O jurisdicție a internetului: aplicarea teritorială a prevederilor RGPD în contextul platformelor digitale

Universuljuridic.ro PREMIUM

Aici găsiți informaţiile necesare desfăşurării activităţii dvs. profesionale.

Universuljuridic.ro PREMIUM pune la dispoziția profesioniștilor lumii juridice un prețios instrument de pregătire profesională. Oferim un volum vast de conținut: articole, editoriale, opinii, jurisprudență și legislație comentată, acoperind toate domeniile și materiile de drept. Clar, concis, abordăm eficient problematicile actuale, răspunzând scenariilor de activitate din lumea reală, în care practicienii activează.

Testează ACUM beneficiile Universuljuridic.ro PREMIUM prin intermediul abonamentului GRATUIT pentru 7 zile!

1. Introducere

Studiile au revelat un paradox al confidențialității, oamenii fiind, pe de o parte, îngrijorați cu privire la pierderea controlului asupra vieții private, dar, în același timp, entuziaști să consume produse digitale^[1]. La 29 de ani de la apariția WWW, utilizarea internetului pentru activități curente, profesionale, comerciale sau recreative nu mai este un capriciu, ci o necesitate. În realitate, utilizarea internetului este regula, iar offline-ul pierde treptat, dar sigur, teritoriu. Un internet liber, fără limite, deschide nu doar apetitul utilizatorilor pentru produse și servicii din afara teritoriului Uniunii, dar și interesul organizațiilor pentru datele personale care sunt privite ca un „activ valoros și competitiv”^[2] cu un rol bine recunoscut în dezvoltarea economiei^[3]. Datele personale sunt vitale pentru funcționarea comerțului electronic, dar un comerț electronic internațional naște întrebări de ordin jurisdicțional deoarece, printre alte aspecte, utilizatorul nu este localizat în țara unde se află serverele care îi stochează datele^[4].

În trecut, sub imperiul Directivei nr. 95/46^[5] situația jurisdicției pe internet era incertă ^[6], situația care a fost lămurită, în linii mari, de jurisprudența Curții de Justiție a Uniunii Europene (CJUE), așa cum vom arăta în secțiunile următoare. Oricum, cel mai important pas realizat în protejarea drepturilor persoanelor fizice vizate^[7] într-un context digital internațional, îl are apariția Regulamentului General privind Protecția Datelor (RGPD)^[8] care a devenit „cel mai strict și mai influent regim privind protecția datelor” ^[9].

RGPD se află în armonie cu paradoxul confidențialității, având obiectivul de a asigura un echilibru între protecția datelor și libera circulație a acestora. Pentru a asigura o protecție adecvată a datelor care circulă pe un internet fără granițe, RGPD a extins sfera de aplicabilitate teritorială. El se aplică, în anumite condiții, chiar și organizațiilor care nu au un sediu în Uniune.

RGPD are o sferă de aplicabilitate globală și se aplică, în situațiile indicate de regulament, atât prelucrărilor efectuate în interiorul UE, dar și prelucrărilor efectuate în afara UE, atât operatorilor, dar și persoanelor împuternicite^[10]. El se aplică, deopotrivă, în condițiile regulamentului, nu doar entităților stabilite în UE, dar și celor din afara UE^[11]. Mai mult, regulamentul se aplică atât persoanelor aflate în UE, dar, în anumite condiții, și persoanelor din afara UE, indiferent de cetățenia sau naționalitatea lor^[12] .

RGPD se aplică, din punct de vedere teritorial, pe baza a două „criterii principale: cel privind «sediul», în conformitate cu articolul 3 alineatul (1) RGPD, și cel privind «persoanele vizate»”^[13] în conformitate cu art. 3 alin. (2) RGPD. El se aplică organizațiilor din afara Uniunii sau care prelucrează date în afara Uniunii în patru situații, respectiv:

(i) atunci când operatorul sau persoana împuternicită are sediul pe teritoriul UE, indiferent dacă prelucrarea are loc sau nu pe teritoriul Uniunii [art. 3 alin. (1) RGPD];

(ii) în situațiile în care operatorul sau persoana împuternicită nu este stabilit(ă) în Uniune, dar oferă bunuri sau servicii unor persoane vizate din Uniune [art. 3 alin. (2) lit. a) RGPD];

(iii) în situațiile în care operatorul sau persoana împuternicită nu este stabilit(ă) în Uniune, dar monitorizează comportamentul persoanelor din cadrul Uniunii [art. 3 alin. (2) lit. b) RGPD];

(iv) atunci când operatorul care nu este stabilit în Uniune, ci într-un loc în care dreptul intern se aplică în temeiul dreptului internațional public [art. 3 alin. (3) RGPD].

În secțiunile următoare, vom detalia primele trei situații cu o aplecare spre jurisprudența CJUE și orientările Comitetului European pentru Protecția Datelor (CEPD).

2. Problematica sediului

Art. 3 alin. (1) RGPD prevede că regulamentul se aplică dacă operatorul sau persoana împuternicită are sediul pe teritoriul UE, indiferent dacă prelucrarea are loc sau nu pe teritoriul Uniunii.
În primul rând, observăm o diferență esențială față de Directiva nr. 95/46, respectiv aplicarea teritorială a RGPD are în vedere atât sediul operatorului, cât și sediul persoanei împuternicite, prin urmare toate obligațiile prevăzute de RGPD în sarcina persoanei împuternicite^[14] trebuie respectate de aceasta din urmă chiar dacă lucrează doar pentru operatori care nu sunt stabiliți în Uniune^[15] și chiar în situațiile în care nu se prelucrează date pe teritoriul Uniunii sau cu privire la persoane aflate în Uniune. În continuare vom oferi un exemplu.

Exemplul #1: Compania InboxDirect are sediul în Uniunea Europeană și este o platformă de e-mail marketing. Compania InboxDirect oferă servicii B2B către companii din SUA (operatori de date), iar în raport cu această activitate de prelucrare, InboxDirect are calitatea de persoană împuternicită. Având în vedere că are sediul în Uniunea Europeană, RGPD chiar dacă nu se prelucrează date pe teritoriul Uniunii sau cu privire la persoane aflate în Uniune.

Noțiunea de „sediu”^[16] necesită o abordare separată. Considerentul (22) din RGPD prevede:

„Sediul implică exercitarea efectivă și reală a unei activități în cadrul unor înțelegeri stabile. Forma juridică a unor astfel de înțelegeri, prin intermediul unei sucursale sau al unei filiale cu personalitate juridică, nu este factorul determinant în această privință”.

Din interpretarea considerentului (22) RGPD, rezultă faptul că sediul, în sensul RGPD, nu este echivalent cu sediul social sau sediul profesional conform dreptului societar, ci are o sferă de aplicabilitate mai extinsă. Sediul implică „exercitarea efectivă și reală a unei activități în cadrul unor înțelegeri stabile” și, așa cum subliniază CJUE, pentru a ne afla în prezența unui sediu, activitatea exercitată poate fi „chiar minimă”^[17].

Tot CJUE a arătat, în cauza Wirtschaftsakademie Schleswig-Holstein^[18], faptul că nu este obligatoriu ca „o astfel de prelucrare să fie efectuată „de” însuși sediul în cauză, ci doar ca ea să fie efectuată în cadrul activităților acestuia”^[19], arătând faptul că o interpretare restrictivă a noțiunii de sediu nu va fi în armonie cu o protecție eficientă și completă a dreptului la protecția datelor: „trebuie amintit, mai întâi, că, având în vedere obiectivul urmărit de Directiva 95/46, constând în asigurarea unei protecții eficiente și complete a libertăților și a drepturilor fundamentale ale persoanelor fizice, în special a dreptului la viață privată, în ceea ce privește prelucrarea datelor cu caracter personal, expresia „în cadrul activităților [unui sediu]” nu poate primi o interpretare restrictivă”^[20].

* Articol extras din revista Pandectele Române nr. 5/2020.