categoria în cauză şi în cazul în care decizia de acordare a autorizaţiei a fost aprobată de un comisar judiciar independent (¹⁶³). Acesta din urmă trebuie să analizeze dacă secţiunea 226A, şi anume existenţa unor aşteptări rezonabile reduse sau inexistenţa unor aşteptări rezonabile privind cerinţa de confidenţialitate, se aplică oricărui set de date care se încadrează în categoria seturilor de date descrise în autorizaţie (¹⁶⁴).

(108)Este important de remarcat faptul că, atunci când aprobă o decizie de acordare a unei autorizaţii individuale sau de categorie, comisarul judiciar trebuie "să aplice aceleaşi principii care ar fi aplicate de o instanţă cu privire la o cerere de control jurisdicţional" (¹⁶⁵) şi să analizeze aceste aspecte cu un grad suficient de atenţie pentru a se asigura că comisarul judiciar respectă obligaţiile impuse de secţiunea 2 din IPA din 2016 (obligaţii generale în ceea ce priveşte viaţa privată) (¹⁶⁶). În plus, eliberarea autorizaţiilor face obiectul unei supravegheri ex post stricte, în special prin raportarea anuală către secretarul de stat şi către Comisia pentru Informaţii şi Securitate a Parlamentului (¹⁶⁷) şi prin inspecţii periodice ale Biroului IPC (¹⁶⁸).

(¹⁶⁶)-Secţiunea 226BB alineatul (2) litera (b) din IPA din 2016, astfel cum a fost introdusă prin secţiunea 2 din Legea privind competenţele de investigare (modificare) din 2024. În conformitate cu obligaţiile generale în ceea ce priveşte viaţa privată, astfel cum sunt prevăzute în secţiunea 2 din IPA din 2016, o autoritate publică trebuie să aibă în vedere: (a) dacă ceea ce se urmăreşte a fi obţinut prin mandat, autorizaţie sau notificare ar putea fi obţinut în mod rezonabil prin alte mijloace mai puţin intruzive; (b) dacă nivelul de protecţie care urmează să fie aplicat în legătură cu orice obţinere de informaţii în temeiul mandatului, al autorizaţiei sau al notificării este mai ridicat din cauza sensibilităţii deosebite a informaţiilor respective; (c) interesul public pentru integritatea şi securitatea sistemelor de telecomunicaţii şi a serviciilor poştale şi (d) orice alte aspecte ale interesului public pentru protecţia vieţii private.

(109)În ceea ce priveşte evoluţiile relevante în domeniul supravegherii, Biroul Comisarului pentru Competenţe de Investigare a publicat rapoarte anuale pentru anii 2021, 2022 şi 2023, care furnizează statistici şi informaţii detaliate cu privire la utilizarea competenţelor de investigare de către serviciile de informaţii şi autorităţile de aplicare a legii din Regatul Unit (¹⁶⁹). Rapoartele descriu, de asemenea, auditurile şi investigaţiile desfăşurate de acest birou, precum şi constatările aferente, confirmând că IPC continuă să îşi asigure funcţia de supraveghere foarte importantă în cadrul regimului competenţelor de investigare ale Regatului Unit. De exemplu, în 2023, acesta a examinat justificările necesităţii şi proporţionalităţii pentru utilizarea competenţelor de interceptare în masă [astfel cum au fost evaluate în considerentele 218-225 din Decizia de punere în aplicare (UE) 2021/1772] de către Cartierul General pentru Comunicaţii (GCHQ), concluzionând că o majoritate semnificativă a afirmaţiilor în cauză au fost articulate cu o justificare solidă, în timp ce, în unele cazuri, proporţionalitatea nu a fost bine exprimată. Aceste constatări au fost discutate cu echipa de conformitate a GCHQ, care s-a angajat să asigure cursuri interne de formare suplimentare în scopuri de conştientizare a acestor aspecte pentru a aborda problema respectivă (¹⁷⁰).

(110)În plus, Tribunalul pentru competenţe de investigare a emis un raport public privind activităţile sale şi jurisprudenţa sa pentru perioada 2021-2023 (¹⁷¹). Raportul arată că numărul de cauze primite de Tribunal a crescut de peste două ori din 2017, cu peste 400 de cauze primite în 2023 (¹⁷²). Majoritatea plângerilor au fost împotriva agenţiilor de aplicare a legii, urmate îndeaproape de plângerile împotriva autorităţilor de securitate şi de informaţii (¹⁷³). Este important de remarcat faptul că, în 2022 şi 2023, tribunalul a pronunţat hotărâri în cauze primite înainte de 2021 în care a constatat că autorităţile publice din Regatul Unit [Police Scotland (¹⁷⁴), Greater Manchester Police (¹⁷⁵), Surrey Police (¹⁷⁶) şi, respectiv, MI5 şi ministrul de interne (¹⁷⁷)] au acţionat în mod ilegal. În ceea ce priveşte căile de atac, Tribunalul pentru competenţe de investigare a dispus, printre altele, distrugerea oricărui material obţinut în mod ilegal şi, într-un caz, şi plata sumei de 12 000 GBP ca reparaţie echitabilă pentru încălcările identificate. Prin urmare, raportul anual confirmă faptul că Tribunalul pentru competenţe de investigare îşi îndeplineşte în mod eficace rolul important în garantarea supravegherii şi a căilor de atac în domeniul asigurării respectării dreptului penal şi al securităţii naţionale în ceea ce priveşte accesul la datele cu caracter personal.

(111)În plus, raportul evidenţiază, de asemenea, evoluţii importante, cum ar fi o hotărâre a Curţii Europene a Drepturilor Omului în care Curtea a statuat că persoanele fizice din întreaga lume pot introduce la Tribunalul pentru competenţe de investigare o acţiune cu privire la funcţionarea sistemului de interceptare în masă din Regatul Unit, în cazul în care operaţiunea în cauză a fost efectuată de un organism public din Regatul Unit şi a avut loc în Regatul Unit (¹⁷⁸).