În perioada 12-17 februarie, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat în cadrul “Săptămânii de învățare și networking privind protecția datelor cu caracter personal în era digitală”, care a avut loc la Tallinn, Estonia.

Scopul evenimentului a fost de a prezenta experiența estoniană în procesul de implementare a GDPR-ului, oferind o imagine de ansamblu cuprinzătoare și practică a provocărilor apărute în procesul de aplicare a acestuia.

Totodată, având în vedere că Estonia este cunoscută ca un lider global în digitalizarea serviciilor publice și se situează pe locul 3 în topul celor mai sigure țări în Indexul global de securitate cibernetică, au fost prezentate informații despre modul în care este organizată prelucrarea datelor cu caracter personal în cadrul instituțiilor publice, precum și care sunt noile tendințe în procesul de asigurare a securității cibernetice.

Pe parcursul “Săptămânii de învățare și networking privind protecția datelor cu caracter personal în era digitală” au fost abordate subiecte de importanță, cum ar fi:

• Provocările Autorității de Protecție a Datelor din Estonia înainte și după GDPR;
• Prelucrarea datelor cu caracter personal în bazele de date publice: practicile de prelucrare și accesul la aceste date;
• Cazuistica GDPR: tendințe și constatări semnificative din practica judiciară și de supraveghere din Estonia;
• Confidențialitatea vs. reutilizarea datelor în contextul unei societăți modernizată digital: provocări și recomandări;
• Schimbul de date și protecția datelor cu caracter personal;
• Securitatea informațională, etc.

Evenimentul, organizat de către Fondul regional GIZ pentru reformele administrației publice din cadrul Parteneriatului Estic, în colaborare cu Ministerul Federal pentru Cooperare Economică și Dezvoltare din Germania, a reunit reprezentanți ai Autorităților de Protecție a Datelor din Moldova,  Armenia, Georgia și Ucraina.

La data de 26 februarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat două cursuri de instruire în domeniul protecției datelor cu caracter personal pentru angajații Direcției patrulare „Nord” a Inspectoratului Național de Securitate Publică și Direcției „Nord” a Inspectoratului Național de Investigații.

Scopul cursurilor de instruire a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentelor au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursurile de instruire s-au dovedit a fi interactive și utile, iar aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, înregistrarea și stocarea informațiilor prin intermediul camerelor de corp, precum și examinarea solicitărilor de dezvăluire a datelor cu caracter personal au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentelor au fost instruiți circa 105 reprezentanți ai Direcției patrulare „Nord” a Inspectoratului Național de Securitate Publică și Direcției „Nord” a Inspectoratului Național de Investigații.

Cursurile de instruire fac parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2024, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 26 ianuarie curent.

La data de 23 februarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru reprezentanții Ministerului Sănătății (MS) la solicitarea acestora.

Cursul de instruire a avut drept scop familiarizarea funcționarilor din cadrul MS cu aspectele ce țin de domeniul protecției datelor cu caracter personal în serviciul public, reglementarea procedurilor de prelucrare, precum și cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu legislația în vigoare.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;
• Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;
• Drepturile subiecților de date cu caracter personal;
• Prelucrarea categoriilor speciale de date cu caracter personal;
• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;
• Asigurarea securității și confidențialității datelor cu caracter personal prelucrate;
• Procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, precum și ducerea evidenței corecte a auditului acestor accesări;
• Aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO), precum și obligațiile și sarcinile acestuia;
• Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA), precum și etapele efectuării unei DPIA, etc.

Cursul de instruire, s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări, reeșind din activitatea desfășurată de aceștia, la care au primit răspunsuri documentate cu exemple practice, din partea formatorilor.

În cadrul evenimentului, moderat de către experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, au fost instruiți circa 40 de reprezentanți ai Ministerului Sănătății.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 5 milioane de HUF aplicată de către Autoritatea Ungară pentru Protecția Datelor (HU SA) unei companii aeriene pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 6 Legalitatea prelucrării, art. 12 Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor subiectului de date și art. 17 Dreptul la ștergerea datelor („dreptul de a fi uitat”) din GDPR.

Un subiect de date a depus o plângere la Autoritatea de supraveghere poloneză, în care a declarat că a solicitat operatorului de date să îi șteargă toate datele cu caracter personal în interfața online pusă la dispoziție de către acesta la data de 23 octombrie 2018.

S-a identificat că HU SA este Autoritatea de supraveghere principală (LSA) pentru operatorul de date, prin urmare cazul a fost transferat spre examinare ultimei. Pe baza declarației operatorului de date și a capturii de ecran realizate de acesta în partea relevantă a sistemului IT utilizat pentru administrarea cererilor de ștergere, operatorul de date a șters contul subiectului de date la 23 noiembrie 2018, dar nu l-a informat cu privire la aceasta înainte de 6 martie 2019.

În context, HU SA a constatat că operatorul de date a încălcat articolul 12 alineatul (3) din GDPR, deoarece nu a informat subiectul de date cu privire la măsurile luate în baza cererii lui în termenul stabilit. Totodată, acesta a încălcat principiul prelucrării transparente a datelor în conformitate cu articolul 5 alineatul (1) litera (a) din GDPR, deoarece subiectul de date nu a putut vedea ce date suplimentare, în ce scop, în baza cărui temei juridic și pentru cât timp au fost prelucrate de către operatorul de date în legătură cu aceasta, în urma ștergerii contului său și a datelor cu caracter personal aferente.

Pentru încălcarea descrisă mai sus, în temeiul articolului 83 alineatul (2) litera (i) din GDPR, HU SA a impus operatorului de date o amendă în valoare de 5 000 000 HUF, ceea ce reprezintă aproximativ 13 244 euro.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Conștientizând necesitatea informării, promovării și asigurării protecției drepturilor persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, precum și necesitatea unor eforturi comune în vederea implementării acestor valori, la data de 21 februarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), reprezentat de către directorul Victoria MUNTEAN și Inspectoratul General al Poliției de Frontieră (IGPF), în persoana șefului Ruslan GALUȘCA, au semnat Planul de instruiri în domeniul protecției datelor cu caracter personal, pentru personalul Poliției de Frontieră.

Scopul primordial stabilit prin Planul de instruiri menționat supra este de a spori gradul de percepție a angajaților IGPF asupra principiilor de protecție a datelor cu caracter personal și asupra asigurării implementării/aplicării corecte a prevederilor legale din domeniul protecției datelor, în activitatea cotidiană. Planul de instruiri a fost elaborat și aprobat de comun acord și prevede petrecerea instruirilor în cadrul tuturor structurilor în subordinea IGPF.      

La data de 19 februarie curent, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat la o sesiune de informare și familiarizare cu cele mai importante aspecte aferente noilor prevederi ale Legii 148/2023 privind accesul la informațiile de interes public, organizată de Ministerul Justiției în colaborarea cu Oficiul Consiliului Europei la Chișinău.

Scopul cursului de instrire a fost de a spori gradul de percepție a angajaților CNPDCP  asupra principalelor prevederi novatorii din lege, precum și aplicarea acestora în activitatea cotidiană.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Standardele internaționale privind accesul la informații;
• Modificările cheie introduse prin Legea nr. 148/2023;
• Definirea informațiilor de interes public;
• Transparența proactivă;
• Limitarea accesului la informațiile de interes public;
• Temeiuri legale pentru limitarea accesului;
• Criteriul proporționalității limitării (testul prejudiciului și testul interesului public)
• Accesul la datele cu caracter personal;
• Comunicarea informațiilor de interes public;
• Procedura judiciară și sancțiunile pecuniare, etc.

Totodată, reprezentanții CNPDCP, prin intermediul unui exercițiu practic au particiat la soluționarea unor cereri de comunicare a informațiilor de interes public, ceea ce s-a dovedit a fi foarte interactiv și util.

Noua Legea privind accesul la informații de interes public a intrat în vigoare începând cu data de 8 ianuarie 2024, fiind elaborată de Ministerul Justiției și consultată public cu peste 50 de autorități și organizații neguvernamentale.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 23 820 de euro aplicată de către Autoritatea Islandeză pentru Protecția Datelor (SA) companiei Íþrótta- og sýningahöllin hf pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 6 Legalitatea prelucrării și art. 13 Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la subiectul de date din GDPR.

Urmare a relatărilor din mass-media cu privire la camerele de supraveghere video care erau active în spațiile în care adolescenții dormeau și își schimbau hainele în timpul unui turneu sportiv, SA Islandeză a lansat o investigație privind supravegherea video efectuată în aceste spații. Instituția în cauză este o mare bază de sport și divertisment din Reykjavík. SA Islandeză a efectuat o inspecție pe teren pentru a investiga domeniul de aplicare a supravegherii video și dacă au fost furnizate suficiente indicații și informații subiecților de date atunci când au intrat în clădire. Inspecția pe teren a concluzionat că aproximativ 50 de camere de supraveghere erau active, în aproape toate încăperile și spațiile, cu excepția băilor și a vestiarelor. Totodată, în diverse locuri din local existau marcaje simple privind supravegherea video, însă acestea nu conțineau suficiente informații despre operatorul de date. În plus, în timpul investigației, SA Islandeză a descoperit că supravegherea video a fost activă și în timp ce se efectua vaccinarea în masă pentru Covid-19.

Pe baza constatărilor rezultate din investigații, SA Islandeză a constatat că operatorul nu a respectat mai multe obligații prevăzute de GDPR cum ar fi:

• Nerespectarea principiului conform căruia datele cu caracter personal sunt prelucrate într-un mod transparent în raport cu subiectul de date – articolul 5 alineatul (1) litera (a).
• Nerespectarea principiului conform căruia datele cu caracter personal sunt colectate în scopuri determinate, explicite și legitime – articolul 5 alineatul (1) litera (b).
• Nerespectarea obligației de a demonstra că prelucrarea datelor cu caracter personal prin intermediul supravegherii video, în timp ce spațiul a fost închiriat pentru evenimente, a fost legală în conformitate cu articolul 6.
• Nerespectarea obligației de a informa subiecții de date cu privire la sistemul de supraveghere video în conformitate cu articolul 13.

În acest context, SA islandeză a impus o amendă administrativă în valoare de 3 500 000 ISK, echivalentul a 23 820 euro și a dispus operatorului de date să înceteze orice acțiune de supraveghere video, cu excepția cazului în care ar putea demonstra că interesele sale legitime prevalează asupra dreptului la viață privată a subiecților de date, atât în general, cât și atunci când localul este închiriat pentru evenimente, precum și să furnizeze acestora  suficiente informații în conformitate cu art. 13.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 105 000 de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei NS CARDS FRANCE pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 12 Legalitatea prelucrării, art. 13 Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la subiectul de date, art. 32 Securitatea prelucrării din GDPR și art. 82 din Legea franceză privind protecția datelor.

NS CARDS FRANCE este o companie care editează site-ul neosurf.com și aplicația mobilă „Neosurf” care permite plata online după înregistrarea la acest serviciu. CNIL a efectuat două controale la această companie, constatând mai multe încălcări, cum ar fi :

• Nerespectarea obligației de a păstra datele pentru o perioadă limitată la scopul pentru care au fost colectate (articolul 5.1.e din GDPR);
• Nerespectarea obligației de a informa subiecții de date (articolele 12 și 13 din GDPR);
• Nerespectarea obligației de a asigura securitatea datelor cu caracter personal (articolul 32 din GDPR);
• Nerespectarea obligațiilor legate de utilizarea cookie-urilor și a tracker-ilor (articolul 82 din Legea franceză privind protecția datelor).

În rezultat, CNIL a aplicat două amenzi companiei NS CARDS FRANCE: o amendă pentru încălcările prevederilor legale stipulate în GDPR. Această amendă a fost impusă în cooperare cu 17 dintre omologii europeni ai CNIL, în cadrul Ghișeului Unic, deoarece site-ul web are vizitatori în mai multe state membre ale UE, precum și în Norvegia. La fel, a fost aplicată o amendă pentru o încălcare referitoare la utilizarea de module cookie și de tracking (încălcarea art. 82 din Legea franceză privind protecția datelor): în acest caz, CNIL este competentă să acționeze singură.

Pentru a stabili cuantumul amenzilor, CNIL a luat în considerare natura încălcărilor, neglijența de care a dat dovadă compania, categoriile de date cu caracter personal (inclusiv datele bancare), numărul de subiecți de date și situația financiară a companiei.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ comunică despre cea mai mare breșă de securitate cibernetică din istoria Franței: doi furnizori de servicii pentru companiile de asigurări medicale, Viamedis și Almerys  au fost ținta atacului, dezvăluind date cu caracter personal ale peste 33 milioane de persoane.

Autoritatea Franceză pentru Protecția Datelor (CNIL) a fost informată de către Viamedis și Almerys despre atacul informatic la care au fost victime la sfârșitul lunii ianuarie. Acești operatori, care gestionează plata către terți pentru asigurările complementare de sănătate, au văzut că datele necesare misiunilor lor au fost compromise în timpul acestei breșe de securitate. În total, această scurgere de date se referă la peste 33 de milioane de persoane. În cazul asiguraților și al familiilor acestora, datele vizate includ, starea civilă, data nașterii și numărul de securitate socială, denumirea asigurătorului de sănătate precum și acoperirea asigurării. Date precum informații bancare, date medicale, rambursări de sănătate, detalii poștale, numere de telefon sau chiar e-mailuri nu au fost afectate de încălcare.

Potrivit primului furnizor, Viamedis, hackerii au făcut phishing și au folosit datele de acces ale profesioniștilor din domeniul sănătății pentru a intra în sistem. Almerys a declarat că hackerii nu au pătruns în sistemul său central, dar au accesat un portal folosit de profesioniștii din domeniul sănătății. Cei doi furnizori au depus plângeri și o anchetă este în curs de desfășurare.

Sistemul de plată pe niveluri, un sistem de plată în care pacientul nu trebuie să achite în avans costul total al serviciilor medicale, ar putea fi indisponibil pentru anumiți profesioniști din domeniul sănătății, dar disponibil în continuare pentru pacienți.

CNIL a avertizat utilizatorii împotriva riscurilor de phishing, mai ales că este posibil ca datele divulgate să fie legate de alte informații obținute în urma unor scurgeri de date anterioare. Utilizatorii ar trebui să fie deosebit de atenți la cererile pe care le primesc, mai ales dacă se referă la rambursarea cheltuielilor aferente serviciilor medicale. Totodată, aceștia ar trebuie să verifice periodic activitățile și tranzacțiile din diferite conturi.

Persoanele ale căror date au fost compromise vor fi contactate pentru a fi informate în mod individual de către casa de asigurări de sănătate, conform prevederilor legale stipulate în GDPR.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 32 milioane de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei AMAZON FRANCE LOGISTIQUE pentru crearea unui sistem extrem de intruziv de monitorizare a activităților și performanțelor angajaților.

AMAZON FRANCE LOGISTIQUE gestionează marile depozite ale grupului Amazon din Franța, unde primește și depozitează articolele și apoi pregătește coletele pentru livrare către clienți. În cadrul activităților sale, fiecare angajat al depozitului primește un scanner pentru a documenta în timp real îndeplinirea anumitor sarcini care îi sunt atribuite (depozitarea sau scoaterea unui articol de pe rafturi, depozitarea sau ambalarea etc.). Fiecare scanare efectuată de angajați are ca rezultat înregistrarea de date, care sunt stocate și utilizate pentru a calcula indicatori care oferă informații privind calitatea, productivitatea și perioadele de inactivitate ale fiecărui angajat.

În urma unor articole de presă referitoare la practicile companiei în depozitele sale, CNIL a efectuat mai multe investigații. De asemenea, aceasta a primit mai multe plângeri din partea angajaților.

Urmare a investigațiilor, CNIL a constatat că:

• Sistemul de monitorizare a activităților și a performanțelor angajaților era excesiv, în special din următoarele motive: au fost instituiți indicatori care urmăresc timpul de inactivitate al scanerelor angajaților. CNIL a considerat că este ilegal să se instituie un sistem care măsoară întreruperile de lucru cu o asemenea precizie, ceea ce ar putea impune angajaților să justifice fiecare pauză sau întrerupere.

• Sistemul de măsurare a vitezei de scanare a articolelor era excesiv. Pe baza principiului conform căruia articolele scanate foarte rapid cresc riscul de eroare, un indicator măsura dacă un articol fusese scanat în mai puțin de 1,25 secunde după cel precedent.

• Păstrarea tuturor datelor colectate de sistem era excesivă, precum și a indicatorilor statistici rezultați, pentru toți angajații și lucrătorii temporari, pentru o perioadă de 31 de zile.

În consecință, CNIL a impus o amendă de 32 de milioane de euro companiei AMAZON FRANCE LOGISTIQUE. Pentru a stabili cuantumul sancțiunii, CNIL a luat în considerare în special faptul că prelucrarea datelor angajaților cu ajutorul scanerelor se deosebea de metodele tradiționale de monitorizare a activității prin amploarea la care au fost puse în aplicare, atât prin exhaustivitatea, cât și prin permanența lor și a condus la o monitorizare foarte atentă și detaliată a activității angajaților. Astfel de sisteme i-au ținut pe angajați sub o supraveghere atentă pentru toate sarcinile efectuate cu ajutorul scanerelor și, astfel, i-au supus la o presiune continuă. De asemenea, a ținut cont de numărul mare de persoane implicate (câteva mii) și a considerat că constrângerile impuse angajaților prin această monitorizare informatică au contribuit direct la câștigurile economice ale companiei și i-au oferit un avantaj competitiv față de alte companii de pe piața vânzărilor online.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.