1.      Activitățile de informare și instruire efectuate de CNPDCP

În primul semestru al anului curent, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a înregistrat progrese remarcabile în partea ce ține de activitățile de informare și sensibilizare a publicului larg cu domeniul protecției datelor cu caracter personal.

La data de 25 ianuarie curent, a fost aprobat și semnat de către conducătorii CNPDCP și Inspectoratul General al Poliției (IGP), planul de instruiri în cadrul subdiviziunilor IGP, astfel organizându-se mai multe cursuri de instruire. Scopul acestora, a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară. În cadrul evenimentelor au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații subdiviziunilor IGP; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc. Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

·        01 februarie  – Inspectoratul de Poliție Anenii Noi al IGP

·        06 martie – Inspectoratul Național de Investigații (INI) al IGP

·        24 martie – Centrul pentru combaterea traficului de persoane al INI

·        07 aprilie – Inspectoratul Național de Securitate Publică (INSP) Direcția Centru al IGP

·        25 aprilie – Inspectoratul de Poliție Buiucani al DP Chișinău

·        05 mai – Inspectoratul de Poliție Ciocana al Direcției de Poliție

·        22 mai – Inspectoratul de Poliției Râșcani al Direcției de Poliție

·        05 iunie – Direcția Generală de urmărire Penală al IGP

·        23 iunie – Direcția de Poliție a UTA Găgăuzia

Totodată, au fost organizate cursuri de instruire pentru o serie de instrituții medicale cu genericul „Prevederi legale în domeniul protecției datelor cu caracter personal”. Scopul cursurilor de instruire a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. În cadrul evenimentelor au fost abordate subiecte, cum ar fi: definirea datelor cu caracter personal privind sănătatea; prelucrarea categoriilor obișnuite de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea; principii de prelucrare a datelor cu caracter personal; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; confidențialitatea și secretul profesional; divulgarea datelor cu caracter personal privind starea de sănătate; obligativitatea de asigurare a confidențialității și securității datelor cu caracter personal; reducerea la minimum a datelor și limitarea stocării, etc. Astfel, cursurile de instruire au avut loc:

·        09 iunie – IMSP Centrul Medicilor de Familie municipiul Bălți

·        21 iunie –  IMSP Asociaţia Medicală Teritorială Centru

·        28 iunie – IMSP Clinica Universitară de Asistență Medicală Primară a USMF „Nicolae Testemițanu”

În perioada de referință a fost continuată campania de informare și sensibilizare pentru comunitățile școlare cu genericul: „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line”. Scopul campaniei, a fost de a oferi comunității școlare o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin. Tematicile abordate în cadrul instruirilor au vizat: noțiuni generale privind datele cu caracter personal; utilizarea corectă a pozelor/video în mediul online; riscurile și amenințările în mediul online; comunicarea pe rețelele de socializare, etc. Au fost organizate trei sesiuni de instruire în cadrul comunității școlare, și anume:

·        27 ianuarie – Instituția Publică Liceul Teoretic „Gheorghe Asachi”

·        17 mai – Instituția Publică Liceul Teoretic „Mircea Eliade”

·        18 mai – Instituția Publică Liceul Teoretic „Ion Creangă”

Totodată, CNPDCP a organizat cursuri de instruire pentru: reprezentanții bibliotecilor din mun. Chișinău și altor raioane ale Republicii; reprezentanții Companiei Naționale de Asigurări în Medicină; reprezentanții Direcției Generale de Învățământ Cahul; reprezentanții Serviciului Fiscal de Stat; reprezentanții Ministerului Afacerilor Interne și reprezentanții Agenției Naționale Transport Auto, la solicitarea acestora.

În acest context, în primul semestru al anului curent, formatorii din cadrul CNPDCP, au instruit circa 650 de reprezentanți din cadrul subdiviziunilor IGP, circa 210 reprezentanți ai instituțiilor medicale, circa 120 de elevi din cadrul instituțiilor de învățământ și circa 575 de reprezentanți ai altor instituții.

În aceași perioadă de referință, și anume în data de 29-30 martie, CNPDCP în colaborare cu experții proiectului TAIEX, au organizat Misiunea de experți TAIEX  “Prelucrarea datelor cu caracter personal în scopuri statistice”, în format online. Obiectivul Misiunii de experți a constat în prezentarea celor mai bune practici europene legale și operaționale privind mecanismele de prelucrare și stocare a datelor cu caracter personal în scopuri statistice, de către Biroul Național de Statistică (BNS), schimbul de date între instituții și BNS, precum și a reglementărilor ce țin de securitatea acestor date. În cadrul evenimentului au participat circa 24 de reprezentanți ai instituțiilor publice.

2.      Activitatea de control

În perioada ianuarie – iunie 2023, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 180 de cazuri. În perioada de referință, au fost emise 141 decizii, dintre care în 73 cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 34 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3.      Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I.     CNPDCP a examinat plângerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul bunurilor imobile (RBI), efectuate de către o autoritate publică locală (APL) și o autoritate publică centrală (APC).

În context, prin decizie s-a constatat că operațiunile de accesare a datelor cu caracter personal privind bunul imobil a subiectului de date au fost efectuate de către APC și APL cu încălcarea principiilor statuate la art. 4 alin. (1) lit. a), b) și art. 5 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, or aceste operațiuni au avut loc în lipsa unui scop determinat, explicit și legitim. Astfel, aspectul primordial ce a dus la constatarea încălcării prevederilor legale de către APL, a fost accesarea datelor în scop personal (pentru elaborarea tezei de master) și lipsa evidenței accesărilor în sistemele automatizate de către utilizatorii autorizați din cadrul APL, a datelor cu caracter personal. Cu referire la motivul constatării încălcării Legii nr. 133/2011 de către APC, menționăm că ultima nu a asigurat actualizarea informației privind utilizatorii cu drept de a accesa sistemul informațional automatizat de stat și nu a înștiințat autoritățile competente despre modificările raporturilor de serviciu (demisia din funcție a unui fost angajat), fapt care a generat accesarea datelor cu caracter personal în RBI și după încetarea raportului de muncă.

II.  CNPDCP a efectuat un control în baza unei plângeri a unui subiect de date cu caracter personal, în care indică asupra pretinselor operațiuni neconforme de prelucrare a datelor cu caracter personal ce îl vizează, stocate în Registrul bunurilor imobile și efectuate de către o autoritate publică locală, precum și nerealizarea dreptului de acces la datele sale cu caracter personal.

Urmare a examinării cazului, CNPDCP prin decizie a constatat că, APL nu a reușit să răstoarne prezumția de ilegalitate a prelucrărilor de date cu caracter personal ale subiectului de date, fiind stabilită încălcarea Legii nr. 133/2011, deoarece s-a constatat faptul că, toți utilizatorii autorizați din cadrul APL care au avut acces la banca centrală de date din RBI utilizau același cont de acces, atribuit unei foste angajate din cadrul autorității, demisionată. În acest fel, operatorul a fost în imposibilitate de a duce evidența strictă a accesărilor. În ceea ce privește realizarea dreptului de acces la datele cu caracter personal ale subiectului de date, s-a demonstrat lipsa încălcării acestui aspect, deoarece s-a stabilit că APL a examinat cererea și a remis răspuns în adresa acestuia.

III. CNPDCP a examinat plîngerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul bunurilor imobile, efectuate de către un operator de date, fără consimțământul subiectului.

În cadrul investigației s-a constatat că, operațiunile de accesare a bunului imobil, ce-i aparține cu drept de proprietate subiectului de date, a fost efectuată în vederea organizării procedurii de creare și înregistrare a unei Asociații de coproprietari.

Respectiv, pe parcursul examinării prezentului caz, operatorul, în vederea justificării acțiunii de accesare/consultare a datelor cu caracter personal ce aparțin subiectului de date, efectuate prin intermediul Registrului bunurilor imobile, a făcut referire la contractul de prestare a serviciilor de consultare și colaborare, cât și art. 5 al Legii nr.133 din 08.07.2011 privind protecția datelor cu caracter personal.

Astfel, CNPDCP a determinat că, alegațiile invocate de către operatorul de date cu caracter personal, nu justifică și nu demonstrează necesitatea prelucrării datelor cu caracter personal ale subiectului, manifestată prin accesarea băncii centrale de date a cadastrului bunurilor imobile, or, prelucrarea datelor cu caracter personal urmează a fi efectuată cu condiția respectării principiilor de protecție a datelor cu caracter personal, având la bază unul din temeiurile legale prezentate la art. 5 al Legii nr. 133/2011.

În context, prin decizie s-a constatat că, operațiunea de accesare a datelor cu caracter personal privind bunul imobil a subiectului de date a fost efectuată cu încălcarea art. 4 alin. (1) lit. a), b) și art. 5 ale Legii nr. 133/2011 de către operatorul de date – persoană juridică, în lipsa unui scop determinat, explicit și legitim.

IV. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul de stat al populației, efectuate de către un utilizator autorizat al unei autorități publice.

În cadrul investigației s-a constatat că, deși ca temei al operațiunii de prelucrare a datelor cu caracter personal a fost indicat o cerere, s-a stabilit că cererea dată viza numele altei persoane.

În acest sens, CNPDCP nu a identificat vreun scop și temei legal ce ar fi permis utilizatorului autorizat din cadrul autorității publice de a prelucra (prin extragere) datele cu caracter personal ale subiectului de date, fără consimțământul acestuia și fără a avea în examinare un dosar/cerere.

În context, prin decizie s-a constatat că, operațiunea de prelucrare a datelor cu caracter personal ce vizează subiectul de date, a fost efectuată de către utilizatorul autorizat cu încălcarea prevederilor art. 4 alin. (1) lit. a) și b) și art. 5 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, în lipsa unui scop determinat, explicit și legitim și fără consimțământul subiectului datelor cu caracter personal.

V. CNPDCP a examinat demersul parvenit din partea Serviciului Fiscal de Stat (SFS) prin care a informat că, în rezultatul exercitării atribuțiilor de administrare fiscală, s-a constatat că un agent economic colectează și utilizează date cu caracter personal contrar prevederilor art. 5 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, ceea ce a servit drept motiv pentru inițierea verificării/investigării conformității operațiunilor de prelucrare a datelor cu caracter personal.

În fapt, potrivit materialelor anexate la demersul SFS, s-a constatat faptul că agentul economic a prelucrat datele cu caracter personal a 35 de persoane fizice, în lipsa consimțământului acestora sau a succesorilor persoanelor decedate, sau în lipsa altui temei legal prevăzut de art. 5 alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal.

În urma investigațiilor efectuate de CNPDCP, în corespundere cu prevederile art. 27 al Legii nr. 133/2011 privind protecția datelor cu caracter personal, prin decizia CNPDCP a fost constatată încălcarea prevederilor art. 4 alin. (1) lit. a), art. 5 alin. (1), (4) și art. 12 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către agentul economic în cauză la prelucrarea datelor cu caracter personal ale subiecților de date vizați în demersul SFS.

Totodată, CNPDCP a dispus inclusiv încetarea operațiunilor de prelucrare a datelor cu caracter personal ale subiecților de date vizați în demersul SFS și distrugerea copiilor buletinelor de identitate utilizate/obținute ilicit de către agentul economic.

Consecvent, în corespundere cu prevederile art. 20 alin. (1) lit. m) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a sesizat în ordine penală organul de urmărire penală a SFS, privind existența unor indicii rezonabile de falsificare a actelor de achiziții a mărfurilor, faptă prevăzută la articolul 3351 din Codul penal.

Mai mult, urmare a constatării încălcărilor menționate supra, CNPDCP a intervenit în ordine contravențională în privința agentului economic, prin întocmirea procesului-verbal cu privire la contravenție prin faptele prevăzute la art. 741 alin (1) și (3) din Codul contravențional.

VI. CNPDCP a fost sesizat cu privire la legalitatea activității paginii web cu denumirea www.numar.md, în care erau publicate anumite date cu caracter personal a mai multor persoane fizice, de către un reprezentant mass-media.

În urma analizării  paginii web www.numar.md, a fost reținut că, prin intermediul acesteia, orice persoană putea să lase un comentariu, vizibil tuturor, asupra deținătorului oricărui număr de telefon mobil din Republica Moldova. Comentariile de pe pagina web aveau diferit conținut, atât informații biografice cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., cât și informații cu caracter calomnios și defăimător. Dezvăluirea în spațiul online, spre vizualizare nerestricționată a acestor informații putea prejudicia grav drepturile şi libertățile constituționale ale cetățenilor.

În rezultatul efectuării controlului, CNPDCP a determinat ca fiind neconform, mijlocul oferit pentru prelucrarea datelor cu caracter personal, prin publicarea pe pagina web www.numar.md a informațiilor ce conțin date cu caracter personal, cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., întrucât nu a fost stabilit existența unui scop determinat, explicit și legitim, nici existența unui temei legal de prelucrare a datelor cu caracter personal ce vizează deținătorii numerelor de telefonie mobilă din Republica Moldova, acțiuni săvârșite contrar prevederilor art. 4 alin. (1) lit. a), b), c) și art. 5 alin. (1) ale Legii 133/2011 privind protecția datelor cu caracter personal.

În acest context, ținând cont de prevederile art. 27 alin. (3) și alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a dispus prin Decizie: constatarea in rem a încălcării prevederilor Legii nr. 133/2011, la prelucrarea datelor cu caracter personal prin intermediul paginii www.numar.md, constatarea indisponibilității în rețeaua de internet a paginii www.numar.md, precum și sesizarea IP „Serviciului Tehnologia Informației și Securitate Cibernetică” în vederea examinării posibilității intervenirii prin prisma competențelor, statuate la pct. 33 subpct. 7) al Regulamentului cu privire la gestionarea domeniului de nivel superior .md, aprobat prin Hotărârea ANRCETI nr. 42/2020.

Finalmente, se notează că scopul care a stat la baza autosesizării Autorității de control, manifestat prin dorința de a contracara prelucrarea neconformă a datelor cu caracter personal, a fost atins odată cu indisponibilitatea/devenirea inactivă a paginii web www.numar.md, care constituia un mijloc de dezvăluire abuzivă a informațiilor personalizate ale unui număr impunător de subiecții de date.

4.      Activitatea de supraveghere

La data de 10 ianuarie 2022, prin Legea nr. 175/2021 pentru modificarea unor acte normative, a fost instituită obligația operatorului și a persoanei împuternicite de operator de a desemna o persoană responsabilă cu protecția datelor cu caracter personal, în cazurile prevăzute de art. 25 al Legii nr. 133/2011 privind protecția datelor cu caracter personal.

În acest sens, CNPDCP a lansat un ciclu de instruiri a persoanelor responsabile cu protecția datelor cu caracter personal. Obiectivul de bază al instruirilor este dezvoltarea cunoștințelor teoretice în domeniul protecției datelor cu caracter personal și a deprinderilor practice privind aplicarea actelor normative și cerințelor legislației din domeniu. Astfel, în perioada de referință, au fost instruite 28 persoane. Totodată, în conformitate cu prevederile statuate la art. 25 alin. (6) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale persoanei responsabile cu protecția datelor și de a le comunica CNPDCP. În acest context, CNPDCP a recepționat 21 scrisori, prin intermediul cărora a fost informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective, preponderent de la entitățile private.

Simultan, a fost ajustat și plasat pe pagina web oficială a CNPDCP, la compartimentul „Operator de date/Recomandările CNPDCP”, „Aspecte practice și legale în legătură cu instalarea și gestionarea mijloacelor de supraveghere video”, ținând cont de intrarea în vigoare a Legii Nr. 187 din 14-07-2022 cu privire la condominiu.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 220 consultații telefonice și 15 răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date cu caracter personal.

5.      Știri internaționale și europene

ü  În cadrul proiectului de cooperare regională în domeniul transformării digitale și reingineriei serviciilor publice, în perioada 6-10 februarie, la Paris, Franța, a avut loc prima Academie, cu genericul “Proiectarea și furnizarea serviciilor în era digitală”. Scopul acestei Academii a fost de a permite crearea de rețele și schimbul intensiv privind reproiectarea serviciului public:

a) la nivel național, între instituțiile cheie ale statului, cum ar fi agențiile de dezvoltare a serviciului public și instituțiile de protecție a datelor cu caracter personal;

b) la nivel regional, între țările Parteneriatului estic; și

c) la nivel internațional, între țările Parteneriatului estic și statele membre ale UE.

Astfel, în scopul preluării bunelor practici în cadrul Academiei a fost efectuată o vizită de studiu și la Ministerul Transformării și Serviciului Public, în cadrul căreia reprezentantul CNPDCP a fost familiarizat cu situația actuală a transformării funcției publice din Franța, îmbunătățirii serviciilor publice (servicii publice digitale centrate pe om), monitorizării și transparenței implementării reformelor guvernamentale, etc.

ü  În semestrul I anul 2023, reprezentanții CNPDCP au participat la 3 ședințe plenare cu prezența fizică și 3 on-line ale Comitetului European pentru Protecția Datelor (EDPB). În cadrul plenarelor au fost discutate și adoptate în varianta finală mai multe documente, printre care:

·        Orientările 05/2021 privind interacțiunea dintre aplicarea art. 3 și dispozițiile privind transferurile internaționale conform capitolului V din GDPR;

·        Orientările 07/2022 privind certificarea ca instrument pentru transferuri;

·        Procedura de adoptare a avizelor EDPB privind criteriile naționale de certificare și sigilii europene pentru protecția datelor;

·        Ghidul 01/2022 privind drepturile subiecților de date – Dreptul de acces

·        Orientările privind calcularea amenzilor administrative;

·        Orientările privind tehnologia de recunoaștere facială în domeniul aplicării legii;

La 25 mai curent a fost aleasă noua conducere a EDPB, D-na Anu Talus (FI SA) este noul președinte al Comitetului European pentru Protecția Datelor și D-na Irene Loizidou Nikolaidou (CY DPA) noul vicepreședinte.

Comitetul European  pentru Protecția Datelor este un organism european independent, care contribuie la aplicarea consecventă a normelor de protecție a datelor în întreaga Uniune Europeană și promovează cooperarea între autoritățile UE de protecție a datelor.

ü  În perioada 10-12 mai, a avut loc cea de-a 31-a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor (AEPD), desfășurată în Budapesta, Ungaria. Anul acesta evenimentul a fost găzduit pentru a treia oară de Autoritatea Maghiară pentru Protecția Datelor.

Pe parcursul sesiunilor de lucru, au fost prezentate subiecte de actualitate din domeniul protecției datelor, precum:

·        noile tehnologii – evaluarea impactului social al utilizării noilor tehnologii în diferite domenii;

·        interacțiunea dintre protecția datelor și Legea concurenței;

·        hotărârile de judecată: rezoluții și modificări ale Regulamentului de procedură; și

·        cele mai bune practici/studii de caz în cooperarea de aplicare a legislației între SEE și țările din afara SEE.

Pentru prima data în cadrul unei Conferințe de primăvară a AEPD, a fost organizată ziua ușilor deschise. Această practică a oferit posibilitatea mai multor instituții, ONG-uri și altor organizații, care și-au manifestat interesul pentru subiectele abordate în cadrul evenimentului, să participe on-line.

La eveniment au participat reprezentanți ai Autorităților pentru Protecția Datelor din Europa Centrală și de Est, CoE, CEPD, AEPD, în cadrul căruia au avut oportunitatea de a face un schimb de experiență și bune practici în domeniul protecției datelor cu caracter personal, inclusiv în ceea ce privește rolul Responsabilului cu Protecția Datelor în cadrul unei entități publice sau private.

ü  În perioada 14-16 iunie a avut loc cea de-a 44-a ședință plenară a Comitetul Consultativ al Convenției 108. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·        Convenția 108+, ratificările și aderările actuale;

·        protecția datelor cu caracter personal pentru Combaterea Spălării Banilor și a Finanțării Terorismului;

·        clauze contractuale în contextul fluxurilor transfrontaliere de date;

·        interpretarea articolului 11 din Convenția 108 +;

·        protecția datelor cu caracter personal, inclusiv a datelor biometrice în procesul electoral;

·        cooperarea cu alte entități ale CoE;

·        evoluții și activități majore în domeniul protecției datelor, etc.

Totodată, delegația CNPDCP s-a expus cu privire la stadiul ratificării Protocolului de modificare CETS nr.223 la Convenția 108. Menționăm că, la 09 februarie 2023, în baza Decretului Președintelui Republicii Moldova nr. 757/2002, Republica Moldova a semnat Protocolul de modificare a Convenției 108 pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, iar în Planul de acțiuni al Guvernului RM pentru anul curent este planificată acțiunea de promovare a măsurilor de ratificare a protocolului.

6.       Alte autorități pentru protecția datelor

·        La data de 22 mai, a fost anunțată decizia finală a Autorității irlandeze de supraveghere (DPA IE) din 13 aprilie 2023, cu privire la aplicarea amenzii în valoare de 1.2 miliare de euro companiei Meta Platforms Ireland Limited (Meta IE). Această amendă, care este cea mai mare amendă pentru încălcarea GDPR, a fost aplicată pentru transferurile de date cu caracter personal efectuate de către compania Meta către SUA pe baza clauzelor contractuale standard (SCC), începând cu 16 iulie 2020. În plus, Meta a fost obligată să își dirijeze transferurile de date în conformitate cu capitolul V din GDPR, prin încetarea prelucrării ilegale, inclusiv a stocării, în SUA a datelor cu caracter personal ale utilizatorilor europeni transferate cu încălcarea GDPR, în termen de 6 luni de la notificarea deciziei finale a DPA IE.

În decizia sa obligatorie din 13 aprilie 2023, EDPB a informat DPA IE ca să își modifice proiectul de decizie și să impună o amendă reprezentanței Meta în Irlanda. Având în vedere gravitatea încălcării, EDPB a constatat că punctul de pornire pentru calcularea amenzii ar trebui să fie între 20% și 100% din maximul legal aplicabil.

Decizia finală a IE DPA încorporează evaluarea juridică exprimată de EDPB în decizia sa obligatorie, adoptată în temeiul art. 65 alin. (1) lit. a) din GDPR, după ce DPA IE, în calitate de autoritate de supraveghere principală (LSA), a declanșat o procedură de soluționare a litigiilor cu privire la obiecțiile formulate de mai multe autorități de supraveghere vizate (CSA). Printre altele, CSA au emis obiecții care vizau includerea unei amenzi administrative și/sau a unui ordin suplimentar de punere în conformitate a prelucrării.

·        La data de 16 mai, a fost anunțată decizia finală a autorității de supraveghere croată din 02 mai 2023, cu privire la impunerea amenzii administrative în valoare de 2 milioane și 265 de mii de euro companiei B2 Kapital d.o.o. pentru încălcarea art. 13, art. 28 și art. 32 din GDPR.

În decembrie 2022, Autoritatea de supraveghere croată a primit o plângere anonimă în care se afirma că B2 Kapital d.o.o. a prelucrat în mod ilegal un număr mare de date cu caracter personal ale debitorilor. Împreună cu plângerea, B2 Kapital a primit stick-ul USB atașat, care conținea date cu caracter personal pentru un număr total de 77317 persoane fizice, care aveau datorii restante la organizațiile de creditare și care au fost achiziționate de către Agenția de colectare a creanțelor în baza contractului de cesiune. Aceleași date cu caracter personal au fost transmise pe un stick USB unei instituții de presă.

S-a stabilit că încălcarea a avut loc cel puțin din anul 2019 și că nu a fost remediată până în prezent, totul din cauza neaplicării măsurilor de protecție corespunzătoare.

·        La data de 21 martie, a fost anunțată decizia finală a Autorității finlandeze de supraveghere din 17 februarie 2023, cu privire la aplicarea amenzii în valoare de 440 mii de euro companiei Suomen Asiakastieto Oy pentru că nu a șters înregistrările inexacte privind neîndeplinirea obligațiilor de plată salvate în registrul informațiilor de credit din cauza unor practici inadecvate. Autoritatea de Supraveghere a subliniat faptul că o înscriere de neplată are un impact semnificativ asupra drepturilor și libertăților unei persoane fizice.

În 2021, Autoritatea de Supraveghere din Finlanda a cerut unui operator să își rectifice practicile de înregistrare a plăților neefectuate și să șteargă înregistrările inexacte bazate pe decizii definitive. Operatorul nu a contestat decizia și a fost contactat în ianuarie 2023 pentru evaluarea sancțiunilor. Totodată, acesta a recunoscut că a interpretat greșit ordinul și a șters toate înregistrările de neplată din registru. Autoritatea, însă, a constatat că operatorul a ales intenționat să nu se conformeze ordinului emis. Înregistrările inexacte ar fi putut fi șterse, având în vedere că informațiile despre neachitări erau disponibile în registrul hotărârilor judecătorești timp de 10 ani.

·        O amendă administrativă în valoare de 5.200 000 euro a fost aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei CLEARVIEW AI pentru prelucrarea ilegală a datelor cu caracter personal prin intermediul tehnologiilor de recunoaștere facială.

Compania CLEARVIEW AI a colectat fotografii de pe o mulțime de site-uri web, inclusiv rețele sociale, și a vândut accesul la baza sa de date prin intermediul unui motor de căutare în care o persoană poate fi căutată cu ajutorul unei fotografii. Compania oferea acest serviciu și autorităților de aplicare a legii. Tehnologia de recunoaștere facială este utilizată pentru a interoga motorul de căutare și a găsi o persoană pe baza fotografiei sale.

1.      Activitățile de informare și instruire efectuate de CNPDCP

Pe parcursul trimestrului IV al anului 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat 8 cursuri de instruire pentru autoritățile publice locale (APL) la care au participat circa 226 de persoane și 5 cursuri de instruire pentru autoritățile publice centrale (APC) și alte entități unde au fost instruiți circa 425 de reprezentanți, precum și 125 de participanți din cadrul Academiei de Administrare Publică și Mobiasbanca (OTP Bank).

Pentru APL instruirile au fost desfășurate după cum urmează:

– 11 octombrie – Consiliul Raional Cimișlia;

– 27 octombrie –  Consiliul Raional Șoldănești;

– 04 noiembrie – Consiliul Raional Cantemir;

– 25 noiembrie –  Consiliul Raional Ștefan Vodă;

– 18 noiembrie – Consiliul Raional Ocnița;

– 2 decembrie – Consiliul Raional Basarabeasca;

– 9 decembrie – Consiliul Raional Criuleni și Dubăsari;

– 20 decembrie – Consiliul Raional Taraclia.

În ceea ce privește alte entități, CNPDCP  a organizat instruiri pentru:

–          reprezentanții Băncii Naționale a Moldovei la data de 10 și 17 octombrie;

–          Academia de Administrare Publică – la data de 18 octombrie;

–          Mobiasbanca (OTP Bank) – la data de 22 și 24 noiembrie;

–          Serviciului Vamal – la data de 17 octombrie, precum și în perioada 19-21 decembrie.

Astfel, în perioada menționată, CNPDCP a reușit să instruiască un număr semnificativ de persoane din întreaga țară.

Mai mult, este de menționat că pe parcursul anului 2022 a fost asigurată instruirea tuturor APL-urilor din Republica Moldova.

De asemenea, în aceeași perioadă, în vederea diseminării domeniului protecției datelor cu caracter personal, CNPDCP a organizat un Atelier de lucru pentru elevii claselor a V-VI-a din IPLT „Gheorghe Asachi” mun. Chișinău. Atelierul de lucru a avut drept scop de a informa și sensibiliza elevii cu domeniul protecției datelor cu caracter personal și siguranța copiilor în mediul on-line prin promovarea responsabilizării celor mai bune practici de intervenție și sprijin.

2.      Activitatea de control

În perioada octombrie-decembrie 2022, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 53 cazuri. În perioada de referință, au fost emise 57 decizii, dintre care în 17 cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 31 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3.      Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul bunurilor imobile și efectuate de către o persoană fizică.

În cadrul investigației s-a constatat că, operațiunile de accesare a bunului imobil, ce-i aparține cu drept de proprietate subiectului de date, a fost efectuată cu scopul de a cumpăra un bun imobil ce se află în aceeași zonă, însă, careva probe ce ar confirma cele invocate nu au fost prezentate de către operator.

Totodată, CNPDCP a constatat faptul că, în speță, operatorul de date cu caracter personal, nu a oferit declarații ce ar justifica, în mod special, necesitatea accesării efectuate în raport cu datele cu caracter personal ale subiectului de date și a demonstrării legăturii de cauzalitate dintre datele cu caracter personal ale proprietarului bunului și scopul accesării acestuia.

În context, prin decizie s-a constatat că operațiunea de accesare a datelor cu caracter personal privind bunul imobil a subiectului de date a fost efectuată cu încălcarea art. 4 alin. (1) lit. a), b) și art. 5 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, de către o persoană fizică, în lipsa unui scop determinat, explicit și legitim.

II. În adresa CNPDCP a parvenit plângerea unui subiect de date cu caracter personal, care a solicitat verificarea legalității operațiunilor de prelucrare a datelor cu caracter personal ce-l vizează, efectuate de către 8 (opt) entități (în continuare – operatori de date), manifestate prin accesarea datelor cu caracter personal stocate în mai multe sisteme de evidență automatizate (RSP, RST, RBI, etc.), fiind peste 400 de accesări, precum și nerealizarea dreptului de acces la datele cu caracter personal ce vizează petentul.

În aceste circumstanțe, CNPDCP a dispus examinarea legalității operațiunilor de prelucrare a datelor cu caracter personal ale subiectului de date efectuate de către fiecare operator în parte.

Astfel, în rezultatul investigațiilor, în privința a trei operatori de date CNPDCP a constatat că operatorii de date au prelucrat datele cu caracter personal ale subiectului de date respectând cerințele Legii nr.133/2011, pe când în privința a cinci operatori de date, CNPDCP a constatat încălcarea prevederilor Legii precitate, or, operatorii de date nu au putut justifica scopul și temeiul legal al operațiunilor de prelucrare a datelor cu caracter personal ale subiectului de date, fie nu au putut identifica datele utilizatorilor care au efectuat anumite operațiuni de consultare/vizualizare a datelor cu caracter personal ale subiectului de date și, respectiv, nu a fost posibil de identificat scopul prelucrării.

Totodată, în privința unui operator de date-persoană juridică, CNPDCP a stabilit că, deși petentul și-a realizat dreptul de acces la datele sale cu caracter personal prelucrate de către entitate, expediind o cerere în sensul art. 13 al Legii nr133/2011 în adresa operatorului, ultimul nu i-a oferit un răspuns la cele solicitate, contrar dispozițiilor legale precitate.

III. CNPDCP a examinat sesizarea parvenită de la Direcția inspectare efectiv a Inspectoratului General al Poliției prin care se reclamă pretinse fapte ilegale admise la prelucrarea datelor cu caracter personal ale unui subiect de date de către angajații poliției din cadrul unui Inspectorat de poliție teritorial.

În context, CNPDCP a determinat că, caracteristica și cazierul contravențional pe numele subiectului de date, documente ce reflectă datele cu caracter personal – anul nașterii, numărul de identificare de stat (IDNP), datele din certificatul de înmatriculare, situația familială, adresa de domiciliul/reședința, comportamentul (caracterizează persoana), datele personale referitoare la sancțiunile contravenționale aplicate au fost emise și eliberate de către  persoana cu funcție de răspundere din cadrul autorității publice, în lipsa unui temei legal și a consimțământului subiectului de date, fără a avea o adresare/solicitare din partea subiectului vizat, a avocatului în interesele acestuia, inclusiv în lipsa solicitării înaintată de instanța de judecată de a fi eliberate aceste acte, acțiuni ce contravin condițiilor de drept prevăzute de art. 4 alin. (1) lit. a), art. 5, art. 8 și art. 9 din Legea nr. 133 din 8 iulie 2011 privind protecția datelor cu caracter personal.

4.      Activitatea de supraveghere

În conformitate cu prevederile statuate la art. 25 alin. (6) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale persoanei responsabile cu protecția datelor și de a le comunica CNPDCP. Astfel, în perioada de referință, CNPDCP a recepționat 11 scrisori, prin intermediul cărora a fost informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective, preponderent de la entitățile private.

Simultan, au fost elaborate și plasate pe pagina web oficială a CNPDCP, la compartimentul „Operator de date/Recomandările CNPDCP”, următoarele ghiduri/linii directorii: „Ghidul privind evaluarea impactului asupra protecției datelor cu caracter personal (DPIA)” și „Liniile directorii privind prelucrarea datelor cu caracter personal în cadrul sistemelor de supraveghere video”.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 204 consultații telefonice și 21 de răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorul de date.

5.      Știri internaționale și europene

   La data de 10 octombrie, a avut loc cea de-a 70-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a fost organizată la Bruxelles, Belgia.

În cadrul Plenarei, CEPD au fost adoptate mai multe documente, printre care:

·         Unul din principalele subiecte s-a referit la adoptarea de către CEPD a unei  liste de aspecte din dreptul procedural național pe care dorește să le armonizeze la nivelul UE pentru a facilita aplicarea GDPR-ului. Această așa numită „listă de dorințe” este una dintre acțiunile-cheie stabilite în declarația de la Viena a CEPD privind cooperarea în materie de aplicare a legislației.

·         Un aviz privind aprobarea de către Comitet a criteriilor de certificare Europrivacy prezentate de autoritatea luxemburgheză pentru protecția datelor. Acest aviz marchează aprobarea primului sigiliu european pentru protecția datelor de către CEPD, în conformitate cu art. 42 paragraful (5) din GDPR. Mecanismul de certificare Europrivacy este un sistem general care vizează o gamă largă de operațiuni de prelucrare diferite efectuate atât de operatori, cât și de persoane împuternicite de către operatori din diverse sectoare. Mecanismul include criterii specifice care îl fac scalabil și aplicabil la anumite operațiuni de prelucrare sau sectoare de activitate.

·         O declarație privind euro digital. În declarația sa, CEPD a reiterat importanța asigurării confidențialității și a protecției datelor prin concepție și implicit în cadrul acestui proiect, recomandând ca euro digital să fie disponibil atât online, cât și offline de-a lungul unui prag sub care nu este posibilă urmărirea, pentru a permite anonimatul deplin al tranzacțiilor zilnice.

    În perioada 19 – 20 octombrie, la Bruxelles, Belgia, a avut loc reuniunea Subcomitetului RM – UE pentru Libertate, Securitate și Justiție (Subcomitetul LSJ).

În cadrul reuniunii au fost discutate subiecte ce vizează evoluția în domeniul protecției datelor cu caracter personal, reforma sectorului justiției, prevenirea și combaterea crimei organizate a corupției și a altor activități ilegale, spălarea banilor și finanțarea terorismului.

De asemenea, în cadrul reuniunii au fost prezentate progresele înregistrate în domeniile sus-menționate de la ultima reuniune care a avut loc în perioada 12-13 octombrie 2021, în regim online. Reuniunea a întrunit inclusiv reprezentanți ai mai multor autorități din Republica Moldova, precum: Centrul Național Anticorupție; Procuratura Generală; Autoritatea Națională de Integritate; Ministerul Afacerilor Interne; Institutul Național al Justiției; Serviciul Prevenirea și Combaterea Spălării Banilor.

   În perioada 9 – 11 noiembrie, Misiunea OSCE în Moldova, în colaborare cu Misiunea OSCE pentru prevenirea conflictelor din Viena, a continuat proiectul intitulat „Grupul Comun de Lucru al Experților” început anul trecut. Evenimentul s-a desfășurat la Viena, Austria și a avut drept scop consolidarea capacităților pentru persoanele de gen feminin ce dețin  poziții de conducere. Obiectivul proiectului, a fost de a permite femeilor copreședinți și femeilor ce dețin posturi cheie să participe mai eficient la activitatea grupurilor de lucru mixte de experți în procesul de reglementare transnistreană, prin îmbunătățirea competențelor tehnice și prin consolidarea de relații personale între reprezentanții părților. În cadrul evenimentului au fost abordate mai multe subiecte, printre care: dinamica de gen; analiza conflictelor în funcție de gen; comportamente în negociere; lărgirea spațiului de manevră în procesele de negociere, etc.

   La data de 14 noiembrie, a avut loc cea de-a 71-a Ședință Plenară a Comitetului European pentru Protecția Datelor, care s-a desfășurat on-line.

În cadrul ședinței plenare, CEPD a adoptat Recomandări privind cererea de aprobare și elementele/principiile care trebuie să se regăsească în regulile corporative obligatorii pentru operatori (BCR-C). BCR-C reprezintă un instrument de transfer care poate fi utilizat de un grup de întreprinderi, angajate într-o activitate economică comună, pentru a transfera date cu caracter personal în afara Spațiului Economic European către operatori sau persoane împuternicite de către operator din cadrul aceluiași grup. BCR-urile creează drepturi executorii și stabilesc angajamente în vederea stabilirii unui nivel de protecție a datelor echivalent, în esență, cu cel prevăzut de GDPR.

Scopul acestor recomandări este de a:

·         furniza un formular standard actualizat de cerere pentru aprobarea BCR-C;

·         să clarifice conținutul necesar al BCR-C și să ofere explicații suplimentare;

·         să facă o distincție între ceea ce trebuie să fie inclus într-un BCR-C și ceea ce trebuie prezentat autorității principale de protecție a datelor în cererea BCR;

Un al doilea set de recomandări pentru persoanele care prelucrează BCR este în curs de elaborare.

    În perioada 16-18 noiembrie, a avut loc cea de-a 43 Ședință Plenară a Comitetului Consultativ al Convenției 108 pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, la Strasbourg, Franța. Evenimentul, organizat cu prezența fizică, după trei ani de întâlniri online/hibride, a adunat aproximativ 80 de participanți din toate regiunile lumii, timp de trei zile pentru a lucra și a face schimb de opinii cu privire la diverse aspecte de actualitate ce țin de domeniul protecției datelor cu caracter personal și pentru a contribui la dezvoltarea unor politici comune.

Printre temele discutate în cadrul acestei sesiuni au fost:

·         Identitatea digitală;

·         Model de clauză contractuală pentru transferul de date cu caracter personal;

·         Cooperarea cu alte organisme și entități ale Consiliului Europei;

·         Comitetul a organizat alegerile și au ales noul Birou;

·         Observatori – Comitetul a examinat și a aprobat două cereri de participare la reuniunile Comitetului introduse de Organizația Statelor Americane și, respectiv, de Autoritatea pentru protecția datelor din Burkina Faso;

·         Următoarele reuniuni 2022 și 2023 – Comitetul a comunicat despre datele următoarelor reuniuni plenare, care vor avea loc la 14-16 iunie 2023 și 15-17 noiembrie 2023, precum și de următoarele reuniuni ale Biroului din 15- 16 decembrie 2022, 22-24 martie 2023, 27-29 septembrie 2023 și 12-14 decembrie 2023;

·         Premiul Stefano Rodotà – Cei doi câștigători ai Premiului Rodotà 2022 și-au prezentat lucrările în fața Comitetului și au primit premiile.

    În perioada 18-19 noiembrie, la Tbilisi, Georgia, reprezentanții CNPDCP au participat la Atelierul European de gestionare a cazurilor 2022.

Evenimentul s-a axat pe probleme de actualitate în domeniul protecției datelor cu caracter personal și confidențialitate, în special cum ar fi:

·         Etapele parcurse în cadrul investigațiilor de către angajații autorităților;

·         Protecția datelor sociale indicații și excepții în legislația națională;

·         Transmiterea internațională de date cu caracter personal;

·         Date personale și inteligență artificială;

·         Principalele provocări cu care se confruntă autoritățile de supraveghere a datelor, etc.

Prezenți la eveniment, reprezentanții CNPDCP au abordat tematica – „Experiența Republicii Moldova și metodologia de examinare a plângerilor subiecților de date ce vizează copiii”. Invitația de participare la Atelier a venit din partea Serviciului de Protecție a Datelor cu Caracter Personal din Georgia, care desfășoară controlul legalității prelucrării datelor cu caracter personal din anul 2013. Evenimentul a întrunit circa 50 de participanți din 26 de țări europene.

 În perioada 12 – 14 decembrie, a avut loc reuniunea organizată în cadrul proiectul Cyber East: Acțiune privind criminalitatea cibernetică pentru reziliență în regiunea Parteneriatului Estic și a cuprins două evenimente majore, precum, ce-a de-a 6-ea ședință a Comitetului Director al Proiectului CyberEast EU-CoE și Ședința regională privind raportarea cibernetică și schimbul de date prin care se propune de a sprijini țările din Parteneriatului estic în construirea și menținerea parteneriatelor cu entitățile din sectorul privat, în principal furnizori de servicii Internet (ISP), pentru consolidarea mecanismelor de cooperare și încredere între sectorul privat, cetățeni și autoritățile de justiție penală, la Tbilisi, Georgia. În cadrul reuniunii au fost abordate mai multe subiecte, printre care:

·         Raportarea crimelor cibernetice/securității cibernetice. Provocări legate de raportare;

·         Clasificarea incidentelor cibernetice/crimelor cibernetice. Utilizarea taxonomiilor și necesitatea acestora;

·         Exemple de sisteme de raportare: idei de îmbunătățire pentru sistemele naționale;

·         SOPs  naționale și segregarea atribuțiilor;

·         Cooperarea între sectorul public și cel privat în Ucraina: accent pe noua legislație procedurală și utilizarea procedurilor/modelelor;

·         Ce tipuri de date și cum pot fi împărtășite de CSIRT-uri.

   În perioada 13 – 14 decembrie, a avut loc cea de-a 73-a Ședință Plenară a Comitetului European pentru Protecția Datelor, care a fost organizată la Bruxelles, Belgia. În cadrul Ședinței, CEPD a adoptat o declarație cu privire la recenta hotărâre C-817/19 a Curții de Justiție a Uniunii Europene (CJUE) privind utilizarea datelor din fișa cu numele pasagerilor (PNR) pentru prevenirea, depistarea, investigarea și urmărirea penală a infracțiunilor de terorism și a infracțiunilor grave, în temeiul Directivei PNR 2016/681. În declarația sa, CEPD solicită statelor membre ale UE să ia toate măsurile necesare la nivel legislativ și/sau administrativ pentru a se asigura că transpunerea și punerea în aplicare la nivel național a Directivei PNR sunt în conformitate cu Carta Drepturilor Fundamentale a UE, astfel cum a fost interpretată de CJUE. În acest sens, CEPD ia act de faptul că autoritățile de protecție a datelor sunt pe deplin competente să investigheze conformitatea cu cerințele UE în materie de protecție a datelor la nivel național.

  În perioada 15 – 16 decembrie, a avut loc cea de-a 57-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·         Convenția 108+, ratificările și aderările actuale;

·         Identitatea digitală;

·         Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

·         Clauze contractuale în contextul fluxurilor transfrontaliere de date;

·         Interpretarea articolului 11 din Convenția 108 modernizată;

·         Evoluții și activități majore în domeniul protecției datelor;

·         Cooperarea cu alte organisme și entități ale Consiliului Europei.

6.      Alte autorități pentru protecția datelor     La data de 19 octombrie, Autoritatea Franceză pentru Protecția Datelor (CNIL) a emis o amendă administrativă în valoare de 20 milioane de euro companiei Clearview AI pentru încălcarea articolelor 6, 12, 15, 17 și 31 din GDPR.

CNIL a primit numeroase plângeri de la persoane fizice cu privire la software-ul de recunoaștere facială Clearview AI și a inițiat o anchetă.

În urma investigațiilor, CNIL a constatat mai multe încălcări, cum ar fi:

·         Prelucrarea ilegală a datelor cu caracter personal (încălcarea articolului 6 din GDPR);

·         Nerespectarea drepturilor subiecților de date (articolele 12, 15 și 17 din GDPR);

·         Lipsa de cooperare cu CNIL (articolul 31 din GDPR).

Pe baza informațiilor care i-au fost aduse la cunoștință, CNIL a decis să impună o sancțiune financiară maximă de 20 de milioane de euro, în conformitate cu articolul 83 din GDPR.

În ceea ce privește riscurile foarte grave pentru drepturile fundamentale ale subiecților de date care rezultă din prelucrarea efectuată de companie, CNIL a dispus Clearview AI să înceteze colectarea și prelucrarea datelor cu caracter personal a persoanelor fizice rezidente în Franța fără un temei juridic și să șteargă datele acestor persoane pe care le-a colectat deja, în termen de două luni, adăugând la această somație o penalitate de 100 000 de euro pe zi de întârziere dincolo de aceste două luni.

  La data de 24 noiembrie, Autoritatea Franceză pentru Protecția Datelor (CNIL) a emis o amendă administrativă în valoare de 600 000 de euro aplicată companiei Élécricité de France (EDF) pentru încălcarea articolelor 7, 13, 14, 32 din GDPR, a Codului poștal și al comunicațiilor electronice.

CNIL, a primit numeroase plângeri privind dificultățile întâmpinate de persoanele fizice în ceea ce privește luarea în considerare a drepturilor lor de către compania EDF, care este primul producător de energie din Franța.

În urma investigațiilor, CNIL a constatat mai multe încălcări, cum ar fi:

·         Omisiunea obligației de a colecta consimțământul persoanelor fizice pentru a primi prospecțiuni comerciale prin e-mail (articolele L. 34-5 din Codul poștal și al comunicațiilor electronice și 7 din GDPR);

·         Nerespectarea obligației de informare și de exercitare a drepturilor subiecților de date (articolele 13 și 14 din GDPR);

·         Neasigurarea securității datelor cu caracter personal (articolul 32 din GDPR).

Cuantumul amenzii a fost decis prin prisma încălcărilor constatate precum și a tuturor măsurilor luate de furnizorul francez de energie în cursul procedurii pentru a se conforma.

  La data de 02 noiembrie, Autoritatea Portugheză pentru Protecția Datelor (CNPD) a emis o amendă în valoare de 4,3 milioane de euro companiei Portuguese National Statistics Institute (INI) pentru încălcarea art. 9 alin. (1); art. 12; art. 13; art. 28 alin. (1), (6) și (7); art. 35 alin. (1), (2) și (3) lit. b); art. 44; art. 46 și art. 83 din GDPR.

CNPD a primit mai multe plângeri cu privire la recensământul național. Pentru efectuarea recensământului, INE a utilizat serviciile CDN (rețea de livrare de conținut) ale unei companii americane, Cloudflare, Inc., cu peste 200 de centre de date răspândite în peste 100 de țări. În acel moment, aproximativ 2,5 milioane de formulare, care conțineau datele cu caracter personal a peste șase milioane de cetățeni cu reședința în Portugalia, fuseseră deja transmise către INE.

În urma anchetei ulterioare, CNPD a identificat cinci încălcări ale GDPR-ului în contextul prelucrării datelor recensământului din 2021, cu privire la următoarele aspecte: 

·         Lipsa legalității pentru prelucrarea categoriilor speciale de date cu caracter personal (art. 9 alin. (1) din GDPR);

·         Nerespectarea obligațiilor de transparență (art. 12 și 13 din GDPR), în special în ceea ce privește furnizarea oricăror informații referitoare la operațiunile de prelucrare, de exemplu prin afișarea unei notificări privind confidențialitatea pe site-ul INE;

·         Lipsa Evaluării Impactului asupra Protecției Datelor (art. 35 alin. (1), (2) și (3) lit. b) din GDPR);

·         Lipsa diligenței necesare cu privire la alegerea persoanei împuternicite de către operator (art. 28 alin. (1), (6) și (7) din GDPR), și anume, prin acceptarea unui contract standard, care nu a fost evaluat în conformitate cu art. 28 alin. (3) din GDPR;

·         Nerespectarea cerințelor legale pentru transferurile internaționale de date (art. 44 și art. 46 alin. (2) din GDPR), cum au fost interpretate de CJUE în Hotărârea Schrems II.

În acest context, urmare a faptelor și a raționamentului juridic, CNPD a stabilit că operatorul de date a încălcat diferite prevederi din GDPR referitor la prelucrarea datelor recensământului 2021 și, prin urmare, a decis, în temeiul articolului 58 alineatul (2) litera (i) și al articolului 83 din GDPR și al unor dispoziții naționale, să aplice operatorului de date o singură amendă în valoare de 4,3 milioane de euro. Această decizie este una finală, dar care poate fi contestată în instanțele naționale.

1. Activitățile de informare și instruire efectuate de CNPDCP
   

   La data de 10 iulie 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP),  a celebrat 14 ani de activitate. Cu acest prilej, CNPDCP a organizat mai multe activități dedicate domeniului protecției datelor cu caracter personal. Printre activități se numără acțiunea stradală organizată la data de 11 iulie, cu genericul: „14 ani de la fondarea CNPDCP”. Scopul acțiunii a fost de a disemina informații utile vizând domeniul protecției datelor cu caracter personal trecătorilor, de a informa și încuraja cetățenii Republicii Moldova să acorde o atenție mai mare domeniului respectiv.

   Totodată, în perioada de referință, CNPDCP a continuat procesul de instruire pentru reprezentanții autorităților publice locale (APL) și autorităților publice centrale (APC) în domeniul protecției datelor cu caracter personal. Scopul cursurilor de instruire a fost de a familiariza, sensibiliza și informa reprezentanții autorităților cu cele mai noi aspecte din domeniul protecției datelor. Principalele subiecte abordate au vizat: noțiuni generale privind datele cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; desemnarea persoanei responsabile cu protecția datelor cu caracter personal; specificul funcției și sarcinile responsabilului de protecția datelor. Astfel, cursurile de instruire au fost organizate pentru următoarele autorități:

   –  15 iulie – Consiliul Raional Nisporeni;
   –  20 iulie – DGETS;
   –  04 august –  Consiliul Raional Strășeni;
   –  19 august – Consiliul Raional Hîncești;
   –  02 septembrie – Consiliul Raional Anenii Noi;
   –  22 septembrie – Consiliul Raional Leova.

   În acest sens, în trimestrul III al anului curent, formatorii din cadrul CNPDCP, au instruit circa 197 reprezentanți din cadrul APL-urilor menționate supra și 64 reprezentanți din cadrul DGETS.

   De asemenea, în aceeași perioadă, CNPDCP a elaborat o listă de Recomandări pentru prestatorii de servicii de instalare a sistemelor de supraveghere video în vederea oferirii consultațiilor beneficiarilor finali de servicii la montarea sistemelor de supraveghere video. Recomandările sunt disponibile pe pagina web oficială a instituției și pot fi accesate la compartimentul Operator de date, sub-compartimentul Recomandările CNPDCP.

2. Activitatea de control
   
   În perioada iulie-septembrie curent, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 53 cazuri și au fost emise 54 decizii, dintre care în 33 cazuri s-a constatat încălcarea prevederilor legale. Totodată, în aceeași perioadă de către CNPDCP, au fost încheiate 30 de procese verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.
   
   
3. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal
   

   I. CNPDCP a examinat plângerea unui subiect de date cu caracter personal care a sesizat pretinsul fapt de prelucrare neconformă a datelor cu caracter personal, stocate în Registrul bunurilor imobile,  efectuate de către o administrație publică locală.

            În rezultatul soluționării plângerii CNPDCP a constatat că, administrația publică locală nu a      întreprins acțiunile corespunzătoare vizând măsurile organizatorice și tehnice necesare pentru protecția datelor cu caracter personal, contrar prevederilor art. 4 alin. (1) lit. a), art. 29 alin. (1), art. 30 alin. (1) ale Legii nr. 133/2011, nefiind asigurată confidențialitatea și securitatea datelor cu caracter personal în ceea ce privește riscurile prezentate de prelucrare și caracterul/natura datelor prelucrate în cadrul Băncii Centrale de Date a cadastrului bunurilor imobile, fără a monitoriza și implementa respectarea prevederilor acordului de prestare a serviciilor de acces la informație

   Consecutiv, relevăm că față de autoritatea publică locală precitată, prin Decizie s-a dispus:

   ·Revizuirea drepturilor de acces ale utilizatorilor la Banca Centrală de date a cadastrului bunurilor imobile, după schimbarea de statut al utilizatorului/lor (demisie, concediere, detașare ș.a.) prin actualizarea listei utilizatorilor cu drept de acces la informație, conform acordului de prestare a serviciilor de acces la informație;

   ·Informarea I.P „Agenția Servicii Publice” despre modificarea utilizatorilor, în vederea revocării codurilor de identificare/autentificare a utilizatorului autorizat din cadrul autorității publice, cât și blocării accesului la informația din Banca Centrală de Date a cadastrului bunurilor imobile;

   ·Instituirea unui mecanism de ținere de către utilizatorii autorizați a evidenței manuale și/sau electronice a accesării/consultării datelor cu caracter personal prin intermediul Băncii Centrale a cadastrului bunurilor imobile, prin consemnarea datei și orei exacte a prelucrării datelor cu caracter personal, justificarea scopului, temeiului și necesității operațiunii efectuate, specificarea sistemului de evidență din care au fost prelucrate acestea, categoriile de date prelucrate;

   ·Aducerea la cunoștință/instruirea efectivului din cadrul subdiviziunii din subordine, despre neadmiterea accesării/utilizării neautorizate a informației din Banca de Date a cadastrului bunurilor imobile și altor sisteme informaționale.

   II. CNPDCP a examinat plângerea a doi subiecți de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, efectuate de către o administrație publică locală, stocate în Registrul bunurilor imobile.

           În cadrul investigației s-a constatat că, operațiunile de accesare a bunului imobil, ce aparțin cu drept de proprietate subiecților de date, a fost efectuată de pe contul de utilizator creat pe numele unui fost angajat din administrația publică locală, care de 3 ani nu mai activa în cadrul entității, iar contul a fost utilizat de un  număr nedeterminat de angajați din cadrul administrației publice locale vizate.

           În context, prin decizia CNPDCP s-a constatat că operațiunea de accesare  a datelor cu caracter personal a subiecților de date a fost efectuată cu încălcarea art. 4  alin. (1) lit. a), b) și art. 5, art. 29 alin. (1), art. 30 alin. (1) ale Legii 133/2011 privind protecția datelor cu caracter personal, de către administrația publică locală, în lipsa unui scop determinat, explicit și legitim, exclusiv în condițiile în care accesarea a avut loc într-o zi declarată oficial nelucrătoare.

   III. În alt caz, în urma verificărilor efectuate, CNPDCP a constatat încălcarea dreptului de acces la datele cu caracter personal a unui subiect de date de către o autoritate publică.

           În fapt circumstanțele ce au servit drept motiv pentru inițierea verificării conformității operațiunilor de prelucrare a datelor cu caracter personal a fost plângerea depusă de către un subiect de date care își exprima dezacordul cu răspunsul oferit de o subdiviziune a Ministerului Afacerilor Interne (MAI), prin neoferirea informațiilor comprehensive privitor la datele cu caracter personal ce-l vizează, prelucrate în cadrul Sistemului Informațional Automatizat „Registrul informației criminalistice și criminologice”, acțiune pe care petentul o considera a fi contrară prevederilor art. 13 alin. (1) al Legii 133/2011 privind protecția datelor cu caracter personal.

           În rezultatul examinării plângerii, CNPDCP a constatat încălcarea prevederilor art. 13 alin. (1) al Legii 133/2011 privind protecția datelor cu caracter personal, dispunând, prin decizie ca MAI să întreprindă acțiunile ce-i sunt impuse în vederea asigurării realizării dreptului de acces la datele cu caracter personal pentru subiecții de date, inclusiv la datele prelucrate în Sistemul Informațional Automatizat „Registrul informației criminalistice și criminologice”,  fără a admite confuzii în ceea ce privește caracterul gratuit în realizarea dreptului de acces al oricărui subiect de date, recunoscut și garantat de art. 13 alin. (1) al Legii nr. 133/2011 privind protecția datelor cu caracter personal.

4. Activitatea de supraveghere
   

   În conformitate cu prevederile Legii nr. 175/2021 pentru modificarea unor acte normative, care a intrat în vigoare la data de 10 ianuarie 2022, a fost instituită obligația desemnării persoanei responsabile cu protecția datelor cu caracter personal. Astfel, în perioada de referință, CNPDCP  a recepționat 49 de scrisori, prin intermediul cărora este informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal, preponderent de la entitățile private.

   În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 195 consultații telefonice și 26 de răspunsuri prin intermediul poștei electronice, fiind înaintate recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date.

5. Știri internaționale și europene
   

   În perioada de referință, între Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) și Oficiul pentru Protecția Datelor din Republica Polonă a fost semnat Acordul de colaborare în domeniul protecției datelor cu caracter personal.

   –   La data de 12 iulie a avut loc cea de-a 67-ea ședință plenară a Comitetului European pentru Protecția Datelor (CEPD), care a fost organizată online.

   • În cadrul sesiunii plenare CEPD și Autoritatea Europeană pentru Protecția Datelor (AEPD) au adoptat avizul lor comun privind propunerea Comisiei Europene pentru Spațiul european de date medicale (EHDS). Propunerea are ca scop facilitarea creării unei Uniuni Europene a sănătății și să permită UE să utilizeze pe deplin potențialul oferit de schimbul, utilizarea și reutilizarea sigură și securizată a datelor privind sănătatea. CEPD și AEPD recunosc că infrastructura pentru schimbul de date electronice de sănătate prevăzută în prezenta propunere EHDS are ca scop facilitarea schimbului de date privind sănătatea. Cu toate acestea, din cauza volumului mare de date electronice de sănătate care ar fi prelucrate, a naturii lor extrem de sensibile, a riscului de acces ilegal și a necesității de a asigura pe deplin o supraveghere eficientă de către autoritățile independente de protecție a datelor, CEPD și AEPD solicită Parlamentului European și Consiliului să adauge la propunere o cerință de stocare a datelor electronice de sănătate în SEE, fără a aduce atingere transferurilor ulterioare în conformitate cu capitolul V din GDPR.

   –  La data de 28 iulie a avut loc cea de-a 68-a ședință plenară a Comitetului European pentru Protecția Datelor, care a fost organizată online. În cadrul ședinței au fost discutate și adoptate o serie de documente, care urmează a fi o recomandare pentru autoritățile de protecție a datelor și anume:

   • CEPD și AEPD au adoptat un aviz comun privind propunerea de regulament pentru prevenirea și combaterea abuzului sexual asupra copiilor. Propunerea vizează impunerea de obligații legate de detectarea, raportarea, eliminarea și blocarea materialelor online cunoscute privind abuzurile sexuale asupra copiilor, precum și de racolarea copiilor, furnizorilor de servicii de găzduire, de servicii de comunicare interpersonală, de magazine de aplicații software, de servicii de acces la internet și de alte servicii relevante. CEPD și AEPD consideră că abuzul sexual asupra copiilor este o infracțiune deosebit de gravă. Limitările drepturilor la viața privată și la protecția datelor trebuie, totuși, să respecte esența acestor drepturi fundamentale și să rămână limitate la ceea ce este strict necesar și proporțional.

   • Două scrisori ca răspuns la Access Now și BEUC cu privire la TikTok. În aceste scrisori, CEPD subliniază acțiunea rapidă întreprinsă de autoritățile de supraveghere irlandeză, italiană și spaniolă în urma anunțului TikTok că nu va mai solicita consimțământul utilizatorilor pentru a trimite reclame personalizate, iar temeiul juridic pentru aceasta va fi interesul legitim al TikTok și al partenerilor săi.

   • O decizie de soluționare a litigiilor în temeiul art. 65 GDPR. Decizia cu caracter obligatoriu urmărește să abordeze lipsa de consens cu privire la anumite aspecte ale unui proiect de decizie emis de autoritatea de supraveghere din Irlanda, în calitate de autoritate de supraveghere principală, în ceea ce privește Instagram (Meta Platforms Ireland Limited (Meta IE)) și obiecțiile ulterioare exprimate de unele dintre autoritățile de supraveghere vizate.

   –  În perioada 12-13 septembrie a avut loc cea de-a 69-a Ședință Plenară a Comitetului European pentru Protecția Datelor, care a avut loc în Bruxelles, Belgia. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

   • Declarația referitoare la propunerea Comisiei Europene privind Codul de cooperare polițienească al UE. Prezenta propunere urmărește să consolideze cooperarea în domeniul aplicării legii între statele membre, în special schimbul de informații între autoritățile competente. Codul este compus din trei măsuri principale: propunerea de regulament Prüm II, propunerea de directivă privind schimbul de informații polițienești și propunerea de recomandare a Consiliului privind cooperarea operațională a poliției.

   • Decizia CEPD asupra subiectului pentru cea de-a doua sa acțiune coordonată de aplicare a legii, care va viza desemnarea și poziția responsabilului cu protecția datelor. În cadrul unei acțiuni coordonate, CEPD va acorda prioritate unui anumit subiect pentru ca autoritățile de protecție a datelor să lucreze la nivel național. Rezultatele acestor acțiuni naționale vor fi apoi grupate și analizate, generând o perspectivă mai profundă asupra subiectului și permițând o urmărire țintită atât la nivel național, cât și la nivelul UE.

6. Alte autorități pentru protecția datelor
   

   –  La data de 07 iulie, Autoritatea Franceză pentru Protecția Datelor (APD) a emis o amendă în valoare de 175 000 de euro companiei UBEEQO International, pentru prelucrarea ilegală a datelor cu caracter personal. Dosarul face parte din tematica de control prioritar în 2020 referitor la noile utilizări ale datelor de geolocalizare în contextul mobilității. În acest sens, APD Franceză a verificat compania UBEEQO International, a cărei activitate este închirierea de vehicule pentru o perioadă scurtă. Investigațiile s-au concentrat în special pe datele colectate, perioadele de păstrare definite, informațiile furnizate subiecților de date și măsurile de securitate implementate. În urma investigațiilor, APD Franceză a constatat mai multe încălcări, cum ar fi:

   • Nerespectarea obligației de a asigura minimizarea datelor (articolul 5.1.c din GDPR);

   • Nedefinirea și nerespectarea unei perioade proporționale de păstrare a datelor (articolul 5.1.e din GDPR);

   • Nerespectarea obligației de informare a subiectului de date (articolul 12 din GDPR).

   –  La data de 19 iulie, Autoritatea Elenă pentru Protecția Datelor (APD) a emis a amendă în valoare de 20 000 de euro Societății de Administrare a Datoriilor pentru prelucrarea ilegală a datelor cu caracter personal și examinarea neesențială a drepturilor de opoziție și ștergere. În urma investigațiilor, APD Elenă a constatat că, în acest caz particular, societatea reclamată a împiedicat în mod nejustificat exercitarea drepturilor reclamantului, cu încălcarea prevederilor stipulate la articolul 12 alineatul (2) din GDPR și că prelucrarea în cauză a avut loc fără un temei legal, dat fiind faptul că a existat deja o scutire judiciară de la datoriile reclamantului, cu încălcarea prevederilor articolelor 5(1)(a), 5(2) și (6) din GDPR.

   –  La data de 08 septembrie, Autoritatea Franceză pentru Protecția Datelor (CNIL) a emis o amendă în valoare de 250 000 de euro companiei INFOGREFFE, pentru încălcarea articolului  5.1.e și articolului 32 din GDPR. În urma unei plângeri, CNIL, a efectuat o investigație online a site-ului infogreffe.fr, care permite utilizatorilor să consulte informații juridice despre companii și să comande documente și certificate din registrele comerciale. Investigațiile s-au concentrat în special pe perioadele de păstrare a datelor cu caracter personal și pe  măsurile de securitate implementate de grupul de interes economic INFOGREFFE, care furnizează serviciul de publicare a informațiilor juridice privind societățile comerciale prin intermediul site-ului. În urma investigațiilor s-a constatat:

   • Nerespectarea obligației de păstrare a datelor cu caracter personal pentru o perioadă de timp proporțională cu scopul prelucrării (articolul 5.1.e din GDPR);

   • Nerespectarea obligației de a asigura securitatea datelor cu caracter personal (articolul 32 din GDPR).

1.      Activitățile de informare și instruire efectuate de CNPDCP

      Pe parcursul trimestrului II al anului 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a înregistrat progrese în partea ce ține de activitățile de instruire pentru reprezentanții autorităților publice locale (APL) și a autorităților publice centrale (APC). Astfel, cursurile de instruire au avut drept scop consolidarea capacităților reprezentanților APL și APC prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. Cele mai importante subiecte abordate au fost, după caz: noțiuni generale privind datele cu caracter personal; prelucrarea categoriilor de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; persoana responsabilă cu protecția datelor cu caracter personal; evaluarea impactului asupra protecției datelor și consultarea prealabilă; desemnarea funcției și sarcinile responsabilului de protecția datelor. Cursurile de instruire au fost desfășurate pentru următoarele instituții/autorități:

–           8 aprilie – Consiliul municipal Bălți

–           19 aprilie – Consiliul Raional Rezina;

–           06 mai – Consiliul Raional Florești;

–           20 mai – Consiliul Raional Sîngerei;

–           03 iunie – Consiliul Raional Ungheni;

–           17 iunie – Consiliul Raional Călărași.

      În acest sens, CNPDCP a instruit circa 215 reprezentanți ai APL-urilor din regiunile sus-menționate.

      În partea ce ține de instruirile organizate pentru reprezentanții APC-urilor, CNPDCP a instruit circa 1310 reprezentanți ai: Serviciului Vamal; Serviciului Fiscal de Stat; Agenției Naționale pentru Siguranța Alimentelor și Secretariatului Parlamentului Republicii Moldova.

      La data de 15 aprilie curent, CNPDCP a lansat campania de informare și sensibilizare pentru comunitățile școlare cu genericul: „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line”. Primul curs de instruire a fost organizat la IPLT „Onisifor Ghibu” din mun. Chișinău, publicul țintă fiind elevii claselor a IV-a. Scopul campaniei, este de a oferi comunității școlare o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin.  Ulterior, la data de 6 mai au mai fost organizate două sesiuni de instruire în cadrul comunității școlare.

      Tematicile abordate în cadrul instruirilor au vizat: noțiuni generale privind datele cu caracter personal; utilizarea corectă a pozelor/video în mediul online; riscurile și amenințările în mediul online; comunicarea pe rețelele de socializare.

       De asemenea, în aceiași perioadă, de către CNPDCP au fost semnate două Acorduri de colaborare cu „Academia de Administrare Publică” și „Asociația Națională a Companiilor din Domeniul TIC”.

2.      Activitatea de control

     În perioada aprilie-iunie 2022, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 76 cazuri și au fost emise 50 decizii, dintre care în 32 cazuri s-a constatat încălcarea prevederilor legale. Totodată, în aceeași perioadă CNPDCP a constatat 37 de fapte contravenționale, au fost încheiate 34 de procese verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3.      Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I.                   Prelucrarea datelor cu caracter personal fără temei legal, manifestată prin accesarea datelor prin intermediul Registrului Bunurilor Imobile și încălcarea dreptului subiectului datelor cu caracter personal de acces la datele cu caracter personal.

     CNPDCP în cadrul examinării unei petiții depuse de către un subiect de date, a emis o decizie prin care s-a constatat încălcarea prevederilor art. 4 alin. (1) lit. a) și b), art. 5 alin. (1) și art. 13 alin. (1) ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către o companie imobiliară, la prelucrarea datelor cu caracter personal ale petiționarului, manifestată atât prin accesarea datelor cu caracter personal ale subiectului de date, stocate în Registrul Bunurilor Imobile, cât și ignorarea cererii subiectului de date, prin care, ultimul a solicitat informații referitoare la motivele, scopul prelucrării datelor cu caracter personal ce îl vizează, realizându-și dreptul de acces asupra datelor cu caracter personal.

     Astfel, în urma examinării cauzei s-a determinat că, operatorul de date cu caracter personal, a prelucrat datele cu caracter personal ale subiectului de date, stocate în Registrul Bunurilor Imobile, fără a avea un temei legal și fără consimțământul subiectului de date cu caracter personal, fiind reținută încălcarea, de către compania imobiliară a prevederilor art. 4 alin. (1) lit. a) și b) și art. 5 alin. (1) ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal.

    Mai mult, compania imobiliară a ignorat cererea subiectului de date, nerealizându-i dreptul de acces la datele cu caracter personal ce vizează subiectul de date, prevăzut de art. 13 alin. (1) al Legii privind protecția datelor cu caracter personal.

II.                Încălcarea regulilor de prelucrare și stocare a datelor cu caracter personal.

     CNPDCP a fost sesizat prin plângere de către un subiect de date cu caracter personal precum că un operator de date, în lipsa consimțământului subiectului de date, efectuează plăți din numele acestuia pe contul bancar al persoanei juridice, astfel fiind prelucrate datele cu caracter personal – nume, prenume, numărul de identificare de stat.

     În cadrul investigației s-a reținut că, o angajată a unei bănci, pe parcursul anului 2021 a utilizat un șablon al ordinului de încasare a numerarului în favoarea persoanei juridice, însă având drept plătitor un membru al cooperativei. În ordinele menționate angajata a modificat doar suma și data corespunzătoare, însă a omis să schimbe datele/informațiile plătitorului, deși la încheierea tranzacției ultima a verificat identitatea administratorului cooperativei fără ca acesta să prezinte copia buletinului de identitate a subiectului de date.

      Relevăm că, în conformitate cu art. 4 alin. (1) al Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, datele cu caracter personal care fac obiectul prelucrării trebuie să fie: a) prelucrate în mod corect și conform prevederilor legii; b) colectate în scopuri determinate, explicite și legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri. […]. Potrivit art. 5 al aceluiași act normativ, prelucrarea datelor cu caracter personal se efectuează cu consimțământul subiectului datelor cu caracter personal, cu excepția cazurilor statuate exhaustiv la alin. (5) al aceluiași articol. Conform art. 9 al actului normativ precitat, prelucrarea numărului de identificare de stat (IDNP) al persoanei fizice, […] sau a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală poate fi efectuată în următoarele condiții: a) subiectul datelor cu caracter personal și-a dat consimțământul; b) prelucrarea este prevăzută în mod expres de legislație.

      În context, prin decizie s-a constatat că angajata băncii, pe parcursul anului 2021, a încălcat dispozițiile art. 4 alin. (1) lit. a) și lit. b), art. 5 alin. (1) și art. 9 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal.

    Mai mult, CNPDCP a dispus, prin decizie, instituției bancare de a iniția instruirea angajaților/personalului implicat în procesul de prelucrare a datelor cu caracter personal, în vederea îndeplinirii de către aceștia a atribuțiilor funcționale în conformitate cu legislația în domeniul protecției datelor cu caracter personal, precum și cu documentele/regulamentele interne aprobate în acest sens.

4.      Activitatea de supraveghere

      În conformitate cu prevederile Legii nr. 175/2021 pentru modificarea unor acte normative, care a intrat în vigoare la data de 10 ianuarie 2022, a fost instituită obligația desemnării persoanei responsabile cu protecția datelor cu caracter personal. Astfel, în perioada de referință, CNPDCP  a recepționat 24 de scrisori, prin intermediul cărora este informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective, preponderent de la entitățile private.

      Simultan, au fost elaborate și plasate pe pagina web oficială a CNPDCP următoarele recomandări/opinii: Considerente în legătură cu utilizare tot mai frecventă a sistemului de supraveghere video înzestrat cu funcții de înregistrare audio; Aspecte practice și legale în legătură cu instalarea  și gestionarea mijloacelor de supraveghere video.

      În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 315 consultații telefonice și 20 de răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorul de date.

      Totodată, CNPDCP a informat, prin intermediul demersurilor oficiale expediate, 34 de autorități și instituții publice cu privire la necesitatea desemnării persoanei responsabile cu protecția datelor cu caracter personal.

5.      Știri internaționale și europene

–          La data de 06 aprilie a avut loc cea de-a 63-a ședință plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care,  a fost adoptată o Declarație privind anunțul unui nou cadru transatlantic de confidențialitate a datelor. CEPD salută angajamentele asumate de SUA de a lua măsuri „fără precedent” pentru a proteja confidențialitatea datelor cu caracter personal ale persoanelor fizice din Spațiul Economic European atunci când datele acestora sunt transferate în SUA.

–          La data de 4 mai a avut loc cea de-a 64-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line, în cadrul căreia a fost discutată adoptarea Avizului Comun al Comitetul European pentru Protecția Datelor și Autorității Europene pentru Protecția Datelor cu privire la Propunerea Parlamentului European și a Consiliului privind normele armonizate pentru un acces echitabil la date și o utilizare corectă a acestora (Legea privind datele).

–          La data de 12 mai a avut loc cea de-a 65-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. Sesiunea plenară s-a axat pe două subiecte și anume:

·         Au fost adoptate noile Orientări privind calcularea amenzilor administrative, armonizând metodologia utilizată de autoritățile de protecție a datelor. Astfel, sunt luate în considerare trei elemente: clasificarea încălcărilor în funcție de natura lor, gravitatea încălcării și cifra de afaceri a unei întreprinderi.

·         Au fost adoptate Orientările privind utilizarea tehnologiei de recunoaștere facială în domeniul aplicării legii. Orientările oferă îndrumări factorilor de decizie din UE și naționali, precum și autorităților de aplicare a legii, cu privire la punerea în aplicare și utilizarea sistemelor tehnologice de recunoaștere facială.

–          În perioada 18-20 mai, a avut loc cea de-a 30 – a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor, desfășurată în orașul Cavtat, Croația.

Evenimentul a fost găzduit de Agenția Croată pentru Protecția Datelor cu Caracter Personal, încurajând astfel participarea a circa 40 de țări. Agenda evenimentului a inclus subiecte de actualitate din domeniul protecției datelor cu caracter personal, precum: Convenția 108+, asistență reciprocă și convergență globală, protecția datelor în jurisprudența CEDO: ultimele evoluții din domeniu.

Totodată, Autoritățile membre au adoptat o Rezoluție privind necesitatea ratificării prompte a „Convenției 108+”, versiunea modernizată a Convenției 108. Rezoluția îndeamnă guvernele statelor membre ale Consiliului Europei, guvernele țărilor terțe ale Consiliul Europei, Uniunii Europene și Organizațiile Internaționale să accelereze procesul de semnare și ratificare a Convenției 108+.

–          În perioada 14-15 iunie a avut loc cea de-a 66-a ședință plenară a Comitetului European pentru Protecția Datelor, care a avut loc la Bruxelles, Belgia. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care Orientări privind certificarea ca instrument pentru transferuri. Scopul principal al acestor orientări este de a oferi clarificări suplimentare cu privire la utilizarea practică a acestui instrument de transfer și vor face obiectul unei consultări publice până la sfârșitul lunii septembrie.

6.      Alte autorități pentru protecția datelor

·         La data de 4 aprilie, Autoritatea daneză de supraveghere a datelor, a impus  o amendă administrativă în valoare de 1,3 milioane de euro companiei Danske Bank pentru încălcarea articolului 5 alineatul (2) din GDPR. În timpul anchetei s-a constatat că banca din cele peste 400 de sisteme deținute nu a putut documenta dacă au fost stabilite reguli pentru ștergerea și stocarea datelor cu caracter personal sau dacă a fost efectuată ștergerea manuală a datelor cu caracter personal. Aceste sisteme prelucrează datele cu caracter personal a milioane de persoane.

·         La data de 15 aprilie, Autoritatea Franceză pentru Protecția Datelor (CNIL), a impus o amendă administrativă în valoare de 1,5 milioane de euro companiei Dedalus Biologie pentru încălcarea articolelor 28, 29 și 32 din GDPR. În urma investigațiilor, CNIL a identificat trei încălcări. În primul rând, în contextul migrării unui pachet software către un alt instrument, solicitat de două laboratoare care utilizează serviciile Dedalus Biologie, acesta din urmă a extras un volum de date mai mare decât cel solicitat. Prin urmare, compania a prelucrat date dincolo de instrucțiunile impuse de operatorul de date și nu a respectat articolul 29 din GDPR. În al doilea rând, compania nu a asigurat securitatea datelor cu caracter personal, contrar articolului 32 din GDPR. Totodată s-a stabilit că, condițiile generale de vânzare propuse de Dedalus Biologie și contractele de mentenanță transmise către CNIL nu conțineau mențiunile prevăzute la articolul 28 alineatul (3) din GDPR.

·         La data de 3 mai, Autoritatea de Supraveghere a Islandei, a impus o amendă în valoare de 35 000 euro municipalității Reykjavík pentru utilizarea sistemului educațional Seesaw, un serviciu american bazat pe cloud. În urma anchetei s-a constatat că: acordul de prelucrare dintre Reykjavík și Seesaw a fost insuficient; municipalitatea nu a putut demonstra un scop specific, explicit și legitim pentru prelucrarea în cauză; prelucrarea nu a fost echitabilă, transparentă și nu au fost implementate principiile minimizării datelor și limitările stocării ținând cont de cantitatea de date colectate, de amploarea prelucrării acestora, de perioada de stocare și de accesibilitatea acestora; evaluarea impactului privind protecția datelor nu a îndeplinit cerințele minime; municipalitatea nu a demonstrat că a asigurat securitatea adecvată a datelor cu caracter personal în cauză și datele au fost transferate în Statele Unite ale Americii fără garanții adecvate. În plus, Autoritatea de Supraveghere a Islandei a concluzionat că toate prelucrările de date din sistemul educațional Seesaw ar trebui confiscate, iar datele elevilor ar trebui șterse.

1.      Activități de informare și instruire efectuate de CNPDCP

La data de 28 ianuarie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) în colaborare cu experții proiectului TAIEX, au organizat conferința națională „Transferuri transfrontaliere – Provocări ale transferului transfrontalier de date din perspectiva Convenției 108 + și GDPR”. Scopul conferinței a fost de a prezenta informații, exemple de bune practici și soluții inovatoare privind sensibilizarea şi informarea sectorului public despre provocările transferului transfrontalier de date cu caracter personal. Conferința a fost moderată de experți în protecția datelor cu caracter personal din Italia, Germania, Austria și reprezentanți din cadrul Comisiei Europene. Printre temele abordate de experți au fost: transferurile transfrontaliere de date cu caracter personal din perspectiva Convenției 108+ și tendințe globale, prezentare generală a temeiurilor privind  transferurile transfrontaliere de date cu caracter personal în temeiul GDPR și tipul de garanții necesare, provocările transferului transfrontalier de date cu caracter personal din perspectiva autorităților de supraveghere din UE, transferuri transfrontaliere de date în domeniul cooperării cu organele de ocrotire a legii, informații generale referitoare la conceptul de caracter adecvat al nivelului de protecție a datelor cu caracter personal și aspecte esențiale și procedurale ale deciziilor de adecvare. În cadrul evenimentului au participat circa 70 de reprezentanți ai sectorului public.

Totodată, la data de 26 ianuarie, a fost desfășurată Acțiunea stradală – ”Protejează datele cu caracter personal”, organizată de reprezentanții CNPDCP în contextul celebrării Zilei Europene a Protecției Datelor. În acest context, mai mulți angajați ai CNPDCP au distribuit trecătorilor, în preajma Scuarului Catedralei, materiale informative, cetățenii fiind sensibilizați despre noțiunea de date cu caracter personal, drepturile subiecților de date, măsurile de securitate și confidențialitate a datelor, precum și despre principiile de protecție a datelor cu caracter personal. Totodată, aceștia au fost informați cu privire la posibilele situații în care datele cu caracter personal nu sunt prelucrate în conformitate cu prevederile legislației naționale din domeniu, oferindu-le îndrumări și recomandări practice care ar trebui întreprinse în astfel de situații.

În perioada de referință, CNPDCP a înregistrat o evoluție remarcabilă la capitolul activități de instruire și sensibilizare desfășurate. A fost continuat șirul de instruiri organizate pentru reprezentanții autorităților publice locale (APL) din raionale Republicii Moldova, acestea având drept scop de a consolida capacitățile reprezentaților APL-urilor prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. Subiectele abordate în cadrul instruirilor au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaționale, etc. Totodată, cu titlu separat, au fost discutate aspectele legate de depersonalizarea corectă a datelor cu caracter personal ce se conțin în actele administrative ale autorităților publice locale publicate în Registrul de stat al actelor locale. Evenimentele, moderate de experți naționali în domeniul protecției datelor din cadrul CNPDCP, au fost organizate pentru aproximativ a câte 50 de primari, consilieri raionali și secretari ai consiliilor locale din fiecare centru raional în parte. Cursurile de instruire au fost desfășurate:

·        La data de 27 ianuarie – Consiliul Raional Ialoveni;

·        La data de 04 februarie – Consiliul Raional Telenești;

·        La data de 11 februarie – Consiliul Raional Edineț;

·        La data de 25 februarie – Consiliul Raional Drochia;

·        La data de 11 martie – Consiliul Raional Dondușeni;

·        La data de 25 martie – Consiliul Raional Soroca.

2.      Activitatea de control

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 53 de investigații. Din cele 53 de investigații: 47 de cazuri finalizate, în 27 cazuri s-a constatat încălcarea prevederilor legale. Totodată, au fost încheiate 18 procese-verbale cu privire la contravenție,  care ulterior au fost remise instanței de judecată pentru soluționare.

3.      Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I.   Încălcarea drepturilor subiectului de date cu caracter personal: dreptul de acces la datele cu caracter personal, dreptul de intervenție asupra datelor cu caracter personal și dreptul de opoziție.

CNPDCP, în cadrul examinării unei petiții depuse de către un subiect de date, a emis o decizie prin care s-a constatat încălcarea prevederilor art. 13 alin. (1) și art. 14 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către un agent economic, la prelucrarea datelor cu caracter personal ale petiționarului, manifestată prin ignorarea cererii subiectului de date, prin care, ultimul a solicitat, inclusiv, un răspuns care să demonstreze că operatorul de date a șters datele cu caracter personal ce îl vizează, astfel, realizându-și dreptul de intervenție asupra datelor cu caracter personal.

Astfel, subiectul de date cu caracter personal și-a realizat dreptul de acces și dreptul de intervenție la datele cu caracter personal ce îl vizează, înaintând o cerere către operatorul de date cu caracter personal, fiind solicitate informații referitoare la modalitatea asigurării protecției datelor cu caracter personal ale clienților, care sunt scopurile în care sunt utilizate aceste date, care sunt garanțiile că datele cu caracter personal nu sunt folosite în scopuri personale.

În urma examinării cauzei s-a determinat că, operatorul de date cu caracter personal, a ignorat cererea subiectului de date, nerealizându-i dreptul de acces și dreptul de intervenție la datele cu caracter personal ce vizează subiectul de date, prevăzut de art. 13 alin. (1) și art. 14 ale Legii privind protecția datelor cu caracter personal.

Respectiv, agentului economic i-a fost întocmit proces-verbal cu privire la contravenție în baza art. 741 alin. (3) Cod contravențional.

II. Încălcarea regulilor de prelucrare și stocare a datelor cu caracter personal, prin intermediul unui sistem de supraveghere video

CNPDCP, în cadrul examinării unei petiții depuse de către un subiect de date, a emis o decizie prin care s-a constatat încălcarea prevederilor art. 4 alin. (1) lit. a), b), c), art. 5 alin. (1) ale Legii nr. 133/2011, la prelucrarea datelor cu caracter personal ale petiționarului, în legătură cu colectarea/înregistrarea vocii persoanei vizate, fără consimțământul acesteia, prin intermediul camerei de supraveghere video, instalate pe un pilon electric, ce cuprindea atât proprietatea gestionarului sistemului de supraveghere video, cât și o porțiune din spațiul ce nu-i aparținea ultimului, fără a fi identificat scopul determinat, explicit și legitim, legătura de cauzalitate dintre scop și datele prelucrate ale petiționarului, proporționalitatea, corectitudinea și concordanța cu normele legale în domeniul protecției datelor cu caracter personal. Așadar, ținând cont de cele sus-indicate, Centrul a reținut că, înainte de instalarea unui sistem de supraveghere video, operatorul de date trebuie întotdeauna să examineze critic dacă această măsură este, în primul rând, adecvată pentru îndeplinirea obiectivului dorit și, în al doilea rând, proporțională și necesară pentru scopurile sale, în raport cu interesele sau drepturile și libertățile fundamentale ale subiectului de date. Prin urmare, înregistrarea audiovizuală de către operatorul de date  în cauză, prin intermediul camerei de supraveghere video, fără consimțământul persoanei vizate, constituia o măsură excesivă și disproporționată în raport cu scopul declarat, la caz, asigurarea securității proprietății.

Respectiv, operatorului de date cu caracter personal i-a fost întocmit proces-verbal cu privire la contravenție în baza art. 741 alin. (1) Cod contravențional.

4.      Activitatea de supraveghere

În conformitate cu prevederile Legii nr. 175 din 11 noiembrie 2021 pentru modificarea unor acte normative, care a intrat în vigoare la data de 10 ianuarie 2022, a fost instituită obligația desemnării persoanei responsabile cu protecția datelor cu caracter personal.

În acest sens, CNPDCP a recepționat peste douăzeci de scrisori, prin care este informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective. Totodată, CNPDCP a intervenit, după caz, cu recomandări în vederea înlăturării discrepanțelor identificate.

Simultan, au fost elaborate și plasate pe pagina CNPDCP mai multe comunicate referitor la: modificările survenite la legislația din domeniul protecției datelor cu caracter personal; necesitatea desemnării persoanei responsabile cu protecția datelor cu caracter personal; obligativitatea operatorilor de date de a plasa această informație pe pagina web și obligativitatea operatorilor de date de a efectua evaluarea impactului asupra protecției datelor, etc.

În perioada de referință, CNPDCP a elaborat și publicat în Monitorul Oficial și pe pagina web a instituției Lista Statelor care asigură un nivel adecvat de protecție a datelor cu caracter personal, în contextul modificărilor art. 32 din Legea nr. 133 privind protecția datelor cu caracter personal.

Totodată, a fost elaborată și urmează a fi publicată pe pagina web a CNPDCP lista tipurilor de operațiuni de prelucrare care fac obiectul cerinței de efectuare a unei evaluări a impactului asupra protecției datelor cu caracter personal.

Suplimentar, CNPDCP intenționează să publice ghidul privind evaluarea impactului asupra protecției datelor cu caracter personal cu scop de recomandare.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 391 consultații telefonice și 34 de răspunsuri prin intermediul poștei electronice.

5.      Știri internaționale și europene

–       La data de 18 ianuarie a avut loc cea de-a 59-a ședință plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care:

·        Linii directorii privind dreptul de acces. Liniile directorii au ca scop analizarea diferitelor aspecte ale dreptului de acces și oferirea unor orientări mai precise cu privire la modul în care trebuie pus în aplicare dreptul de acces în diferite situații.

·        Răspuns la scrisorile care solicită o interpretare coerentă a consimțământului pentru cookie-uri.

·        Actualizarea Liniilor directorii privind consimțământul. Acestea au ca scop asigurarea unei abordări armonizate a condiționalității consimțământului și indicarea neechivocă a solicitării.

–       La data de 22 februarie a avut loc cea de-a 61-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care:

·        CEPD a adoptat o scrisoare ca răspuns la Comisia pentru libertăți civile, justiție și afaceri interne (LIBE) a Parlamentului European cu privire la cel de-al doilea protocol adițional la Convenția privind criminalitatea informatică și având în vedere cele două propuneri de decizii ale Comisiei Europene care autorizează statele membre să semneze și să ratifice protocolul.

·        În urma unei consultări publice, CEPD a adoptat versiunea finală a Orientărilor privind codurile de conduită ca instrument pentru transferuri, luând în considerare feedback-ul primit de la părțile interesate. Scopul principal al orientărilor este de a clarifica aplicarea articolelor 40 alineatul (3) și 46 alineatul (2) litera (e) din GDPR.

·        CEPD a adoptat o scrisoare privind răspunderea pentru Inteligența Artificială.

–       La data de 14 martie a avut loc cea de-a 62-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care:

·        Linii directorii privind art. 60 din GDPR. Elaborarea acestor linii directorii fac parte din Strategia și Programul de Lucru 2021-2022 al CEPD, având drept scop de a sprijini aplicarea efectivă a legii și cooperarea eficientă între autoritățile naționale de supraveghere.

·        Linii directorii privind modelele întunecate în interfețele platformelor de social media. Acestea oferă recomandări practice designerilor și utilizatorilor platformelor de social media cu privire la modul de evaluare și evitare a așa-numitelor „modele întunecate” în interfețele de social media care încalcă cerințele GDPR.

·        Un set de instrumente privind garanțiile esențiale de protecție a datelor pentru cooperare în materie de aplicare a legii între autoritățile de supraveghere din SEE și cele din țările terțe. Aceasta contribuie la una dintre acțiunile-cheie ale Strategiei și Programului de Lucru al CEPD 2021-2022 și vizează facilitarea angajamentului dintre membrii CEPD și SA din țări terțe. Setul de instrumente acoperă subiecte cheie, cum ar fi drepturile executorii ale subiecților de date, conformitatea cu principiile de protecție a datelor și căile de atac judiciare.

·        Un aviz comun CEPD-AEPD cu privire la propunerile de extindere a certificatului digital COVID cu până la 12 luni. Subiectul va continua a fi analizat și la următoarea Ședință.

–       La data de 23-25 martie a avut loc cea de-a 55-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·        Convenția 108+, ratificările și aderările actuale;

·        Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

·        Identitatea digitală;

·        Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

·        Clauze contractuale în contextul fluxurilor transfrontaliere de date;

·        Cooperarea cu alte organisme și entități ale Consiliului Europei.

6.      Alte autorități pentru protecția datelor

·        La data de 28 ianuarie, Autoritatea pentru Protecția Datelor din Grecia (APDG) a impus o amendă totală în valoare de 9.250.000 de euro, companiilor de telecomunicații COSMOTE și OTE pentru scurgerea datelor cu caracter personal și prelucrarea ilegală a acestora. În cursul cercetării cauzei s-a constatat că, COSMOTE a încălcat principiile legalității și transparenței din cauza furnizării unor informații neclare și insuficiente abonaților. De asemenea, compania a fost considerată responsabilă pentru evaluarea slabă a impactului asupra protecției datelor, anonimizarea insuficientă, măsurile de securitate inadecvate luate și nerepartizarea rolurilor celor două companii (COSMOTE / OTE) în legătură cu prelucrarea în cauză. În plus, s-a constatat că ΟΤΕ a încălcat articolul 32 din GDPR, din cauza măsurilor de securitate inadecvate luate în legătură cu infrastructura utilizată în contextul încălcării. APDG, pe de o parte, a amendat COSMOTE cu suma totală de 6.000.000 de euro și a dispus încetarea  prelucrării și distrugerea datelor prelucrate ilegal, iar, pe de altă parte, a amendat OTE cu suma totală de 3.250.000 de euro.

·        La data de 10 februarie, Autoritatea Italiană pentru Protecția Datelor (AIPD)  a impus amendă în valoare de 20 milioane de euro companiei Clearview AI pentru prelucrarea ilegală a datelor cu caracter personal. În urma investigației inițiate din propria inițiativă, AIPD a constatat că datele cu caracter personal deținute de companie, inclusiv informațiile biometrice și de localizare geografică, au fost prelucrate ilegal, fără un temei juridic adecvat. În plus, compania a încălcat câteva principii fundamentale ale GDPR-ului, cum ar fi transparența, limitarea scopului și limitarea stocării. În acest context AIPD a impus interzicerea oricărei colectări ulterioare, prin intermediul tehnicilor de web scraping, a imaginilor și a metadatelor relevante referitoare la persoane aflate pe teritoriul Italiei și a prelucrării ulterioare ale acestora, precum și a dispus ștergerea datelor, inclusiv a datelor biometrice, prelucrate de sistemul său de recunoaștere facială.

·        La data de 15 martie, Autoritatea Irlandeză pentru Protecția Datelor (AIPD) a impus o amenda administrativă în valoare de 17 milioane euro companiei Meta Platforms (fostă Facebook) pentru încălcarea articolelor 5(2) și 24(1) din GDPR. În urma investigațiilor, AIPD a constatat că Meta Platforms nu a reușit să pună în aplicare măsuri tehnice și organizatorice adecvate, care i-ar permite să demonstreze cu ușurință măsurile de securitate pe care le-a implementat în practică pentru a proteja datele utilizatorilor din UE, în contextul celor douăsprezece încălcări ale datelor cu caracter personal.

1.      Activități de informare și instruire efectuate de CNPDCP

În perioada de referință, CNPDCP a înregistrat o evoluție remarcabilă la capitolul activități de instruire și sensibilizare desfășurate. Au fost continuate șirul de instruiri organizate pentru reprezentanții autorităților publice locale (APL) din raionale Republicii Moldova, acestea având drept scop de a consolida capacitățile reprezentaților APL-urilor prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. Subiectele abordate în cadrul instruirilor au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaționale, etc. Totodată, cu titlu separat, au fost discutate aspectele legate de depersonalizarea corectă a datelor cu caracter personal ce se conțin în actele administrative ale autorităților publice locale publicate în Registrul de stat al actelor locale. Evenimentele, moderate de experți naționali în domeniul protecției datelor din cadrul CNPDCP, au fost organizate pentru aproximativ a câte 50 de primari, consilieri raionali și secretari ai consiliilor locale din fiecare centru raional în parte, reieșind din măsurile de protecție impuse în contextul pandemiei de COVID – 19. Cursurile de instruire au fost desfășurate:

·         La data de 07 octombrie – în cadrul Consiliului Raional Căușeni;

·         La data de 05 noiembrie – în cadrul Consiliului Raional Râșcani;

·         La data de 11 noiembrie – în cadrul Consiliului Raional Fălești;

·         La data de 19 noiembrie – în cadrul Consiliului Raional Briceni;

·         La data de 26 noiembrie – în cadrul Consiliului Raional Glodeni;

·         La data de 3 decembrie – în cadrul Consiliului Raional Cahul.

Totodată, la data de 19 noiembrie, a fost desfășurată Acțiunea publică – ”Protejează datele cu caracter personal”, organizată de reprezentanții CNPDCP.  Publicul țintă – locuitorii raionului Ialoveni, au fost sensibilizați cu privire la importanța protecției datelor cu caracter personal. Acțiunea s-a desfășurat în preajma Consiliului Raional Ialoveni, iar cetățenii au fost informați despre noțiunea de date cu caracter personal, drepturile subiecților de date, măsurile de securitate și confidențialitate a datelor, precum și despre principiile protecției datelor cu caracter personal. Scopul acestei acțiuni a fost de a educa, motiva și încuraja cetățenii Republicii Moldova să acorde o atenție sporită protecției datelor cu caracter personal ce îi vizează.

2.      Activitatea de control

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 55 de investigații. Din cele 55 de investigații: 5 proceduri de investigații au fost inițiate ca urmare a autosesizării CNPDCP în legătură cu o presupusă prelucrare neconformă a datelor cu caracter personal; din 41 de cazuri finalizate, în 19 cazuri s-a constatat încălcarea prevederilor legale. Totodată, au fost încheiate 22 de procese verbale cu privire la contravenție,  care ulterior au fost remise instanței de judecată pentru soluționare.

3. Constatări ale CNPDCP

3.1  Pe parcursul perioadei de referință, CNPDCP a recepționat plângerea unui subiect de date cu caracter personal, privind pretinsa încălcare a dreptului de opoziție al acestuia, de către un agent economic, manifestată prin ignorarea cererii subiectului de date, depusă prin prisma art. 16 alin (1) al Legii privind protecția datelor cu caracter personal, prin care, ultimul a solicitat ștergerea datelor cu caracter personal ce-l vizează, stocate în baza de date a societății și încetarea expedierii mesajelor cu caracter comercial, la numărul de telefon ce-i aparține. În urma examinării cauzei s-a determinat că, agentul economic, ignorând cererea subiectului de date, nu i-a realizat dreptul de opoziție, fapt recunoscut de către operatorul de date cu caracter personal drept omisiune.

În acest caz, CNPDCP a constatat încălcarea prevederilor art. 16 alin. (1) al Legii nr. 133/2011 privind protecția datelor cu caracter personal, fiind pornit proces contravențional în privința agentului economic prin prisma art. 74 1 alin. (3) Cod contravențional.

3.2  Totodată, CNPDCP a constatat prelucrarea neconformă a datelor cu caracter personal de către primarul unei localități. Prelucrarea neconformă a datelor cu caracter personal a subiectului de date a fost materializată prin accesarea multiplă de către edilul localității, a datelor conținute în Registrul bunurilor imobile, fără a avea un scop și temei legal, precum și în lipsa consimțământului subiectului de date.

În cadrul examinării auditului accesărilor datelor cu caracter personal de către primar, CNPDCP a constatat că, edilul a efectuat 134 de accesări a datelor cu caracter personal, de pe 10 adrese IP diferite, dintre care multiple accesări fiind efectuate în afara programului de muncă și în zilele de odihnă. Astfel în urma efectuării controlului celor sesizate s-a constatat încălcarea art. 4, art. 5 și art. 29 din Legea 133/2011 privind protecția datelor cu caracter personal. Prin urmare, CNPDCP a inițiat procesul contravențional în raport cu edilul vizat prin prisma contravenției prevăzute de art. 74 1 alin. (4) Cod contravențional.

3.3  La 22 decembrie, Curtea Supremă de Justiție a respins recursul Ministerului Afacerilor Interne și a menținut decizia CNPDCP din 16 noiembrie 2018, prin care a constatat prelucrarea neconformă a datelor cu caracter personal cu cerințele legislației în domeniul protecției datelor cu caracter personal de către Ministerul Afacerilor Interne (MAI), în Sistemul Informațional Automatizat „Registrul informației criminalistice și criminologice”.

Decizia CNPDCP vizează necesitatea radierii informațiilor care au fost colectate/obținute de la autoritățile/instituțiile nerecunoscute din regiunea transnistreană în perioada anilor 1991 – 2005. Urmează a sublinia că, prelucrarea în mod automatizat a datelor cu caracter personal ale cetățenilor statului Republicii Moldova în baza unor informații parvenite de la structurile neconstituționale, care de fapt nu pot fi considerate autentice/veridice, precum și utilizarea acestora în detrimentul subiectului de date cu caracter personal vizat, reprezintă o încălcare gravă a drepturilor și libertăților omului. În acest sens, urmează a remarca Hotărârea Consiliului Superior al Magistraturii (CSM) nr. 209/14 din 10 aprilie 2012 “cu privire la demersul domnului Oleg Efrim, ministru al Justiției, referitor la opinia asupra adresării domnului Eugen Carpov, viceprim-ministru, pe marginea abordării unor probleme de natură juridică”, prin care CSM a constatat: “că orice act emis de autoritățile autoproclamate din această parte a Republicii Moldova contravin din capul locului Constituției, faptul referindu-se în egală măsură şi asupra oricăror hotărâri, decizii, sentințe pronunțate de judecătoriile instituite în regiunea dată ilegal. Astfel, Consiliul consideră ca fiind inacceptabile orice colaborări, conlucrări în aspect juridic şi propuneri de soluții juridice cu structurile din regiunea transnistreană.”

În consecință, în jurisprudența ce vizează Republica Moldova, Curtea Europeană a Drepturilor Omului în numeroase cazuri (Ilaşcu şi alţii vs. Moldova şi Rusia;  Eriomenco c. Republicii Moldova și Federației Ruse; Mozer c. Republicii Moldova și Federației Ruse; Catan alții c. Republicii Moldova și Rusiei) a constatat ilegalitatea actelor adoptate de entități nerecunoscute și neconstituționale din stânga Nistrului.

Accentuăm, că potrivit  Declarațiilor depuse odată cu instrumentul de ratificare al Convenției nr. 108 pentru protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal, Republica Moldova nu a declarat rezerve asupra dispozițiilor Convenției, în ce privește aplicarea acesteia asupra teritoriului din regiunea transnistreană. Astfel, Republica Moldova are obligația de a asigura protecția drepturilor și libertăților fundamentale ale cetățenilor săi în ceea ce privește prelucrarea datelor cu caracter personal, în special a dreptului la inviolabilitatea vieții intime, familiale și private, pe întreg teritoriul său.

4.      Activitatea de supraveghere

Pe parcursul perioadei de referință, reieșind din imposibilitatea, din motive de ordin tehnic, de a emite și semna decizii automatizate prin intermediul Registrului de evidență al operatorilor de date cu caracter personal, CNPDCP a expediat 204 scrisori de informare în vederea conformării operatorilor de date și/sau persoanelor împuternicite de operator cu prevederile art. 23-25 ale Legii nr. 133 privind protecția datelor cu caracter personal.

Concomitent, în conformitate cu prevederile Legii nr. 175 din 11 noiembrie 2021 pentru modificarea unor acte normative, care va intra în vigoare la data de 10 ianuarie 2022, se exclude obligația operatorilor de date cu caracter personal de a notifica Centrul Național pentru Protecția Datelor cu Caracter Personal, precum și se abrogă art. 28 al Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, fapt care determină lichidarea Registrului de evidență al operatorilor de date cu caracter personal, prin nimicirea ireversibilă a documentelor și informațiilor stocate pe suport de hârtie și a celor stocate în format electronic, în condițiile prevăzute de lege.

Totodată, în scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 405 consultații telefonice și 178 de răspunsuri prin intermediul poștei electronice.

5. Știri internaționale și europene

–        La data de 13 octombrie a avut loc cea de-a 56-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul Plenarei au fost discutate mai multe subiecte, printre care:

·         Mecanism de coerență și linii directorii;

·         Linii directorii privind restricțiile prevăzute la art. 23 din GDPR (în urma consultării publice);

·         Linii directorii privind datele copiilor – cerere de mandat.

–        La data de 18 noiembrie a avut loc cea de-a 57-a Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată cu prezența fizică la Brussels, Belgia. În cadrul Plenarei au fost discutate mai multe subiecte, printre care:

·         Linii Directorii privind interacțiunea dintre art. 3 și capitolul V din GDPR. Liniile directorii vor fi supuse consultării publice până la sfârșitul lunii ianuarie.

·         Declarația privind pachetul de servicii digitale și strategia de date a Comisiei Europene.

·         CEPD a nominalizat doi reprezentanți ai autorităților de Protecție a Datelor din Belgia și Germania pentru a participa la cea de-a șasea Revizuire Comună a acordului UE-SUA privind finanțarea în scopuri teroriste (TFTP).

–        La data de 14 decembrie a avut loc cea de-a 58-a Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. În cadrul Plenarei au fost discutate mai multe subiecte, printre care:

·         CEPD și Autoritățile de Supraveghere (AS) individuale au contribuit la evaluarea și revizuirea Directivei privind protecția datelor în materie de asigurare a respectării legii (LED), realizată de Comisia Europeană în conformitate cu art. 62 LED. LED-ul urmărește să ofere un nivel armonizat de protecție a datelor pentru persoanele fizice în domeniul aplicării legii în UE;

·         Ca parte a implementării Strategiei CEPD 2021-2023 și ca urmare a înființării unui grup de experți de sprijin (SPE), CEPD a convenit asupra planului de proiect al SPE;

·         CEPD a adoptat un răspuns pentru europarlamentarul Ujhelyi privind piratarea programelor spion Pegasus;

·         CEPD a adoptat versiunea finală a Liniilor Directorii privind notificarea încălcării securității datelor cu caracter personal. Acestea urmăresc să ajute operatorii de date să decidă cum să gestioneze încălcările de date și ce factori să ia în considerare în timpul evaluării riscurilor.

–        La data de 20-21 decembrie a avut loc cea de-a 54-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·         Convenția 108+, ratificările și aderările actuale;

·         Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

·         Identitatea digitală;

·         Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

·         Interpretarea articolului 11 din Convenția 108+;

·         Clauze contractuale în contextul fluxurilor transfrontaliere de date.

În contextul colaborării CNPDCP cu Autoritățile Europene de Protecție a Datelor, la 18 noiembrie, Centrul Național pentru Protecția Datelor cu Caracter Personal și Biroul Comisarului pentru Informații și Protecția Datelor din Malta, au semnat un Acord de colaborare în domeniul protecției datelor cu caracter personal. Acordul prevede dezvoltarea relațiilor de cooperare între cele două instituții pe aspectul obținerii unor progrese constante în domeniul protecției datelor, precum și promovarea bunelor practici care vor crea condiții favorabile pentru asigurarea protecției eficiente a datelor cu caracter personal ale cetățenilor Republicii Malta și Republicii Moldova.

6. Alte autorități pentru protecția datelor

–        La data de 14 octombrie, Autoritatea de Protecție a Datelor din Polonia (UODO) a aplicat  amendă  în valoare de 80.000 EURO, companiei Bank Millennium SA pentru încălcarea Articolului 33 (1), și Articolului 34 (1) din GDPR. UODO a aflat despre încălcarea securității datelor cu caracter personal dintr-o plângere depusă împotriva băncii. Plângerea a vizat pierderea de către o firmă de curierat a corespondenței care conținea date cu caracter personal, precum: nume, prenume, număr personal de identificare (număr PESEL), adresă înregistrată, numere de cont bancar, număr de identificare atribuit clienților băncii. În urma anchetei s-a constatat că operatorul de date nu a comunicat această încălcare Autorității de Supraveghere și nu și-a respectat în totalitate obligația de a informa subiecții de date despre aceasta.

–        La data de 24 noiembrie, Autoritatea de Protecție a Datelor din Islanda (DPA), a emis amendă administrativă în valoare de 7,5 milioane ISK (aproximativ 50.800 EURO) Ministerului Industriilor și Inovării iar compania YAY ehf. a fost amendată cu 4 milioane ISK (aprox. 27.100 EURO) pentru încălcarea Articolului 7, 9, 12, 13, 24, 25, 28 (3) și 32 din GDPR. Din cauza dificultăților economice din Islanda cauzate de pandemia COVID-19, guvernul islandez a decis, să impulsioneze sectorul turismului și întreprinderile mici prin emiterea unui certificat digital de 5000 ISK (aproximativ 34 de euro) oferit cadou tuturor islandezilor cu vârsta de peste 18 ani. În urma anchetei, DPA islandeză a constatat colectarea ilegală și inutilă a unui volum impunător de date cu caracter personal, cerințele privind consimțământul pentru prelucrare nu au fost îndeplinite, iar informațiile pe care subiecții de date le-au primit atunci când s-au conectat la aplicație au fost inadecvate. În plus, operatorul și persoana împuternicită de operator nu au asigurat securitatea corespunzătoare a datelor cu caracter personal.

–        La data de 13 decembrie, Autoritatea Norvegiană pentru Protecția Datelor a impus o amendă administrativă în valoare de 6,5 milioane EURO, companiei Grindr LLC pentru încălcarea Articolului 6 și Articolului 9 din GDPR. În 2020, Consiliul Norvegian al Consumatorilor a depus o plângere împotriva Grindr LLC, susținând partajarea ilegală a datelor cu caracter personal cu terți în scopuri de marketing. Datele partajate erau locația GPS, adresa IP, ID-ul de publicitate, vârsta, sexul și faptul că utilizatorul în cauză se afla pe Grindr. Autoritatea Norvegiană pentru Protecția Datelor a concluzionat că Grindr LLC a dezvăluit terților date cu caracter personal fără un temei legal. Mai mult, informațiile despre partajarea datelor cu caracter personal nu au fost comunicate în mod corespunzător utilizatorilor, iar acest lucru a fost contrar cerințelor legale specificate în GDPR referitor la consimțământul valid.

1.  Activități de informare și instruire efectuate de CNPDCP

–     La data de 17,18 și 19 februarie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit autoritățile locale din nordul, centrul și sudul Republicii Moldova. Cursul de instruire a avut drept scop familiarizarea participanților asupra supravegherii video și transmiterii online a ședințelor consiliilor locale. Participanții la curs au obținut informații cu privire la: cum ar urma să fie transmise online ședințele consiliilor locale, cine este responsabil de transmiterea online a acestora și cum urmează a fi furnizată informația. Instruirea a avut loc online și au participat 300 de persoane.

–     La începutul lunii martie, studenții facultății de Drept de la Universitatea de Stat din Moldova au fost familiarizați cu misiunea Centrului Național pentru Protecția Datelor cu Caracter Personal. Evenimentul a avut loc online pe platforma zoom unde au fost prezenți peste 50 de studenți. Angajații CNPDCP le-au explicat care sunt cele mai frecvent utilizate date cu caracter personal. Este vorba de prenumele, numele, adresa, numărul de telefon, adresa electronică, datele de localizare, adresa IP, starea civilă, fotografia feței, obiceiurile și preferințele, identificatorii online și orice alte date ce țin de identitatea fizică, fiziologică, economică, culturală sau socială care pot fi utilizate pentru identificarea directă sau indirectă a unei persoane fizice. Totodată, reprezentanții CNPDCP le-au vorbit studenților despre legislația și experiența statelor UE cu privire la protecția datelor, cazuri constatate de prelucrare a datelor cu caracter personal, procedurile aferente înregistrării operatorului de date cu caracter personal și despre cauzele contravenționale și consecințele prelucrării neconforme a datelor cu caracter personal.

–     La data de 11 martie, CNPDCP a oferit un curs de instruire pentru 50 de avocați din Republica Moldova, în domeniul protecției datelor cu caracter personal. Instruirea a fost făcută în cadrul întâlnirii online a organizației HELP a Consiliului Europei. Subiectele abordate în cadrul evenimentului au vizat: protecția datelor cu caracter personal și drepturile subiecților de date din Uniunea Europeană, dar și legislația Republicii Moldova care vizează protecția datelor. Anterior,  CNPDCP a elaborat aspecte practice care vizează protecția datelor cu caracter personal de către avocați, fiind publicate pe pagina web www.datepersonale.md: ”Aspecte privind practica de a depune la materialele dosarelor examinate de instanțele de judecată, a documentelor ce integrează date cu caracter personal ale persoanelor fizice, care nu sunt vizate în cazul examinat”. Aceste recomandări au drept scop asigurarea aplicării de către avocați a  principiului pertinenței și neexcesivității, care constă în limitarea volumului de date cu caracter personal la datele personale care prezintă relevanță pentru cauzele examinate, cu depersonalizarea datelor care sunt irelevante, excesive pentru caz, potrivit prevederilor art. 31 a Legii nr. 133/2011 privind protecția datelor cu caracter personal.

–     La data de 16 martie, CNPDCP, a oferit un curs de instruire în domeniul protecţiei datelor cu caracter personal angajaţilor Companiei Naţionale pentru Asigurări în Medicină la solicitarea instituţiei. La eveniment au participat circa 100 de persoane. Subiectele abordate în cadrul trainingului au vizat: principiile de protecţie a datelor cu caracter personal, drepturile subiecţilor de date, recomandările privind identificarea sistemelor de evidenţă în care are loc prelucrarea datelor cu caracter personal, cadrul normativ aferent protecţiei datelor şi implementarea cerinţelor legale din domeniul respectiv. Orice subiect al datelor cu caracter personal are dreptul de a obţine de la operator sau persoana împuternicită de către acesta, la cerere şi în mod gratuit: rectificarea, actualizarea, blocarea sau ştergerea datelor cu caracter personal a căror prelucrare contravine legii, în special datorită caracterului incomplet sau inexact al datelor şi notificarea terţilor cărora le-au fost dezvăluite datele cu caracter personal despre operaţiunile efectuate, exceptând cazurile când această notificare se dovedeşte a fi imposibilă sau presupune un efort disproporţionat faţă de interesul legitim care ar putea fi lezat. Participaţii la curs au primit răspuns la întrebările ce țin de aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv privind asigurarea legalităţii prelucrării datelor cu caracter personal în sistemele informaţionale gestionate de CNAM.

–     La data de 30 martie, CNPDCP a instruit, angajații Secretariatului Parlamentului Republicii Moldova întru asigurarea implementării conforme a prevederilor legislației privind protecția datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor. Subiectele abordate în cadrul instruirii au vizat: noțiunile generale privind protecția datelor cu caracter personal, principiile de protecție a datelor cu caracter personal, asigurarea securității și confidențialității datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor, aspecte generale ale securități datelor cu caracter personal, măsuri simple și esențiale de securitate și drepturile subiecților de date. Instruirea a avut loc online la solicitarea Secretariatului Parlamentului la care au participat 51 de angajați.

2.  Activitatea de control

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 97 de investigații. Din cele 97 de investigații: 16 proceduri de investigații au fost inițiate ca urmare a autosesizării CNPDCP în legătură cu o presupusă prelucrare neconformă a datelor cu caracter personal; în 45 de cazuri finalizate s-a constatat încălcarea prevederilor legale fiind încheiate 68 de procese verbale cu privire la contravenție,  care ulterior au fost remise instanței de judecată pentru soluționare.

3. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

3.1. CNPDCP a fost sesizat de subiectul de date privind încălcarea principiilor de protecție a datelor cu caracter personal ale petentului de către o companie de asigurări din Republica Moldova, prin intermediul plicului cu fereastră (chenar transparent) folosit în corespondență.

În urma examinării cauzei s-a determinat că, prin practica neconformă de a introduce în antetul reclamațiilor/scrisorilor a unui volum excesiv de date cu caracter personal, în raport cu scopul declarat, care ulterior sunt divulgate prin chenarul transparent al scrisorilor folosite de către operator, se favorizează accesul unui număr nedeterminat de persoane străine la datele cu caracter personal, fapt ce nu poate fi considerată o prelucrare ,,conformă” în sensul Legii nr.133/2011 privind protecția datelor cu caracter personal, or, legislația privind protecția datelor cu caracter personal a stabilit rigori clare privitor la implementarea măsurilor tehnice și organizatorice adecvate și eficace pentru protecția datelor cu caracter personal, de asigurare a confidențialității și securității datelor cu caracter personal.

Pe acest caz, CNPDCP a constatat încălcarea prevederilor legislației privind protecția datelor cu caracter personal și a dispus revizuirea/ajustarea informațiilor incluse în antetul reclamațiilor la cerințele statuate în Legea nr.133/2011 privind protecția datelor cu caracter personal, și anume, excluderea volumului excesiv de date cu caracter personal, precum și elaborarea/ aprobarea/ actualizarea instrumentului intern (regulament/ instrucțiune), în care să fie reglementată o procedura clară privind ținerea lucrărilor de secretariat, cu descrierea măsurilor tehnice și organizatorice necesare pentru protecția datelor cu caracter personal.

3.2. Ținând cont de caracterul repetat/continuu a plângerilor/sesizărilor adresate CNPDCP în ultima perioadă, vizând neconformitatea publicării actelor administrative cu caracter individual în Registrul de stat al actelor locale, în special fiind deplânse aspectele de nedepersonalizare sau depersonalizare incorectă a acestor acte, CNPDCP a adoptat decizia prin care a constatat încălcarea prevederilor legale din domeniul protecției datelor cu caracter personal. Totodată, CNPDCP a dispus Cancelariei de Stat, de comun cu autoritățile publice locale, de a întreprinde măsurile necesare în vederea instituirii unui mecanism de depersonalizare a actelor locale ce urmează a fi plasate în Registru.

3.3 CNPDCP a recepționat plângerea unui subiect de date, privind verificarea legalității prelucrării datelor cu caracter personal ce-l vizează, manifestată prin transmiterea certificatului de cazier judiciar unei persoane terțe, fără consimțământul subiectului de date.

În urma examinării cauzei s-a determinat că, operațiunea de prelucrare a datelor cu caracter personal, manifestată prin eliberarea cazierului judiciar ce conține date cu caracter personal a subiectului de date cu caracter personal, unei persoane neîmputernicite, nu a fost justificată din punct de vedere legal, fiind realizată în mod incorect și contrar prevederilor Legii nr. 133/2011 privind protecția datelor cu caracter personal.

Pe acest caz, CNPDCP a constatat încălcarea prevederilor art. 4 alin. (1) lit. a), art. 5 alin. (1), art. 6 alin. (1), art. 8 alin. (1), art. 29 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal.

3.4. CNPDCP, în contextul examinării demersului unei subdiviziuni al Ministerului Afacerilor Interne al RM, în temeiul art. 27 alin. (4) al Legii nr. 133/2011 privind protecția datelor cu caracter personal, s-a autosesizat în partea ce ține de neconformitățile admise de către un colaborator al MAI  la prelucrarea/accesarea datelor cu caracter personal, fără un scop și temei legal de accesare, ale unui subiect de date cu caracter personal, prin intermediul Sistemului informațional – ”EDATA MAI”.

În rezultatul examinării materialelor de control, CNPDCP a constatat încălcarea prevederilor art. 4 alin. (1) lit. a) al Legii nr. 133/2011 privind protecția datelor cu caracter personal, de către colaboratorul MAI, manifestată prin accesarea/consultarea datelor cu caracter personal ce vizează subiectul de date.

4. Activitatea de supraveghere

Pe parcursul perioadei de referință, la „Ghișeul unic” al CNPDCP au fost înaintate spre examinare –717  notificări în vederea înregistrării operatorilor de date cu caracter personal și/sau sistemelor de evidență gestionate. Ca urmare a analizei respectivelor formulare de notificare, au fost emise 262 de decizii de autorizare și 271 de decizii de refuz. Astfel, circa 184 de operatori de date și 262 de sisteme de evidență a datelor cu caracter personal au fost înregistrate în Registrul de evidență a operatorilor de date cu caracter personal.

5. Știri internaționale și europene

La data de 2 februarie, a avut loc cea de-a 45 Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul Ședinței au fost adoptate o serie de documente:

–         Recomandările 01/2021 cu privire la criteriile de referință privind caracterul adecvat al nivelului de protecție în temeiul Directivei privind protecția datelor în materie de aplicare a legii;

–         Aviz cu privire la proiectul Aranjamentului administrativ pentru transferurile de date cu caracter personal între Haut Conseil du Commissariat aux Comptes (H3C) și Comitetul de supraveghere a contabilității companiilor publice (PCAOB);

–         Declarație privind noile proiecte de dispoziții ale celui de-al doilea protocol suplimentar la Convenția Consiliului Europei privind criminalitatea informatică (Convenția de la Budapesta);

–         Răspunsul CEPD) la chestionarul Comisiei Europene privind prelucrarea datelor cu caracter personal pentru cercetare științifică, concentrându-se pe cercetarea în domeniul sănătății;

–         Ghidul privind art. 36 din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului.

La data de 10 martie,  în cadrul celei de-a 46 Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line, au fost adoptate o serie de documente:

–         CEPD și-a adoptat Programului de lucru pentru anii 2021-2022, în conformitate cu articolul 29 din Regulamentul de procedură al CEPD;

–         A fost adoptată Declarația privind proiectul Regulamentului ePrivacy;

–         A fost adoptat Ghidul nr. 2/2021 privind asistența vocală virtuală. Aceste linii directorii au scopul de a identifica unele dintre cele mai relevante provocări de conformitate pentru VVA și de a oferi recomandări părților interesate relevante cu privire la modul de abordare a acestora. Documentul a fost supus consultărilor publice pentru o perioadă de șase săptămâni;

–         A fost adoptată versiune finală a Ghidului nr. 1/2020 privind vehicule conectate, în urma consultării publice. Ghidul se concentrează pe prelucrarea datelor cu caracter personal în legătură cu utilizarea neprofesională a vehiculelor conectate de către subiecții de date;

–         A fost emisă Opinia comună cu EDPS nr. 3/2021 referitoare la propunerea de Regulament a Parlamentului European și Consiliului privind guvernanța datelor;

–         A fost adoptat în urma consultărilor publice Ghidul nr. 9/2020 privind obiecție relevantă și motivată;

–         Totodată, în cadrul CEPD au fost discutate proiectele de decizii privind conformitatea Regatului Unit, care au fost primite de la Comisia Europeană.

La data de 30 martie,  a avut loc cea de-a 47 Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line.

În cadrul Ședinței, Comitetul European pentru Protecția Datelor (EDPB) și Autoritatea Europeană pentru Protecția Datelor (EDPS) au adoptat Declarația comună  privind Propunerile pentru Certificatul Verde Digital. Certificatul Verde Digital are ca scop facilitarea exercitării dreptului la libera circulație în UE în timpul pandemiei COVID-19 prin stabilirea unui cadru comun pentru eliberarea, verificarea și acceptarea certificatelor de vaccinare, testare și vindecare în urma unui episod de COVID-19. Prin intermediul Declarației adoptate, EDPB și EDPS invită colegislatorii să se asigure că Certificatul Verde Digital este în conformitate cu legislația UE privind protecția datelor cu caracter personal și subliniază faptul că utilizarea acestuia nu poate duce, în niciun fel, la discriminarea directă sau indirectă a cetățenilor și trebuie să fie pe deplin în conformitate cu principiile fundamentale de necesitate, proporționalitate și eficacitate.

La data de 13 aprilie, în cadrul celei de-a 48 Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line, au fost adoptate o serie de documente, printre care:

–         două Avize cu privire la Proiectele de decizii de adecvare din Marea Britanie (Avizul 14/2021 care se bazează pe prevederile legale din GDPR și Avizul 15/2021 care se bazează pe Directiva privind protecția datelor în materie de asigurare a respectării legii). CEPD remarcă faptul că există domenii-cheie de puternică aliniere între cadrul legal privind protecția datelor din UE și Marea Britanie cu privire la anumite dispoziții de bază, cum ar fi:  temei pentru o prelucrare legală și echitabilă în scopuri legitime; limitarea scopului; calitatea și proporționalitatea datelor; păstrarea datelor, securitate și confidențialitate; transparență; categorii speciale de date; și privind luarea deciziilor și profilarea automată;

–         Linii Directorii privind aplicarea articolului 65 alineatul (1) litera (a) din GDPR, având drept scop de a delimita etapele principale ale procedurii și de a clarifica competența CEPD atunci când adoptă o decizie obligatorie din punct de vedere juridic în temeiul articolului menționat. Liniile Directorii au fost supuse consultării publice pentru o perioadă de șase săptămâni;

–         Versiunea finală a Liniilor Directorii privind direcționarea utilizatorilor de social media, în urma consultării publice, scopul acestora fiind de a clarifica rolurile și responsabilitățile furnizorilor de social media și ale persoanelor vizate;

–         Declarația privind acordurile internaționale, inclusiv transferurile. CEPD invită statele membre ale UE să evalueze și, acolo unde este necesar, să își revizuiască acordurile internaționale care implică transferuri internaționale de date cu caracter personal în scopul alinierii acestora la legislația UE privind protecția datelor.

La data de 19 mai a avut loc cea de-a 49-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care s-a desfășurat online. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

–         Două avize cu privire la Codurile de Conduită Transnaționale prezentate de către Autoritatea de Protecție a Datelor din Belgia (avizul cu privire la Codul de conduită al UE CLOUD, adresat furnizorilor de servicii cloud) și Autoritatea de Protecție a Datelor din Franța (avizul cu privire la Codul de conduită CISPE, adresat furnizorilor de servicii de infrastructură cloud). Aceste Coduri urmăresc să ofere îndrumări practice și să definească cerințe specifice (Art. 28 din GDPR) pentru persoanele împuternicite de operatori din UE care fac obiectul acestor Coduri. Acestea nu trebuie utilizate în contextul transferurilor internaționale de date cu caracter personal. CEPD este de părere că ambele proiecte de coduri de conduită sunt în conformitate  cu GDPR și îndeplinesc cerințele prevăzute la art. 40 și 41 din GDPR.

–         Declarația Legii privind guvernanța datelor (DGA) în lumina evoluțiilor din procesul legislativ. CEPD reiterează faptul că, fără garanții solide de protecție a datelor, există riscul ca încrederea în economia digitală să nu fie durabilă, subliniind, totodată, necesitatea de a asigura coerența DGA cu acquis-ul UE privind protecția datelor și îndeamnă colegiuitorii să acorde atenție anumitor aspecte, cum ar fi interacțiunea dintre DGA și GDPR și importanța asigurării faptului că noile definiții și concepte nu sunt incompatibile cu GDPR.

–         Recomandări cu privire la baza legală pentru stocarea datelor de pe cardurile de credit, în scopul de a facilita tranzacțiile online suplimentare. Recomandările acoperă situațiile în care subiecții de date cumpără un produs sau plătesc pentru un serviciu prin intermediul unui site web sau al unei aplicații și furnizează datele de pe cardul de credit pentru a încheia o tranzacție unică. Consimțământul oferit în conformitate cu art. 6 (1) (a) din GPDR ar trebui considerată singura bază legală adecvată pentru stocarea datelor de pe cardul de credit după achiziție.

La data de 18 iunie a avut loc cea de-a 50-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a avut loc online. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

–         Versiunea finală a Recomandărilor privind măsurile suplimentare în urma consultării publice. Recomandările au fost adoptate pentru prima dată în noiembrie 2020 în urma hotărârii CJUE Schrems II. Acestea urmăresc să asiste operatorii și persoanele împuternicite de operatori care acționează ca exportatori de date pentru a identifica și implementa măsurile suplimentare adecvate acolo unde sunt necesare pentru a asigura un nivel adecvat de protecție a datelor pe care le transferă către țări terțe.

–         O scrisoare adresată instituțiilor UE cu privire la aspectele ce țin de confidențialitatea și protecția datelor unui posibil euro digital. În scrisoare, CEPD subliniază că un standard ridicat de confidențialitate și protecție a datelor este crucial pentru a consolida încrederea utilizatorilor finali și ar trebui considerat un element distinctiv în oferirea unui euro digital, reprezentând un factor cheie al succesului. Totodată, CEPD indică că este pregătit să ofere consultanță BCE sau altor instituții ale UE.

–         A desemnat trei reprezentanți în cadrul Sistemului European de Informații și de Autorizare privind Călătoriile (ETIAS), care au sarcina de a evalua impactul prelucrării cererilor și va juca un rol important în asigurarea conformității sistemului cu drepturile fundamentale în special în ceea ce privește confidențialitatea și protecția datelor cu caracter personal.

–         Un aviz comun CEPD-AEPD cu privire la propunerea Comisiei pentru un regulament de stabilire a normelor armonizate referitor la inteligența artificială (AI).

În perioada 24-26 martie a avut loc cea de-a 52-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, care a avut online. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

–       Convenția 108+, ratificările și aderările actuale;

–       Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

–       Accesul  transfrontalier la datele cu caracter personal al organelor de ocrotire a legii;

–       Identitatea digitală;

–       Prelucrarea datelor cu caracter personal de către și pentru campaniile politice;

–       Schimbul automat de date;

–       Cooperarea cu alte organisme și entități ale Consiliului Europei;

–       Evoluții și activități majore în domeniul protecției datelor cu caracter personal, etc.

Totodată, în cadrul Ședinței a fost abordat un subiect de importanță majoră ce ține de certificatele de vaccinare COVID-19. În acest sens un aport considerabil l-au avut reprezentanții Comitetului pentru Bioetică (DH-BIO), precum și reprezentanții Secretariatului. În acest context, va fi prezentată delegațiilor Declarația „Covid-19 Vaccinarea, atestările digitale și protecția datelor ”.

6. Alte autorități pentru protecția datelor

–         Amendă în valoare de 10,4 mil. de euro aplicată de către Comisarul de stat pentru Protecția Datelor, Barbara Thiel din Saxonia Inferioară, companiei Notebooksbilliger.de AG, care se ocupa cu supravegherea video a potențialilor hoți fără nici o justificare legală. Camerele video erau instalate în spațiile de lucru, departamentul vânzărilor, depozite și camerele pentru personal. Potrivit companiei, camerele video au fost instalate pentru a preveni și investiga potențiale infracțiuni și pentru a urmări fluxul de mărfuri în depozite. Totodată, mai multe înregistrări au fost stocate mai mult de 60 de zile, contrar legislației. Amenda de 10,4 milioane de euro este cea mai mare sancțiune care a fost aplicată vreodată de Comisarul de stat pentru protecția datelor din Saxonia Inferioară în temeiul Regulamentului general pentru protecția datelor (GDPR). GDPR permite autorităților de supraveghere să impună amenzi de până la 20 de mil. euro – sau până la 4% din cifra de afaceri anuală totală a unei companii la nivel mondial.

–         Amenda administrativă în valoare de 250 000 de euro aplicată de către Autoritatea Suedeză pentru Protecția Datelor, Autorității de Poliție, pentru folosirea ilegală a aplicației de recunoaștere facială Clearview AI, în scopul identificării persoanelor.

În urma anchetei efectuate de către Autoritatea Suedeză pentru Protecția Datelor s-a concluzionat că Clearview AI a fost folosită de către câțiva angajați fără nicio autorizație prealabilă. Autoritatea de Poliție nu a implementat suficiente măsuri organizatorice pentru a asigura și a putea demonstra că prelucrarea datelor cu caracter personal în acest caz a fost efectuată în conformitate cu Codul Penal, prelucrând în mod ilegal date biometrice pentru recunoașterea facială, precum și nu a efectuat o evaluare a impactului asupra protecției datelor care ar fi fost necesară în acest caz. Suplimentar amenzii menționate supra, Autoritatea de Poliție va organiza cursuri de instruire pentru angajați în scop de a evita orice viitoare prelucrare ilegală a datelor cu caracter personal.

–         Amenda totală în valoare de 6.000.000 euro aplicată de către Autoritatea Spaniolă pentru Protecția Datelor (AEPD) companiei CAIXABANK, S.A pentru prelucrarea ilegală a datelor cu caracter personal ale clienților (4.000.000 euro) și pentru nefurnizarea de informații suficiente cu privire la prelucrarea datelor cu caracter personal (2.000.000 euro). Autoritatea Spaniolă pentru Protecția Datelor a considerat că compania CAIXABANK nu a oferit suficiente informații cu privire la categoriile de date cu caracter personal vizate, scopurile prelucrării datelor cu caracter personal, precum și legalitatea prelucrării acestora, în special activitățile de prelucrare bazate pe interesul legitim al companiei. În consecință, AEPD a constatat încălcarea prevederilor stipulate la articolele 13 și 14 din GDPR, fiind impusă o amendă de 2.000.000 euro. Totodată, Autoritatea Spaniolă pentru Protecția Datelor a constatat că CAIXABANK nu a furnizat niciun mecanism de colectare a consimțământului subiectului de date, iar activitățile de prelucrare a datelor bazate pe interesul legitim al companiei nu au fost suficient justificate. AEPD a concluzionat că aceasta a constituit o încălcare a articolului 6 din GDPR și, în conformitate cu articolul 83 alineatul (5) a din GDPR, a fost impusă o amendă administrativă în valoare de 4.000.000 euro. La stabilirea cuantumului amenzii administrative, AEPD a ținut cont de natura, gravitatea și durata încălcării, domeniul de activitate a companiei ce implică prelucrarea datelor cu caracter personal, precum și cifra de afaceri a acesteia. În plus față de amenda administrativă, cea mai mare impusă vreodată de APD spaniolă, AEPD a dispus companiei CAIXABANK să își aducă operațiunile de prelucrare a datelor în conformitate cu articolele 6, 13 și 14 din GDPR în următoarele șase luni.

–         Amenda în valoare de 475 000 euro aplicată de către Autoritatea Olandeză pentru Protecția Datelor (APD) companiei Booking.com pentru întârzierea raportării încălcării securității datelor cu caracter personal. Prin intermediul unei escrocherii telefonice vizând 40 de hoteluri din Emiratele Arabe Unite (EAU) în decembrie 2018, infractorii au convins personalul hotelului să dezvăluie detaliile de conectare pentru conturile lor într-un sistem Booking.com. În acest fel, infractorii au obținut acces la datele cu caracter personal a 4.109 de persoane care rezervaseră o cameră de hotel în EAU. Datele includeau numele, adresele și numerele de telefon, precum și detalii despre rezervarea acestora. Totodată, infractorii au putut accesa informațiile despre cardul de credit a 283 de persoane, iar în 97 de cazuri, a fost obținut și codul de securitate al acestuia. Infractorii au încercat, de asemenea, să obțină informațiile despre cardul de credit ale altor victime, dându-se drept personalul companiei  Booking.com în e-mailuri sau la telefon. Autoritatea Olandeză pentru Protecția Datelor a avertizat că observă o creștere explozivă a furtului de date cu caracter personal, care în 2020 a fost cu 30% mai mare decât în ​​anul precedent.

–         Amendă totală în valoare de 1 258 478 EUR aplicată de către Autoritatea Suedeză pentru Protecția Confidențialității (IMY) companiilor Medhelp și Voice Integrate pentru apelurile telefonice înregistrate către serviciul de consultații medicale, 1177, care erau disponibile și neprotejate pe internet. Cauza incidentului a fost că o unitate de stocare atașată la rețea a fost configurată incorect și a fost astfel accesibilă pe internet publicului. În plus, unitatea nu a utilizat comunicații criptate. În consecință, o cantitate mare de apeluri a devenit disponibilă fără protecție prin parolă sau altă protecție de securitate. Singurul lucru care era necesar a cunoaște pentru a obține acces la fișierele cu apelurile telefonice era adresa IP a unității de stocare. În urma contravențiilor care au fost stabilite, IMY a emis o sancțiune administrativă de 12 milioane SEK (1 193 813 €) pentru Medhelp și o sancțiune administrativă pentru Voice Integrate în valoare de 650.000 SEK (64.665 €).

BULETIN INFORMATIV NR. 6

(1 august – 30 octombrie 2020)

1. Activități de informare efectuate de CNPDCP

În ultima perioadă,  Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova (CNPDCP) primește multiple adresări prin care se solicită opinia autorității în legătură cu înregistrarea și transmiterea în direct prin intermediul internetului a ședințelor consiliilor locale. În acest context, în perioada de referință CNPDCP a analizat subiectul abordat și a notat că prin publicarea pe internet a ședințelor consiliilor locale, se va oferi acces la anumite informații care sunt puse în discuție în cadrul ședințelor, nu doar părților interesate din localitatea respectivă, dar unui număr nelimitat de persoane. Opinia detaliată a CNPDCP poate fi accesată la următorul link: https://datepersonale.md/aspecte-privind-inregistrarea-si-transmiterea-on-line-a-sedintelor-consiliilor-locale/

2. Activitatea de control 

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 82 de investigații. Din cele 82 de investigații: 4 proceduri de investigații au fost inițiate ca urmare a autosesizării CNPDCP în legătură cu o presupusă prelucrare neconformă a datelor cu caracter personal; în 28 de cazuri finalizate s-a constatat încălcarea prevederilor legale fiind încheiate 31 de procese verbale cu privire la contravenție,  care ulterior au fost remise instanței de judecată pentru soluționare.

3. Activitatea de supraveghere

Pe parcursul perioadei de referință, la „Ghișeul unic” al CNPDCP au fost înaintate spre examinare – 183 de notificări în vederea înregistrării operatorilor de date cu caracter personal și/sau sistemelor de evidență gestionate. Ca urmare a analizei respectivelor formulare de notificare, au fost emise 89 de decizii de autorizare și 94 de decizii de refuz. Astfel, circa 68 de operatori de date și 89 de sisteme de evidență a datelor cu caracter personal au fost înregistrate în Registrul de evidență a operatorilor de date cu caracter personal.

4. Știri internaționale și europene

La 2 septembrie curent a avut loc cea de-a 36-a sesiune plenară a Comitetului European pentru Protecția Datelor. În cadrul acestei ședințe Comitetul a adoptat Liniile directorii privind conceptele de operator și persoană împuternicită din RGPD și Liniile directorii orientate spre utilizatorii de social media. În plus, CEPD a creat un grup de lucru pentru reclamații ca urmare a hotărârii CEJ Schrems II și un grup de lucru dedicat măsurilor suplimentare pe care exportatorii și importatorii de date pot fi obligați să le ia pentru a asigura o protecție adecvată la transferul de date în contextul hotărârii CEJ Schrems II.

https://edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-seventh-plenary-session-guidelines-controller_en

La 7 octombrie  s-a desfășurat cea de-a 39-a sesiune plenară a Comitetului European pentru Protecția Datelor. În cadrul  ședinței au fost adoptate Liniile directorii privind conceptul de obiecție relevantă și motivată. Liniile directorii vor contribui la o interpretare unificată a conceptului, care va ajuta la implimentarea art. 65 din RGPD. Liniile directorii vizează stabilirea unei înțelegeri comune a noțiunii „relevant și motivat”, inclusiv ceea ce ar trebui luat în considerare atunci când se evaluează dacă o obiecție „demonstrează în mod clar semnificația riscurilor prezentate de proiectul de decizie” (articolul 4 (24) RGPD).

La 20 octombrie, CEPD s-a întrunit pentru cea de-a 40-a sesiune plenară. În timpul plenului, a fost discutată o gamă largă de subiecte.

În urma consultării publice, CEPD a adoptat o versiune finală a Ghidului privind protecția datelor din momentul conceperii și implicit. Liniile directorii se concentrează asupra obligației de protecție a datelor din momentul conceperii și implicit, astfel cum este prevăzut la art. 25 RGPD. Obligația de bază consacrată la articolul 25 constă în implementarea efectivă a principiilor de protecție a datelor și a drepturilor și libertăților persoanelor vizate din momentul conceperii și implicit. Aceasta înseamnă că operatorii trebuie să pună în aplicare măsuri tehnice și organizatorice adecvate și măsurile de protecție necesare, concepute pentru a stabili principiile de protecție a datelor în practică și pentru a proteja drepturile și libertățile persoanelor vizate. În plus, operatorii ar trebui să poată demonstra că măsurile implementate sunt eficiente.

Tot în cadrul acestei ședințe CEPD a decis să înființeze un cadru coordonat de aplicare (CEF). CEF oferă o structură pentru coordonarea activităților anuale recurente de către autoritățile de supraveghere ale CEPD. Obiectivul CEF este de a facilita acțiunile comune într-o manieră flexibilă și coordonată, variind de la creșterea conștientizării comune și colectarea de informații până la verificările de aplicare și anchete comune. Scopul acțiunilor coordonate anuale recurente este de a promova conformitatea, de a împuternici persoanele vizate să își exercite drepturile și să sensibilizeze. La această ședință CEPD a adoptat o scrisoare ca răspuns la Europäische Akademie für Informationsfreiheit und Datenschutz cu privire la implicațiile privind protecția datelor din articolul 17 din Directiva drepturilor de autor, în special cu privire la filtrele de încărcare a fișierelor. În scrisoare, CEPD afirmă că orice prelucrare a datelor cu caracter personal în scopul filtrelor de încărcare trebuie să fie proporțională și necesară și că, pe cât posibil, nu ar trebui prelucrate date cu caracter personal atunci când se aplică art. 17 din Directiva privind drepturile de autor. În cazul în care este necesară prelucrarea datelor cu caracter personal, cum ar fi pentru mecanismul de recurs, aceste date ar trebui să se refere doar la datele necesare pentru acest scop specific, aplicând în același timp toate celelalte principii ale RGPD. CEPD a subliniat că în continuare face schimb de informații cu Comisia Europeană pe această temă și că și-a manifestat disponibilitatea pentru o colaborare ulterioară.

 În perioada 28-30 septembrie a avut loc cea de-a 50-a reuniune a Biroului Comitetului Convenției 108, care s-a întrunit on-line. Peste 50 de experți în protecția datelor care reprezintă statele părți la Convenția 108, precum și observatori  s-au conectat zilnic la platformă, pentru a discuta subiectele agendei. Participanții au dus discuții pe teme prioritare ale Comitetului Convenției, cum ar fi recunoașterea facială, datele cu caracter personal prelucrate în contextul sistemelor de învățământ, profilarea, identitatea digitală precum și prelucrarea datelor cu caracter personal în contextul campaniilor politice.

Consiliul Europei publică raportul „Soluții digitale pentru combaterea COVID-19”, care analizează impactul asupra drepturilor la confidențialitate și protecția datelor a măsurilor luate pentru a preveni răspândirea pandemiei COVID-19 în cele 55 state africane, țările americane și europene părți la Convenția 108. Include o revizuire aprofundată și tehnică a utilizării aplicațiilor digitale de urmărire a contactelor și a instrumentelor de monitorizare.

5. Alte autorități pentru protecția datelor

–         o amendă de 830,000 euro a fost aplicată de Autoritatea Olandeză pentru Protecția Datelor către Registrul Național de Credit, pentru taxarea subiecților de date pentru solicitarea accesului la datele lor în format digital. Registrul Național de Credit a creat prea multe obstacole pentru persoanele care doresc să-și acceseze datele. Conform legislației privind confidențialitatea datelor cu caracter personal, acest lucru nu este permis.

–         o amendă de 75,000 euro a fost aplicată de Autoritatea Spaniolă pentru Protecția Datelor către VODAFONE ESPAÑA, pentru prelucrarea numărului de telefon al reclamantului în scopuri de marketing, după ce ultimul și-a exercitat dreptul la ștergere a datelor cu caracter personal în 2015, cu toate acestea, subiectului de date i-a fost transmis un SMS publicitar. Autoritatea Spaniolă pentru Protecția Datelor a considerat că VODAFONE ESPAÑA a încălcat articolul 6 alineatul (1) din GDPR, prin prelucrarea datelor personale ale reclamantului fără niciun temei legal.

–         o amendă de 100.000 zloți polonezi a fost aplicată de Autoritatea Poloneză pentru Protecția Datelor împotriva Autorității Generale de Geodezie a Poloniei (AGGP), pentru încălcarea principiului legalității prelucrării datelor cu caracter personal și punerea la dispoziție în mod intenționat fără un temei legal pe GEOPORTAL2 (geoportal.gov.pl) a datelor cu caracter personal sub formă de numere de carte funciară obținute din registrele funciare și de proprietate. În plus, AGGP trebuie să adapteze prelucrarea datelor cu caracter personal la prevederile GDPR, întrerupând punerea la dispoziție pe portalul GEOPORTAL2 (www.geoportal.gov.pl) a datelor cu caracter personal.

–         o amendă de 37, 400 euro  a fost aplicată de Autoritatea Norvegiană pentru Protecția Datelor împotriva Administrației Norvegiene a Drumurilor Publice, pentru prelucrarea datelor cu caracter personal în scopuri incompatibile cu scopurile menționate inițial și pentru neasigurarea ștergerii înregistrărilor video după 7 zile. Administrația Norvegiană  a Drumurilor a folosit camerele video de drum pentru a monitoriza părțile contractante, angajații, subcontractanții și angajații subcontractanților. Această utilizare a înregistrărilor video a fost incompatibilă cu scopul declarat inițial.

–         o amendă de 35, 3 milioane euro a fost aplicată de Comisarul din Hamburg pentru Protecția Datelor și Libertatea Informației (HmbBfDI) împotriva Centrului de Servicii H&M din Nurnberg pentru monitorizarea ilegală a câtorva sute de angajați de către administrație. Managerii au dobândit informația despre viața privată, religie, simptome ale bolii și diagnosticul angajaților, care a fost stocată permanent pe o rețea pentru o evaluare meticuloasă a performanței individuale a muncii și pentru a obține un profil detaliat al angajaților pentru măsuri și decizii referitoare la munca lor. Colectarea datelor a devenit cunoscută prin faptul că datele au devenit accesibile la nivel de companie pentru câteva ore în octombrie 2019 din cauza unei erori de configurare. HmbBfDI a ordonat, conținutul rețelei să fie “înghețat” și ulterior a cerut să fie returnat.

–         o amendă de 276,000 euro a fost aplicată de Autoritatea Norvegiană pentru Protecția Datelor împotriva Municipalității Bergen pentru prelucrarea neconformă a informațiilor ce conțin date cu caracter personal din sistemul de comunicare dintre școală și casă. În octombrie 2019, Autoritatea pentru Protecția Datelor a fost notificată cu privire la o încălcare a prelucrării datelor cu caracter personal de către municipalitatea Bergen, cu privire la noul instrument al municipalității pentru comunicarea dintre școală și casă, unde școala și părinții puteau comunica printr-un portal sau o aplicație. Municipalitatea nu a stabilit liniile directorii necesare pentru a securiza informațiile ce conțin date cu caracter personal ale copiilor și părinților cu o adresă confidențială înainte ca instrumentul să fie pus în aplicare. Astfel, o listă de contacte cu informații despre „adresa confidențială” a fost distribuită părinților la nivel de clasă. Amenda administrativă a fost impusă deoarece municipalitatea nu a implementat măsuri tehnice și organizatorice pentru a asigura un nivel adecvat de securitate a datelor cu caracter personal, precum și confidențialitatea acestora.