Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 75 000 de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei Tagadamedia pentru încălcarea articolului 6 și 30 din GDPR.

Tagadamedia este o companie care colectează date de la potențiali clienți prin intermediul formularelor pe care le oferă pe site-urile sale pentru a participa la concursuri sau la testarea produselor. Aceste date sunt apoi trimise partenerilor companiei pentru prospectare comercială. Deși compania pretinde că colectează de la subiecții de date consimțământul pentru prelucrarea datelor, formularele utilizate nu permit colectarea consimțământului în conformitate cu cerințele GDPR.

În timpul investigațiilor, Tagadamedia a prezentat Autorității Franceze pentru Protecția Datelor două exemple de formulare pentru colectarea datelor de la potențialii clienți. Cu toate acestea, prezentarea acestor formulare nu a permis obținerea unui consimțământ liber, informat și neechivoc. De fapt, evidențierea butonului care permitea utilizatorilor să își dea consimțământul, în contrast cu cea a butonului care permitea utilizatorilor să nu își dea consimțământul, sau textul incomplet și dimensiunea redusă, încurajau puternic utilizatorii să accepte transmiterea datelor lor către parteneri.

În urma investigațiilor, CNIL a constatat două încălcări ale GDPR-ului:

• Nerespectarea obligației de a avea un temei legal pentru prelucrarea datelor (articolul 6 din GDPR).
• Nerespectarea obligației de a pune în aplicare o evidență a activităților de prelucrare (articolul 30 din GDPR).

În acest context, CNIL a impus o amendă de 75 000 de euro companiei Tagadamedia, care a fost făcută publică. Totodată, a dispus companiei să implementeze un formular de colectare a datelor care să respecte cerințele GDPR în termen de o lună, sub sancțiunea unei amenzi de 1 000 de euro pentru fiecare zi de întârziere. Cuantumul acestei amenzi, care reprezintă aproximativ 1,6% din cifra de afaceri a companiei, a fost decis în funcție de încălcările identificate, de cooperarea și de măsurile pe care aceasta le-a luat în timpul procedurii pentru a remedia unele dintre încălcările de care a fost acuzată.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

În perioada 12-17 februarie, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat în cadrul “Săptămânii de învățare și networking privind protecția datelor cu caracter personal în era digitală”, care a avut loc la Tallinn, Estonia.

Scopul evenimentului a fost de a prezenta experiența estoniană în procesul de implementare a GDPR-ului, oferind o imagine de ansamblu cuprinzătoare și practică a provocărilor apărute în procesul de aplicare a acestuia.

Totodată, având în vedere că Estonia este cunoscută ca un lider global în digitalizarea serviciilor publice și se situează pe locul 3 în topul celor mai sigure țări în Indexul global de securitate cibernetică, au fost prezentate informații despre modul în care este organizată prelucrarea datelor cu caracter personal în cadrul instituțiilor publice, precum și care sunt noile tendințe în procesul de asigurare a securității cibernetice.

Pe parcursul “Săptămânii de învățare și networking privind protecția datelor cu caracter personal în era digitală” au fost abordate subiecte de importanță, cum ar fi:

• Provocările Autorității de Protecție a Datelor din Estonia înainte și după GDPR;
• Prelucrarea datelor cu caracter personal în bazele de date publice: practicile de prelucrare și accesul la aceste date;
• Cazuistica GDPR: tendințe și constatări semnificative din practica judiciară și de supraveghere din Estonia;
• Confidențialitatea vs. reutilizarea datelor în contextul unei societăți modernizată digital: provocări și recomandări;
• Schimbul de date și protecția datelor cu caracter personal;
• Securitatea informațională, etc.

Evenimentul, organizat de către Fondul regional GIZ pentru reformele administrației publice din cadrul Parteneriatului Estic, în colaborare cu Ministerul Federal pentru Cooperare Economică și Dezvoltare din Germania, a reunit reprezentanți ai Autorităților de Protecție a Datelor din Moldova,  Armenia, Georgia și Ucraina.

La data de 26 februarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat două cursuri de instruire în domeniul protecției datelor cu caracter personal pentru angajații Direcției patrulare „Nord” a Inspectoratului Național de Securitate Publică și Direcției „Nord” a Inspectoratului Național de Investigații.

Scopul cursurilor de instruire a fost de a spori gradul de percepție a angajaților subdiviziunilor IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentelor au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursurile de instruire s-au dovedit a fi interactive și utile, iar aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, înregistrarea și stocarea informațiilor prin intermediul camerelor de corp, precum și examinarea solicitărilor de dezvăluire a datelor cu caracter personal au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentelor au fost instruiți circa 105 reprezentanți ai Direcției patrulare „Nord” a Inspectoratului Național de Securitate Publică și Direcției „Nord” a Inspectoratului Național de Investigații.

Cursurile de instruire fac parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2024, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 26 ianuarie curent.

La data de 23 februarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru reprezentanții Ministerului Sănătății (MS) la solicitarea acestora.

Cursul de instruire a avut drept scop familiarizarea funcționarilor din cadrul MS cu aspectele ce țin de domeniul protecției datelor cu caracter personal în serviciul public, reglementarea procedurilor de prelucrare, precum și cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu legislația în vigoare.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;
• Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;
• Drepturile subiecților de date cu caracter personal;
• Prelucrarea categoriilor speciale de date cu caracter personal;
• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;
• Asigurarea securității și confidențialității datelor cu caracter personal prelucrate;
• Procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, precum și ducerea evidenței corecte a auditului acestor accesări;
• Aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO), precum și obligațiile și sarcinile acestuia;
• Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA), precum și etapele efectuării unei DPIA, etc.

Cursul de instruire, s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări, reeșind din activitatea desfășurată de aceștia, la care au primit răspunsuri documentate cu exemple practice, din partea formatorilor.

În cadrul evenimentului, moderat de către experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, au fost instruiți circa 40 de reprezentanți ai Ministerului Sănătății.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 5 milioane de HUF aplicată de către Autoritatea Ungară pentru Protecția Datelor (HU SA) unei companii aeriene pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 6 Legalitatea prelucrării, art. 12 Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor subiectului de date și art. 17 Dreptul la ștergerea datelor („dreptul de a fi uitat”) din GDPR.

Un subiect de date a depus o plângere la Autoritatea de supraveghere poloneză, în care a declarat că a solicitat operatorului de date să îi șteargă toate datele cu caracter personal în interfața online pusă la dispoziție de către acesta la data de 23 octombrie 2018.

S-a identificat că HU SA este Autoritatea de supraveghere principală (LSA) pentru operatorul de date, prin urmare cazul a fost transferat spre examinare ultimei. Pe baza declarației operatorului de date și a capturii de ecran realizate de acesta în partea relevantă a sistemului IT utilizat pentru administrarea cererilor de ștergere, operatorul de date a șters contul subiectului de date la 23 noiembrie 2018, dar nu l-a informat cu privire la aceasta înainte de 6 martie 2019.

În context, HU SA a constatat că operatorul de date a încălcat articolul 12 alineatul (3) din GDPR, deoarece nu a informat subiectul de date cu privire la măsurile luate în baza cererii lui în termenul stabilit. Totodată, acesta a încălcat principiul prelucrării transparente a datelor în conformitate cu articolul 5 alineatul (1) litera (a) din GDPR, deoarece subiectul de date nu a putut vedea ce date suplimentare, în ce scop, în baza cărui temei juridic și pentru cât timp au fost prelucrate de către operatorul de date în legătură cu aceasta, în urma ștergerii contului său și a datelor cu caracter personal aferente.

Pentru încălcarea descrisă mai sus, în temeiul articolului 83 alineatul (2) litera (i) din GDPR, HU SA a impus operatorului de date o amendă în valoare de 5 000 000 HUF, ceea ce reprezintă aproximativ 13 244 euro.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Conștientizând necesitatea informării, promovării și asigurării protecției drepturilor persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, precum și necesitatea unor eforturi comune în vederea implementării acestor valori, la data de 21 februarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), reprezentat de către directorul Victoria MUNTEAN și Inspectoratul General al Poliției de Frontieră (IGPF), în persoana șefului Ruslan GALUȘCA, au semnat Planul de instruiri în domeniul protecției datelor cu caracter personal, pentru personalul Poliției de Frontieră.

Scopul primordial stabilit prin Planul de instruiri menționat supra este de a spori gradul de percepție a angajaților IGPF asupra principiilor de protecție a datelor cu caracter personal și asupra asigurării implementării/aplicării corecte a prevederilor legale din domeniul protecției datelor, în activitatea cotidiană. Planul de instruiri a fost elaborat și aprobat de comun acord și prevede petrecerea instruirilor în cadrul tuturor structurilor în subordinea IGPF.      

La data de 19 februarie curent, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat la o sesiune de informare și familiarizare cu cele mai importante aspecte aferente noilor prevederi ale Legii 148/2023 privind accesul la informațiile de interes public, organizată de Ministerul Justiției în colaborarea cu Oficiul Consiliului Europei la Chișinău.

Scopul cursului de instrire a fost de a spori gradul de percepție a angajaților CNPDCP  asupra principalelor prevederi novatorii din lege, precum și aplicarea acestora în activitatea cotidiană.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Standardele internaționale privind accesul la informații;
• Modificările cheie introduse prin Legea nr. 148/2023;
• Definirea informațiilor de interes public;
• Transparența proactivă;
• Limitarea accesului la informațiile de interes public;
• Temeiuri legale pentru limitarea accesului;
• Criteriul proporționalității limitării (testul prejudiciului și testul interesului public)
• Accesul la datele cu caracter personal;
• Comunicarea informațiilor de interes public;
• Procedura judiciară și sancțiunile pecuniare, etc.

Totodată, reprezentanții CNPDCP, prin intermediul unui exercițiu practic au particiat la soluționarea unor cereri de comunicare a informațiilor de interes public, ceea ce s-a dovedit a fi foarte interactiv și util.

Noua Legea privind accesul la informații de interes public a intrat în vigoare începând cu data de 8 ianuarie 2024, fiind elaborată de Ministerul Justiției și consultată public cu peste 50 de autorități și organizații neguvernamentale.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 23 820 de euro aplicată de către Autoritatea Islandeză pentru Protecția Datelor (SA) companiei Íþrótta- og sýningahöllin hf pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 6 Legalitatea prelucrării și art. 13 Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la subiectul de date din GDPR.

Urmare a relatărilor din mass-media cu privire la camerele de supraveghere video care erau active în spațiile în care adolescenții dormeau și își schimbau hainele în timpul unui turneu sportiv, SA Islandeză a lansat o investigație privind supravegherea video efectuată în aceste spații. Instituția în cauză este o mare bază de sport și divertisment din Reykjavík. SA Islandeză a efectuat o inspecție pe teren pentru a investiga domeniul de aplicare a supravegherii video și dacă au fost furnizate suficiente indicații și informații subiecților de date atunci când au intrat în clădire. Inspecția pe teren a concluzionat că aproximativ 50 de camere de supraveghere erau active, în aproape toate încăperile și spațiile, cu excepția băilor și a vestiarelor. Totodată, în diverse locuri din local existau marcaje simple privind supravegherea video, însă acestea nu conțineau suficiente informații despre operatorul de date. În plus, în timpul investigației, SA Islandeză a descoperit că supravegherea video a fost activă și în timp ce se efectua vaccinarea în masă pentru Covid-19.

Pe baza constatărilor rezultate din investigații, SA Islandeză a constatat că operatorul nu a respectat mai multe obligații prevăzute de GDPR cum ar fi:

• Nerespectarea principiului conform căruia datele cu caracter personal sunt prelucrate într-un mod transparent în raport cu subiectul de date – articolul 5 alineatul (1) litera (a).
• Nerespectarea principiului conform căruia datele cu caracter personal sunt colectate în scopuri determinate, explicite și legitime – articolul 5 alineatul (1) litera (b).
• Nerespectarea obligației de a demonstra că prelucrarea datelor cu caracter personal prin intermediul supravegherii video, în timp ce spațiul a fost închiriat pentru evenimente, a fost legală în conformitate cu articolul 6.
• Nerespectarea obligației de a informa subiecții de date cu privire la sistemul de supraveghere video în conformitate cu articolul 13.

În acest context, SA islandeză a impus o amendă administrativă în valoare de 3 500 000 ISK, echivalentul a 23 820 euro și a dispus operatorului de date să înceteze orice acțiune de supraveghere video, cu excepția cazului în care ar putea demonstra că interesele sale legitime prevalează asupra dreptului la viață privată a subiecților de date, atât în general, cât și atunci când localul este închiriat pentru evenimente, precum și să furnizeze acestora  suficiente informații în conformitate cu art. 13.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 105 000 de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei NS CARDS FRANCE pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 12 Legalitatea prelucrării, art. 13 Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la subiectul de date, art. 32 Securitatea prelucrării din GDPR și art. 82 din Legea franceză privind protecția datelor.

NS CARDS FRANCE este o companie care editează site-ul neosurf.com și aplicația mobilă „Neosurf” care permite plata online după înregistrarea la acest serviciu. CNIL a efectuat două controale la această companie, constatând mai multe încălcări, cum ar fi :

• Nerespectarea obligației de a păstra datele pentru o perioadă limitată la scopul pentru care au fost colectate (articolul 5.1.e din GDPR);
• Nerespectarea obligației de a informa subiecții de date (articolele 12 și 13 din GDPR);
• Nerespectarea obligației de a asigura securitatea datelor cu caracter personal (articolul 32 din GDPR);
• Nerespectarea obligațiilor legate de utilizarea cookie-urilor și a tracker-ilor (articolul 82 din Legea franceză privind protecția datelor).

În rezultat, CNIL a aplicat două amenzi companiei NS CARDS FRANCE: o amendă pentru încălcările prevederilor legale stipulate în GDPR. Această amendă a fost impusă în cooperare cu 17 dintre omologii europeni ai CNIL, în cadrul Ghișeului Unic, deoarece site-ul web are vizitatori în mai multe state membre ale UE, precum și în Norvegia. La fel, a fost aplicată o amendă pentru o încălcare referitoare la utilizarea de module cookie și de tracking (încălcarea art. 82 din Legea franceză privind protecția datelor): în acest caz, CNIL este competentă să acționeze singură.

Pentru a stabili cuantumul amenzilor, CNIL a luat în considerare natura încălcărilor, neglijența de care a dat dovadă compania, categoriile de date cu caracter personal (inclusiv datele bancare), numărul de subiecți de date și situația financiară a companiei.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ comunică despre cea mai mare breșă de securitate cibernetică din istoria Franței: doi furnizori de servicii pentru companiile de asigurări medicale, Viamedis și Almerys  au fost ținta atacului, dezvăluind date cu caracter personal ale peste 33 milioane de persoane.

Autoritatea Franceză pentru Protecția Datelor (CNIL) a fost informată de către Viamedis și Almerys despre atacul informatic la care au fost victime la sfârșitul lunii ianuarie. Acești operatori, care gestionează plata către terți pentru asigurările complementare de sănătate, au văzut că datele necesare misiunilor lor au fost compromise în timpul acestei breșe de securitate. În total, această scurgere de date se referă la peste 33 de milioane de persoane. În cazul asiguraților și al familiilor acestora, datele vizate includ, starea civilă, data nașterii și numărul de securitate socială, denumirea asigurătorului de sănătate precum și acoperirea asigurării. Date precum informații bancare, date medicale, rambursări de sănătate, detalii poștale, numere de telefon sau chiar e-mailuri nu au fost afectate de încălcare.

Potrivit primului furnizor, Viamedis, hackerii au făcut phishing și au folosit datele de acces ale profesioniștilor din domeniul sănătății pentru a intra în sistem. Almerys a declarat că hackerii nu au pătruns în sistemul său central, dar au accesat un portal folosit de profesioniștii din domeniul sănătății. Cei doi furnizori au depus plângeri și o anchetă este în curs de desfășurare.

Sistemul de plată pe niveluri, un sistem de plată în care pacientul nu trebuie să achite în avans costul total al serviciilor medicale, ar putea fi indisponibil pentru anumiți profesioniști din domeniul sănătății, dar disponibil în continuare pentru pacienți.

CNIL a avertizat utilizatorii împotriva riscurilor de phishing, mai ales că este posibil ca datele divulgate să fie legate de alte informații obținute în urma unor scurgeri de date anterioare. Utilizatorii ar trebui să fie deosebit de atenți la cererile pe care le primesc, mai ales dacă se referă la rambursarea cheltuielilor aferente serviciilor medicale. Totodată, aceștia ar trebuie să verifice periodic activitățile și tranzacțiile din diferite conturi.

Persoanele ale căror date au fost compromise vor fi contactate pentru a fi informate în mod individual de către casa de asigurări de sănătate, conform prevederilor legale stipulate în GDPR.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.