Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 100 000 euro aplicată de către Autoritatea Belgiană pentru Protecția Datelor pentru încălcarea articolului 12 Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate și articolului 15 Dreptul de acces al persoanei vizate din GDPR.

Reclamantul, un client al unui operator de telecomunicații, ca urmare a unui incident contractual, a urmat o procedură de mediere cu operatorul. Acesta și-a recunoscut vina, dar reclamantul și-a exercitat, totuși, dreptul de acces la datele cu caracter personal. Acesta solicita, printre altele, să cunoască identitatea angajaților care i-au prelucrat datele cu caracter personal, precum și scopurile prelucrării. Cererea a fost transmisă prin intermediul canalului Messenger al operatorului cu solicitarea în mod expres ca aceasta să fie transmisă Responsabilului cu Protecția Datelor (DPO). Cu toate acestea, în ciuda faptului că cererea a fost examinată de către doi angajați, aceasta nu a fost soluționată și nici transferată către DPO. Reclamantul a depus ulterior o plângere la SA Belgiană, primind un răspuns de la operator după 14 luni de la solicitarea sa de acces la datele cu caracter personal.

În urma investigațiilor, SA Belgiană a considerat că cererea reclamantului a fost în mare parte satisfăcută. Totodată, s-a constatat că operatorul a încălcat anumite prevederi din GDPR din cauza răspunsului întârziat cu 14 luni și din cauză că operatorul nu a transmis cererea reclamantului către DPO-ul său. Cu toate acestea, sancțiunea, în valoare de 100 000 euro, se bazează numai pe încălcarea articolului 15 din GDPR. Decizia nu este una definitivă și poate fi contestată de către părți.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 24 septembrie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Sectorului Poliției de Frontieră Sculeni al Direcției Regionale Vest, în contextul elaborării / implementării de către IGPF a „Conceptului privind autonomia funcțională și decizională a patrulei Poliției de Frontieră în activitatea de supraveghere a frontierei de stat”.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Sectorului Poliției de Frontieră Sculeni al Direcției Regionale Vest, care supraveghează frontiera în scopul combaterii migrației ilegale, a traficului de persoane și a criminalității transfrontaliere, asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO); aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA), etc.

Cursul de instruire s-a dovedit a fi interactiv și util, participanții acordând multiple întrebări, reeșind din activitatea desfășurată de aceștia, la care au primit răspunsuri documentate cu exemple practice, din partea formatorilor. Totodată, aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, procedura corectă de identificare a persoanelor care nu dețin acte de identitate, precum și examinarea solicitărilor de dezvăluire a datelor cu caracter personal, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 50 de reprezentanți ai Sectorului Poliției de Frontieră Sculeni al Direcției Regionale Vest.

Cursul de instruire face parte din planul de instruiri în cadrul IGPF pentru anul 2024, aprobat și semnat de către conducătorii CNPDCP și IGPF la data de 21 februarie curent.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 30,5 milioane de euro impusă de către Autoritatea Olandeză de Supraveghere (SA) companiei Clearview pentru încălcarea articolului 6 Legalitatea prelucrării, articolului 9 Prelucrarea de categorii speciale de date cu caracter personal, articolului 12 Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate, articolului 14 Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, articolului 15 Dreptul de acces al persoanei vizate,  articolului 27 Reprezentanții operatorilor sau ai persoanelor împuternicite de operatori care nu își au sediul în Uniune și articolului 84 Sancțiuni.

Clearview este o companie americană care oferă servicii de recunoaștere facială. Clienții Clearview pot furniza imagini de pe camere pentru a afla identitatea persoanelor care apar în imagini. În acest scop, Clearview dispune de o bază de date cu mai mult de 30 de miliarde de fotografii ale persoanelor. Compania colectează automat aceste fotografii de pe internet și apoi le convertește într-un cod biometric unic pentru fiecare față fără ca aceste persoane să știe acest lucru și fără ca ele să își fi dat consimțământul în acest sens.

În urma investigațiilor, SA Olandeză a constatat că, în scopul serviciului său „Clearview for law-enforcement and public defenders” (Clearview pentru autoritățile de aplicare a legii și avocați din oficiu), compania prelucrează, fără a avea un temei juridic în acest sens, date cu caracter personal ale persoanelor vizate care se află pe teritoriul Țărilor de Jos, încălcând, astfel, articolul 5 alineatul (1) (a), coroborat cu articolul 6 alineatul (1) din GDPR. Totodată, Clearview încalcă articolul 9 alineatul (1) din GDPR prin prelucrarea unei categorii speciale de date cu caracter personal (date biometrice) ale persoanelor vizate care se află pe teritoriul Țărilor de Jos. SA Olandeză a determinat că Clearview nu informează în mod adecvat persoanele vizate, acționând, în acest caz contrar articolului 12 alineatul (1), coroborat cu articolul 14 alineatele (1) și (2) și contrar articolului 5 alineatul (1) (a) din GDPR.  Nu în ultimul rând, Clearview a încălcat articolul 12 alineatul (3), coroborat cu articolul 15 din GDPR, prin faptul că nu a răspuns la două cereri de acces din partea persoanelor vizate și articolul 12 alineatul (2), coroborat cu articolul 15 din GDPR,  întrucât Clearview nu facilitează persoanelor vizate de pe teritoriul Țărilor de Jos exercitarea dreptului lor de acces. Faptul că compania nu a desemnat un reprezentant în Uniunea Europeană în sensul articolului 4 alineatul (17) din GDPR, deși sunt obligați să facă acest lucru în temeiul articolului 27 alineatul (1) din GDPR, constituie, de asemenea, o încălcare a GDPR-ului.

În acest context, SA Olandeză a impus companiei Clearview o amendă administrativă în valoare de 30,5 milioane de euro și patru măsuri care fac obiectul unei sancțiuni pentru neconformitate, măsuri care se referă la încetarea încălcărilor încă în curs. Dacă Clearview nu reușește să facă acest lucru, compania va trebui să plătească penalități pentru nerespectare în valoare totală maximă de 5,1 milioane de euro pe lângă amendă.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 19 septembrie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Sectorului Poliției de Frontieră Briceni al Direcției Regionale Nord, în contextul elaborării / implementării de către IGPF a „Conceptului privind autonomia funcțională și decizională a patrulei Poliției de Frontieră în activitatea de supraveghere a frontierei de stat”.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Sectorului Poliției de Frontieră Briceni al Direcției Regionale Nord, care supraveghează frontiera în scopul combaterii migrației ilegale, a traficului de persoane și a criminalității transfrontaliere, asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentelor au fost discutate subiecte de importanță, cum ar fi: 

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; 

• Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; 

• Drepturile subiecților de date cu caracter personal; 

• Prelucrarea categoriilor speciale de date cu caracter personal; 

• Cerințele privind protecția datelor cu caracter personal în exercitarea atribuțiilor de serviciu; 

• Asigurarea securității și confidențialității datelor cu caracter personal prelucrate; 

• Aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO);

• Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA), etc.

Cursul de instruire s-a dovedit a fi unul foarte util, iar aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, în scopul identificării persoanelor care nu dețin acte de identitate în zona de frontieră,  precum și care pot fi consecințele unei prelucrări neconforme/ilegale a datelor cu caracter personal, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 40 de reprezentanți ai Sectorului Poliției de Frontieră Briceni al Direcției Regionale Nord.

Cursurile de instruire fac parte din planul de instruiri în cadrul IGPF pentru anul 2024, aprobat și semnat de către conducătorii CNPDCP și IGPF la data de 21 februarie curent.

La data de 18 septembrie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului de Poliție (IP) Ceadîr-Lunga al DP a UTA Găgăuzia.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților IP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări la care au primit răspunsuri/explicații de rigoare ce țin de domeniul protecției datelor cu caracter personal din partea formatorilor. Totodată, modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției, precum și procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 45 de reprezentanți ai Inspectoratului de Poliție Ceadîr-Lunga al DP a UTA Găgăuzia.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2024, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 26 ianuarie curent.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 270 000 euro aplicată de către Autoritatea Spaniolă pentru Protecția Datelor companiei UNIQLO EUROPE, LTD pentru încălcarea articolului 5 Principii legate de prelucrarea datelor cu caracter personal și 32 Securitatea prelucrării din GDPR.

Reclamantul din acest caz, al cărui contract de muncă fusese reziliat, a solicitat acces la informațiile privind salariul său pentru luna iulie 2022. Urmare a solicitării, operatorul a transmis reclamantului un e-mail care conținea un document PDF atașat cu salariul său și cel al altor 446 de lucrători din cadrul companiei. 

Documentația din dosar oferă indicii clare că UNIQLO a încălcat articolul 5.1.f) din GDPR, prin faptul că nu a garantat în mod corespunzător confidențialitatea și integritatea datelor cu caracter personal ale angajaților săi, care au fost aduse la cunoștința unei părți terțe neautorizate. Această obligație de confidențialitate și integritate trebuie înțeleasă ca având drept scop de a preveni scurgerile de date care nu sunt consimțite de subiectul de date.

Totodată, au fost încălcate prevederile articolului 32 alineatul (1) din GDPR, din cauza neadoptării măsurilor tehnice și organizatorice adecvate. UNIQLO EUROPE, LTD justifică o serie de măsuri tehnice și organizatorice pentru a asigura securitatea și confidențialitatea sistemelor sale informaționale. Aceste măsuri, însă, nu au fost adecvate pentru a evita faptele care fac obiectul plângerii. Au fost furnizate o serie de măsuri adoptate ulterior, cum ar fi permiterea accesului foștilor angajați la salariile lor pentru o perioadă de 60 de zile de la încetarea contractului sau revizuirea procesului de salarizare de către departamentul de resurse umane, precum și reproiectarea protocoalelor interne ale respectivului departament. Aceste măsuri nu pot fi luate în considerare în scopul evaluării responsabilității companiei pentru acest incident.

 În acest context, Autoritatea Spaniolă pentru Protecția Datelor a impus companiei UNIQLO EUROPE, LTD o amendă totală de 450 000 de euro pentru încălcarea prevederilor legale menționate supra, care a fost redusă la 270 000 de euro, în baza prevederilor legislației naționale, care permit o reducere a cuantumului amenzii atunci când un operator achită voluntar amenda și își recunoaște responsabilitatea pentru încălcare.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 17 septembrie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat două cursuri de instruire în domeniul protecției datelor cu caracter personal pentru reprezentanții Casei Teritoriale de Asigurări Sociale (CTAS), regiunea Nord,  la solicitarea Casei Naționale de Asigurări Sociale.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților CTAS asupra principiilor de protecție a datelor cu caracter personal, precum și familiarizarea acestora cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu prevederile legislației în vigoare.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: 

• definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; 

• drepturile subiecților de date cu caracter personal; 

• prelucrarea categoriilor speciale de date cu caracter personal; 

• principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; 

• cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; 

• asigurarea securității și confidențialității datelor cu caracter personal de către angajații CTAS, etc.

Cursurile de instruire s-au dovedit a fi interactive, iar subiectele ce țin de legalitatea solicitărilor de dezvăluire a datelor cu caracter personal către persoane terțe, precum și procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat,  au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentelor, care au avut loc atât cu prezența fizică cât și on-line, au fost instruiți 216 reprezentanți CTAS din Bălți, Briceni, Drochia, Dondușeni, Fălești, Edineț, Florești, Glodeni, Râșcani, Ocnița, Soroca și Sângerei.

Cursurile de instruire fac parte din planul de instruiri în cadrul subdiviziunilor structurale CNAS pentru anul 2024, aprobat și semnat de către conducătorii CNPDCP și CNAS la data de 08 iulie curent.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 1 300 000 euro aplicată de către Autoritatea Suedeză pentru Protecția Datelor (SA) companiei Avanza Bank AB pentru încălcarea articolului 5 Principii legate de prelucrarea datelor cu caracter personal, articolul 32 Securitatea prelucrării și articolului 83 Condiții generale pentru impunerea amenzilor administrative din GDPR.

O bancă suedeză a raportat către SA Suedeză o încălcare a securității datelor cu caracter personal. Notificarea precizează că banca a utilizat pixelul Facebook (acum Meta Pixel) pe site-ul său web și în aplicația sa pentru a optimiza marketingul băncii pe Facebook. O setare incorectă a Meta Pixel a însemnat că datele cu caracter personal au fost transferate către Meta pe o perioadă mai lungă de timp. Notificarea băncii precizează că, în perioada 15 noiembrie 2019 – 2 iunie 2021, datele cu caracter personal ale până la un milion de clienți au fost transferate în mod eronat către Meta.

Atunci când banca a luat cunoștință de incident, pixelul Meta a fost dezactivat, iar datele cu caracter personal colectate prin intermediul pixelului au fost șterse de Meta. Totodată, banca și-a revizuit procedurile interne pentru a asigura prelucrarea corectă și sigură a datelor cu caracter personal.

Compania Avanza Bank AB a încălcat prevederile legale stipulate în GDPR, prin faptul că nu a implementat măsuri tehnice și organizatorice corespunzătoare pentru a asigura un nivel adecvat de securitate a datelor cu caracter personal ale vizitatorilor site-ului web și ale utilizatorilor aplicațiilor. 

În acest context SA Suedeză a impus o amendă administrativă în valoare de 1 300 000 companiei Avanza Bank AB.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

În perioada 09-13 septembrie, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat în cadrul Academiei pentru Protecția Datelor din Balcanii de Vest și Regiunea Parteneriatului Estic, care a avut loc la Bruxelles, Belgia.

Academia pentru Protecția Datelor este un proiect creat de Comisia Europeană (DG JUST) care oferă suport și instruire pentru Autoritățile de Protecție a Datelor (DPA) din țările din afara UE, oferind acestora o platformă pentru a face schimb de opinii, bune practici și lecții învățate cu omologii lor din UE. 

Scopul evenimentului a fost de a prezenta experiența instituțiilor și organismelor relevante ale UE în procesul de implementare a GDPR-ului, oferind o imagine de ansamblu cuprinzătoare și practică a provocărilor apărute în procesul de aplicare a acestuia.

În cadrul Academiei pentru Protecția Datelor din Balcanii de Vest și Regiunea Parteneriatului Estic au fost abordate subiecte de importanță, cum ar fi:

• Aspecte cheie din domeniul protecției datelor începând cu septembrie 2023, cu accent pe legislație, implementare și cooperare internațională;

• Principii ale administrației publice, cu accent pe furnizarea de servicii și sfera digitală, rolul confidențialității și al protecției datelor cu caracter personal;

• Rolul unei Autorități Independente de Protecție a Datelor în ecosistemul de protecție a datelor;

• Rolul Responsabililor cu protecția datelor;

• Protecția datelor în era digitalizării serviciilor și a inteligenței artificiale;

• Asigurarea echilibrului între cerințele legale privind protecția datelor și legislația privind libertatea de informare;

• Protecția datelor în contextul acordurilor de colaborare cu EUROPOL și Eurojust;

• Regulamentul digital al UE: interacțiunea dintre GDPR și noile reglementări europene privind datele (DSA, DMA, DGA, Data Act);

• Transferurile internaționale și reglementarea fluxurilor globale de date, etc.

Evenimentul, organizat de Comisia Europeană, în colaborare cu programul SIGMA, Fondul regional al Parteneriatului estic pentru reformele administrației publice al GIZ, Consiliul de Cooperare Regională și Școala Regională de Administrație Publică, a reunit reprezentanți ai Autorităților de Protecție a Datelor din 10 țări, cum ar fi: Albania, Armenia, Bosnia și Herzegovina, Georgia,  Kosovo, Moldova,  Muntenegru, Macedonia de Nord, Serbia și Ucraina.

La data de 10 august 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat două cursuri de instruire în domeniul protecției datelor cu caracter personal pentru angajații Direcției de Poliție a UTA Găgăuzia și Inspectoratului de poliție Comrat.

Scopul cursurilor de instruire a fost de a spori gradul de percepție a angajaților din cadrul subdiviziunilor Inspectoratului General al Poliției asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentelor au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații Direcției de Poliție a UTA Găgăuzia și Inspectoratului de poliție Comrat; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursurile de instruire, s-au dovedit a fi interactive și utile, participanții acordând multiple întrebări, reeșind din activitatea desfășurată de către aceștia, la care au primit răspunsuri documentate cu exemple practice, din partea formatorilor. Totodată, aspectele ce țin de examinarea solicitărilor de dezvăluire a datelor cu caracter personal, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentelor au fost instruiți circa 40 de reprezentanți ai Direcției de Poliție a UTA Găgăuzia și Inspectoratului de poliție Comrat.

Cursurile de instruire fac parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2024, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 26 ianuarie curent..