Aviz. Solutionarea alternativa si online a litigiilor in materie de consum

Avizul Autoritatii Europene pentru Protectia Datelor referitor la propunerile legislative privind solutionarea alternativa si online a litigiilor in materie de consum

2012/C 136/01

AUTORITATEA EUROPEANA PENTRU PROTECTIA DATELOR,
avand in vedere Tratatul privind functionarea Uniunii Europene, in special articolul 16,
avand in vedere Carta drepturilor fundamentale a Uniunii Europene, in special articolele 7 si 8,
avand in vedere Directiva 95/46/CE a Parlamentului European si a Consiliului din 24 octombrie 1995 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si libera circulatie a acestor date [1],
avand in vedere Regulamentul (CE) nr. 45/2001 al Parlamentului European si al Consiliului din 18 decembrie 2000 privind protectia persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de catre institutiile si organele comunitare si pr
pivind libera circulatie a acestor date, in special articolul 41 [2],

ADOPTA PREZENTUL AVIZ:
I. INTRODUCERE
I.1. Consultarea AEPD si scopul avizului
1. La 29 noiembrie 2011, Comisia a adoptat doua propuneri legislative privind solutionarea alternativa a litigiilor (denumite in continuare “propunerile”):
– propunere de directiva a Parlamentului European si a Consiliului privind solutionarea alternativa a litigiilor in materie de consum (denumita in continuare “propunerea SAL”) [3];
– propunere de regulament privind solutionarea online a litigiilor in materie de consum (denumit in continuare “propunerea SOL”) [4].
2. La 6 decembrie 2011, Autoritatea Europeana pentru Protectia Datelor a primit propunerea SAL si propunerea SOL spre consultare. AEPD a fost consultata, in mod neoficial, si inainte de adoptarea propunerilor si a formulat observatii neoficiale. AEPD saluta faptul ca a fost consultata din timp si ca majoritatea recomandarilor cuprinse in aceste observatii au fost incluse in textul propunerilor.
3. Scopul prezentului aviz este acela de a analiza prelucrarea datelor cu caracter personal preconizata de cele doua propuneri si de a explica modul in care acestea abordeaza unele aspecte privind protectia datelor. Avizul se axeaza pe propunerea SOL, deoarece aceasta presupune prelucrarea centralizata a datelor cu caracter personal referitoare la litigii prin intermediul unei platforme online.
I.2. Scopul propunerilor
4. Sistemele de solutionare alternativa a litigiilor (SAL) ofera un mijloc alternativ de solutionare a litigiilor, care este de obicei mai putin costisitor si mai rapid decat introducerea unei actiuni in instanta. Propunerea SAL are ca scop sa asigure in toate statele membre ale UE existenta unor entitati competente sa solutioneze toate litigiile transfrontaliere in materie de consum care decurg din vanzarea de bunuri sau prestarea de servicii in Uniunea Europeana.
5. Propunerea SOL se bazeaza pe disponibilitatea sistemelor SAL de solutionare a litigiilor in materie de consum la nivelul intregii Uniuni Europene. Aceasta instituie o platforma online (denumita in continuare “platforma SOL”) pe care consumatorii si comerciantii o vor putea utiliza pentru a transmite reclamatii referitoare la tranzactiile transfrontaliere online catre entitatea SAL competenta.
II. OBSERVAȚII GENERALE
6. AEPD sustine scopul propunerilor si saluta faptul ca principiile de protectie a datelor au fost luate in considerare din cel mai incipient stadiu al procesului de redactare.
7. De asemenea, AEPD saluta referirile la aplicabilitatea legislatiei privind protectia datelor din propunerea SOL [5] si la aplicabilitatea legislatiei nationale de punere in aplicare a Directivei 95/46/CE in contextul propunerii SAL [6], precum si referirile la consultarea AEPD [7].
III. OBSERVAȚII SPECIFICE
III.1. Rolul operatorilor: necesitatea unei alocari clare a responsabilitatilor
8. In conformitate cu propunerea SOL, datele urmeaza sa fie prelucrate de catre trei tipuri de actori in contextul fiecarui litigiu prezentat prin platforma SOL:
– entitatile SAL;
– moderatorii SOL care ofera sprijin pentru solutionarea litigiilor prezentate prin intermediul platformei SOL [8];
– Comisia.
Articolul 11 alineatul (4) prevede ca fiecare dintre acesti actori trebuie sa fie considerat drept operator in ceea ce priveste prelucrarea datelor cu caracter personal care se afla in responsabilitatea sa.
9. Totusi, se poate considera ca pentru prelucrarea acelorasi date cu caracter personal sunt responsabili mai multi dintre acesti operatori [9]. De exemplu, datele referitoare la un anumit litigiu transmise prin platforma SOL pot fi analizate de mai multi moderatori SOL si de sistemul SAL competent care urmeaza sa se ocupe de litigiul respectiv. De asemenea, si Comisia poate prelucra aceste date cu caracter personal pentru a asigura functionarea si intretinerea platformei SOL.
10. In aceasta privinta, AEPD saluta faptul ca la considerentul 20 din propunerea SOL se prevede ca legislatia privind protectia datelor se aplica tuturor acestor actori. Totusi, partea legislativa din propunerea SOL ar trebui sa precizeze cel putin caruia dintre acesti operatori ar trebui sa ii adreseze persoanele vizate solicitarile de acces, rectificare, blocare si stergere, precum si care dintre operatori raspunde in cazul unor incalcari specifice ale legislatiei privind protectia datelor (de exemplu, in caz de incalcare a securitatii). De asemenea, persoanele vizate ar trebui sa fie informate in acest sens.
III.2. Limitarea accesului si perioada de pastrare
11. In conformitate cu articolul 11 din propunerea SOL, la datele cu caracter personal prelucrate prin platforma SOL au acces doar:
– entitatea SAL competenta pentru solutionarea litigiului;
– moderatorii SOL, pentru a sprijini solutionarea litigiului (de exemplu, pentru a facilita comunicarea dintre parti si entitatea SAL relevanta sau pentru a informa consumatorii cu privire la existenta altor cai de atac, in afara platformei SOL);
– Comisia, daca este necesar pentru functionarea si intretinerea platformei SOL, inclusiv pentru a monitoriza utilizarea platformei de catre entitatile SAL si moderatorii SOL [10].
12. AEPD saluta existenta acestor limitari ale scopului si ale drepturilor de acces. Cu toate acestea, nu este clar daca toti moderatorii SOL (cel putin 54 la numar) urmeaza sa aiba acces la datele cu caracter personal referitoare la toate litigiile. AEPD recomanda o clarificare, in sensul ca fiecare moderator SOL ar urma sa aiba acces doar la datele necesare pentru indeplinirea obligatiilor care ii revin in conformitate cu articolul 6 alineatul (2).
13. In ceea ce priveste perioada de pastrare, AEPD saluta dispozitiile articolului 11 alineatul (3) care permit pastrarea datelor cu caracter personal doar pe perioada necesara pentru solutionarea litigiului si pentru exercitarea dreptului de acces al persoanelor vizate. De asemenea, AEPD saluta obligatia de stergere automata a datelor la 6 luni de la incheierea litigiului.
III.3. Prelucrarea categoriilor speciale de date: eventuala necesitate a unei verificari prealabile
14. Avand in vedere scopul propunerilor, este posibil sa se prelucreze date cu caracter personal referitoare la presupuse incalcari. De asemenea, s-ar putea prelucra si date cu privire la starea de sanatate, in contextul litigiilor care decurg din vanzarea de bunuri sau prestarea de servicii in domeniul sanatatii.
15. Prin urmare, prelucrarea datelor cu caracter personal in cadrul platformei SOL poate face obiectul unei verificari prealabile efectuate de catre autoritatile nationale de protectie a datelor si de catre AEPD, conform cerintelor articolului 27 din Regulamentul (CE) nr. 45/2001 si ale articolului 20 din Directiva 95/46/CE [11]. AEPD intelege ca necesitatea de a stabili, inainte ca platforma SOL sa devina functionala, daca prelucrarea trebuie sa faca obiectul unei verificari prealabile ii este cunoscuta Comisiei.
III.4. AEPD trebuie sa fie consultata cu privire la actele delegate sau de punere in aplicare referitoare la formularul de reclamatie
16. Informatiile care trebuie completate pe formularul electronic de reclamatie (denumit in continuare “formularul”) sunt prezentate detaliat in anexa la propunerea SOL. Acestea cuprind date cu caracter personal ale partilor (numele, adresa si, daca este cazul, adresa de e-mail si site-ul internet) si date care au ca scop stabilirea entitatii SAL competente sa solutioneze litigiul respectiv (locul de resedinta al consumatorului in momentul comandarii bunurilor sau a serviciilor, tipul de bunuri sau de servicii etc.).
17. AEPD saluta dispozitiile articolului 7 alineatul (6), care reamintesc faptul ca prin intermediul formularului si al documentelor atasate la acesta se pot prelucra doar date precise, pertinente si neexcesive. Lista datelor cuprinse in anexa respecta de asemenea principiul limitarii scopului.
18. Cu toate acestea, lista poate fi modificata prin acte delegate, iar caracteristicile formularului urmeaza sa fie reglementate prin acte de punere in aplicare [12]. AEPD recomanda introducerea unei referiri la necesitatea de a fi consultata in masura in care aceste acte se refera la prelucrarea de date cu caracter personal.
III.5. Masuri de securitate: necesitatea unei evaluari a impactului asupra vietii private
19. AEPD saluta dispozitiile dedicate confidentialitatii si securitatii. Printre masurile de securitate prezentate in detaliu la articolul 12 din propunerea SOL se numara controlul accesului, un plan de securitate si gestionarea incidentelor de securitate.
20. AEPD recomanda adaugarea unei referiri la necesitatea efectuarii unei evaluari a impactului asupra vietii private (care sa includa o evaluare a riscurilor) si, de asemenea, la faptul ca ar trebui sa se verifice si sa se raporteze periodic respectarea legislatiei privind protectia datelor.
21. In plus, AEPD doreste sa aminteasca faptul ca la elaborarea instrumentelor informatice pentru crearea platformei SOL ar trebui ca viata privata si protectia datelor sa fie integrate inca din etapa timpurie a conceperii (principiul luarii in considerare a vietii private incepand cu momentul conceperii), inclusiv prin instituirea unor instrumente care sa ofere utilizatorilor o mai buna protectie a datelor cu caracter personal (precum autentificarea si criptarea).
III.6. Informarea persoanelor vizate
22. AEPD saluta considerentul 21 din propunerea SOL, care afirma ca persoanele vizate ar trebui sa fie informate cu privire la prelucrarea datelor lor cu caracter personal, precum si cu privire la drepturile lor, printr-o declaratie de confidentialitate pusa la dispozitia publicului. Cu toate acestea, obligatia de a informa persoanele vizate ar trebui introdusa si in partea legislativa a propunerii SOL.
23. In plus, persoanele vizate ar trebui sa primeasca informatii si cu privire la operatorul care raspunde de respectarea drepturilor lor. Declaratia de confidentialitate trebuie sa fie clar vizibila pentru oricine completeaza formularul.
IV. CONCLUZIE
24. AEPD saluta faptul ca in text au fost integrate principii de protectie a datelor, in special in ceea ce priveste limitarea scopului si a accesului, limitarea perioadei de pastrare si masurile de securitate. Totusi, AEPD recomanda:
– clarificarea responsabilitatilor operatorilor si informarea persoanelor vizate in acest sens;
– clarificarea limitarii drepturilor de acces;
– completarea dispozitiilor referitoare la securitate;
– mentionarea necesitatii de a consulta AEPD cu privire la actele delegate si de punere in aplicare referitoare la prelucrarea datelor cu caracter personal.
25. AEPD doreste sa mai aminteasca si faptul ca prelucrarea datelor cu caracter personal in cadrul platformei SOL poate sa faca obiectul unei verificari prealabile efectuate de catre AEPD si de autoritatile nationale de protectie a datelor.

Adoptat la Bruxelles, 12 ianuarie 2012.
Giovanni Buttarelli

Adjunctul Autoritatii Europene pentru Protectia Datelor
[1] JO L 281, 23.11.1995, p. 31.
[2] JO L 8, 12.1.2001, p. 1.
[3] COM(2011) 793 final.
[4] COM(2011) 794 final.
[5] Considerentele 20 si 21 si articolul 11 alineatul (4) din propunerea SOL.
[6] Considerentul 16 din propunerea SAL.
[7] Preambulurile si expunerile de motive ale propunerilor.
[8] Fiecare stat membru trebuie sa desemneze un punct de contact pentru SOL care sa gazduiasca cel putin doi moderatori SOL. Comisia urmeaza sa instituie o retea de puncte de contact SOL.
[9] A se vedea si Avizul nr. 1/2010 privind conceptele de “operator” si “persoana imputernicita de catre operator” al Grupului de lucru pentru protectia datelor instituit in temeiul articolului 29, adoptat la 16 februarie 2010 (WP 169), pp. 17-24, disponibil la http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp169_en.pdf
[10] A se vedea articolul 11 alineatul (2) din propunerea SOL.
[11] Articolul 27 din Regulamentul (CE) nr. 45/2001 impune ca prelucrarea de “date referitoare la starea de sanatate si la presupuse infractiuni, infractiuni, condamnari penale sau masurile de siguranta” sa faca obiectul unei verificari prealabile efectuate de catre AEPD. In conformitate cu articolul 20 alineatul (1) din Directiva 95/46/CE, operatiunile de prelucrare care pot prezenta riscuri specifice in ceea ce priveste protectia datelor, stabilite prin legislatia nationala privind protectia datelor, fac obiectul unui control prealabil efectuat de autoritatea nationala de protectie a datelor.
[12] Considerentele 23 si 24 si articolul 7 alineatele (4) si (5) din propunerea SOL.