Regulamentul (UE) 2025/2518 privind stabilirea unor norme procedurale suplimentare pentru asigurarea respectării Regulamentului (UE) 2016/679 (“GDPR”), denumit în continuare „Regulamentul”, a intrat în vigoare la data de 1 ianuarie 2026 și va deveni aplicabil începând cu data de 2 aprilie 2027. Regulamentul introduce un nou set de norme procedurale care reglementează aplicarea dispozițiilor GDPR în cazurile ce constau în activități care implică prelucrarea transfrontalieră a datelor cu caracter personal.
Cadrul legal al GDPR instituie un sistem prin care o singură autoritate de supraveghere principală supraveghează prelucrarea transfrontalieră prin intermediul mecanismului „one-stop-shop". În practică, însă, acest mecanism a fost adesea subminat de norme procedurale naționale divergente, ceea ce a dus la întârzieri și incertitudini juridice. În acest context, Regulamentul urmărește să corecteze aceste deficiențe structurale prin simplificarea procedurilor și consolidarea eficacității investigațiilor transfrontaliere.
Pe scurt, Regulamentul are un caracter pur procedural, urmărind să consolideze cadrul pentru aplicarea dispozițiilor GDPR în practică, în cazurile ce implică activități de prelucrare transfrontaliere a datelor, îmbunătățind în același timp cooperarea între autoritățile din Uniunea Europeană. De asemenea, este important de menționat că obligațiile prevăzute de GDPR, inclusiv criteriile pentru aplicarea amenzilor (astfel cum sunt prevăzute la articolul 83 din GDPR), rămân neschimbate; Regulamentul introducând termene mai stricte, cerințe armonizate în materie de soluționare a plângerilor și drepturi de apărare consolidate pentru persoanele vizate și entitățile relevante.
Principalele schimbări aduse de Regulament pot fi împărțite în trei domenii majore, respectiv:
I. Armonizarea și Unificarea normelor privind admisibilitatea plângerilor
În timp ce, potrivit dispozițiilor GDPR, cerințele pentru admisibilitatea unei plângeri au variat până în prezent în mod semnificativ de la un Stat Membru la altul, Regulamentul introduce o serie de noutăți semnificative. În acest sens, Regulamentul pune capăt acestei abordări fragmentate și stabilește cerințe stricte și uniforme pentru admisibilitatea plângerilor privind prelucrarea transfrontalieră de date.
De exemplu, de acum înainte, o plângere va fi admisibilă numai dacă sunt menționate informații specifice, precum (i) datele de contact ale persoanei care depune plângerea; (ii) informații care înlesnesc identificarea operatorului sau a persoanei împuternicite de operator care face obiectul plângerii; precum și (iii) o descriere a presupusei încălcări a dispozițiilor GDPR.
De ce este important acest lucru în practică? Din modalitatea de redactare a textului legal, acesta pare să stabilească o listă exhaustivă cu cerințe de admisibilitate. În consecință, nu pot fi solicitate informații suplimentare în afara celor cerute în mod expres de Regulament pentru ca o plângere să fie considerată admisibilă de către autoritatea de supraveghere.
II. Introducerea unor termene mai stricte pentru autorități și Accelerarea proceselor
Potrivit prevederilor GDPR, până la acest moment, nu erau stabilite termene obligatorii pentru finalizarea investigațiilor transfrontaliere, ceea ce permitea ca plângerile să rămână nerezolvate timp de mai mulți ani. Astfel, Regulamentul introduce termene stricte pentru autoritățile de supraveghere și mecanisme ce sporesc eficiența, după cum urmează:
▸ Etapa de Soluționare timpurie: Articolul 5 din Regulament stabilește o procedură de soluționare timpurie a plângerilor referitoare la prelucrarea transfrontalieră a datelor în conformitate cu dispozițiile GDPR, în special atunci când plângerea se referă la exercitarea drepturilor persoanelor vizate, în conformitate cu Capitolul III din GDPR. În esență, Articolul 5 permite autorităților de supraveghere să soluționeze rapid plângerile transfrontaliere atunci când încălcarea a încetat, păstrând în același timp dreptul reclamantului de a prezenta o obiecție și competențele de executare ale autorităților. ▸ Noul termen pentru emiterea deciziilor: autoritățile de supraveghere principale trebuie, în principiu, să prezinte un proiect de decizie în termen de 15 luni de la confirmarea competenței lor, în conformitate cu dispozițiile articolului 60 (3) din GDPR. Această perioadă poate fi prelungită o singură dată, pentru o perioadă maximă de 12 luni, și numai în cazuri excepționale. ▸ Clauza „anti-birocrație": în cazurile în care autoritatea de supraveghere principală își poate forma o opinie preliminară referitor la principalele aspecte ale unei investigații, care nu ridică îndoieli rezonabile, autoritatea de supraveghere principală poate recurge la Procedura de cooperare simplă, astfel cum aceasta este prevăzută în Articolul 6 din Regulament, pentru a accelera procesul.
Nerespectarea termenelor stabilite de Regulament nu invalidează, în sine, etapele procedurale sau adoptarea deciziilor finale. Cu toate acestea, respectarea acestor termene ar putea fi relevantă pentru a evalua dacă o autoritate de supraveghere a omis să soluționeze o plângere, ceea ce poate da dreptul părților interesate să exercite o cale de atac judiciară în temeiul articolului 78 din GDPR.
III. Consolidarea dreptului la apărare
Regulamentul consolidează în mod semnificativ garanțiile procedurale pentru operatorii de date și persoanele împuternicite de operatori care fac obiectul unei investigații, prin stabilirea așa-numitului „drept de a fi ascultat". Astfel, Regulamentul pune accentul pe dreptul de a fi ascultat înainte de luarea unei decizii finale; astfel că acum, adoptarea unei decizii de către o autoritate de supraveghere pare să fie mai bine „schițată", după cum urmează:
▸ Conturarea unor Concluzii preliminare: în cazul în care autoritatea de supraveghere principală intenționează să prezinte un proiect de decizie, aceasta trebuie să elaboreze mai întâi „concluzii preliminare" cu privire la încălcarea respectivă. Acest document trebuie să conțină toate faptele, lista probelor pe care se bazează și întreaga evaluare juridică, precum și măsurile corective (cum ar fi amenzile) care sunt luate în considerare (Articolul 19 din Regulament). ▸ Exercitarea dreptului de a fi ascultat: după notificarea constatărilor preliminare, partea care face subiectul investigației are la dispoziție minimum trei și maximum șase săptămâni pentru a-și face cunoscute opiniile în scris (Articolul 20 din Regulament). ▸ Adoptarea deciziei finale: dacă, după comunicarea proiectului de decizie în conformitate cu articolul 60 (3) din GDPR, nicio autoritate de supraveghere nu ridică obiecții în termenele prevăzute de Regulament, autoritatea de supraveghere principală trebuie, în termen de o lună: (i) să adopte decizia finală în conformitate cu articolul 60 (7) sau cu articolul 60 (9) din GDPR; și (ii) să notifice această decizie sediului principal sau unic al operatorului sau al persoanei împuternicite de operator, după caz. (Articolul 21 din Regulament). ▸ Dreptul de acces la dosarul administrativ: părților care fac obiectul unei investigații li se acordă în mod expres dreptul de acces la dosarul administrativ, sub rezerva protecției secretelor comerciale și a informațiilor confidențiale, precum și dreptul de a primi concluziile preliminare care prezintă presupusele încălcări și măsurile corective pe care autoritatea de supraveghere principală intenționează să le aplice (Articolul 24 din Regulament). Dosarul administrativ include toate documentele și probele colectate de autoritățile de supraveghere principale implicate, indiferent dacă sunt incriminatoare sau dezincriminatoare. Acesta exclude comunicările interne în cadrul unei autorități de supraveghere.
Concluzie
Regulamentul marchează un nou pas în evoluția și consolidarea aplicării dispozițiilor GDPR, perfecționând modul în care GDPR este aplicat în practică, dintr-o perspectiva procedurală. Deși Regulamentul sporește siguranța juridică pentru entități, acesta impune și o mai mare agilitate juridică, datorită termenelor mai stricte și mai scurte pentru a răspunde în cadrul investigațiilor.
Acestea fiind spuse, Regulamentul înlocuiește normele naționale fragmentate cu un cadru unificat, cu termene precise, asigurând o aplicare mai eficientă, previzibilă și transparentă a dispozițiilor GDPR pe întreg teritoriul Uniunii Europene.
