Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 330 000 de euro aplicată de către Autoritatea Poloneză pentru Protecția Datelor (SA) unei companii medicale pentru încălcarea articolului 5 (Principiile legate de prelucrarea datelor cu caracter personal), articolului 24 (Responsabilitatea operatorului) și articolului 32 (Securitatea prelucrării) din GDPR.

Infrastructura IT a companiei American Heart of Poland S.A. a fost atacată de hackeri, care au obținut astfel acces la datele personale detaliate ale aproximativ 21 000 de persoane. Incidentul a vizat o gamă largă de date, și anume: nume, prenume, prenumele părinților, numele de familie al mamei, data nașterii, date privind veniturile sau activele deținute, date privind sănătatea, numărul contului bancar, adresa de reședință sau de ședere, numărul de identificare personală (numărul PESEL), numele de utilizator sau parola, seria și numărul actului de identitate, numărul de telefon și adresa de e-mail. 

SA Poloneză, în cadrul controlului efectuat, a stabilit că:

• compania nu a pus în aplicare toate măsurile necesare pentru a proteja datele pe care le prelucra și nu a fost în măsură să determine cauza scurgerii;

• compania nu a respectat propriile recomandări privind securitatea datelor, și anume a stocat informațiile privind rezultatele testelor COVID ale clienților pe unități de rețea, în timp ce datele medicale ar trebui stocate pe un sistem dedicat pentru prelucrarea datelor medicale;

• platforma cloud utilizată de companie era prea puțin securizată. Trei servere care funcționau la sediul companiei nu beneficiau de asistență tehnică actualizată din partea producătorului (asistența s-a încheiat în ianuarie 2020), software-ul de pe serverele companiei nu fusese actualizat din cauza unei neglijențe din partea personalului IT, astfel încât a fost creată o vulnerabilitate în sistemul IT care ar fi putut contribui la preluarea dispozitivelor de către hackeri;

• compania nu s-a protejat în mod adecvat împotriva atacurilor de tip „phishing”, care implică faptul că persoana care atacă sistemul se dă drept o altă persoană. Conform concluziilor președintelui Oficiului pentru Protecția Datelor cu Caracter Personal, este foarte probabil ca hackerii să fi pătruns astfel în sistemul informatic.

În acest context, SA Poloneză a impus o amendă administrativă în valoare de 330 000 euro pentru încălcarea articolelor 5, 24 și 32 din GDPR și a dispus operatorului să-și conformeze operațiunile de prelucrare a datelor cu caracter personal cu prevederile GDPR-ului.

 CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre lansarea video-ului aferent Conferinței naționale „Noile prevederi legale în domeniul protecției datelor cu caracter personal în Republica Moldova”.

Importanța lansării video-ului vizat este incontestabilă, acesta oferind o retrospectivă a evenimentului menționat supra, având scopul de a crește gradul de conștientizare a subiecților de date, a reprezentanților instituțiilor publice și a mediului de afaceri cu privire la noile prevederi legale în domeniul protecției datelor cu caracter personal, care vin să transpună reglementările europene din domeniu.

Video-ul a fost elaborat cu suportul proiectului de Asistență Rapidă pentru Securitatea Cibernetică 2.0 al UE, implementat de Academia de E-Guvernare din Estonia și poate fi vizualizat accesând următorul link: https://datepersonale.md/videogalerie/

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 900 000 de euro aplicată de către Autoritatea de Supraveghere din Hamburg (SA) unei companii din domeniul serviciilor de colectare a creditelor, pentru încălcarea articolului 5(Principii legate de prelucrarea datelor cu caracter personal) și articolului 6 (Legalitatea prelucrării) din GDPR.

SA din Hamburg a auditat companii cu o prezență puternică pe piață în domeniul serviciilor de colectare a creditelor, în cadrul unui audit direcționat. Hamburg este o locație lider în Europa în acest sector. Datele prelucrate cu privire la debitorii rău-platnici tind să fie deosebit de sensibile și sunt partajate în mod regulat cu alte părți, cum ar fi agențiile de referință pentru credite și serviciile de investigare a adreselor. Prin urmare, persoanele vizate trebuie să poată avea încredere că datele lor vor fi tratate în mod responsabil. Indiferent de plângerile individuale, a fost examinat modul în care datele debitorilor sunt stocate și prelucrate de furnizorii de servicii respectivi. În acest scop, companiilor le-au fost trimise chestionare detaliate, ale căror răspunsuri au oferit o perspectivă cuprinzătoare asupra stocării datelor. În plus, companiilor li s-a cerut să furnizeze documente precum lista activităților de prelucrare, listele măsurilor de securitate și exemple de scrisori utilizate.

În cea mai mare parte, SA din Hamburg a fost în măsură să determine un grad ridicat de profesionalism și sensibilitate. În timpul dialogurilor, au fost obținute îmbunătățiri în ceea ce privește stocarea datelor și transparența față de persoanele vizate. Cu toate acestea, în cazul unei companii, echipa de la SA din Hamburg a constatat în timpul inspecției la fața locului că, înregistrările de date au continuat să fie stocate fără un temei legal, chiar dacă termenele de ștergere au expirat de mult, încălcând astfel art. 5.1 litera (a) și 6 alineatul (1) din GDPR. Chiar dacă înregistrările de date prelucrate inițial nu au fost transmise unor părți terțe în această perioadă, unele dintre acestea nu fuseseră încă șterse din baza de date a companiei la cinci ani după expirarea perioadei legale de păstrare.

În acest context, SA din Hamburg a impus o amendă administrativă în valoare de 900 000 de euro. Decizia este obligatorie din punct de vedere juridic. Compania a recunoscut încălcarea și a acceptat amenda. Aceasta a cooperat în mod profesionist cu Autoritatea de Supraveghere în cadrul urmăririi, motiv pentru care amenda este relativ mică.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 04 februarie 2025, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului de poliție Anenii Noi.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Inspectoratului de poliție Anenii Noi asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: 

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; 

• Drepturile subiecților de date cu caracter personal; 

• Prelucrarea categoriilor speciale de date cu caracter personal; 

• Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției; 

• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; 

• Asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire s-a dovedit a fi unul foarte util și interactiv, formatorii din cadrul CNPDCP oferind participanților răspunsuri practice, la multiplele întrebări acordate de către aceștia. Totodată, aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, inclusiv aplicarea excepțiilor și restricțiilor reglementate la articolul 15 din Legea 133/2011, precum și aspectele legale privind prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 60 de reprezentanți ai Inspectoratului de poliție Anenii Noi.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2025, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 28 ianuarie curent.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 240 000 de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei KASPR pentru încălcarea articolului 5 Principii legate de prelucrarea datelor cu caracter personal, articolului 6 Legalitatea prelucrării, articolului 12 Transparența informațiilor,a comunicărilor și a modalităților de exercitare a drepturilor subiectului de date, articolului 14 Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la subiectul de date și articolului 15 Dreptul de acces al subiectului de date.

KASPR comercializează o aplicație pentru browserul Chrome care permite clienților plătitori să obțină datele de contact profesionale ale persoanelor ale căror profiluri le vizitează pe rețeaua socială LinkedIn. Pentru a face acest lucru, compania creează o bază de date cu detalii de contact de pe LinkedIn și de pe alte site-uri web. Datele de contact astfel colectate permit, în general, clienților companiei să contacteze persoanele vizate, de exemplu pentru prospectare comercială, recrutare sau verificarea identității. Baza de date a KASPR conține aproximativ 160 de milioane de contacte.

CNIL, a primit numeroase plângeri de la persoane care au fost contactate de entități care le-au obținut datele de contact prin intermediul aplicației KASPR. 

În urma investigațiilor, CNIL a constatat mai multe încălcări ale GDPR-ului:

• Nerespectarea obligației de a avea un temei legal (articolul 6 din GDPR);

• Nerespectarea obligației de a defini și de a respecta o perioadă de păstrare a datelor proporțională cu scopul prelucrării (articolul 5-1-e din GDPR);

• Nerespectarea obligației de a asigura transparența și informarea persoanelor vizate (articolele 12 și 14 din GDPR).

În acest context, CNIL a aplicat companiei KASPR o amendă administrativă în valoare de 240 000 de euro și a dispus acesteia să înceteze colectarea datelor persoanelor care au ales să limiteze vizibilitatea datelor lor de contact și să șteargă datele colectate în acest mod; să întrerupă reînnoirea automată a stocării datelor cu caracter personal ale persoanelor vizate; să informeze persoanele ale căror date sunt colectate într-un limbaj accesibil și să răspundă cererilor de acces din partea persoanelor vizate, furnizând toate informațiile disponibile privind sursele de colectare a datelor. 

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Anual, la data de 28 ianuarie, comunitatea europeană celebrează „Ziua Europeană a Protecției Datelor”, eveniment ce beneficiază de sprijinul Comisiei Europene pentru promovarea dreptului la viață privată și a dreptului la protecția datelor cu caracter personal.

Este o zi cu totul specială, nu numai pentru statele membre ale Consiliului Europei, ci și pentru întreaga Comunitate Globală de Protecție a Datelor și, mai presus de toate, pentru fiecare persoană protejată de acest drept fundamental.

Cu prilejul acestei zile, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), alături de alte autorități similare europene, organizează activități specifice pentru a crește gradul de conștientizare și pentru a promova cele mai bune practici de confidențialitate și de protecție a datelor. Printre aceste activități se numără și acțiunile stradale adresate publicului larg, în scopul informării și sensibilizării acestora cu domeniul protecției datelor.

În acest context, astăzi, 29 ianuarie, mai mulți angajați ai CNPDCP au distribuit trecătorilor, în fața Arcului de Triumf din mun. Chișinău, materiale informative, aceștia fiind informați despre Ziua Europeana a Protecției Datelor, noțiunea de date cu caracter personal, drepturile subiecților de date, măsurile de securitate și confidențialitate a datelor, precum și despre principiile de protecție a datelor cu caracter personal. Totodată, cetățenii au fost informați cu privire la posibilele situații de prelucrare neconformă a datelor cu caracter personal, fiindu-le oferite îndrumări și recomandări practice care ar trebui întreprinse în astfel de cazuri.

În anul curent, CNPDCP își propune organizarea mai multor activități de informare și sensibilizare a publicului larg, cu scopul de a educa, motiva și încuraja cetățenii Republicii Moldova să acorde o atenție sporită protecției datelor cu caracter personal ce îi vizează.

Conștientizând necesitatea informării, promovării și asigurării protecției drepturilor persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, precum și necesitatea unor eforturi comune în vederea implementării acestor valori, la data de 28 ianuarie 2025, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), reprezentat de către Directoarea Victoria MUNTEAN a semnat Planul de instruiri în domeniul protecției datelor cu caracter personal, cu Inspectoratul General al Poliției (IGP), reprezentat de către Șeful,Viorel CERNĂUȚEANU, precum și cu Inspectoratul General al Poliției de Frontieră (IGPF), reprezentat de către Șeful, Ruslan GALUȘCA pentru angajații din cadrul subdiviziunilor structurale IGPF și IGP.

Scopul primordial stabilit prin Planurile de instruiri menționat supra este de a spori gradul de percepție a angajaților din cadrul subdiviziunilor structurale IGP și IGPF asupra principiilor de protecție a datelor cu caracter personal și asupra asigurării implementării/aplicării corecte a prevederilor legale din domeniul protecției datelor, în activitatea cotidiană. Planurile de instruiri au fost elaborate și aprobate de comun acord și prevăd petrecerea instruirilor în format offline în cadrul subdiviziunilor structurale IGP și IGPF.

Totodată, menționăm faptul că, fortificarea colaborării interinstituționale la nivel național în scopul amplificării acțiunilor de sensibilizare a societății privind importanța domeniului protecției datelor cu caracter personal, precum și ridicarea nivelului de interpretare corectă și aplicare conformă a prevederilor legale din domeniul protecției datelor cu caracter personal de către actorii implicați în prelucrarea datelor cu caracter personal, rămâne a fi una din prioritățile CNPDCP pentru anul 2025, or, doar pe parcursul lunii ianuarie, au fost încheiate deja trei acorduri de colaborare cu instituții de stat, cum ar fi: Inspectoratul General pentru Migrație, Inspectoratul General al Poliției și Inspectoratul General al Poliției de Frontieră.

Acordurile de colaborare menționate supra fac parte inclusiv din activitățile preconizate a fi organizate în contextul celebrării celei de-a 19 ediție a Zilei Europene a Protecției Datelor.

Astăzi, 28 ianuarie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), în parteneriat cu Academia de e-Guvernare (eGA), organizează conferința națională „Noile prevederi legale în domeniul protecției datelor cu caracter personal în Republica Moldova”.

Scopul conferinței este de a crește gradul de conștientizare atât a reprezentanților instituțiilor publice, cât și a mediului privat cu privire la noile prevederi legale în domeniul protecției datelor cu caracter personal, garantând astfel un nivel adecvat de protecție pentru subiecții de date la nivel global.

Evenimentul a fost deschis de către Directorul CNPDCP, D-na Victoria Muntean: “În contextul actual, când tehnologiile emergente, cum ar fi inteligența artificială, analiza datelor de mari dimensiuni și supravegherea digitală sunt în expansiune rapidă, provocările pentru domeniul aferent protecției datelor sunt tot mai complexe. La nivel național, implimentarea noilor prevederi legale reflectă angajamentul nostru de a armoniza cadrul legislativ cu standardele internaționale, dar și de a răspunde particularităților și necesităților actuale. Aceste schimbări vin într-un moment crucial, de o deosebită importanță națională, când Republica Moldova, cu pași fermi, izbutește în parcursul de integrare în Uniunea Europeană, iar protecția datelor cu caracter personal reprezintă un pilon important în tot acest proces. Discuțiile din cadrul conferinței de astăzi vor oferi o oportunitate valoroasă de a analiza cum pot fi implementate aceste noi reglementări într-un mod eficient, asigurând, totodată, un echilibru între protecția drepturilor individuale ale cetățenilor și posibilitățile de dezvoltare economică și socială sustenabilă”.

Conferința este moderată de experți în protecția datelor cu caracter personal din cadrul CNPDCP, precum și din Estonia, Malta și România. Printre temele abordate de experți sunt: Noi prevederi legale în domeniul protecției datelor cu caracter personal în Republica Moldova; Cadrul legal privind protecția datelor: de la drepturile subiecților de date și responsabilitățile operatorilor la gestionarea breșelor; Ștergerea urmelor: explorarea dreptului de a fi uitat; Reducerea discrepanțelor: protecția datelor cu caracter personal versus securitatea rețelelor și a informației;  Inteligența artificială generativă și confidențialitatea datelor: Echilibrul între inovație și protejarea vieții private a persoanelor, precum și două paneluri de discuție:Dezvăluirea tehnicilor de îmbunătățire a confidențialității și modalități prin care acestea pot ajuta o organizație să facă fața reglementărilor în continuă evoluție și Ce ne poate învăța aplicarea securității cibernetice despre consolidarea protecției datelor?

În cadrul evenimentului participă peste 150 de reprezentanți atât ai instituțiilor publice, cât și a mediului privat.

Conferința națională este organizată cu suportul proiectului de Asistență Rapidă pentru Securitatea Cibernetică 2.0 al UE, implementat de Academia de E-Guvernare din Estonia.

Anual, la data de 28 ianuarie, comunitatea europeană celebrează „Ziua Europeană a Protecției Datelor”. În acest an, este marcată cea de-a 19 ediție a acesteia și 44 de ani de la adoptarea Convenției 108 pentru protecția persoanelor față de prelucrarea automatizată a datelor cu caracter personal, la Strasbourg la 28 ianuarie 1981.

Scopul Convenției nr. 108 este de a garanta pe teritoriul fiecărui stat parte, fiecărei persoane fizice, oricare ar fi cetățenia sau reședința sa, respectarea drepturilor și libertăților fundamentale și, în special, a dreptului la viața privată în ceea ce privește prelucrarea datelor cu caracter personal.

Este o zi cu totul specială, nu numai pentru statele membre ale Consiliului Europei, ci și pentru întreaga Comunitate Globală de Protecție a Datelor și, mai presus de toate, pentru fiecare persoană protejată de acest drept fundamental.

În acest sens, statele membre ale Consiliului Europei, și nu doar, organizează diferite activități și evenimente publice pentru a marca această zi. Centrul Național pentru Protecția Datelor cu Caracter Personal marchează acest eveniment alături de toate statele/instituțiile europene prin  promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin. 

Deși, domeniul protecției datelor cu caracter personal este unul relativ nou pentru societatea Republicii Moldova, totuși, am reușit pe parcursul ultimilor ani să avansăm mult întru atingerea obiectivului național trasat vizând asigurarea unui nivel adecvat de protecție a datelor cu caracter personal, în conformitate cu normele Uniunii Europene și ale Consiliului Europei, precum și garantarea protecției drepturilor și libertăților fundamentale ale cetățenilor, în special a dreptului la viața privată în ceea ce privește prelucrarea datelor cu caracter personal.

 În acest context, la data de 23 august 2024, a fost publicată în Monitorul Oficial al Republicii Moldova Legea nr. 195/2024 privind protecția datelor cu caracter personal, care transpune fidel prevederile Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor – GDPR). Noul act normativ intră în vigoare peste 2 ani de la data publicării în Monitorul Oficial al Republicii Moldova. 

Totodată, în scopul informării atât a sectorului public, cât și a celui privat cu noile prevederi legale stipulate în Legea nr. 195/2024, la data de 28 ianuarie 2025, are loc conferința națională „Noile prevederi legale în domeniul protecției datelor cu caracter personal în Republica Moldova”, organizată în parteneriat cu Academia de e-Guvernare (eGA). 

Un alt eveniment public, organizat în contextul celebrării Zilei Europene a Protecției Datelor, este fortificarea colaborării interinstituționale la nivel național în scopul amplificării acțiunilor de sensibilizare a societății privind importanța domeniului protecției datelor cu caracter personal, precum și ridicarea nivelului de interpretare corectă și aplicare conformă a prevederilor legale din domeniul protecției datelor cu caracter personal de către actorii implicați în prelucrarea datelor cu caracter personal care rămâne a fi una din prioritățile CNPDCP pentru anul 2025. În acest sens, au fost încheiate Acorduri de colaborare cu mai multe instituții de stat, în scopul efectuării cursurilor de instruire în acest domeniu.

Rolul nostru, în calitate de Autoritate Națională de Protecție a Datelor, devine din ce în ce mai important, iar celebrarea anuală a acestei zile constituie un prilej de a aduce în atenția publicului importanța respectării principiilor de protecție a datelor cu caracter personal, a dreptului la viață privată și a dreptului la protecția datelor cu caracter personal.

La data de 27 ianuarie curent, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a continuat campania de informare și sensibilizare a comunității școlare, organizând cursul de instruire „Protecția datelor cu caracter personal și siguranța copiilor în mediul on–line” pentru instituția Publică Liceul Teoretic „Ștefan cel Mare” din Chișinău. Evenimentul a avut loc în cadrul orei de Dezvoltare personală, publicul țintă fiind elevii clasei a IV–a “A”, în contextul evenimentelor planificate pentru celebrarea celei de-a 19-a ediție a Zilei Europene a Protecției Datelor.

Scopul campaniei de informare și sensibilizare a comunității școlare este de a oferi o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin.

Tematicile abordate în cadrul instruirii au vizat: 

• Noțiuni generale de date cu caracter personal (ce înseamnă, cum le identificăm, cum operăm cu ele); 

• Atitudini și practici de transmitere a pozelor/înregistrărilor video on-line (caracterul privat al unei pagini de socializare, setări de confidențialitate, operarea cu poze/video în cadrul unui chat, atitudinea și acțiunile întreprinse în situația în care o imagine/video este preluată fără acordul tău și distribuită ulterior);

• Riscurile și amenințările din mediul online (malware, spam, hărțuirea online, furtul de informații, situații care atentează la intimitatea/securitatea copilului și soluții pentru astfel de situații);

• Comunicarea pe rețelele de socializare, etc.

În cadrul cursului de instruire, elevii au avut parte de jocuri interactive, au completat un rebus în baza materialului prezentat și au participat la runda de întrebări-răspunsuri, iar cei mai buni au fost premiați cu cadouri de rigoare.

Evenimentul a fost organizat la inițiativa CNPDCP, fiind instruiți 32 de elevi. Totodată, materialele informative, precum și cadourile oferite elevilor au fost elaborate cu suportul Fondului Națiunilor Unite pentru Copii (UNICEF).

De menționat că, campania de informare și sensibilizare a comunității școlare a fost lansată la data de 15 aprilie 2022, iar CNPDCP își propune să continue acest format de instruiri atât în instituțiile școlare din municipiului  Chișinău, cât și în cele din raioanele Republicii Moldova.