Contextul plângerii

1. În februarie 2020, reclamantul a depus o plângere de constatare a neîndeplinirii obligațiilor la Comisia Europeană. El a susținut că o lege portugheză ^[1] impune ca datele cu caracter personal ale oaspeților hotelului să fie colectate și transferate automat autorităților portugheze de imigrare și de frontieră. El a considerat că aceasta este o încălcare a Codului Frontierelor Schengen.^[2]

2. În iulie 2020, Comisia a răspuns că nu se aplică Codul frontierelor Schengen, deoarece controalele la frontierele statelor Schengen ar intra sub incidența Convenției Schengen ^[3]. Cu toate acestea, Comisia a considerat că cerințele legislației în cauză nu încalcă Convenția Schengen. Comisia a afirmat că convenția impune ca formularele de înregistrare completate să fie transmise autorităților relevante în cazul în care acestea consideră că acest lucru este necesar pentru „prevenirea amenințărilor, pentru anchete penale sau pentru clarificarea circumstanțelor persoanelor dispărute sau ale victimelor accidentelor, cu excepția cazului în care legislația națională prevede altfel”^[4]. Comisia a informat reclamantul că va închide cazul, cu excepția cazului în care acesta prezintă noi argumente care ar justifica o reevaluare a plângerii sale.

3. În august 2020, reclamantul a răspuns și a susținut că transferul datelor sale cu caracter personal nu a respectat Convenția Schengen. Transferul a fost automat și nu a fost necesar pentru prevenirea amenințărilor, cercetarea penală sau clarificarea circumstanțelor persoanelor dispărute sau ale victimelor accidentelor. În plus, el a considerat că acest lucru ar putea încălca Regulamentul UE privind protecția datelor (RGPD).^[5]

4. În februarie 2021, Comisia a informat reclamantul că a închis cazul. Acesta a afirmat că nu este rolul Comisiei să „evalueze legalitatea dispozițiilor existente ale dreptului UE” și că acesta este rolul Curții de Justiție a Uniunii Europene.

5. Nemulțumit de acest rezultat, reclamantul s-a adresat Ombudsmanului în februarie 2021.

Ancheta

6. Ombudsmanul a deschis o anchetă și a solicitat Comisiei să își clarifice poziția, în special cu privire la preocuparea că legislația portugheză în cauză încalcă RGPD.

7. În cursul anchetei, Ombudsmanul a primit răspunsul Comisiei și, ulterior, observațiile reclamantului.

Argumente prezentate Ombudsmanului

8. Reclamantul și-a exprimat îngrijorarea cu privire la faptul că Comisia nu a abordat pe deplin toate aspectele pe care le-a ridicat în plângerea sa privind încălcarea dreptului comunitar. În special, aceasta nu a răspuns preocupărilor sale cu privire la faptul că Convenția Schengen și legislația portugheză ar putea încălca RGPD, întrucât datele cu caracter personal ale tuturor oaspeților au fost colectate și transferate automat autorităților portugheze, indiferent dacă acest lucru a fost considerat necesar în conformitate cu Convenția Schengen ^[6].

9. Comisia a susținut că nu are autoritatea de a evalua legalitatea dispozițiilor existente ale legislației UE și că acesta este rolul Curții de Justiție a UE.

10. Comisia a afirmat că legislația portugheză care impune transferul automat de date nu ar putea încălca RGPD pentru simplul motiv că aceasta depășește ceea ce este impus de Convenția Schengen. Cu toate acestea, Comisia a fost de acord că legislațiile naționale trebuie să respecte normele de protecție a datelor, inclusiv principiile generale ale necesității și proporționalității. Comisia a declarat că analizează în prezent acest aspect al plângerii privind încălcarea dreptului comunitar și că va lua toate măsurile adecvate în cazul în care va considera necesar acest lucru.

Evaluarea Ombudsmanului

11. Comisia dispune de o marjă largă de apreciere în ceea ce privește tratarea plângerilor în constatarea neîndeplinirii obligațiilor ^[7]. Politica sa privind încălcările dreptului UE este prevăzută în comunicarea sa intitulată „Legislația UE: O mai bună aplicare pentru obținerea unor rezultate mai bune ^[8]

12. În ceea ce privește plângerile privind încălcarea dreptului comunitar, Ombudsmanul poate examina dacă Comisia și-a explicat în mod clar poziția și dacă a oferit reclamantului posibilitatea de a prezenta observații înainte de închiderea unui caz. În această privință, Comisia nu este obligată să colaboreze cu un reclamant cu privire la fiecare aspect sau argument invocat în plângerea privind încălcarea dreptului comunitar. Cu toate acestea, Comisia ar trebui să explice în mod clar de ce a adoptat o anumită poziție. În ceea ce privește fondul unei plângeri privind încălcarea dreptului comunitar, Ombudsmanul poate interveni numai în cazul în care există indicii că Comisia s-a înșelat în mod vădit în prezentarea faptelor sau a legii.

13. În contextul anchetei Ombudsmanului, Comisia a abordat îngrijorarea reclamantului cu privire la faptul că legislația portugheză încalcă RGPD. Comisia a explicat mai detaliat motivele pentru care a considerat că legislația portugheză nu a încălcat RGPD pentru simplul motiv că a depășit cerințele articolului 45 alineatul (1) litera (b) din Convenția Schengen.

14. Comisia a fost de acord că legislația națională trebuie să respecte legislația UE privind protecția datelor, inclusiv principiile necesității și proporționalității. Aceasta a afirmat că analizează în continuare acest aspect al plângerii și că va lua toate măsurile adecvate.

15. Întrucât Comisia evaluează în prezent acest aspect al plângerii privind încălcarea dreptului comunitar, nu se justifică efectuarea unor anchete suplimentare.

Concluzie

Pe baza anchetei, Ombudsmanul închide acest caz cu următoarea concluzie:

Având în vedere că, în prezent, Comisia și-a clarificat poziția cu privire la plângerea privind încălcarea dreptului comunitar și evaluează în prezent dacă legislația portugheză respectă normele UE privind protecția datelor, nu se justifică efectuarea unor anchete suplimentare.

Reclamantul și Comisia vor fi informați cu privire la această decizie.

Sugestii de îmbunătățire

Ombudsmanul sugerează Comisiei să informeze reclamantul cu privire la concluziile analizei sale și la orice măsuri pe care le consideră adecvate.

Emily O’Reilly Ombudsmanul
European

Strasbourg, 14.2.2022

[1] Legea portugheză nr. 23/2007 din (data) 2007.

[2] articolul 8 din Regulamentul (UE) 2016/399 cu privire la Codul Uniunii privind regimul de trecere a frontierelor de către persoane (Codul Frontierelor Schengen); https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:02016R0399-20190611&from=EN.

[3] Articolul 45 din Convenția de punere în aplicare a Acordului Schengen („Convenția Schengen”), https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:42000A0922(02)&from=EN .

[4] Ibidem.

[5] Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (RGPD); https://eur-lex.europa.eu/eli/reg/2016/679/oj

[6] Articolul 45 alineatul (1) litera (b) din Convenția Schengen impune statelor membre Schengen să se asigure că unitățile, cum ar fi hotelurile, transferă formularele de înregistrare către autoritățile competente, în cazul în care acestea consideră că acest lucru este necesar pentru prevenirea amenințărilor, pentru anchete penale sau pentru clarificarea circumstanțelor persoanelor dispărute sau ale victimelor accidentelor, cu excepția cazului în care dreptul intern prevede altfel.

[7] Hotărârea Curții în cauza 247/87, Starfruit/Comisia, punctul 11, disponibilă la adresa: https://eur-lex.europa.eu/resource.html?uri=cellar:e4c3d14b-516a-43a2-bc26-4fdc28336562.0002.06/DOC_1&format=PDF.

[8] https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52017XC0119(01)&from=EN