I.  Activitățile de informare și instruire efectuate de CNPDCP

În trimestru al treilea al anului curent (iulie-septembrie), Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a continuat să înregistreze progrese în partea ce ține de activitățile de informare și sensibilizare a publicului larg cu domeniul protecției datelor cu caracter personal.

În perioada de referință, s-a continuat organizarea cursurilor de instruire pentru subdiviziunile Inspectoratului General al Poliției (IGP), conform planului de instruiri aprobat și semnat de către conducătorii CNPDCP și IGP, la data de 25 ianuarie curent. Scopul acestora a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară. În cadrul evenimentelor au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații subdiviziunilor IGP; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

• 11 iulie – Inspectoratul de Poliție Ialoveni al IGP
• 17 iulie – Inspectoratul Național de Securitate Publică (INSP), Direcția Sud al IGP
• 03 august – Inspectoratul de Poliție Botanica al Direcției de Poliție
• 29 august – Inspectoratul Național de Securitate Publică (INSP), Direcția Nord al IGP
• 05 septembrie –  Inspectoratul de Poliție Sângerei al IGP
• 19 septembrie – Inspectoratul de Poliție Strășeni al IGP

În acest context, au fost instruiți circa 300 de reprezentanți din cadrul subdiviziunilor IGP.

Totodată, au fost continuate cursurile de instruire pentru instituțiile medicale. La data de 27 septembrie a avut loc cursul de instruire cu genericul „Prevederi legale în domeniul protecției datelor cu caracter personal” pentru reprezentanții Spitalului Clinic Municipal pentru Copii nr. 1, având drept scop de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. În cadrul evenimentului au fost abordate subiecte, cum ar fi: definirea datelor cu caracter personal privind sănătatea; prelucrarea categoriilor obișnuite de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea; principii de prelucrare a datelor cu caracter personal; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; confidențialitatea și secretul profesional; divulgarea datelor cu caracter personal privind starea de sănătate; obligativitatea de asigurare a confidențialității și securității datelor cu caracter personal; reducerea la minimum a datelor și limitarea stocării, etc. În cadrul evenimentului au fost instruiți circa 70 de reprezentanți ai Spitalului Clinic Municipal pentru Copii nr. 1.

La data de 13 septembrie 2023, CNPDCP a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru auditorii interni din cadrul autorităților publice, la solicitarea Ministerului Finanțelor (MF). MF în comun cu autoritățile publice centrale desfășoară misiuni de audit intern orizontale, tematica de interes comun identificată pentru anul 2023 fiind „Evaluarea procesului de prelucrare a datelor cu caracter personal în cadrul autorităților publice”. Scopul cursului de instruire a fost sporirea vizibilității și mediatizarea rolului auditului intern de a adăuga valoare și de a îmbunătăți activitatea entității, inclusiv a proceselor de management al riscului, control și guvernanță, prin prisma legislației privind protecția datelor cu caracter personal. În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; aspecte ce țin de Responsabilul cu protecția datelor (DPO); aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc. În cadrul evenimentului au participat circa 50 de auditori interni din cadrul a 30 de autorități publice.

La data de 28 septembrie, CNPDCP a organizat un curs de instruire cu genericul „Asigurarea protecției datelor cu caracter personal în activitatea Centrului Național Anticorupție (CNA)”. Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților CNA asupra principiilor de protecție a datelor cu caracter personal, în vederea cunoașterii și asimilării celor mai bune practici din domeniu, precum și asupra asigurării aplicării corecte a prevederilor legale în activitatea pe care o desfășoară, ceea ce va contribui ulterior la sporirea performanței angajaților CNA în depistarea și contracararea fenomenului corupției. În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații CNA; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat și evidența dusă de CNA a acestor acesări; cadrul normativ care reglementează protecția informațiilor din cauzele penale ce conțin date cu caracter personal; verificarea conformității prelucrării datelor cu caracter personal / etapele investigației; aspecte ce țin de Responsabilul cu protecția datelor (DPO); aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc. În cadrul evenimentului au fost instruiți circa 150 de reprezentanți ai CNA.

La data de 29 septembrie, CNPDCP a organizat un curs de instruire cu genericul „Evaluarea, prin prisma sistemului de control intern managerial existent, funcționalitatea procesului de prelucrare a datelor cu caracter personal în cadrul judecătoriilor și curților de apel” pentru reprezentanții Agenției de Administrare a Instanțelor Judecătorești (AAIJ), Zona Sud, la solicitatea acestora. Evenimentul a avut loc la sediul Curții de Apel Comrat. Scopul cursului de instruire a fost de a spori gradul de percepție a reprezentanților AAIJ asupra principiilor de protecție a datelor cu caracter personal, precum și de a indentifica un mecanism de evaluare a impactului asupra protecției datelor cu caracter personal în judecătorii și curțile de apel. În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; examinarea solicitărilor de dezvăluire a datelor cu caracter personal; verificarea conformității prelucrării datelor cu caracter personal; etc. În cadrul evenimentului au fost instruiți circa 40 de reprezentanți ai AAIJ.

În aceiași perioadă de referință, și anume în data de 10 iulie, CNPDCP în colaborare cu experții proiectului TAIEX, au organizat conferința națională ”Evaluarea Impactului asupra Protecției Datelor și rolul Responsabilului cu protecția datelor”. Scopul conferinței a constat în preluarea celor mai bune practici legale și operaționale de către reprezentanții instituțiilor publice privind mecanismele de Evaluare a Impactului asupra Protecției Datelor (DPIA), operațiunile de prelucrare care necesită o DPIA, precum și rolul Responsabilului cu protecția datelor (DPO) în cadrul operatorilor de date cu caracter personal din sectorul public. Conferința a fost moderată de experți în protecția datelor cu caracter personal din Italia și Malta. Printre temele abordate de experți au fost: evaluarea necesității și proporționalității operațiunilor de prelucrare care fac obiectul cerinței de efectuare a unei evaluări a impactului asupra protecției datelor; scenarii de evaluare a impactului asupra protecției datelor cu caracter personal; mecanisme practice de efectuare a consultărilor prealabile dacă evaluarea impactului asupra protecției datelor, indică faptul că prelucrarea ar genera un risc sporit, iar acesta nu poate fi atenuat prin mijloace rezonabile sub aspectul tehnologiilor disponibile și al costurilor implementării, de către angajații DPA-urilor; mijloacele acordate Responsabilului cu protecția datelor pentru a-și îndeplini misiunile; exemple de cele mai bune practici pentru a ajuta instituțiile de stat / organizațiile în numirea și sprijinirea Responsabilului cu protecția datelor, în scopul evitării unor eventuale conflicte de interese; etc. În cadrul evenimentului au participat circa 60 de reprezentanți ai sectorului public.

II. Activitatea de control

În perioada iulie – septembrie 2023, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 93 de cazuri. În perioada de referință, au fost emise 94 decizii, dintre care în 52 cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 27 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

III. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

1. În rezultatul examinării multiplelor plângeri din partea diferitor subiecți de date, precum și ținând cont de mediatizările în spațiul public a faptului accesării datelor cu caracter personal ale unui număr excesiv de subiecți de date cu caracter personal în Banca centrală de date a cadastrului bunurilor imobile, efectuat de către un ONG, CNPDCP a inițiat controlul în vederea stabilirii circumstanțelor ce au dus la situația identificată.

Urmare a acțiunilor efectuate în cadrul controlului vizat, s-a determinat că în perioada mai 2022 – iulie 2022, utilizatorul autorizat al ONG-ului vizat a efectuat 680263 de accesări în Registrul Bunurilor Imobile (RBI) la aproximativ 378261 de bunuri imobile, fiecare dintre ele având unu, doi și mai mulți proprietari, noi și vechi. Numărul persoanelor fizice, ale căror date cu caracter personal au fost accesate, a constituit 362533.

Potrivit materialelor acumulate în cadrul controlului, în scopul realizării unor rapoarte independente de verificare a integrității candidaților la funcția de membru în Consiliul Superior al Magistraturii și Consiliul Superior al Procurorilor, ONG-ul vizat a contractat o persoană fizică pentru a analiza datele privind subiecții evaluați în rapoartele independente de verificare a integrității în cadrul procedurilor de pre-vetting și vetting și a colecta date deschise din spațiului online și consultanță în domeniul IT. Accesările datelor cu caracter personal a persoanelor vizate s-ar fi produs din cauza folosirii unui robot automat de căutare a adreselor juridice în motorul de căutare al serviciului web cadastru.

În rezultatul controlului, CNPDCP a constatat că acțiunile utilizatorului autorizat care a efectuat operațiunea de accesare a datelor cu caracter personal ale unui număr impunător de subiecți de date care nu au nici o legătură cauzală cu persoanele/candidații care au fost obiectul studiului și bunurile imobile ale acestora, au fost prelucrate excesiv, fără a avea la bază un scop bine-determinat, explicit și legitim, adecvat, pertinent și neexcesiv, în raport cu obiectivul stabilit, precum și fără a deține consimțământul subiectului de date cu caracter personal.

La fel, CNPDCP a constatat că, o altă circumstanță ce a contribuit la efectuarea accesărilor excesive a fost inacțiunile operatorului în raport cu persoana împuternicită de către operator, în sensul evaluării corectitudinii prelucrării datelor cu caracter personal. În perioada nominalizată supra, ONG-ul nu a întreprins nici o acțiune de verificare a implementării măsurilor tehnice și organizatorice de către utilizatorul autorizat privind prelucrarea în mod corect şi conform prevederilor legii a datelor cu caracter personal stocate în RBI, cu toate că, pornind de la prevederile expuse în Declarația privind obligația de confidențialitate și securitate a datelor cu caracter personal, semnată de către utilizatorul autorizat, această obligație se regăsea.

Totodată, I.P. ,,Agenția Servicii Publice”, în calitate de posesoare a Băncii Centrală de Date a cadastrului bunurilor imobile, avea obligațiunea legală să ia măsurile organizatorice şi tehnice necesare pentru protecția datelor cu caracter personal stocate în această resursă informațională de stat, fapt ignorat de către aceasta la etapa corespunzătoare.

Pornind de la circumstanțele descrise, CNPDCP a constatat încălcarea prevederilor Legii nr. 133/2011 privind protecția datelor cu caracter personal de către utilizatorul autorizat, de către ONG-ul vizat și de către ASP.

2. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, prin care a fost solicitată verificarea legalității acțiunilor efectuate de către un operator de date, manifestate prin plasarea pe rețeaua de socializare ,,Facebook”, a unei postări însoțită de pozele actelor de identitate a petentului.

În cadrul investigației s-a determinat că, operatorul de date este administratorul contului de Facebook unde au fost publicate doua imagini a actelor de identitate (buletinul de identitate și pașaportul), însă postarea a fost publicată nu de dânsul, ci de o altă persoană care se află în relații de rudenie, căruia i-a oferit accesul la contul său.  În cadrul efectuării controlului, operatorul de date (administratorul contului de Facebook), și-a recunoscut vina și a conștientizat că a fost săvârșită o abatere de la normele privind protecția datelor cu caracter personal.

În context, CNPDCP, prin Decizie a constatat că, operațiunea de prelucrare a datelor cu caracter personal manifestate prin postarea/publicarea actelor de identitate, pe rețeaua de socializare ,,Facebook”, efectuate de către operatorul de date, constituie o încălcare a prevederilor art. 4 alin (1) lit a), art. 9 și art. 29 alin (1) ale Legii nr. 133 din 08.07.2011, la prelucrarea datelor cu caracter personal a subiectului de date, fără a avea un temei legal în acest sens, fără a garanta confidențialitatea datelor prelucrate și fără consimțământul petentului.

3. CNPDCP a examinat plângerea unui subiect de date prin care se solicita intervenția autorității de control, conform competențelor atribuite prin Legea privind protecția datelor cu caracter personal, pentru a stabili și a sancționa persoana-(le) din cadrul entități publice ce se fac responsabile de răspândirea cu bună-știință a informațiilor confidențiale, ocrotite de lege, care au transmis prin intermediul e-mail-ului de serviciu către toți angajații documente ce conțin informații personale, inclusiv informații privind starea de sănătate a subiectului de date. Prin urmare, subiectul datelor cu caracter personal consideră că de către persoana-(le) responsabile din cadrul entității publice au fost comise acțiuni ilegale, prin diseminarea informațiilor confidențiale, în lipsa consimțămîntului acesteia, fiindu-i grav încălcat dreptul la protecția datelor privind starea de sănătate.

În rezultatul soluționării plângerii subiectului datelor cu caracter personal, CNPDCP a constatat prin decizie că, angajata din cadrul entității publice a acționat în mod individual stabilind scopul şi mijlocele de prelucrare a datelor privind starea de sănătate a subiectului vizat, fără a ține cont de instrucțiunile/dispozițiile conducerii entității, a stabilit transmiterea/dezvăluirea către toți angajații  a informațiilor conținute în certificatul medical eliberat pe numele subiectului de date, în lipsa unei obligații legale/temei legal, fără a asigura confidențialitatea datelor cu caracter personal, acțiune ce contravine condițiilor de drept prevăzute de art. 4 alin. (1) lit. a), art. 6 alin. (1) și art. 29 alin. (1) din Legea privind protecția datelor cu caracter personal.

IV. Activitatea de supraveghere

În perioada de referință, CNPDCP a venit cu mai multe precizări și recomandări atât pentru subiecții de date, cât și cu recomandări pentru autoritățile publice:

1. În atenția utilizatorilor aplicației Yandex Go

În contextul informațiilor mediatizate, vizând accesul la datele cu caracter personal prelucrate prin intermediul aplicației „Yandex Go” (cum ar fi: datele dispozitivelor mobile ale utilizatorilor, numele, numărul de telefon, adresa de e-mail, date bancare și adresele călătoriilor cu taxiul), CNPDCP a îndemnat subiecții de date să fie prudenți și să se informeze, în prealabil instalării aplicației Yandex Go pe dispozitivele mobile, asupra condițiilor stipulate în Politica de confidențialitate Yandex, deoarece, odată instalată această aplicație, prelucrarea datelor cu caracter personal se efectuează pe baza consimțământului subiectului de date cu caracter personal.

De altfel, în cazul utilizării unor sisteme/platforme străine, gestionate/create de operatori nerezidenți, serverele cărora se află în afara țării, survine implicit situația de transmitere transfrontalieră a datelor cu caracter personal, colectate/prelucrate prin intermediul acestor sisteme/platforme, fapt care determină aplicabilitatea obligatorie a prevederilor art. 32 al Legii 133/2011 privind protecția datelor cu caracter personal.

În aceste condiții, transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecție (cum ar fi spre ex. Federația Rusă), poate avea loc în condițiile statuate la art. 32 alin. (5) al Legii privind protecția datelor cu caracter personal.

Totodată, este de menționat că, în cazul unor platforme de management a comenzilor de taxi deținute de titulari nerezidenți, dar care își desfășoară activitatea și/sau produc efecte juridice pe teritoriul Republicii Moldova, autoritățile de stat competente vor întâmpina impedimente și/sau nu vor putea exercita un control efectiv asupra acțiunilor eventual prejudiciabile a acestora.

Mai mult, în circumstanțele expuse supra, inclusiv subiectul de date cu caracter personal va pierde controlul asupra datelor sale cu caracter personal și va fi în dificultate de a-și exercita drepturile consacrate de Legea privind protecția datelor cu caracter personal.

În contextul informațiilor menționate supra, precum și ținând cont de faptul că datele cu caracter personal, transferate tranfrontalier în state care nu asigură un nivel adecvat de protecție, ar putea fi utilizate în detrimentul subiecților de date sau în alte scopuri decât cele declarate de operator, prin avizul înaintat Guvernului asupra proiectului de inițiativă legislativă nr. 252 din 13.07.2023, CNPDCP a propus inclusiv:

… în contextul asigurării protecției eficiente a datelor cu caracter personal prelucrate, ar fi oportună examinarea posibilității instituirii normei vizând utilizarea sistemelor (platformelor) electronice de management gestionate/păstrate/stocate pe teritoriul Republicii Moldova. Or, ținând cont de prevederile art. 4 și art. 5 alin. (5) lit. b) ale Legii nr. 133/2011, obligațiile/regulile de prelucrare a datelor cu caracter personal (cum ar fi spre exemplu: utilizarea sistemelor/platformelor electronice de management naționale, precum și păstrarea serverelor pe teritoriul Republicii Moldova, fără a fi admisă transmiterea transfrontalieră de date cu caracter personal) trebuie să fie prevăzute de lege.

2. În atenția subiecților de date! CNPDCP recomandă vigilență maximă la transmiterea/oferirea datelor cu caracter personal

Reieșind din multitudinea de cazuri mediatizate, precum și din specificul abordat în tot mai multe plângeri și sesizări aflate în examinare, CNPDCP a îndemnat subiecții de date să demonstreze precauție maximă la dezvăluirea, transmiterea, diseminarea datelor cu caracter personal ce îi vizează.

CNPDCP amintește că, actele de identitate (cum ar fi buletinele de identitate, pașapoartele), certificatele de stare civilă, carnetele de pensionar, cardurile bancare etc. consemnează o multitudine de date cu caracter personal, care necesită o protecție eficace din partea deținătorului/titularului acestora.

Astfel, oferirea/transmiterea de copii de pe aceste documente, precum și scrierea datelor cu caracter personal în diferite liste/acte de către subiectul de date, în alte scopuri decât cele expres prevăzute de lege, poate genera utilizarea ilegală a acestora, în scopuri contrare celor prevăzute inițial, în detrimentul subiectului de date. La fel,  subiectul de date cu caracter personal ar putea pierde controlul asupra datelor sale cu caracter personal.

În cazul în care subiecților de date li se solicită prezentarea actelor de identitate și/sau oferirea copiilor de pe aceste acte, precum și prezentarea datelor personale precum: numele, prenumele, IDNP-ul, adresa de domiciliu, datele cardului bancar, venitul, cuantumul pensiei, etc. sub pretexte diferite de persoane terțe, aceștia urmează să se încredințeze de legalitatea colectării datelor personale și a utilizării ulterioare a acestor date.

Or, potrivit prevederilor Legii 133/2011 privind protecția datelor cu caracter personal, datele cu caracter personal care fac obiectul prelucrării trebuie să fie: prelucrate în mod corect şi conform prevederilor legii; colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri;  adecvate, pertinente şi neexcesive în ceea ce priveşte scopul pentru care sînt colectate şi/sau prelucrate ulterior.

Totodată, CNPDCP reliefează că, în condițiile oferirii/transmiterii benevole a datelor cu caracter personal, consemnate pe diferite acte sau prin înscrierea acestora în careva liste/documente, la baza colectării acestor date personale se invocă/determină existența  consimțământului subiectului datelor cu caracter personal (art. 5 alin. (1) al Legii 133/2011), chiar dacă ulterioara utilizare a acestor date se adeverește a fi efectuată în alte scopuri/ în detrimentul subiectului de date vizat.

3. În atenția subiecților de date! Recomandări privind publicarea datelor cu caracter pesonal pe rețelele de socializare

Odată cu apariția rețelelor de socializare, precum Twitter, Tumblr, Facebook, Telegram, Instagram, Linked In, Tik Tok, Snapchat etc., viața socială s-a schimbat radical, acestea devenind un instrument puternic pentru a socializa, a face noi prieteni și cunoștințe, a distribui imagini foto, video sau pentru a promova o informație. Persoanele împărtășesc cu ușurință știri, imagini, opinii personale și aproape orice se întâmplă în viața lor. Divulgarea datelor cu caracter personal creează un mediu favorabil pentru companiile de publicitate, persoanele care lansează apeluri pretins caritabile (strângeri false de fonduri în scop umanitar), persoanele ce intenționează să se răzbune, infractorii cibernetici, iar acest lucru ar putea presupune colectarea datelor sensibile despre activitățile, interesele, caracteristicile personale, opiniile politice, obiceiurile și comportamentele online ale persoanelor.

Astfel, utilizatorii rețelelor de socializare, trebuie să demonstreze precauție maximă ce date cu caracter personal publică, ce scriu în public, ce fotografii/înregistrări video sau audio plasează sau cui acordă încredere pe o rețea de socializare.

Totodată, CNPDCP atenționează că, colectarea și prelucrarea de date cu caracter personal pe rețelele de socializare, ca și orice prelucrare de date, trebuie să fie efectuată în strictă conformitate cu prevederile Legii privind protecția datelor cu caracter personal, iar datele cu caracter personal care fac obiectul prelucrării trebuie să fie: prelucrate în mod corect şi conform prevederilor legii; colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri;  adecvate, pertinente şi neexcesive în ceea ce priveşte scopul pentru care sînt colectate şi/sau prelucrate ulterior.

Astfel, CNPDCP îndeamnă subiecții de date să-și protejeze confidențialitatea vieții private înainte de a publica sau a distribui anumite informații pe rețelele de socializare sau pe  orice altă platformă online.

Este foarte important ca utilizatorii rețelelor de socializare să citească cu atenție și să înțelegă:

• Termenii de confidențialitate (de exemplu, conținutul care poate fi partajat cu o terță parte, posibilitatea de a șterge conținutul de pe site etc.);
• Caracteristicile site-ului (de exemplu, cine vă poate vedea mesajele, dacă vor fi doar destinatari specificați sau toți utilizatorii de pe platformă etc.);
• Ce informații biografice ar trebui furnizate (de exemplu, datele biografice, cum ar fi: numele complet, anul nașterii, vârsta sau adresa, ar trebui să fie utilizate doar la înregistrarea contului și nicidecum oferite altor utilizatori de pe rețelele de socializare),
• Informații despre cont (de exemplu, informațiile sensibile, cum ar fi: școala frecventată, afilierea politică, informații despre contul bancar, locul de trai/domiciliul etc., nu ar trebui furnizate niciodată);
• Cine sunt potențialii „Prieteni” (de exemplu, prin analiza profilului persoanelor respective, pentru a înțelege cine sunt, ce fac și ce fel de conținut distribuie);
• Necesitatea de a dezactiva funcțiile de partajare a locației gadgetului utilizat;
• Atenție maximă la postarea online a fotografiilor/înregistrărilor video sau audio (ar putea fi foarte dificil să fie șterse, cum ar fi în cazul metadatelor sau dacă cineva le-a copiat, le-a partajat sau le-a distribuit pe alte site-uri sau rețele de socializare) etc.

Textul integral al Recomandărilor privind publicarea datelor cu caracter pesonal pe rețelele de socializare, pate fi vizualizat accesând următorul link:

 https://datepersonale.md/in-atentia-subiectilor-de-date-recomandari-privind-publicarea-datelor-cu-caracter-pesonal-pe-retelele-de-socializare/

4. În atenția autorităților publice! CNPDCP recomandă întreprinderea măsurile necesare pentru protecția datelor cu caracter personal la accesarea registrelor/sistemelor informaționale de stat

       Urmare a defășurării procedurilor de control asupra conformităţii prelucrării datelor cu caracter personal cu cerinţele Legii nr. 133/2011 privind protecția datelor cu caracter personal, inițiate în baza plângerilor recepționate din parte subiecților de date, CNPDCP a depistat următoarele neconformități: tendința de utilizare a credențialelor de acces (nume de utilizator și parola) a unui singur cont de utilizator autorizat de către mai mulți angajați ai entității beneficiare; deținerea/utilizarea numelui de utilizator și parolei de către persoane terțe; neactualizarea listei utilizatorilor autorizați după încetarea raporturilor de muncă, după schimbarea locului de muncă sau a funcției în entitate; neincluderea în listele de utilizatori a datelor personale ale utilizatorului autorizat (IDNP, numărul sau adresa de contact); neinformarea deținătorului sistemului informațional despre schimbarea administratorului responsabil de accesul la portalele informaționale menționate supra indicat în lista utilizatorilor; neactualizarea sistematică a parolelor de utilizator; lipsa evidenței manuale și/sau electronice a accesării/consultării datelor cu caracter personal stocate în sistemele informaționale de stat, etc.

         CNPDCP nu pune la îndoială și nu neagă dreptul autorității publice de a colecta/accesa/consulta sau verifica date cu caracter personal din diverse sisteme informaționale de stat, care sunt necesare pentru realizarea/executarea sarcinilor care rezultă din exercitarea prerogativelor de autoritate publică cu care este investită, însă, toate aceste potențiale operațiuni de prelucrare a datelor cu caracter personal urmează a fi efectuate cu respectarea tuturor condițiilor de prelucrare a datelor cu caracter personal statuate de Legea privind protecția datelor cu caracter personal, iar situațiile identificate generează riscuri iminente față de asigurarea confidențialității și securității datelor cu caracter personal prelucrate/stocate în registrele/sistemele informaționale de stat, care vizează practic toți cetățenii Republicii Moldova.

          În acest context, reieșind din prevederile art. 20 alin. (1) lit. a), c), o), q) al Legii nr. 133/2011 privind protecția datelor cu caracter personal, în vederea asigurării unui nivel adecvat de integritate, confidențialitate și securitate a datelor cu caracter personal și având ca scop de a preveni admiterea încălcărilor similare celor indicate, CNPDCP a venit cu recomandări față de autoritățile publice în vederea:

a) Revizuirii și actualizării cu regularitate a listei utilizatorilor autorizați anexate la contractele de prestări servicii încheiate în contextul acordării accesului la registrele/sistemele informaționale de stat, în special cele gestionate de ASP;

b) Instituirii unui mecanism de ținere de către utilizatorii autorizați a evidenței manuale și/sau electronice a accesării/consultării datelor cu caracter personal, precum și instruirii angajaților din subordine despre neadmiterea accesării/utilizării neautorizate a datelor cu caracter personal din sistemele de evidență.

Totodată, în scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 100 consultații telefonice și 5 răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date cu caracter personal.

V. Știri internaționale și europene

• În perioada 01 iulie – 30 septembrie 2023, reprezentanții CNPDCP au participat la 2 ședințe plenare on-line și o ședință cu prezență fizică a Comitetului European pentru Protecția Datelor (EDPB). În cadrul plenarelor au fost discutate și adoptate în varianta finală mai multe documente, printre care:

• Nota informativă pentru persoanele și entitățile care transferă date în SUA în limitele Cadrului UE-SUA privind confidențialitatea datelor (DPF);
• Declarație privind prima revizuire a Deciziei de adecvare a Japoniei;

În cadrul ședinței plenare din 19-20 septembrie curent, conducerea și membrii EDPB s-au întâlnit cu reprezentanții autorităților de protecția datelor atât din țările Parteneriatului Estic cât și din țările Balcanilor de Vest, unde au fost prezentate structurat situația actuală și provocările/oportunitățile cheie privind protecția datelor în țările delegațiilor invitate.

Comitetul European pentru Protecția Datelor este un organism european independent, care contribuie la aplicarea consecventă a normelor de protecție a datelor în întreaga Uniune Europeană și promovează cooperarea între autoritățile UE de protecție a datelor.

• În perioada 03 – 07 iulie 2023, în cadrul proiectelor regionale GIZ „Reingineria serviciilor publice în EaP” și „E-Guvernare și digitalizare în EaP”, a fost organizată prima întâlnire de rețea dedicată doar autorităților de protecția datelor din cadrul țărilor Parteneriatului Estic. Autoritatea de Protecție a Datelor cu Caracter Personal din Georgia a fost co-gazdă și co-organizator al acestei întâlniri de lucru.

În cadrul acestei întrevederi au fost discutate următoarele subiecte:

• Lansarea primului eveniment de rețea și prezentarea cadrului legal, a proceselor de lucru a autorităților de protecție a datelor;
• Organizarea întâlnirii pregătitoare pentru viitorul eveniment la nivel înalt;
• Prezentarea priorităților, activităților comune în curs a țărilor Parteneriatului estic și planificarea de comun a noilor activități pentru anul 2024;
• Discutarea despre conferința internațională a autorităților de protecția datelor, programată pentru anul 2024 în Georgia.

• În perioada 04-08 septembrie, la Tbilisi, Georgia, a fost organizată cea de-a III-a Academie cu genericul ”Sistemele de management al calității și cultura calității” găzduită de Agenția de Dezvoltare a Serviciului Public din Georgia.

Au fost abordate următoarele subiecte de discuție:

• Managementul calității totale (TQM);
• Managementul proceselor;
• Re-inginerie;
• Cadrul comun de evaluare (CAF);
• Evaluarea organizațională și planul de îmbunătățire.

Această serie de Academii este un efort de colaborare între Programul SIGMA și proiectele GIZ, „Re-ingineria serviciilor publice în Parteneriatul Estic” și „Guvernare electronică și digitalizare în țările Parteneriatului Estic”, făcând parte din cadrul GIZ „Fondul Regional pentru Reformele Administrației Publice al Parteneriatului Estic”. În cadrul acestei Academii au participat reprezentanții CNPDCP, Agenției Servicii Publice și Agenției de Guvernare Electronică.

• În perioada 18-22 septembrie, la Bruxelles, Belgia, a avut loc „Evenimentul la nivel înalt în domeniul protecției datelor” organizat de OECD-SIGMA și Fondul Regional pentru Parteneriatul Estic (GiZ) în strânsă colaborare cu Autoritatea Europeană pentru Protecția Datelor și diferite instituții ale UE (DGJUST, DGNEAR și Parlamentul European).

Scopul evenimentului a fost de a permite crearea de rețele și de a face schimb de experiență între instituțiile de protecție a datelor cu caracter personal din regiunea Parteneriatului Estic și Balcanii de Vest, precum și de a consolida relațiile cu instituțiile UE responsabile de domeniul protecției datelor.

Pe parcursul sesiunilor de lucru, au fost abordate subiecte de actualitate din domeniul protecției datelor, precum:

• Necesitatea protecției datelor cu caracter personal. Provocări și oportunități pentru regiunea Balcanii de Vest și Parteneriatului Estic;
• Activitatea Unității de politici și consultare, evoluțiile legislative recente ale UE / Ghidul digital;
• Sensibilizarea și informarea publicului larg privind provocările și problemele legate de protecția datelor, creșterea gradului de conștientizare și crearea de legături între transformarea digitală și protecția datelor;
• Provocările și necesitățile protecției datelor cu caracter personal în era digitală.

La evenimentul menționat supra au participat reprezentanți din 11 țări ale parteneriatului Estic și din regiunile Balcanii de Vest precum: Albania, Armenia, Azerbaidjan, Bosnia și Herțegovina, Georgia, Kosovo, Muntenegru, Macedonia de Nord, Moldova, Serbia și Ucraina.

VI. Alte autorități pentru protecția datelor

• La data de 21 august, a fost anunțată decizia finală a Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal din România  (ANSPDCP) din 18 iulie 2023, cu privire la impunerea sancțiunii contravenționale cu o amendă în cuantum de 346.598 lei, echivalentul sumei de 70.000 de euro aplicată companiei UIPATH SRL pentru încălcarea prevederilor art. 25 și art. 32 din GDPR.

Investigația a fost demarată ca urmare a transmiterii de către operator a unei notificări de încălcare a securității datelor cu caracter personal în temeiul GDPR-ului. Astfel, UiPath SRL a notificat o încălcare a confidențialității datelor cu caracter personal, constând în publicarea datelor cu caracter personal a unui număr semnificativ de utilizatori ai Platformei Academy pe un website accesibil la o adresa URL.

În cadrul investigației, ANSPDCP a constatat că UiPath SRL nu a pus în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane,  incluzând capacitatea de a asigura confidențialitatea și rezistența continuă ale sistemelor și serviciilor de prelucrare, precum și un proces pentru testarea, evaluarea şi aprecierea periodică ale eficacității măsurilor tehnice şi organizatorice pentru a garanta securitatea prelucrării. Acest fapt a condus la divulgarea și accesul neautorizat la datele cu caracter personal (numele și prenumele utilizatorului, identificatorul unic al fiecărui utilizator, adresa de e-mail, numele companiei la care utilizatorul este angajat, țara și detalii despre nivelul de cunoștințe obținut în cadrul cursurilor UiPath ACADEMY) a circa 600.000 de utilizatori ai Platformei Academy aparținând operatorului UiPath, pentru o perioadă de aproximativ 10 zile.

ANSPDCP a considerat că această încălcare a prelucrării datelor cu caracter personal este de natură să aducă persoanelor vizate prejudicii fizice, materiale sau morale, cum ar fi pierderea controlului asupra datelor lor cu caracter personal sau pierderea confidențialității datelor cu caracter personal.

În urma investigației efectuate, ANSPDCP a informat celelalte autorități de supraveghere implicate, în cadrul unei proceduri de consultare informală, bazată pe art. 60 din Regulamentul (UE) 2016/679, cu privire la concluziile rezultate din investigațiile efectuate în acest caz cu impact transfrontalier și măsurile propuse.

În același timp, în temeiul art. 58 alin. (2) lit. d) din GDPR, ANSPDCP a dispus față de operator măsura corectivă de a implementa un mecanism aplicat la intervale regulate de timp, privind testarea, evaluarea și aprecierea periodică  a eficacității măsurilor adoptate, ținând cont de riscul prezentat de prelucrare, în vederea asigurării unui nivel de securitate corespunzător și evitării pe viitor a unor incidente de securitate similare.

• La data de 28 august, a fost emisă decizia Autorității Suedeze pentru Protecția Datelor (IMY) privind aplicarea amenzii administrative în valoare de 5 000 000 euro companiei Spotify AB pentru încălcarea articolului 15 – Dreptul de acces la date, articolului 12.1, articolului 12.3, articolului 58 și articolului 83 – Condiții generale pentru impunerea amenzilor administrative, din GDPR.

IMY a auditat modul în care Spotify gestionează dreptul clienților de acces la  datele cu caracter personal. IMY a constatat că Spotify furnizează persoanelor fizice datele cu caracter personal pe care compania le prelucrează, la solicitare, dar că aceștia nu sunt informați suficient de clar despre modul în care aceste date sunt utilizate de companie. Totodată, IMY a constatat anumite deficiențe în activitatea companiei Spotify.

Având în vedere acest lucru, numărul de utilizatori înregistrați și cifra de afaceri a Spotify, IMY a emis o amendă administrativă de aproximativ 5 milioane euro (58 milioane SEK), companiei Spotify pentru că nu a furnizat informații suficient de clare subiecților de date.

Totodată, IMY a constatat că Spotify nu a reușit să gestioneze solicitările de acces legate de plângerile examinate. Decizia în această parte include încălcarea articolelor 12.1, 12.3, 15.3 și 15.1 a-h și 15.2 din GDPR. În legătură cu aceste încălcări, IMY a emis o mustrare și un ordin de conformare referitor la cererea de acces a unui reclamant.

1.      Activitățile de informare și instruire efectuate de CNPDCP

În primul semestru al anului curent, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a înregistrat progrese remarcabile în partea ce ține de activitățile de informare și sensibilizare a publicului larg cu domeniul protecției datelor cu caracter personal.

La data de 25 ianuarie curent, a fost aprobat și semnat de către conducătorii CNPDCP și Inspectoratul General al Poliției (IGP), planul de instruiri în cadrul subdiviziunilor IGP, astfel organizându-se mai multe cursuri de instruire. Scopul acestora, a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară. În cadrul evenimentelor au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații subdiviziunilor IGP; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc. Astfel, cursurile de instruire au fost organizate pentru următoarele subdiviziuni:

·        01 februarie  – Inspectoratul de Poliție Anenii Noi al IGP

·        06 martie – Inspectoratul Național de Investigații (INI) al IGP

·        24 martie – Centrul pentru combaterea traficului de persoane al INI

·        07 aprilie – Inspectoratul Național de Securitate Publică (INSP) Direcția Centru al IGP

·        25 aprilie – Inspectoratul de Poliție Buiucani al DP Chișinău

·        05 mai – Inspectoratul de Poliție Ciocana al Direcției de Poliție

·        22 mai – Inspectoratul de Poliției Râșcani al Direcției de Poliție

·        05 iunie – Direcția Generală de urmărire Penală al IGP

·        23 iunie – Direcția de Poliție a UTA Găgăuzia

Totodată, au fost organizate cursuri de instruire pentru o serie de instrituții medicale cu genericul „Prevederi legale în domeniul protecției datelor cu caracter personal”. Scopul cursurilor de instruire a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. În cadrul evenimentelor au fost abordate subiecte, cum ar fi: definirea datelor cu caracter personal privind sănătatea; prelucrarea categoriilor obișnuite de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea; principii de prelucrare a datelor cu caracter personal; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; confidențialitatea și secretul profesional; divulgarea datelor cu caracter personal privind starea de sănătate; obligativitatea de asigurare a confidențialității și securității datelor cu caracter personal; reducerea la minimum a datelor și limitarea stocării, etc. Astfel, cursurile de instruire au avut loc:

·        09 iunie – IMSP Centrul Medicilor de Familie municipiul Bălți

·        21 iunie –  IMSP Asociaţia Medicală Teritorială Centru

·        28 iunie – IMSP Clinica Universitară de Asistență Medicală Primară a USMF „Nicolae Testemițanu”

În perioada de referință a fost continuată campania de informare și sensibilizare pentru comunitățile școlare cu genericul: „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line”. Scopul campaniei, a fost de a oferi comunității școlare o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin. Tematicile abordate în cadrul instruirilor au vizat: noțiuni generale privind datele cu caracter personal; utilizarea corectă a pozelor/video în mediul online; riscurile și amenințările în mediul online; comunicarea pe rețelele de socializare, etc. Au fost organizate trei sesiuni de instruire în cadrul comunității școlare, și anume:

·        27 ianuarie – Instituția Publică Liceul Teoretic „Gheorghe Asachi”

·        17 mai – Instituția Publică Liceul Teoretic „Mircea Eliade”

·        18 mai – Instituția Publică Liceul Teoretic „Ion Creangă”

Totodată, CNPDCP a organizat cursuri de instruire pentru: reprezentanții bibliotecilor din mun. Chișinău și altor raioane ale Republicii; reprezentanții Companiei Naționale de Asigurări în Medicină; reprezentanții Direcției Generale de Învățământ Cahul; reprezentanții Serviciului Fiscal de Stat; reprezentanții Ministerului Afacerilor Interne și reprezentanții Agenției Naționale Transport Auto, la solicitarea acestora.

În acest context, în primul semestru al anului curent, formatorii din cadrul CNPDCP, au instruit circa 650 de reprezentanți din cadrul subdiviziunilor IGP, circa 210 reprezentanți ai instituțiilor medicale, circa 120 de elevi din cadrul instituțiilor de învățământ și circa 575 de reprezentanți ai altor instituții.

În aceași perioadă de referință, și anume în data de 29-30 martie, CNPDCP în colaborare cu experții proiectului TAIEX, au organizat Misiunea de experți TAIEX  “Prelucrarea datelor cu caracter personal în scopuri statistice”, în format online. Obiectivul Misiunii de experți a constat în prezentarea celor mai bune practici europene legale și operaționale privind mecanismele de prelucrare și stocare a datelor cu caracter personal în scopuri statistice, de către Biroul Național de Statistică (BNS), schimbul de date între instituții și BNS, precum și a reglementărilor ce țin de securitatea acestor date. În cadrul evenimentului au participat circa 24 de reprezentanți ai instituțiilor publice.

2.      Activitatea de control

În perioada ianuarie – iunie 2023, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 180 de cazuri. În perioada de referință, au fost emise 141 decizii, dintre care în 73 cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 34 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3.      Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I.     CNPDCP a examinat plângerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul bunurilor imobile (RBI), efectuate de către o autoritate publică locală (APL) și o autoritate publică centrală (APC).

În context, prin decizie s-a constatat că operațiunile de accesare a datelor cu caracter personal privind bunul imobil a subiectului de date au fost efectuate de către APC și APL cu încălcarea principiilor statuate la art. 4 alin. (1) lit. a), b) și art. 5 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, or aceste operațiuni au avut loc în lipsa unui scop determinat, explicit și legitim. Astfel, aspectul primordial ce a dus la constatarea încălcării prevederilor legale de către APL, a fost accesarea datelor în scop personal (pentru elaborarea tezei de master) și lipsa evidenței accesărilor în sistemele automatizate de către utilizatorii autorizați din cadrul APL, a datelor cu caracter personal. Cu referire la motivul constatării încălcării Legii nr. 133/2011 de către APC, menționăm că ultima nu a asigurat actualizarea informației privind utilizatorii cu drept de a accesa sistemul informațional automatizat de stat și nu a înștiințat autoritățile competente despre modificările raporturilor de serviciu (demisia din funcție a unui fost angajat), fapt care a generat accesarea datelor cu caracter personal în RBI și după încetarea raportului de muncă.

II.  CNPDCP a efectuat un control în baza unei plângeri a unui subiect de date cu caracter personal, în care indică asupra pretinselor operațiuni neconforme de prelucrare a datelor cu caracter personal ce îl vizează, stocate în Registrul bunurilor imobile și efectuate de către o autoritate publică locală, precum și nerealizarea dreptului de acces la datele sale cu caracter personal.

Urmare a examinării cazului, CNPDCP prin decizie a constatat că, APL nu a reușit să răstoarne prezumția de ilegalitate a prelucrărilor de date cu caracter personal ale subiectului de date, fiind stabilită încălcarea Legii nr. 133/2011, deoarece s-a constatat faptul că, toți utilizatorii autorizați din cadrul APL care au avut acces la banca centrală de date din RBI utilizau același cont de acces, atribuit unei foste angajate din cadrul autorității, demisionată. În acest fel, operatorul a fost în imposibilitate de a duce evidența strictă a accesărilor. În ceea ce privește realizarea dreptului de acces la datele cu caracter personal ale subiectului de date, s-a demonstrat lipsa încălcării acestui aspect, deoarece s-a stabilit că APL a examinat cererea și a remis răspuns în adresa acestuia.

III. CNPDCP a examinat plîngerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul bunurilor imobile, efectuate de către un operator de date, fără consimțământul subiectului.

În cadrul investigației s-a constatat că, operațiunile de accesare a bunului imobil, ce-i aparține cu drept de proprietate subiectului de date, a fost efectuată în vederea organizării procedurii de creare și înregistrare a unei Asociații de coproprietari.

Respectiv, pe parcursul examinării prezentului caz, operatorul, în vederea justificării acțiunii de accesare/consultare a datelor cu caracter personal ce aparțin subiectului de date, efectuate prin intermediul Registrului bunurilor imobile, a făcut referire la contractul de prestare a serviciilor de consultare și colaborare, cât și art. 5 al Legii nr.133 din 08.07.2011 privind protecția datelor cu caracter personal.

Astfel, CNPDCP a determinat că, alegațiile invocate de către operatorul de date cu caracter personal, nu justifică și nu demonstrează necesitatea prelucrării datelor cu caracter personal ale subiectului, manifestată prin accesarea băncii centrale de date a cadastrului bunurilor imobile, or, prelucrarea datelor cu caracter personal urmează a fi efectuată cu condiția respectării principiilor de protecție a datelor cu caracter personal, având la bază unul din temeiurile legale prezentate la art. 5 al Legii nr. 133/2011.

În context, prin decizie s-a constatat că, operațiunea de accesare a datelor cu caracter personal privind bunul imobil a subiectului de date a fost efectuată cu încălcarea art. 4 alin. (1) lit. a), b) și art. 5 ale Legii nr. 133/2011 de către operatorul de date – persoană juridică, în lipsa unui scop determinat, explicit și legitim.

IV. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul de stat al populației, efectuate de către un utilizator autorizat al unei autorități publice.

În cadrul investigației s-a constatat că, deși ca temei al operațiunii de prelucrare a datelor cu caracter personal a fost indicat o cerere, s-a stabilit că cererea dată viza numele altei persoane.

În acest sens, CNPDCP nu a identificat vreun scop și temei legal ce ar fi permis utilizatorului autorizat din cadrul autorității publice de a prelucra (prin extragere) datele cu caracter personal ale subiectului de date, fără consimțământul acestuia și fără a avea în examinare un dosar/cerere.

În context, prin decizie s-a constatat că, operațiunea de prelucrare a datelor cu caracter personal ce vizează subiectul de date, a fost efectuată de către utilizatorul autorizat cu încălcarea prevederilor art. 4 alin. (1) lit. a) și b) și art. 5 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, în lipsa unui scop determinat, explicit și legitim și fără consimțământul subiectului datelor cu caracter personal.

V. CNPDCP a examinat demersul parvenit din partea Serviciului Fiscal de Stat (SFS) prin care a informat că, în rezultatul exercitării atribuțiilor de administrare fiscală, s-a constatat că un agent economic colectează și utilizează date cu caracter personal contrar prevederilor art. 5 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, ceea ce a servit drept motiv pentru inițierea verificării/investigării conformității operațiunilor de prelucrare a datelor cu caracter personal.

În fapt, potrivit materialelor anexate la demersul SFS, s-a constatat faptul că agentul economic a prelucrat datele cu caracter personal a 35 de persoane fizice, în lipsa consimțământului acestora sau a succesorilor persoanelor decedate, sau în lipsa altui temei legal prevăzut de art. 5 alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal.

În urma investigațiilor efectuate de CNPDCP, în corespundere cu prevederile art. 27 al Legii nr. 133/2011 privind protecția datelor cu caracter personal, prin decizia CNPDCP a fost constatată încălcarea prevederilor art. 4 alin. (1) lit. a), art. 5 alin. (1), (4) și art. 12 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către agentul economic în cauză la prelucrarea datelor cu caracter personal ale subiecților de date vizați în demersul SFS.

Totodată, CNPDCP a dispus inclusiv încetarea operațiunilor de prelucrare a datelor cu caracter personal ale subiecților de date vizați în demersul SFS și distrugerea copiilor buletinelor de identitate utilizate/obținute ilicit de către agentul economic.

Consecvent, în corespundere cu prevederile art. 20 alin. (1) lit. m) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a sesizat în ordine penală organul de urmărire penală a SFS, privind existența unor indicii rezonabile de falsificare a actelor de achiziții a mărfurilor, faptă prevăzută la articolul 3351 din Codul penal.

Mai mult, urmare a constatării încălcărilor menționate supra, CNPDCP a intervenit în ordine contravențională în privința agentului economic, prin întocmirea procesului-verbal cu privire la contravenție prin faptele prevăzute la art. 741 alin (1) și (3) din Codul contravențional.

VI. CNPDCP a fost sesizat cu privire la legalitatea activității paginii web cu denumirea www.numar.md, în care erau publicate anumite date cu caracter personal a mai multor persoane fizice, de către un reprezentant mass-media.

În urma analizării  paginii web www.numar.md, a fost reținut că, prin intermediul acesteia, orice persoană putea să lase un comentariu, vizibil tuturor, asupra deținătorului oricărui număr de telefon mobil din Republica Moldova. Comentariile de pe pagina web aveau diferit conținut, atât informații biografice cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., cât și informații cu caracter calomnios și defăimător. Dezvăluirea în spațiul online, spre vizualizare nerestricționată a acestor informații putea prejudicia grav drepturile şi libertățile constituționale ale cetățenilor.

În rezultatul efectuării controlului, CNPDCP a determinat ca fiind neconform, mijlocul oferit pentru prelucrarea datelor cu caracter personal, prin publicarea pe pagina web www.numar.md a informațiilor ce conțin date cu caracter personal, cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., întrucât nu a fost stabilit existența unui scop determinat, explicit și legitim, nici existența unui temei legal de prelucrare a datelor cu caracter personal ce vizează deținătorii numerelor de telefonie mobilă din Republica Moldova, acțiuni săvârșite contrar prevederilor art. 4 alin. (1) lit. a), b), c) și art. 5 alin. (1) ale Legii 133/2011 privind protecția datelor cu caracter personal.

În acest context, ținând cont de prevederile art. 27 alin. (3) și alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a dispus prin Decizie: constatarea in rem a încălcării prevederilor Legii nr. 133/2011, la prelucrarea datelor cu caracter personal prin intermediul paginii www.numar.md, constatarea indisponibilității în rețeaua de internet a paginii www.numar.md, precum și sesizarea IP „Serviciului Tehnologia Informației și Securitate Cibernetică” în vederea examinării posibilității intervenirii prin prisma competențelor, statuate la pct. 33 subpct. 7) al Regulamentului cu privire la gestionarea domeniului de nivel superior .md, aprobat prin Hotărârea ANRCETI nr. 42/2020.

Finalmente, se notează că scopul care a stat la baza autosesizării Autorității de control, manifestat prin dorința de a contracara prelucrarea neconformă a datelor cu caracter personal, a fost atins odată cu indisponibilitatea/devenirea inactivă a paginii web www.numar.md, care constituia un mijloc de dezvăluire abuzivă a informațiilor personalizate ale unui număr impunător de subiecții de date.

4.      Activitatea de supraveghere

La data de 10 ianuarie 2022, prin Legea nr. 175/2021 pentru modificarea unor acte normative, a fost instituită obligația operatorului și a persoanei împuternicite de operator de a desemna o persoană responsabilă cu protecția datelor cu caracter personal, în cazurile prevăzute de art. 25 al Legii nr. 133/2011 privind protecția datelor cu caracter personal.

În acest sens, CNPDCP a lansat un ciclu de instruiri a persoanelor responsabile cu protecția datelor cu caracter personal. Obiectivul de bază al instruirilor este dezvoltarea cunoștințelor teoretice în domeniul protecției datelor cu caracter personal și a deprinderilor practice privind aplicarea actelor normative și cerințelor legislației din domeniu. Astfel, în perioada de referință, au fost instruite 28 persoane. Totodată, în conformitate cu prevederile statuate la art. 25 alin. (6) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale persoanei responsabile cu protecția datelor și de a le comunica CNPDCP. În acest context, CNPDCP a recepționat 21 scrisori, prin intermediul cărora a fost informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective, preponderent de la entitățile private.

Simultan, a fost ajustat și plasat pe pagina web oficială a CNPDCP, la compartimentul „Operator de date/Recomandările CNPDCP”, „Aspecte practice și legale în legătură cu instalarea și gestionarea mijloacelor de supraveghere video”, ținând cont de intrarea în vigoare a Legii Nr. 187 din 14-07-2022 cu privire la condominiu.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 220 consultații telefonice și 15 răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date cu caracter personal.

5.      Știri internaționale și europene

ü  În cadrul proiectului de cooperare regională în domeniul transformării digitale și reingineriei serviciilor publice, în perioada 6-10 februarie, la Paris, Franța, a avut loc prima Academie, cu genericul “Proiectarea și furnizarea serviciilor în era digitală”. Scopul acestei Academii a fost de a permite crearea de rețele și schimbul intensiv privind reproiectarea serviciului public:

a) la nivel național, între instituțiile cheie ale statului, cum ar fi agențiile de dezvoltare a serviciului public și instituțiile de protecție a datelor cu caracter personal;

b) la nivel regional, între țările Parteneriatului estic; și

c) la nivel internațional, între țările Parteneriatului estic și statele membre ale UE.

Astfel, în scopul preluării bunelor practici în cadrul Academiei a fost efectuată o vizită de studiu și la Ministerul Transformării și Serviciului Public, în cadrul căreia reprezentantul CNPDCP a fost familiarizat cu situația actuală a transformării funcției publice din Franța, îmbunătățirii serviciilor publice (servicii publice digitale centrate pe om), monitorizării și transparenței implementării reformelor guvernamentale, etc.

ü  În semestrul I anul 2023, reprezentanții CNPDCP au participat la 3 ședințe plenare cu prezența fizică și 3 on-line ale Comitetului European pentru Protecția Datelor (EDPB). În cadrul plenarelor au fost discutate și adoptate în varianta finală mai multe documente, printre care:

·        Orientările 05/2021 privind interacțiunea dintre aplicarea art. 3 și dispozițiile privind transferurile internaționale conform capitolului V din GDPR;

·        Orientările 07/2022 privind certificarea ca instrument pentru transferuri;

·        Procedura de adoptare a avizelor EDPB privind criteriile naționale de certificare și sigilii europene pentru protecția datelor;

·        Ghidul 01/2022 privind drepturile subiecților de date – Dreptul de acces

·        Orientările privind calcularea amenzilor administrative;

·        Orientările privind tehnologia de recunoaștere facială în domeniul aplicării legii;

La 25 mai curent a fost aleasă noua conducere a EDPB, D-na Anu Talus (FI SA) este noul președinte al Comitetului European pentru Protecția Datelor și D-na Irene Loizidou Nikolaidou (CY DPA) noul vicepreședinte.

Comitetul European  pentru Protecția Datelor este un organism european independent, care contribuie la aplicarea consecventă a normelor de protecție a datelor în întreaga Uniune Europeană și promovează cooperarea între autoritățile UE de protecție a datelor.

ü  În perioada 10-12 mai, a avut loc cea de-a 31-a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor (AEPD), desfășurată în Budapesta, Ungaria. Anul acesta evenimentul a fost găzduit pentru a treia oară de Autoritatea Maghiară pentru Protecția Datelor.

Pe parcursul sesiunilor de lucru, au fost prezentate subiecte de actualitate din domeniul protecției datelor, precum:

·        noile tehnologii – evaluarea impactului social al utilizării noilor tehnologii în diferite domenii;

·        interacțiunea dintre protecția datelor și Legea concurenței;

·        hotărârile de judecată: rezoluții și modificări ale Regulamentului de procedură; și

·        cele mai bune practici/studii de caz în cooperarea de aplicare a legislației între SEE și țările din afara SEE.

Pentru prima data în cadrul unei Conferințe de primăvară a AEPD, a fost organizată ziua ușilor deschise. Această practică a oferit posibilitatea mai multor instituții, ONG-uri și altor organizații, care și-au manifestat interesul pentru subiectele abordate în cadrul evenimentului, să participe on-line.

La eveniment au participat reprezentanți ai Autorităților pentru Protecția Datelor din Europa Centrală și de Est, CoE, CEPD, AEPD, în cadrul căruia au avut oportunitatea de a face un schimb de experiență și bune practici în domeniul protecției datelor cu caracter personal, inclusiv în ceea ce privește rolul Responsabilului cu Protecția Datelor în cadrul unei entități publice sau private.

ü  În perioada 14-16 iunie a avut loc cea de-a 44-a ședință plenară a Comitetul Consultativ al Convenției 108. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·        Convenția 108+, ratificările și aderările actuale;

·        protecția datelor cu caracter personal pentru Combaterea Spălării Banilor și a Finanțării Terorismului;

·        clauze contractuale în contextul fluxurilor transfrontaliere de date;

·        interpretarea articolului 11 din Convenția 108 +;

·        protecția datelor cu caracter personal, inclusiv a datelor biometrice în procesul electoral;

·        cooperarea cu alte entități ale CoE;

·        evoluții și activități majore în domeniul protecției datelor, etc.

Totodată, delegația CNPDCP s-a expus cu privire la stadiul ratificării Protocolului de modificare CETS nr.223 la Convenția 108. Menționăm că, la 09 februarie 2023, în baza Decretului Președintelui Republicii Moldova nr. 757/2002, Republica Moldova a semnat Protocolul de modificare a Convenției 108 pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, iar în Planul de acțiuni al Guvernului RM pentru anul curent este planificată acțiunea de promovare a măsurilor de ratificare a protocolului.

6.       Alte autorități pentru protecția datelor

·        La data de 22 mai, a fost anunțată decizia finală a Autorității irlandeze de supraveghere (DPA IE) din 13 aprilie 2023, cu privire la aplicarea amenzii în valoare de 1.2 miliare de euro companiei Meta Platforms Ireland Limited (Meta IE). Această amendă, care este cea mai mare amendă pentru încălcarea GDPR, a fost aplicată pentru transferurile de date cu caracter personal efectuate de către compania Meta către SUA pe baza clauzelor contractuale standard (SCC), începând cu 16 iulie 2020. În plus, Meta a fost obligată să își dirijeze transferurile de date în conformitate cu capitolul V din GDPR, prin încetarea prelucrării ilegale, inclusiv a stocării, în SUA a datelor cu caracter personal ale utilizatorilor europeni transferate cu încălcarea GDPR, în termen de 6 luni de la notificarea deciziei finale a DPA IE.

În decizia sa obligatorie din 13 aprilie 2023, EDPB a informat DPA IE ca să își modifice proiectul de decizie și să impună o amendă reprezentanței Meta în Irlanda. Având în vedere gravitatea încălcării, EDPB a constatat că punctul de pornire pentru calcularea amenzii ar trebui să fie între 20% și 100% din maximul legal aplicabil.

Decizia finală a IE DPA încorporează evaluarea juridică exprimată de EDPB în decizia sa obligatorie, adoptată în temeiul art. 65 alin. (1) lit. a) din GDPR, după ce DPA IE, în calitate de autoritate de supraveghere principală (LSA), a declanșat o procedură de soluționare a litigiilor cu privire la obiecțiile formulate de mai multe autorități de supraveghere vizate (CSA). Printre altele, CSA au emis obiecții care vizau includerea unei amenzi administrative și/sau a unui ordin suplimentar de punere în conformitate a prelucrării.

·        La data de 16 mai, a fost anunțată decizia finală a autorității de supraveghere croată din 02 mai 2023, cu privire la impunerea amenzii administrative în valoare de 2 milioane și 265 de mii de euro companiei B2 Kapital d.o.o. pentru încălcarea art. 13, art. 28 și art. 32 din GDPR.

În decembrie 2022, Autoritatea de supraveghere croată a primit o plângere anonimă în care se afirma că B2 Kapital d.o.o. a prelucrat în mod ilegal un număr mare de date cu caracter personal ale debitorilor. Împreună cu plângerea, B2 Kapital a primit stick-ul USB atașat, care conținea date cu caracter personal pentru un număr total de 77317 persoane fizice, care aveau datorii restante la organizațiile de creditare și care au fost achiziționate de către Agenția de colectare a creanțelor în baza contractului de cesiune. Aceleași date cu caracter personal au fost transmise pe un stick USB unei instituții de presă.

S-a stabilit că încălcarea a avut loc cel puțin din anul 2019 și că nu a fost remediată până în prezent, totul din cauza neaplicării măsurilor de protecție corespunzătoare.

·        La data de 21 martie, a fost anunțată decizia finală a Autorității finlandeze de supraveghere din 17 februarie 2023, cu privire la aplicarea amenzii în valoare de 440 mii de euro companiei Suomen Asiakastieto Oy pentru că nu a șters înregistrările inexacte privind neîndeplinirea obligațiilor de plată salvate în registrul informațiilor de credit din cauza unor practici inadecvate. Autoritatea de Supraveghere a subliniat faptul că o înscriere de neplată are un impact semnificativ asupra drepturilor și libertăților unei persoane fizice.

În 2021, Autoritatea de Supraveghere din Finlanda a cerut unui operator să își rectifice practicile de înregistrare a plăților neefectuate și să șteargă înregistrările inexacte bazate pe decizii definitive. Operatorul nu a contestat decizia și a fost contactat în ianuarie 2023 pentru evaluarea sancțiunilor. Totodată, acesta a recunoscut că a interpretat greșit ordinul și a șters toate înregistrările de neplată din registru. Autoritatea, însă, a constatat că operatorul a ales intenționat să nu se conformeze ordinului emis. Înregistrările inexacte ar fi putut fi șterse, având în vedere că informațiile despre neachitări erau disponibile în registrul hotărârilor judecătorești timp de 10 ani.

·        O amendă administrativă în valoare de 5.200 000 euro a fost aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei CLEARVIEW AI pentru prelucrarea ilegală a datelor cu caracter personal prin intermediul tehnologiilor de recunoaștere facială.

Compania CLEARVIEW AI a colectat fotografii de pe o mulțime de site-uri web, inclusiv rețele sociale, și a vândut accesul la baza sa de date prin intermediul unui motor de căutare în care o persoană poate fi căutată cu ajutorul unei fotografii. Compania oferea acest serviciu și autorităților de aplicare a legii. Tehnologia de recunoaștere facială este utilizată pentru a interoga motorul de căutare și a găsi o persoană pe baza fotografiei sale.

1.      Activitățile de informare și instruire efectuate de CNPDCP

Pe parcursul trimestrului IV al anului 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat 8 cursuri de instruire pentru autoritățile publice locale (APL) la care au participat circa 226 de persoane și 5 cursuri de instruire pentru autoritățile publice centrale (APC) și alte entități unde au fost instruiți circa 425 de reprezentanți, precum și 125 de participanți din cadrul Academiei de Administrare Publică și Mobiasbanca (OTP Bank).

Pentru APL instruirile au fost desfășurate după cum urmează:

– 11 octombrie – Consiliul Raional Cimișlia;

– 27 octombrie –  Consiliul Raional Șoldănești;

– 04 noiembrie – Consiliul Raional Cantemir;

– 25 noiembrie –  Consiliul Raional Ștefan Vodă;

– 18 noiembrie – Consiliul Raional Ocnița;

– 2 decembrie – Consiliul Raional Basarabeasca;

– 9 decembrie – Consiliul Raional Criuleni și Dubăsari;

– 20 decembrie – Consiliul Raional Taraclia.

În ceea ce privește alte entități, CNPDCP  a organizat instruiri pentru:

–          reprezentanții Băncii Naționale a Moldovei la data de 10 și 17 octombrie;

–          Academia de Administrare Publică – la data de 18 octombrie;

–          Mobiasbanca (OTP Bank) – la data de 22 și 24 noiembrie;

–          Serviciului Vamal – la data de 17 octombrie, precum și în perioada 19-21 decembrie.

Astfel, în perioada menționată, CNPDCP a reușit să instruiască un număr semnificativ de persoane din întreaga țară.

Mai mult, este de menționat că pe parcursul anului 2022 a fost asigurată instruirea tuturor APL-urilor din Republica Moldova.

De asemenea, în aceeași perioadă, în vederea diseminării domeniului protecției datelor cu caracter personal, CNPDCP a organizat un Atelier de lucru pentru elevii claselor a V-VI-a din IPLT „Gheorghe Asachi” mun. Chișinău. Atelierul de lucru a avut drept scop de a informa și sensibiliza elevii cu domeniul protecției datelor cu caracter personal și siguranța copiilor în mediul on-line prin promovarea responsabilizării celor mai bune practici de intervenție și sprijin.

2.      Activitatea de control

În perioada octombrie-decembrie 2022, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 53 cazuri. În perioada de referință, au fost emise 57 decizii, dintre care în 17 cazuri s-a constatat încălcarea prevederilor legale, fiind încheiate 31 procese-verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3.      Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. CNPDCP a examinat plângerea unui subiect de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, stocate în Registrul bunurilor imobile și efectuate de către o persoană fizică.

În cadrul investigației s-a constatat că, operațiunile de accesare a bunului imobil, ce-i aparține cu drept de proprietate subiectului de date, a fost efectuată cu scopul de a cumpăra un bun imobil ce se află în aceeași zonă, însă, careva probe ce ar confirma cele invocate nu au fost prezentate de către operator.

Totodată, CNPDCP a constatat faptul că, în speță, operatorul de date cu caracter personal, nu a oferit declarații ce ar justifica, în mod special, necesitatea accesării efectuate în raport cu datele cu caracter personal ale subiectului de date și a demonstrării legăturii de cauzalitate dintre datele cu caracter personal ale proprietarului bunului și scopul accesării acestuia.

În context, prin decizie s-a constatat că operațiunea de accesare a datelor cu caracter personal privind bunul imobil a subiectului de date a fost efectuată cu încălcarea art. 4 alin. (1) lit. a), b) și art. 5 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, de către o persoană fizică, în lipsa unui scop determinat, explicit și legitim.

II. În adresa CNPDCP a parvenit plângerea unui subiect de date cu caracter personal, care a solicitat verificarea legalității operațiunilor de prelucrare a datelor cu caracter personal ce-l vizează, efectuate de către 8 (opt) entități (în continuare – operatori de date), manifestate prin accesarea datelor cu caracter personal stocate în mai multe sisteme de evidență automatizate (RSP, RST, RBI, etc.), fiind peste 400 de accesări, precum și nerealizarea dreptului de acces la datele cu caracter personal ce vizează petentul.

În aceste circumstanțe, CNPDCP a dispus examinarea legalității operațiunilor de prelucrare a datelor cu caracter personal ale subiectului de date efectuate de către fiecare operator în parte.

Astfel, în rezultatul investigațiilor, în privința a trei operatori de date CNPDCP a constatat că operatorii de date au prelucrat datele cu caracter personal ale subiectului de date respectând cerințele Legii nr.133/2011, pe când în privința a cinci operatori de date, CNPDCP a constatat încălcarea prevederilor Legii precitate, or, operatorii de date nu au putut justifica scopul și temeiul legal al operațiunilor de prelucrare a datelor cu caracter personal ale subiectului de date, fie nu au putut identifica datele utilizatorilor care au efectuat anumite operațiuni de consultare/vizualizare a datelor cu caracter personal ale subiectului de date și, respectiv, nu a fost posibil de identificat scopul prelucrării.

Totodată, în privința unui operator de date-persoană juridică, CNPDCP a stabilit că, deși petentul și-a realizat dreptul de acces la datele sale cu caracter personal prelucrate de către entitate, expediind o cerere în sensul art. 13 al Legii nr133/2011 în adresa operatorului, ultimul nu i-a oferit un răspuns la cele solicitate, contrar dispozițiilor legale precitate.

III. CNPDCP a examinat sesizarea parvenită de la Direcția inspectare efectiv a Inspectoratului General al Poliției prin care se reclamă pretinse fapte ilegale admise la prelucrarea datelor cu caracter personal ale unui subiect de date de către angajații poliției din cadrul unui Inspectorat de poliție teritorial.

În context, CNPDCP a determinat că, caracteristica și cazierul contravențional pe numele subiectului de date, documente ce reflectă datele cu caracter personal – anul nașterii, numărul de identificare de stat (IDNP), datele din certificatul de înmatriculare, situația familială, adresa de domiciliul/reședința, comportamentul (caracterizează persoana), datele personale referitoare la sancțiunile contravenționale aplicate au fost emise și eliberate de către  persoana cu funcție de răspundere din cadrul autorității publice, în lipsa unui temei legal și a consimțământului subiectului de date, fără a avea o adresare/solicitare din partea subiectului vizat, a avocatului în interesele acestuia, inclusiv în lipsa solicitării înaintată de instanța de judecată de a fi eliberate aceste acte, acțiuni ce contravin condițiilor de drept prevăzute de art. 4 alin. (1) lit. a), art. 5, art. 8 și art. 9 din Legea nr. 133 din 8 iulie 2011 privind protecția datelor cu caracter personal.

4.      Activitatea de supraveghere

În conformitate cu prevederile statuate la art. 25 alin. (6) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale persoanei responsabile cu protecția datelor și de a le comunica CNPDCP. Astfel, în perioada de referință, CNPDCP a recepționat 11 scrisori, prin intermediul cărora a fost informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective, preponderent de la entitățile private.

Simultan, au fost elaborate și plasate pe pagina web oficială a CNPDCP, la compartimentul „Operator de date/Recomandările CNPDCP”, următoarele ghiduri/linii directorii: „Ghidul privind evaluarea impactului asupra protecției datelor cu caracter personal (DPIA)” și „Liniile directorii privind prelucrarea datelor cu caracter personal în cadrul sistemelor de supraveghere video”.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 204 consultații telefonice și 21 de răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorul de date.

5.      Știri internaționale și europene

   La data de 10 octombrie, a avut loc cea de-a 70-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a fost organizată la Bruxelles, Belgia.

În cadrul Plenarei, CEPD au fost adoptate mai multe documente, printre care:

·         Unul din principalele subiecte s-a referit la adoptarea de către CEPD a unei  liste de aspecte din dreptul procedural național pe care dorește să le armonizeze la nivelul UE pentru a facilita aplicarea GDPR-ului. Această așa numită „listă de dorințe” este una dintre acțiunile-cheie stabilite în declarația de la Viena a CEPD privind cooperarea în materie de aplicare a legislației.

·         Un aviz privind aprobarea de către Comitet a criteriilor de certificare Europrivacy prezentate de autoritatea luxemburgheză pentru protecția datelor. Acest aviz marchează aprobarea primului sigiliu european pentru protecția datelor de către CEPD, în conformitate cu art. 42 paragraful (5) din GDPR. Mecanismul de certificare Europrivacy este un sistem general care vizează o gamă largă de operațiuni de prelucrare diferite efectuate atât de operatori, cât și de persoane împuternicite de către operatori din diverse sectoare. Mecanismul include criterii specifice care îl fac scalabil și aplicabil la anumite operațiuni de prelucrare sau sectoare de activitate.

·         O declarație privind euro digital. În declarația sa, CEPD a reiterat importanța asigurării confidențialității și a protecției datelor prin concepție și implicit în cadrul acestui proiect, recomandând ca euro digital să fie disponibil atât online, cât și offline de-a lungul unui prag sub care nu este posibilă urmărirea, pentru a permite anonimatul deplin al tranzacțiilor zilnice.

    În perioada 19 – 20 octombrie, la Bruxelles, Belgia, a avut loc reuniunea Subcomitetului RM – UE pentru Libertate, Securitate și Justiție (Subcomitetul LSJ).

În cadrul reuniunii au fost discutate subiecte ce vizează evoluția în domeniul protecției datelor cu caracter personal, reforma sectorului justiției, prevenirea și combaterea crimei organizate a corupției și a altor activități ilegale, spălarea banilor și finanțarea terorismului.

De asemenea, în cadrul reuniunii au fost prezentate progresele înregistrate în domeniile sus-menționate de la ultima reuniune care a avut loc în perioada 12-13 octombrie 2021, în regim online. Reuniunea a întrunit inclusiv reprezentanți ai mai multor autorități din Republica Moldova, precum: Centrul Național Anticorupție; Procuratura Generală; Autoritatea Națională de Integritate; Ministerul Afacerilor Interne; Institutul Național al Justiției; Serviciul Prevenirea și Combaterea Spălării Banilor.

   În perioada 9 – 11 noiembrie, Misiunea OSCE în Moldova, în colaborare cu Misiunea OSCE pentru prevenirea conflictelor din Viena, a continuat proiectul intitulat „Grupul Comun de Lucru al Experților” început anul trecut. Evenimentul s-a desfășurat la Viena, Austria și a avut drept scop consolidarea capacităților pentru persoanele de gen feminin ce dețin  poziții de conducere. Obiectivul proiectului, a fost de a permite femeilor copreședinți și femeilor ce dețin posturi cheie să participe mai eficient la activitatea grupurilor de lucru mixte de experți în procesul de reglementare transnistreană, prin îmbunătățirea competențelor tehnice și prin consolidarea de relații personale între reprezentanții părților. În cadrul evenimentului au fost abordate mai multe subiecte, printre care: dinamica de gen; analiza conflictelor în funcție de gen; comportamente în negociere; lărgirea spațiului de manevră în procesele de negociere, etc.

   La data de 14 noiembrie, a avut loc cea de-a 71-a Ședință Plenară a Comitetului European pentru Protecția Datelor, care s-a desfășurat on-line.

În cadrul ședinței plenare, CEPD a adoptat Recomandări privind cererea de aprobare și elementele/principiile care trebuie să se regăsească în regulile corporative obligatorii pentru operatori (BCR-C). BCR-C reprezintă un instrument de transfer care poate fi utilizat de un grup de întreprinderi, angajate într-o activitate economică comună, pentru a transfera date cu caracter personal în afara Spațiului Economic European către operatori sau persoane împuternicite de către operator din cadrul aceluiași grup. BCR-urile creează drepturi executorii și stabilesc angajamente în vederea stabilirii unui nivel de protecție a datelor echivalent, în esență, cu cel prevăzut de GDPR.

Scopul acestor recomandări este de a:

·         furniza un formular standard actualizat de cerere pentru aprobarea BCR-C;

·         să clarifice conținutul necesar al BCR-C și să ofere explicații suplimentare;

·         să facă o distincție între ceea ce trebuie să fie inclus într-un BCR-C și ceea ce trebuie prezentat autorității principale de protecție a datelor în cererea BCR;

Un al doilea set de recomandări pentru persoanele care prelucrează BCR este în curs de elaborare.

    În perioada 16-18 noiembrie, a avut loc cea de-a 43 Ședință Plenară a Comitetului Consultativ al Convenției 108 pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, la Strasbourg, Franța. Evenimentul, organizat cu prezența fizică, după trei ani de întâlniri online/hibride, a adunat aproximativ 80 de participanți din toate regiunile lumii, timp de trei zile pentru a lucra și a face schimb de opinii cu privire la diverse aspecte de actualitate ce țin de domeniul protecției datelor cu caracter personal și pentru a contribui la dezvoltarea unor politici comune.

Printre temele discutate în cadrul acestei sesiuni au fost:

·         Identitatea digitală;

·         Model de clauză contractuală pentru transferul de date cu caracter personal;

·         Cooperarea cu alte organisme și entități ale Consiliului Europei;

·         Comitetul a organizat alegerile și au ales noul Birou;

·         Observatori – Comitetul a examinat și a aprobat două cereri de participare la reuniunile Comitetului introduse de Organizația Statelor Americane și, respectiv, de Autoritatea pentru protecția datelor din Burkina Faso;

·         Următoarele reuniuni 2022 și 2023 – Comitetul a comunicat despre datele următoarelor reuniuni plenare, care vor avea loc la 14-16 iunie 2023 și 15-17 noiembrie 2023, precum și de următoarele reuniuni ale Biroului din 15- 16 decembrie 2022, 22-24 martie 2023, 27-29 septembrie 2023 și 12-14 decembrie 2023;

·         Premiul Stefano Rodotà – Cei doi câștigători ai Premiului Rodotà 2022 și-au prezentat lucrările în fața Comitetului și au primit premiile.

    În perioada 18-19 noiembrie, la Tbilisi, Georgia, reprezentanții CNPDCP au participat la Atelierul European de gestionare a cazurilor 2022.

Evenimentul s-a axat pe probleme de actualitate în domeniul protecției datelor cu caracter personal și confidențialitate, în special cum ar fi:

·         Etapele parcurse în cadrul investigațiilor de către angajații autorităților;

·         Protecția datelor sociale indicații și excepții în legislația națională;

·         Transmiterea internațională de date cu caracter personal;

·         Date personale și inteligență artificială;

·         Principalele provocări cu care se confruntă autoritățile de supraveghere a datelor, etc.

Prezenți la eveniment, reprezentanții CNPDCP au abordat tematica – „Experiența Republicii Moldova și metodologia de examinare a plângerilor subiecților de date ce vizează copiii”. Invitația de participare la Atelier a venit din partea Serviciului de Protecție a Datelor cu Caracter Personal din Georgia, care desfășoară controlul legalității prelucrării datelor cu caracter personal din anul 2013. Evenimentul a întrunit circa 50 de participanți din 26 de țări europene.

 În perioada 12 – 14 decembrie, a avut loc reuniunea organizată în cadrul proiectul Cyber East: Acțiune privind criminalitatea cibernetică pentru reziliență în regiunea Parteneriatului Estic și a cuprins două evenimente majore, precum, ce-a de-a 6-ea ședință a Comitetului Director al Proiectului CyberEast EU-CoE și Ședința regională privind raportarea cibernetică și schimbul de date prin care se propune de a sprijini țările din Parteneriatului estic în construirea și menținerea parteneriatelor cu entitățile din sectorul privat, în principal furnizori de servicii Internet (ISP), pentru consolidarea mecanismelor de cooperare și încredere între sectorul privat, cetățeni și autoritățile de justiție penală, la Tbilisi, Georgia. În cadrul reuniunii au fost abordate mai multe subiecte, printre care:

·         Raportarea crimelor cibernetice/securității cibernetice. Provocări legate de raportare;

·         Clasificarea incidentelor cibernetice/crimelor cibernetice. Utilizarea taxonomiilor și necesitatea acestora;

·         Exemple de sisteme de raportare: idei de îmbunătățire pentru sistemele naționale;

·         SOPs  naționale și segregarea atribuțiilor;

·         Cooperarea între sectorul public și cel privat în Ucraina: accent pe noua legislație procedurală și utilizarea procedurilor/modelelor;

·         Ce tipuri de date și cum pot fi împărtășite de CSIRT-uri.

   În perioada 13 – 14 decembrie, a avut loc cea de-a 73-a Ședință Plenară a Comitetului European pentru Protecția Datelor, care a fost organizată la Bruxelles, Belgia. În cadrul Ședinței, CEPD a adoptat o declarație cu privire la recenta hotărâre C-817/19 a Curții de Justiție a Uniunii Europene (CJUE) privind utilizarea datelor din fișa cu numele pasagerilor (PNR) pentru prevenirea, depistarea, investigarea și urmărirea penală a infracțiunilor de terorism și a infracțiunilor grave, în temeiul Directivei PNR 2016/681. În declarația sa, CEPD solicită statelor membre ale UE să ia toate măsurile necesare la nivel legislativ și/sau administrativ pentru a se asigura că transpunerea și punerea în aplicare la nivel național a Directivei PNR sunt în conformitate cu Carta Drepturilor Fundamentale a UE, astfel cum a fost interpretată de CJUE. În acest sens, CEPD ia act de faptul că autoritățile de protecție a datelor sunt pe deplin competente să investigheze conformitatea cu cerințele UE în materie de protecție a datelor la nivel național.

  În perioada 15 – 16 decembrie, a avut loc cea de-a 57-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·         Convenția 108+, ratificările și aderările actuale;

·         Identitatea digitală;

·         Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

·         Clauze contractuale în contextul fluxurilor transfrontaliere de date;

·         Interpretarea articolului 11 din Convenția 108 modernizată;

·         Evoluții și activități majore în domeniul protecției datelor;

·         Cooperarea cu alte organisme și entități ale Consiliului Europei.

6.      Alte autorități pentru protecția datelor     La data de 19 octombrie, Autoritatea Franceză pentru Protecția Datelor (CNIL) a emis o amendă administrativă în valoare de 20 milioane de euro companiei Clearview AI pentru încălcarea articolelor 6, 12, 15, 17 și 31 din GDPR.

CNIL a primit numeroase plângeri de la persoane fizice cu privire la software-ul de recunoaștere facială Clearview AI și a inițiat o anchetă.

În urma investigațiilor, CNIL a constatat mai multe încălcări, cum ar fi:

·         Prelucrarea ilegală a datelor cu caracter personal (încălcarea articolului 6 din GDPR);

·         Nerespectarea drepturilor subiecților de date (articolele 12, 15 și 17 din GDPR);

·         Lipsa de cooperare cu CNIL (articolul 31 din GDPR).

Pe baza informațiilor care i-au fost aduse la cunoștință, CNIL a decis să impună o sancțiune financiară maximă de 20 de milioane de euro, în conformitate cu articolul 83 din GDPR.

În ceea ce privește riscurile foarte grave pentru drepturile fundamentale ale subiecților de date care rezultă din prelucrarea efectuată de companie, CNIL a dispus Clearview AI să înceteze colectarea și prelucrarea datelor cu caracter personal a persoanelor fizice rezidente în Franța fără un temei juridic și să șteargă datele acestor persoane pe care le-a colectat deja, în termen de două luni, adăugând la această somație o penalitate de 100 000 de euro pe zi de întârziere dincolo de aceste două luni.

  La data de 24 noiembrie, Autoritatea Franceză pentru Protecția Datelor (CNIL) a emis o amendă administrativă în valoare de 600 000 de euro aplicată companiei Élécricité de France (EDF) pentru încălcarea articolelor 7, 13, 14, 32 din GDPR, a Codului poștal și al comunicațiilor electronice.

CNIL, a primit numeroase plângeri privind dificultățile întâmpinate de persoanele fizice în ceea ce privește luarea în considerare a drepturilor lor de către compania EDF, care este primul producător de energie din Franța.

În urma investigațiilor, CNIL a constatat mai multe încălcări, cum ar fi:

·         Omisiunea obligației de a colecta consimțământul persoanelor fizice pentru a primi prospecțiuni comerciale prin e-mail (articolele L. 34-5 din Codul poștal și al comunicațiilor electronice și 7 din GDPR);

·         Nerespectarea obligației de informare și de exercitare a drepturilor subiecților de date (articolele 13 și 14 din GDPR);

·         Neasigurarea securității datelor cu caracter personal (articolul 32 din GDPR).

Cuantumul amenzii a fost decis prin prisma încălcărilor constatate precum și a tuturor măsurilor luate de furnizorul francez de energie în cursul procedurii pentru a se conforma.

  La data de 02 noiembrie, Autoritatea Portugheză pentru Protecția Datelor (CNPD) a emis o amendă în valoare de 4,3 milioane de euro companiei Portuguese National Statistics Institute (INI) pentru încălcarea art. 9 alin. (1); art. 12; art. 13; art. 28 alin. (1), (6) și (7); art. 35 alin. (1), (2) și (3) lit. b); art. 44; art. 46 și art. 83 din GDPR.

CNPD a primit mai multe plângeri cu privire la recensământul național. Pentru efectuarea recensământului, INE a utilizat serviciile CDN (rețea de livrare de conținut) ale unei companii americane, Cloudflare, Inc., cu peste 200 de centre de date răspândite în peste 100 de țări. În acel moment, aproximativ 2,5 milioane de formulare, care conțineau datele cu caracter personal a peste șase milioane de cetățeni cu reședința în Portugalia, fuseseră deja transmise către INE.

În urma anchetei ulterioare, CNPD a identificat cinci încălcări ale GDPR-ului în contextul prelucrării datelor recensământului din 2021, cu privire la următoarele aspecte: 

·         Lipsa legalității pentru prelucrarea categoriilor speciale de date cu caracter personal (art. 9 alin. (1) din GDPR);

·         Nerespectarea obligațiilor de transparență (art. 12 și 13 din GDPR), în special în ceea ce privește furnizarea oricăror informații referitoare la operațiunile de prelucrare, de exemplu prin afișarea unei notificări privind confidențialitatea pe site-ul INE;

·         Lipsa Evaluării Impactului asupra Protecției Datelor (art. 35 alin. (1), (2) și (3) lit. b) din GDPR);

·         Lipsa diligenței necesare cu privire la alegerea persoanei împuternicite de către operator (art. 28 alin. (1), (6) și (7) din GDPR), și anume, prin acceptarea unui contract standard, care nu a fost evaluat în conformitate cu art. 28 alin. (3) din GDPR;

·         Nerespectarea cerințelor legale pentru transferurile internaționale de date (art. 44 și art. 46 alin. (2) din GDPR), cum au fost interpretate de CJUE în Hotărârea Schrems II.

În acest context, urmare a faptelor și a raționamentului juridic, CNPD a stabilit că operatorul de date a încălcat diferite prevederi din GDPR referitor la prelucrarea datelor recensământului 2021 și, prin urmare, a decis, în temeiul articolului 58 alineatul (2) litera (i) și al articolului 83 din GDPR și al unor dispoziții naționale, să aplice operatorului de date o singură amendă în valoare de 4,3 milioane de euro. Această decizie este una finală, dar care poate fi contestată în instanțele naționale.

1. Activitățile de informare și instruire efectuate de CNPDCP
   

   La data de 10 iulie 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP),  a celebrat 14 ani de activitate. Cu acest prilej, CNPDCP a organizat mai multe activități dedicate domeniului protecției datelor cu caracter personal. Printre activități se numără acțiunea stradală organizată la data de 11 iulie, cu genericul: „14 ani de la fondarea CNPDCP”. Scopul acțiunii a fost de a disemina informații utile vizând domeniul protecției datelor cu caracter personal trecătorilor, de a informa și încuraja cetățenii Republicii Moldova să acorde o atenție mai mare domeniului respectiv.

   Totodată, în perioada de referință, CNPDCP a continuat procesul de instruire pentru reprezentanții autorităților publice locale (APL) și autorităților publice centrale (APC) în domeniul protecției datelor cu caracter personal. Scopul cursurilor de instruire a fost de a familiariza, sensibiliza și informa reprezentanții autorităților cu cele mai noi aspecte din domeniul protecției datelor. Principalele subiecte abordate au vizat: noțiuni generale privind datele cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; desemnarea persoanei responsabile cu protecția datelor cu caracter personal; specificul funcției și sarcinile responsabilului de protecția datelor. Astfel, cursurile de instruire au fost organizate pentru următoarele autorități:

   –  15 iulie – Consiliul Raional Nisporeni;
   –  20 iulie – DGETS;
   –  04 august –  Consiliul Raional Strășeni;
   –  19 august – Consiliul Raional Hîncești;
   –  02 septembrie – Consiliul Raional Anenii Noi;
   –  22 septembrie – Consiliul Raional Leova.

   În acest sens, în trimestrul III al anului curent, formatorii din cadrul CNPDCP, au instruit circa 197 reprezentanți din cadrul APL-urilor menționate supra și 64 reprezentanți din cadrul DGETS.

   De asemenea, în aceeași perioadă, CNPDCP a elaborat o listă de Recomandări pentru prestatorii de servicii de instalare a sistemelor de supraveghere video în vederea oferirii consultațiilor beneficiarilor finali de servicii la montarea sistemelor de supraveghere video. Recomandările sunt disponibile pe pagina web oficială a instituției și pot fi accesate la compartimentul Operator de date, sub-compartimentul Recomandările CNPDCP.

2. Activitatea de control
   
   În perioada iulie-septembrie curent, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 53 cazuri și au fost emise 54 decizii, dintre care în 33 cazuri s-a constatat încălcarea prevederilor legale. Totodată, în aceeași perioadă de către CNPDCP, au fost încheiate 30 de procese verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.
   
   
3. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal
   

   I. CNPDCP a examinat plângerea unui subiect de date cu caracter personal care a sesizat pretinsul fapt de prelucrare neconformă a datelor cu caracter personal, stocate în Registrul bunurilor imobile,  efectuate de către o administrație publică locală.

            În rezultatul soluționării plângerii CNPDCP a constatat că, administrația publică locală nu a      întreprins acțiunile corespunzătoare vizând măsurile organizatorice și tehnice necesare pentru protecția datelor cu caracter personal, contrar prevederilor art. 4 alin. (1) lit. a), art. 29 alin. (1), art. 30 alin. (1) ale Legii nr. 133/2011, nefiind asigurată confidențialitatea și securitatea datelor cu caracter personal în ceea ce privește riscurile prezentate de prelucrare și caracterul/natura datelor prelucrate în cadrul Băncii Centrale de Date a cadastrului bunurilor imobile, fără a monitoriza și implementa respectarea prevederilor acordului de prestare a serviciilor de acces la informație

   Consecutiv, relevăm că față de autoritatea publică locală precitată, prin Decizie s-a dispus:

   ·Revizuirea drepturilor de acces ale utilizatorilor la Banca Centrală de date a cadastrului bunurilor imobile, după schimbarea de statut al utilizatorului/lor (demisie, concediere, detașare ș.a.) prin actualizarea listei utilizatorilor cu drept de acces la informație, conform acordului de prestare a serviciilor de acces la informație;

   ·Informarea I.P „Agenția Servicii Publice” despre modificarea utilizatorilor, în vederea revocării codurilor de identificare/autentificare a utilizatorului autorizat din cadrul autorității publice, cât și blocării accesului la informația din Banca Centrală de Date a cadastrului bunurilor imobile;

   ·Instituirea unui mecanism de ținere de către utilizatorii autorizați a evidenței manuale și/sau electronice a accesării/consultării datelor cu caracter personal prin intermediul Băncii Centrale a cadastrului bunurilor imobile, prin consemnarea datei și orei exacte a prelucrării datelor cu caracter personal, justificarea scopului, temeiului și necesității operațiunii efectuate, specificarea sistemului de evidență din care au fost prelucrate acestea, categoriile de date prelucrate;

   ·Aducerea la cunoștință/instruirea efectivului din cadrul subdiviziunii din subordine, despre neadmiterea accesării/utilizării neautorizate a informației din Banca de Date a cadastrului bunurilor imobile și altor sisteme informaționale.

   II. CNPDCP a examinat plângerea a doi subiecți de date cu caracter personal, ce vizează pretinsele operațiuni neconforme de prelucrare a datelor cu caracter personal, efectuate de către o administrație publică locală, stocate în Registrul bunurilor imobile.

           În cadrul investigației s-a constatat că, operațiunile de accesare a bunului imobil, ce aparțin cu drept de proprietate subiecților de date, a fost efectuată de pe contul de utilizator creat pe numele unui fost angajat din administrația publică locală, care de 3 ani nu mai activa în cadrul entității, iar contul a fost utilizat de un  număr nedeterminat de angajați din cadrul administrației publice locale vizate.

           În context, prin decizia CNPDCP s-a constatat că operațiunea de accesare  a datelor cu caracter personal a subiecților de date a fost efectuată cu încălcarea art. 4  alin. (1) lit. a), b) și art. 5, art. 29 alin. (1), art. 30 alin. (1) ale Legii 133/2011 privind protecția datelor cu caracter personal, de către administrația publică locală, în lipsa unui scop determinat, explicit și legitim, exclusiv în condițiile în care accesarea a avut loc într-o zi declarată oficial nelucrătoare.

   III. În alt caz, în urma verificărilor efectuate, CNPDCP a constatat încălcarea dreptului de acces la datele cu caracter personal a unui subiect de date de către o autoritate publică.

           În fapt circumstanțele ce au servit drept motiv pentru inițierea verificării conformității operațiunilor de prelucrare a datelor cu caracter personal a fost plângerea depusă de către un subiect de date care își exprima dezacordul cu răspunsul oferit de o subdiviziune a Ministerului Afacerilor Interne (MAI), prin neoferirea informațiilor comprehensive privitor la datele cu caracter personal ce-l vizează, prelucrate în cadrul Sistemului Informațional Automatizat „Registrul informației criminalistice și criminologice”, acțiune pe care petentul o considera a fi contrară prevederilor art. 13 alin. (1) al Legii 133/2011 privind protecția datelor cu caracter personal.

           În rezultatul examinării plângerii, CNPDCP a constatat încălcarea prevederilor art. 13 alin. (1) al Legii 133/2011 privind protecția datelor cu caracter personal, dispunând, prin decizie ca MAI să întreprindă acțiunile ce-i sunt impuse în vederea asigurării realizării dreptului de acces la datele cu caracter personal pentru subiecții de date, inclusiv la datele prelucrate în Sistemul Informațional Automatizat „Registrul informației criminalistice și criminologice”,  fără a admite confuzii în ceea ce privește caracterul gratuit în realizarea dreptului de acces al oricărui subiect de date, recunoscut și garantat de art. 13 alin. (1) al Legii nr. 133/2011 privind protecția datelor cu caracter personal.

4. Activitatea de supraveghere
   

   În conformitate cu prevederile Legii nr. 175/2021 pentru modificarea unor acte normative, care a intrat în vigoare la data de 10 ianuarie 2022, a fost instituită obligația desemnării persoanei responsabile cu protecția datelor cu caracter personal. Astfel, în perioada de referință, CNPDCP  a recepționat 49 de scrisori, prin intermediul cărora este informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal, preponderent de la entitățile private.

   În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 195 consultații telefonice și 26 de răspunsuri prin intermediul poștei electronice, fiind înaintate recomandări în vederea înlăturării discrepanțelor identificate de către operatorii de date.

5. Știri internaționale și europene
   

   În perioada de referință, între Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) și Oficiul pentru Protecția Datelor din Republica Polonă a fost semnat Acordul de colaborare în domeniul protecției datelor cu caracter personal.

   –   La data de 12 iulie a avut loc cea de-a 67-ea ședință plenară a Comitetului European pentru Protecția Datelor (CEPD), care a fost organizată online.

   • În cadrul sesiunii plenare CEPD și Autoritatea Europeană pentru Protecția Datelor (AEPD) au adoptat avizul lor comun privind propunerea Comisiei Europene pentru Spațiul european de date medicale (EHDS). Propunerea are ca scop facilitarea creării unei Uniuni Europene a sănătății și să permită UE să utilizeze pe deplin potențialul oferit de schimbul, utilizarea și reutilizarea sigură și securizată a datelor privind sănătatea. CEPD și AEPD recunosc că infrastructura pentru schimbul de date electronice de sănătate prevăzută în prezenta propunere EHDS are ca scop facilitarea schimbului de date privind sănătatea. Cu toate acestea, din cauza volumului mare de date electronice de sănătate care ar fi prelucrate, a naturii lor extrem de sensibile, a riscului de acces ilegal și a necesității de a asigura pe deplin o supraveghere eficientă de către autoritățile independente de protecție a datelor, CEPD și AEPD solicită Parlamentului European și Consiliului să adauge la propunere o cerință de stocare a datelor electronice de sănătate în SEE, fără a aduce atingere transferurilor ulterioare în conformitate cu capitolul V din GDPR.

   –  La data de 28 iulie a avut loc cea de-a 68-a ședință plenară a Comitetului European pentru Protecția Datelor, care a fost organizată online. În cadrul ședinței au fost discutate și adoptate o serie de documente, care urmează a fi o recomandare pentru autoritățile de protecție a datelor și anume:

   • CEPD și AEPD au adoptat un aviz comun privind propunerea de regulament pentru prevenirea și combaterea abuzului sexual asupra copiilor. Propunerea vizează impunerea de obligații legate de detectarea, raportarea, eliminarea și blocarea materialelor online cunoscute privind abuzurile sexuale asupra copiilor, precum și de racolarea copiilor, furnizorilor de servicii de găzduire, de servicii de comunicare interpersonală, de magazine de aplicații software, de servicii de acces la internet și de alte servicii relevante. CEPD și AEPD consideră că abuzul sexual asupra copiilor este o infracțiune deosebit de gravă. Limitările drepturilor la viața privată și la protecția datelor trebuie, totuși, să respecte esența acestor drepturi fundamentale și să rămână limitate la ceea ce este strict necesar și proporțional.

   • Două scrisori ca răspuns la Access Now și BEUC cu privire la TikTok. În aceste scrisori, CEPD subliniază acțiunea rapidă întreprinsă de autoritățile de supraveghere irlandeză, italiană și spaniolă în urma anunțului TikTok că nu va mai solicita consimțământul utilizatorilor pentru a trimite reclame personalizate, iar temeiul juridic pentru aceasta va fi interesul legitim al TikTok și al partenerilor săi.

   • O decizie de soluționare a litigiilor în temeiul art. 65 GDPR. Decizia cu caracter obligatoriu urmărește să abordeze lipsa de consens cu privire la anumite aspecte ale unui proiect de decizie emis de autoritatea de supraveghere din Irlanda, în calitate de autoritate de supraveghere principală, în ceea ce privește Instagram (Meta Platforms Ireland Limited (Meta IE)) și obiecțiile ulterioare exprimate de unele dintre autoritățile de supraveghere vizate.

   –  În perioada 12-13 septembrie a avut loc cea de-a 69-a Ședință Plenară a Comitetului European pentru Protecția Datelor, care a avut loc în Bruxelles, Belgia. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

   • Declarația referitoare la propunerea Comisiei Europene privind Codul de cooperare polițienească al UE. Prezenta propunere urmărește să consolideze cooperarea în domeniul aplicării legii între statele membre, în special schimbul de informații între autoritățile competente. Codul este compus din trei măsuri principale: propunerea de regulament Prüm II, propunerea de directivă privind schimbul de informații polițienești și propunerea de recomandare a Consiliului privind cooperarea operațională a poliției.

   • Decizia CEPD asupra subiectului pentru cea de-a doua sa acțiune coordonată de aplicare a legii, care va viza desemnarea și poziția responsabilului cu protecția datelor. În cadrul unei acțiuni coordonate, CEPD va acorda prioritate unui anumit subiect pentru ca autoritățile de protecție a datelor să lucreze la nivel național. Rezultatele acestor acțiuni naționale vor fi apoi grupate și analizate, generând o perspectivă mai profundă asupra subiectului și permițând o urmărire țintită atât la nivel național, cât și la nivelul UE.

6. Alte autorități pentru protecția datelor
   

   –  La data de 07 iulie, Autoritatea Franceză pentru Protecția Datelor (APD) a emis o amendă în valoare de 175 000 de euro companiei UBEEQO International, pentru prelucrarea ilegală a datelor cu caracter personal. Dosarul face parte din tematica de control prioritar în 2020 referitor la noile utilizări ale datelor de geolocalizare în contextul mobilității. În acest sens, APD Franceză a verificat compania UBEEQO International, a cărei activitate este închirierea de vehicule pentru o perioadă scurtă. Investigațiile s-au concentrat în special pe datele colectate, perioadele de păstrare definite, informațiile furnizate subiecților de date și măsurile de securitate implementate. În urma investigațiilor, APD Franceză a constatat mai multe încălcări, cum ar fi:

   • Nerespectarea obligației de a asigura minimizarea datelor (articolul 5.1.c din GDPR);

   • Nedefinirea și nerespectarea unei perioade proporționale de păstrare a datelor (articolul 5.1.e din GDPR);

   • Nerespectarea obligației de informare a subiectului de date (articolul 12 din GDPR).

   –  La data de 19 iulie, Autoritatea Elenă pentru Protecția Datelor (APD) a emis a amendă în valoare de 20 000 de euro Societății de Administrare a Datoriilor pentru prelucrarea ilegală a datelor cu caracter personal și examinarea neesențială a drepturilor de opoziție și ștergere. În urma investigațiilor, APD Elenă a constatat că, în acest caz particular, societatea reclamată a împiedicat în mod nejustificat exercitarea drepturilor reclamantului, cu încălcarea prevederilor stipulate la articolul 12 alineatul (2) din GDPR și că prelucrarea în cauză a avut loc fără un temei legal, dat fiind faptul că a existat deja o scutire judiciară de la datoriile reclamantului, cu încălcarea prevederilor articolelor 5(1)(a), 5(2) și (6) din GDPR.

   –  La data de 08 septembrie, Autoritatea Franceză pentru Protecția Datelor (CNIL) a emis o amendă în valoare de 250 000 de euro companiei INFOGREFFE, pentru încălcarea articolului  5.1.e și articolului 32 din GDPR. În urma unei plângeri, CNIL, a efectuat o investigație online a site-ului infogreffe.fr, care permite utilizatorilor să consulte informații juridice despre companii și să comande documente și certificate din registrele comerciale. Investigațiile s-au concentrat în special pe perioadele de păstrare a datelor cu caracter personal și pe  măsurile de securitate implementate de grupul de interes economic INFOGREFFE, care furnizează serviciul de publicare a informațiilor juridice privind societățile comerciale prin intermediul site-ului. În urma investigațiilor s-a constatat:

   • Nerespectarea obligației de păstrare a datelor cu caracter personal pentru o perioadă de timp proporțională cu scopul prelucrării (articolul 5.1.e din GDPR);

   • Nerespectarea obligației de a asigura securitatea datelor cu caracter personal (articolul 32 din GDPR).

1.      Activitățile de informare și instruire efectuate de CNPDCP

      Pe parcursul trimestrului II al anului 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a înregistrat progrese în partea ce ține de activitățile de instruire pentru reprezentanții autorităților publice locale (APL) și a autorităților publice centrale (APC). Astfel, cursurile de instruire au avut drept scop consolidarea capacităților reprezentanților APL și APC prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. Cele mai importante subiecte abordate au fost, după caz: noțiuni generale privind datele cu caracter personal; prelucrarea categoriilor de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; persoana responsabilă cu protecția datelor cu caracter personal; evaluarea impactului asupra protecției datelor și consultarea prealabilă; desemnarea funcției și sarcinile responsabilului de protecția datelor. Cursurile de instruire au fost desfășurate pentru următoarele instituții/autorități:

–           8 aprilie – Consiliul municipal Bălți

–           19 aprilie – Consiliul Raional Rezina;

–           06 mai – Consiliul Raional Florești;

–           20 mai – Consiliul Raional Sîngerei;

–           03 iunie – Consiliul Raional Ungheni;

–           17 iunie – Consiliul Raional Călărași.

      În acest sens, CNPDCP a instruit circa 215 reprezentanți ai APL-urilor din regiunile sus-menționate.

      În partea ce ține de instruirile organizate pentru reprezentanții APC-urilor, CNPDCP a instruit circa 1310 reprezentanți ai: Serviciului Vamal; Serviciului Fiscal de Stat; Agenției Naționale pentru Siguranța Alimentelor și Secretariatului Parlamentului Republicii Moldova.

      La data de 15 aprilie curent, CNPDCP a lansat campania de informare și sensibilizare pentru comunitățile școlare cu genericul: „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line”. Primul curs de instruire a fost organizat la IPLT „Onisifor Ghibu” din mun. Chișinău, publicul țintă fiind elevii claselor a IV-a. Scopul campaniei, este de a oferi comunității școlare o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin.  Ulterior, la data de 6 mai au mai fost organizate două sesiuni de instruire în cadrul comunității școlare.

      Tematicile abordate în cadrul instruirilor au vizat: noțiuni generale privind datele cu caracter personal; utilizarea corectă a pozelor/video în mediul online; riscurile și amenințările în mediul online; comunicarea pe rețelele de socializare.

       De asemenea, în aceiași perioadă, de către CNPDCP au fost semnate două Acorduri de colaborare cu „Academia de Administrare Publică” și „Asociația Națională a Companiilor din Domeniul TIC”.

2.      Activitatea de control

     În perioada aprilie-iunie 2022, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal în 76 cazuri și au fost emise 50 decizii, dintre care în 32 cazuri s-a constatat încălcarea prevederilor legale. Totodată, în aceeași perioadă CNPDCP a constatat 37 de fapte contravenționale, au fost încheiate 34 de procese verbale cu privire la contravenție, care ulterior au fost remise instanței de judecată pentru soluționare.

3.      Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I.                   Prelucrarea datelor cu caracter personal fără temei legal, manifestată prin accesarea datelor prin intermediul Registrului Bunurilor Imobile și încălcarea dreptului subiectului datelor cu caracter personal de acces la datele cu caracter personal.

     CNPDCP în cadrul examinării unei petiții depuse de către un subiect de date, a emis o decizie prin care s-a constatat încălcarea prevederilor art. 4 alin. (1) lit. a) și b), art. 5 alin. (1) și art. 13 alin. (1) ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către o companie imobiliară, la prelucrarea datelor cu caracter personal ale petiționarului, manifestată atât prin accesarea datelor cu caracter personal ale subiectului de date, stocate în Registrul Bunurilor Imobile, cât și ignorarea cererii subiectului de date, prin care, ultimul a solicitat informații referitoare la motivele, scopul prelucrării datelor cu caracter personal ce îl vizează, realizându-și dreptul de acces asupra datelor cu caracter personal.

     Astfel, în urma examinării cauzei s-a determinat că, operatorul de date cu caracter personal, a prelucrat datele cu caracter personal ale subiectului de date, stocate în Registrul Bunurilor Imobile, fără a avea un temei legal și fără consimțământul subiectului de date cu caracter personal, fiind reținută încălcarea, de către compania imobiliară a prevederilor art. 4 alin. (1) lit. a) și b) și art. 5 alin. (1) ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal.

    Mai mult, compania imobiliară a ignorat cererea subiectului de date, nerealizându-i dreptul de acces la datele cu caracter personal ce vizează subiectul de date, prevăzut de art. 13 alin. (1) al Legii privind protecția datelor cu caracter personal.

II.                Încălcarea regulilor de prelucrare și stocare a datelor cu caracter personal.

     CNPDCP a fost sesizat prin plângere de către un subiect de date cu caracter personal precum că un operator de date, în lipsa consimțământului subiectului de date, efectuează plăți din numele acestuia pe contul bancar al persoanei juridice, astfel fiind prelucrate datele cu caracter personal – nume, prenume, numărul de identificare de stat.

     În cadrul investigației s-a reținut că, o angajată a unei bănci, pe parcursul anului 2021 a utilizat un șablon al ordinului de încasare a numerarului în favoarea persoanei juridice, însă având drept plătitor un membru al cooperativei. În ordinele menționate angajata a modificat doar suma și data corespunzătoare, însă a omis să schimbe datele/informațiile plătitorului, deși la încheierea tranzacției ultima a verificat identitatea administratorului cooperativei fără ca acesta să prezinte copia buletinului de identitate a subiectului de date.

      Relevăm că, în conformitate cu art. 4 alin. (1) al Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, datele cu caracter personal care fac obiectul prelucrării trebuie să fie: a) prelucrate în mod corect și conform prevederilor legii; b) colectate în scopuri determinate, explicite și legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri. […]. Potrivit art. 5 al aceluiași act normativ, prelucrarea datelor cu caracter personal se efectuează cu consimțământul subiectului datelor cu caracter personal, cu excepția cazurilor statuate exhaustiv la alin. (5) al aceluiași articol. Conform art. 9 al actului normativ precitat, prelucrarea numărului de identificare de stat (IDNP) al persoanei fizice, […] sau a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală poate fi efectuată în următoarele condiții: a) subiectul datelor cu caracter personal și-a dat consimțământul; b) prelucrarea este prevăzută în mod expres de legislație.

      În context, prin decizie s-a constatat că angajata băncii, pe parcursul anului 2021, a încălcat dispozițiile art. 4 alin. (1) lit. a) și lit. b), art. 5 alin. (1) și art. 9 ale Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal.

    Mai mult, CNPDCP a dispus, prin decizie, instituției bancare de a iniția instruirea angajaților/personalului implicat în procesul de prelucrare a datelor cu caracter personal, în vederea îndeplinirii de către aceștia a atribuțiilor funcționale în conformitate cu legislația în domeniul protecției datelor cu caracter personal, precum și cu documentele/regulamentele interne aprobate în acest sens.

4.      Activitatea de supraveghere

      În conformitate cu prevederile Legii nr. 175/2021 pentru modificarea unor acte normative, care a intrat în vigoare la data de 10 ianuarie 2022, a fost instituită obligația desemnării persoanei responsabile cu protecția datelor cu caracter personal. Astfel, în perioada de referință, CNPDCP  a recepționat 24 de scrisori, prin intermediul cărora este informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective, preponderent de la entitățile private.

      Simultan, au fost elaborate și plasate pe pagina web oficială a CNPDCP următoarele recomandări/opinii: Considerente în legătură cu utilizare tot mai frecventă a sistemului de supraveghere video înzestrat cu funcții de înregistrare audio; Aspecte practice și legale în legătură cu instalarea  și gestionarea mijloacelor de supraveghere video.

      În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 315 consultații telefonice și 20 de răspunsuri prin intermediul poștei electronice, fiind propuse recomandări în vederea înlăturării discrepanțelor identificate de către operatorul de date.

      Totodată, CNPDCP a informat, prin intermediul demersurilor oficiale expediate, 34 de autorități și instituții publice cu privire la necesitatea desemnării persoanei responsabile cu protecția datelor cu caracter personal.

5.      Știri internaționale și europene

–          La data de 06 aprilie a avut loc cea de-a 63-a ședință plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care,  a fost adoptată o Declarație privind anunțul unui nou cadru transatlantic de confidențialitate a datelor. CEPD salută angajamentele asumate de SUA de a lua măsuri „fără precedent” pentru a proteja confidențialitatea datelor cu caracter personal ale persoanelor fizice din Spațiul Economic European atunci când datele acestora sunt transferate în SUA.

–          La data de 4 mai a avut loc cea de-a 64-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line, în cadrul căreia a fost discutată adoptarea Avizului Comun al Comitetul European pentru Protecția Datelor și Autorității Europene pentru Protecția Datelor cu privire la Propunerea Parlamentului European și a Consiliului privind normele armonizate pentru un acces echitabil la date și o utilizare corectă a acestora (Legea privind datele).

–          La data de 12 mai a avut loc cea de-a 65-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. Sesiunea plenară s-a axat pe două subiecte și anume:

·         Au fost adoptate noile Orientări privind calcularea amenzilor administrative, armonizând metodologia utilizată de autoritățile de protecție a datelor. Astfel, sunt luate în considerare trei elemente: clasificarea încălcărilor în funcție de natura lor, gravitatea încălcării și cifra de afaceri a unei întreprinderi.

·         Au fost adoptate Orientările privind utilizarea tehnologiei de recunoaștere facială în domeniul aplicării legii. Orientările oferă îndrumări factorilor de decizie din UE și naționali, precum și autorităților de aplicare a legii, cu privire la punerea în aplicare și utilizarea sistemelor tehnologice de recunoaștere facială.

–          În perioada 18-20 mai, a avut loc cea de-a 30 – a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor, desfășurată în orașul Cavtat, Croația.

Evenimentul a fost găzduit de Agenția Croată pentru Protecția Datelor cu Caracter Personal, încurajând astfel participarea a circa 40 de țări. Agenda evenimentului a inclus subiecte de actualitate din domeniul protecției datelor cu caracter personal, precum: Convenția 108+, asistență reciprocă și convergență globală, protecția datelor în jurisprudența CEDO: ultimele evoluții din domeniu.

Totodată, Autoritățile membre au adoptat o Rezoluție privind necesitatea ratificării prompte a „Convenției 108+”, versiunea modernizată a Convenției 108. Rezoluția îndeamnă guvernele statelor membre ale Consiliului Europei, guvernele țărilor terțe ale Consiliul Europei, Uniunii Europene și Organizațiile Internaționale să accelereze procesul de semnare și ratificare a Convenției 108+.

–          În perioada 14-15 iunie a avut loc cea de-a 66-a ședință plenară a Comitetului European pentru Protecția Datelor, care a avut loc la Bruxelles, Belgia. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care Orientări privind certificarea ca instrument pentru transferuri. Scopul principal al acestor orientări este de a oferi clarificări suplimentare cu privire la utilizarea practică a acestui instrument de transfer și vor face obiectul unei consultări publice până la sfârșitul lunii septembrie.

6.      Alte autorități pentru protecția datelor

·         La data de 4 aprilie, Autoritatea daneză de supraveghere a datelor, a impus  o amendă administrativă în valoare de 1,3 milioane de euro companiei Danske Bank pentru încălcarea articolului 5 alineatul (2) din GDPR. În timpul anchetei s-a constatat că banca din cele peste 400 de sisteme deținute nu a putut documenta dacă au fost stabilite reguli pentru ștergerea și stocarea datelor cu caracter personal sau dacă a fost efectuată ștergerea manuală a datelor cu caracter personal. Aceste sisteme prelucrează datele cu caracter personal a milioane de persoane.

·         La data de 15 aprilie, Autoritatea Franceză pentru Protecția Datelor (CNIL), a impus o amendă administrativă în valoare de 1,5 milioane de euro companiei Dedalus Biologie pentru încălcarea articolelor 28, 29 și 32 din GDPR. În urma investigațiilor, CNIL a identificat trei încălcări. În primul rând, în contextul migrării unui pachet software către un alt instrument, solicitat de două laboratoare care utilizează serviciile Dedalus Biologie, acesta din urmă a extras un volum de date mai mare decât cel solicitat. Prin urmare, compania a prelucrat date dincolo de instrucțiunile impuse de operatorul de date și nu a respectat articolul 29 din GDPR. În al doilea rând, compania nu a asigurat securitatea datelor cu caracter personal, contrar articolului 32 din GDPR. Totodată s-a stabilit că, condițiile generale de vânzare propuse de Dedalus Biologie și contractele de mentenanță transmise către CNIL nu conțineau mențiunile prevăzute la articolul 28 alineatul (3) din GDPR.

·         La data de 3 mai, Autoritatea de Supraveghere a Islandei, a impus o amendă în valoare de 35 000 euro municipalității Reykjavík pentru utilizarea sistemului educațional Seesaw, un serviciu american bazat pe cloud. În urma anchetei s-a constatat că: acordul de prelucrare dintre Reykjavík și Seesaw a fost insuficient; municipalitatea nu a putut demonstra un scop specific, explicit și legitim pentru prelucrarea în cauză; prelucrarea nu a fost echitabilă, transparentă și nu au fost implementate principiile minimizării datelor și limitările stocării ținând cont de cantitatea de date colectate, de amploarea prelucrării acestora, de perioada de stocare și de accesibilitatea acestora; evaluarea impactului privind protecția datelor nu a îndeplinit cerințele minime; municipalitatea nu a demonstrat că a asigurat securitatea adecvată a datelor cu caracter personal în cauză și datele au fost transferate în Statele Unite ale Americii fără garanții adecvate. În plus, Autoritatea de Supraveghere a Islandei a concluzionat că toate prelucrările de date din sistemul educațional Seesaw ar trebui confiscate, iar datele elevilor ar trebui șterse.

1.      Activități de informare și instruire efectuate de CNPDCP

La data de 28 ianuarie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) în colaborare cu experții proiectului TAIEX, au organizat conferința națională „Transferuri transfrontaliere – Provocări ale transferului transfrontalier de date din perspectiva Convenției 108 + și GDPR”. Scopul conferinței a fost de a prezenta informații, exemple de bune practici și soluții inovatoare privind sensibilizarea şi informarea sectorului public despre provocările transferului transfrontalier de date cu caracter personal. Conferința a fost moderată de experți în protecția datelor cu caracter personal din Italia, Germania, Austria și reprezentanți din cadrul Comisiei Europene. Printre temele abordate de experți au fost: transferurile transfrontaliere de date cu caracter personal din perspectiva Convenției 108+ și tendințe globale, prezentare generală a temeiurilor privind  transferurile transfrontaliere de date cu caracter personal în temeiul GDPR și tipul de garanții necesare, provocările transferului transfrontalier de date cu caracter personal din perspectiva autorităților de supraveghere din UE, transferuri transfrontaliere de date în domeniul cooperării cu organele de ocrotire a legii, informații generale referitoare la conceptul de caracter adecvat al nivelului de protecție a datelor cu caracter personal și aspecte esențiale și procedurale ale deciziilor de adecvare. În cadrul evenimentului au participat circa 70 de reprezentanți ai sectorului public.

Totodată, la data de 26 ianuarie, a fost desfășurată Acțiunea stradală – ”Protejează datele cu caracter personal”, organizată de reprezentanții CNPDCP în contextul celebrării Zilei Europene a Protecției Datelor. În acest context, mai mulți angajați ai CNPDCP au distribuit trecătorilor, în preajma Scuarului Catedralei, materiale informative, cetățenii fiind sensibilizați despre noțiunea de date cu caracter personal, drepturile subiecților de date, măsurile de securitate și confidențialitate a datelor, precum și despre principiile de protecție a datelor cu caracter personal. Totodată, aceștia au fost informați cu privire la posibilele situații în care datele cu caracter personal nu sunt prelucrate în conformitate cu prevederile legislației naționale din domeniu, oferindu-le îndrumări și recomandări practice care ar trebui întreprinse în astfel de situații.

În perioada de referință, CNPDCP a înregistrat o evoluție remarcabilă la capitolul activități de instruire și sensibilizare desfășurate. A fost continuat șirul de instruiri organizate pentru reprezentanții autorităților publice locale (APL) din raionale Republicii Moldova, acestea având drept scop de a consolida capacitățile reprezentaților APL-urilor prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. Subiectele abordate în cadrul instruirilor au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaționale, etc. Totodată, cu titlu separat, au fost discutate aspectele legate de depersonalizarea corectă a datelor cu caracter personal ce se conțin în actele administrative ale autorităților publice locale publicate în Registrul de stat al actelor locale. Evenimentele, moderate de experți naționali în domeniul protecției datelor din cadrul CNPDCP, au fost organizate pentru aproximativ a câte 50 de primari, consilieri raionali și secretari ai consiliilor locale din fiecare centru raional în parte. Cursurile de instruire au fost desfășurate:

·        La data de 27 ianuarie – Consiliul Raional Ialoveni;

·        La data de 04 februarie – Consiliul Raional Telenești;

·        La data de 11 februarie – Consiliul Raional Edineț;

·        La data de 25 februarie – Consiliul Raional Drochia;

·        La data de 11 martie – Consiliul Raional Dondușeni;

·        La data de 25 martie – Consiliul Raional Soroca.

2.      Activitatea de control

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 53 de investigații. Din cele 53 de investigații: 47 de cazuri finalizate, în 27 cazuri s-a constatat încălcarea prevederilor legale. Totodată, au fost încheiate 18 procese-verbale cu privire la contravenție,  care ulterior au fost remise instanței de judecată pentru soluționare.

3.      Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I.   Încălcarea drepturilor subiectului de date cu caracter personal: dreptul de acces la datele cu caracter personal, dreptul de intervenție asupra datelor cu caracter personal și dreptul de opoziție.

CNPDCP, în cadrul examinării unei petiții depuse de către un subiect de date, a emis o decizie prin care s-a constatat încălcarea prevederilor art. 13 alin. (1) și art. 14 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către un agent economic, la prelucrarea datelor cu caracter personal ale petiționarului, manifestată prin ignorarea cererii subiectului de date, prin care, ultimul a solicitat, inclusiv, un răspuns care să demonstreze că operatorul de date a șters datele cu caracter personal ce îl vizează, astfel, realizându-și dreptul de intervenție asupra datelor cu caracter personal.

Astfel, subiectul de date cu caracter personal și-a realizat dreptul de acces și dreptul de intervenție la datele cu caracter personal ce îl vizează, înaintând o cerere către operatorul de date cu caracter personal, fiind solicitate informații referitoare la modalitatea asigurării protecției datelor cu caracter personal ale clienților, care sunt scopurile în care sunt utilizate aceste date, care sunt garanțiile că datele cu caracter personal nu sunt folosite în scopuri personale.

În urma examinării cauzei s-a determinat că, operatorul de date cu caracter personal, a ignorat cererea subiectului de date, nerealizându-i dreptul de acces și dreptul de intervenție la datele cu caracter personal ce vizează subiectul de date, prevăzut de art. 13 alin. (1) și art. 14 ale Legii privind protecția datelor cu caracter personal.

Respectiv, agentului economic i-a fost întocmit proces-verbal cu privire la contravenție în baza art. 741 alin. (3) Cod contravențional.

II. Încălcarea regulilor de prelucrare și stocare a datelor cu caracter personal, prin intermediul unui sistem de supraveghere video

CNPDCP, în cadrul examinării unei petiții depuse de către un subiect de date, a emis o decizie prin care s-a constatat încălcarea prevederilor art. 4 alin. (1) lit. a), b), c), art. 5 alin. (1) ale Legii nr. 133/2011, la prelucrarea datelor cu caracter personal ale petiționarului, în legătură cu colectarea/înregistrarea vocii persoanei vizate, fără consimțământul acesteia, prin intermediul camerei de supraveghere video, instalate pe un pilon electric, ce cuprindea atât proprietatea gestionarului sistemului de supraveghere video, cât și o porțiune din spațiul ce nu-i aparținea ultimului, fără a fi identificat scopul determinat, explicit și legitim, legătura de cauzalitate dintre scop și datele prelucrate ale petiționarului, proporționalitatea, corectitudinea și concordanța cu normele legale în domeniul protecției datelor cu caracter personal. Așadar, ținând cont de cele sus-indicate, Centrul a reținut că, înainte de instalarea unui sistem de supraveghere video, operatorul de date trebuie întotdeauna să examineze critic dacă această măsură este, în primul rând, adecvată pentru îndeplinirea obiectivului dorit și, în al doilea rând, proporțională și necesară pentru scopurile sale, în raport cu interesele sau drepturile și libertățile fundamentale ale subiectului de date. Prin urmare, înregistrarea audiovizuală de către operatorul de date  în cauză, prin intermediul camerei de supraveghere video, fără consimțământul persoanei vizate, constituia o măsură excesivă și disproporționată în raport cu scopul declarat, la caz, asigurarea securității proprietății.

Respectiv, operatorului de date cu caracter personal i-a fost întocmit proces-verbal cu privire la contravenție în baza art. 741 alin. (1) Cod contravențional.

4.      Activitatea de supraveghere

În conformitate cu prevederile Legii nr. 175 din 11 noiembrie 2021 pentru modificarea unor acte normative, care a intrat în vigoare la data de 10 ianuarie 2022, a fost instituită obligația desemnării persoanei responsabile cu protecția datelor cu caracter personal.

În acest sens, CNPDCP a recepționat peste douăzeci de scrisori, prin care este informat despre faptul desemnării persoanei responsabile cu protecția datelor cu caracter personal din partea entităților respective. Totodată, CNPDCP a intervenit, după caz, cu recomandări în vederea înlăturării discrepanțelor identificate.

Simultan, au fost elaborate și plasate pe pagina CNPDCP mai multe comunicate referitor la: modificările survenite la legislația din domeniul protecției datelor cu caracter personal; necesitatea desemnării persoanei responsabile cu protecția datelor cu caracter personal; obligativitatea operatorilor de date de a plasa această informație pe pagina web și obligativitatea operatorilor de date de a efectua evaluarea impactului asupra protecției datelor, etc.

În perioada de referință, CNPDCP a elaborat și publicat în Monitorul Oficial și pe pagina web a instituției Lista Statelor care asigură un nivel adecvat de protecție a datelor cu caracter personal, în contextul modificărilor art. 32 din Legea nr. 133 privind protecția datelor cu caracter personal.

Totodată, a fost elaborată și urmează a fi publicată pe pagina web a CNPDCP lista tipurilor de operațiuni de prelucrare care fac obiectul cerinței de efectuare a unei evaluări a impactului asupra protecției datelor cu caracter personal.

Suplimentar, CNPDCP intenționează să publice ghidul privind evaluarea impactului asupra protecției datelor cu caracter personal cu scop de recomandare.

În scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 391 consultații telefonice și 34 de răspunsuri prin intermediul poștei electronice.

5.      Știri internaționale și europene

–       La data de 18 ianuarie a avut loc cea de-a 59-a ședință plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care:

·        Linii directorii privind dreptul de acces. Liniile directorii au ca scop analizarea diferitelor aspecte ale dreptului de acces și oferirea unor orientări mai precise cu privire la modul în care trebuie pus în aplicare dreptul de acces în diferite situații.

·        Răspuns la scrisorile care solicită o interpretare coerentă a consimțământului pentru cookie-uri.

·        Actualizarea Liniilor directorii privind consimțământul. Acestea au ca scop asigurarea unei abordări armonizate a condiționalității consimțământului și indicarea neechivocă a solicitării.

–       La data de 22 februarie a avut loc cea de-a 61-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care:

·        CEPD a adoptat o scrisoare ca răspuns la Comisia pentru libertăți civile, justiție și afaceri interne (LIBE) a Parlamentului European cu privire la cel de-al doilea protocol adițional la Convenția privind criminalitatea informatică și având în vedere cele două propuneri de decizii ale Comisiei Europene care autorizează statele membre să semneze și să ratifice protocolul.

·        În urma unei consultări publice, CEPD a adoptat versiunea finală a Orientărilor privind codurile de conduită ca instrument pentru transferuri, luând în considerare feedback-ul primit de la părțile interesate. Scopul principal al orientărilor este de a clarifica aplicarea articolelor 40 alineatul (3) și 46 alineatul (2) litera (e) din GDPR.

·        CEPD a adoptat o scrisoare privind răspunderea pentru Inteligența Artificială.

–       La data de 14 martie a avut loc cea de-a 62-a ședință plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. În cadrul sesiunii menționate au fost discutate mai multe subiecte, printre care:

·        Linii directorii privind art. 60 din GDPR. Elaborarea acestor linii directorii fac parte din Strategia și Programul de Lucru 2021-2022 al CEPD, având drept scop de a sprijini aplicarea efectivă a legii și cooperarea eficientă între autoritățile naționale de supraveghere.

·        Linii directorii privind modelele întunecate în interfețele platformelor de social media. Acestea oferă recomandări practice designerilor și utilizatorilor platformelor de social media cu privire la modul de evaluare și evitare a așa-numitelor „modele întunecate” în interfețele de social media care încalcă cerințele GDPR.

·        Un set de instrumente privind garanțiile esențiale de protecție a datelor pentru cooperare în materie de aplicare a legii între autoritățile de supraveghere din SEE și cele din țările terțe. Aceasta contribuie la una dintre acțiunile-cheie ale Strategiei și Programului de Lucru al CEPD 2021-2022 și vizează facilitarea angajamentului dintre membrii CEPD și SA din țări terțe. Setul de instrumente acoperă subiecte cheie, cum ar fi drepturile executorii ale subiecților de date, conformitatea cu principiile de protecție a datelor și căile de atac judiciare.

·        Un aviz comun CEPD-AEPD cu privire la propunerile de extindere a certificatului digital COVID cu până la 12 luni. Subiectul va continua a fi analizat și la următoarea Ședință.

–       La data de 23-25 martie a avut loc cea de-a 55-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·        Convenția 108+, ratificările și aderările actuale;

·        Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

·        Identitatea digitală;

·        Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

·        Clauze contractuale în contextul fluxurilor transfrontaliere de date;

·        Cooperarea cu alte organisme și entități ale Consiliului Europei.

6.      Alte autorități pentru protecția datelor

·        La data de 28 ianuarie, Autoritatea pentru Protecția Datelor din Grecia (APDG) a impus o amendă totală în valoare de 9.250.000 de euro, companiilor de telecomunicații COSMOTE și OTE pentru scurgerea datelor cu caracter personal și prelucrarea ilegală a acestora. În cursul cercetării cauzei s-a constatat că, COSMOTE a încălcat principiile legalității și transparenței din cauza furnizării unor informații neclare și insuficiente abonaților. De asemenea, compania a fost considerată responsabilă pentru evaluarea slabă a impactului asupra protecției datelor, anonimizarea insuficientă, măsurile de securitate inadecvate luate și nerepartizarea rolurilor celor două companii (COSMOTE / OTE) în legătură cu prelucrarea în cauză. În plus, s-a constatat că ΟΤΕ a încălcat articolul 32 din GDPR, din cauza măsurilor de securitate inadecvate luate în legătură cu infrastructura utilizată în contextul încălcării. APDG, pe de o parte, a amendat COSMOTE cu suma totală de 6.000.000 de euro și a dispus încetarea  prelucrării și distrugerea datelor prelucrate ilegal, iar, pe de altă parte, a amendat OTE cu suma totală de 3.250.000 de euro.

·        La data de 10 februarie, Autoritatea Italiană pentru Protecția Datelor (AIPD)  a impus amendă în valoare de 20 milioane de euro companiei Clearview AI pentru prelucrarea ilegală a datelor cu caracter personal. În urma investigației inițiate din propria inițiativă, AIPD a constatat că datele cu caracter personal deținute de companie, inclusiv informațiile biometrice și de localizare geografică, au fost prelucrate ilegal, fără un temei juridic adecvat. În plus, compania a încălcat câteva principii fundamentale ale GDPR-ului, cum ar fi transparența, limitarea scopului și limitarea stocării. În acest context AIPD a impus interzicerea oricărei colectări ulterioare, prin intermediul tehnicilor de web scraping, a imaginilor și a metadatelor relevante referitoare la persoane aflate pe teritoriul Italiei și a prelucrării ulterioare ale acestora, precum și a dispus ștergerea datelor, inclusiv a datelor biometrice, prelucrate de sistemul său de recunoaștere facială.

·        La data de 15 martie, Autoritatea Irlandeză pentru Protecția Datelor (AIPD) a impus o amenda administrativă în valoare de 17 milioane euro companiei Meta Platforms (fostă Facebook) pentru încălcarea articolelor 5(2) și 24(1) din GDPR. În urma investigațiilor, AIPD a constatat că Meta Platforms nu a reușit să pună în aplicare măsuri tehnice și organizatorice adecvate, care i-ar permite să demonstreze cu ușurință măsurile de securitate pe care le-a implementat în practică pentru a proteja datele utilizatorilor din UE, în contextul celor douăsprezece încălcări ale datelor cu caracter personal.

1.      Activități de informare și instruire efectuate de CNPDCP

În perioada de referință, CNPDCP a înregistrat o evoluție remarcabilă la capitolul activități de instruire și sensibilizare desfășurate. Au fost continuate șirul de instruiri organizate pentru reprezentanții autorităților publice locale (APL) din raionale Republicii Moldova, acestea având drept scop de a consolida capacitățile reprezentaților APL-urilor prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal. Subiectele abordate în cadrul instruirilor au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaționale, etc. Totodată, cu titlu separat, au fost discutate aspectele legate de depersonalizarea corectă a datelor cu caracter personal ce se conțin în actele administrative ale autorităților publice locale publicate în Registrul de stat al actelor locale. Evenimentele, moderate de experți naționali în domeniul protecției datelor din cadrul CNPDCP, au fost organizate pentru aproximativ a câte 50 de primari, consilieri raionali și secretari ai consiliilor locale din fiecare centru raional în parte, reieșind din măsurile de protecție impuse în contextul pandemiei de COVID – 19. Cursurile de instruire au fost desfășurate:

·         La data de 07 octombrie – în cadrul Consiliului Raional Căușeni;

·         La data de 05 noiembrie – în cadrul Consiliului Raional Râșcani;

·         La data de 11 noiembrie – în cadrul Consiliului Raional Fălești;

·         La data de 19 noiembrie – în cadrul Consiliului Raional Briceni;

·         La data de 26 noiembrie – în cadrul Consiliului Raional Glodeni;

·         La data de 3 decembrie – în cadrul Consiliului Raional Cahul.

Totodată, la data de 19 noiembrie, a fost desfășurată Acțiunea publică – ”Protejează datele cu caracter personal”, organizată de reprezentanții CNPDCP.  Publicul țintă – locuitorii raionului Ialoveni, au fost sensibilizați cu privire la importanța protecției datelor cu caracter personal. Acțiunea s-a desfășurat în preajma Consiliului Raional Ialoveni, iar cetățenii au fost informați despre noțiunea de date cu caracter personal, drepturile subiecților de date, măsurile de securitate și confidențialitate a datelor, precum și despre principiile protecției datelor cu caracter personal. Scopul acestei acțiuni a fost de a educa, motiva și încuraja cetățenii Republicii Moldova să acorde o atenție sporită protecției datelor cu caracter personal ce îi vizează.

2.      Activitatea de control

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 55 de investigații. Din cele 55 de investigații: 5 proceduri de investigații au fost inițiate ca urmare a autosesizării CNPDCP în legătură cu o presupusă prelucrare neconformă a datelor cu caracter personal; din 41 de cazuri finalizate, în 19 cazuri s-a constatat încălcarea prevederilor legale. Totodată, au fost încheiate 22 de procese verbale cu privire la contravenție,  care ulterior au fost remise instanței de judecată pentru soluționare.

3. Constatări ale CNPDCP

3.1  Pe parcursul perioadei de referință, CNPDCP a recepționat plângerea unui subiect de date cu caracter personal, privind pretinsa încălcare a dreptului de opoziție al acestuia, de către un agent economic, manifestată prin ignorarea cererii subiectului de date, depusă prin prisma art. 16 alin (1) al Legii privind protecția datelor cu caracter personal, prin care, ultimul a solicitat ștergerea datelor cu caracter personal ce-l vizează, stocate în baza de date a societății și încetarea expedierii mesajelor cu caracter comercial, la numărul de telefon ce-i aparține. În urma examinării cauzei s-a determinat că, agentul economic, ignorând cererea subiectului de date, nu i-a realizat dreptul de opoziție, fapt recunoscut de către operatorul de date cu caracter personal drept omisiune.

În acest caz, CNPDCP a constatat încălcarea prevederilor art. 16 alin. (1) al Legii nr. 133/2011 privind protecția datelor cu caracter personal, fiind pornit proces contravențional în privința agentului economic prin prisma art. 74 1 alin. (3) Cod contravențional.

3.2  Totodată, CNPDCP a constatat prelucrarea neconformă a datelor cu caracter personal de către primarul unei localități. Prelucrarea neconformă a datelor cu caracter personal a subiectului de date a fost materializată prin accesarea multiplă de către edilul localității, a datelor conținute în Registrul bunurilor imobile, fără a avea un scop și temei legal, precum și în lipsa consimțământului subiectului de date.

În cadrul examinării auditului accesărilor datelor cu caracter personal de către primar, CNPDCP a constatat că, edilul a efectuat 134 de accesări a datelor cu caracter personal, de pe 10 adrese IP diferite, dintre care multiple accesări fiind efectuate în afara programului de muncă și în zilele de odihnă. Astfel în urma efectuării controlului celor sesizate s-a constatat încălcarea art. 4, art. 5 și art. 29 din Legea 133/2011 privind protecția datelor cu caracter personal. Prin urmare, CNPDCP a inițiat procesul contravențional în raport cu edilul vizat prin prisma contravenției prevăzute de art. 74 1 alin. (4) Cod contravențional.

3.3  La 22 decembrie, Curtea Supremă de Justiție a respins recursul Ministerului Afacerilor Interne și a menținut decizia CNPDCP din 16 noiembrie 2018, prin care a constatat prelucrarea neconformă a datelor cu caracter personal cu cerințele legislației în domeniul protecției datelor cu caracter personal de către Ministerul Afacerilor Interne (MAI), în Sistemul Informațional Automatizat „Registrul informației criminalistice și criminologice”.

Decizia CNPDCP vizează necesitatea radierii informațiilor care au fost colectate/obținute de la autoritățile/instituțiile nerecunoscute din regiunea transnistreană în perioada anilor 1991 – 2005. Urmează a sublinia că, prelucrarea în mod automatizat a datelor cu caracter personal ale cetățenilor statului Republicii Moldova în baza unor informații parvenite de la structurile neconstituționale, care de fapt nu pot fi considerate autentice/veridice, precum și utilizarea acestora în detrimentul subiectului de date cu caracter personal vizat, reprezintă o încălcare gravă a drepturilor și libertăților omului. În acest sens, urmează a remarca Hotărârea Consiliului Superior al Magistraturii (CSM) nr. 209/14 din 10 aprilie 2012 “cu privire la demersul domnului Oleg Efrim, ministru al Justiției, referitor la opinia asupra adresării domnului Eugen Carpov, viceprim-ministru, pe marginea abordării unor probleme de natură juridică”, prin care CSM a constatat: “că orice act emis de autoritățile autoproclamate din această parte a Republicii Moldova contravin din capul locului Constituției, faptul referindu-se în egală măsură şi asupra oricăror hotărâri, decizii, sentințe pronunțate de judecătoriile instituite în regiunea dată ilegal. Astfel, Consiliul consideră ca fiind inacceptabile orice colaborări, conlucrări în aspect juridic şi propuneri de soluții juridice cu structurile din regiunea transnistreană.”

În consecință, în jurisprudența ce vizează Republica Moldova, Curtea Europeană a Drepturilor Omului în numeroase cazuri (Ilaşcu şi alţii vs. Moldova şi Rusia;  Eriomenco c. Republicii Moldova și Federației Ruse; Mozer c. Republicii Moldova și Federației Ruse; Catan alții c. Republicii Moldova și Rusiei) a constatat ilegalitatea actelor adoptate de entități nerecunoscute și neconstituționale din stânga Nistrului.

Accentuăm, că potrivit  Declarațiilor depuse odată cu instrumentul de ratificare al Convenției nr. 108 pentru protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal, Republica Moldova nu a declarat rezerve asupra dispozițiilor Convenției, în ce privește aplicarea acesteia asupra teritoriului din regiunea transnistreană. Astfel, Republica Moldova are obligația de a asigura protecția drepturilor și libertăților fundamentale ale cetățenilor săi în ceea ce privește prelucrarea datelor cu caracter personal, în special a dreptului la inviolabilitatea vieții intime, familiale și private, pe întreg teritoriul său.

4.      Activitatea de supraveghere

Pe parcursul perioadei de referință, reieșind din imposibilitatea, din motive de ordin tehnic, de a emite și semna decizii automatizate prin intermediul Registrului de evidență al operatorilor de date cu caracter personal, CNPDCP a expediat 204 scrisori de informare în vederea conformării operatorilor de date și/sau persoanelor împuternicite de operator cu prevederile art. 23-25 ale Legii nr. 133 privind protecția datelor cu caracter personal.

Concomitent, în conformitate cu prevederile Legii nr. 175 din 11 noiembrie 2021 pentru modificarea unor acte normative, care va intra în vigoare la data de 10 ianuarie 2022, se exclude obligația operatorilor de date cu caracter personal de a notifica Centrul Național pentru Protecția Datelor cu Caracter Personal, precum și se abrogă art. 28 al Legii nr. 133 din 08.07.2011 privind protecția datelor cu caracter personal, fapt care determină lichidarea Registrului de evidență al operatorilor de date cu caracter personal, prin nimicirea ireversibilă a documentelor și informațiilor stocate pe suport de hârtie și a celor stocate în format electronic, în condițiile prevăzute de lege.

Totodată, în scopul oferirii suportului metodologic și consultativ operatorilor de date cu caracter personal și/sau persoanelor împuternicite de operator, au fost oferite peste 405 consultații telefonice și 178 de răspunsuri prin intermediul poștei electronice.

5. Știri internaționale și europene

–        La data de 13 octombrie a avut loc cea de-a 56-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul Plenarei au fost discutate mai multe subiecte, printre care:

·         Mecanism de coerență și linii directorii;

·         Linii directorii privind restricțiile prevăzute la art. 23 din GDPR (în urma consultării publice);

·         Linii directorii privind datele copiilor – cerere de mandat.

–        La data de 18 noiembrie a avut loc cea de-a 57-a Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată cu prezența fizică la Brussels, Belgia. În cadrul Plenarei au fost discutate mai multe subiecte, printre care:

·         Linii Directorii privind interacțiunea dintre art. 3 și capitolul V din GDPR. Liniile directorii vor fi supuse consultării publice până la sfârșitul lunii ianuarie.

·         Declarația privind pachetul de servicii digitale și strategia de date a Comisiei Europene.

·         CEPD a nominalizat doi reprezentanți ai autorităților de Protecție a Datelor din Belgia și Germania pentru a participa la cea de-a șasea Revizuire Comună a acordului UE-SUA privind finanțarea în scopuri teroriste (TFTP).

–        La data de 14 decembrie a avut loc cea de-a 58-a Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line. În cadrul Plenarei au fost discutate mai multe subiecte, printre care:

·         CEPD și Autoritățile de Supraveghere (AS) individuale au contribuit la evaluarea și revizuirea Directivei privind protecția datelor în materie de asigurare a respectării legii (LED), realizată de Comisia Europeană în conformitate cu art. 62 LED. LED-ul urmărește să ofere un nivel armonizat de protecție a datelor pentru persoanele fizice în domeniul aplicării legii în UE;

·         Ca parte a implementării Strategiei CEPD 2021-2023 și ca urmare a înființării unui grup de experți de sprijin (SPE), CEPD a convenit asupra planului de proiect al SPE;

·         CEPD a adoptat un răspuns pentru europarlamentarul Ujhelyi privind piratarea programelor spion Pegasus;

·         CEPD a adoptat versiunea finală a Liniilor Directorii privind notificarea încălcării securității datelor cu caracter personal. Acestea urmăresc să ajute operatorii de date să decidă cum să gestioneze încălcările de date și ce factori să ia în considerare în timpul evaluării riscurilor.

–        La data de 20-21 decembrie a avut loc cea de-a 54-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·         Convenția 108+, ratificările și aderările actuale;

·         Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

·         Identitatea digitală;

·         Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

·         Interpretarea articolului 11 din Convenția 108+;

·         Clauze contractuale în contextul fluxurilor transfrontaliere de date.

În contextul colaborării CNPDCP cu Autoritățile Europene de Protecție a Datelor, la 18 noiembrie, Centrul Național pentru Protecția Datelor cu Caracter Personal și Biroul Comisarului pentru Informații și Protecția Datelor din Malta, au semnat un Acord de colaborare în domeniul protecției datelor cu caracter personal. Acordul prevede dezvoltarea relațiilor de cooperare între cele două instituții pe aspectul obținerii unor progrese constante în domeniul protecției datelor, precum și promovarea bunelor practici care vor crea condiții favorabile pentru asigurarea protecției eficiente a datelor cu caracter personal ale cetățenilor Republicii Malta și Republicii Moldova.

6. Alte autorități pentru protecția datelor

–        La data de 14 octombrie, Autoritatea de Protecție a Datelor din Polonia (UODO) a aplicat  amendă  în valoare de 80.000 EURO, companiei Bank Millennium SA pentru încălcarea Articolului 33 (1), și Articolului 34 (1) din GDPR. UODO a aflat despre încălcarea securității datelor cu caracter personal dintr-o plângere depusă împotriva băncii. Plângerea a vizat pierderea de către o firmă de curierat a corespondenței care conținea date cu caracter personal, precum: nume, prenume, număr personal de identificare (număr PESEL), adresă înregistrată, numere de cont bancar, număr de identificare atribuit clienților băncii. În urma anchetei s-a constatat că operatorul de date nu a comunicat această încălcare Autorității de Supraveghere și nu și-a respectat în totalitate obligația de a informa subiecții de date despre aceasta.

–        La data de 24 noiembrie, Autoritatea de Protecție a Datelor din Islanda (DPA), a emis amendă administrativă în valoare de 7,5 milioane ISK (aproximativ 50.800 EURO) Ministerului Industriilor și Inovării iar compania YAY ehf. a fost amendată cu 4 milioane ISK (aprox. 27.100 EURO) pentru încălcarea Articolului 7, 9, 12, 13, 24, 25, 28 (3) și 32 din GDPR. Din cauza dificultăților economice din Islanda cauzate de pandemia COVID-19, guvernul islandez a decis, să impulsioneze sectorul turismului și întreprinderile mici prin emiterea unui certificat digital de 5000 ISK (aproximativ 34 de euro) oferit cadou tuturor islandezilor cu vârsta de peste 18 ani. În urma anchetei, DPA islandeză a constatat colectarea ilegală și inutilă a unui volum impunător de date cu caracter personal, cerințele privind consimțământul pentru prelucrare nu au fost îndeplinite, iar informațiile pe care subiecții de date le-au primit atunci când s-au conectat la aplicație au fost inadecvate. În plus, operatorul și persoana împuternicită de operator nu au asigurat securitatea corespunzătoare a datelor cu caracter personal.

–        La data de 13 decembrie, Autoritatea Norvegiană pentru Protecția Datelor a impus o amendă administrativă în valoare de 6,5 milioane EURO, companiei Grindr LLC pentru încălcarea Articolului 6 și Articolului 9 din GDPR. În 2020, Consiliul Norvegian al Consumatorilor a depus o plângere împotriva Grindr LLC, susținând partajarea ilegală a datelor cu caracter personal cu terți în scopuri de marketing. Datele partajate erau locația GPS, adresa IP, ID-ul de publicitate, vârsta, sexul și faptul că utilizatorul în cauză se afla pe Grindr. Autoritatea Norvegiană pentru Protecția Datelor a concluzionat că Grindr LLC a dezvăluit terților date cu caracter personal fără un temei legal. Mai mult, informațiile despre partajarea datelor cu caracter personal nu au fost comunicate în mod corespunzător utilizatorilor, iar acest lucru a fost contrar cerințelor legale specificate în GDPR referitor la consimțământul valid.

1.  Activități de informare și instruire efectuate de CNPDCP

–     La data de 17,18 și 19 februarie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit autoritățile locale din nordul, centrul și sudul Republicii Moldova. Cursul de instruire a avut drept scop familiarizarea participanților asupra supravegherii video și transmiterii online a ședințelor consiliilor locale. Participanții la curs au obținut informații cu privire la: cum ar urma să fie transmise online ședințele consiliilor locale, cine este responsabil de transmiterea online a acestora și cum urmează a fi furnizată informația. Instruirea a avut loc online și au participat 300 de persoane.

–     La începutul lunii martie, studenții facultății de Drept de la Universitatea de Stat din Moldova au fost familiarizați cu misiunea Centrului Național pentru Protecția Datelor cu Caracter Personal. Evenimentul a avut loc online pe platforma zoom unde au fost prezenți peste 50 de studenți. Angajații CNPDCP le-au explicat care sunt cele mai frecvent utilizate date cu caracter personal. Este vorba de prenumele, numele, adresa, numărul de telefon, adresa electronică, datele de localizare, adresa IP, starea civilă, fotografia feței, obiceiurile și preferințele, identificatorii online și orice alte date ce țin de identitatea fizică, fiziologică, economică, culturală sau socială care pot fi utilizate pentru identificarea directă sau indirectă a unei persoane fizice. Totodată, reprezentanții CNPDCP le-au vorbit studenților despre legislația și experiența statelor UE cu privire la protecția datelor, cazuri constatate de prelucrare a datelor cu caracter personal, procedurile aferente înregistrării operatorului de date cu caracter personal și despre cauzele contravenționale și consecințele prelucrării neconforme a datelor cu caracter personal.

–     La data de 11 martie, CNPDCP a oferit un curs de instruire pentru 50 de avocați din Republica Moldova, în domeniul protecției datelor cu caracter personal. Instruirea a fost făcută în cadrul întâlnirii online a organizației HELP a Consiliului Europei. Subiectele abordate în cadrul evenimentului au vizat: protecția datelor cu caracter personal și drepturile subiecților de date din Uniunea Europeană, dar și legislația Republicii Moldova care vizează protecția datelor. Anterior,  CNPDCP a elaborat aspecte practice care vizează protecția datelor cu caracter personal de către avocați, fiind publicate pe pagina web www.datepersonale.md: ”Aspecte privind practica de a depune la materialele dosarelor examinate de instanțele de judecată, a documentelor ce integrează date cu caracter personal ale persoanelor fizice, care nu sunt vizate în cazul examinat”. Aceste recomandări au drept scop asigurarea aplicării de către avocați a  principiului pertinenței și neexcesivității, care constă în limitarea volumului de date cu caracter personal la datele personale care prezintă relevanță pentru cauzele examinate, cu depersonalizarea datelor care sunt irelevante, excesive pentru caz, potrivit prevederilor art. 31 a Legii nr. 133/2011 privind protecția datelor cu caracter personal.

–     La data de 16 martie, CNPDCP, a oferit un curs de instruire în domeniul protecţiei datelor cu caracter personal angajaţilor Companiei Naţionale pentru Asigurări în Medicină la solicitarea instituţiei. La eveniment au participat circa 100 de persoane. Subiectele abordate în cadrul trainingului au vizat: principiile de protecţie a datelor cu caracter personal, drepturile subiecţilor de date, recomandările privind identificarea sistemelor de evidenţă în care are loc prelucrarea datelor cu caracter personal, cadrul normativ aferent protecţiei datelor şi implementarea cerinţelor legale din domeniul respectiv. Orice subiect al datelor cu caracter personal are dreptul de a obţine de la operator sau persoana împuternicită de către acesta, la cerere şi în mod gratuit: rectificarea, actualizarea, blocarea sau ştergerea datelor cu caracter personal a căror prelucrare contravine legii, în special datorită caracterului incomplet sau inexact al datelor şi notificarea terţilor cărora le-au fost dezvăluite datele cu caracter personal despre operaţiunile efectuate, exceptând cazurile când această notificare se dovedeşte a fi imposibilă sau presupune un efort disproporţionat faţă de interesul legitim care ar putea fi lezat. Participaţii la curs au primit răspuns la întrebările ce țin de aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv privind asigurarea legalităţii prelucrării datelor cu caracter personal în sistemele informaţionale gestionate de CNAM.

–     La data de 30 martie, CNPDCP a instruit, angajații Secretariatului Parlamentului Republicii Moldova întru asigurarea implementării conforme a prevederilor legislației privind protecția datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor. Subiectele abordate în cadrul instruirii au vizat: noțiunile generale privind protecția datelor cu caracter personal, principiile de protecție a datelor cu caracter personal, asigurarea securității și confidențialității datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor, aspecte generale ale securități datelor cu caracter personal, măsuri simple și esențiale de securitate și drepturile subiecților de date. Instruirea a avut loc online la solicitarea Secretariatului Parlamentului la care au participat 51 de angajați.

2.  Activitatea de control

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 97 de investigații. Din cele 97 de investigații: 16 proceduri de investigații au fost inițiate ca urmare a autosesizării CNPDCP în legătură cu o presupusă prelucrare neconformă a datelor cu caracter personal; în 45 de cazuri finalizate s-a constatat încălcarea prevederilor legale fiind încheiate 68 de procese verbale cu privire la contravenție,  care ulterior au fost remise instanței de judecată pentru soluționare.

3. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

3.1. CNPDCP a fost sesizat de subiectul de date privind încălcarea principiilor de protecție a datelor cu caracter personal ale petentului de către o companie de asigurări din Republica Moldova, prin intermediul plicului cu fereastră (chenar transparent) folosit în corespondență.

În urma examinării cauzei s-a determinat că, prin practica neconformă de a introduce în antetul reclamațiilor/scrisorilor a unui volum excesiv de date cu caracter personal, în raport cu scopul declarat, care ulterior sunt divulgate prin chenarul transparent al scrisorilor folosite de către operator, se favorizează accesul unui număr nedeterminat de persoane străine la datele cu caracter personal, fapt ce nu poate fi considerată o prelucrare ,,conformă” în sensul Legii nr.133/2011 privind protecția datelor cu caracter personal, or, legislația privind protecția datelor cu caracter personal a stabilit rigori clare privitor la implementarea măsurilor tehnice și organizatorice adecvate și eficace pentru protecția datelor cu caracter personal, de asigurare a confidențialității și securității datelor cu caracter personal.

Pe acest caz, CNPDCP a constatat încălcarea prevederilor legislației privind protecția datelor cu caracter personal și a dispus revizuirea/ajustarea informațiilor incluse în antetul reclamațiilor la cerințele statuate în Legea nr.133/2011 privind protecția datelor cu caracter personal, și anume, excluderea volumului excesiv de date cu caracter personal, precum și elaborarea/ aprobarea/ actualizarea instrumentului intern (regulament/ instrucțiune), în care să fie reglementată o procedura clară privind ținerea lucrărilor de secretariat, cu descrierea măsurilor tehnice și organizatorice necesare pentru protecția datelor cu caracter personal.

3.2. Ținând cont de caracterul repetat/continuu a plângerilor/sesizărilor adresate CNPDCP în ultima perioadă, vizând neconformitatea publicării actelor administrative cu caracter individual în Registrul de stat al actelor locale, în special fiind deplânse aspectele de nedepersonalizare sau depersonalizare incorectă a acestor acte, CNPDCP a adoptat decizia prin care a constatat încălcarea prevederilor legale din domeniul protecției datelor cu caracter personal. Totodată, CNPDCP a dispus Cancelariei de Stat, de comun cu autoritățile publice locale, de a întreprinde măsurile necesare în vederea instituirii unui mecanism de depersonalizare a actelor locale ce urmează a fi plasate în Registru.

3.3 CNPDCP a recepționat plângerea unui subiect de date, privind verificarea legalității prelucrării datelor cu caracter personal ce-l vizează, manifestată prin transmiterea certificatului de cazier judiciar unei persoane terțe, fără consimțământul subiectului de date.

În urma examinării cauzei s-a determinat că, operațiunea de prelucrare a datelor cu caracter personal, manifestată prin eliberarea cazierului judiciar ce conține date cu caracter personal a subiectului de date cu caracter personal, unei persoane neîmputernicite, nu a fost justificată din punct de vedere legal, fiind realizată în mod incorect și contrar prevederilor Legii nr. 133/2011 privind protecția datelor cu caracter personal.

Pe acest caz, CNPDCP a constatat încălcarea prevederilor art. 4 alin. (1) lit. a), art. 5 alin. (1), art. 6 alin. (1), art. 8 alin. (1), art. 29 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal.

3.4. CNPDCP, în contextul examinării demersului unei subdiviziuni al Ministerului Afacerilor Interne al RM, în temeiul art. 27 alin. (4) al Legii nr. 133/2011 privind protecția datelor cu caracter personal, s-a autosesizat în partea ce ține de neconformitățile admise de către un colaborator al MAI  la prelucrarea/accesarea datelor cu caracter personal, fără un scop și temei legal de accesare, ale unui subiect de date cu caracter personal, prin intermediul Sistemului informațional – ”EDATA MAI”.

În rezultatul examinării materialelor de control, CNPDCP a constatat încălcarea prevederilor art. 4 alin. (1) lit. a) al Legii nr. 133/2011 privind protecția datelor cu caracter personal, de către colaboratorul MAI, manifestată prin accesarea/consultarea datelor cu caracter personal ce vizează subiectul de date.

4. Activitatea de supraveghere

Pe parcursul perioadei de referință, la „Ghișeul unic” al CNPDCP au fost înaintate spre examinare –717  notificări în vederea înregistrării operatorilor de date cu caracter personal și/sau sistemelor de evidență gestionate. Ca urmare a analizei respectivelor formulare de notificare, au fost emise 262 de decizii de autorizare și 271 de decizii de refuz. Astfel, circa 184 de operatori de date și 262 de sisteme de evidență a datelor cu caracter personal au fost înregistrate în Registrul de evidență a operatorilor de date cu caracter personal.

5. Știri internaționale și europene

La data de 2 februarie, a avut loc cea de-a 45 Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), desfășurată on-line. În cadrul Ședinței au fost adoptate o serie de documente:

–         Recomandările 01/2021 cu privire la criteriile de referință privind caracterul adecvat al nivelului de protecție în temeiul Directivei privind protecția datelor în materie de aplicare a legii;

–         Aviz cu privire la proiectul Aranjamentului administrativ pentru transferurile de date cu caracter personal între Haut Conseil du Commissariat aux Comptes (H3C) și Comitetul de supraveghere a contabilității companiilor publice (PCAOB);

–         Declarație privind noile proiecte de dispoziții ale celui de-al doilea protocol suplimentar la Convenția Consiliului Europei privind criminalitatea informatică (Convenția de la Budapesta);

–         Răspunsul CEPD) la chestionarul Comisiei Europene privind prelucrarea datelor cu caracter personal pentru cercetare științifică, concentrându-se pe cercetarea în domeniul sănătății;

–         Ghidul privind art. 36 din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului.

La data de 10 martie,  în cadrul celei de-a 46 Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line, au fost adoptate o serie de documente:

–         CEPD și-a adoptat Programului de lucru pentru anii 2021-2022, în conformitate cu articolul 29 din Regulamentul de procedură al CEPD;

–         A fost adoptată Declarația privind proiectul Regulamentului ePrivacy;

–         A fost adoptat Ghidul nr. 2/2021 privind asistența vocală virtuală. Aceste linii directorii au scopul de a identifica unele dintre cele mai relevante provocări de conformitate pentru VVA și de a oferi recomandări părților interesate relevante cu privire la modul de abordare a acestora. Documentul a fost supus consultărilor publice pentru o perioadă de șase săptămâni;

–         A fost adoptată versiune finală a Ghidului nr. 1/2020 privind vehicule conectate, în urma consultării publice. Ghidul se concentrează pe prelucrarea datelor cu caracter personal în legătură cu utilizarea neprofesională a vehiculelor conectate de către subiecții de date;

–         A fost emisă Opinia comună cu EDPS nr. 3/2021 referitoare la propunerea de Regulament a Parlamentului European și Consiliului privind guvernanța datelor;

–         A fost adoptat în urma consultărilor publice Ghidul nr. 9/2020 privind obiecție relevantă și motivată;

–         Totodată, în cadrul CEPD au fost discutate proiectele de decizii privind conformitatea Regatului Unit, care au fost primite de la Comisia Europeană.

La data de 30 martie,  a avut loc cea de-a 47 Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line.

În cadrul Ședinței, Comitetul European pentru Protecția Datelor (EDPB) și Autoritatea Europeană pentru Protecția Datelor (EDPS) au adoptat Declarația comună  privind Propunerile pentru Certificatul Verde Digital. Certificatul Verde Digital are ca scop facilitarea exercitării dreptului la libera circulație în UE în timpul pandemiei COVID-19 prin stabilirea unui cadru comun pentru eliberarea, verificarea și acceptarea certificatelor de vaccinare, testare și vindecare în urma unui episod de COVID-19. Prin intermediul Declarației adoptate, EDPB și EDPS invită colegislatorii să se asigure că Certificatul Verde Digital este în conformitate cu legislația UE privind protecția datelor cu caracter personal și subliniază faptul că utilizarea acestuia nu poate duce, în niciun fel, la discriminarea directă sau indirectă a cetățenilor și trebuie să fie pe deplin în conformitate cu principiile fundamentale de necesitate, proporționalitate și eficacitate.

La data de 13 aprilie, în cadrul celei de-a 48 Ședință Plenară a Comitetului European pentru Protecția Datelor, desfășurată on-line, au fost adoptate o serie de documente, printre care:

–         două Avize cu privire la Proiectele de decizii de adecvare din Marea Britanie (Avizul 14/2021 care se bazează pe prevederile legale din GDPR și Avizul 15/2021 care se bazează pe Directiva privind protecția datelor în materie de asigurare a respectării legii). CEPD remarcă faptul că există domenii-cheie de puternică aliniere între cadrul legal privind protecția datelor din UE și Marea Britanie cu privire la anumite dispoziții de bază, cum ar fi:  temei pentru o prelucrare legală și echitabilă în scopuri legitime; limitarea scopului; calitatea și proporționalitatea datelor; păstrarea datelor, securitate și confidențialitate; transparență; categorii speciale de date; și privind luarea deciziilor și profilarea automată;

–         Linii Directorii privind aplicarea articolului 65 alineatul (1) litera (a) din GDPR, având drept scop de a delimita etapele principale ale procedurii și de a clarifica competența CEPD atunci când adoptă o decizie obligatorie din punct de vedere juridic în temeiul articolului menționat. Liniile Directorii au fost supuse consultării publice pentru o perioadă de șase săptămâni;

–         Versiunea finală a Liniilor Directorii privind direcționarea utilizatorilor de social media, în urma consultării publice, scopul acestora fiind de a clarifica rolurile și responsabilitățile furnizorilor de social media și ale persoanelor vizate;

–         Declarația privind acordurile internaționale, inclusiv transferurile. CEPD invită statele membre ale UE să evalueze și, acolo unde este necesar, să își revizuiască acordurile internaționale care implică transferuri internaționale de date cu caracter personal în scopul alinierii acestora la legislația UE privind protecția datelor.

La data de 19 mai a avut loc cea de-a 49-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care s-a desfășurat online. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

–         Două avize cu privire la Codurile de Conduită Transnaționale prezentate de către Autoritatea de Protecție a Datelor din Belgia (avizul cu privire la Codul de conduită al UE CLOUD, adresat furnizorilor de servicii cloud) și Autoritatea de Protecție a Datelor din Franța (avizul cu privire la Codul de conduită CISPE, adresat furnizorilor de servicii de infrastructură cloud). Aceste Coduri urmăresc să ofere îndrumări practice și să definească cerințe specifice (Art. 28 din GDPR) pentru persoanele împuternicite de operatori din UE care fac obiectul acestor Coduri. Acestea nu trebuie utilizate în contextul transferurilor internaționale de date cu caracter personal. CEPD este de părere că ambele proiecte de coduri de conduită sunt în conformitate  cu GDPR și îndeplinesc cerințele prevăzute la art. 40 și 41 din GDPR.

–         Declarația Legii privind guvernanța datelor (DGA) în lumina evoluțiilor din procesul legislativ. CEPD reiterează faptul că, fără garanții solide de protecție a datelor, există riscul ca încrederea în economia digitală să nu fie durabilă, subliniind, totodată, necesitatea de a asigura coerența DGA cu acquis-ul UE privind protecția datelor și îndeamnă colegiuitorii să acorde atenție anumitor aspecte, cum ar fi interacțiunea dintre DGA și GDPR și importanța asigurării faptului că noile definiții și concepte nu sunt incompatibile cu GDPR.

–         Recomandări cu privire la baza legală pentru stocarea datelor de pe cardurile de credit, în scopul de a facilita tranzacțiile online suplimentare. Recomandările acoperă situațiile în care subiecții de date cumpără un produs sau plătesc pentru un serviciu prin intermediul unui site web sau al unei aplicații și furnizează datele de pe cardul de credit pentru a încheia o tranzacție unică. Consimțământul oferit în conformitate cu art. 6 (1) (a) din GPDR ar trebui considerată singura bază legală adecvată pentru stocarea datelor de pe cardul de credit după achiziție.

La data de 18 iunie a avut loc cea de-a 50-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a avut loc online. În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

–         Versiunea finală a Recomandărilor privind măsurile suplimentare în urma consultării publice. Recomandările au fost adoptate pentru prima dată în noiembrie 2020 în urma hotărârii CJUE Schrems II. Acestea urmăresc să asiste operatorii și persoanele împuternicite de operatori care acționează ca exportatori de date pentru a identifica și implementa măsurile suplimentare adecvate acolo unde sunt necesare pentru a asigura un nivel adecvat de protecție a datelor pe care le transferă către țări terțe.

–         O scrisoare adresată instituțiilor UE cu privire la aspectele ce țin de confidențialitatea și protecția datelor unui posibil euro digital. În scrisoare, CEPD subliniază că un standard ridicat de confidențialitate și protecție a datelor este crucial pentru a consolida încrederea utilizatorilor finali și ar trebui considerat un element distinctiv în oferirea unui euro digital, reprezentând un factor cheie al succesului. Totodată, CEPD indică că este pregătit să ofere consultanță BCE sau altor instituții ale UE.

–         A desemnat trei reprezentanți în cadrul Sistemului European de Informații și de Autorizare privind Călătoriile (ETIAS), care au sarcina de a evalua impactul prelucrării cererilor și va juca un rol important în asigurarea conformității sistemului cu drepturile fundamentale în special în ceea ce privește confidențialitatea și protecția datelor cu caracter personal.

–         Un aviz comun CEPD-AEPD cu privire la propunerea Comisiei pentru un regulament de stabilire a normelor armonizate referitor la inteligența artificială (AI).

În perioada 24-26 martie a avut loc cea de-a 52-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, care a avut online. În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

–       Convenția 108+, ratificările și aderările actuale;

–       Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

–       Accesul  transfrontalier la datele cu caracter personal al organelor de ocrotire a legii;

–       Identitatea digitală;

–       Prelucrarea datelor cu caracter personal de către și pentru campaniile politice;

–       Schimbul automat de date;

–       Cooperarea cu alte organisme și entități ale Consiliului Europei;

–       Evoluții și activități majore în domeniul protecției datelor cu caracter personal, etc.

Totodată, în cadrul Ședinței a fost abordat un subiect de importanță majoră ce ține de certificatele de vaccinare COVID-19. În acest sens un aport considerabil l-au avut reprezentanții Comitetului pentru Bioetică (DH-BIO), precum și reprezentanții Secretariatului. În acest context, va fi prezentată delegațiilor Declarația „Covid-19 Vaccinarea, atestările digitale și protecția datelor ”.

6. Alte autorități pentru protecția datelor

–         Amendă în valoare de 10,4 mil. de euro aplicată de către Comisarul de stat pentru Protecția Datelor, Barbara Thiel din Saxonia Inferioară, companiei Notebooksbilliger.de AG, care se ocupa cu supravegherea video a potențialilor hoți fără nici o justificare legală. Camerele video erau instalate în spațiile de lucru, departamentul vânzărilor, depozite și camerele pentru personal. Potrivit companiei, camerele video au fost instalate pentru a preveni și investiga potențiale infracțiuni și pentru a urmări fluxul de mărfuri în depozite. Totodată, mai multe înregistrări au fost stocate mai mult de 60 de zile, contrar legislației. Amenda de 10,4 milioane de euro este cea mai mare sancțiune care a fost aplicată vreodată de Comisarul de stat pentru protecția datelor din Saxonia Inferioară în temeiul Regulamentului general pentru protecția datelor (GDPR). GDPR permite autorităților de supraveghere să impună amenzi de până la 20 de mil. euro – sau până la 4% din cifra de afaceri anuală totală a unei companii la nivel mondial.

–         Amenda administrativă în valoare de 250 000 de euro aplicată de către Autoritatea Suedeză pentru Protecția Datelor, Autorității de Poliție, pentru folosirea ilegală a aplicației de recunoaștere facială Clearview AI, în scopul identificării persoanelor.

În urma anchetei efectuate de către Autoritatea Suedeză pentru Protecția Datelor s-a concluzionat că Clearview AI a fost folosită de către câțiva angajați fără nicio autorizație prealabilă. Autoritatea de Poliție nu a implementat suficiente măsuri organizatorice pentru a asigura și a putea demonstra că prelucrarea datelor cu caracter personal în acest caz a fost efectuată în conformitate cu Codul Penal, prelucrând în mod ilegal date biometrice pentru recunoașterea facială, precum și nu a efectuat o evaluare a impactului asupra protecției datelor care ar fi fost necesară în acest caz. Suplimentar amenzii menționate supra, Autoritatea de Poliție va organiza cursuri de instruire pentru angajați în scop de a evita orice viitoare prelucrare ilegală a datelor cu caracter personal.

–         Amenda totală în valoare de 6.000.000 euro aplicată de către Autoritatea Spaniolă pentru Protecția Datelor (AEPD) companiei CAIXABANK, S.A pentru prelucrarea ilegală a datelor cu caracter personal ale clienților (4.000.000 euro) și pentru nefurnizarea de informații suficiente cu privire la prelucrarea datelor cu caracter personal (2.000.000 euro). Autoritatea Spaniolă pentru Protecția Datelor a considerat că compania CAIXABANK nu a oferit suficiente informații cu privire la categoriile de date cu caracter personal vizate, scopurile prelucrării datelor cu caracter personal, precum și legalitatea prelucrării acestora, în special activitățile de prelucrare bazate pe interesul legitim al companiei. În consecință, AEPD a constatat încălcarea prevederilor stipulate la articolele 13 și 14 din GDPR, fiind impusă o amendă de 2.000.000 euro. Totodată, Autoritatea Spaniolă pentru Protecția Datelor a constatat că CAIXABANK nu a furnizat niciun mecanism de colectare a consimțământului subiectului de date, iar activitățile de prelucrare a datelor bazate pe interesul legitim al companiei nu au fost suficient justificate. AEPD a concluzionat că aceasta a constituit o încălcare a articolului 6 din GDPR și, în conformitate cu articolul 83 alineatul (5) a din GDPR, a fost impusă o amendă administrativă în valoare de 4.000.000 euro. La stabilirea cuantumului amenzii administrative, AEPD a ținut cont de natura, gravitatea și durata încălcării, domeniul de activitate a companiei ce implică prelucrarea datelor cu caracter personal, precum și cifra de afaceri a acesteia. În plus față de amenda administrativă, cea mai mare impusă vreodată de APD spaniolă, AEPD a dispus companiei CAIXABANK să își aducă operațiunile de prelucrare a datelor în conformitate cu articolele 6, 13 și 14 din GDPR în următoarele șase luni.

–         Amenda în valoare de 475 000 euro aplicată de către Autoritatea Olandeză pentru Protecția Datelor (APD) companiei Booking.com pentru întârzierea raportării încălcării securității datelor cu caracter personal. Prin intermediul unei escrocherii telefonice vizând 40 de hoteluri din Emiratele Arabe Unite (EAU) în decembrie 2018, infractorii au convins personalul hotelului să dezvăluie detaliile de conectare pentru conturile lor într-un sistem Booking.com. În acest fel, infractorii au obținut acces la datele cu caracter personal a 4.109 de persoane care rezervaseră o cameră de hotel în EAU. Datele includeau numele, adresele și numerele de telefon, precum și detalii despre rezervarea acestora. Totodată, infractorii au putut accesa informațiile despre cardul de credit a 283 de persoane, iar în 97 de cazuri, a fost obținut și codul de securitate al acestuia. Infractorii au încercat, de asemenea, să obțină informațiile despre cardul de credit ale altor victime, dându-se drept personalul companiei  Booking.com în e-mailuri sau la telefon. Autoritatea Olandeză pentru Protecția Datelor a avertizat că observă o creștere explozivă a furtului de date cu caracter personal, care în 2020 a fost cu 30% mai mare decât în ​​anul precedent.

–         Amendă totală în valoare de 1 258 478 EUR aplicată de către Autoritatea Suedeză pentru Protecția Confidențialității (IMY) companiilor Medhelp și Voice Integrate pentru apelurile telefonice înregistrate către serviciul de consultații medicale, 1177, care erau disponibile și neprotejate pe internet. Cauza incidentului a fost că o unitate de stocare atașată la rețea a fost configurată incorect și a fost astfel accesibilă pe internet publicului. În plus, unitatea nu a utilizat comunicații criptate. În consecință, o cantitate mare de apeluri a devenit disponibilă fără protecție prin parolă sau altă protecție de securitate. Singurul lucru care era necesar a cunoaște pentru a obține acces la fișierele cu apelurile telefonice era adresa IP a unității de stocare. În urma contravențiilor care au fost stabilite, IMY a emis o sancțiune administrativă de 12 milioane SEK (1 193 813 €) pentru Medhelp și o sancțiune administrativă pentru Voice Integrate în valoare de 650.000 SEK (64.665 €).

BULETIN INFORMATIV NR. 6

(1 august – 30 octombrie 2020)

1. Activități de informare efectuate de CNPDCP

În ultima perioadă,  Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova (CNPDCP) primește multiple adresări prin care se solicită opinia autorității în legătură cu înregistrarea și transmiterea în direct prin intermediul internetului a ședințelor consiliilor locale. În acest context, în perioada de referință CNPDCP a analizat subiectul abordat și a notat că prin publicarea pe internet a ședințelor consiliilor locale, se va oferi acces la anumite informații care sunt puse în discuție în cadrul ședințelor, nu doar părților interesate din localitatea respectivă, dar unui număr nelimitat de persoane. Opinia detaliată a CNPDCP poate fi accesată la următorul link: https://datepersonale.md/aspecte-privind-inregistrarea-si-transmiterea-on-line-a-sedintelor-consiliilor-locale/

2. Activitatea de control 

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 82 de investigații. Din cele 82 de investigații: 4 proceduri de investigații au fost inițiate ca urmare a autosesizării CNPDCP în legătură cu o presupusă prelucrare neconformă a datelor cu caracter personal; în 28 de cazuri finalizate s-a constatat încălcarea prevederilor legale fiind încheiate 31 de procese verbale cu privire la contravenție,  care ulterior au fost remise instanței de judecată pentru soluționare.

3. Activitatea de supraveghere

Pe parcursul perioadei de referință, la „Ghișeul unic” al CNPDCP au fost înaintate spre examinare – 183 de notificări în vederea înregistrării operatorilor de date cu caracter personal și/sau sistemelor de evidență gestionate. Ca urmare a analizei respectivelor formulare de notificare, au fost emise 89 de decizii de autorizare și 94 de decizii de refuz. Astfel, circa 68 de operatori de date și 89 de sisteme de evidență a datelor cu caracter personal au fost înregistrate în Registrul de evidență a operatorilor de date cu caracter personal.

4. Știri internaționale și europene

La 2 septembrie curent a avut loc cea de-a 36-a sesiune plenară a Comitetului European pentru Protecția Datelor. În cadrul acestei ședințe Comitetul a adoptat Liniile directorii privind conceptele de operator și persoană împuternicită din RGPD și Liniile directorii orientate spre utilizatorii de social media. În plus, CEPD a creat un grup de lucru pentru reclamații ca urmare a hotărârii CEJ Schrems II și un grup de lucru dedicat măsurilor suplimentare pe care exportatorii și importatorii de date pot fi obligați să le ia pentru a asigura o protecție adecvată la transferul de date în contextul hotărârii CEJ Schrems II.

https://edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-seventh-plenary-session-guidelines-controller_en

La 7 octombrie  s-a desfășurat cea de-a 39-a sesiune plenară a Comitetului European pentru Protecția Datelor. În cadrul  ședinței au fost adoptate Liniile directorii privind conceptul de obiecție relevantă și motivată. Liniile directorii vor contribui la o interpretare unificată a conceptului, care va ajuta la implimentarea art. 65 din RGPD. Liniile directorii vizează stabilirea unei înțelegeri comune a noțiunii „relevant și motivat”, inclusiv ceea ce ar trebui luat în considerare atunci când se evaluează dacă o obiecție „demonstrează în mod clar semnificația riscurilor prezentate de proiectul de decizie” (articolul 4 (24) RGPD).

La 20 octombrie, CEPD s-a întrunit pentru cea de-a 40-a sesiune plenară. În timpul plenului, a fost discutată o gamă largă de subiecte.

În urma consultării publice, CEPD a adoptat o versiune finală a Ghidului privind protecția datelor din momentul conceperii și implicit. Liniile directorii se concentrează asupra obligației de protecție a datelor din momentul conceperii și implicit, astfel cum este prevăzut la art. 25 RGPD. Obligația de bază consacrată la articolul 25 constă în implementarea efectivă a principiilor de protecție a datelor și a drepturilor și libertăților persoanelor vizate din momentul conceperii și implicit. Aceasta înseamnă că operatorii trebuie să pună în aplicare măsuri tehnice și organizatorice adecvate și măsurile de protecție necesare, concepute pentru a stabili principiile de protecție a datelor în practică și pentru a proteja drepturile și libertățile persoanelor vizate. În plus, operatorii ar trebui să poată demonstra că măsurile implementate sunt eficiente.

Tot în cadrul acestei ședințe CEPD a decis să înființeze un cadru coordonat de aplicare (CEF). CEF oferă o structură pentru coordonarea activităților anuale recurente de către autoritățile de supraveghere ale CEPD. Obiectivul CEF este de a facilita acțiunile comune într-o manieră flexibilă și coordonată, variind de la creșterea conștientizării comune și colectarea de informații până la verificările de aplicare și anchete comune. Scopul acțiunilor coordonate anuale recurente este de a promova conformitatea, de a împuternici persoanele vizate să își exercite drepturile și să sensibilizeze. La această ședință CEPD a adoptat o scrisoare ca răspuns la Europäische Akademie für Informationsfreiheit und Datenschutz cu privire la implicațiile privind protecția datelor din articolul 17 din Directiva drepturilor de autor, în special cu privire la filtrele de încărcare a fișierelor. În scrisoare, CEPD afirmă că orice prelucrare a datelor cu caracter personal în scopul filtrelor de încărcare trebuie să fie proporțională și necesară și că, pe cât posibil, nu ar trebui prelucrate date cu caracter personal atunci când se aplică art. 17 din Directiva privind drepturile de autor. În cazul în care este necesară prelucrarea datelor cu caracter personal, cum ar fi pentru mecanismul de recurs, aceste date ar trebui să se refere doar la datele necesare pentru acest scop specific, aplicând în același timp toate celelalte principii ale RGPD. CEPD a subliniat că în continuare face schimb de informații cu Comisia Europeană pe această temă și că și-a manifestat disponibilitatea pentru o colaborare ulterioară.

 În perioada 28-30 septembrie a avut loc cea de-a 50-a reuniune a Biroului Comitetului Convenției 108, care s-a întrunit on-line. Peste 50 de experți în protecția datelor care reprezintă statele părți la Convenția 108, precum și observatori  s-au conectat zilnic la platformă, pentru a discuta subiectele agendei. Participanții au dus discuții pe teme prioritare ale Comitetului Convenției, cum ar fi recunoașterea facială, datele cu caracter personal prelucrate în contextul sistemelor de învățământ, profilarea, identitatea digitală precum și prelucrarea datelor cu caracter personal în contextul campaniilor politice.

Consiliul Europei publică raportul „Soluții digitale pentru combaterea COVID-19”, care analizează impactul asupra drepturilor la confidențialitate și protecția datelor a măsurilor luate pentru a preveni răspândirea pandemiei COVID-19 în cele 55 state africane, țările americane și europene părți la Convenția 108. Include o revizuire aprofundată și tehnică a utilizării aplicațiilor digitale de urmărire a contactelor și a instrumentelor de monitorizare.

5. Alte autorități pentru protecția datelor

–         o amendă de 830,000 euro a fost aplicată de Autoritatea Olandeză pentru Protecția Datelor către Registrul Național de Credit, pentru taxarea subiecților de date pentru solicitarea accesului la datele lor în format digital. Registrul Național de Credit a creat prea multe obstacole pentru persoanele care doresc să-și acceseze datele. Conform legislației privind confidențialitatea datelor cu caracter personal, acest lucru nu este permis.

–         o amendă de 75,000 euro a fost aplicată de Autoritatea Spaniolă pentru Protecția Datelor către VODAFONE ESPAÑA, pentru prelucrarea numărului de telefon al reclamantului în scopuri de marketing, după ce ultimul și-a exercitat dreptul la ștergere a datelor cu caracter personal în 2015, cu toate acestea, subiectului de date i-a fost transmis un SMS publicitar. Autoritatea Spaniolă pentru Protecția Datelor a considerat că VODAFONE ESPAÑA a încălcat articolul 6 alineatul (1) din GDPR, prin prelucrarea datelor personale ale reclamantului fără niciun temei legal.

–         o amendă de 100.000 zloți polonezi a fost aplicată de Autoritatea Poloneză pentru Protecția Datelor împotriva Autorității Generale de Geodezie a Poloniei (AGGP), pentru încălcarea principiului legalității prelucrării datelor cu caracter personal și punerea la dispoziție în mod intenționat fără un temei legal pe GEOPORTAL2 (geoportal.gov.pl) a datelor cu caracter personal sub formă de numere de carte funciară obținute din registrele funciare și de proprietate. În plus, AGGP trebuie să adapteze prelucrarea datelor cu caracter personal la prevederile GDPR, întrerupând punerea la dispoziție pe portalul GEOPORTAL2 (www.geoportal.gov.pl) a datelor cu caracter personal.

–         o amendă de 37, 400 euro  a fost aplicată de Autoritatea Norvegiană pentru Protecția Datelor împotriva Administrației Norvegiene a Drumurilor Publice, pentru prelucrarea datelor cu caracter personal în scopuri incompatibile cu scopurile menționate inițial și pentru neasigurarea ștergerii înregistrărilor video după 7 zile. Administrația Norvegiană  a Drumurilor a folosit camerele video de drum pentru a monitoriza părțile contractante, angajații, subcontractanții și angajații subcontractanților. Această utilizare a înregistrărilor video a fost incompatibilă cu scopul declarat inițial.

–         o amendă de 35, 3 milioane euro a fost aplicată de Comisarul din Hamburg pentru Protecția Datelor și Libertatea Informației (HmbBfDI) împotriva Centrului de Servicii H&M din Nurnberg pentru monitorizarea ilegală a câtorva sute de angajați de către administrație. Managerii au dobândit informația despre viața privată, religie, simptome ale bolii și diagnosticul angajaților, care a fost stocată permanent pe o rețea pentru o evaluare meticuloasă a performanței individuale a muncii și pentru a obține un profil detaliat al angajaților pentru măsuri și decizii referitoare la munca lor. Colectarea datelor a devenit cunoscută prin faptul că datele au devenit accesibile la nivel de companie pentru câteva ore în octombrie 2019 din cauza unei erori de configurare. HmbBfDI a ordonat, conținutul rețelei să fie “înghețat” și ulterior a cerut să fie returnat.

–         o amendă de 276,000 euro a fost aplicată de Autoritatea Norvegiană pentru Protecția Datelor împotriva Municipalității Bergen pentru prelucrarea neconformă a informațiilor ce conțin date cu caracter personal din sistemul de comunicare dintre școală și casă. În octombrie 2019, Autoritatea pentru Protecția Datelor a fost notificată cu privire la o încălcare a prelucrării datelor cu caracter personal de către municipalitatea Bergen, cu privire la noul instrument al municipalității pentru comunicarea dintre școală și casă, unde școala și părinții puteau comunica printr-un portal sau o aplicație. Municipalitatea nu a stabilit liniile directorii necesare pentru a securiza informațiile ce conțin date cu caracter personal ale copiilor și părinților cu o adresă confidențială înainte ca instrumentul să fie pus în aplicare. Astfel, o listă de contacte cu informații despre „adresa confidențială” a fost distribuită părinților la nivel de clasă. Amenda administrativă a fost impusă deoarece municipalitatea nu a implementat măsuri tehnice și organizatorice pentru a asigura un nivel adecvat de securitate a datelor cu caracter personal, precum și confidențialitatea acestora.