Buletin Informativ

Buletin Informativ Nr. 19

96 Views

I. Activitățile de informare și instruire efectuate de CNPDCP

În trimestru trei al anului 2024 (iulie – septembrie), Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a continuat să înregistreze progrese în partea ce ține de activitățile de informare și sensibilizare a publicului larg cu domeniul protecției datelor cu caracter personal.

În perioada de referință, s-a continuat organizarea cursurilor de instruire pentru subdiviziunile Inspectoratului General al Poliției (IGP), conform planului de instruiri aprobat și semnat de către conducătorii CNPDCP și IGP, la data de 26 ianuarie 2024. Scopul acestora a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară. În cadrul evenimentelor au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații subdiviziunilor IGP; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

24 iulie – Inspectoratul de poliție Hâncești;
31 iulie – Inspectoratul de poliție Ciocana;
07 august – Inspectoratul de poliție Centru;
14 august – Inspectoratul de poliție Buiucani;
21 august – Inspectoratul de poliție Botanica;
29 august – Inspectoratul de poliție Râșcani al Direcției de poliție municipiul Chișinău;
10 septembrie – Direcția de poliție a UTA Găgăuzia;
10 septembrie – Inspectoratul de poliție Comrat;
18 septembrie – Inspectoratul de poliție Ciadîr-Lunga;
25 septembrie – Inspectoratul de poliție Vulcănești.

În acest context, au fost instruiți circa 420 de reprezentanți din cadrul subdiviziunilor IGP.

La data de 21 februarie 2024, a fost aprobat și semnat de către conducătorii CNPDCP și Inspectoratului General al Poliției de Frontieră (IGPF), Planul de instruiri în domeniul protecției datelor cu caracter personal pentru personalul Poliției de Frontieră. În perioada de referință, cursuri de instruire au fost organizate pentru angajații Sectorului Poliției de Frontieră (SPF) în contextul elaborării / implementării de către IGPF a „Conceptului privind autonomia funcțională și decizională a patrulei Poliției de Frontieră în activitatea de supraveghere a frontierei de stat”. Scopul acestora a fost de a spori gradul de percepție a angajaților SPF care supraveghează frontiera în scopul combaterii migrației ilegale, a traficului de persoane și a criminalității transfrontaliere, asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară. Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

19 septembrie – SPF Briceni al Direcției regionale Nord;
24 septembrie – SPF Sculeni al Direcției regionale Vest.

În acest context, au fost instruiți circa 90 de reprezentanți din cadrul subdiviziunilor IGPF.

La data de 08 iulie 2024, a fost aprobat și semnat de către conducătorii CNPDCP și Casei Naționale de Asigurări Sociale (CNAS), Planul de instruiri în domeniul protecției datelor cu caracter personal pentru angajații din cadrul subdiviziunilor structurale CNAS. Scopul cursurilor de instruire a fost de a spori gradul de percepție a angajaților CNAS asupra principiilor de protecție a datelor cu caracter personal, precum și familiarizarea acestora cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu prevederile legislației în vigoare. În cadrul evenimentelor au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO); aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor; asigurarea securității și confidențialității datelor cu caracter personal de către angajații CNAS, etc.

Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

08 august – Aparatului central al Casei Naționale de Asigurări Sociale (două cursuri de instruire);
09 august – Casa Teritorială de Asigurări Sociale, mun. Chișinău (două cursuri de instruire);
17 septembrie – Casa Teritorială de Asigurări Sociale, regiunea Nord (două cursuri de instruire);
30 septembrie – Casa Teritorială de Asigurări Sociale, regiunea Centru (două cursuri de instruire).

În acest context, au fost instruiți circa 775 de reprezentanți din cadrul subdiviziunilor CNAS.

În perioada de referință, CNPDCP a manifestat deschidere și spirit de colaborare, organizând cursuri de instruire pentru reprezentanții instituțiilor publice, la solicitarea acestora. La data de 13 august au fost instruiți reprezentanții Centrului pentru Comunicare Strategică și Combatere a Dezinformării (Centrul). Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Centrului asupra principiilor de protecție a datelor cu caracter personal, precum și familiarizarea acestora cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu prevederile legislației în vigoare. În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate etc.

În perioada de referință au fost organizate cursuri de instruire pentru instituțiile medicale. La data de 26 septembrie a avut loc cursul de instruire cu genericul „Prevederi legale în domeniul protecției datelor cu caracter personal” pentru reprezentanții Spitalului Clinic de Psihiatrie, având drept scop de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. În cadrul evenimentului au fost abordate subiecte, cum ar fi: definirea datelor cu caracter personal privind starea de sănătate; prelucrarea categoriilor obișnuite de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind starea de sănătate; principii de prelucrare a datelor cu caracter personal; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; confidențialitatea și secretul profesional; divulgarea datelor cu caracter personal privind starea de sănătate; obligativitatea de asigurare a confidențialității și securității datelor cu caracter personal; reducerea la minimum a datelor și limitarea stocării, etc. În cadrul evenimentului au fost instruiți circa 60 de reprezentanți ai Spitalului Clinic de Psihiatrie.

Totodată, în perioada de referință a fost continuată campania de informare și sensibilizare pentru comunitățile școlare cu genericul: „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line”. Scopul campaniei a fost de a oferi comunității școlare o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin. Tematicile abordate în cadrul instruirilor au vizat: noțiuni generale privind datele cu caracter personal; utilizarea corectă a pozelor/video în mediul online; riscurile și amenințările în mediul online; comunicarea pe rețelele de socializare, etc. Cursul de instruire a fost organizat la data de 10 iulie, pentru Centrul Republican pentru Copii și Tineret „Artico”, fiind instruiți 53 de elevi.

II. Activitatea de control

În perioada iulie – septembrie 2024, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 86 de cazuri. În perioada de referință, au fost emise 87 decizii, dintre care în 36 de cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 40 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

III. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

1. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, efectuate de către o persoană, manifestate prin publicarea mai multor secvențe video cu prezența unor minore pe rețelele de socializare „Facebook” și „Instagram” în lipsa consimțământului subiectului de date și a reprezentantului legal al acestora, invocând că prin acțiunile deplânse a fost încălcat primordial dreptul la viața privată a copiilor, aceste postări fiind contrare intereselor superioare ale copiilor, fapt ce ar reprezenta inclusiv un abuz asupra valorilor familiale.

Chiar dacă operatorul/persoana care a publicat secvențele video a invocat că scopul plasării acestora ar fi unul nobil, și anume: de a prezenta dorința fetelor de a-l aduce acasă pe tatăl acestora și nedorința de a merge cu mama biologică, totuși în ceea ce privește publicarea de imagini și informații despre minori, părinții, tutorii și alte persoane responsabile trebuie să fie conștienți de consecințele pe termen lung ale publicării acestor imagini și să acorde prioritate protejării vieții private și demnității copiilor.

Astfel, CNPDCP subliniază importanța protejării dreptului la viață privată al copiilor, având în vedere vulnerabilitatea acestora și necesitatea de a le asigura un mediu sigur și protejat, inclusiv în mediul digital.

În context, prin decizie s-a constatat că, prelucrarea datelor cu caracter personal ce vizează minorele a fost efectuată cu încălcarea prevederilor art. 4 alin. (1) lit. a), b) și c) ale Legii nr. 133/2011 privind protecția datelor cu caracter personal.

Mai mult, având în vedere că speța implica minori, CNPDCP a reținut că, scopul invocat de operator putea fi atins prin utilizarea unor mijloace mai puțin intruzive în viața privată a acestora.

2. CNPDCP a examinat plângerea subiectului de date privind pretinsul fapt de prelucrare neconformă a datelor cu caracter personal, materializată prin dezvăluirea datelor cu caracter personal de către un consilier local, urmare a transmiterii live a ședinței consiliului local, fapt ce a dus la divulgarea datelor cu caracter personal a unei persoane despre care se discuta, pentru a-i oferi un ajutor material.

În cadrul investigației, CNPDCP a constatat că datele cu caracter personal ce vizează persoana în cauză, au fost publicate pe rețeaua de socializare ,,Facebook”, urmare a transmiterii live, de către un consilier a ședinței consiliului local cu scopul de a asigura transparența deciziilor luate de consiliu. Drept urmare, au fost divulgate numele, prenumele, boala de care suferă și cuantumul ajutorului. Totuși, potrivit art. 4 alin. (1) lit. a), b) și c) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, datele cu caracter personal care fac obiectul prelucrării trebuie să fie prelucrate în mod corect şi conform prevederilor legii; colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri, adecvate, pertinente şi neexcesive în ceea ce privește scopul pentru care sunt colectate şi/sau prelucrate ulterior. Or, consilierul local ar fi trebuit să înceteze transmisiunea live, imediat ce a fost informat că urmează să fie discutate informații ce conțin date sensibile cu caracter personal ale unor persoanele fizice, în special conștientizând că informația privind starea de sănătate constituie categorie specială de date cu caracter personal.

În context, în cadrul soluționării plângerii, CNPDCP a constatat prin decizie încălcări ale prevederilor art. 4 alin. (1) lit. a), b), c), art. 5 alin. (1), art. 7 și art. 29 alin. (1) ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către consilierul local, la divulgarea datelor cu caracter personal ale subiectului de date.

3. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, prin care a solicitat verificarea legalității operațiunilor de prelucrare a datelor cu caracter personal ce îi aparțin de către o persoană necunoscută, acțiuni ce s-au manifestat prin anexarea copiei fișei buletinului de identitate ce îi aparține, la dosarul civil al unei alte persoane.

Astfel, în cadrul investigației s-a constatat că, operațiunile de prelucrare a datelor cu caracter personal efectuate de către operator (autoritate publică), au fost efectuate în vederea pregătirii dosarului personal la angajare a persoanei terțe, unde a fost solicitată și copia buletinului de identitate ce aparține subiectului de date, fapt ce nu este prevăzut în regulamente sau instrucțiuni aferente.

Ulterior, copia fișei buletinului de identitate ce aparține subiectului de date, a fost anexată, împreună cu alte acte ale persoanei terțe, la dosarul civil al acesteia.

În acest sens, urmează a menționa faptul că, conform art. 3 al Legii nr. 133/2011, calitatea de destinatar are orice persoană fizică sau persoană juridică de drept public ori de drept privat, inclusiv autoritatea publică şi subdiviziunile ei teritoriale, căreia îi sunt dezvăluite date cu caracter personal, indiferent dacă este sau nu terţ. Nu sunt considerate destinatari organele din domeniul apărării naţionale, securităţii statului şi ordinii publice, organele de urmărire penală şi instanţele judecătoreşti cărora li se comunică date cu caracter personal în cadrul exercitării competenţelor stabilite de lege.

În urma celor descrise supra, Centru, prin decizie, a determinat că operațiunile de prelucrare a datelor cu caracter ce aparțin subiectului de date contravin prevederilor art. 4 alin. (1), lit. a) și b) și art. 5 ale Legii privind protecția datelor, or, acestea au fost efectuate de către operatorul de date – la caz, autoritate publică, în lipsa unui scop de determinat, explicit și legitim.

IV. Activitatea de supraveghere

În perioada de referință, CNPDCP a venit cu unele precizări și recomandări pentru subiecții de date:

O nouă schemă frauduloasă! Atenție la furnizarea datelor cu caracter personal!

În contextul informațiilor mediatizate, privind colectarea datelor cu caracter personal de către pretinse persoane acreditate de către Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), autoritatea a venit cu următoarele precizări și recomandări pentru subiecții de date:

CNPDCP este o autoritate publică autonomă, independentă şi imparţială faţă de alte autorităţi publice, persoane fizice şi juridice, care îşi exercită atribuţiile ce îi sunt date în competenţă prin Legea privind protecţia datelor cu caracter personal.
În calitate de organ de control al prelucrărilor de datelor cu caracter personal, CNPDCP are o serie de atribuții, cum ar fi: monitorizează respectarea legislaţiei cu privire la protecţia informaţiei şi controlează aplicarea acesteia, în special dreptul la informare, de acces la date, de intervenţie asupra datelor şi de opoziţie; oferă subiecţilor datelor cu caracter personal informaţii referitoare la drepturile lor; dispune suspendarea sau încetarea prelucrării datelor cu caracter personal efectuate cu încălcarea prevederilor legale; efectuează controlul legalităţii prelucrărilor de date cu caracter personal; sesizează organele de drept în cazul existenţei unor indicii privind săvârşirea infracţiunilor legate de încălcarea drepturilor subiecţilor datelor cu caracter personal; constată contravenţii şi încheie procese-verbale conform Codului contravenţional al Republicii Moldova etc.

Angajații CNPDCP pot prelucra date cu caracter personal doar în scopul exercitării atribuțiilor de serviciu/competențelor menționate supra, solicitând informații concrete despre obiectul sesizării aflate în examinare sau controlului inițiat/desfășurat. Datele instituționale oficiale de contact, pot fi verificate pe pagina web a autorității.

Totodată, CNPDCP nu acreditează/autorizează persoane pentru a prelucra date cu caracter personal și/sau pentru a acționa în numele său. Mai mult, persoanele care solicită informații prin asemenea căi dubioase sunt escroci și cel mai probabil, scopul acestora este deposedarea de mijloace financiare, utilizând date cu caracter personal.

În acest context, CNPDCP recomandă cetățenilor:

Nu accesați link-uri din mesaje sau anunțuri publicitare suspecte;
Evitați înregistrarea și completarea sondajelor online dubioase;
Nu furnizați informații ce conțin date cu caracter personal pe site-uri neverificate;
Nu răspundeți la mesajele suspicioase și marcați-le ca SPAM;
Descărcați aplicații numai din surse oficiale;
Nu introduceți date cu caracter personal, la cerere, chiar dacă vi se propun câștiguri fabuloase;
Nu oferiți persoanelor necunoscute acces de la distanță la dispozitive prin aplicații specializate (de exemplu, AnyDesk și TeamViewer);
Nu comunicați nimănui datele cardului bancar;
Nu transferați bani persoanelor necunoscute și nu transmiteți nimănui mijloace bănești prin intermediul persoanelor terțe necunoscute, indiferent de scop.

Totodată, în scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 45 de consultații telefonice și 8 răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date cu caracter personal.

5. Știri internaționale și europene

În perioada 09-13 septembrie, reprezentanții CNPDCP au participat în cadrul Academiei pentru Protecția Datelor din Balcanii de Vest și Regiunea Parteneriatului Estic, care a avut loc la Bruxelles, Belgia.

Academia pentru Protecția Datelor este un proiect creat de Comisia Europeană (DG JUST) care oferă suport și instruire pentru Autoritățile de Protecție a Datelor (DPA) din țările din afara UE, oferind acestora o platformă pentru a face schimb de opinii, bune practici și lecții învățate cu omologii lor din UE.

Scopul evenimentului a fost de a prezenta experiența instituțiilor și organismelor relevante ale UE în procesul de implementare a GDPR-ului, oferind o imagine de ansamblu cuprinzătoare și practică a provocărilor apărute în procesul de aplicare a acestuia.

În cadrul Academiei pentru Protecția Datelor din Balcanii de Vest și Regiunea Parteneriatului Estic au fost abordate subiecte de importanță, cum ar fi:

Aspecte cheie din domeniul protecției datelor începând cu septembrie 2023, cu accent pe legislație, implementare și cooperare internațională;
Principii ale administrației publice, cu accent pe furnizarea de servicii și sfera digitală, rolul confidențialității și al protecției datelor cu caracter personal;
Rolul unei Autorități Independente de Protecție a Datelor în ecosistemul de protecție a datelor;
Rolul Responsabililor cu protecția datelor;
Protecția datelor în era digitalizării serviciilor și a inteligenței artificiale;
Asigurarea echilibrului între cerințele legale privind protecția datelor și legislația privind libertatea de informare;
Protecția datelor în contextul acordurilor de colaborare cu EUROPOL și Eurojust;
Regulamentul digital al UE: interacțiunea dintre GDPR și noile reglementări europene privind datele (DSA, DMA, DGA, Data Act);
Transferurile internaționale și reglementarea fluxurilor globale de date, etc.

Evenimentul, organizat de Comisia Europeană, în colaborare cu programul SIGMA, Fondul regional al Parteneriatului estic pentru reformele administrației publice al GIZ, Consiliul de Cooperare Regională și Școala Regională de Administrație Publică, a reunit reprezentanți ai Autorităților de Protecție a Datelor din 10 țări, cum ar fi: Albania, Armenia, Bosnia și Herzegovina, Georgia, Kosovo, Moldova, Muntenegru, Macedonia de Nord, Serbia și Ucraina.

6. Alte autorități pentru protecția datelor

La data de 26 iulie, a fost publicată decizia Autorității Lituaniane pentru Protecția Datelor privind aplicarea amenzii administrative în valoare de 2 385 276 euro operatorului platformei online de comercializare și schimb de haine second-hand – Vinted, UAB pentru încălcarea articolului 5 – Principii referitoare la prelucrarea datelor cu caracter personal, articolului 6 – Legalitatea prelucrării, articolului 12 – Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate și articolului 83 – Condiții generale pentru impunerea amenzilor administrative, din GDPR.

SA Lituaniană a inițiat o investigație în urma plângerilor reclamanților (utilizatori ai platformei Vinted) transmise de SA Franceză și SA Poloneză în 2021 și, respectiv, 2022, susținând că compania nu a pus în aplicare în mod corespunzător cererile acestora cu privire la dreptul de ștergere („dreptul de a fi uitat”) și dreptul de acces.

În urma investigațiilor, SA Lituaniană a constatat că, compania în răspunsurile sale la solicitările de ștergere a datelor cu caracter personal, a declarat că nu va acționa în baza unei cereri specifice, deoarece solicitantul în cauză nu a identificat un motiv specific în temeiul articolului 17 alineatul (1) din GDPR și nu a identificat toate scopurile pentru care datele cu caracter personal specifice ale solicitanților ar continua să fie prelucrate după depunerea cererii.

Totodată, compania pentru a asigura securitatea platformei și a utilizatorilor săi, a aplicat în mod ilegal „shadow blocking” (prelucrarea datelor cu caracter personal cu intenția ca o persoană care se presupune că încalcă principiile de funcționare ale platformei Vinted să părăsească platforma fără a fi conștientă de această prelucrare a datelor sale cu caracter personal) în ceea ce privește unii dintre solicitanți, cu încălcarea principiilor echității și transparenței, iar punerea în aplicare necorespunzătoare a acestor principii au afectat negativ capacitatea utilizatorilor platformei de a-și exercita alte drepturi și de a solicita despăgubiri în temeiul GDPR.

În plus, compania nu a asigurat suficiente măsuri tehnice și organizatorice pentru punerea în aplicare a principiului responsabilității și pentru a putea demonstra că a luat (sau a refuzat în mod rezonabil să ia) măsuri cu privire la dreptul de acces.

În acest context, SA Lituaniană a decis să impună o amendă administrativă în valoare de 2 385 276 euro companiei Vinted, UAB. Atunci când a decis cuantumul amenzii, SA Lituaniană s-a bazat pe Orientările 04/2022 din 24 mai 2023 ale Comitetului European pentru Protecția Datelor privind calcularea amenzilor administrative în temeiul GDPR și a luat în considerare domeniul de aplicare transfrontalier al prelucrării efectuate de companie, faptul că încălcările au afectat un număr mare de persoane vizate și au durat o perioadă lungă de timp.

La data de 02 septembrie, a fost publicată decizia Autorității Suedeze pentru Protecția Datelor privind amenda administrativă în valoare de 1 300 000 euro aplicată companiei Avanza Bank AB pentru încălcarea articolului 5 Principii legate de prelucrarea datelor cu caracter personal, articolul 32 Securitatea prelucrării și articolului 83 Condiții generale pentru impunerea amenzilor administrative din GDPR.

O bancă suedeză a raportat către SA Suedeză o încălcare a securității datelor cu caracter personal. Notificarea precizează că banca a utilizat pixelul Facebook (acum Meta Pixel) pe site-ul său web și în aplicația sa pentru a optimiza marketingul băncii pe Facebook. O setare incorectă a Meta Pixel a însemnat că datele cu caracter personal au fost transferate către Meta pe o perioadă mai lungă de timp. Notificarea băncii precizează că, în perioada 15 noiembrie 2019 – 2 iunie 2021, datele cu caracter personal ale până la un milion de clienți au fost transferate în mod eronat către Meta.

Atunci când banca a luat cunoștință de incident, pixelul Meta a fost dezactivat, iar datele cu caracter personal colectate prin intermediul pixelului au fost șterse de Meta. Totodată, banca și-a revizuit procedurile interne pentru a asigura prelucrarea corectă și sigură a datelor cu caracter personal.

Compania Avanza Bank AB a încălcat prevederile legale stipulate în GDPR, prin faptul că nu a implementat măsuri tehnice și organizatorice corespunzătoare pentru a asigura un nivel adecvat de securitate a datelor cu caracter personal ale vizitatorilor site-ului web și ale utilizatorilor aplicațiilor.

În acest context SA Suedeză a impus o amendă administrativă în valoare de 1 300 000 companiei Avanza Bank AB.

La data de 03 septembrie, a fost publicată decizia finală a Autorității Olandeze de Supraveghere cu privire la impunerea amenzii administrative în valoare de 30,5 milioane de euro companiei Clearview pentru încălcarea articolului 6 Legalitatea prelucrării, articolului 9 Prelucrarea de categorii speciale de date cu caracter personal, articolului 12 Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate, articolului 14 Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, articolului 15 Dreptul de acces al persoanei vizate, articolului 27 Reprezentanții operatorilor sau ai persoanelor împuternicite de operatori care nu își au sediul în Uniune și articolului 84 Sancțiuni.

Clearview este o companie americană care oferă servicii de recunoaștere facială. Clienții Clearview pot furniza imagini de pe camere pentru a afla identitatea persoanelor care apar în imagini. În acest scop, Clearview dispune de o bază de date cu mai mult de 30 de miliarde de fotografii ale persoanelor. Compania colectează automat aceste fotografii de pe internet și apoi le convertește într-un cod biometric unic pentru fiecare față fără ca aceste persoane să știe acest lucru și fără ca ele să își fi dat consimțământul în acest sens.

În urma investigațiilor, SA Olandeză a constatat că, în scopul serviciului său „Clearview for law-enforcement and public defenders” (Clearview pentru autoritățile de aplicare a legii și avocați din oficiu), compania prelucrează, fără a avea un temei juridic în acest sens, date cu caracter personal ale persoanelor vizate care se află pe teritoriul Țărilor de Jos, încălcând, astfel, articolul 5 alineatul (1) (a), coroborat cu articolul 6 alineatul (1) din GDPR. Totodată, Clearview încalcă articolul 9 alineatul (1) din GDPR prin prelucrarea unei categorii speciale de date cu caracter personal (date biometrice) ale persoanelor vizate care se află pe teritoriul Țărilor de Jos. SA Olandeză a determinat că Clearview nu informează în mod adecvat persoanele vizate, acționând, în acest caz contrar articolului 12 alineatul (1), coroborat cu articolul 14 alineatele (1) și (2) și contrar articolului 5 alineatul (1) (a) din GDPR. Nu în ultimul rând, Clearview a încălcat articolul 12 alineatul (3), coroborat cu articolul 15 din GDPR, prin faptul că nu a răspuns la două cereri de acces din partea persoanelor vizate și articolul 12 alineatul (2), coroborat cu articolul 15 din GDPR, întrucât Clearview nu facilitează persoanelor vizate de pe teritoriul Țărilor de Jos exercitarea dreptului lor de acces. Faptul că compania nu a desemnat un reprezentant în Uniunea Europeană în sensul articolului 4 alineatul (17) din GDPR, deși sunt obligați să facă acest lucru în temeiul articolului 27 alineatul (1) din GDPR, constituie, de asemenea, o încălcare a GDPR-ului.

În acest context, SA Olandeză a impus companiei Clearview o amendă administrativă în valoare de 30,5 milioane de euro și patru măsuri care fac obiectul unei sancțiuni pentru neconformitate, măsuri care se referă la încetarea încălcărilor încă în curs. Dacă Clearview nu reușește să facă acest lucru, compania va trebui să plătească penalități pentru nerespectare în valoare totală maximă de 5,1 milioane de euro pe lângă amendă.

Buletin Informativ Nr. 18

345 Views

I. Activitățile de informare și instruire efectuate de CNPDCP

În trimestru doi al anului 2024 (aprilie – iunie), Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a continuat să înregistreze progrese în partea ce ține de activitățile de informare și sensibilizare a publicului larg cu domeniul protecției datelor cu caracter personal.

Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

21 mai – Direcția de poliție a municipiului Chișinău;
28 iunie – Direcția patrulare „Sud” a Inspectoratului Național de Securitate Publică.

În acest context, au fost instruiți circa 155 de reprezentanți din cadrul subdiviziunilor IGP.

Astfel, au fost organizate mai multe cursuri de instruire, cum ar fi:

19 aprilie – Instituția Publică Liceul Teoretic „Liviu Rebreanu”;
23 aprilie – Instituția Publică Liceul Teoretic „Iulia Hașdeu”.

Evenimentele a avut loc în cadrul orei de Dezvoltare personală, publicul țintă fiind elevii claselor a IV-a “A”, IV-a “B” și IV-a “C”.

În acest context au fost instruiți circa 200 de elevi.

03 aprilie – Sectorului Poliției de Frontieră “Aeroportul Internațional Chișinău” a IGPF;
10 aprilie – Inspectoratul General al Poliției de Frontieră.

În acest context, au fost instruiți circa 120 de reprezentanți din cadrul subdiviziunilor IGPF.

În perioada de referință, CNPDCP a manifestat deschidere și spirit de colaborare, organizând multiple cursuri de instruire pentru reprezentanții instituțiilor publice, la solicitarea acestora. Cursurile de instruire au avut drept scop familiarizarea funcționarilor publici cu aspectele ce țin de domeniul protecției datelor cu caracter personal în serviciul public, reglementarea procedurilor de prelucrare, precum și cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu legislația în vigoare.

În cadrul evenimentelor au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO), precum și obligațiile și sarcinile acestuia; aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA), precum și etapele efectuării unei DPIA, etc. Astfel, cursurile de instruire au fost organizate pentru următoarele instituții:

04 aprilie – Cancelariei de Stat, oficiile teritoriale;
16 aprilie – Serviciul Național Unic pentru Apelurile de Urgență 112;
18 aprilie – Universitatea Pedagogică de Stat „Ion Creangă”;
16 mai – Institutul de Standardizare din Moldova;
30 mai – Agenția de Guvernare Electronică;
05 iunie – Primăria Municipiului Chișinău;
07 iunie – Ministerul Afacerilor Externe și Integrării Europene;
21 iunie – Serviciului Fiscal de Stat;
25 iunie – Centrul Unificat de Prestare a Serviciilor Publice;
26 iunie – Serviciului Fiscal de Stat, funcționarii fiscali din teritoriu;
27 iunie – Proiectul de înregistrare și evaluare funciară.

În acest context au fost instruiți circa 710 reprezentanți ai instituțiilor publice.

II. Activitatea de control

În perioada aprilie – iunie 2024, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 75 de cazuri. În perioada de referință, au fost emise 83 decizii, dintre care în 34 de cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 25 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

III. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. CNPDCP a examinat plângerea unui subiect de date privind pretinsul fapt de prelucrare neconformă a datelor cu caracter personal ce-l vizează, de către angajații unei instituții de stat, manifestate prin accesarea/consultarea informației cu caracter personal stocată în resurse informaționale de stat – Registrul de Stat al populației și Registrul de Stat al conducătorilor de vehicule.

În cadrul investigației s-a determinat că, petentul, aflându-se la volanul autoturismului pe care îl deținea, deplasându-se pe un drum public, a fost antrenat într-un conflict cu conducătorul și pasagerul altui autoturism, contrar Regulamentului circulației rutiere. În același timp, un angajat al Serviciului de patrulare a accesat datele cu caracter personal ce vizează subiectul de date prin intermediul Modulului E-Data, invocând ca a fost o accesare eronată, întrucât fiind după orele de serviciu, ar fi fost solicitat de a identifica proprietarul unui autoturism care ar fi fost parcat neregulamentar.

Potrivit pct. 2 și pct. 1 subpct.1 din Regulamentul privind funcționarea Modulului Е-data al sistemului informațional automatizat ”Evidența contravențiilor din domeniul circulației rutiere, a persoanelor care au săvârșit contravenții și a punctelor de реnalizare aplicate”, utilizatorul Modulului are obligația să acceseze informația în strictă conformitate cu prevederile Regulamentului, numai de pe echipamente mobile și fixe din dotare cu uz departamental și doar în timpul exercitării atribuțiilor de serviciu.

Astfel, prin prisma normelor precitate, CNPDCP a constatat сă, angajatul Serviciului patrulare а acționat independent, realizând operațiuni de рrеlucrare а datelor сu саracter personal ale subiectului de date, manifestate prin consultarea, vizualizarea informațiilor сu caracter personal, cum ar fi: nume, рrеnume, раtrоnimic, IDNP, nr. de înmatriculare а vehiculului, datele din permisul de conducere (nr. de permis și categoria, рunсtеlе de penalizare), informații referitor la faptul dacă реrsоаnа este privată sau nu de dreptul special de а conduce etc., în lipsa unui temei legal și fără соnsimțământul subiectului de date, ignorând prevederile art. 4 alin. (1) lit. a), b), c) și art. 5 alin. (1) și art. 9 ale Legii privind protecția datelor cu caracter personal.

Or, la caz, justificarea angajatului serviciului patrulare, рrесum сă а accesat eronat, prin intermediul Modulului E-Data, datele vehiculului antrenat în conflictul din trafic, al cărui număr ar fi asemănător cu cel parcat neregulamentar, obligație ce îi revine prin prisma atribuțiilor de serviciu, nu poate fi reținută drept veridică, întrucât informația în cauză a fost accesată în afara orelor de serviciu.

II. Urmare a unei plângeri depuse de către un subiect de date, CNPDCP s-a autosesizat pe pretinsul fapt de prelucrare ilegală de către un cetățean a datelor cu caracter personal ale persoanelor din diferite localități ale R. Moldova, manifestat prin publicarea pe rețelele de socializare „Facebook” și „YouTube” a unor secvențe video, efectuate prin intermediul unui telefon mobil care determină oferirea unor pachete cu produse alimentare persoanelor în etate, inclusiv a celor țintuite la pat, înregistrându-se imaginea și vocea acestora, precum și date ce țin de vârsta și domiciliul acestora.

În cadrul investigației, Autoritatea de control a constatat că, acesta efectuând acte de caritate, a realizat numeroase înregistrări video în incinta bunurilor imobile ale subiecților de date din diferite localități, în absența consimțământului, în mod deliberat divulgând/dezvăluind prin intermediul postărilor pe rețelele de socializare datele cu caracter personal ale subiecților de date vizați.

Respectiv, utilizând profilul de utilizator din rețeaua de socializare Facebook, precum și canalul de YouTube pe care îl gestionează, operatorul a prelucrat prin divulgare către acces public nerestricționat, date cu caracter personal ce vizează subiecți de date din diferite localități ale R. Moldova, cum ar fi: numele, prenumele, vârsta, domiciliul, precum și imaginea persoanelor, în lipsa unui scop și temei legal care să justifice ingerința în inviolabilitatea vieții private a subiectului de date, situație în care subiecții de date cu caracter personal nu și-au exprimat consimțământul pentru o prelucrare ulterioară a datelor cu caracter personal.

Prin urmare, CNPDCP reiterează că, orice prelucrare de date cu caracter personal trebuie să fie necesară pentru scopul preconizat. Această condiție impune o legătură între prelucrare și interesele urmărite. Cerința necesității se aplică pentru a se asigura că prelucrarea datelor cu caracter personal nu va conduce la o interpretare nejustificat de largă a necesității de a prelucra date. Acest lucru înseamnă că ar trebui să se analizeze dacă sunt disponibile și alte mijloace mai puțin invazive în viața privată a persoanei fizice pentru a servi scopului propus.

CNPDCP nu neagă caracterul benefic al acțiunilor de caritate efectuate, la caz, de către operator, însă publicarea pe rețelele de socializare/internet a datelor cu caracter personal ale persoanelor vizate, în lipsa consimțământului acestora, spre acces public nerestricționat, încalcă principiile de protecție a datelor cu caracter personal, cu atât mai mult că, în multiple cazuri, se constată dezvăluirea informațiilor privind starea de sănătate a subiecților de date, care constituie o categorie specială de date cu caracter personal, necesitând un nivel înalt de protecție.

În consecință, Autoritatea de control a constatat că prelucrarea datelor cu caracter personal ale persoanelor reflectate în secvențele video publicate de către operator se află în contradicție cu principiile de protecție a datelor cu caracter personal, or, asemenea acțiuni contravin dispozițiilor art. 4 alin. (1) lit. a), b) și c), art. 5 alin. (1) și art. 29 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal.

III. CNPDCP a examinat sesizarea parvenită din partea unui organ al puterii de stat cu referire la plângerea unui subiect de date cu caracter personal, care a solicitat verificarea legalității operațiunilor de prelucrare a datelor cu caracter personal ce-l vizează, efectuate prin intermediul mai multor sisteme de evidență automatizate, de către 13 operatori de date dintre care și un organ central de specialitate al administrației publice locale (în continuare – operator de date), în conformitate cu prevederile Legii nr. 133/2011 privind protecția datelor cu caracter personal.

În aceste circumstanțe, CNPDCP a inițiat verificarea respectării prevederilor art. 4 lit. a) și b), art. 5 și art. 30 din Legea nr. 133/2011, la prelucrarea datelor cu caracter personal ale subiectului de date.

În cadrul examinării materialului acumulat s-a constatat că, operatorul de date nu a întreprins acțiunile corespunzătoare vizând măsurile organizatorice și tehnice necesare pentru protecția datelor cu caracter personal, menite să asigure un nivel de integritate, confidențialitate și securitate adecvată în ceea ce privește riscurile de prelucrare și caracterul/natura datelor prelucrate în Banca Centrală de Date a cadastrului bunurilor imobile, or, la încetarea raportului de muncă cu angajatul administrației publice locale căruia i-a fost atribuit cont de utilizator la banca centrală de date a cadastrului bunurilor imobile pentru exercitarea atribuțiilor în cadrul acestei entități, acestuia nu i-a fost retras dreptul de acces la resursa informațională menționată.

Astfel, utilizatorul dat, care la moment deține o funcție de demnitate publică, a efectuat operațiunile de prelucrare a datelor cu caracter personal ale subiectului de date cu caracter personal în alt scop, utilizând contul oferit de către administrația publică locală.

IV. CNPDCP a examinat plângerea subiecților de date privind pretinsul fapt de prelucrare neconformă a datelor cu caracter personal, materializată prin publicarea datelor cu caracter personal de către Primarul localității, în cadrul unui grup din rețeaua de socializare „Facebook”, a listei de plată a angajaților unei instituții subordonate Administrației Publice Locale, care conținea: numele, prenumele, patronimicul și valoarea salariului per persoană.

În cadrul investigației, CNPDCP a constatat că datele cu caracter personal ce vizează 54 de subiecți, au fost publicate de către primar pe rețeaua de socializare cu scopul de a combate dezinformarea și falsurile răspândite de angajații instituției, precum că primarul ar îngrădi dreptul de a primi salariul.

Astfel, s-a determinat că primarul era convins că datele folosite, precum: numele, prenumele și cuantumul/valoarea salariului sunt date publice, fiind axat pe prevederile Legii nr. 148/2023. Însă, s-a constatat că, persoanele vizate în lista publicată nu sunt funcționari publici, nefiind supuși reglementărilor statuate de Legea 148/2023, cu excepția directorului care este numit în baza de concurs de către Consiliul Local și angajat contractual de către Primar. Mai mult, Legea 148/2023 a intrat în vigoare la data de 08.01.2024.

În rezultatul soluționării plângerii, CNPDCP a constatat prin decizie încălcarea prevederilor art. 4 alin. (1) lit. a), b), c), art. 5 alin. (1) și art. 29 alin. (1) ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către primarul comunei, la prelucrarea datelor cu caracter personal a subiecților de date vizați în Lista de plată noiembrie 2023.

Totodată, CNPDCP a dispus ștergerea de către primarul comunei din grupul din rețeaua de socializare ,,Facebook” a imaginii unde sunt ilustrate informații ce conțin datele cu caracter personal a subiecților de date vizați în Lista de plată noiembrie 2023.

IV. Activitatea de supraveghere

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 50 de consultații telefonice și 6 răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date cu caracter personal.

5. Știri internaționale și europene

În perioada de 16-17 aprilie curent, reprezentanții CNPDCP a participat la cea de-a 92-a ședință plenară a Comitetului European pentru Protecția Datelor (EDPB). În cadrul ședinței au fost discutate mai multe subiecte și adoptate câteva documente esențiale:

1. Un aviz ca urmare a unei sesizări în temeiul art. 64 alineatul (2) din RGPD privind consimțământul pentru prelucrarea datelor în publicitatea comportamentală: autoritățile din Țările de Jos, Norvegia și Hamburg au solicitat un aviz EDPB privind modelele de tip „consimțământ sau plată” utilizate de marile platforme online. Avizul concluzionează că, de obicei, aceste modele nu oferă un consimțământ valabil, deoarece utilizatorii sunt forțați să aleagă între consimțământul pentru prelucrarea datelor sau plata unei taxe. EDPB recomandă ca platformele să ofere utilizatorilor alternative reale, inclusiv opțiuni gratuite fără publicitate comportamentală.

2. Strategia EDPB pentru perioada 2024-2027, care definește patru piloni principali:

– Consolidarea armonizării și promovarea conformității.

– Consolidarea unei culturi comune de punere în aplicare și a unei cooperări eficiente.

– Salvgardarea protecției datelor în contextul dezvoltării peisajului digital și al reglementărilor încrucișate.

– Contribuția la dialogul global privind protecția datelor.

3. EDPB a adoptat un regulament de procedură, o notă de informare a publicului și modele de formulare de reclamații pentru a facilita punerea în aplicare a mecanismelor de despăgubire din Cadrul UE-SUA privind confidențialitatea datelor. Aceste mecanisme se ocupă de reclamațiile legate de securitatea națională și scopurile comerciale pentru datele transmise după 10 iulie 2023.

În perioada 14-16 mai 2024, reprezentanții CNPDCP au participat la cea de-a 32–a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor.

Conferința de Primăvară din acest an, găzduită de Inspectoratul de Stat pentru Protecția Datelor din Letonia, a reunit Autoritățile de Protecție a Datelor din întreaga Europă, în scop de a stabili un cadru comun de cooperare pentru a proteja datele persoanelor fizice la nivel european. Totodată, conferința a servit drept o platformă europeană unică pentru schimb de experiență și bune practici în domeniul protecției datelor.

Pe parcursul sesiunilor de lucru, au fost prezentate subiecte de actualitate, precum:

Rolul Autorităților de Protecție a Datelor în era evoluției reglementărilor digitale;
Gestionarea domeniul protecției datelor și al vieții private în era tehnologiilor și inovațiilor emergente;
Protecția datelor privind sănătatea în era digitalizării;
Modelarea protecției datelor prin experiența de cooperare a Autorităților de Protecție a Datelor;
Gestionarea reglementărilor Combaterii Spălării Banilor (AML) și Regulamentului General privind Protecția Datelor (GDPR): provocări, cooperare și conformitate;
Consolidarea conformității cu reglementările AML și GDPR prin strategii de colaborare.

Pentru a doua oară în cadrul unei Conferințe de primăvară a Autorităților Europene de Protecție a Datelor, a fost organizată ziua ușilor deschise. Această practică a oferit posibilitatea mai multor instituții, ONG-uri sau altor organizații care și-au manifestat interesul pentru subiectele abordate în cadrul evenimentului, să participe, inclusiv în format on-line.

La eveniment au participat 145 de reprezentanți din 43 de țări, cum ar fi: Austria, Belgia, Bulgaria, Croația, Danemarca, Franța, Georgia, Germania, Grecia, Ungaria, Italia, Malta, Moldova, Portugalia, România, Spania, Elveția, Ucraina, etc. Totodată, au fost prezenți reprezentanții a patru organizații: FRA, EDPS, EDPB și Comisia Europeană.

În perioada 03-06 iunie, la Bruxelles, Belgia, reprezentanții CNPDCP au participat la evenimentul ”Consiliul de progres al guvernării din țările Parteneriatului Estic”, implementat de GIZ și cofinanțat în comun de Uniunea Europeană și Ministerul Federal German pentru Cooperare și Dezvoltare Economică.

Obiectivul evenimentului a fost de a facilita un dialog practic, la nivel de experți, între instituțiile selectate din țările Parteneriatului Estic (EaP) pe tema bunei guvernanțe. Aceasta include utilizarea criteriilor de referință ale principiilor revizuite ale administrației publice în domenii care se aliniază aspectelor bunei guvernanțe. Aceste aspecte cuprind eficiența guvernamentală, calitatea reglementării, statul de drept, vocea și responsabilitatea, stabilitatea politică și măsurile anticorupție. Evenimentul a avut ca scop aprofundarea practicilor de aplicare a principiilor revizuite la temele bunei guvernanțe, subliniind importanța unei abordări centrate pe cetățean, a responsabilității, transparenței și eficienței ca piloni-cheie ai bunei guvernanțe.

În cadrul evenimentului, participanții au fost împărțiți pe 5 grupuri de lucru, printre care:

– Grupul 1. Supravegherea parlamentară eficientă ca modalitate de creștere a încrederii în guvern;

– Grupul 2: Creșterea eficacității guvernului prin îmbunătățirea proceselor de elaborare a politicilor și de luare a deciziilor;

– Grupul 3: Construirea unui serviciu public profesionist;

– Grupul 4: Transformare prin digitalizare incluzivă;

– Grupul 5: Statul de drept.

În perioada 04-06 iunie, a avut loc cea de-a 46-a ședință plenară a Comitetului Consultativ al Convenției 108, care s-a desfășurat în Strasbourg, Franța.

În cadrul ultimei reuniuni a Comitetului, s-a discutat programul de lucru pentru anii 2022-2025 și situația referitor la semnarea și ratificarea Protocolului de modificare a Convenției 108+, necesar pentru protejarea datelor cu caracter personal. Din cele 46 de state semnatare, 31 au ratificat protocolul, fiind necesare 38 de ratificări pentru intrarea în vigoare. Delegația Republicii Moldova a prezentat progresul în ratificarea protocolului și aprobarea unei noi legi privind protecția datelor, care transpune GDPR, de către Parlament. Ministerul Justiției a menționat că ratificarea Protocolului va fi realizată după adoptarea noii legi.

Comitetul a luat act de angajamentul Costa Ricăi pentru aderare și a discutat modelul de clauze contractuale pentru fluxurile transfrontaliere de date, adoptând documentul final. S-a prezentat și proiectul revizuit privind interpretarea articolului 11 din Convenția 108 modernizată. Profesorul Colin J. Bennett a prezentat un document despre prelucrarea datelor în procesul electoral, adoptat ulterior de Comitet.

Cooperarea cu alte organe ale Consiliului Europei a fost discutată, salutând adoptarea noii Convenții-cadru privind IA. Biroul a luat act de raportul de expertiză și a îndemnat la elaborarea ghidurilor privind neuroștiința și protecția datelor. Delegația Republicii Moldova a relatat despre conferința națională „Creșterea gradului de conștientizare cu privire la Convenția 108+”, organizată în colaborare cu experții TAIEX.

Reuniunea plenară a avut loc cu participarea reprezentanților din 54 de țări, următoarea întâlnire fiind programată pentru 4-6 noiembrie 2024, iar următoarea reuniune a Biroului pentru 11-13 septembrie 2024.

În perioada 18-19 iunie 2024, a avut loc cea de-a94-a ședință plenară a Comitetului European pentru Protecția Datelor la Bruxelles, Belgia, la care Republica Moldova a participat în calitate de observator. În cadrul ședinței, Zdravko Vukić, directorul Agenției Croate pentru Protecția Datelor, a fost ales vicepreședinte al EDPB, succedându-l pe Aleid Wolfsen. Vukić, împreună cu Irene Loizidou Nikolaidou și Anu Talus, vor asigura aplicarea consistentă a normelor UE privind protecția datelor și vor promova cooperarea între autoritățile de protecție a datelor din Spațiul Economic European.

În cadrul reuniunii, au fost adoptate Orientările 01/2023 privind articolul 37 din Directiva privind aplicarea legii. Aceste orientări oferă îndrumări referitoare la garanțiile adecvate ce trebuie aplicate de autoritățile competente conform articolului 37 LED și așteptările EDPB în negocierile între statele membre și terțe părți sau organizații internaționale.

De asemenea, s-a discutat despre cele mai bune practici pentru organizarea reuniunilor plenare ale EDPB, subliniind importanța transparenței, eficienței procedurilor, consensului în decizii și urmărirea implementării acestora. Printre recomandări s-au numărat respectarea principiului transparenței, utilizarea eficientă a instrumentelor digitale, promovarea dialogului constructiv și evaluarea periodică a eficacității reuniunilor. Aceste practici sunt esențiale pentru asigurarea unei guvernanțe eficiente și a unei protecții adecvate a datelor personale în Uniunea Europeană.

6. Alte autorități pentru protecția datelor

La data de 08 mai, a fost anunțat despre decizia Autorității Finlandeze pentru Protecția Datelor (FI SA) privind aplicarea amenzii administrative în valoare de 856 000 euro companiei Verkkokauppa.com pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal și art. 25 Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit din GDPR.

FI SA a investigat activitățile retailer-ului online Verkkokauppa.com în urma unei plângeri depuse de un client. Operatorul îi ceruse acestuia să se înregistreze în calitate de client înainte de a face cumpărături online. Cumpărăturile în magazinul online nu erau posibile fără crearea unui cont de client.

În urma investigațiilor s-a constatat că, operatorul nu a specificat perioada de stocare a datelor colectate pentru conturile de client din magazinul său online, iar acestea au fost stocate pe un termen nelimitat. Totodată, practica operatorului de a solicita crearea unui cont de client pentru a face achiziții online a încălcat legislația privind protecția datelor. Crearea unui cont de client sau stocarea datelor cu caracter personal care rezultă din această creare poate să nu fie o cerință obligatorie pentru a face achiziții individuale online.

În acest context, FI SA a impus o amendă administrativă în valoare de 856 000 de euro operatorului pentru că nu a definit perioada de stocare a datelor cu caracter personal privind conturile clienților. Operatorului i s-a impus să precizeze o perioadă de stocare adecvată pentru datele din conturile clienților și să își rectifice practica de înregistrare obligatorie. De asemenea, compania Verkkokauppa.com a primit o mustrare pentru practici care încalcă legislația privind protecția datelor.

La data de 02 mai, a fost anunțat despre decizia Autorității pentru Protecția Datelor din Republica Cehă (SA) din 10 aprilie 2024 privind aplicarea amenzii administrative în valoare de 13,9 milioane de euro unei companii înregistrată în Republica Cehă pentru încălcarea art. 6 Legalitatea prelucrării și art. 13 Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată din GDPR.

Cazul se referă la transferul de către operator a datelor cu caracter personal colectate de către acesta de la utilizatorii software-ului său antivirus către o companie afiliată. Procedura a fost inițiată pe baza rapoartelor din mass-media și a unui dosar anonim.

În urma investigațiilor, SA Cehă a constatat că operatorul a transferat datele cu caracter personal ale utilizatorilor de software antivirus și de extensii de browser către compania afiliată fără a avea un temei legal pentru o astfel de prelucrare. Datele transferate se refereau la aproximativ 100 de milioane de utilizatori și cuprindeau în special istoricul de navigare pe internet pseudonimizat al utilizatorilor, legat de un identificator unic. În plus, SA Cehă a constatat că operatorul și-a informat în mod eronat utilizatorii (subiecții de date) cu privire la transferurile de date menționate, întrucât a susținut că datele transferate au fost anonimizate și utilizate exclusiv pentru analiza statistică a vânzărilor. Totodată, Autoritatea Cehă pentru Protecția Datelor a concluzionat că istoricul de navigare pe internet, chiar dacă nu este complet, poate constitui date cu caracter personal, deoarece ar putea avea loc o reidentificare a cel puțin unora dintre subiecții de date. Încălcarea operatorului este cu atât mai gravă cu cât acesta este unul dintre cei mai importanți experți în domeniul securității cibernetice, care oferă publicului instrumente de protecție a datelor și a vieții private.

În acest context, operatorului de date i-a fost impusă o amendă administrativă în valoare de 13,9 milioane de euro (351 milioane coroane cehe). Decizia este definitivă și executorie.

Buletin Informativ Nr. 17

295 Views

I. Activitățile de informare și instruire efectuate de CNPDCP

În primul trimestru al anului 2024 (ianuarie – martie), Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a continuat să înregistreze progrese în partea ce ține de activitățile de informare și sensibilizare a publicului larg cu domeniul protecției datelor cu caracter personal.

În perioada de referință, s-a continuat organizarea cursurilor de instruire pentru subdiviziunile Inspectoratului General al Poliției (IGP), inițiate în 2023, conform planului de instruiri aprobat și semnat de către conducătorii CNPDCP și IGP, la data de 26 ianuarie 2024. Scopul acestora a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară. În cadrul evenimentelor au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații subdiviziunilor IGP; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

30 ianuarie – Inspectoratul Național de Securitate Publică al IGP (Direcția coordonare operațională, Direcția poliției de patrulare, Direcția ordine publică, etc.);
02 februarie – Inspectoratul Național de Securitate Publică al IGP (Secția escortă misiuni speciale, Secția patrulare „Chișinău” a Direcției patrulare “Centru”, etc.);
26 februarie -Direcția patrulare „Nord” a INSP;
26 februarie – Direcția „Nord” a INI.

În acest context, au fost instruiți circa 200 de reprezentanți din cadrul subdiviziunilor IGP.

Totodată, în perioada de referință a fost continuată campania de informare și sensibilizare pentru comunitățile școlare cu genericul: „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line”. Scopul campaniei a fost de a oferi comunității școlare o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin. Tematicile abordate în cadrul instruirilor au vizat: noțiuni generale privind datele cu caracter personal; utilizarea corectă a pozelor/video în mediul online; riscurile și amenințările în mediul online; comunicarea pe rețelele de socializare, etc. Cursul de instruire a fost organizat la data de 25 ianuarie, pentru instituția Publică Liceul Teoretic „Spiru Haret” din Chișinău. Evenimentul a avut loc în cadrul orei de Dezvoltare personală, publicul țintă fiind elevii clasei a V-a “B”. În acest context, au fost instruiți 36 de elevi.

06 martie – Direcția regională Nord a IGPF (2 cursuri de instruire);
13 martie – Direcția Regională Sud a IGPF (2 cursuri de instruire);
20 martie – Direcția Regională Est a IGPF (2 cursuri de instruire);
27 martie – Direcția Regională Vest a IGPF (2 cursuri de instruire).

În acest context, au fost instruiți circa 250 de reprezentanți din cadrul subdiviziunilor IGPF.

07 februarie – Primăria municipiului Chișinău;
08 februarie – Comisia Națională a Pieței Financiare;
23 februarie – Ministerul Sănătății;
15 martie – Pretura Sectorului Râșcani;
21 martie – Judecătoria Chișinău;
22 martie – Agenția de Intervenție și Plăți pentru Agricultură;
26 martie – Ministerul Dezvoltării Economice și Digitalizării;

În acest context au fost instruiți circa 285 de reprezentanți ai instituțiilor publice.

II. Activitatea de control

În perioada ianuarie – martie 2024, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 87 de cazuri. În perioada de referință, au fost emise 96 decizii, dintre care în 34 de cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 38 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

III. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. CNPDCP a examinat plângerea unui subiect de date – director al unei instituții de învățământ profesional tehnic privind pretinsul fapt de prelucrare neconformă a datelor cu caracter personal ale 96 de angajați din cadrul instituției de către un fost angajat.

În cadrul investigației, din materialele acumulate, CNPDCP a dedus că ultimul, avînd acces la arhiva școlii în perioada sa de activitate, a colectat și dezvăluit informații ce conțin date cu caracter personal ale angajaților instituției precum: numele, prenumele, funcția și salariul către Ministerul Educației și Cercetării sub forma de sesizare privind anumite abuzuri comise de administrația instituției în perioada când acesta era angajat, iar documentele anexate la sesizare au servit drept material probatoriu pentru a demonstra cele invocate de către ultimul.

Urmează a fi menționate prevederile art. 69 alin. (2) Cod administrativ, care statuează că, în cazul depunerii unei petiţii, autoritatea publică este obligată să inițieze o procedură administrativă.

În acest context, CNPDCP relevă că dezvăluirea unor informații ce conțin date cu caracter personal, nu pot să contravină principiilor de protecție a datelor cu caracter personal, atât timp cât acestea sunt necesare pentru realizarea unui interes legitim al persoanei față de organele competente, în scopul probării anumitor fapte pentru apărarea drepturilor și intereselor sale sau a societății în întregime, or, în speța supusă examinării, prelucrarea datelor cu caracter personal a fost pertinentă în ceea ce priveşte scopul pentru care au fost dezvăluite, în circumstanțele în care, situația deplânsă de operator către Ministerul Educației și Cercetării viza și angajații a căror date cu caracter personal erau consemnate în documentele anexate la sesizare.

În circumstanțele expuse supra, urmează a menționa că, prin prisma art. 5 alin. (5) lit. e) al Legii 133/2011, consimțământul subiectului datelor cu caracter personal nu este cerut în cazul în care prelucrarea este necesară pentru realizarea unui interes legitim al operatorului sau al terţului căruia îi sunt dezvăluite datele cu caracter personal, cu condiţia ca acest interes să nu prejudicieze interesele sau drepturile şi libertăţile fundamentale ale subiectului datelor cu caracter personal.

Astfel, CNPDCP a constatat că prelucrarea datelor cu caracter personal ale persoanelor reflectate în listele transmise de către fostul angajat către Ministerul Educației și Cercetării, nu a fost în contradicție cu principiile de protecție a datelor cu caracter personal, or, o astfel de prelucrare de date cu caracter personal a avut la bază un interes legitim, fapt prevăzut de art. 5 alin. (5) lit. e) al Legii 133/2011.

II. CNPDCP a recepționat plângerea unei persoane fizice privind verificarea legalității prelucrării datelor cu caracter personal prin intermediul unui sistem de supraveghere video care a fost instalat în scara unui bloc locativ, precum și pe peretele exterior al blocului de către vecinul acesteia.

Respectiv, la caz, CNPDCP a constatat că prin intermediul sistemului de supraveghere video sunt prelucrate datele cu caracter personal (imaginea) ale subiecților de date care au domiciliul pe adresa aplasării blocului locativ și ale vizitatorilor, întrucât unghiul de captare al camerelor de supraveghere monitorizează/înregistrează video spațiul ce constituie parte comună a blocului (intrarea în bloc, scările blocului, curtea comună și drumul public) care zilnic este traversat de un număr impunător de persoane fizice (locatarii altor scări), operațiuni prin care se încalcă drepturile şi libertățile fundamentale ale acestora, excesiv scopului declarat.

Astfel, CNPDCP a constatat că, în cazul în care supravegherea video efectuată prin intermediul camerei de supraveghere video gestionată de către operator se extinde asupra spațiului comun sau spațiului public și, în consecință, este îndreptată în afara sferei private a persoanei care efectuează prelucrarea datelor cu caracter personal prin aceste mijloace, aceasta nu poate fi considerată drept o activitate exclusiv „pentru nevoi personale sau familiale”.

Or, chiar dacă există consimțimântul/acordul locatarilor din scară de a prelucra datele cu caracter personal prin intermediul sistemului de supraveghere video, se notează că în cazul blocurilor de locuit, un sistem de supraveghere video ar putea fi montat doar de către Asociația de Proprietari în Condominiu la intrarea/ieșirea în/din blocurile de locuit, pe perimetrul exterior al clădirii, precum și în spațiile adiacente acestora (spații de parcare, căi de acces, etc.).

Pornind de la dispozițiile art.34 alin. (3) lit. ,,f” din Legea cu privire la condominiu și art. 546 alin. (1) si alin. (2) din Codul Civil, în cazul în care are loc supravegherea video a spațiului comun din condominiu, atunci doar Asociația de Coproprietari în Condominiu ar avea temei legal de prelucrare a datelor cu caracter personal în acest scop.

Mai mult, s-a determinat că camera de supraveghere video dispunea de funcție ,,înscriere audio”.

Astfel, s-a accentuat că, înainte de instalarea unor camere de supraveghere video cu înregistrarea audio, operatorul trebuie întotdeauna să examineze critic dacă această măsură este, în primul rând, adecvată pentru îndeplinirea obiectivului dorit și, în al doilea rând, proporțională și necesară pentru scopurile sale, în raport cu drepturile și libertățile fundamentale ale subiecților de date. Or, în timpul prelucrării datelor sunt înregistrate și stocate nu doar conversațiile private ale membrilor familiei, persoanelor interesate, ci și a persoanelor terțe ce nimeresc în raza de acțiune a dispozitivelor de înregistrare video/audio, nerespectându-se astfel principiul inviolabilității vieții private, consacrat la art. 28 al Constituției Republicii Moldova, conform căruia, statul respectă și ocrotește viața intimă, familială și privată.

Prin urmare, colectarea/înregistrarea imaginii și vocii subiecților de date cu caracter personal, prin intermediul camerelor de supraveghere video în cauză, constituie o măsură excesivă și disproporționată în raport cu scopul declarat.

În această ordine de idei, s-a determinat că, colectarea categoriei de date cu caracter personal, precum imaginea și vocea, prin intermediul sistemului de supraveghere video reclamat, se efectua contrar prevederilor art. 4 alin. (1) lit. a) și c), art. 5 alin. (1) ale Legii privind protecția datelor cu caracter personal, fiind dispusă încetarea prelucrării datelor cu caracter personal prin sistemul de supaveghere video reclamat.

III. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, privind pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, efectuate de către o instituție de învățământ, manifestate prin publicarea unei înregistrări audio, în care este vizat acesta și copilul său minor, pe rețeaua de socializare „Facebook” a instituției, invocând dreptul la replică, ca urmare a unui conflict mediatizat.

În context, prin decizie s-a constatat că, prelucrarea datelor cu caracter personal ce vizează subiectul de date a fost efectuată cu încălcarea prevederilor art. 4 alin. (1) lit. a), b), c) și art. 5 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal, accentuându-se că nu a fost identificat nici un temei legal pentru publicarea datelor cu caracter personal pe pagina de „Facebook”, care este deschisă publicului larg, precum și invocarea dreptului la replică nu este relevant, or, CNPDCP nu a pus la îndoială și nu a negat dreptul operatorului la replică sau la dezmințirea relatărilor false, însă, toate aceste acțiuni urmau a fi efectuate cu respectarea tuturor principiilor de prelucrare a datelor cu caracter personal statuate de Legea 133/2011. Mai mult, având în vedere că speța implica un minor, CNPDCP a reținut că, scopul invocat putea fi atins prin utilizarea unor mijloace inofensive și mai puțin intruzive în viața privată a acestuia.

IV. CNPDCP a examinat sesizarea unei Asociații Obștești, prin care a fost solicitată verificarea legalității prelucrării datelor cu caracter personal, efectuată de către o persoană publică, manifestată prin publicarea unei secvențe video pe canalul de ,,Youtube’’, în care se regăsesc datele cu caracter personal ale unei minore.

În cadrul investigației s-a determinat că, imaginea minorei a fost clară și a dus la identificarea acesteia, fiind comunicate mai multe date cu caracter personal ale acesteia, precum numele și prenumele, adresa, data și anul nașterii, vârsta, sexul, starea de sănătate etc.

Pornind de la circumstanțele descrise, CNPDCP a constatat că, plasarea în spațiul on-line a informațiilor ce conțin date cu caracter personal ale minorei, a fost excesivă și neîntemeiată și a avut loc contrar prevederilor legale statuate la art. 4, art. 5 și art. 29 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal.

Or, persoana publică, în calitate de operator de date, urma să asigure confidențialitatea datelor cu caracter personal, blurarea imaginii feței și nedivulgarea în spațiul public a informației care duce la identificarea minorei.

IV. Activitatea de supraveghere

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 30 de consultații telefonice și 10 răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date cu caracter personal.

V. Știri internaționale și europene

La data de 26 ianuarie 2024, CNPDCP, în colaborare cu experții proiectului TAIEX, a organizat conferința națională “Creșterea gradului de conștientizare cu privire la Convenția 108+”.

Scopul conferinței a fost de a crește gradul de conștientizare atât a reprezentanților instituțiilor publice, cât și a mediului privat cu privire la Convenția 108+ – un instrument viabil pentru a facilita transferurile internaționale de date, garantând astfel un nivel adecvat de protecție pentru subiecții de date la nivel global.

Conferința a fost moderată de experți în protecția datelor cu caracter personal din Italia, Slovenia și Spania. Printre temele abordate de experți a fost:

Impactul Convenției 108+ asupra deciziilor de adecvare și a transferurilor de date, cu accent pe conformitatea cu acquis-ul UE;
Convenția 108+ ca instrument viabil pentru a facilita transferurile internaționale de date, garantând în același timp un nivel adecvat de protecție a persoanelor fizice la nivel mondial;
Convenția 108+ ca o punte de legătură între regimurile juridice și țări; procesul de ratificare a Convenției 108+;
Lecții învățate și sfaturi de la țările ratificatoare;
Convenția 108+: Mecanismul de evaluare și analiză etc.

În cadrul evenimentului au participat circa 100 de reprezentanți atât ai instituțiilor publice cât și a mediului privat.

Evenimentul a fost organizat şi finanțat de instrumentul de asistență tehnică și schimb de informații a Comisiei Europene (TAIEX).

În perioada 13 -14 februarie, reprezentantul CNPDCP a participat la cea de-a 90-a ședință plenară a Comitetului European pentru Protecția Datelor (EDPB), care a fost organizată cu prezență fizică. În cadrul ședinței au fost discutate, analizate și adoptate unele documente importante pentru activitatea EDPB și care urmează a fi înaintate drept recomandări pentru Autoritățile de Protecție a Datelor.

Unul din aspectele de lucru ale plenarei s-a axat pe adoptarea Avizului privind noțiunea de sediu principal și criteriile de aplicare a mecanismului Ghișeului unic, în urma unei sesizări în temeiul articolului 2 alineatul (1) din Regulamentul (CE) nr. 64 alineatul (2) din GDPR la solicitarea Autorității Franceze pentru Protecția Datelor. S-a specificat că, EDPB consideră că mecanismul Ghișeului unic se poate aplica numai dacă există dovezi că una dintre unitățile din Uniune ale operatorului ia deciziile privind scopurile și mijloacele pentru operațiunile de prelucrare relevante și are competența de a pune în aplicare aceste decizii. Prin urmare, atunci când deciziile privind scopurile, mijloacele și competența de a pune în aplicare aceste decizii sunt exercitate în afara Uniunii, nu ar trebui să existe un sediu principal în temeiul articolului 4 alineatul (16) litera (a) din GDPR, iar mecanismul ghișeului unic nu ar trebui să se aplice.

În cadrul ședinței plenare s-a clarificat modul în care Autoritățile de Supraveghere ar trebui să aplice în practică art. 4 alin. (16) lit. a) din GDPR pentru a asigura aplicarea consecventă a acestuia. În special, s-a reiterat faptul că sarcina probei în ceea ce privește locul în care se iau deciziile de prelucrare relevante și unde există puterea de a pune în aplicare astfel de decizii în Uniune revine, în cele din urmă, operatorilor și că aceștia au obligația de a coopera cu autoritățile de supraveghere.

Următorul aspect analizat în cadrul ședinței plenare a EDPB a fost adoptarea Declarației privind evoluțiile legislative referitoare la propunerea de regulament de stabilire a normelor de prevenire și combatere a abuzului sexual asupra copiilor. Declarația este o continuare a Avizului comun al EDPB și EDPS privind propunerea de regulament a Comisiei Europene și se concentrează pe cele mai recente evoluții legislative, în special pe poziția Parlamentului European din noiembrie 2023.

În cadrul ședinței plenare, s-a discutat despre domeniul de aplicare al orientărilor legate de modelul „Consimțământ sau plată„. În plus față de viitorul art. 64 (2), care va aborda modelul „Consimțământ sau plată” în contextul marilor platforme online, s-a convenit că este necesar să se elaboreze consecutiv orientări cu un domeniu de aplicare mai larg.

În perioada 11-13 martie 2024, reprezentanții CNPDCP au participat la “Săptămâna de învățare și networking privind protecția datelor cu caracter personal în era digitală”, care a avut loc la Tallinn, Estonia.

Scopul evenimentului a fost de a prezenta experiența estoniană în procesul de implementare a GDPR-ului, oferind o imagine de ansamblu cuprinzătoare și practică a provocărilor apărute în procesul de aplicare a acestuia.

Totodată, având în vedere că Estonia este cunoscută ca un lider global în digitalizarea serviciilor publice și se situează pe locul 3 în topul celor mai sigure țări în Indexul global de securitate cibernetică, au fost prezentate informații despre modul în care este organizată prelucrarea datelor cu caracter personal în cadrul instituțiilor publice, precum și care sunt noile tendințe în procesul de asigurare a securității cibernetice.

Pe parcursul “Săptămânii de învățare și networking privind protecția datelor cu caracter personal în era digitală” au fost abordate subiecte de importanță, cum ar fi:

Provocările Autorității de Protecție a Datelor din Estonia înainte și după GDPR;
Prelucrarea datelor cu caracter personal în bazele de date publice: practicile de prelucrare și accesul la aceste date;
Cazuistica GDPR: tendințe și constatări semnificative din practica judiciară și de supraveghere din Estonia;
Confidențialitatea vs. reutilizarea datelor în contextul unei societăți modernizată digital: provocări și recomandări;
Schimbul de date și protecția datelor cu caracter personal;
Securitatea informațională, etc.

Evenimentul, organizat de către Fondul regional GIZ pentru reformele administrației publice din cadrul Parteneriatului Estic, în colaborare cu Ministerul Federal pentru Cooperare Economică și Dezvoltare din Germania, a reunit reprezentanți ai Autorităților de Protecție a Datelor din Moldova, Armenia, Georgia și Ucraina.

În perioada 11-13 martie 2024, reprezentanții CNPDCP au efectuat vizita de studiu „Prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video”. Evenimentul a fost găzduit de Autoritatea pentru Protecția Datelor din Spania (AEPD) – Agencia Española de Protección de Datos.

Scopul evenimentului a constat atât în preluarea celor mai bune practici legale și operaționale privind utilizarea mijloacelor de supraveghere video, cât și în preluarea de către angajații CNPDCP a abilităților și resurselor necesare pentru a aborda în mod eficient aspectele legate de prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video, în conformitate cu legislația în vigoare și în interesul protejării drepturilor subiecților de date.

Pe parcursul vizitei de studiu, moderată de către experți în domeniul protecției datelor cu caracter personal din cadrul AEPD, au fost analizate în profunzime subiecte de importanță, cum ar fi:

Evoluția reglementărilor privind supravegherea video, ultimele modificări legislative și reglementări legate de prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video, cu accent pe reglementările GDPR;
Drepturile subiecților de date și etica în supravegherea video;
Recepționarea și clasificarea plângerilor;
Proceduri de inspecție și instrucțiuni;
Măsuri tehnice și organizatorice pentru asigurarea securității datelor cu caracter personal;
Promovarea tehnologiilor aplicate referitor la supravegherea video etc.

Vizita de studiu a fost organizată cu suportul proiectului UE TAIEX – Instrument de asistență tehnică și schimb de informații, gestionat și finanțat de Direcția Generală Politica Europeană de Vecinătate și Negocieri privind Extinderea (DG NEAR) a Comisiei Europene.

VI. Alte autorități pentru protecția datelor

La data de 22 ianuarie, a fost anunțată decizia finală a Autorității de supraveghere din Belgia din 16 ianuarie 2024, cu privire la impunerea amenzii în valoare de 174 640 de euro pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 6 Legalitatea prelucrării, art. 12 Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor subiectului de date, art. 14 Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la subiectul de date, art. 15 Dreptul de acces al subiectului de date, art. 24 Responsabilitatea operatorului, art. 25 Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit și art. 30 Evidențele activităților de prelucrare, din GDPR, de către Black Tiger Belgium.

Autoritatea de supraveghere belgiană a primit o plângere cu privire la activitățile de prelucrare desfășurate de BISNODE BELGIUM, care a fost ulterior preluată de grupul francez BLACK TIGER GROUP și redenumită BLACK TIGER BELGIUM (denumită în continuare „BTB”), susținând că compania a colectat indirect și a prelucrat în mod ilegal datele cu caracter personal ale reclamanților timp de peste 15 ani, fără a-i informa în prealabil în mod corespunzător.

În urma investigațiilor, Autoritatea de supraveghere belgiană a constatat că BTB nu se putea baza pe interesele sale legitime, deoarece datele cu caracter personal colectate indirect nu puteau fi considerate necesare pentru a urmări interesul de a menține la zi registrul de evidență a subiecților de date. Totodată, interesele BTB au fost excluse de drepturile fundamentale ale subiecților de date, din cauza lipsei de informații furnizate în mod proactiv și individual acestora, a contextului prelucrării și a naturii datelor cu caracter personal, precum și a perioadei de păstrare timp de 15 ani. În plus, BTB nu a luat în considerare în mod corespunzător toate riscurile care decurg din prelucrare, stabilind că BTB nu a răspuns în mod adecvat la solicitările reclamanților în temeiul art.15. În cele din urmă, Autoritatea de supraveghere din Belgia a constatat că registrul activităților de prelucrare este incomplet.

În acest context, BTB i-au fost aplicate trei amenzi administrative, în valoare totală de 174 640 de euro. Aceste amenzi se referă la prelucrarea ilegală a datelor cu caracter personal fără informarea subiecților de date într-un mod proactiv, individual și transparent, la faptul că nu a răspuns în mod corespunzător la cererile de acces la date și, în cele din urmă, la diverse încălcări legate de înregistrarea activităților de prelucrare. În plus, Autoritatea de supraveghere din Belgia a impus BTB mai multe măsuri corective, inclusiv o interdicție temporară de prelucrare a datelor cu caracter personal ale subiecților de date pentru care BTB deține datele de contact, până când compania nu îi va notifica în mod individual cu privire la prelucrarea datelor lor și nu le va oferi posibilitatea de a se opune prelucrării.

Buletin Informativ Nr. 16

438 Views

I. Activitățile de informare și instruire efectuate de CNPDCP

În ultimul trimestru al anului 2023 (octombrie – decembrie), Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a continuat să înregistreze progrese în partea ce ține de activitățile de informare și sensibilizare a publicului larg cu domeniul protecției datelor cu caracter personal.

În perioada de referință, s-a continuat organizarea cursurilor de instruire pentru subdiviziunile Inspectoratului General al Poliției (IGP), conform planului de instruiri aprobat și semnat de către conducătorii CNPDCP și IGP, la data de 25 ianuarie 2023. Scopul acestora a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară. În cadrul evenimentelor au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații subdiviziunilor IGP; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

03 octombrie – Inspectoratul de poliție Telenești al IGP;
10 octombrie – Inspectoratul de Poliție Taraclia al IGP;
07 noiembrie – DAI, DCPI Interpolal IGP, DPC și DPI al IGP;
27 noiembrie – Inspectoratul de Poliție Centru al Direcției de Poliție;
05 decembrie – Direcția de Poliție a municipiului Chișinău.

În acest context, au fost instruiți circa 200 de reprezentanți din cadrul subdiviziunilor IGP.

Totodată, au fost continuate cursurile de instruire pentru instituțiile medicale. La data de 03 noiembrie a avut loc cursul de instruire cu genericul „Prevederi legale în domeniul protecției datelor cu caracter personal” pentru reprezentanții IMPS de Ftiziopneumologie „Chiril Draganiuc”, având drept scop de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. În cadrul evenimentului au fost abordate subiecte, cum ar fi: definirea datelor cu caracter personal privind sănătatea; prelucrarea categoriilor obișnuite de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea; principii de prelucrare a datelor cu caracter personal; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; confidențialitatea și secretul profesional; divulgarea datelor cu caracter personal privind starea de sănătate; obligativitatea de asigurare a confidențialității și securității datelor cu caracter personal; reducerea la minimum a datelor și limitarea stocării, etc. În cadrul evenimentului au fost instruiți circa 80 de reprezentanți ai IMPS de Ftiziopneumologie „Chiril Draganiuc”.

În perioada de referință a fost continuată campania de informare și sensibilizare pentru comunitățile școlare cu genericul: „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line”. Scopul campaniei, a fost de a oferi comunității școlare o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin. Tematicile abordate în cadrul instruirilor au vizat: noțiuni generale privind datele cu caracter personal; utilizarea corectă a pozelor/video în mediul online; riscurile și amenințările în mediul online; comunicarea pe rețelele de socializare, etc. Cursul de instruire a fost organizat la data de 07 decembrie, pentru instituția Publică Liceul Teoretic „Dante Alighieri” din Chișinău. Evenimentul a avut loc în cadrul orei de Dezvoltare personală, publicul țintă fiind elevii clasei a V-a “B”. În acest context, au fost instruiți 37 de elevi.

În ultimul trimestru a anului 2023, de altfel ca pe întreg parcursul anului, CNPDCP a manifestat deschidere și spirit de colaborare, organizând multiple cursuri de instruire pentru reprezentanții instituțiilor publice, la solicitarea acestora. Cursurile de instruire au avut drept scop familiarizarea funcționarilor publici cu aspectele ce țin de domeniul protecției datelor cu caracter personal în serviciul public, reglementarea procedurilor de prelucrare, precum și cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu legislația în vigoare.

02 octombrie – Inspectoratul General de Carabinieri;
06 octombrie – Centrul de Instrucție al Inspectoratului General de Carabinieri;
11 octombrie – Direcţia regională „Centru” al Inspectoratului General de Carabinieri;
12 octombrie – Agenția de Administrare a Instanțelor Judecătorești, regiunea Nord;
13 octombrie – Agenția de Administrare a Instanțelor Judecătorești, regiunea Centru;
18 octombrie – Direcţia regională „Centru” al Inspectoratului General de Carabinieri;
20 octombrie – Direcţia regională „SUD” al Inspectoratului General de Carabinieri;
25 octombrie – Direcţia regională „NORD” al Inspectoratului General de Carabinieri;
31 octombrie – Ministerul Energiei;
01 noiembrie – Direcția Generală Educație, Tineret și Sport a Consiliului Municipal Chișinău;
09 noiembrie – Autoritatea Națională de Integritate;
16 noiembrie – Cancelaria de Stat;
17 noiembrie – Directorii instituțiilor de educație timpurie din municipiul Chișinău;
22 noiembrie – Directorii instituțiilor de învățământ din municipiul Chișinău;
23 noiembrie – Ministerul Infrastructurii și Dezvoltării Regionale;
28 noiembrie – Ministerul Muncii și Protecției Sociale;
29 noiembrie – Centrul Republican de Asistență Psihopedagogică;
06 decembrie – Serviciul de Protecție și Pază de Stat;
08 decembrie – Ministerul Agriculturii și Industriei Alimentare;
18 decembrie – Agenţia Naţională pentru Siguranţa Alimentelor.

În acest context au fost instruiți circa 1200 de reprezentanți ai instituțiilor publice.

II. Activitatea de control

În perioada octombrie – decembrie 2023, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 85 de cazuri. În perioada de referință, au fost emise 89 decizii, dintre care în 43 cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 42 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

III. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. CNPDCP a examinat plângerea unui subiect de date privind pretinsul fapt de prelucrare neconformă a datelor cu caracter personal, materializată prin stocarea și utilizarea frauduloasă a datelor cu caracter personal ce îi aparțin (nume, prenume, data/luna/anul nașterii, IDNP).

În cadrul investigației, CNPDCP a constatat că datele cu caracter personal ce vizează subiectul de date au fost transmise anterior de către petentă, către proprietarul unui magazin, în vederea oferirii suportului la achitarea unei amenzi, prin intermediul terminalului RunPay, din sediul localului unde acesta își desfășoară activitatea.

Ulterior, datele cu caracter personal ale subiectului de date au mai fost utilizate în vederea depunerii unei cereri de obținere a unui credit prin introducerea în terminal a IDNP-ului și data/luna/anul nașterii. Deși, proprietarul magazinului a invocat faptul că din greșeală a introdus datele de identitate ale petentei, (considerând că a introdus datele cu caracter personal ale fiicei ultimului), CNPDCP nu a determinat existența unei justificări privind introducerea datei, lunii și anului nașterii în cererea de solicitare a creditului, or, orice părinte cunoaște data de naștere a copilului său.

În mod imperios, urmează a fi precizat că potrivit art. 11 al Legii privind protecția datelor cu caracter personal condițiile şi termenele de stocare a datelor cu caracter personal sunt prevăzute de legislaţie, ţinându-se cont de prevederile art. 4 alin. (1) lit. e). La încheierea operațiunilor de prelucrare a datelor cu caracter personal, dacă subiectul acestor date nu şi-a dat consimțământul pentru o altă destinație sau pentru o prelucrare ulterioară, acestea vor fi distruse.

Întrucât, subiectul de date nu și-a dat acordul la o prelucrare ulterioară a datelor cu caracter personal, înscrisul cu datele de identificare ale petentei urma a fi distrus imediat după ce a fost achitată amenda prin intermediul terminalului.

Astfel, CNPDCP verificând întrunirea elementelor obligatorii care implică conformitatea și legalitatea operațiunilor de prelucrare a datelor cu caracter personal, a reținut lipsa unui scop și temei legal care să justifice acțiunile proprietarului magazinului de stocare și utilizare ulterioară a datelor cu caracter personal ale subiectului de date, manifestată prin transmiterea acestora către o companie de creditare, acțiuni contrare prevederilor art. 4 alin. (1) lit. a) și e), art. 5 alin. (1), precum și art. 11 ale Legii privind protecția datelor cu caracter personal.

II. CNPDCP a examinat sesizarea unei Autorități publice remisă conform competenței, prin care a fost solicitată verificarea legalității prelucrării datelor cu caracter personal ale unui subiect de date și a copilului acestuia, manifestate prin accesarea/consultarea/extragerea informației cu caracter personal stocate în o resursă informațională de stat.

În cadrul investigației s-a determinat că, de la un cont de utilizator ce a fost atribuit unui fost angajat al autorității, care a demisionat în anul 2019, utilizându-se calculatorul de serviciu al unui actual angajat, a fost dată în căutare informația privind traversarea frontierei de stat de către subiectul de date, fiind salvată informația în format PDF, ulterior, fiind printată, a fost transmisă persoanelor terțe.

Astfel, s-a reținut că, contul de utilizator al fostului angajat era activ și după 3 ani de la demisionarea angajatului, fiind deconectat doar după două luni de la accesarea vizată în sesizare.

Subsecvent, s-a determinat că, calculatorul de serviciu care a fost utilizat pentru operațiunea de prelucrare a datelor cu caracter personal a subiectului de date se regăsea în biroul de serviciu comun pentru mai mulți angajați, iar la data efectuării accesării, angajatul care avea în gestiune calculatorul vizat, nu se afla la locul de muncă. Totodată, s-a stabilit că sub IP-dispozitivului (utilizator VPN de la distanța) erau conectate și alte calculatoare de serviciu, iar biroul de

serviciu unde se află calculatorul de serviciu servește ca sediu comun pentru toți funcționarii secției, accesul fizic la calculator nefiind restricționat.

În aceste circumstanțe, nu a fost posibil de a identifica cert persoana/operatorul care a prelucrat date cu caracter personal ale subiecților de date, ordine în care CNPDCP a constatat in rem că prelucrarea datelor cu caracter personal ale subiecților de date vizați a fost efectuată contrar prevederilor art. 4 alin. (1) lit. a), b), c) și art. 5 alin. (1) și alin. (3) ale Legii privind protecția datelor cu caracter personal, în lipsa unui temei legal și fără consimțământul subiectului de date, întrucât incidentul de securitate a fost generat din cauza gestionării şi organizării necorespunzătoare a sarcinilor stabilite pentru personalul din interiorul instituției, care prin acțiuni rău intenționate sau chiar erori sau neglijență în utilizarea resurselor informaționale a generat incidentul dat, or operatorul era obligat să revizuiască drepturile de acces ale utilizatorilor la intervale regulate, precum: – analizarea drepturilor de acces a utilizatorului SIIV – o dată în 6 luni și după fiecare modificare care a survenit în activitatea utilizatorului, iar analiza acordării drepturilor de acces a rolurilor privilegiate – o dată în 3 luni.

Totodată, Centru a determinat că entitatea se face responsabilă de încălcarea prevederilor art. 30 alin. (1) al Legii privind protecția datelor cu caracter personal, deoarece nu a asigurat măsurile organizatorice și tehnice necesare pentru protecția datelor cu caracter care au fost puse la dispoziția sa, ceea ce a dus în consecință la prelucrarea ilegală a datelor cu caracter personal ale subiecților de date.

III. CNPDCP a recepționat, conform competenței, un demers din partea poliției, care viza solicitarea unei persoane fizice privind verificarea legalității prelucrării datelor cu caracter personal.

În fapt, subiectul de date a sesizat că a recepționat numeroase apeluri telefonice de la diferite companii de creditare din Republica Moldova, care l-au informat despre examinarea cererilor de acordare a creditelor în baza datelor cu caracter personal ale acestuia, prezentate prin intermediul cererilor online aplicate.

Urmare acțiunilor desfășurate în cadrul controlului, prin prisma Legii nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a identificat persoana care a prelucrat datele cu caracter personal, astfel încadrându-se în noțiunea de operator de date și fiind responsabil pentru operațiunile de prelucrare a datelor cu caracter personal, precum și de asigurarea confidențialității și securității datelor cu caracter personal.

În context, Autoritatea de protecție datelor cu caracter personal a constatat că, prelucrarea datelor cu caracter personal ale subiectului de date, efectuată de către operatorul de date, prin divulgarea numelui, prenumelui, numărului de identificare de stat (IDNP) și datele de contact ale petentei către companiile de creditare, a avut loc contrar prevederilor legale statuate la art. 4 alin. (1) lit. a), b), c), art. 5 alin. (1), art. 9 și art. 29 alin. (1) ale Legii nr. 133/2011 privind protecția datelor cu caracter personal.

IV. CNPDCP a fost sesizat de un grup de inițiativă, care au invocat că, prin Legea nr. 356/2022 pentru modificarea unor acte normative au fost aduse modificări la Legea nr. 93/1998 cu privire la patenta de întreprinzător, ce ar fi creat condiții pentru încălcarea prevederilor legale privind protecția datelor cu caracter personal ale titularilor de patente de întreprinzători.

Astfel, întreprinzătorii care activează în piețe și care s-au conformat noului regim fiscal, au constatat că în bonurile fiscale eliberate cumpărătorilor se regăsesc date cu caracter personal, în special, numărul de identificare de stat, indicat la câmpul codul fiscal – C. F.

Din prevederile stipulate, s-a determinat că legislația fiscală reglementează evidența obligațiilor fiscale ale persoanelor fizice în baza codurilor fiscale atribuite în ordinea prevăzută, reieșind din exercițiul unei activități economice independente.

Examinând temeiurile de drept existente în vigoare, în special – art. 5 pct. 28), art. 162 alin. (1) lit. b), art. 163 din Codul fiscal, pct. 10 lit. i) din Instrucțiunea privind evidența contribuabililor, pct. 24 din Regulamentul cu privire la Registrul unic al echipamentelor de casă și de control, care încadrează faptul prelucrării IDNP-ului persoanelor fizice, în contextul desfășurării activității independente, supuse din 01 iulie 2023 documentării comercializării bunurilor și utilizării doar a echipamentului de casă și de control conectat la Sistemul informațional automatizat „Monitorizarea electronică a vânzărilor”, în coroborare cu prevederile art. 5 alin. (5) lit. b), art. 9 lit. b) ale Legii nr. 133/2011, operațiunile de prelucrare a datelor cu caracter personal în speța sesizată sunt efectuate pentru îndeplinirea unei obligații care îi revine operatorului conform legii.

Totodată, a fost identificat ca fiind vulnerabil aspectul că orice persoană fizică care practică activitate independentă este impusă, reieșind din cadrul juridic existent, în special cel ce vizează algoritmul de funcționare a echipamentelor de casă și de control, de a-și face public/cunoscut IDNP -ul în bonurile fiscale eliberate zilnic.

Or, reglementări similare au fost supuse controlului constituționalității de către Curtea Constituțională, care a apreciat obligația pozitivă a autorităților competente ca, și în cazul supus examinării de către CNPDCP, să asigure protejarea IDNP-ului subiecților de date ce practică activitatea independentă în mod eficient și similar.

În rezultat, CNPDCP a atestat existența cadrului legal defectuos care reglementează regimul juridic al evidenței fiscale a persoanelor fizice ce practică activități independente, și anume, faptul consemnării IDNP-ului în bonul fiscal eliberat de titularul de patentă fiecărui client, aduce ingerință vieții private a persoanei, fiind o măsură disproporțională în raport cu scopul urmărit.

Subsidiar s-a recomandat Ministerului Finanțelor/Serviciului Fiscal de Stat să instituie măsuri tehnice și organizatorice care să asigure protecția datelor cu caracter personal ale persoanelor ce practică activitate independentă, prin identificarea și implementarea mecanismelor adecvate și eficiente în vederea ținerii evidenței fiscale, fără a aduce prejudicii dreptului la protecția datelor cu caracter personal, spre exemplu: prin depersonalizarea IDNP-ului persoanei fizice ce practică activitate independentă consemnat în bonul fiscal sau prin atribuirea unui nou cod fiscal distinct de IDNP, în contextul circumstanțelor reliefate la pct. II din partea constatatoare a prezentei decizii, cu informarea CNPDCP despre acțiunile întreprinse în acest sens.

IV. Activitatea de supraveghere

În perioada de referință, CNPDCP a continuat organizarea cursurilor de instruire pentru persoanele desemnate de către operator sau persoana împuternicită de către operator, în calitate de Responsabil cu Protecția Datelor. Această obligație este statuată de prevederile Legii nr.133/2011 privind protecția datelor cu caracter personal, prin care este instituită sarcina operatorului și a persoanei împuternicite de operator de a desemna un Responsabil cu protecția datelor cu caracter personal, în cazurile prevăzute de art. 25 al legii precitate.

Scopul cursului de instruire, care a avut loc în data de 21 decembrie, a constat în dezvoltarea cunoștințelor teoretice în domeniul protecției datelor cu caracter personal și a deprinderilor practice privind aplicarea actelor normative și cerințelor legislației din domeniu. În cadrul evenimenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; aspecte ce țin de Responsabilul cu protecția datelor (DPO); aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc. În cadrul evenimentului au fost instruiți circa 10 DPO atât din cadrul sectorului public, cât și a mediului privat.

Totodată, în scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 50 de consultații telefonice și 15 răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date cu caracter personal.

V. Știri internaționale și europene

La data de 17 octombrie 2023, reprezentanții CNPDCP au participat la Conferința “GDPR4BUSINESS”, organizată de către Asociația Națională a Companiilor din domeniul TIC în cadrul Proiectului ABA Rule of Law Initiative “Protecția datelor cu caracter personal – drepturi și obligații în Republica Moldova” în parteneriat cu Asociația Businessului European (EBA Moldova).

Expertul CNPDCP a abordat tematica „Persoana Responsabilă cu Protecția Datelor” (RPD), punctând cele mai noi și importante aspecte impuse de prevederile Legii 133/2011 privind protecția datelor cu caracter personal: desemnarea RPD; funcția RPD; sarcinile RPD.

Totodată, în cadrul conferinței au fost prezentate practici cu conținut aplicativ pentru mediul de afaceri și reprezentanți ai autorităților publice, cum ar fi:

aspecte cheie din Proiectul de lege cu privire la Protecția Datelor cu Caracter Personal;
experiența internațională și regională în aplicarea GDPR-ului;
soluții și răspunsuri la situații, spețe și provocări cu care se confruntă business-ul și autoritățile publice în implementarea cadrului legal armonizat.

În cadrul evenimentului, în calitate de vorbitori, au participat funcționari și demnitari de stat, experți naționali și internaționali de specialitate.

În perioada 18–19 octombrie 2023, reprezentanții CNPDCP au efectuat vizita de studiu „Reconcilierea dreptului de acces la informație și protecția datelor cu caracter personal”. Evenimentul a fost găzduit de Comisia Națională pentru Informatică și Libertăți din Franța (CNIL) (Commission Nationale de l’Informatique et des Libertés).

Scopul evenimentului a constat în preluarea celor mai bune practici legale și operaționale de către CNPDCP privind mecanismele de reconciliere a dreptului de acces la informație și protecția datelor cu caracter personal.

Pe parcursul vizitei de studiu, moderată de către experți în domeniul protecției datelor cu caracter personal din cadrul CNIL și CADA – Comisia pentru Acces la Documentele Administrative, au fost analizate în profunzime subiecte de importanță, cum ar fi: protecția datelor cu caracter personal în cadrul exercitării dreptului de acces la informație; reconcilierea dreptului de acces la informație și a dreptului la protecția datelor cu caracter personal; cerere de acces la documente administrative sau exercitarea dreptului de acces de către subiectul de date, cum să le distingem și care este impactul; publicarea și reutilizarea datelor de interes public; reutilizarea datelor de interes public în scopuri de cercetare științifică, etc.

Vizita de studiu a fost organizată cu suportul proiectului UE TAIEX – Instrument de asistență tehnică și schimb de informații, gestionat și finanțat de Direcția Generală Politica Europeană de Vecinătate și Negocieri privind Extinderea (DG NEAR) a Comisiei Europene.

În perioada 01 – 03 noiembrie 2023, reprezentantul CNPDCP a participat la evenimentul Internet Freedom Summit 2023, care a avut loc la Ohrid, Macedonia de Nord.

În cadrul evenimentului au avut loc sesiuni interactive, ateliere de lucru, mese rotunde și sesiuni de formare, axându-se pe probleme de actualitate în domeniul protecției datelor cu caracter personal și confidențialitate, cum ar fi:

Confidențialitatea într-o lume conectată: Navigarea și provocările legate de protecția datelor în era digitală;
Standardele internaționale de protecție a datelor și importanța armonizării pentru transferuri transfrontaliere eficiente de date;
Echilibrul între confidențialitate și inovare tehnologică;
Rolul organismelor de reglementare în promovarea unei culturi a inovației care ține cont de confidențialitate;
Strategii de monitorizare și aplicare a reglementărilor privind protecția datelor pe platformele online;
Rolul autorităților de protecție a datelor în asigurarea conformității și abordarea încălcărilor depistate;
Viitorul confidențialității: Tehnologii și tendințe emergente, etc.

La eveniment, reprezentantul CNPDCP a abordat tematica – „Echilibrul între confidențialitate și protecția datelor din perspectiva Europei de Sud-Est”. Totodată, participanții și-au împărtășit opiniile cu privire la strategiile de monitorizare și aplicare a reglementărilor privind protecția datelor pe platformele online, în special, cu privire la viitorul confidențialității într-o eră a inteligenței artificiale, a blockchain și a altor tehnologii noi cu impact asupra confidențialității.

Evenimentul, organizat de ABA ROLI, a reunit reprezentanți ai societății civile, profesori universitari, avocați, jurnaliști din Macedonia de Nord, România, Moldova și Serbia.

În perioada 08-09 noiembrie, reprezentanții CNPDCP au participat la Atelierul European de gestionare a cazurilor 2023, care a avut loc în Berna, Elveția, un eveniment, care se organizează anual, reprezentând astfel un forum de dialog participativ între Autoritățile de Protecție a Datelor cu privire la provocările cu care se confruntă și la soluțiile pe care le aplică în practica lor cotidiană.

Scopul evenimentului a fost axarea pe probleme de actualitate în domeniul protecției datelor cu caracter personal și confidențialitate, în special cum ar fi:

Gestionarea în mod vădit a solicitărilor nefondate sau excesive – conform art. 57 (4) din GDPR;
Garanțiile esențiale de protecție a datelor cu caracter personal pentru cooperarea în materie de aplicare a legii între autoritățile de protecție a datelor din SEE;
Urmărirea prin GPS în cadrul relațiilor de muncă;
Recunoașterea și detectarea facială prin prisma protecției datelor cu caracter personal;
Conceptul de prejudicii legate de protecția datelor cu caracter personal aduse subiecților de date, etc.

În cadrul Atelierul European de gestionare a cazurilor 2023 au participat 82 de reprezentanți din 29 de țări și 37 de Autorități de Protecție a Datelor.

În perioada 15-17 noiembrie curent, reprezentanții CNPDCP au participat la cea de-a 45-a ședință plenară a Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal (Convenția 108), care a avut loc la Strasbourg, Franța.

În cadrul Ședinței au fost discutate subiecte de importanță, printre care:

Convenția 108+, ratificările și aderările actuale;
Clauze contractuale în contextul fluxurilor transfrontaliere de date;
Interpretarea articolului 11 din Convenția 108 modernizată;
Protecția datelor cu caracter personal în cadrul procesul electoral;
Cooperarea cu alte organisme și entități ale Consiliului Europei;
Evoluții și activități majore în domeniul protecției datelor, etc.

Delegația CNPDCP s-a expus cu privire la stadiul ratificării Protocolului de modificare CETS 223 la Convenția 108, indicând că proiectul de lege privind ratificarea Protocolului de modificare a Convenției nr. 108 pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal și documentele aferente au fost transmise Ministerului Justiției pentru efectuarea procedurilor ce se impun în vederea asigurării înaintării acestuia de către Guvernul RM spre aprobare, ulterior va fi înaintat Parlamentului spre ratificare. Ce ține de revizuirea legislativă în domeniul protecției datelor cu caracter personal, la moment, Republica Moldova este în proces de a asigura transpunerea Regulamentului (UE) 2016/679 și a Directivei (UE) 2016/680 în legislația națională.

Totodată, delegația RM a menționat și despre evoluțiile și activitățile în domeniul protecției datelor la nivel național.

VI. Alte autorități pentru protecția datelor

La data de 05 octombrie, a fost emisă decizia Autorității Croate pentru Protecția Datelor privind aplicarea amenzii administrative în valoare de 5 470 000 euro Agenției de colectare a creanțelor EOS Matrix pentru încălcarea articolelor 5, 6, 9, 12, 13 și 32 din GDPR.

Investigația a fost demarată urmare a unei petiții anonime în care se afirma că a existat o prelucrare neautorizată a unui număr mai mare de date cu caracter personal ale persoanelor fizice (debitori) de către EOS Matrix (operator de date). Petiția a fost însoțită de un stick USB care conținea 181641 date cu caracter personal ale persoanelor fizice cum ar fi: numele, prenumele, data nașterii și numărul de identificare personală care aveau datorii restante față de instituțiile de credit. În plus, în petiția în cauză se menționa că 294 de persoane fizice incluse în baza de date erau minori la momentul întocmirii acesteia.

În urma investigației s-a constatat că:

Agenția de colectare a creanțelor EOS Matrix nu a implementat suficiente măsuri tehnice în sistemul de prelucrare – baza de date principală în cadrul căreia sunt prelucrate datele cu caracter personal a aproximativ 370 000 subiecți de date, contrar prevederilor stipulate la art. 32 din GDPR.
Operatorul de date a prelucrat și date cu caracter personal ale unor persoane fizice care nu sunt debitori și nici reprezentanți legali ai moștenitorilor în relații debitor-creditor, contrar prevederilor stipulate la art. 6 alineatul (1) din GDPR.
În ceea ce privește prelucrarea datelor privind sănătatea, s-a stabilit că operatorul de date a înregistrat în mod activ comentarii legate de starea de sănătate a debitorului contrar prevederilor stipulate la art. 9 alineatul (2) din GDPR. Examinând primele trei politici de confidențialitate (care au fost în vigoare între mai 2018 și octombrie 2020), s-a stabilit că operatorul de date a specificat că nu prelucrează și nu va prelucra date privind sănătatea. Prin urmare, prelucrarea datelor cu caracter personal a fost netransparentă, ceea ce nu este în conformitate cu art. 12 alineatul (1) și cu art. 13 alineatele (1) și (2) din GDPR.
În plus, în perioada mai 2018 – ianuarie 2019, operatorul de date a prelucrat date referitoare la 49 850 de persoane vizate prin înregistrarea convorbirilor telefonice fără a fi stabilit temeiul juridic menționat la articolul 6 alineatul (1) din GDPR, ceea ce a condus, de asemenea, la încălcarea articolului 5 alineatul (2) din GDPR.
La data de 12 octombrie, a fost emisă decizia Autorității Franceze pentru Protecția Datelor (CNIL) privind aplicarea amenzii administrative în valoare de 600 000 euro operatorului GROUPE CANAL+ pentru încălcarea prevederilor legale stipulate în GDPR.

CNIL a primit numeroase plângeri referitoare la dificultățile întâmpinate de persoanele fizice în ceea ce privește luarea în considerare a drepturilor lor de către GROUPE CANAL+, care produce canale media și distribuie oferte de televiziune cu plată.

Pe baza constatărilor rezultate din investigații, CNIL a considerat că operatorul nu a respectat mai multe obligații prevăzute de GDPR și de Codul francez al poștei și comunicațiilor electronice (CPCE), cum ar fi:

Nerespectarea obligației de a obține consimțământul persoanelor fizice pentru a primi prospectări comerciale prin mijloace electronice (articolele L. 34-5 din CPCE și 7 din GDPR);
Nerespectarea obligației de a furniza informații (articolele 13 și 14 din GDPR) și nerespectarea exercitării drepturilor subiecților de date (articolele 12 și 15 din GDPR);
Nerespectarea obligației de a oferi un cadru contractual pentru operațiunile de prelucrare efectuate de o persoană împuternicită de către operator (articolul 28.3 din GDPR);
Nerespectarea obligației de asigurare a securității datelor cu caracter personal (articolul 32 din GDPR);
Nerespectarea obligației de a notifica CNIL cu privire la o încălcare a securității datelor (articolul 33 din GDPR).

Cuantumul acestei amenzi a fost decis în funcție de încălcările identificate, precum și ținând cont de cooperarea operatorului de date și de toate măsurile pe care acesta le-a întreprins pentru a se conforma cu prevederile legale.

La data de 11 decembrie, a fost anunțată decizia finală a Autorității norvegiene de supraveghere (Datatilsynet) din 06 februarie 2023, cu privire la impunerea amenzii administrative în valoare de 10 milioane de coroane norvegiene (aproximativ 850 de mii de euro) companiei SATS pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 6 Legalitatea prelucrării, art. 12 Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate, art. 13 Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată, art. 15 Dreptul de acces al persoanei vizate, art. 17 Dreptul la ștergerea datelor („dreptul de a fi uitat”) din GDPR.

Datatilsynet a primit mai multe plângeri cu privire la compania SATS în perioada 2018-2021. Aceste se referau la presupuse încălcări ale drepturilor reclamanților în temeiul Regulamentului general privind protecția datelor în calitate de clienți ai rețelei sălilor de fitness, precum și la nerespectare a cererilor de acces și ștergere de către societate.

SATS este cel mai mare lanț de centre de fitness din țările scandinave, cu săli de sport în Norvegia, Suedia, Danemarca și Finlanda. Compania are sediul central în Norvegia și, prin urmare, Datatilsynet s-a ocupat de acest caz în cooperare cu mai multe autorități de supraveghere, folosind mecanismul de Ghișeul Unic. În calitate de autoritate de supraveghere principală, Datatilsynet a fost principalul responsabil pentru investigarea, analiza și luarea unei decizii în acest caz, fiind autoritatea principală de supraveghere.

Buletin Informativ Nr. 15

408 Views

I. Activitățile de informare și instruire efectuate de CNPDCP

În trimestru al treilea al anului curent (iulie-septembrie), Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a continuat să înregistreze progrese în partea ce ține de activitățile de informare și sensibilizare a publicului larg cu domeniul protecției datelor cu caracter personal.

În perioada de referință, s-a continuat organizarea cursurilor de instruire pentru subdiviziunile Inspectoratului General al Poliției (IGP), conform planului de instruiri aprobat și semnat de către conducătorii CNPDCP și IGP, la data de 25 ianuarie curent. Scopul acestora a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară. În cadrul evenimentelor au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații subdiviziunilor IGP; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

11 iulie – Inspectoratul de Poliție Ialoveni al IGP
17 iulie – Inspectoratul Național de Securitate Publică (INSP), Direcția Sud al IGP
03 august – Inspectoratul de Poliție Botanica al Direcției de Poliție
29 august – Inspectoratul Național de Securitate Publică (INSP), Direcția Nord al IGP
05 septembrie – Inspectoratul de Poliție Sângerei al IGP
19 septembrie – Inspectoratul de Poliție Strășeni al IGP

În acest context, au fost instruiți circa 300 de reprezentanți din cadrul subdiviziunilor IGP.

Totodată, au fost continuate cursurile de instruire pentru instituțiile medicale. La data de 27 septembrie a avut loc cursul de instruire cu genericul „Prevederi legale în domeniul protecției datelor cu caracter personal” pentru reprezentanții Spitalului Clinic Municipal pentru Copii nr. 1, având drept scop de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. În cadrul evenimentului au fost abordate subiecte, cum ar fi: definirea datelor cu caracter personal privind sănătatea; prelucrarea categoriilor obișnuite de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea; principii de prelucrare a datelor cu caracter personal; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; confidențialitatea și secretul profesional; divulgarea datelor cu caracter personal privind starea de sănătate; obligativitatea de asigurare a confidențialității și securității datelor cu caracter personal; reducerea la minimum a datelor și limitarea stocării, etc. În cadrul evenimentului au fost instruiți circa 70 de reprezentanți ai Spitalului Clinic Municipal pentru Copii nr. 1.

La data de 13 septembrie 2023, CNPDCP a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru auditorii interni din cadrul autorităților publice, la solicitarea Ministerului Finanțelor (MF). MF în comun cu autoritățile publice centrale desfășoară misiuni de audit intern orizontale, tematica de interes comun identificată pentru anul 2023 fiind „Evaluarea procesului de prelucrare a datelor cu caracter personal în cadrul autorităților publice”. Scopul cursului de instruire a fost sporirea vizibilității și mediatizarea rolului auditului intern de a adăuga valoare și de a îmbunătăți activitatea entității, inclusiv a proceselor de management al riscului, control și guvernanță, prin prisma legislației privind protecția datelor cu caracter personal. În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; aspecte ce țin de Responsabilul cu protecția datelor (DPO); aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc. În cadrul evenimentului au participat circa 50 de auditori interni din cadrul a 30 de autorități publice.

La data de 28 septembrie, CNPDCP a organizat un curs de instruire cu genericul „Asigurarea protecției datelor cu caracter personal în activitatea Centrului Național Anticorupție (CNA)”. Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților CNA asupra principiilor de protecție a datelor cu caracter personal, în vederea cunoașterii și asimilării celor mai bune practici din domeniu, precum și asupra asigurării aplicării corecte a prevederilor legale în activitatea pe care o desfășoară, ceea ce va contribui ulterior la sporirea performanței angajaților CNA în depistarea și contracararea fenomenului corupției. În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații CNA; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat și evidența dusă de CNA a acestor acesări; cadrul normativ care reglementează protecția informațiilor din cauzele penale ce conțin date cu caracter personal; verificarea conformității prelucrării datelor cu caracter personal / etapele investigației; aspecte ce țin de Responsabilul cu protecția datelor (DPO); aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc. În cadrul evenimentului au fost instruiți circa 150 de reprezentanți ai CNA.

La data de 29 septembrie, CNPDCP a organizat un curs de instruire cu genericul „Evaluarea, prin prisma sistemului de control intern managerial existent, funcționalitatea procesului de prelucrare a datelor cu caracter personal în cadrul judecătoriilor și curților de apel” pentru reprezentanții Agenției de Administrare a Instanțelor Judecătorești (AAIJ), Zona Sud, la solicitatea acestora. Evenimentul a avut loc la sediul Curții de Apel Comrat. Scopul cursului de instruire a fost de a spori gradul de percepție a reprezentanților AAIJ asupra principiilor de protecție a datelor cu caracter personal, precum și de a indentifica un mecanism de evaluare a impactului asupra protecției datelor cu caracter personal în judecătorii și curțile de apel. În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; examinarea solicitărilor de dezvăluire a datelor cu caracter personal; verificarea conformității prelucrării datelor cu caracter personal; etc. În cadrul evenimentului au fost instruiți circa 40 de reprezentanți ai AAIJ.

În aceiași perioadă de referință, și anume în data de 10 iulie, CNPDCP în colaborare cu experții proiectului TAIEX, au organizat conferința națională ”Evaluarea Impactului asupra Protecției Datelor și rolul Responsabilului cu protecția datelor”. Scopul conferinței a constat în preluarea celor mai bune practici legale și operaționale de către reprezentanții instituțiilor publice privind mecanismele de Evaluare a Impactului asupra Protecției Datelor (DPIA), operațiunile de prelucrare care necesită o DPIA, precum și rolul Responsabilului cu protecția datelor (DPO) în cadrul operatorilor de date cu caracter personal din sectorul public. Conferința a fost moderată de experți în protecția datelor cu caracter personal din Italia și Malta. Printre temele abordate de experți au fost: evaluarea necesității și proporționalității operațiunilor de prelucrare care fac obiectul cerinței de efectuare a unei evaluări a impactului asupra protecției datelor; scenarii de evaluare a impactului asupra protecției datelor cu caracter personal; mecanisme practice de efectuare a consultărilor prealabile dacă evaluarea impactului asupra protecției datelor, indică faptul că prelucrarea ar genera un risc sporit, iar acesta nu poate fi atenuat prin mijloace rezonabile sub aspectul tehnologiilor disponibile și al costurilor implementării, de către angajații DPA-urilor; mijloacele acordate Responsabilului cu protecția datelor pentru a-și îndeplini misiunile; exemple de cele mai bune practici pentru a ajuta instituțiile de stat / organizațiile în numirea și sprijinirea Responsabilului cu protecția datelor, în scopul evitării unor eventuale conflicte de interese; etc. În cadrul evenimentului au participat circa 60 de reprezentanți ai sectorului public.

II. Activitatea de control

În perioada iulie – septembrie 2023, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 93 de cazuri. În perioada de referință, au fost emise 94 decizii, dintre care în 52 cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 27 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

III. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

În rezultatul examinării multiplelor plângeri din partea diferitor subiecți de date, precum și ținând cont de mediatizările în spațiul public a faptului accesării datelor cu caracter personal ale unui număr excesiv de subiecți de date cu caracter personal în Banca centrală de date a cadastrului bunurilor imobile, efectuat de către un ONG, CNPDCP a inițiat controlul în vederea stabilirii circumstanțelor ce au dus la situația identificată.

Urmare a acțiunilor efectuate în cadrul controlului vizat, s-a determinat că în perioada mai 2022 – iulie 2022, utilizatorul autorizat al ONG-ului vizat a efectuat 680263 de accesări în Registrul Bunurilor Imobile (RBI) la aproximativ 378261 de bunuri imobile, fiecare dintre ele având unu, doi și mai mulți proprietari, noi și vechi. Numărul persoanelor fizice, ale căror date cu caracter personal au fost accesate, a constituit 362533.

Potrivit materialelor acumulate în cadrul controlului, în scopul realizării unor rapoarte independente de verificare a integrității candidaților la funcția de membru în Consiliul Superior al Magistraturii și Consiliul Superior al Procurorilor, ONG-ul vizat a contractat o persoană fizică pentru a analiza datele privind subiecții evaluați în rapoartele independente de verificare a integrității în cadrul procedurilor de pre-vetting și vetting și a colecta date deschise din spațiului online și consultanță în domeniul IT. Accesările datelor cu caracter personal a persoanelor vizate s-ar fi produs din cauza folosirii unui robot automat de căutare a adreselor juridice în motorul de căutare al serviciului web cadastru.

În rezultatul controlului, CNPDCP a constatat că acțiunile utilizatorului autorizat care a efectuat operațiunea de accesare a datelor cu caracter personal ale unui număr impunător de subiecți de date care nu au nici o legătură cauzală cu persoanele/candidații care au fost obiectul studiului și bunurile imobile ale acestora, au fost prelucrate excesiv, fără a avea la bază un scop bine-determinat, explicit și legitim, adecvat, pertinent și neexcesiv, în raport cu obiectivul stabilit, precum și fără a deține consimțământul subiectului de date cu caracter personal.

La fel, CNPDCP a constatat că, o altă circumstanță ce a contribuit la efectuarea accesărilor excesive a fost inacțiunile operatorului în raport cu persoana împuternicită de către operator, în sensul evaluării corectitudinii prelucrării datelor cu caracter personal. În perioada nominalizată supra, ONG-ul nu a întreprins nici o acțiune de verificare a implementării măsurilor tehnice și organizatorice de către utilizatorul autorizat privind prelucrarea în mod corect şi conform prevederilor legii a datelor cu caracter personal stocate în RBI, cu toate că, pornind de la prevederile expuse în Declarația privind obligația de confidențialitate și securitate a datelor cu caracter personal, semnată de către utilizatorul autorizat, această obligație se regăsea.

Totodată, I.P. ,,Agenția Servicii Publice”, în calitate de posesoare a Băncii Centrală de Date a cadastrului bunurilor imobile, avea obligațiunea legală să ia măsurile organizatorice şi tehnice necesare pentru protecția datelor cu caracter personal stocate în această resursă informațională de stat, fapt ignorat de către aceasta la etapa corespunzătoare.

Pornind de la circumstanțele descrise, CNPDCP a constatat încălcarea prevederilor Legii nr. 133/2011 privind protecția datelor cu caracter personal de către utilizatorul autorizat, de către ONG-ul vizat și de către ASP.

CNPDCP a examinat plângerea unui subiect de date cu caracter personal, prin care a fost solicitată verificarea legalității acțiunilor efectuate de către un operator de date, manifestate prin plasarea pe rețeaua de socializare ,,Facebook”, a unei postări însoțită de pozele actelor de identitate a petentului.

În cadrul investigației s-a determinat că, operatorul de date este administratorul contului de Facebook unde au fost publicate doua imagini a actelor de identitate (buletinul de identitate și pașaportul), însă postarea a fost publicată nu de dânsul, ci de o altă persoană care se află în relații de rudenie, căruia i-a oferit accesul la contul său. În cadrul efectuării controlului, operatorul de date (administratorul contului de Facebook), și-a recunoscut vina și a conștientizat că a fost săvârșită o abatere de la normele privind protecția datelor cu caracter personal.

În context, CNPDCP, prin Decizie a constatat că, operațiunea de prelucrare a datelor cu caracter personal manifestate prin postarea/publicarea actelor de identitate, pe rețeaua de socializare ,,Facebook”, efectuate de către operatorul de date, constituie o încălcare a prevederilor art. 4 alin (1) lit a), art. 9 și art. 29 alin (1) ale Legii nr. 133 din 08.07.2011, la prelucrarea datelor cu caracter personal a subiectului de date, fără a avea un temei legal în acest sens, fără a garanta confidențialitatea datelor prelucrate și fără consimțământul petentului.

CNPDCP a examinat plângerea unui subiect de date prin care se solicita intervenția autorității de control, conform competențelor atribuite prin Legea privind protecția datelor cu caracter personal, pentru a stabili și a sancționa persoana-(le) din cadrul entități publice ce se fac responsabile de răspândirea cu bună-știință a informațiilor confidențiale, ocrotite de lege, care au transmis prin intermediul e-mail-ului de serviciu către toți angajații documente ce conțin informații personale, inclusiv informații privind starea de sănătate a subiectului de date. Prin urmare, subiectul datelor cu caracter personal consideră că de către persoana-(le) responsabile din cadrul entității publice au fost comise acțiuni ilegale, prin diseminarea informațiilor confidențiale, în lipsa consimțămîntului acesteia, fiindu-i grav încălcat dreptul la protecția datelor privind starea de sănătate.

În rezultatul soluționării plângerii subiectului datelor cu caracter personal, CNPDCP a constatat prin decizie că, angajata din cadrul entității publice a acționat în mod individual stabilind scopul şi mijlocele de prelucrare a datelor privind starea de sănătate a subiectului vizat, fără a ține cont de instrucțiunile/dispozițiile conducerii entității, a stabilit transmiterea/dezvăluirea către toți angajații a informațiilor conținute în certificatul medical eliberat pe numele subiectului de date, în lipsa unei obligații legale/temei legal, fără a asigura confidențialitatea datelor cu caracter personal, acțiune ce contravine condițiilor de drept prevăzute de art. 4 alin. (1) lit. a), art. 6 alin. (1) și art. 29 alin. (1) din Legea privind protecția datelor cu caracter personal.

IV. Activitatea de supraveghere

În perioada de referință, CNPDCP a venit cu mai multe precizări și recomandări atât pentru subiecții de date, cât și cu recomandări pentru autoritățile publice:

În atenția utilizatorilor aplicației Yandex Go

În contextul informațiilor mediatizate, vizând accesul la datele cu caracter personal prelucrate prin intermediul aplicației „Yandex Go” (cum ar fi: datele dispozitivelor mobile ale utilizatorilor, numele, numărul de telefon, adresa de e-mail, date bancare și adresele călătoriilor cu taxiul), CNPDCP a îndemnat subiecții de date să fie prudenți și să se informeze, în prealabil instalării aplicației Yandex Go pe dispozitivele mobile, asupra condițiilor stipulate în Politica de confidențialitate Yandex, deoarece, odată instalată această aplicație, prelucrarea datelor cu caracter personal se efectuează pe baza consimțământului subiectului de date cu caracter personal.

De altfel, în cazul utilizării unor sisteme/platforme străine, gestionate/create de operatori nerezidenți, serverele cărora se află în afara țării, survine implicit situația de transmitere transfrontalieră a datelor cu caracter personal, colectate/prelucrate prin intermediul acestor sisteme/platforme, fapt care determină aplicabilitatea obligatorie a prevederilor art. 32 al Legii 133/2011 privind protecția datelor cu caracter personal.

În aceste condiții, transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecție (cum ar fi spre ex. Federația Rusă), poate avea loc în condițiile statuate la art. 32 alin. (5) al Legii privind protecția datelor cu caracter personal.

Totodată, este de menționat că, în cazul unor platforme de management a comenzilor de taxi deținute de titulari nerezidenți, dar care își desfășoară activitatea și/sau produc efecte juridice pe teritoriul Republicii Moldova, autoritățile de stat competente vor întâmpina impedimente și/sau nu vor putea exercita un control efectiv asupra acțiunilor eventual prejudiciabile a acestora.

Mai mult, în circumstanțele expuse supra, inclusiv subiectul de date cu caracter personal va pierde controlul asupra datelor sale cu caracter personal și va fi în dificultate de a-și exercita drepturile consacrate de Legea privind protecția datelor cu caracter personal.

În contextul informațiilor menționate supra, precum și ținând cont de faptul că datele cu caracter personal, transferate tranfrontalier în state care nu asigură un nivel adecvat de protecție, ar putea fi utilizate în detrimentul subiecților de date sau în alte scopuri decât cele declarate de operator, prin avizul înaintat Guvernului asupra proiectului de inițiativă legislativă nr. 252 din 13.07.2023, CNPDCP a propus inclusiv:

… în contextul asigurării protecției eficiente a datelor cu caracter personal prelucrate, ar fi oportună examinarea posibilității instituirii normei vizând utilizarea sistemelor (platformelor) electronice de management gestionate/păstrate/stocate pe teritoriul Republicii Moldova. Or, ținând cont de prevederile art. 4 și art. 5 alin. (5) lit. b) ale Legii nr. 133/2011, obligațiile/regulile de prelucrare a datelor cu caracter personal (cum ar fi spre exemplu: utilizarea sistemelor/platformelor electronice de management naționale, precum și păstrarea serverelor pe teritoriul Republicii Moldova, fără a fi admisă transmiterea transfrontalieră de date cu caracter personal) trebuie să fie prevăzute de lege.

În atenția subiecților de date! CNPDCP recomandă vigilență maximă la transmiterea/oferirea datelor cu caracter personal

Reieșind din multitudinea de cazuri mediatizate, precum și din specificul abordat în tot mai multe plângeri și sesizări aflate în examinare, CNPDCP a îndemnat subiecții de date să demonstreze precauție maximă la dezvăluirea, transmiterea, diseminarea datelor cu caracter personal ce îi vizează.

CNPDCP amintește că, actele de identitate (cum ar fi buletinele de identitate, pașapoartele), certificatele de stare civilă, carnetele de pensionar, cardurile bancare etc. consemnează o multitudine de date cu caracter personal, care necesită o protecție eficace din partea deținătorului/titularului acestora.

Astfel, oferirea/transmiterea de copii de pe aceste documente, precum și scrierea datelor cu caracter personal în diferite liste/acte de către subiectul de date, în alte scopuri decât cele expres prevăzute de lege, poate genera utilizarea ilegală a acestora, în scopuri contrare celor prevăzute inițial, în detrimentul subiectului de date. La fel, subiectul de date cu caracter personal ar putea pierde controlul asupra datelor sale cu caracter personal.

În cazul în care subiecților de date li se solicită prezentarea actelor de identitate și/sau oferirea copiilor de pe aceste acte, precum și prezentarea datelor personale precum: numele, prenumele, IDNP-ul, adresa de domiciliu, datele cardului bancar, venitul, cuantumul pensiei, etc. sub pretexte diferite de persoane terțe, aceștia urmează să se încredințeze de legalitatea colectării datelor personale și a utilizării ulterioare a acestor date.

Or, potrivit prevederilor Legii 133/2011 privind protecția datelor cu caracter personal, datele cu caracter personal care fac obiectul prelucrării trebuie să fie: prelucrate în mod corect şi conform prevederilor legii; colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri; adecvate, pertinente şi neexcesive în ceea ce priveşte scopul pentru care sînt colectate şi/sau prelucrate ulterior.

Totodată, CNPDCP reliefează că, în condițiile oferirii/transmiterii benevole a datelor cu caracter personal, consemnate pe diferite acte sau prin înscrierea acestora în careva liste/documente, la baza colectării acestor date personale se invocă/determină existența consimțământului subiectului datelor cu caracter personal (art. 5 alin. (1) al Legii 133/2011), chiar dacă ulterioara utilizare a acestor date se adeverește a fi efectuată în alte scopuri/ în detrimentul subiectului de date vizat.

În atenția subiecților de date! Recomandări privind publicarea datelor cu caracter pesonal pe rețelele de socializare

Odată cu apariția rețelelor de socializare, precum Twitter, Tumblr, Facebook, Telegram, Instagram, Linked In, Tik Tok, Snapchat etc., viața socială s-a schimbat radical, acestea devenind un instrument puternic pentru a socializa, a face noi prieteni și cunoștințe, a distribui imagini foto, video sau pentru a promova o informație. Persoanele împărtășesc cu ușurință știri, imagini, opinii personale și aproape orice se întâmplă în viața lor. Divulgarea datelor cu caracter personal creează un mediu favorabil pentru companiile de publicitate, persoanele care lansează apeluri pretins caritabile (strângeri false de fonduri în scop umanitar), persoanele ce intenționează să se răzbune, infractorii cibernetici, iar acest lucru ar putea presupune colectarea datelor sensibile despre activitățile, interesele, caracteristicile personale, opiniile politice, obiceiurile și comportamentele online ale persoanelor.

Astfel, utilizatorii rețelelor de socializare, trebuie să demonstreze precauție maximă ce date cu caracter personal publică, ce scriu în public, ce fotografii/înregistrări video sau audio plasează sau cui acordă încredere pe o rețea de socializare.

Totodată, CNPDCP atenționează că, colectarea și prelucrarea de date cu caracter personal pe rețelele de socializare, ca și orice prelucrare de date, trebuie să fie efectuată în strictă conformitate cu prevederile Legii privind protecția datelor cu caracter personal, iar datele cu caracter personal care fac obiectul prelucrării trebuie să fie: prelucrate în mod corect şi conform prevederilor legii; colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri; adecvate, pertinente şi neexcesive în ceea ce priveşte scopul pentru care sînt colectate şi/sau prelucrate ulterior.

Astfel, CNPDCP îndeamnă subiecții de date să-și protejeze confidențialitatea vieții private înainte de a publica sau a distribui anumite informații pe rețelele de socializare sau pe orice altă platformă online.

Este foarte important ca utilizatorii rețelelor de socializare să citească cu atenție și să înțelegă:

Termenii de confidențialitate (de exemplu, conținutul care poate fi partajat cu o terță parte, posibilitatea de a șterge conținutul de pe site etc.);
Caracteristicile site-ului (de exemplu, cine vă poate vedea mesajele, dacă vor fi doar destinatari specificați sau toți utilizatorii de pe platformă etc.);
Ce informații biografice ar trebui furnizate (de exemplu, datele biografice, cum ar fi: numele complet, anul nașterii, vârsta sau adresa, ar trebui să fie utilizate doar la înregistrarea contului și nicidecum oferite altor utilizatori de pe rețelele de socializare),
Informații despre cont (de exemplu, informațiile sensibile, cum ar fi: școala frecventată, afilierea politică, informații despre contul bancar, locul de trai/domiciliul etc., nu ar trebui furnizate niciodată);
Cine sunt potențialii „Prieteni” (de exemplu, prin analiza profilului persoanelor respective, pentru a înțelege cine sunt, ce fac și ce fel de conținut distribuie);
Necesitatea de a dezactiva funcțiile de partajare a locației gadgetului utilizat;
Atenție maximă la postarea online a fotografiilor/înregistrărilor video sau audio (ar putea fi foarte dificil să fie șterse, cum ar fi în cazul metadatelor sau dacă cineva le-a copiat, le-a partajat sau le-a distribuit pe alte site-uri sau rețele de socializare) etc.

Textul integral al Recomandărilor privind publicarea datelor cu caracter pesonal pe rețelele de socializare, pate fi vizualizat accesând următorul link:

https://datepersonale.md/in-atentia-subiectilor-de-date-recomandari-privind-publicarea-datelor-cu-caracter-pesonal-pe-retelele-de-socializare/

În atenția autorităților publice! CNPDCP recomandă întreprinderea măsurile necesare pentru protecția datelor cu caracter personal la accesarea registrelor/sistemelor informaționale de stat

Urmare a defășurării procedurilor de control asupra conformităţii prelucrării datelor cu caracter personal cu cerinţele Legii nr. 133/2011 privind protecția datelor cu caracter personal, inițiate în baza plângerilor recepționate din parte subiecților de date, CNPDCP a depistat următoarele neconformități: tendința de utilizare a credențialelor de acces (nume de utilizator și parola) a unui singur cont de utilizator autorizat de către mai mulți angajați ai entității beneficiare; deținerea/utilizarea numelui de utilizator și parolei de către persoane terțe; neactualizarea listei utilizatorilor autorizați după încetarea raporturilor de muncă, după schimbarea locului de muncă sau a funcției în entitate; neincluderea în listele de utilizatori a datelor personale ale utilizatorului autorizat (IDNP, numărul sau adresa de contact); neinformarea deținătorului sistemului informațional despre schimbarea administratorului responsabil de accesul la portalele informaționale menționate supra indicat în lista utilizatorilor; neactualizarea sistematică a parolelor de utilizator; lipsa evidenței manuale și/sau electronice a accesării/consultării datelor cu caracter personal stocate în sistemele informaționale de stat, etc.

CNPDCP nu pune la îndoială și nu neagă dreptul autorității publice de a colecta/accesa/consulta sau verifica date cu caracter personal din diverse sisteme informaționale de stat, care sunt necesare pentru realizarea/executarea sarcinilor care rezultă din exercitarea prerogativelor de autoritate publică cu care este investită, însă, toate aceste potențiale operațiuni de prelucrare a datelor cu caracter personal urmează a fi efectuate cu respectarea tuturor condițiilor de prelucrare a datelor cu caracter personal statuate de Legea privind protecția datelor cu caracter personal, iar situațiile identificate generează riscuri iminente față de asigurarea confidențialității și securității datelor cu caracter personal prelucrate/stocate în registrele/sistemele informaționale de stat, care vizează practic toți cetățenii Republicii Moldova.

În acest context, reieșind din prevederile art. 20 alin. (1) lit. a), c), o), q) al Legii nr. 133/2011 privind protecția datelor cu caracter personal, în vederea asigurării unui nivel adecvat de integritate, confidențialitate și securitate a datelor cu caracter personal și având ca scop de a preveni admiterea încălcărilor similare celor indicate, CNPDCP a venit cu recomandări față de autoritățile publice în vederea:

a) Revizuirii și actualizării cu regularitate a listei utilizatorilor autorizați anexate la contractele de prestări servicii încheiate în contextul acordării accesului la registrele/sistemele informaționale de stat, în special cele gestionate de ASP;

b) Instituirii unui mecanism de ținere de către utilizatorii autorizați a evidenței manuale și/sau electronice a accesării/consultării datelor cu caracter personal, precum și instruirii angajaților din subordine despre neadmiterea accesării/utilizării neautorizate a datelor cu caracter personal din sistemele de evidență.

Totodată, în scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 100 consultații telefonice și 5 răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date cu caracter personal.

V. Știri internaționale și europene

În perioada 01 iulie – 30 septembrie 2023, reprezentanții CNPDCP au participat la 2 ședințe plenare on-line și o ședință cu prezență fizică a Comitetului European pentru Protecția Datelor (EDPB). În cadrul plenarelor au fost discutate și adoptate în varianta finală mai multe documente, printre care:

Nota informativă pentru persoanele și entitățile care transferă date în SUA în limitele Cadrului UE-SUA privind confidențialitatea datelor (DPF);
Declarație privind prima revizuire a Deciziei de adecvare a Japoniei;

În cadrul ședinței plenare din 19-20 septembrie curent, conducerea și membrii EDPB s-au întâlnit cu reprezentanții autorităților de protecția datelor atât din țările Parteneriatului Estic cât și din țările Balcanilor de Vest, unde au fost prezentate structurat situația actuală și provocările/oportunitățile cheie privind protecția datelor în țările delegațiilor invitate.

Comitetul European pentru Protecția Datelor este un organism european independent, care contribuie la aplicarea consecventă a normelor de protecție a datelor în întreaga Uniune Europeană și promovează cooperarea între autoritățile UE de protecție a datelor.

În perioada 03 – 07 iulie 2023, în cadrul proiectelor regionale GIZ „Reingineria serviciilor publice în EaP” și „E-Guvernare și digitalizare în EaP”, a fost organizată prima întâlnire de rețea dedicată doar autorităților de protecția datelor din cadrul țărilor Parteneriatului Estic. Autoritatea de Protecție a Datelor cu Caracter Personal din Georgia a fost co-gazdă și co-organizator al acestei întâlniri de lucru.

În cadrul acestei întrevederi au fost discutate următoarele subiecte:

Lansarea primului eveniment de rețea și prezentarea cadrului legal, a proceselor de lucru a autorităților de protecție a datelor;
Organizarea întâlnirii pregătitoare pentru viitorul eveniment la nivel înalt;
Prezentarea priorităților, activităților comune în curs a țărilor Parteneriatului estic și planificarea de comun a noilor activități pentru anul 2024;
Discutarea despre conferința internațională a autorităților de protecția datelor, programată pentru anul 2024 în Georgia.

În perioada 04-08 septembrie, la Tbilisi, Georgia, a fost organizată cea de-a III-a Academie cu genericul ”Sistemele de management al calității și cultura calității” găzduită de Agenția de Dezvoltare a Serviciului Public din Georgia.

Au fost abordate următoarele subiecte de discuție:

Managementul calității totale (TQM);
Managementul proceselor;
Re-inginerie;
Cadrul comun de evaluare (CAF);
Evaluarea organizațională și planul de îmbunătățire.

Această serie de Academii este un efort de colaborare între Programul SIGMA și proiectele GIZ, „Re-ingineria serviciilor publice în Parteneriatul Estic” și „Guvernare electronică și digitalizare în țările Parteneriatului Estic”, făcând parte din cadrul GIZ „Fondul Regional pentru Reformele Administrației Publice al Parteneriatului Estic”. În cadrul acestei Academii au participat reprezentanții CNPDCP, Agenției Servicii Publice și Agenției de Guvernare Electronică.

În perioada 18-22 septembrie, la Bruxelles, Belgia, a avut loc „Evenimentul la nivel înalt în domeniul protecției datelor” organizat de OECD-SIGMA și Fondul Regional pentru Parteneriatul Estic (GiZ) în strânsă colaborare cu Autoritatea Europeană pentru Protecția Datelor și diferite instituții ale UE (DGJUST, DGNEAR și Parlamentul European).

Scopul evenimentului a fost de a permite crearea de rețele și de a face schimb de experiență între instituțiile de protecție a datelor cu caracter personal din regiunea Parteneriatului Estic și Balcanii de Vest, precum și de a consolida relațiile cu instituțiile UE responsabile de domeniul protecției datelor.

Pe parcursul sesiunilor de lucru, au fost abordate subiecte de actualitate din domeniul protecției datelor, precum:

Necesitatea protecției datelor cu caracter personal. Provocări și oportunități pentru regiunea Balcanii de Vest și Parteneriatului Estic;
Activitatea Unității de politici și consultare, evoluțiile legislative recente ale UE / Ghidul digital;
Sensibilizarea și informarea publicului larg privind provocările și problemele legate de protecția datelor, creșterea gradului de conștientizare și crearea de legături între transformarea digitală și protecția datelor;
Provocările și necesitățile protecției datelor cu caracter personal în era digitală.

La evenimentul menționat supra au participat reprezentanți din 11 țări ale parteneriatului Estic și din regiunile Balcanii de Vest precum: Albania, Armenia, Azerbaidjan, Bosnia și Herțegovina, Georgia, Kosovo, Muntenegru, Macedonia de Nord, Moldova, Serbia și Ucraina.

VI. Alte autorități pentru protecția datelor

La data de 21 august, a fost anunțată decizia finală a Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal din România (ANSPDCP) din 18 iulie 2023, cu privire la impunerea sancțiunii contravenționale cu o amendă în cuantum de 346.598 lei, echivalentul sumei de 70.000 de euro aplicată companiei UIPATH SRL pentru încălcarea prevederilor art. 25 și art. 32 din GDPR.

Investigația a fost demarată ca urmare a transmiterii de către operator a unei notificări de încălcare a securității datelor cu caracter personal în temeiul GDPR-ului. Astfel, UiPath SRL a notificat o încălcare a confidențialității datelor cu caracter personal, constând în publicarea datelor cu caracter personal a unui număr semnificativ de utilizatori ai Platformei Academy pe un website accesibil la o adresa URL.

În cadrul investigației, ANSPDCP a constatat că UiPath SRL nu a pus în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane, incluzând capacitatea de a asigura confidențialitatea și rezistența continuă ale sistemelor și serviciilor de prelucrare, precum și un proces pentru testarea, evaluarea şi aprecierea periodică ale eficacității măsurilor tehnice şi organizatorice pentru a garanta securitatea prelucrării. Acest fapt a condus la divulgarea și accesul neautorizat la datele cu caracter personal (numele și prenumele utilizatorului, identificatorul unic al fiecărui utilizator, adresa de e-mail, numele companiei la care utilizatorul este angajat, țara și detalii despre nivelul de cunoștințe obținut în cadrul cursurilor UiPath ACADEMY) a circa 600.000 de utilizatori ai Platformei Academy aparținând operatorului UiPath, pentru o perioadă de aproximativ 10 zile.

ANSPDCP a considerat că această încălcare a prelucrării datelor cu caracter personal este de natură să aducă persoanelor vizate prejudicii fizice, materiale sau morale, cum ar fi pierderea controlului asupra datelor lor cu caracter personal sau pierderea confidențialității datelor cu caracter personal.

În urma investigației efectuate, ANSPDCP a informat celelalte autorități de supraveghere implicate, în cadrul unei proceduri de consultare informală, bazată pe art. 60 din Regulamentul (UE) 2016/679, cu privire la concluziile rezultate din investigațiile efectuate în acest caz cu impact transfrontalier și măsurile propuse.

În același timp, în temeiul art. 58 alin. (2) lit. d) din GDPR, ANSPDCP a dispus față de operator măsura corectivă de a implementa un mecanism aplicat la intervale regulate de timp, privind testarea, evaluarea și aprecierea periodică a eficacității măsurilor adoptate, ținând cont de riscul prezentat de prelucrare, în vederea asigurării unui nivel de securitate corespunzător și evitării pe viitor a unor incidente de securitate similare.

La data de 28 august, a fost emisă decizia Autorității Suedeze pentru Protecția Datelor (IMY) privind aplicarea amenzii administrative în valoare de 5 000 000 euro companiei Spotify AB pentru încălcarea articolului 15 – Dreptul de acces la date, articolului 12.1, articolului 12.3, articolului 58 și articolului 83 – Condiții generale pentru impunerea amenzilor administrative, din GDPR.

IMY a auditat modul în care Spotify gestionează dreptul clienților de acces la datele cu caracter personal. IMY a constatat că Spotify furnizează persoanelor fizice datele cu caracter personal pe care compania le prelucrează, la solicitare, dar că aceștia nu sunt informați suficient de clar despre modul în care aceste date sunt utilizate de companie. Totodată, IMY a constatat anumite deficiențe în activitatea companiei Spotify.

Având în vedere acest lucru, numărul de utilizatori înregistrați și cifra de afaceri a Spotify, IMY a emis o amendă administrativă de aproximativ 5 milioane euro (58 milioane SEK), companiei Spotify pentru că nu a furnizat informații suficient de clare subiecților de date.

Totodată, IMY a constatat că Spotify nu a reușit să gestioneze solicitările de acces legate de plângerile examinate. Decizia în această parte include încălcarea articolelor 12.1, 12.3, 15.3 și 15.1 a-h și 15.2 din GDPR. În legătură cu aceste încălcări, IMY a emis o mustrare și un ordin de conformare referitor la cererea de acces a unui reclamant.

Buletin Informativ Nr. 14

516 Views

1. Activitățile de informare și instruire efectuate de CNPDCP

În primul semestru al anului curent, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a înregistrat progrese remarcabile în partea ce ține de activitățile de informare și sensibilizare a publicului larg cu domeniul protecției datelor cu caracter personal.

La data de 25 ianuarie curent, a fost aprobat și semnat de către conducătorii CNPDCP și Inspectoratul General al Poliției (IGP), planul de instruiri în cadrul subdiviziunilor IGP, astfel organizându-se mai multe cursuri de instruire. Scopul acestora, a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară. În cadrul evenimentelor au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații subdiviziunilor IGP; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc. Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

· 01 februarie – Inspectoratul de Poliție Anenii Noi al IGP

· 06 martie – Inspectoratul Național de Investigații (INI) al IGP

· 24 martie – Centrul pentru combaterea traficului de persoane al INI

· 07 aprilie – Inspectoratul Național de Securitate Publică (INSP) Direcția Centru al IGP

· 25 aprilie – Inspectoratul de Poliție Buiucani al DP Chișinău

· 05 mai – Inspectoratul de Poliție Ciocana al Direcției de Poliție

· 22 mai – Inspectoratul de Poliției Râșcani al Direcției de Poliție

· 05 iunie – Direcția Generală de urmărire Penală al IGP

· 23 iunie – Direcția de Poliție a UTA Găgăuzia

Totodată, au fost organizate cursuri de instruire pentru o serie de instrituții medicale cu genericul „Prevederi legale în domeniul protecției datelor cu caracter personal”. Scopul cursurilor de instruire a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. În cadrul evenimentelor au fost abordate subiecte, cum ar fi: definirea datelor cu caracter personal privind sănătatea; prelucrarea categoriilor obișnuite de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea; principii de prelucrare a datelor cu caracter personal; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; confidențialitatea și secretul profesional; divulgarea datelor cu caracter personal privind starea de sănătate; obligativitatea de asigurare a confidențialității și securității datelor cu caracter personal; reducerea la minimum a datelor și limitarea stocării, etc. Astfel, cursurile de instruire au avut loc:

· 09 iunie – IMSP Centrul Medicilor de Familie municipiul Bălți

· 21 iunie – IMSP Asociaţia Medicală Teritorială Centru

· 28 iunie – IMSP Clinica Universitară de Asistență Medicală Primară a USMF „Nicolae Testemițanu”

În perioada de referință a fost continuată campania de informare și sensibilizare pentru comunitățile școlare cu genericul: „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line”. Scopul campaniei, a fost de a oferi comunității școlare o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin. Tematicile abordate în cadrul instruirilor au vizat: noțiuni generale privind datele cu caracter personal; utilizarea corectă a pozelor/video în mediul online; riscurile și amenințările în mediul online; comunicarea pe rețelele de socializare, etc. Au fost organizate trei sesiuni de instruire în cadrul comunității școlare, și anume:

· 27 ianuarie – Instituția Publică Liceul Teoretic „Gheorghe Asachi”

· 17 mai – Instituția Publică Liceul Teoretic „Mircea Eliade”

· 18 mai – Instituția Publică Liceul Teoretic „Ion Creangă”

Totodată, CNPDCP a organizat cursuri de instruire pentru: reprezentanții bibliotecilor din mun. Chișinău și altor raioane ale Republicii; reprezentanții Companiei Naționale de Asigurări în Medicină; reprezentanții Direcției Generale de Învățământ Cahul; reprezentanții Serviciului Fiscal de Stat; reprezentanții Ministerului Afacerilor Interne și reprezentanții Agenției Naționale Transport Auto, la solicitarea acestora.

În acest context, în primul semestru al anului curent, formatorii din cadrul CNPDCP, au instruit circa 650 de reprezentanți din cadrul subdiviziunilor IGP, circa 210 reprezentanți ai instituțiilor medicale, circa 120 de elevi din cadrul instituțiilor de învățământ și circa 575 de reprezentanți ai altor instituții.

În aceași perioadă de referință, și anume în data de 29-30 martie, CNPDCP în colaborare cu experții proiectului TAIEX, au organizat Misiunea de experți TAIEX “Prelucrarea datelor cu caracter personal în scopuri statistice”, în format online. Obiectivul Misiunii de experți a constat în prezentarea celor mai bune practici europene legale și operaționale privind mecanismele de prelucrare și stocare a datelor cu caracter personal în scopuri statistice, de către Biroul Național de Statistică (BNS), schimbul de date între instituții și BNS, precum și a reglementărilor ce țin de securitatea acestor date. În cadrul evenimentului au participat circa 24 de reprezentanți ai instituțiilor publice.

2. Activitatea de control

În perioada ianuarie – iunie 2023, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 180 de cazuri. În perioada de referință, au fost emise 141 decizii, dintre care în 73 cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 34 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul bunurilor imobile (RBI), efectuate de către o autoritate publică locală (APL) și o autoritate publică centrală (APC).

În context, prin decizie s-a constatat că operațiunile de accesare a datelor cu caracter personal privind bunul imobil a subiectului de date au fost efectuate de către APC și APL cu încălcarea principiilor statuate la art. 4 alin. (1) lit. a), b) și art. 5 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, or aceste operațiuni au avut loc în lipsa unui scop determinat, explicit și legitim. Astfel, aspectul primordial ce a dus la constatarea încălcării prevederilor legale de către APL, a fost accesarea datelor în scop personal (pentru elaborarea tezei de master) și lipsa evidenței accesărilor în sistemele automatizate de către utilizatorii autorizați din cadrul APL, a datelor cu caracter personal. Cu referire la motivul constatării încălcării Legii nr. 133/2011 de către APC, menționăm că ultima nu a asigurat actualizarea informației privind utilizatorii cu drept de a accesa sistemul informațional automatizat de stat și nu a înștiințat autoritățile competente despre modificările raporturilor de serviciu (demisia din funcție a unui fost angajat), fapt care a generat accesarea datelor cu caracter personal în RBI și după încetarea raportului de muncă.

II. CNPDCP a efectuat un control în baza unei plângeri a unui subiect de date cu caracter personal, în care indică asupra pretinselor operațiuni neconforme de prelucrare a datelor cu caracter personal ce îl vizează, stocate în Registrul bunurilor imobile și efectuate de către o autoritate publică locală, precum și nerealizarea dreptului de acces la datele sale cu caracter personal.

Urmare a examinării cazului, CNPDCP prin decizie a constatat că, APL nu a reușit să răstoarne prezumția de ilegalitate a prelucrărilor de date cu caracter personal ale subiectului de date, fiind stabilită încălcarea Legii nr. 133/2011, deoarece s-a constatat faptul că, toți utilizatorii autorizați din cadrul APL care au avut acces la banca centrală de date din RBI utilizau același cont de acces, atribuit unei foste angajate din cadrul autorității, demisionată. În acest fel, operatorul a fost în imposibilitate de a duce evidența strictă a accesărilor. În ceea ce privește realizarea dreptului de acces la datele cu caracter personal ale subiectului de date, s-a demonstrat lipsa încălcării acestui aspect, deoarece s-a stabilit că APL a examinat cererea și a remis răspuns în adresa acestuia.

III. CNPDCP a examinat plîngerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul bunurilor imobile, efectuate de către un operator de date, fără consimțământul subiectului.

În cadrul investigației s-a constatat că, operațiunile de accesare a bunului imobil, ce-i aparține cu drept de proprietate subiectului de date, a fost efectuată în vederea organizării procedurii de creare și înregistrare a unei Asociații de coproprietari.

Respectiv, pe parcursul examinării prezentului caz, operatorul, în vederea justificării acțiunii de accesare/consultare a datelor cu caracter personal ce aparțin subiectului de date, efectuate prin intermediul Registrului bunurilor imobile, a făcut referire la contractul de prestare a serviciilor de consultare și colaborare, cât și art. 5 al Legii nr.133 din 08.07.2011 privind protecția datelor cu caracter personal.

Astfel, CNPDCP a determinat că, alegațiile invocate de către operatorul de date cu caracter personal, nu justifică și nu demonstrează necesitatea prelucrării datelor cu caracter personal ale subiectului, manifestată prin accesarea băncii centrale de date a cadastrului bunurilor imobile, or, prelucrarea datelor cu caracter personal urmează a fi efectuată cu condiția respectării principiilor de protecție a datelor cu caracter personal, având la bază unul din temeiurile legale prezentate la art. 5 al Legii nr. 133/2011.

În context, prin decizie s-a constatat că, operațiunea de accesare a datelor cu caracter personal privind bunul imobil a subiectului de date a fost efectuată cu încălcarea art. 4 alin. (1) lit. a), b) și art. 5 ale Legii nr. 133/2011 de către operatorul de date – persoană juridică, în lipsa unui scop determinat, explicit și legitim.

IV. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul de stat al populației, efectuate de către un utilizator autorizat al unei autorități publice.

În cadrul investigației s-a constatat că, deși ca temei al operațiunii de prelucrare a datelor cu caracter personal a fost indicat o cerere, s-a stabilit că cererea dată viza numele altei persoane.

În acest sens, CNPDCP nu a identificat vreun scop și temei legal ce ar fi permis utilizatorului autorizat din cadrul autorității publice de a prelucra (prin extragere) datele cu caracter personal ale subiectului de date, fără consimțământul acestuia și fără a avea în examinare un dosar/cerere.

În context, prin decizie s-a constatat că, operațiunea de prelucrare a datelor cu caracter personal ce vizează subiectul de date, a fost efectuată de către utilizatorul autorizat cu încălcarea prevederilor art. 4 alin. (1) lit. a) și b) și art. 5 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, în lipsa unui scop determinat, explicit și legitim și fără consimțământul subiectului datelor cu caracter personal.

V. CNPDCP a examinat demersul parvenit din partea Serviciului Fiscal de Stat (SFS) prin care a informat că, în rezultatul exercitării atribuțiilor de administrare fiscală, s-a constatat că un agent economic colectează și utilizează date cu caracter personal contrar prevederilor art. 5 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, ceea ce a servit drept motiv pentru inițierea verificării/investigării conformității operațiunilor de prelucrare a datelor cu caracter personal.

În fapt, potrivit materialelor anexate la demersul SFS, s-a constatat faptul că agentul economic a prelucrat datele cu caracter personal a 35 de persoane fizice, în lipsa consimțământului acestora sau a succesorilor persoanelor decedate, sau în lipsa altui temei legal prevăzut de art. 5 alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal.

În urma investigațiilor efectuate de CNPDCP, în corespundere cu prevederile art. 27 al Legii nr. 133/2011 privind protecția datelor cu caracter personal, prin decizia CNPDCP a fost constatată încălcarea prevederilor art. 4 alin. (1) lit. a), art. 5 alin. (1), (4) și art. 12 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către agentul economic în cauză la prelucrarea datelor cu caracter personal ale subiecților de date vizați în demersul SFS.

Totodată, CNPDCP a dispus inclusiv încetarea operațiunilor de prelucrare a datelor cu caracter personal ale subiecților de date vizați în demersul SFS și distrugerea copiilor buletinelor de identitate utilizate/obținute ilicit de către agentul economic.

Consecvent, în corespundere cu prevederile art. 20 alin. (1) lit. m) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a sesizat în ordine penală organul de urmărire penală a SFS, privind existența unor indicii rezonabile de falsificare a actelor de achiziții a mărfurilor, faptă prevăzută la articolul 3351 din Codul penal.

Mai mult, urmare a constatării încălcărilor menționate supra, CNPDCP a intervenit în ordine contravențională în privința agentului economic, prin întocmirea procesului-verbal cu privire la contravenție prin faptele prevăzute la art. 741 alin (1) și (3) din Codul contravențional.

VI. CNPDCP a fost sesizat cu privire la legalitatea activității paginii web cu denumirea www.numar.md, în care erau publicate anumite date cu caracter personal a mai multor persoane fizice, de către un reprezentant mass-media.

În urma analizării paginii web www.numar.md, a fost reținut că, prin intermediul acesteia, orice persoană putea să lase un comentariu, vizibil tuturor, asupra deținătorului oricărui număr de telefon mobil din Republica Moldova. Comentariile de pe pagina web aveau diferit conținut, atât informații biografice cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., cât și informații cu caracter calomnios și defăimător. Dezvăluirea în spațiul online, spre vizualizare nerestricționată a acestor informații putea prejudicia grav drepturile şi libertățile constituționale ale cetățenilor.

În rezultatul efectuării controlului, CNPDCP a determinat ca fiind neconform, mijlocul oferit pentru prelucrarea datelor cu caracter personal, prin publicarea pe pagina web www.numar.md a informațiilor ce conțin date cu caracter personal, cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., întrucât nu a fost stabilit existența unui scop determinat, explicit și legitim, nici existența unui temei legal de prelucrare a datelor cu caracter personal ce vizează deținătorii numerelor de telefonie mobilă din Republica Moldova, acțiuni săvârșite contrar prevederilor art. 4 alin. (1) lit. a), b), c) și art. 5 alin. (1) ale Legii 133/2011 privind protecția datelor cu caracter personal.

În acest context, ținând cont de prevederile art. 27 alin. (3) și alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a dispus prin Decizie: constatarea in rem a încălcării prevederilor Legii nr. 133/2011, la prelucrarea datelor cu caracter personal prin intermediul paginii www.numar.md, constatarea indisponibilității în rețeaua de internet a paginii www.numar.md, precum și sesizarea IP „Serviciului Tehnologia Informației și Securitate Cibernetică” în vederea examinării posibilității intervenirii prin prisma competențelor, statuate la pct. 33 subpct. 7) al Regulamentului cu privire la gestionarea domeniului de nivel superior .md, aprobat prin Hotărârea ANRCETI nr. 42/2020.

Finalmente, se notează că scopul care a stat la baza autosesizării Autorității de control, manifestat prin dorința de a contracara prelucrarea neconformă a datelor cu caracter personal, a fost atins odată cu indisponibilitatea/devenirea inactivă a paginii web www.numar.md, care constituia un mijloc de dezvăluire abuzivă a informațiilor personalizate ale unui număr impunător de subiecții de date.

4. Activitatea de supraveghere

La data de 10 ianuarie 2022, prin Legea nr. 175/2021 pentru modificarea unor acte normative, a fost instituită obligația operatorului și a persoanei împuternicite de operator de a desemna o persoană responsabilă cu protecția datelor cu caracter personal, în cazurile prevăzute de art. 25 al Legii nr. 133/2011 privind protecția datelor cu caracter personal.

În acest sens, CNPDCP a lansat un ciclu de instruiri a persoanelor responsabile cu protecția datelor cu caracter personal. Obiectivul de bază al instruirilor este dezvoltarea cunoștințelor teoretice în domeniul protecției datelor cu caracter personal și a deprinderilor practice privind aplicarea actelor normative și cerințelor legislației din domeniu. Astfel, în perioada de referință, au fost instruite 28 persoane. Totodată, în conformitate cu prevederile statuate la art. 25 alin. (6) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale persoanei responsabile cu protecția datelor și de a le comunica CNPDCP. În acest context, CNPDCP a recepționat 21 scrisori, prin intermediul cărora a fost informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective, preponderent de la entitățile private.

Simultan, a fost ajustat și plasat pe pagina web oficială a CNPDCP, la compartimentul „Operator de date/Recomandările CNPDCP”, „Aspecte practice și legale în legătură cu instalarea și gestionarea mijloacelor de supraveghere video”, ținând cont de intrarea în vigoare a Legii Nr. 187 din 14-07-2022 cu privire la condominiu.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 220 consultații telefonice și 15 răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date cu caracter personal.

5. Știri internaționale și europene

ü În cadrul proiectului de cooperare regională în domeniul transformării digitale și reingineriei serviciilor publice, în perioada 6-10 februarie, la Paris, Franța, a avut loc prima Academie, cu genericul “Proiectarea și furnizarea serviciilor în era digitală”. Scopul acestei Academii a fost de a permite crearea de rețele și schimbul intensiv privind reproiectarea serviciului public:

a) la nivel național, între instituțiile cheie ale statului, cum ar fi agențiile de dezvoltare a serviciului public și instituțiile de protecție a datelor cu caracter personal;

b) la nivel regional, între țările Parteneriatului estic; și

c) la nivel internațional, între țările Parteneriatului estic și statele membre ale UE.

Astfel, în scopul preluării bunelor practici în cadrul Academiei a fost efectuată o vizită de studiu și la Ministerul Transformării și Serviciului Public, în cadrul căreia reprezentantul CNPDCP a fost familiarizat cu situația actuală a transformării funcției publice din Franța, îmbunătățirii serviciilor publice (servicii publice digitale centrate pe om), monitorizării și transparenței implementării reformelor guvernamentale, etc.

ü În semestrul I anul 2023, reprezentanții CNPDCP au participat la 3 ședințe plenare cu prezența fizică și 3 on-line ale Comitetului European pentru Protecția Datelor (EDPB). În cadrul plenarelor au fost discutate și adoptate în varianta finală mai multe documente, printre care:

· Orientările 05/2021 privind interacțiunea dintre aplicarea art. 3 și dispozițiile privind transferurile internaționale conform capitolului V din GDPR;

· Orientările 07/2022 privind certificarea ca instrument pentru transferuri;

· Procedura de adoptare a avizelor EDPB privind criteriile naționale de certificare și sigilii europene pentru protecția datelor;

· Ghidul 01/2022 privind drepturile subiecților de date – Dreptul de acces

· Orientările privind calcularea amenzilor administrative;

· Orientările privind tehnologia de recunoaștere facială în domeniul aplicării legii;

La 25 mai curent a fost aleasă noua conducere a EDPB, D-na Anu Talus (FI SA) este noul președinte al Comitetului European pentru Protecția Datelor și D-na Irene Loizidou Nikolaidou (CY DPA) noul vicepreședinte.

ü În perioada 10-12 mai, a avut loc cea de-a 31-a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor (AEPD), desfășurată în Budapesta, Ungaria. Anul acesta evenimentul a fost găzduit pentru a treia oară de Autoritatea Maghiară pentru Protecția Datelor.

Pe parcursul sesiunilor de lucru, au fost prezentate subiecte de actualitate din domeniul protecției datelor, precum:

· noile tehnologii – evaluarea impactului social al utilizării noilor tehnologii în diferite domenii;

· interacțiunea dintre protecția datelor și Legea concurenței;

· hotărârile de judecată: rezoluții și modificări ale Regulamentului de procedură; și

· cele mai bune practici/studii de caz în cooperarea de aplicare a legislației între SEE și țările din afara SEE.

Pentru prima data în cadrul unei Conferințe de primăvară a AEPD, a fost organizată ziua ușilor deschise. Această practică a oferit posibilitatea mai multor instituții, ONG-uri și altor organizații, care și-au manifestat interesul pentru subiectele abordate în cadrul evenimentului, să participe on-line.

La eveniment au participat reprezentanți ai Autorităților pentru Protecția Datelor din Europa Centrală și de Est, CoE, CEPD, AEPD, în cadrul căruia au avut oportunitatea de a face un schimb de experiență și bune practici în domeniul protecției datelor cu caracter personal, inclusiv în ceea ce privește rolul Responsabilului cu Protecția Datelor în cadrul unei entități publice sau private.

ü În perioada 14-16 iunie a avut loc cea de-a 44-a ședință plenară a Comitetul Consultativ al Convenției 108. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

· Convenția 108+, ratificările și aderările actuale;

· protecția datelor cu caracter personal pentru Combaterea Spălării Banilor și a Finanțării Terorismului;

· clauze contractuale în contextul fluxurilor transfrontaliere de date;

· interpretarea articolului 11 din Convenția 108 +;

· protecția datelor cu caracter personal, inclusiv a datelor biometrice în procesul electoral;

· cooperarea cu alte entități ale CoE;

· evoluții și activități majore în domeniul protecției datelor, etc.

Totodată, delegația CNPDCP s-a expus cu privire la stadiul ratificării Protocolului de modificare CETS nr.223 la Convenția 108. Menționăm că, la 09 februarie 2023, în baza Decretului Președintelui Republicii Moldova nr. 757/2002, Republica Moldova a semnat Protocolul de modificare a Convenției 108 pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, iar în Planul de acțiuni al Guvernului RM pentru anul curent este planificată acțiunea de promovare a măsurilor de ratificare a protocolului.

6. Alte autorități pentru protecția datelor

· La data de 22 mai, a fost anunțată decizia finală a Autorității irlandeze de supraveghere (DPA IE) din 13 aprilie 2023, cu privire la aplicarea amenzii în valoare de 1.2 miliare de euro companiei Meta Platforms Ireland Limited (Meta IE). Această amendă, care este cea mai mare amendă pentru încălcarea GDPR, a fost aplicată pentru transferurile de date cu caracter personal efectuate de către compania Meta către SUA pe baza clauzelor contractuale standard (SCC), începând cu 16 iulie 2020. În plus, Meta a fost obligată să își dirijeze transferurile de date în conformitate cu capitolul V din GDPR, prin încetarea prelucrării ilegale, inclusiv a stocării, în SUA a datelor cu caracter personal ale utilizatorilor europeni transferate cu încălcarea GDPR, în termen de 6 luni de la notificarea deciziei finale a DPA IE.

În decizia sa obligatorie din 13 aprilie 2023, EDPB a informat DPA IE ca să își modifice proiectul de decizie și să impună o amendă reprezentanței Meta în Irlanda. Având în vedere gravitatea încălcării, EDPB a constatat că punctul de pornire pentru calcularea amenzii ar trebui să fie între 20% și 100% din maximul legal aplicabil.

Decizia finală a IE DPA încorporează evaluarea juridică exprimată de EDPB în decizia sa obligatorie, adoptată în temeiul art. 65 alin. (1) lit. a) din GDPR, după ce DPA IE, în calitate de autoritate de supraveghere principală (LSA), a declanșat o procedură de soluționare a litigiilor cu privire la obiecțiile formulate de mai multe autorități de supraveghere vizate (CSA). Printre altele, CSA au emis obiecții care vizau includerea unei amenzi administrative și/sau a unui ordin suplimentar de punere în conformitate a prelucrării.

· La data de 16 mai, a fost anunțată decizia finală a autorității de supraveghere croată din 02 mai 2023, cu privire la impunerea amenzii administrative în valoare de 2 milioane și 265 de mii de euro companiei B2 Kapital d.o.o. pentru încălcarea art. 13, art. 28 și art. 32 din GDPR.

În decembrie 2022, Autoritatea de supraveghere croată a primit o plângere anonimă în care se afirma că B2 Kapital d.o.o. a prelucrat în mod ilegal un număr mare de date cu caracter personal ale debitorilor. Împreună cu plângerea, B2 Kapital a primit stick-ul USB atașat, care conținea date cu caracter personal pentru un număr total de 77317 persoane fizice, care aveau datorii restante la organizațiile de creditare și care au fost achiziționate de către Agenția de colectare a creanțelor în baza contractului de cesiune. Aceleași date cu caracter personal au fost transmise pe un stick USB unei instituții de presă.

S-a stabilit că încălcarea a avut loc cel puțin din anul 2019 și că nu a fost remediată până în prezent, totul din cauza neaplicării măsurilor de protecție corespunzătoare.

· La data de 21 martie, a fost anunțată decizia finală a Autorității finlandeze de supraveghere din 17 februarie 2023, cu privire la aplicarea amenzii în valoare de 440 mii de euro companiei Suomen Asiakastieto Oy pentru că nu a șters înregistrările inexacte privind neîndeplinirea obligațiilor de plată salvate în registrul informațiilor de credit din cauza unor practici inadecvate. Autoritatea de Supraveghere a subliniat faptul că o înscriere de neplată are un impact semnificativ asupra drepturilor și libertăților unei persoane fizice.

În 2021, Autoritatea de Supraveghere din Finlanda a cerut unui operator să își rectifice practicile de înregistrare a plăților neefectuate și să șteargă înregistrările inexacte bazate pe decizii definitive. Operatorul nu a contestat decizia și a fost contactat în ianuarie 2023 pentru evaluarea sancțiunilor. Totodată, acesta a recunoscut că a interpretat greșit ordinul și a șters toate înregistrările de neplată din registru. Autoritatea, însă, a constatat că operatorul a ales intenționat să nu se conformeze ordinului emis. Înregistrările inexacte ar fi putut fi șterse, având în vedere că informațiile despre neachitări erau disponibile în registrul hotărârilor judecătorești timp de 10 ani.

· O amendă administrativă în valoare de 5.200 000 euro a fost aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei CLEARVIEW AI pentru prelucrarea ilegală a datelor cu caracter personal prin intermediul tehnologiilor de recunoaștere facială.

Compania CLEARVIEW AI a colectat fotografii de pe o mulțime de site-uri web, inclusiv rețele sociale, și a vândut accesul la baza sa de date prin intermediul unui motor de căutare în care o persoană poate fi căutată cu ajutorul unei fotografii. Compania oferea acest serviciu și autorităților de aplicare a legii. Tehnologia de recunoaștere facială este utilizată pentru a interoga motorul de căutare și a găsi o persoană pe baza fotografiei sale.

Buletin Informativ Nr. 13

519 Views

1. Activitățile de informare și instruire efectuate de CNPDCP

Pe parcursul trimestrului IV al anului 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat 8 cursuri de instruire pentru autoritățile publice locale (APL) la care au participat circa 226 de persoane și 5 cursuri de instruire pentru autoritățile publice centrale (APC) și alte entități unde au fost instruiți circa 425 de reprezentanți, precum și 125 de participanți din cadrul Academiei de Administrare Publică și Mobiasbanca (OTP Bank).

Pentru APL instruirile au fost desfășurate după cum urmează:

– 11 octombrie – Consiliul Raional Cimișlia;

– 27 octombrie – Consiliul Raional Șoldănești;

– 04 noiembrie – Consiliul Raional Cantemir;

– 25 noiembrie – Consiliul Raional Ștefan Vodă;

– 18 noiembrie – Consiliul Raional Ocnița;

– 2 decembrie – Consiliul Raional Basarabeasca;

– 9 decembrie – Consiliul Raional Criuleni și Dubăsari;

– 20 decembrie – Consiliul Raional Taraclia.

În ceea ce privește alte entități, CNPDCP a organizat instruiri pentru:

– reprezentanții Băncii Naționale a Moldovei la data de 10 și 17 octombrie;

– Academia de Administrare Publică – la data de 18 octombrie;

– Mobiasbanca (OTP Bank) – la data de 22 și 24 noiembrie;

– Serviciului Vamal – la data de 17 octombrie, precum și în perioada 19-21 decembrie.

Astfel, în perioada menționată, CNPDCP a reușit să instruiască un număr semnificativ de persoane din întreaga țară.

Mai mult, este de menționat că pe parcursul anului 2022 a fost asigurată instruirea tuturor APL-urilor din Republica Moldova.

De asemenea, în aceeași perioadă, în vederea diseminării domeniului protecției datelor cu caracter personal, CNPDCP a organizat un Atelier de lucru pentru elevii claselor a V-VI-a din IPLT „Gheorghe Asachi” mun. Chișinău. Atelierul de lucru a avut drept scop de a informa și sensibiliza elevii cu domeniul protecției datelor cu caracter personal și siguranța copiilor în mediul on-line prin promovarea responsabilizării celor mai bune practici de intervenție și sprijin.

2. Activitatea de control

În perioada octombrie-decembrie 2022, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 53 cazuri. În perioada de referință, au fost emise 57 decizii, dintre care în 17 cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 31 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

În cadrul investigației s-a constatat că, operațiunile de accesare a bunului imobil, ce-i aparține cu drept de proprietate subiectului de date, a fost efectuată cu scopul de a cumpăra un bun imobil ce se află în aceeași zonă, însă, careva probe ce ar confirma cele invocate nu au fost prezentate de către operator.

Totodată, CNPDCP a constatat faptul că, în speță, operatorul de date cu caracter personal, nu a oferit declarații ce ar justifica, în mod special, necesitatea accesării efectuate în raport cu datele cu caracter personal ale subiectului de date și a demonstrării legăturii de cauzalitate dintre datele cu caracter personal ale proprietarului bunului și scopul accesării acestuia.

În context, prin decizie s-a constatat că operațiunea de accesare a datelor cu caracter personal privind bunul imobil a subiectului de date a fost efectuată cu încălcarea art. 4 alin. (1) lit. a), b) și art. 5 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, de către o persoană fizică, în lipsa unui scop determinat, explicit și legitim.

II. În adresa CNPDCP a parvenit plângerea unui subiect de date cu caracter personal, care a solicitat verificarea legalității operațiunilor de prelucrare a datelor cu caracter personal ce-l vizează, efectuate de către 8 (opt) entități (în continuare – operatori de date), manifestate prin accesarea datelor cu caracter personal stocate în mai multe sisteme de evidență automatizate (RSP, RST, RBI, etc.), fiind peste 400 de accesări, precum și nerealizarea dreptului de acces la datele cu caracter personal ce vizează petentul.

În aceste circumstanțe, CNPDCP a dispus examinarea legalității operațiunilor de prelucrare a datelor cu caracter personal ale subiectului de date efectuate de către fiecare operator în parte.

Astfel, în rezultatul investigațiilor, în privința a trei operatori de date CNPDCP a constatat că operatorii de date au prelucrat datele cu caracter personal ale subiectului de date respectând cerințele Legii nr.133/2011, pe când în privința a cinci operatori de date, CNPDCP a constatat încălcarea prevederilor Legii precitate, or, operatorii de date nu au putut justifica scopul și temeiul legal al operațiunilor de prelucrare a datelor cu caracter personal ale subiectului de date, fie nu au putut identifica datele utilizatorilor care au efectuat anumite operațiuni de consultare/vizualizare a datelor cu caracter personal ale subiectului de date și, respectiv, nu a fost posibil de identificat scopul prelucrării.

Totodată, în privința unui operator de date-persoană juridică, CNPDCP a stabilit că, deși petentul și-a realizat dreptul de acces la datele sale cu caracter personal prelucrate de către entitate, expediind o cerere în sensul art. 13 al Legii nr133/2011 în adresa operatorului, ultimul nu i-a oferit un răspuns la cele solicitate, contrar dispozițiilor legale precitate.

III. CNPDCP a examinat sesizarea parvenită de la Direcția inspectare efectiv a Inspectoratului General al Poliției prin care se reclamă pretinse fapte ilegale admise la prelucrarea datelor cu caracter personal ale unui subiect de date de către angajații poliției din cadrul unui Inspectorat de poliție teritorial.

În context, CNPDCP a determinat că, caracteristica și cazierul contravențional pe numele subiectului de date, documente ce reflectă datele cu caracter personal – anul nașterii, numărul de identificare de stat (IDNP), datele din certificatul de înmatriculare, situația familială, adresa de domiciliul/reședința, comportamentul (caracterizează persoana), datele personale referitoare la sancțiunile contravenționale aplicate au fost emise și eliberate de către persoana cu funcție de răspundere din cadrul autorității publice, în lipsa unui temei legal și a consimțământului subiectului de date, fără a avea o adresare/solicitare din partea subiectului vizat, a avocatului în interesele acestuia, inclusiv în lipsa solicitării înaintată de instanța de judecată de a fi eliberate aceste acte, acțiuni ce contravin condițiilor de drept prevăzute de art. 4 alin. (1) lit. a), art. 5, art. 8 și art. 9 din Legea nr. 133 din 8 iulie 2011 privind protecția datelor cu caracter personal.

4. Activitatea de supraveghere

În conformitate cu prevederile statuate la art. 25 alin. (6) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale persoanei responsabile cu protecția datelor și de a le comunica CNPDCP. Astfel, în perioada de referință, CNPDCP a recepționat 11 scrisori, prin intermediul cărora a fost informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective, preponderent de la entitățile private.

Simultan, au fost elaborate și plasate pe pagina web oficială a CNPDCP, la compartimentul „Operator de date/Recomandările CNPDCP”, următoarele ghiduri/linii directorii: „Ghidul privind evaluarea impactului asupra protecției datelor cu caracter personal (DPIA)” și „Liniile directorii privind prelucrarea datelor cu caracter personal în cadrul sistemelor de supraveghere video”.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 204 consultații telefonice și 21 de răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorul de date.

5. Știri internaționale și europene

La data de 10 octombrie, a avut loc cea de-a 70-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a fost organizată la Bruxelles, Belgia.

În cadrul Plenarei, CEPD au fost adoptate mai multe documente, printre care:

· Unul din principalele subiecte s-a referit la adoptarea de către CEPD a unei liste de aspecte din dreptul procedural național pe care dorește să le armonizeze la nivelul UE pentru a facilita aplicarea GDPR-ului. Această așa numită „listă de dorințe” este una dintre acțiunile-cheie stabilite în declarația de la Viena a CEPD privind cooperarea în materie de aplicare a legislației.

· Un aviz privind aprobarea de către Comitet a criteriilor de certificare Europrivacy prezentate de autoritatea luxemburgheză pentru protecția datelor. Acest aviz marchează aprobarea primului sigiliu european pentru protecția datelor de către CEPD, în conformitate cu art. 42 paragraful (5) din GDPR. Mecanismul de certificare Europrivacy este un sistem general care vizează o gamă largă de operațiuni de prelucrare diferite efectuate atât de operatori, cât și de persoane împuternicite de către operatori din diverse sectoare. Mecanismul include criterii specifice care îl fac scalabil și aplicabil la anumite operațiuni de prelucrare sau sectoare de activitate.

· O declarație privind euro digital. În declarația sa, CEPD a reiterat importanța asigurării confidențialității și a protecției datelor prin concepție și implicit în cadrul acestui proiect, recomandând ca euro digital să fie disponibil atât online, cât și offline de-a lungul unui prag sub care nu este posibilă urmărirea, pentru a permite anonimatul deplin al tranzacțiilor zilnice.

În perioada 19 – 20 octombrie, la Bruxelles, Belgia, a avut loc reuniunea Subcomitetului RM – UE pentru Libertate, Securitate și Justiție (Subcomitetul LSJ).

În cadrul reuniunii au fost discutate subiecte ce vizează evoluția în domeniul protecției datelor cu caracter personal, reforma sectorului justiției, prevenirea și combaterea crimei organizate a corupției și a altor activități ilegale, spălarea banilor și finanțarea terorismului.

De asemenea, în cadrul reuniunii au fost prezentate progresele înregistrate în domeniile sus-menționate de la ultima reuniune care a avut loc în perioada 12-13 octombrie 2021, în regim online. Reuniunea a întrunit inclusiv reprezentanți ai mai multor autorități din Republica Moldova, precum: Centrul Național Anticorupție; Procuratura Generală; Autoritatea Națională de Integritate; Ministerul Afacerilor Interne; Institutul Național al Justiției; Serviciul Prevenirea și Combaterea Spălării Banilor.

În perioada 9 – 11 noiembrie, Misiunea OSCE în Moldova, în colaborare cu Misiunea OSCE pentru prevenirea conflictelor din Viena, a continuat proiectul intitulat „Grupul Comun de Lucru al Experților” început anul trecut. Evenimentul s-a desfășurat la Viena, Austria și a avut drept scop consolidarea capacităților pentru persoanele de gen feminin ce dețin poziții de conducere. Obiectivul proiectului, a fost de a permite femeilor copreședinți și femeilor ce dețin posturi cheie să participe mai eficient la activitatea grupurilor de lucru mixte de experți în procesul de reglementare transnistreană, prin îmbunătățirea competențelor tehnice și prin consolidarea de relații personale între reprezentanții părților. În cadrul evenimentului au fost abordate mai multe subiecte, printre care: dinamica de gen; analiza conflictelor în funcție de gen; comportamente în negociere; lărgirea spațiului de manevră în procesele de negociere, etc.

La data de 14 noiembrie, a avut loc cea de-a 71-a Ședință Plenară a Comitetului European pentru Protecția Datelor, care s-a desfășurat on-line.

În cadrul ședinței plenare, CEPD a adoptat Recomandări privind cererea de aprobare și elementele/principiile care trebuie să se regăsească în regulile corporative obligatorii pentru operatori (BCR-C). BCR-C reprezintă un instrument de transfer care poate fi utilizat de un grup de întreprinderi, angajate într-o activitate economică comună, pentru a transfera date cu caracter personal în afara Spațiului Economic European către operatori sau persoane împuternicite de către operator din cadrul aceluiași grup. BCR-urile creează drepturi executorii și stabilesc angajamente în vederea stabilirii unui nivel de protecție a datelor echivalent, în esență, cu cel prevăzut de GDPR.

Scopul acestor recomandări este de a:

· furniza un formular standard actualizat de cerere pentru aprobarea BCR-C;

· să clarifice conținutul necesar al BCR-C și să ofere explicații suplimentare;

· să facă o distincție între ceea ce trebuie să fie inclus într-un BCR-C și ceea ce trebuie prezentat autorității principale de protecție a datelor în cererea BCR;

Un al doilea set de recomandări pentru persoanele care prelucrează BCR este în curs de elaborare.

În perioada 16-18 noiembrie, a avut loc cea de-a 43 Ședință Plenară a Comitetului Consultativ al Convenției 108 pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, la Strasbourg, Franța. Evenimentul, organizat cu prezența fizică, după trei ani de întâlniri online/hibride, a adunat aproximativ 80 de participanți din toate regiunile lumii, timp de trei zile pentru a lucra și a face schimb de opinii cu privire la diverse aspecte de actualitate ce țin de domeniul protecției datelor cu caracter personal și pentru a contribui la dezvoltarea unor politici comune.

Printre temele discutate în cadrul acestei sesiuni au fost:

· Identitatea digitală;

· Model de clauză contractuală pentru transferul de date cu caracter personal;

· Cooperarea cu alte organisme și entități ale Consiliului Europei;

· Comitetul a organizat alegerile și au ales noul Birou;

· Observatori – Comitetul a examinat și a aprobat două cereri de participare la reuniunile Comitetului introduse de Organizația Statelor Americane și, respectiv, de Autoritatea pentru protecția datelor din Burkina Faso;

· Următoarele reuniuni 2022 și 2023 – Comitetul a comunicat despre datele următoarelor reuniuni plenare, care vor avea loc la 14-16 iunie 2023 și 15-17 noiembrie 2023, precum și de următoarele reuniuni ale Biroului din 15- 16 decembrie 2022, 22-24 martie 2023, 27-29 septembrie 2023 și 12-14 decembrie 2023;

· Premiul Stefano Rodotà – Cei doi câștigători ai Premiului Rodotà 2022 și-au prezentat lucrările în fața Comitetului și au primit premiile.

În perioada 18-19 noiembrie, la Tbilisi, Georgia, reprezentanții CNPDCP au participat la Atelierul European de gestionare a cazurilor 2022.

Evenimentul s-a axat pe probleme de actualitate în domeniul protecției datelor cu caracter personal și confidențialitate, în special cum ar fi:

· Etapele parcurse în cadrul investigațiilor de către angajații autorităților;

· Protecția datelor sociale indicații și excepții în legislația națională;

· Transmiterea internațională de date cu caracter personal;

· Date personale și inteligență artificială;

· Principalele provocări cu care se confruntă autoritățile de supraveghere a datelor, etc.

Prezenți la eveniment, reprezentanții CNPDCP au abordat tematica – „Experiența Republicii Moldova și metodologia de examinare a plângerilor subiecților de date ce vizează copiii”. Invitația de participare la Atelier a venit din partea Serviciului de Protecție a Datelor cu Caracter Personal din Georgia, care desfășoară controlul legalității prelucrării datelor cu caracter personal din anul 2013. Evenimentul a întrunit circa 50 de participanți din 26 de țări europene.

În perioada 12 – 14 decembrie, a avut loc reuniunea organizată în cadrul proiectul Cyber East: Acțiune privind criminalitatea cibernetică pentru reziliență în regiunea Parteneriatului Estic și a cuprins două evenimente majore, precum, ce-a de-a 6-ea ședință a Comitetului Director al Proiectului CyberEast EU-CoE și Ședința regională privind raportarea cibernetică și schimbul de date prin care se propune de a sprijini țările din Parteneriatului estic în construirea și menținerea parteneriatelor cu entitățile din sectorul privat, în principal furnizori de servicii Internet (ISP), pentru consolidarea mecanismelor de cooperare și încredere între sectorul privat, cetățeni și autoritățile de justiție penală, la Tbilisi, Georgia. În cadrul reuniunii au fost abordate mai multe subiecte, printre care:

· Raportarea crimelor cibernetice/securității cibernetice. Provocări legate de raportare;

· Clasificarea incidentelor cibernetice/crimelor cibernetice. Utilizarea taxonomiilor și necesitatea acestora;

· Exemple de sisteme de raportare: idei de îmbunătățire pentru sistemele naționale;

· SOPs naționale și segregarea atribuțiilor;

· Cooperarea între sectorul public și cel privat în Ucraina: accent pe noua legislație procedurală și utilizarea procedurilor/modelelor;

· Ce tipuri de date și cum pot fi împărtășite de CSIRT-uri.

În perioada 13 – 14 decembrie, a avut loc cea de-a 73-a Ședință Plenară a Comitetului European pentru Protecția Datelor, care a fost organizată la Bruxelles, Belgia. În cadrul Ședinței, CEPD a adoptat o declarație cu privire la recenta hotărâre C-817/19 a Curții de Justiție a Uniunii Europene (CJUE) privind utilizarea datelor din fișa cu numele pasagerilor (PNR) pentru prevenirea, depistarea, investigarea și urmărirea penală a infracțiunilor de terorism și a infracțiunilor grave, în temeiul Directivei PNR 2016/681. În declarația sa, CEPD solicită statelor membre ale UE să ia toate măsurile necesare la nivel legislativ și/sau administrativ pentru a se asigura că transpunerea și punerea în aplicare la nivel național a Directivei PNR sunt în conformitate cu Carta Drepturilor Fundamentale a UE, astfel cum a fost interpretată de CJUE. În acest sens, CEPD ia act de faptul că autoritățile de protecție a datelor sunt pe deplin competente să investigheze conformitatea cu cerințele UE în materie de protecție a datelor la nivel național.

În perioada 15 – 16 decembrie, a avut loc cea de-a 57-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

· Convenția 108+, ratificările și aderările actuale;

· Identitatea digitală;

· Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

· Clauze contractuale în contextul fluxurilor transfrontaliere de date;

· Interpretarea articolului 11 din Convenția 108 modernizată;

· Evoluții și activități majore în domeniul protecției datelor;

· Cooperarea cu alte organisme și entități ale Consiliului Europei.

6. Alte autorități pentru protecția datelor La data de 19 octombrie, Autoritatea Franceză pentru Protecția Datelor (CNIL) a emis o amendă administrativă în valoare de 20 milioane de euro companiei Clearview AI pentru încălcarea articolelor 6, 12, 15, 17 și 31 din GDPR.

CNIL a primit numeroase plângeri de la persoane fizice cu privire la software-ul de recunoaștere facială Clearview AI și a inițiat o anchetă.

În urma investigațiilor, CNIL a constatat mai multe încălcări, cum ar fi:

· Prelucrarea ilegală a datelor cu caracter personal (încălcarea articolului 6 din GDPR);

· Nerespectarea drepturilor subiecților de date (articolele 12, 15 și 17 din GDPR);

· Lipsa de cooperare cu CNIL (articolul 31 din GDPR).

Pe baza informațiilor care i-au fost aduse la cunoștință, CNIL a decis să impună o sancțiune financiară maximă de 20 de milioane de euro, în conformitate cu articolul 83 din GDPR.

În ceea ce privește riscurile foarte grave pentru drepturile fundamentale ale subiecților de date care rezultă din prelucrarea efectuată de companie, CNIL a dispus Clearview AI să înceteze colectarea și prelucrarea datelor cu caracter personal a persoanelor fizice rezidente în Franța fără un temei juridic și să șteargă datele acestor persoane pe care le-a colectat deja, în termen de două luni, adăugând la această somație o penalitate de 100 000 de euro pe zi de întârziere dincolo de aceste două luni.

La data de 24 noiembrie, Autoritatea Franceză pentru Protecția Datelor (CNIL) a emis o amendă administrativă în valoare de 600 000 de euro aplicată companiei Élécricité de France (EDF) pentru încălcarea articolelor 7, 13, 14, 32 din GDPR, a Codului poștal și al comunicațiilor electronice.

CNIL, a primit numeroase plângeri privind dificultățile întâmpinate de persoanele fizice în ceea ce privește luarea în considerare a drepturilor lor de către compania EDF, care este primul producător de energie din Franța.

În urma investigațiilor, CNIL a constatat mai multe încălcări, cum ar fi:

· Omisiunea obligației de a colecta consimțământul persoanelor fizice pentru a primi prospecțiuni comerciale prin e-mail (articolele L. 34-5 din Codul poștal și al comunicațiilor electronice și 7 din GDPR);

· Nerespectarea obligației de informare și de exercitare a drepturilor subiecților de date (articolele 13 și 14 din GDPR);

· Neasigurarea securității datelor cu caracter personal (articolul 32 din GDPR).

Cuantumul amenzii a fost decis prin prisma încălcărilor constatate precum și a tuturor măsurilor luate de furnizorul francez de energie în cursul procedurii pentru a se conforma.

La data de 02 noiembrie, Autoritatea Portugheză pentru Protecția Datelor (CNPD) a emis o amendă în valoare de 4,3 milioane de euro companiei Portuguese National Statistics Institute (INI) pentru încălcarea art. 9 alin. (1); art. 12; art. 13; art. 28 alin. (1), (6) și (7); art. 35 alin. (1), (2) și (3) lit. b); art. 44; art. 46 și art. 83 din GDPR.

CNPD a primit mai multe plângeri cu privire la recensământul național. Pentru efectuarea recensământului, INE a utilizat serviciile CDN (rețea de livrare de conținut) ale unei companii americane, Cloudflare, Inc., cu peste 200 de centre de date răspândite în peste 100 de țări. În acel moment, aproximativ 2,5 milioane de formulare, care conțineau datele cu caracter personal a peste șase milioane de cetățeni cu reședința în Portugalia, fuseseră deja transmise către INE.

În urma anchetei ulterioare, CNPD a identificat cinci încălcări ale GDPR-ului în contextul prelucrării datelor recensământului din 2021, cu privire la următoarele aspecte:

· Lipsa legalității pentru prelucrarea categoriilor speciale de date cu caracter personal (art. 9 alin. (1) din GDPR);

· Nerespectarea obligațiilor de transparență (art. 12 și 13 din GDPR), în special în ceea ce privește furnizarea oricăror informații referitoare la operațiunile de prelucrare, de exemplu prin afișarea unei notificări privind confidențialitatea pe site-ul INE;

· Lipsa Evaluării Impactului asupra Protecției Datelor (art. 35 alin. (1), (2) și (3) lit. b) din GDPR);

· Lipsa diligenței necesare cu privire la alegerea persoanei împuternicite de către operator (art. 28 alin. (1), (6) și (7) din GDPR), și anume, prin acceptarea unui contract standard, care nu a fost evaluat în conformitate cu art. 28 alin. (3) din GDPR;

· Nerespectarea cerințelor legale pentru transferurile internaționale de date (art. 44 și art. 46 alin. (2) din GDPR), cum au fost interpretate de CJUE în Hotărârea Schrems II.

În acest context, urmare a faptelor și a raționamentului juridic, CNPD a stabilit că operatorul de date a încălcat diferite prevederi din GDPR referitor la prelucrarea datelor recensământului 2021 și, prin urmare, a decis, în temeiul articolului 58 alineatul (2) litera (i) și al articolului 83 din GDPR și al unor dispoziții naționale, să aplice operatorului de date o singură amendă în valoare de 4,3 milioane de euro. Această decizie este una finală, dar care poate fi contestată în instanțele naționale.

Buletin Informativ nr. 12

574 Views

Activitățile de informare și instruire efectuate de CNPDCP

La data de 10 iulie 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a celebrat 14 ani de activitate. Cu acest prilej, CNPDCP a organizat mai multe activități dedicate domeniului protecției datelor cu caracter personal. Printre activități se numără acțiunea stradală organizată la data de 11 iulie, cu genericul: „14 ani de la fondarea CNPDCP”. Scopul acțiunii a fost de a disemina informații utile vizând domeniul protecției datelor cu caracter personal trecătorilor, de a informa și încuraja cetățenii Republicii Moldova să acorde o atenție mai mare domeniului respectiv.

Totodată, în perioada de referință, CNPDCP a continuat procesul de instruire pentru reprezentanții autorităților publice locale (APL) și autorităților publice centrale (APC) în domeniul protecției datelor cu caracter personal. Scopul cursurilor de instruire a fost de a familiariza, sensibiliza și informa reprezentanții autorităților cu cele mai noi aspecte din domeniul protecției datelor. Principalele subiecte abordate au vizat: noțiuni generale privind datele cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; desemnarea persoanei responsabile cu protecția datelor cu caracter personal; specificul funcției și sarcinile responsabilului de protecția datelor. Astfel, cursurile de instruire au fost organizate pentru următoarele autorități:

– 15 iulie – Consiliul Raional Nisporeni;
– 20 iulie – DGETS;
– 04 august – Consiliul Raional Strășeni;
– 19 august – Consiliul Raional Hîncești;
– 02 septembrie – Consiliul Raional Anenii Noi;
– 22 septembrie – Consiliul Raional Leova.

În acest sens, în trimestrul III al anului curent, formatorii din cadrul CNPDCP, au instruit circa 197 reprezentanți din cadrul APL-urilor menționate supra și 64 reprezentanți din cadrul DGETS.

De asemenea, în aceeași perioadă, CNPDCP a elaborat o listă de Recomandări pentru prestatorii de servicii de instalare a sistemelor de supraveghere video în vederea oferirii consultațiilor beneficiarilor finali de servicii la montarea sistemelor de supraveghere video. Recomandările sunt disponibile pe pagina web oficială a instituției și pot fi accesate la compartimentul Operator de date, sub-compartimentul Recomandările CNPDCP.
Activitatea de control

În perioada iulie-septembrie curent, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 53 cazuri și au fost emise 54 decizii, dintre care în 33 cazuri s-a constatat încălcarea prevederilor legale. Totodată, în aceeași perioadă de către CNPDCP, au fost încheiate 30 de procese verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.
Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. CNPDCP a examinat plângerea unui subiect de date cu caracter personal care a sesizat pretinsul fapt de prelucrare neconformă a datelor cu caracter personal, stocate în Registrul bunurilor imobile, efectuate de către o administrație publică locală.

       În rezultatul soluționării plângerii CNPDCP a constatat că, administrația publică locală nu a      întreprins acțiunile corespunzătoare vizând măsurile organizatorice și tehnice necesare pentru protecția datelor cu caracter personal, contrar prevederilor art. 4 alin. (1) lit. a), art. 29 alin. (1), art. 30 alin. (1) ale Legii nr. 133/2011, nefiind asigurată confidențialitatea și securitatea datelor cu caracter personal în ceea ce privește riscurile prezentate de prelucrare și caracterul/natura datelor prelucrate în cadrul Băncii Centrale de Date a cadastrului bunurilor imobile, fără a monitoriza și implementa respectarea prevederilor acordului de prestare a serviciilor de acces la informație

Consecutiv, relevăm că față de autoritatea publică locală precitată, prin Decizie s-a dispus:

·Revizuirea drepturilor de acces ale utilizatorilor la Banca Centrală de date a cadastrului bunurilor imobile, după schimbarea de statut al utilizatorului/lor (demisie, concediere, detașare ș.a.) prin actualizarea listei utilizatorilor cu drept de acces la informație, conform acordului de prestare a serviciilor de acces la informație;

·Informarea I.P „Agenția Servicii Publice” despre modificarea utilizatorilor, în vederea revocării codurilor de identificare/autentificare a utilizatorului autorizat din cadrul autorității publice, cât și blocării accesului la informația din Banca Centrală de Date a cadastrului bunurilor imobile;

·Instituirea unui mecanism de ținere de către utilizatorii autorizați a evidenței manuale și/sau electronice a accesării/consultării datelor cu caracter personal prin intermediul Băncii Centrale a cadastrului bunurilor imobile, prin consemnarea datei și orei exacte a prelucrării datelor cu caracter personal, justificarea scopului, temeiului și necesității operațiunii efectuate, specificarea sistemului de evidență din care au fost prelucrate acestea, categoriile de date prelucrate;

·Aducerea la cunoștință/instruirea efectivului din cadrul subdiviziunii din subordine, despre neadmiterea accesării/utilizării neautorizate a informației din Banca de Date a cadastrului bunurilor imobile și altor sisteme informaționale.

II. CNPDCP a examinat plângerea a doi subiecți de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, efectuate de către o administrație publică locală, stocate în Registrul bunurilor imobile.

        În cadrul investigației s-a constatat că, operațiunile de accesare a bunului imobil, ce aparțin cu drept de proprietate subiecților de date, a fost efectuată de pe contul de utilizator creat pe numele unui fost angajat din administrația publică locală, care de 3 ani nu mai activa în cadrul entității, iar contul a fost utilizat de un număr nedeterminat de angajați din cadrul administrației publice locale vizate.

        În context, prin decizia CNPDCP s-a constatat că operațiunea de accesare a datelor cu caracter personal a subiecților de date a fost efectuată cu încălcarea art. 4 alin. (1) lit. a), b) și art. 5, art. 29 alin. (1), art. 30 alin. (1) ale Legii 133/2011 privind protecția datelor cu caracter personal, de către administrația publică locală, în lipsa unui scop determinat, explicit și legitim, exclusiv în condițiile în care accesarea a avut loc într-o zi declarată oficial nelucrătoare.

III. În alt caz, în urma verificărilor efectuate, CNPDCP a constatat încălcarea dreptului de acces la datele cu caracter personal a unui subiect de date de către o autoritate publică.

        În fapt circumstanțele ce au servit drept motiv pentru inițierea verificării conformității operațiunilor de prelucrare a datelor cu caracter personal a fost plângerea depusă de către un subiect de date care își exprima dezacordul cu răspunsul oferit de o subdiviziune a Ministerului Afacerilor Interne (MAI), prin neoferirea informațiilor comprehensive privitor la datele cu caracter personal ce-l vizează, prelucrate în cadrul Sistemului Informațional Automatizat „Registrul informației criminalistice și criminologice”, acțiune pe care petentul o considera a fi contrară prevederilor art. 13 alin. (1) al Legii 133/2011 privind protecția datelor cu caracter personal.

        În rezultatul examinării plângerii, CNPDCP a constatat încălcarea prevederilor art. 13 alin. (1) al Legii 133/2011 privind protecția datelor cu caracter personal, dispunând, prin decizie ca MAI să întreprindă acțiunile ce-i sunt impuse în vederea asigurării realizării dreptului de acces la datele cu caracter personal pentru subiecții de date, inclusiv la datele prelucrate în Sistemul Informațional Automatizat „Registrul informației criminalistice și criminologice”, fără a admite confuzii în ceea ce privește caracterul gratuit în realizarea dreptului de acces al oricărui subiect de date, recunoscut și garantat de art. 13 alin. (1) al Legii nr. 133/2011 privind protecția datelor cu caracter personal.
Activitatea de supraveghere

În conformitate cu prevederile Legii nr. 175/2021 pentru modificarea unor acte normative, care a intrat în vigoare la data de 10 ianuarie 2022, a fost instituită obligația desemnării persoanei responsabile cu protecția datelor cu caracter personal. Astfel, în perioada de referință, CNPDCP a recepționat 49 de scrisori, prin intermediul cărora este informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal, preponderent de la entitățile private.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 195 consultații telefonice și 26 de răspunsuri prin intermediul poștei electronice, fiind înaintate recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date.
Știri internaționale și europene

În perioada de referință, între Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) și Oficiul pentru Protecția Datelor din Republica Polonă a fost semnat Acordul de colaborare în domeniul protecției datelor cu caracter personal.

– La data de 12 iulie a avut loc cea de-a 67-ea ședință plenară a Comitetului European pentru Protecția Datelor (CEPD), care a fost organizată online.

• În cadrul sesiunii plenare CEPD și Autoritatea Europeană pentru Protecția Datelor (AEPD) au adoptat avizul lor comun privind propunerea Comisiei Europene pentru Spațiul european de date medicale (EHDS). Propunerea are ca scop facilitarea creării unei Uniuni Europene a sănătății și să permită UE să utilizeze pe deplin potențialul oferit de schimbul, utilizarea și reutilizarea sigură și securizată a datelor privind sănătatea. CEPD și AEPD recunosc că infrastructura pentru schimbul de date electronice de sănătate prevăzută în prezenta propunere EHDS are ca scop facilitarea schimbului de date privind sănătatea. Cu toate acestea, din cauza volumului mare de date electronice de sănătate care ar fi prelucrate, a naturii lor extrem de sensibile, a riscului de acces ilegal și a necesității de a asigura pe deplin o supraveghere eficientă de către autoritățile independente de protecție a datelor, CEPD și AEPD solicită Parlamentului European și Consiliului să adauge la propunere o cerință de stocare a datelor electronice de sănătate în SEE, fără a aduce atingere transferurilor ulterioare în conformitate cu capitolul V din GDPR.

– La data de 28 iulie a avut loc cea de-a 68-a ședință plenară a Comitetului European pentru Protecția Datelor, care a fost organizată online. În cadrul ședinței au fost discutate și adoptate o serie de documente, care urmează a fi o recomandare pentru autoritățile de protecție a datelor și anume:

• CEPD și AEPD au adoptat un aviz comun privind propunerea de regulament pentru prevenirea și combaterea abuzului sexual asupra copiilor. Propunerea vizează impunerea de obligații legate de detectarea, raportarea, eliminarea și blocarea materialelor online cunoscute privind abuzurile sexuale asupra copiilor, precum și de racolarea copiilor, furnizorilor de servicii de găzduire, de servicii de comunicare interpersonală, de magazine de aplicații software, de servicii de acces la internet și de alte servicii relevante. CEPD și AEPD consideră că abuzul sexual asupra copiilor este o infracțiune deosebit de gravă. Limitările drepturilor la viața privată și la protecția datelor trebuie, totuși, să respecte esența acestor drepturi fundamentale și să rămână limitate la ceea ce este strict necesar și proporțional.

• Două scrisori ca răspuns la Access Now și BEUC cu privire la TikTok. În aceste scrisori, CEPD subliniază acțiunea rapidă întreprinsă de autoritățile de supraveghere irlandeză, italiană și spaniolă în urma anunțului TikTok că nu va mai solicita consimțământul utilizatorilor pentru a trimite reclame personalizate, iar temeiul juridic pentru aceasta va fi interesul legitim al TikTok și al partenerilor săi.

• O decizie de soluționare a litigiilor în temeiul art. 65 GDPR. Decizia cu caracter obligatoriu urmărește să abordeze lipsa de consens cu privire la anumite aspecte ale unui proiect de decizie emis de autoritatea de supraveghere din Irlanda, în calitate de autoritate de supraveghere principală, în ceea ce privește Instagram (Meta Platforms Ireland Limited (Meta IE)) și obiecțiile ulterioare exprimate de unele dintre autoritățile de supraveghere vizate.

– În perioada 12-13 septembrie a avut loc cea de-a 69-a Ședință Plenară a Comitetului European pentru Protecția Datelor, care a avut loc în Bruxelles, Belgia. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

• Declarația referitoare la propunerea Comisiei Europene privind Codul de cooperare polițienească al UE. Prezenta propunere urmărește să consolideze cooperarea în domeniul aplicării legii între statele membre, în special schimbul de informații între autoritățile competente. Codul este compus din trei măsuri principale: propunerea de regulament Prüm II, propunerea de directivă privind schimbul de informații polițienești și propunerea de recomandare a Consiliului privind cooperarea operațională a poliției.

• Decizia CEPD asupra subiectului pentru cea de-a doua sa acțiune coordonată de aplicare a legii, care va viza desemnarea și poziția responsabilului cu protecția datelor. În cadrul unei acțiuni coordonate, CEPD va acorda prioritate unui anumit subiect pentru ca autoritățile de protecție a datelor să lucreze la nivel național. Rezultatele acestor acțiuni naționale vor fi apoi grupate și analizate, generând o perspectivă mai profundă asupra subiectului și permițând o urmărire țintită atât la nivel național, cât și la nivelul UE.
Alte autorități pentru protecția datelor

– La data de 07 iulie, Autoritatea Franceză pentru Protecția Datelor (APD) a emis o amendă în valoare de 175 000 de euro companiei UBEEQO International, pentru prelucrarea ilegală a datelor cu caracter personal. Dosarul face parte din tematica de control prioritar în 2020 referitor la noile utilizări ale datelor de geolocalizare în contextul mobilității. În acest sens, APD Franceză a verificat compania UBEEQO International, a cărei activitate este închirierea de vehicule pentru o perioadă scurtă. Investigațiile s-au concentrat în special pe datele colectate, perioadele de păstrare definite, informațiile furnizate subiecților de date și măsurile de securitate implementate. În urma investigațiilor, APD Franceză a constatat mai multe încălcări, cum ar fi:

• Nerespectarea obligației de a asigura minimizarea datelor (articolul 5.1.c din GDPR);

• Nedefinirea și nerespectarea unei perioade proporționale de păstrare a datelor (articolul 5.1.e din GDPR);

• Nerespectarea obligației de informare a subiectului de date (articolul 12 din GDPR).

– La data de 19 iulie, Autoritatea Elenă pentru Protecția Datelor (APD) a emis a amendă în valoare de 20 000 de euro Societății de Administrare a Datoriilor pentru prelucrarea ilegală a datelor cu caracter personal și examinarea neesențială a drepturilor de opoziție și ștergere. În urma investigațiilor, APD Elenă a constatat că, în acest caz particular, societatea reclamată a împiedicat în mod nejustificat exercitarea drepturilor reclamantului, cu încălcarea prevederilor stipulate la articolul 12 alineatul (2) din GDPR și că prelucrarea în cauză a avut loc fără un temei legal, dat fiind faptul că a existat deja o scutire judiciară de la datoriile reclamantului, cu încălcarea prevederilor articolelor 5(1)(a), 5(2) și (6) din GDPR.

– La data de 08 septembrie, Autoritatea Franceză pentru Protecția Datelor (CNIL) a emis o amendă în valoare de 250 000 de euro companiei INFOGREFFE, pentru încălcarea articolului 5.1.e și articolului 32 din GDPR. În urma unei plângeri, CNIL, a efectuat o investigație online a site-ului infogreffe.fr, care permite utilizatorilor să consulte informații juridice despre companii și să comande documente și certificate din registrele comerciale. Investigațiile s-au concentrat în special pe perioadele de păstrare a datelor cu caracter personal și pe măsurile de securitate implementate de grupul de interes economic INFOGREFFE, care furnizează serviciul de publicare a informațiilor juridice privind societățile comerciale prin intermediul site-ului. În urma investigațiilor s-a constatat:

• Nerespectarea obligației de păstrare a datelor cu caracter personal pentru o perioadă de timp proporțională cu scopul prelucrării (articolul 5.1.e din GDPR);

• Nerespectarea obligației de a asigura securitatea datelor cu caracter personal (articolul 32 din GDPR).

Buletin Informativ Nr. 11

652 Views

1. Activitățile de informare și instruire efectuate de CNPDCP

Pe parcursul trimestrului II al anului 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a înregistrat progrese în partea ce ține de activitățile de instruire pentru reprezentanții autorităților publice locale (APL) și a autorităților publice centrale (APC). Astfel, cursurile de instruire au avut drept scop consolidarea capacităților reprezentanților APL și APC prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. Cele mai importante subiecte abordate au fost, după caz: noțiuni generale privind datele cu caracter personal; prelucrarea categoriilor de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; persoana responsabilă cu protecția datelor cu caracter personal; evaluarea impactului asupra protecției datelor și consultarea prealabilă; desemnarea funcției și sarcinile responsabilului de protecția datelor. Cursurile de instruire au fost desfășurate pentru următoarele instituții/autorități:

– 8 aprilie – Consiliul municipal Bălți

– 19 aprilie – Consiliul Raional Rezina;

– 06 mai – Consiliul Raional Florești;

– 20 mai – Consiliul Raional Sîngerei;

– 03 iunie – Consiliul Raional Ungheni;

– 17 iunie – Consiliul Raional Călărași.

În acest sens, CNPDCP a instruit circa 215 reprezentanți ai APL-urilor din regiunile sus-menționate.

În partea ce ține de instruirile organizate pentru reprezentanții APC-urilor, CNPDCP a instruit circa 1310 reprezentanți ai: Serviciului Vamal; Serviciului Fiscal de Stat; Agenției Naționale pentru Siguranța Alimentelor și Secretariatului Parlamentului Republicii Moldova.

La data de 15 aprilie curent, CNPDCP a lansat campania de informare și sensibilizare pentru comunitățile școlare cu genericul: „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line”. Primul curs de instruire a fost organizat la IPLT „Onisifor Ghibu” din mun. Chișinău, publicul țintă fiind elevii claselor a IV-a. Scopul campaniei, este de a oferi comunității școlare o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin. Ulterior, la data de 6 mai au mai fost organizate două sesiuni de instruire în cadrul comunității școlare.

Tematicile abordate în cadrul instruirilor au vizat: noțiuni generale privind datele cu caracter personal; utilizarea corectă a pozelor/video în mediul online; riscurile și amenințările în mediul online; comunicarea pe rețelele de socializare.

De asemenea, în aceiași perioadă, de către CNPDCP au fost semnate două Acorduri de colaborare cu „Academia de Administrare Publică” și „Asociația Națională a Companiilor din Domeniul TIC”.

2. Activitatea de control

În perioada aprilie-iunie 2022, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 76 cazuri și au fost emise 50 decizii, dintre care în 32 cazuri s-a constatat încălcarea prevederilor legale. Totodată, în aceeași perioadă CNPDCP a constatat 37 de fapte contravenționale, au fost încheiate 34 de procese verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. Prelucrarea datelor cu caracter personal fără temei legal, manifestată prin accesarea datelor prin intermediul Registrului Bunurilor Imobile și încălcarea dreptului subiectului datelor cu caracter personal de acces la datele cu caracter personal.

CNPDCP în cadrul examinării unei petiții depuse de către un subiect de date, a emis o decizie prin care s-a constatat încălcarea prevederilor art. 4 alin. (1) lit. a) și b), art. 5 alin. (1) și art. 13 alin. (1) ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către o companie imobiliară, la prelucrarea datelor cu caracter personal ale petiționarului, manifestată atât prin accesarea datelor cu caracter personal ale subiectului de date, stocate în Registrul Bunurilor Imobile, cât și ignorarea cererii subiectului de date, prin care, ultimul a solicitat informații referitoare la motivele, scopul prelucrării datelor cu caracter personal ce îl vizează, realizându-și dreptul de acces asupra datelor cu caracter personal.

Astfel, în urma examinării cauzei s-a determinat că, operatorul de date cu caracter personal, a prelucrat datele cu caracter personal ale subiectului de date, stocate în Registrul Bunurilor Imobile, fără a avea un temei legal și fără consimțământul subiectului de date cu caracter personal, fiind reținută încălcarea, de către compania imobiliară a prevederilor art. 4 alin. (1) lit. a) și b) și art. 5 alin. (1) ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal.

Mai mult, compania imobiliară a ignorat cererea subiectului de date, nerealizându-i dreptul de acces la datele cu caracter personal ce vizează subiectul de date, prevăzut de art. 13 alin. (1) al Legii privind protecția datelor cu caracter personal.

II. Încălcarea regulilor de prelucrare și stocare a datelor cu caracter personal.

CNPDCP a fost sesizat prin plângere de către un subiect de date cu caracter personal precum că un operator de date, în lipsa consimțământului subiectului de date, efectuează plăți din numele acestuia pe contul bancar al persoanei juridice, astfel fiind prelucrate datele cu caracter personal – nume, prenume, numărul de identificare de stat.

În cadrul investigației s-a reținut că, o angajată a unei bănci, pe parcursul anului 2021 a utilizat un șablon al ordinului de încasare a numerarului în favoarea persoanei juridice, însă având drept plătitor un membru al cooperativei. În ordinele menționate angajata a modificat doar suma și data corespunzătoare, însă a omis să schimbe datele/informațiile plătitorului, deși la încheierea tranzacției ultima a verificat identitatea administratorului cooperativei fără ca acesta să prezinte copia buletinului de identitate a subiectului de date.

Relevăm că, în conformitate cu art. 4 alin. (1) al Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, datele cu caracter personal care fac obiectul prelucrării trebuie să fie: a) prelucrate în mod corect și conform prevederilor legii; b) colectate în scopuri determinate, explicite și legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri. […]. Potrivit art. 5 al aceluiași act normativ, prelucrarea datelor cu caracter personal se efectuează cu consimțământul subiectului datelor cu caracter personal, cu excepția cazurilor statuate exhaustiv la alin. (5) al aceluiași articol. Conform art. 9 al actului normativ precitat, prelucrarea numărului de identificare de stat (IDNP) al persoanei fizice, […] sau a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală poate fi efectuată în următoarele condiții: a) subiectul datelor cu caracter personal și-a dat consimțământul; b) prelucrarea este prevăzută în mod expres de legislație.

În context, prin decizie s-a constatat că angajata băncii, pe parcursul anului 2021, a încălcat dispozițiile art. 4 alin. (1) lit. a) și lit. b), art. 5 alin. (1) și art. 9 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal.

Mai mult, CNPDCP a dispus, prin decizie, instituției bancare de a iniția instruirea angajaților/personalului implicat în procesul de prelucrare a datelor cu caracter personal, în vederea îndeplinirii de către aceștia a atribuțiilor funcționale în conformitate cu legislația în domeniul protecției datelor cu caracter personal, precum și cu documentele/regulamentele interne aprobate în acest sens.

4. Activitatea de supraveghere

În conformitate cu prevederile Legii nr. 175/2021 pentru modificarea unor acte normative, care a intrat în vigoare la data de 10 ianuarie 2022, a fost instituită obligația desemnării persoanei responsabile cu protecția datelor cu caracter personal. Astfel, în perioada de referință, CNPDCP a recepționat 24 de scrisori, prin intermediul cărora este informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective, preponderent de la entitățile private.

Simultan, au fost elaborate și plasate pe pagina web oficială a CNPDCP următoarele recomandări/opinii: Considerente în legătură cu utilizare tot mai frecventă a sistemului de supraveghere video înzestrat cu funcții de înregistrare audio; Aspecte practice și legale în legătură cu instalarea și gestionarea mijloacelor de supraveghere video.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 315 consultații telefonice și 20 de răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorul de date.

Totodată, CNPDCP a informat, prin intermediul demersurilor oficiale expediate, 34 de autorități și instituții publice cu privire la necesitatea desemnării persoanei responsabile cu protecția datelor cu caracter personal.

5. Știri internaționale și europene

– La data de 06 aprilie a avut loc cea de-a 63-a ședință plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care, a fost adoptată o Declarație privind anunțul unui nou cadru transatlantic de confidențialitate a datelor. CEPD salută angajamentele asumate de SUA de a lua măsuri „fără precedent” pentru a proteja confidențialitatea datelor cu caracter personal ale persoanelor fizice din Spațiul Economic European atunci când datele acestora sunt transferate în SUA.

– La data de 4 mai a avut loc cea de-a 64-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line, în cadrul căreia a fost discutată adoptarea Avizului Comun al Comitetul European pentru Protecția Datelor și Autorității Europene pentru Protecția Datelor cu privire la Propunerea Parlamentului European și a Consiliului privind normele armonizate pentru un acces echitabil la date și o utilizare corectă a acestora (Legea privind datele).

– La data de 12 mai a avut loc cea de-a 65-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. Sesiunea plenară s-a axat pe două subiecte și anume:

· Au fost adoptate noile Orientări privind calcularea amenzilor administrative, armonizând metodologia utilizată de autoritățile de protecție a datelor. Astfel, sunt luate în considerare trei elemente: clasificarea încălcărilor în funcție de natura lor, gravitatea încălcării și cifra de afaceri a unei întreprinderi.

· Au fost adoptate Orientările privind utilizarea tehnologiei de recunoaștere facială în domeniul aplicării legii. Orientările oferă îndrumări factorilor de decizie din UE și naționali, precum și autorităților de aplicare a legii, cu privire la punerea în aplicare și utilizarea sistemelor tehnologice de recunoaștere facială.

– În perioada 18-20 mai, a avut loc cea de-a 30 – a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor, desfășurată în orașul Cavtat, Croația.

Evenimentul a fost găzduit de Agenția Croată pentru Protecția Datelor cu Caracter Personal, încurajând astfel participarea a circa 40 de țări. Agenda evenimentului a inclus subiecte de actualitate din domeniul protecției datelor cu caracter personal, precum: Convenția 108+, asistență reciprocă și convergență globală, protecția datelor în jurisprudența CEDO: ultimele evoluții din domeniu.

Totodată, Autoritățile membre au adoptat o Rezoluție privind necesitatea ratificării prompte a „Convenției 108+”, versiunea modernizată a Convenției 108. Rezoluția îndeamnă guvernele statelor membre ale Consiliului Europei, guvernele țărilor terțe ale Consiliul Europei, Uniunii Europene și Organizațiile Internaționale să accelereze procesul de semnare și ratificare a Convenției 108+.

– În perioada 14-15 iunie a avut loc cea de-a 66-a ședință plenară a Comitetului European pentru Protecția Datelor, care a avut loc la Bruxelles, Belgia. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care Orientări privind certificarea ca instrument pentru transferuri. Scopul principal al acestor orientări este de a oferi clarificări suplimentare cu privire la utilizarea practică a acestui instrument de transfer și vor face obiectul unei consultări publice până la sfârșitul lunii septembrie.

6. Alte autorități pentru protecția datelor

· La data de 4 aprilie, Autoritatea daneză de supraveghere a datelor, a impus o amendă administrativă în valoare de 1,3 milioane de euro companiei Danske Bank pentru încălcarea articolului 5 alineatul (2) din GDPR. În timpul anchetei s-a constatat că banca din cele peste 400 de sisteme deținute nu a putut documenta dacă au fost stabilite reguli pentru ștergerea și stocarea datelor cu caracter personal sau dacă a fost efectuată ștergerea manuală a datelor cu caracter personal. Aceste sisteme prelucrează datele cu caracter personal a milioane de persoane.

· La data de 15 aprilie, Autoritatea Franceză pentru Protecția Datelor (CNIL), a impus o amendă administrativă în valoare de 1,5 milioane de euro companiei Dedalus Biologie pentru încălcarea articolelor 28, 29 și 32 din GDPR. În urma investigațiilor, CNIL a identificat trei încălcări. În primul rând, în contextul migrării unui pachet software către un alt instrument, solicitat de două laboratoare care utilizează serviciile Dedalus Biologie, acesta din urmă a extras un volum de date mai mare decât cel solicitat. Prin urmare, compania a prelucrat date dincolo de instrucțiunile impuse de operatorul de date și nu a respectat articolul 29 din GDPR. În al doilea rând, compania nu a asigurat securitatea datelor cu caracter personal, contrar articolului 32 din GDPR. Totodată s-a stabilit că, condițiile generale de vânzare propuse de Dedalus Biologie și contractele de mentenanță transmise către CNIL nu conțineau mențiunile prevăzute la articolul 28 alineatul (3) din GDPR.

· La data de 3 mai, Autoritatea de Supraveghere a Islandei, a impus o amendă în valoare de 35 000 euro municipalității Reykjavík pentru utilizarea sistemului educațional Seesaw, un serviciu american bazat pe cloud. În urma anchetei s-a constatat că: acordul de prelucrare dintre Reykjavík și Seesaw a fost insuficient; municipalitatea nu a putut demonstra un scop specific, explicit și legitim pentru prelucrarea în cauză; prelucrarea nu a fost echitabilă, transparentă și nu au fost implementate principiile minimizării datelor și limitările stocării ținând cont de cantitatea de date colectate, de amploarea prelucrării acestora, de perioada de stocare și de accesibilitatea acestora; evaluarea impactului privind protecția datelor nu a îndeplinit cerințele minime; municipalitatea nu a demonstrat că a asigurat securitatea adecvată a datelor cu caracter personal în cauză și datele au fost transferate în Statele Unite ale Americii fără garanții adecvate. În plus, Autoritatea de Supraveghere a Islandei a concluzionat că toate prelucrările de date din sistemul educațional Seesaw ar trebui confiscate, iar datele elevilor ar trebui șterse.

BULETIN INFORMATIV NR. 10

748 Views

1. Activități de informare și instruire efectuate de CNPDCP

La data de 28 ianuarie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) în colaborare cu experții proiectului TAIEX, au organizat conferința națională „Transferuri transfrontaliere – Provocări ale transferului transfrontalier de date din perspectiva Convenției 108 + și GDPR”. Scopul conferinței a fost de a prezenta informații, exemple de bune practici și soluții inovatoare privind sensibilizarea şi informarea sectorului public despre provocările transferului transfrontalier de date cu caracter personal. Conferința a fost moderată de experți în protecția datelor cu caracter personal din Italia, Germania, Austria și reprezentanți din cadrul Comisiei Europene. Printre temele abordate de experți au fost: transferurile transfrontaliere de date cu caracter personal din perspectiva Convenției 108+ și tendințe globale, prezentare generală a temeiurilor privind transferurile transfrontaliere de date cu caracter personal în temeiul GDPR și tipul de garanții necesare, provocările transferului transfrontalier de date cu caracter personal din perspectiva autorităților de supraveghere din UE, transferuri transfrontaliere de date în domeniul cooperării cu organele de ocrotire a legii, informații generale referitoare la conceptul de caracter adecvat al nivelului de protecție a datelor cu caracter personal și aspecte esențiale și procedurale ale deciziilor de adecvare. În cadrul evenimentului au participat circa 70 de reprezentanți ai sectorului public.

Totodată, la data de 26 ianuarie, a fost desfășurată Acțiunea stradală – ”Protejează datele cu caracter personal”, organizată de reprezentanții CNPDCP în contextul celebrării Zilei Europene a Protecției Datelor. În acest context, mai mulți angajați ai CNPDCP au distribuit trecătorilor, în preajma Scuarului Catedralei, materiale informative, cetățenii fiind sensibilizați despre noțiunea de date cu caracter personal, drepturile subiecților de date, măsurile de securitate și confidențialitate a datelor, precum și despre principiile de protecție a datelor cu caracter personal. Totodată, aceștia au fost informați cu privire la posibilele situații în care datele cu caracter personal nu sunt prelucrate în conformitate cu prevederile legislației naționale din domeniu, oferindu-le îndrumări și recomandări practice care ar trebui întreprinse în astfel de situații.

În perioada de referință, CNPDCP a înregistrat o evoluție remarcabilă la capitolul activități de instruire și sensibilizare desfășurate. A fost continuat șirul de instruiri organizate pentru reprezentanții autorităților publice locale (APL) din raionale Republicii Moldova, acestea având drept scop de a consolida capacitățile reprezentaților APL-urilor prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. Subiectele abordate în cadrul instruirilor au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaționale, etc. Totodată, cu titlu separat, au fost discutate aspectele legate de depersonalizarea corectă a datelor cu caracter personal ce se conțin în actele administrative ale autorităților publice locale publicate în Registrul de stat al actelor locale. Evenimentele, moderate de experți naționali în domeniul protecției datelor din cadrul CNPDCP, au fost organizate pentru aproximativ a câte 50 de primari, consilieri raionali și secretari ai consiliilor locale din fiecare centru raional în parte. Cursurile de instruire au fost desfășurate:

· La data de 27 ianuarie – Consiliul Raional Ialoveni;

· La data de 04 februarie – Consiliul Raional Telenești;

· La data de 11 februarie – Consiliul Raional Edineț;

· La data de 25 februarie – Consiliul Raional Drochia;

· La data de 11 martie – Consiliul Raional Dondușeni;

· La data de 25 martie – Consiliul Raional Soroca.

2. Activitatea de control

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 53 de investigații. Din cele 53 de investigații: 47 de cazuri finalizate, în 27 cazuri s-a constatat încălcarea prevederilor legale. Totodată, au fost încheiate 18 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. Încălcarea drepturilor subiectului de date cu caracter personal: dreptul de acces la datele cu caracter personal, dreptul de intervenție asupra datelor cu caracter personal și dreptul de opoziție.

CNPDCP, în cadrul examinării unei petiții depuse de către un subiect de date, a emis o decizie prin care s-a constatat încălcarea prevederilor art. 13 alin. (1) și art. 14 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către un agent economic, la prelucrarea datelor cu caracter personal ale petiționarului, manifestată prin ignorarea cererii subiectului de date, prin care, ultimul a solicitat, inclusiv, un răspuns care să demonstreze că operatorul de date a șters datele cu caracter personal ce îl vizează, astfel, realizându-și dreptul de intervenție asupra datelor cu caracter personal.

Astfel, subiectul de date cu caracter personal și-a realizat dreptul de acces și dreptul de intervenție la datele cu caracter personal ce îl vizează, înaintând o cerere către operatorul de date cu caracter personal, fiind solicitate informații referitoare la modalitatea asigurării protecției datelor cu caracter personal ale clienților, care sunt scopurile în care sunt utilizate aceste date, care sunt garanțiile că datele cu caracter personal nu sunt folosite în scopuri personale.

În urma examinării cauzei s-a determinat că, operatorul de date cu caracter personal, a ignorat cererea subiectului de date, nerealizându-i dreptul de acces și dreptul de intervenție la datele cu caracter personal ce vizează subiectul de date, prevăzut de art. 13 alin. (1) și art. 14 ale Legii privind protecția datelor cu caracter personal.

Respectiv, agentului economic i-a fost întocmit proces-verbal cu privire la contravenție în baza art. 741 alin. (3) Cod contravențional.

II. Încălcarea regulilor de prelucrare și stocare a datelor cu caracter personal, prin intermediul unui sistem de supraveghere video

CNPDCP, în cadrul examinării unei petiții depuse de către un subiect de date, a emis o decizie prin care s-a constatat încălcarea prevederilor art. 4 alin. (1) lit. a), b), c), art. 5 alin. (1) ale Legii nr. 133/2011, la prelucrarea datelor cu caracter personal ale petiționarului, în legătură cu colectarea/înregistrarea vocii persoanei vizate, fără consimțământul acesteia, prin intermediul camerei de supraveghere video, instalate pe un pilon electric, ce cuprindea atât proprietatea gestionarului sistemului de supraveghere video, cât și o porțiune din spațiul ce nu-i aparținea ultimului, fără a fi identificat scopul determinat, explicit și legitim, legătura de cauzalitate dintre scop și datele prelucrate ale petiționarului, proporționalitatea, corectitudinea și concordanța cu normele legale în domeniul protecției datelor cu caracter personal. Așadar, ținând cont de cele sus-indicate, Centrul a reținut că, înainte de instalarea unui sistem de supraveghere video, operatorul de date trebuie întotdeauna să examineze critic dacă această măsură este, în primul rând, adecvată pentru îndeplinirea obiectivului dorit și, în al doilea rând, proporțională și necesară pentru scopurile sale, în raport cu interesele sau drepturile și libertățile fundamentale ale subiectului de date. Prin urmare, înregistrarea audiovizuală de către operatorul de date în cauză, prin intermediul camerei de supraveghere video, fără consimțământul persoanei vizate, constituia o măsură excesivă și disproporționată în raport cu scopul declarat, la caz, asigurarea securității proprietății.

Respectiv, operatorului de date cu caracter personal i-a fost întocmit proces-verbal cu privire la contravenție în baza art. 741 alin. (1) Cod contravențional.

4. Activitatea de supraveghere

În conformitate cu prevederile Legii nr. 175 din 11 noiembrie 2021 pentru modificarea unor acte normative, care a intrat în vigoare la data de 10 ianuarie 2022, a fost instituită obligația desemnării persoanei responsabile cu protecția datelor cu caracter personal.

În acest sens, CNPDCP a recepționat peste douăzeci de scrisori, prin care este informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective. Totodată, CNPDCP a intervenit, după caz, cu recomandări în vederea înlăturării discrepanțelor identificate.

Simultan, au fost elaborate și plasate pe pagina CNPDCP mai multe comunicate referitor la: modificările survenite la legislația din domeniul protecției datelor cu caracter personal; necesitatea desemnării persoanei responsabile cu protecția datelor cu caracter personal; obligativitatea operatorilor de date de a plasa această informație pe pagina web și obligativitatea operatorilor de date de a efectua evaluarea impactului asupra protecției datelor, etc.

În perioada de referință, CNPDCP a elaborat și publicat în Monitorul Oficial și pe pagina web a instituției Lista Statelor care asigură un nivel adecvat de protecție a datelor cu caracter personal, în contextul modificărilor art. 32 din Legea nr. 133 privind protecția datelor cu caracter personal.

Totodată, a fost elaborată și urmează a fi publicată pe pagina web a CNPDCP lista tipurilor de operațiuni de prelucrare care fac obiectul cerinței de efectuare a unei evaluări a impactului asupra protecției datelor cu caracter personal.

Suplimentar, CNPDCP intenționează să publice ghidul privind evaluarea impactului asupra protecției datelor cu caracter personal cu scop de recomandare.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 391 consultații telefonice și 34 de răspunsuri prin intermediul poștei electronice.

5. Știri internaționale și europene

– La data de 18 ianuarie a avut loc cea de-a 59-a ședință plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care:

· Linii directorii privind dreptul de acces. Liniile directorii au ca scop analizarea diferitelor aspecte ale dreptului de acces și oferirea unor orientări mai precise cu privire la modul în care trebuie pus în aplicare dreptul de acces în diferite situații.

· Răspuns la scrisorile care solicită o interpretare coerentă a consimțământului pentru cookie-uri.

· Actualizarea Liniilor directorii privind consimțământul. Acestea au ca scop asigurarea unei abordări armonizate a condiționalității consimțământului și indicarea neechivocă a solicitării.

– La data de 22 februarie a avut loc cea de-a 61-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care:

· CEPD a adoptat o scrisoare ca răspuns la Comisia pentru libertăți civile, justiție și afaceri interne (LIBE) a Parlamentului European cu privire la cel de-al doilea protocol adițional la Convenția privind criminalitatea informatică și având în vedere cele două propuneri de decizii ale Comisiei Europene care autorizează statele membre să semneze și să ratifice protocolul.

· În urma unei consultări publice, CEPD a adoptat versiunea finală a Orientărilor privind codurile de conduită ca instrument pentru transferuri, luând în considerare feedback-ul primit de la părțile interesate. Scopul principal al orientărilor este de a clarifica aplicarea articolelor 40 alineatul (3) și 46 alineatul (2) litera (e) din GDPR.

· CEPD a adoptat o scrisoare privind răspunderea pentru Inteligența Artificială.

– La data de 14 martie a avut loc cea de-a 62-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care:

· Linii directorii privind art. 60 din GDPR. Elaborarea acestor linii directorii fac parte din Strategia și Programul de Lucru 2021-2022 al CEPD, având drept scop de a sprijini aplicarea efectivă a legii și cooperarea eficientă între autoritățile naționale de supraveghere.

· Linii directorii privind modelele întunecate în interfețele platformelor de social media. Acestea oferă recomandări practice designerilor și utilizatorilor platformelor de social media cu privire la modul de evaluare și evitare a așa-numitelor „modele întunecate” în interfețele de social media care încalcă cerințele GDPR.

· Un set de instrumente privind garanțiile esențiale de protecție a datelor pentru cooperare în materie de aplicare a legii între autoritățile de supraveghere din SEE și cele din țările terțe. Aceasta contribuie la una dintre acțiunile-cheie ale Strategiei și Programului de Lucru al CEPD 2021-2022 și vizează facilitarea angajamentului dintre membrii CEPD și SA din țări terțe. Setul de instrumente acoperă subiecte cheie, cum ar fi drepturile executorii ale subiecților de date, conformitatea cu principiile de protecție a datelor și căile de atac judiciare.

· Un aviz comun CEPD-AEPD cu privire la propunerile de extindere a certificatului digital COVID cu până la 12 luni. Subiectul va continua a fi analizat și la următoarea Ședință.

– La data de 23-25 martie a avut loc cea de-a 55-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

· Convenția 108+, ratificările și aderările actuale;

· Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

· Identitatea digitală;

· Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

· Clauze contractuale în contextul fluxurilor transfrontaliere de date;

· Cooperarea cu alte organisme și entități ale Consiliului Europei.

6. Alte autorități pentru protecția datelor

· La data de 28 ianuarie, Autoritatea pentru Protecția Datelor din Grecia (APDG) a impus o amendă totală în valoare de 9.250.000 de euro, companiilor de telecomunicații COSMOTE și OTE pentru scurgerea datelor cu caracter personal și prelucrarea ilegală a acestora. În cursul cercetării cauzei s-a constatat că, COSMOTE a încălcat principiile legalității și transparenței din cauza furnizării unor informații neclare și insuficiente abonaților. De asemenea, compania a fost considerată responsabilă pentru evaluarea slabă a impactului asupra protecției datelor, anonimizarea insuficientă, măsurile de securitate inadecvate luate și nerepartizarea rolurilor celor două companii (COSMOTE / OTE) în legătură cu prelucrarea în cauză. În plus, s-a constatat că ΟΤΕ a încălcat articolul 32 din GDPR, din cauza măsurilor de securitate inadecvate luate în legătură cu infrastructura utilizată în contextul încălcării. APDG, pe de o parte, a amendat COSMOTE cu suma totală de 6.000.000 de euro și a dispus încetarea prelucrării și distrugerea datelor prelucrate ilegal, iar, pe de altă parte, a amendat OTE cu suma totală de 3.250.000 de euro.

· La data de 10 februarie, Autoritatea Italiană pentru Protecția Datelor (AIPD) a impus amendă în valoare de 20 milioane de euro companiei Clearview AI pentru prelucrarea ilegală a datelor cu caracter personal. În urma investigației inițiate din propria inițiativă, AIPD a constatat că datele cu caracter personal deținute de companie, inclusiv informațiile biometrice și de localizare geografică, au fost prelucrate ilegal, fără un temei juridic adecvat. În plus, compania a încălcat câteva principii fundamentale ale GDPR-ului, cum ar fi transparența, limitarea scopului și limitarea stocării. În acest context AIPD a impus interzicerea oricărei colectări ulterioare, prin intermediul tehnicilor de web scraping, a imaginilor și a metadatelor relevante referitoare la persoane aflate pe teritoriul Italiei și a prelucrării ulterioare ale acestora, precum și a dispus ștergerea datelor, inclusiv a datelor biometrice, prelucrate de sistemul său de recunoaștere facială.

· La data de 15 martie, Autoritatea Irlandeză pentru Protecția Datelor (AIPD) a impus o amenda administrativă în valoare de 17 milioane euro companiei Meta Platforms (fostă Facebook) pentru încălcarea articolelor 5(2) și 24(1) din GDPR. În urma investigațiilor, AIPD a constatat că Meta Platforms nu a reușit să pună în aplicare măsuri tehnice și organizatorice adecvate, care i-ar permite să demonstreze cu ușurință măsurile de securitate pe care le-a implementat în practică pentru a proteja datele utilizatorilor din UE, în contextul celor douăsprezece încălcări ale datelor cu caracter personal.

Cookie	Durată	Descriere
cookielawinfo-checkbox-necessary	11 months	Acest cookie este utilizat pentru a ține evidența modulelor cookie pe care le-ați consimțit, în raport cu categoria de cookies “necessary” (cookies necesare);
cookielawinfo-checkbox-non-necessary	11 months	Acest cookie este utilizat pentru a ține evidența modulelor cookie pe care le-ați consimțit, în raport cu categoria de cookies “non-necessary” (cookies care nu sunt necesare);
viewed_cookie_policy	11 months	Acest cookie este utilizat pentru a vedea dacă ați citit politica noastră privind modulele cookie. Nu stochează date cu caracter personal;