La data de 13 ianuarie 2025, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Întreprinderii de stat „Moldelectrica”, la solicitarea acestora.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Întreprinderii de stat „Moldelectrica” asupra principiilor de protecție a datelor cu caracter personal, precum și familiarizarea acestora cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu prevederile legislației în vigoare.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

• Drepturile subiecților de date cu caracter personal;

• Prelucrarea categoriilor speciale de date cu caracter personal;

• Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;

• Aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO);

• Obligațiile și sarcinile unui DPO;

• Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA);

• Etapele și obligația efectuării unei DPIA, etc.

Cursul de instruire a fost unul interactiv, participanții acordând multiple întrebări referior la modalitatea legală de prelucrare a datelor cu caracter personal în activitatea cotidiană desfășurată de către angajații întreprinderii, precum și asigurarea securității și confidențialității acestor date.

În cadrul evenimentului au participat circa 40 de reprezentanți din cadrul Întreprinderii de stat „Moldelectrica”.

Centrul Naţional pentru Protecţia Datelor cu Caracter Personal al Republicii Moldova (CNPDCP), informează că, în conformitate cu prevederile pct. 2.1 al Hotărârii Guvernului nr. 678/2024 cu privire la modificarea și abrogarea unor hotărâri ale Guvernului (facilitarea activității mediului de afaceri VI), care a întrat în vigoare la 15 noiembrie 2024 a fost abrogată Hotărârea Guvernului nr. 1123/2010 privind aprobarea Cerinţelor faţă de asigurarea securităţii datelor cu caracter personal la prelucrarea acestora în cadrul sistemelor informaţionale de date cu caracter personal (Cerințe). 

Accentuăm că abrogarea Cerințelor menționate nu exclude obligația operatorilor, cît şi a persoanelor împuternicite de către aceștia (dacă este cazul), prevăzută la art. 29 şi art. 30 ale Legii nr. 133/2011, de a implementa măsurile organizatorice şi tehnice necesare pentru protecţia datelor cu caracter personal împotriva distrugerii, modificării, blocării, copierii, răspîndirii, precum şi împotriva altor acţiuni ilicite, măsuri menite să asigure un nivel de securitate adecvat în ceea ce priveşte riscurile prezentate de prelucrare şi caracterul datelor prelucrate, inclusiv și de asigurare a confidențialității acestora.

În acest context, recomandăm să consultați Liniile directorii privind măsurile de securitate pentru protecția și prelucrarea datelor cu caracter personal în cadrul sistemelor informaționale, care sunt publicate pe pagina oficială a Autorității naționale de protecție a datelor cu caracter personal la capitolul Recomandările CNPDCP (https://datepersonale.md/data-controllers/ncpdp-guidelines/).

Totodată, comunicăm că implicit, a fost exclusă obligația operatorilor de date cu caracter personal de a prezenta anual, pînă la 31 ianuarie, în adresa CNPDCP rapoarte generalizate despre incidentele de securitate a sistemelor informaționale de date cu caracter personal gestionate.

Pentru oricare informaţie suplimentară, urmează să contactați Direcţia prevenire, supraveghere și evidență a Direcției generale supraveghere și conformitate a CNPDCP, la telefonul de contact nr. 022-811-801/811-802.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 251 milioane de euro impusă de către Autoritatea Irlandeză pentru Protecția Datelor (DPA) companiei Meta Platforms Ireland Limited (Meta) în urma a două investigații privind o breșă de securitate care a afectat datele cu caracter personal ale 29 de milioane de utilizatori la nivel global.

Incidentul, raportat de Meta în septembrie 2018, a implicat acces neautorizat la o serie de categorii de date cu caracter personal, cum ar fi: numele complet al utilizatorului; adresa de e-mail; numărul de telefon; locația; locul de muncă; data nașterii; religia; sexul; postările de pe timeline; grupurile din care făcea parte un utilizator și date cu caracter personal ale copiilor. Aproximativ trei milioane dintre utilizatorii afectați erau din Uniunea Europeană și Spațiul Economic European. Breșa a fost cauzată de exploatarea unor token-uri de utilizator pe platforma Facebook de către terți neautorizați. Deși încălcarea a fost remediată rapid de Meta și de compania mamă din SUA la scurt timp după descoperirea acesteia, DPA Irlandeză a constatat că gigantul tehnologic a încălcat Regulamentul General privind Protecția Datelor (GDPR) prin:

• Nerespectarea obligațiilor de documentare a faptelor și a măsurilor luate pentru remediere – articolul 33 (3) și 33 (5);

• Neasigurarea că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării -articolul 25 (1) și 25 (2).

În acest context, DPA Irlandeză a impus o amendă în valoare de 251 de milioane de euro companiei Meta. Valoarea acesteia subliniază accentul pus de Uniunea Europeană pe responsabilizarea marilor companii tehnologice, Autoritatea Irlandeză fiind principalul organism de reglementare responsabil pentru obligarea acestora la răspundere. Compania a anunțat că va face apel la decizie.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 9 300 euro aplicată de către Autoritatea Poloneză pentru Protecția Datelor (SA) Centrului Public Independent de Asistență Medicală (Centrul)pentru încălcarea articolului 5 (Principiile legate de prelucrarea datelor cu caracter personal), articolului 24 (Responsabilitatea operatorului), articolului 25 (Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit), articolului 32 (Securitatea prelucrării) și articolului 34 (Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal) din GDPR.

Urmare a unui atac cibernetic, Centrul a pierdut accesul la datele pacienților și ale angajaților, luând măsuri corective abia după aceea. Atacul a avut loc în februarie 2022. Un ransomware malițios a criptat datele cu caracter personal ale 30 000 de pacienți și ale peste 1000 de angajați. Centrul Public Independent de Asistență Medicală a notificat Oficiul pentru Protecția Datelor cu Caracter Personal și poliția. S-a constatat că atacul nu a fost unul grav, deoarece datele nu s-au scurs – acestea au devenit doar inaccesibile (un expert extern a indicat că datele nu puteau fi decriptate). Cu toate acestea, compania nu a notificat persoanele vizate cu privire la faptul că a pierdut controlul asupra unor date precum: numele și prenumele, numele părinților, data nașterii, numărul contului bancar, adresa de reședință sau de ședere, numărul de identificare personală (numărul PESEL), numele de utilizator și/sau parola, detalii privind veniturile sau bunurile deținute, numele de familie al mamei, seria și numărul buletinului de identitate, numărul de telefon și datele medicale. 

În acest context, Președintele Oficiului pentru Protecția Datelor cu Caracter Personal a aplicat o amendă în valoare de 9 300 euro Centrului Public Independent de Asistență Medicală din Pajęczno pentru încălcarea articolelor 5, 24, 25, 32 și 34 din GDPR. În plus, pe lângă amenda aplicată, s-a dispus punerea în aplicare, în termen de 30 de zile, a măsurilor tehnice și organizatorice adecvate pentru a asigura securitatea prelucrării datelor în cadrul sistemelor informatice. De asemenea, s-a dispus notificarea persoanelor vizate cu privire la incident, explicându-le ce s-a întâmplat, subliniind posibilele consecințe ale incidentului și indicând cine poate oferi mai multe informații cu privire la subiectul în cauză din cadrul companiei.

 CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 17 decembrie 2024, în rezultatul promovării cu succes a perioadei de probă stabilită pentru funcționarul public debutant și confirmării în funcția publică de controlor de stat în Direcția Conformitate din cadrul Direcţiei Generale Supraveghere şi Conformitate a Centrului Naţional pentru Protecția Datelor cu Caracter Personal (CNPDCP), colega noastră, Daniela MUNTEANU, a depus jurământul de credinţă, care prevede respectarea Constituţiei Republicii Moldova, drepturilor şi libertăţilor fundamentale ale omului, apărarea suveranității, independenţei şi integrității teritoriale a Republicii Moldova, executarea în mod obiectiv şi imparţial  a legilor ţării, îndeplinirea conştiincioasă a obligaţiilor în exercitarea funcţiei publice, precum şi respectarea normelor de conduită profesională.

Jurământul de credință a fost depus în prezența conducerii și colegilor din cadrul CNPDCP, în fața simbolurilor de stat, în conformitate cu prevederile art. 32 din Legea nr. 158-XVI din 04 iulie 2008 cu privire la funcția publică și statutul funcționarului public.

Cu această ocazie, Directorul adjunct al CNPDCP, doamna Angela COLOMIICENCO, i-a dorit tânărului funcționar succese, verticalitate, noi performanțe în realizarea aspirațiilor profesionale și aprecieri la justa sa valoare!

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 2,4 milioane euro aplicată de către Autoritatea Finlandeză pentru Protecția Datelor (SA) companiei Posti pentru încălcarea articolului 6 (Legalitatea prelucrării), articolului 13 (Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată), articolului 5 (Principii legate de prelucrarea datelor cu caracter personal) și articolului 25 (Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit) din GDPR.

SA Finlandeză a investigat prelucrarea datelor cu caracter personal ale companiei Posti referitoare la crearea unei căsuțe poștale electronice, urmare a plângerilor primite cu privire la transmiterea de scrisori către serviciul online al Posti fără consimțământul clientului. Operatorul a creat automat o căsuță poștală electronică pentru clienți, fără o cerere separată. Aceasta fusese conectată la un set mai larg de servicii. Ancheta a arătat că clientul nu putea alege dacă să utilizeze sau nu căsuța poștală electronică, deoarece diferite servicii erau legate între ele într-un singur contract. 

În urma investigațiilor, SA Finlandeză a constatat că serviciul solicitat de client ar fi putut fi furnizat fără crearea automată a unei căsuțe poștale electronice. De asemenea, operatorul nu și-a informat în mod clar clienții cu privire la activarea căsuței poștale electronice, iar serviciul conținea setări tehnice care nu îndeplineau cerințele de protecție a datelor. Acestea includeau o funcție de selectare activată automat și o casetă de selectare bifată în prealabil. 

În acest context, SA Finlandeză a impus operatorului o amendă administrativă în valoare de 2,4 milioane euro pentru prelucrare neconformă a datelor cu caracter personal. Totodată, operatorul a fost mustrat pentru lacunele în informare a clienților și i s-a adus la cunoștință faptul că serviciile electronice trebuie create de la început astfel încât să fie prelucrate numai datele cu caracter personal necesare.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenzile administrative aplicate de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei COSMOSPACE – 250 000 euro și companiei TELEMAQUE – 150 000 euro pentru încălcarea articolului 5 (Principiile legate de prelucrarea datelor cu caracter personal) și articolului 9 (Prelucrarea de categorii speciale de date cu caracter personal) din GDPR.

Companiile COSMOSPACE și TELEMAQUE oferă servicii de clarviziune la distanță, unul prin telefon și celălalt prin chat online și mesaje text. Controalele efectuate de CNIL în 2021 au scos la iveală mai multe încălcări, printre care colectarea de date sensibile fără consimțământ explicit prealabil (în special date privind sănătatea și date privind orientarea sexuală), păstrarea datelor pentru o perioadă excesivă, trimiterea de mesaje de prospectare comercială către persoane care nu și-au dat consimțământul și, în cazul COSMOSPACE, înregistrarea sistematică a convorbirilor telefonice. 

În acest context, CNIL a aplicat o amendă în valoare de 250 000 euro companiei COSMOSPACE și o amendă de 150 000 euro companiei TELEMAQUE. Aceste amenzi au fost adoptate în cooperare cu aproximativ cincisprezece omologi europeni ai CNIL în ambele cazuri. Cuantumurile amenzilor au fost stabilite pe baza gravității încălcărilor, a numărului de persoane vizate – baza de date comună a celor două companii conținând datele a peste 1,5 milioane de persoane – și a sensibilității datelor prelucrate. Situația financiară a companiilor și structurile acestora au fost, de asemenea, luate în considerare, pentru a stabili amenzi disuasive, dar proporționale.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

În scopul promovării dreptului la informație și a Legii nr. 148/2023 privind accesul la informațiile de interes public, în vigoare din 8 ianuarie 2024, Cancelaria de Stat, cu sprijinul Proiectului Consiliului Europei „Sprijin pentru pluralismul media şi libertatea de exprimare în Republica Moldova”, a elaborat trei spoturi video de informare despre principalele modificări ale cadrului legislativ privind accesul la informațiile de interes public și alte informații relevante, după cum urmează:

• spotul nr. 1 – reflectă noutățile din Legea nr. 148/2023 privind accesul la informațiile de interes public și beneficiile acesteia pentru cetățeni;

• spotul nr. 2 – prezintă categoriile de informații publice la care cetățenii pot avea acces liber;

• spotul nr. 3 – descrie modul în care cetățenii pot solicita accesul la informațiile de interes public.

Guvernul Republicii Moldova https://gov.md/ro

Oficiului Consiliului Europei la Chișinău https://www.coe.int/ro/web/chisinau

În rezultatul promovării cu succes a perioadei de probă stabilită pentru funcționarul public debutant și confirmării în funcția publică de controlor de stat în Direcția Conformitate din cadrul Direcţiei Generale Supraveghere şi Conformitate a Centrului Naţional pentru Protecția Datelor cu Caracter Personal (CNPDCP), la data de 13 decembrie 2024, colegul nostru, Cristi GRAJDARI, a depus jurământul de credinţă, care prevede respectarea Constituţiei Republicii Moldova, drepturilor şi libertăţilor fundamentale ale omului, apărarea suveranității, independenţei şi integrității teritoriale a Republicii Moldova, executarea în mod obiectiv şi imparţial  a legilor ţării, îndeplinirea conştiincioasă a obligaţiilor în exercitarea funcţiei publice, precum şi respectarea normelor de conduită profesională.

Jurământul de credință a fost depus în prezența conducerii și colegilor din cadrul CNPDCP, în fața simbolurilor de stat, în conformitate cu prevederile art. 32 din Legea nr. 158-XVI din 04 iulie 2008 cu privire la funcția publică și statutul funcționarului public.

Cu această ocazie, Directorul adjunct al CNPDCP, doamna Angela COLOMIICENCO, i-a dorit tânărului funcționar mari succese, abnegație, verticalitate și noi performanțe în realizarea aspirațiilor profesionale.