Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 856 000 de euro aplicată de către Autoritatea Finlandeză pentru Protecția Datelor (SA) companiei Verkkokauppa.com pentru încălcarea articolului 5 Principii legate de prelucrarea datelor cu caracter personal și 25 Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit din GDPR.

SA Finlandeză a investigat activitățile retailer-ului online Verkkokauppa.com în urma unei plângeri depuse de un client. Operatorul îi ceruse acestuia să se înregistreze în calitate de client înainte de a face cumpărături online. Cumpărăturile în magazinul online nu erau posibile fără crearea unui cont de client. 

În urma investigațiilor s-a constatat că, operatorul nu a specificat perioada de stocare a datelor colectate pentru conturile de client din magazinul său online, iar acestea au fost stocate pe un termen nelimitat. Totodată, practica operatorului de a solicita crearea unui cont de client pentru a face achiziții online a încălcat legislația privind protecția datelor. Crearea unui cont de client sau stocarea datelor cu caracter personal care rezultă din această creare poate să nu fie o cerință obligatorie pentru a face achiziții individuale online.

În acest context, SA Finlandeză a impus o amendă administrativă în valoare de 856 000 de euro operatorului pentru că nu a definit perioada de stocare a datelor cu caracter personal privind conturile clienților. Operatorului i s-a impus să precizeze o perioadă de stocare adecvată pentru datele din conturile clienților și să își rectifice practica de înregistrare obligatorie. De asemenea, compania Verkkokauppa.com a primit o mustrare pentru practici care încalcă legislația privind protecția datelor.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă aplicată de către Autoritatea Elenă pentru Protecția Datelor (SA) companiei HELLENIC POST SERVICES SA pentru încălcarea articolului 5 Principii legate de prelucrarea datelor cu caracter personal și 32 Securitatea prelucrării din GDPR.

„HELLENIC POST SERVICES S.A.” (ELTA S.A.) a raportat două incidente de încălcare a securității datelor cu caracter personal către SA Elenă, în conformitate cu GDPR. Primul incident implică o încălcare a criptării datelor în scopul solicitării unei răscumpărări în sistemul companiei, ca urmare a unui atac malware din partea unor terți, în timp ce al doilea incident implică scurgerea de date cu caracter personal, care au fost publicate ulterior pe Dark Web.

În urma investigațiilor, SA Elenă a constatat că operatorul nu a respectat măsurile tehnice și organizatorice necesare și nu a asigurat punerea în aplicare a politicii de securitate a prelucrării datelor cu caracter personal. Acest eșec a dus la încălcări în cadrul sistemului operatorului, inclusiv scanarea vulnerabilităților, accesul neautorizat la resursele sistemului, executarea de procese rău intenționate, dezactivarea software-ului de securitate și criptarea fișierelor.

În acest context, SA Elenă a impus companiei  ELTA S.A o amendă administrativă în valoare de 1% din ultima cifră de afaceri anuală disponibilă pe baza unor criterii de evaluare în conformitate cu Liniile directorii EDPB 4/2022 privind calcularea amenzilor administrative, și anume: numărul mare de persoane afectate, valoarea prejudiciului, natura încălcării, nerespectarea politicii de securitate și categoriile de date afectate. Totodată, au fost luați în calcul și factorii atenuanți, cum ar fi: consolidarea măsurilor de securitate a sistemului după incident, faptul că investigarea incidentului a fost încredințată unei companii specializate, iar ELTA S.A a urmat instrucțiunile acesteia, recuperarea datelor și situația financiară nefavorabilă a companiei.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 13,9 milioane de euro aplicată de către Autoritatea Cehă pentru Protecția Datelor (SA) unei companii înregistrată în Republica Cehă pentru încălcarea articolului 6 Legalitatea prelucrării și 13 Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată din GDPR.

Cazul se referă la transferul de către operator a datelor cu caracter personal colectate de către acesta de la utilizatorii software-ului său antivirus către o companie afiliată. Procedura a fost inițiată pe baza rapoartelor din mass-media și a unui dosar anonim. 

În urma investigațiilor, SA Cehă a constatat că operatorul a transferat datele cu caracter personal ale utilizatorilor de software antivirus și de extensii de browser către compania afiliată fără a avea un temei legal pentru o astfel de prelucrare. Datele transferate se refereau la aproximativ 100 de milioane de utilizatori și cuprindeau în special istoricul de navigare pe internet pseudonimizat al utilizatorilor, legat de un identificator unic. În plus, SA Cehă a constatat că operatorul și-a informat în mod eronat utilizatorii (subiecții de date) cu privire la transferurile de date menționate, întrucât a susținut că datele transferate au fost anonimizate și utilizate exclusiv pentru analiza statistică a vânzărilor. Totodată,  Autoritatea Cehă pentru Protecția Datelor a concluzionat că istoricul de navigare pe internet, chiar dacă nu este complet, poate constitui date cu caracter personal, deoarece ar putea avea loc o reidentificare a cel puțin unora dintre subiecții de date. Încălcarea operatorului este cu atât mai gravă cu cât acesta este unul dintre cei mai importanți experți în domeniul securității cibernetice, care oferă publicului instrumente de protecție a datelor și a vieții private.

În acest context, operatorului de date i-a fost impusă o amendă administrativă în valoare de 13,9 milioane de euro (351 milioane coroane cehe). Decizia este definitivă și executorie.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 30 mai 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Agenției de Guvernare Electronică (AGE), la solicitarea acestora.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților AGE asupra principiilor de protecție a datelor cu caracter personal, precum și familiarizarea acestora cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu prevederile legislației în vigoare.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

• Drepturile subiecților de date cu caracter personal;

• Prelucrarea categoriilor speciale de date cu caracter personal;

• Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;

• Aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO);

• Obligațiile și sarcinile unui DPO;

• Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA);

• Etapele și obligația efectuării unei DPIA;

• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;

• Examinarea solicitărilor de dezvăluire a datelor cu caracter personal, etc.

Cursul de instruire a fost unul interactiv, participanții acordând multiple întrebări formatorilor, referior la modalitatea legală de prelucrare a datelor cu caracter personal în activitatea cotidiană desfășurată de către angajații AGE, precum și la aspectele ce țin de obligațiile operatorului/persoanei împuternicite de către operator în raport cu DPO, obligațiile și sarcinile acestuia.

În cadrul evenimentului, organizat atât cu prezența fizică, cât și în format on-line, au participat circa 40 de reprezentanți din cadrul AGE.

La data de 22 mai 2024, în rezultatul promovării cu succes a perioadei de probă stabilită pentru funcționarul public debutant, angajatul Centrului Naţional pentru Protecția Datelor cu Caracter Personal (CNPDCP), a depus jurământul de credinţă, care prevede respectarea Constituţiei Republicii Moldova, drepturilor şi libertăţilor fundamentale ale omului, apărarea suveranității, independenţei şi integrității teritoriale a Republicii Moldova, executarea în mod obiectiv şi imparţial a legilor ţării, îndeplinirea conştiincioasă a obligaţiilor în exercitarea funcţiei publice, precum şi respectarea normelor de conduită profesională.

Jurământul de credință a fost depus în prezența conducerii și colegilor din cadrul CNPDCP, în fața simbolurilor de stat, în conformitate cu prevederile art. 32 din Legea nr. 158-XVI din 04 iulie 2008 cu privire la funcția publică și statutul funcționarului public.

În cadrul evenimentului, Directorul adjunct al CNPDCP, doamna Angela COLOMIICENCO, l-a felicitat pe tânărul funcționar, dorindu-i mari succese, abnegație, verticalitate, noi performanțe în activitatea profesională și aprecieri la justa valoare!

La data de 21 mai 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Direcției de Poliție a municipiului Chișinău.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Direcției de Poliție a municipiului Chișinău asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire, s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări, reeșind din activitatea desfășurată de aceștia, la care au primit răspunsuri documentate cu exemple practice, din partea formatorilor. Totodată, aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, aspectele legale privind prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video, precum și care pot fi consecințele unei prelucrări neconforme/ilegale a datelor cu caracter personal, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 95 de reprezentanți ai Direcției de Poliție a municipiului Chișinău.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2024, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 26 ianuarie curent.

Centrul Național pentru Protecția Datelor cu Caracter Personal, cu titlu informativ și aplicativ, comunică despre o serie de sancțiuni aplicate de către Autoritatea Islandeză pentru Protecția Datelor (SA) pentru încălcarea articolului 5 (Principii legate de prelucrarea datelor cu caracter personal), articolului 6 (Legalitatea prelucrării), articolului 24 (Responsabilitatea operatorului), articolului 25 (Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit), articolului 28 (Persoana împuternicită de operator), articolului 35 (Evaluarea impactului asupra protecției datelor), articolului 44 (Principiul general al transferurilor) și articolului 46 (Transferuri în baza unor garanții adecvate) pentru utilizarea Google Workspace for Education.

SA Islandeză a decis să investigheze utilizarea serviciilor cloud în școlile primare. Ancheta s-a limitat la utilizarea Google Workspace for Education, sistemul educațional Google, în cele mai mari cinci municipalități din Islanda. În urma investigațiilor s-a constatat că, datele cu caracter personal ale elevilor nu au fost prelucrate doar la instrucțiunile municipalității, ci și în scopurile proprii ale Google. Municipalitatea nu a reușit să demonstreze modul în care prelucrarea ulterioară de către Google a fost compatibilă cu scopul pentru care au fost colectate inițial datele cu caracter personal ale elevilor, și anume, pentru a oferi educație în conformitate cu legea națională privind școala obligatorie.

În acest context, SA Islandeză a impus o serie de sancțiuni, cum ar fi:

• Amendă administrativă în valoare de 19.907 de euro (3.000.000 ISK) municipalității Kópavogur;

• Amendă administrativă în valoare de 16.590 de euro (2.500.000 ISK) municipalității Garðabær;

• Amendă administrativă în valoare de 18.580 de euro (2.800.000 ISK) municipalității Hafnarfjörður;

• Amendă administrativă în valoare de 16.590 de euro (2.500.000 ISK) municipalității Reykjanesbær;

• Amendă administrativă în valoare de 13.270 de euro (2.000.000 ISK) municipalității Reykjavík.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

În perioada 14-16 mai 2024, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au participat la cea de-a 32–a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor, care a avut loc în orașul Riga, Letonia.

Conferința de primăvară din acest an, găzduită de Inspectoratul de Stat pentru Protecția Datelor din Letonia, a reunit Autoritățile de Protecție a Datelor din întreaga Europă, în scopul de a stabili un cadru comun de cooperare pentru a proteja datele persoanelor fizice la nivel european. Totodată, conferința a servit drept o platformă europeană unică pentru schimb de experiență și bune practici în domeniul protecției datelor. 

Pe parcursul sesiunilor de lucru, au fost prezentate subiecte de actualitate, precum:

• Rolul Autorităților de Protecție a Datelor în era evoluției reglementărilor digitale;

• Gestionarea domeniul protecției datelor și al vieții private în era tehnologiilor și inovațiilor emergente;

• Protecția datelor privind sănătatea în era digitalizării;

• Modelarea protecției datelor prin experiența de cooperare a Autorităților de Protecție a Datelor;

• Gestionarea reglementărilor Combaterii Spălării Banilor (AML) și Regulamentului General privind Protecția Datelor (GDPR): provocări, cooperare și conformitate;

• Consolidarea conformității cu reglementările AML și GDPR prin strategii de colaborare.

Pentru a doua oară în cadrul unei Conferințe de primăvară a Autorităților Europene de Protecție a Datelor, a fost organizată ziua ușilor deschise. Această practică a oferit posibilitatea  mai multor instituții, ONG-uri sau altor organizații care și-au manifestat interesul pentru subiectele abordate în cadrul evenimentului, să participe, inclusiv în format on-line.

La eveniment au participat 145 de reprezentanți din 43 de țări, cum ar fi: Austria, Belgia, Bulgaria, Croația, Danemarca, Franța, Georgia, Germania, Grecia, Ungaria, Italia, Malta, Moldova, Portugalia, România, Spania, Elveția, Ucraina, etc. Totodată, au fost prezenți reprezentanții a patru organizații: FRA, EDPS, EDPB și Comisia Europeană.

La data de 16 mai 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Institutului de Standardizare din Moldova (ISM), la solicitarea acestora.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților ISM asupra principiilor de protecție a datelor cu caracter personal, precum și familiarizarea acestora cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu prevederile legislației în vigoare.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

• Drepturile subiecților de date cu caracter personal;

• Prelucrarea categoriilor speciale de date cu caracter personal;

• Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;

• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;

• Aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO);

• Obligațiile și sarcinile unui DPO;

• Asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire a fost unul interactiv, participanții acordând multiple întrebări formatorilor, referior la aspectele legale privind prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video, precum și la termenul de păstrare/stocare și utilizare a datelor cu caracter personal la încheierea operațiunilor de prelucrare.

În cadrul evenimentului au participat circa 20 de reprezentanți din cadrul ISM.

Reieșind din multitudinea de informații diseminate în spațiul public, în legătură cu prelucrarea datelor cu caracter personal în contextul efectuării Recensământului Populației și Locuințelor din Republica Moldova în anul 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) vine cu următoarele precizări:

Scopul Legii nr. 133/2011 privind protecția datelor cu caracter personal, este de a asigura protecţia drepturilor şi libertăţilor fundamentale ale persoanei fizice în ceea ce priveşte prelucrarea datelor cu caracter personal, în acest sens stabilind cerințe-cadru pentru a asigura conformitatea prelucrării datelor cu caracter personal în diverse sectoare, cum ar fi: medical, financiar-bancar, polițienesc, educațional,  telecomunicații etc. 

Respectiv, legea în cauză conține prevederi generale iar, prin acte normative sectoriale, pot fi prevăzute norme sprecifice în ceea ce privește scopul prelucrării datelor cu caracter personal, categoriile de date care fac obiectul prelucrării, persoanele vizate, condițiile în care are loc prelucrarea, măsurile de asigurare a confidențialității și securității datelor cu caracter personal, entitățile cărora le pot fi divulgate datele cu caracter personal etc.

Raționamentele expuse supra sunt valabile și în raport cu actele normative care reglementează organizarea și efectuarea Recensământului populației și a locuințelor din Republica Moldova în anul 2024. 

Urmează a menționa că, prin prisma competențelor atribuite, CNPDCP a participat activ în procesul de avizare a actelor normative care reglementează prelucrarea datelor cu caracter personal aferentă statisticii oficiale, înaintând comentarii și propuneri de rigoare pentru îmbunătățirea conținutului acestora, în vederea corespunderii cu cerințele statuate de legislația din domeniul protecției datelor cu caracter personal.

Având în vedere aspectele abordate în spațiul public vizând prelucrarea datelor cu caracter personal în procesul desfășurării Recensământului populației și a locuințelor în anul 2024, se va sublinia că, prelucrarea datelor cu caracter personal este considerată legală, atunci când este efectuată pe baza temeiurilor legale prevăzute la art. 5 din Legea privind protecția datelor cu caracter personal. În acest sens, alin. (5) al articolului prenotat, prevede situații când consimțământul subiectului de date nu este cerut la prelucrarea datelor cu caracter personal, spre exemplu, corespunzător speței, pentru:  îndeplinirea unei obligaţii care îi revine operatorului conform legii sau pentru executarea sarcinilor de interes public sau care rezultă din exercitarea prerogativelor de autoritate publică cu care este învestit operatorul sau terţul căruia îi sunt dezvăluite datele cu caracter personal.

Astfel, în scopul oferirii informațiilor de interes public despre populația rezidentă  și locuințe pentru elaborarea, monitorizarea și evaluarea politicilor, pentru argumentarea deciziilor de dezvoltare umană, pentru cercetarea științifică și dezvoltarea mediului de afaceri, legiuitorul a adoptat Legea nr. 231/2022 privind recensământul populației și locuințelor, ulterior fiind aprobat cadrul normativ secundar aferent, acte care implică/generează prelucrarea datelor cu caracter personal în scopul efectuării recensământului. 

Respectiv, prelucrarea datelor cu caracter personal în cadrul acestui exercițiu este efectuată având la bază actele normative care reglementează organizarea și efectuarea Recensământului populației și a locuințelor din Republica Moldova în anul 2024, or, Legea privind protecția datelor cu caracter personal nu vine cu reglementări/condiții specifice în acest sens. 

Astfel, prezintă relevanță dispozițiile art. 7 din Legea privind recensământul populației și locuințelor, care prevăd obligativitatea participării la recensământ. De exemplu: la alin. (1) al acestui articol este prevăzut că participarea la recensământ a persoanelor care îndeplinesc condițiile de la art. 3 alin. (1) pct. 1) lit. a)–c) este obligatorie. În continuare, alin. (5) statuează că în cazul în care unul sau mai mulți membri ai gospodăriei casnice lipsesc, recenzorul completează chestionarele de recensământ în baza informațiilor furnizate de ceilalți membri care au capacitate deplină de exercițiu, dacă aceștia cunosc răspunsurile la întrebările din chestionare. Informația necesară despre copiii minori este furnizată de către reprezentanții legali. Art. 23 din același act normativ prevede că încălcarea prevederilor legii atrage, după caz, răspunderea disciplinară, civilă, contravențională și/sau penală.

În aceiași ordine de idei se va menționa că, în calitatea sa de operator de date, Biroul Național de Statistică este abilitat prin lege de a colecta, prelucra și stoca date cu caracter personal, cu asigurarea confidențialității și securității adecvate a datelor individuale, inclusiv a protecției împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, distrugerii sau a deteriorării accidentale, prin măsurile tehnice, organizatorice și administrative implementate, conform Politicii de protecție a datelor cu caracter personal și altor acte normative conexe domeniului sesizat.

Suplimentar se va menționa că, în corespundere cu art. 14 alin. (4) din Legea privind recensământul populației și locuințelor, se interzice BNS de a transmite altor persoane fizice sau juridice datele cu caracter personal colectate în scopul efectuării recensământului.

În altă ordine de idei, urmează a reliefa faptul că, prin Legea nr. 175/2021, a fost exclusă atribuția CNPDCP de a autoriza prelucrările de date cu caracter personal, precum și obligația operatorilor de date de a notifica CNPDCP operațiunile de prelucrare a datelor cu caracter personal, concomitent fiind abrogat art. 28 din Legea nr. 133/2011, fapt ce a determinat lichidarea Registrului de evidență al operatorilor de date cu caracter personal. În aceste condiții, atragem atenția, că Biroul Național de Statistică, inclusiv recenzorii antrenați în colectarea datelor de recensământ în teritoriu nu trebuie să dețină și, respectiv, să prezinte respondenților careva autorizații eliberate de CNPDCP pentru a prelucra date cu caracter personal.

În contextul subiectului abordat supra, se va menționa că, până în prezent, CNPDCP nu a recepționat plângeri din partea subiecților de date în legătură cu eventuala prelucrarea neconformă a datelor lor cu caracter personal efectuate în cadrul Recensământului populației și a locuințelor din Republica Moldova în anul 2024, inclusiv în ceea ce vizează pretinse transmiteri către persoane neautorizate a datelor cu caracter personal.

În final, CNPDCP recomandă populației să se informeze din surse oficiale, iar atunci când apar anumite neclarități cu privire la regimul juridic al protecției datelor cu caracter personal sau al statisticii oficiale, să se adreseze către autoritățile competente.