La data de 19 februarie curent, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat la o sesiune de informare și familiarizare cu cele mai importante aspecte aferente noilor prevederi ale Legii 148/2023 privind accesul la informațiile de interes public, organizată de Ministerul Justiției în colaborarea cu Oficiul Consiliului Europei la Chișinău.

Scopul cursului de instrire a fost de a spori gradul de percepție a angajaților CNPDCP  asupra principalelor prevederi novatorii din lege, precum și aplicarea acestora în activitatea cotidiană.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Standardele internaționale privind accesul la informații;
• Modificările cheie introduse prin Legea nr. 148/2023;
• Definirea informațiilor de interes public;
• Transparența proactivă;
• Limitarea accesului la informațiile de interes public;
• Temeiuri legale pentru limitarea accesului;
• Criteriul proporționalității limitării (testul prejudiciului și testul interesului public)
• Accesul la datele cu caracter personal;
• Comunicarea informațiilor de interes public;
• Procedura judiciară și sancțiunile pecuniare, etc.

Totodată, reprezentanții CNPDCP, prin intermediul unui exercițiu practic au particiat la soluționarea unor cereri de comunicare a informațiilor de interes public, ceea ce s-a dovedit a fi foarte interactiv și util.

Noua Legea privind accesul la informații de interes public a intrat în vigoare începând cu data de 8 ianuarie 2024, fiind elaborată de Ministerul Justiției și consultată public cu peste 50 de autorități și organizații neguvernamentale.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 23 820 de euro aplicată de către Autoritatea Islandeză pentru Protecția Datelor (SA) companiei Íþrótta- og sýningahöllin hf pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 6 Legalitatea prelucrării și art. 13 Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la subiectul de date din GDPR.

Urmare a relatărilor din mass-media cu privire la camerele de supraveghere video care erau active în spațiile în care adolescenții dormeau și își schimbau hainele în timpul unui turneu sportiv, SA Islandeză a lansat o investigație privind supravegherea video efectuată în aceste spații. Instituția în cauză este o mare bază de sport și divertisment din Reykjavík. SA Islandeză a efectuat o inspecție pe teren pentru a investiga domeniul de aplicare a supravegherii video și dacă au fost furnizate suficiente indicații și informații subiecților de date atunci când au intrat în clădire. Inspecția pe teren a concluzionat că aproximativ 50 de camere de supraveghere erau active, în aproape toate încăperile și spațiile, cu excepția băilor și a vestiarelor. Totodată, în diverse locuri din local existau marcaje simple privind supravegherea video, însă acestea nu conțineau suficiente informații despre operatorul de date. În plus, în timpul investigației, SA Islandeză a descoperit că supravegherea video a fost activă și în timp ce se efectua vaccinarea în masă pentru Covid-19.

Pe baza constatărilor rezultate din investigații, SA Islandeză a constatat că operatorul nu a respectat mai multe obligații prevăzute de GDPR cum ar fi:

• Nerespectarea principiului conform căruia datele cu caracter personal sunt prelucrate într-un mod transparent în raport cu subiectul de date – articolul 5 alineatul (1) litera (a).
• Nerespectarea principiului conform căruia datele cu caracter personal sunt colectate în scopuri determinate, explicite și legitime – articolul 5 alineatul (1) litera (b).
• Nerespectarea obligației de a demonstra că prelucrarea datelor cu caracter personal prin intermediul supravegherii video, în timp ce spațiul a fost închiriat pentru evenimente, a fost legală în conformitate cu articolul 6.
• Nerespectarea obligației de a informa subiecții de date cu privire la sistemul de supraveghere video în conformitate cu articolul 13.

În acest context, SA islandeză a impus o amendă administrativă în valoare de 3 500 000 ISK, echivalentul a 23 820 euro și a dispus operatorului de date să înceteze orice acțiune de supraveghere video, cu excepția cazului în care ar putea demonstra că interesele sale legitime prevalează asupra dreptului la viață privată a subiecților de date, atât în general, cât și atunci când localul este închiriat pentru evenimente, precum și să furnizeze acestora  suficiente informații în conformitate cu art. 13.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 105 000 de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei NS CARDS FRANCE pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 12 Legalitatea prelucrării, art. 13 Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la subiectul de date, art. 32 Securitatea prelucrării din GDPR și art. 82 din Legea franceză privind protecția datelor.

NS CARDS FRANCE este o companie care editează site-ul neosurf.com și aplicația mobilă „Neosurf” care permite plata online după înregistrarea la acest serviciu. CNIL a efectuat două controale la această companie, constatând mai multe încălcări, cum ar fi :

• Nerespectarea obligației de a păstra datele pentru o perioadă limitată la scopul pentru care au fost colectate (articolul 5.1.e din GDPR);
• Nerespectarea obligației de a informa subiecții de date (articolele 12 și 13 din GDPR);
• Nerespectarea obligației de a asigura securitatea datelor cu caracter personal (articolul 32 din GDPR);
• Nerespectarea obligațiilor legate de utilizarea cookie-urilor și a tracker-ilor (articolul 82 din Legea franceză privind protecția datelor).

În rezultat, CNIL a aplicat două amenzi companiei NS CARDS FRANCE: o amendă pentru încălcările prevederilor legale stipulate în GDPR. Această amendă a fost impusă în cooperare cu 17 dintre omologii europeni ai CNIL, în cadrul Ghișeului Unic, deoarece site-ul web are vizitatori în mai multe state membre ale UE, precum și în Norvegia. La fel, a fost aplicată o amendă pentru o încălcare referitoare la utilizarea de module cookie și de tracking (încălcarea art. 82 din Legea franceză privind protecția datelor): în acest caz, CNIL este competentă să acționeze singură.

Pentru a stabili cuantumul amenzilor, CNIL a luat în considerare natura încălcărilor, neglijența de care a dat dovadă compania, categoriile de date cu caracter personal (inclusiv datele bancare), numărul de subiecți de date și situația financiară a companiei.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ comunică despre cea mai mare breșă de securitate cibernetică din istoria Franței: doi furnizori de servicii pentru companiile de asigurări medicale, Viamedis și Almerys  au fost ținta atacului, dezvăluind date cu caracter personal ale peste 33 milioane de persoane.

Autoritatea Franceză pentru Protecția Datelor (CNIL) a fost informată de către Viamedis și Almerys despre atacul informatic la care au fost victime la sfârșitul lunii ianuarie. Acești operatori, care gestionează plata către terți pentru asigurările complementare de sănătate, au văzut că datele necesare misiunilor lor au fost compromise în timpul acestei breșe de securitate. În total, această scurgere de date se referă la peste 33 de milioane de persoane. În cazul asiguraților și al familiilor acestora, datele vizate includ, starea civilă, data nașterii și numărul de securitate socială, denumirea asigurătorului de sănătate precum și acoperirea asigurării. Date precum informații bancare, date medicale, rambursări de sănătate, detalii poștale, numere de telefon sau chiar e-mailuri nu au fost afectate de încălcare.

Potrivit primului furnizor, Viamedis, hackerii au făcut phishing și au folosit datele de acces ale profesioniștilor din domeniul sănătății pentru a intra în sistem. Almerys a declarat că hackerii nu au pătruns în sistemul său central, dar au accesat un portal folosit de profesioniștii din domeniul sănătății. Cei doi furnizori au depus plângeri și o anchetă este în curs de desfășurare.

Sistemul de plată pe niveluri, un sistem de plată în care pacientul nu trebuie să achite în avans costul total al serviciilor medicale, ar putea fi indisponibil pentru anumiți profesioniști din domeniul sănătății, dar disponibil în continuare pentru pacienți.

CNIL a avertizat utilizatorii împotriva riscurilor de phishing, mai ales că este posibil ca datele divulgate să fie legate de alte informații obținute în urma unor scurgeri de date anterioare. Utilizatorii ar trebui să fie deosebit de atenți la cererile pe care le primesc, mai ales dacă se referă la rambursarea cheltuielilor aferente serviciilor medicale. Totodată, aceștia ar trebuie să verifice periodic activitățile și tranzacțiile din diferite conturi.

Persoanele ale căror date au fost compromise vor fi contactate pentru a fi informate în mod individual de către casa de asigurări de sănătate, conform prevederilor legale stipulate în GDPR.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 32 milioane de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei AMAZON FRANCE LOGISTIQUE pentru crearea unui sistem extrem de intruziv de monitorizare a activităților și performanțelor angajaților.

AMAZON FRANCE LOGISTIQUE gestionează marile depozite ale grupului Amazon din Franța, unde primește și depozitează articolele și apoi pregătește coletele pentru livrare către clienți. În cadrul activităților sale, fiecare angajat al depozitului primește un scanner pentru a documenta în timp real îndeplinirea anumitor sarcini care îi sunt atribuite (depozitarea sau scoaterea unui articol de pe rafturi, depozitarea sau ambalarea etc.). Fiecare scanare efectuată de angajați are ca rezultat înregistrarea de date, care sunt stocate și utilizate pentru a calcula indicatori care oferă informații privind calitatea, productivitatea și perioadele de inactivitate ale fiecărui angajat.

În urma unor articole de presă referitoare la practicile companiei în depozitele sale, CNIL a efectuat mai multe investigații. De asemenea, aceasta a primit mai multe plângeri din partea angajaților.

Urmare a investigațiilor, CNIL a constatat că:

• Sistemul de monitorizare a activităților și a performanțelor angajaților era excesiv, în special din următoarele motive: au fost instituiți indicatori care urmăresc timpul de inactivitate al scanerelor angajaților. CNIL a considerat că este ilegal să se instituie un sistem care măsoară întreruperile de lucru cu o asemenea precizie, ceea ce ar putea impune angajaților să justifice fiecare pauză sau întrerupere.

• Sistemul de măsurare a vitezei de scanare a articolelor era excesiv. Pe baza principiului conform căruia articolele scanate foarte rapid cresc riscul de eroare, un indicator măsura dacă un articol fusese scanat în mai puțin de 1,25 secunde după cel precedent.

• Păstrarea tuturor datelor colectate de sistem era excesivă, precum și a indicatorilor statistici rezultați, pentru toți angajații și lucrătorii temporari, pentru o perioadă de 31 de zile.

În consecință, CNIL a impus o amendă de 32 de milioane de euro companiei AMAZON FRANCE LOGISTIQUE. Pentru a stabili cuantumul sancțiunii, CNIL a luat în considerare în special faptul că prelucrarea datelor angajaților cu ajutorul scanerelor se deosebea de metodele tradiționale de monitorizare a activității prin amploarea la care au fost puse în aplicare, atât prin exhaustivitatea, cât și prin permanența lor și a condus la o monitorizare foarte atentă și detaliată a activității angajaților. Astfel de sisteme i-au ținut pe angajați sub o supraveghere atentă pentru toate sarcinile efectuate cu ajutorul scanerelor și, astfel, i-au supus la o presiune continuă. De asemenea, a ținut cont de numărul mare de persoane implicate (câteva mii) și a considerat că constrângerile impuse angajaților prin această monitorizare informatică au contribuit direct la câștigurile economice ale companiei și i-au oferit un avantaj competitiv față de alte companii de pe piața vânzărilor online.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 174 640 de euro aplicată de către Autoritatea Belgiană pentru Protecția Datelor (SA) companiei BLACK TIGER BELGIUM pentru încălcarea art. 5 Principii legate de prelucrarea datelor cu caracter personal, art. 6 Legalitatea prelucrării, art. 12 Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor subiectului de date, art. 14  Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la subiectul de date, art. 15 Dreptul de acces al subiectului de date, art. 24 Responsabilitatea operatorului, art. 25 Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit și art. 30 Evidențele activităților de prelucrare, din GDPR.

SA belgiană a primit o plângere cu privire la activitățile de prelucrare desfășurate de BISNODE BELGIUM – care a fost ulterior preluată de grupul francez BLACK TIGER GROUP și redenumită BLACK TIGER BELGIUM (denumită în continuare „BTB”) -, susținând că compania a colectat indirect și a prelucrat în mod ilegal datele cu caracter personal ale reclamanților timp de peste 15 ani, fără a-i informa în prealabil în mod corespunzător.

În urma investigațiilor, SA belgiană a constatat că BTB nu se putea baza pe interesele sale legitime, deoarece datele cu caracter personal colectate indirect nu puteau fi considerate necesare pentru a urmări interesul de a menține la zi registrul de evidență a subiecților de date. Totodată,  interesele BTB au fost excluse de drepturile fundamentale ale subiecților de date, din cauza lipsei de informații furnizate în mod proactiv și individual acestora, a contextului prelucrării și a naturii datelor cu caracter personal, precum și a perioadei de păstrare timp de 15 ani. În plus, BTB nu a luat în considerare în mod corespunzător toate riscurile care decurg din prelucrare, stabilind că BTB nu a răspuns în mod adecvat la solicitările reclamanților în temeiul art.15. În cele din urmă, SA belgiană a constatat că registrul activităților de prelucrare este incomplet.

În acest context, SA belgiană a impus BTB trei amenzi administrative, în valoare totală de 174 640 de euro. Aceste amenzi se referă la prelucrarea ilegală a datelor cu caracter personal fără informarea subiecților de date într-un mod proactiv, individual și transparent, la faptul că nu a răspuns în mod corespunzător la cererile de acces la date și, în cele din urmă, la diverse încălcări legate de înregistrarea activităților de prelucrare.

În plus, SA belgiană a impus BTB mai multe măsuri corective, inclusiv o interdicție temporară de prelucrare a datelor cu caracter personal ale subiecților de date pentru care BTB deține datele de contact, până când compania nu îi va notifica în mod individual cu privire la prelucrarea datelor lor și nu le va oferi posibilitatea de a se opune prelucrării.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 08 februarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Comisiei Națiomale a Pieței Financiare (CNPF), la solicitarea acestora.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților CNPF asupra principiilor de protecție a datelor cu caracter personal, precum și familiarizarea acestora cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu prevederile legislației în vigoare.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;
• Drepturile subiecților de date cu caracter personal;
• Prelucrarea categoriilor speciale de date cu caracter personal;
• Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;
• Aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO);
• Obligațiile și sarcinile unui DPO;
• Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA);
• Etapele și obligația efectuării unei DPIA;
• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;
• Procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări, etc.

Cursul de instruire a fost unul interactiv, participanții acordând multiple întrebări formatorilor referior la examinarea solicitărilor de dezvăluire a datelor cu caracter personal, precum și asigurarea securității și confidențialității acestor date.

În cadrul evenimentului au participat circa 40 de reprezentanți din cadrul CNPF.

Reprezentanții Primăriei municipiului Chișinău instruiți în domeniul protecției datelor cu caracter personal

La data de 07 februarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru reprezentanții Primăriei municipiului Chișinău, la solicitarea acestora.

Cursul de instruire a avut drept scop familiarizarea funcționarilor din cadrul Primăriei municipiului Chișinău cu aspectele ce țin de domeniul protecției datelor cu caracter personal în serviciul public, reglementarea procedurilor de prelucrare, precum și cu regimul de confidențialitate și securitate a datelor cu caracter personal în conformitate cu legislația în vigoare.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

·        Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;

·        Drepturile subiecților de date cu caracter personal;

·        Prelucrarea categoriilor speciale de date cu caracter personal;

·        Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;

·        Asigurarea securității și confidențialității datelor cu caracter personal prelucrate;

·        Aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO), precum și obligațiile și sarcinile acestuia;

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA), precum și etapele efectuării unei DPIA, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, iar subiectele ce țin de dezvăluirea informațiilor ce conțin date cu caracter personal, asigurarea confidențialității și securității acestor date, precum și aspectele ce țin de calitățile profesionale pe care ar trebui să le posede un DPO, poziția DPO în cadrul entității pe care o reprezentă, obligațiile și sarcinile unui DPO, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului, moderat de către experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, au fost instruiți circa 75 de reprezentanți ai Primăriei municipiului Chișinău.

La data de 02 februarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a continuat organizarea cursurilor de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului Național de Securitate Publică (INSP).

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților INSP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;
• Drepturile subiecților de date cu caracter personal;
• Prelucrarea categoriilor speciale de date cu caracter personal;
• Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;
• Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către reprezentanții INSP;
• Procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat și evidența dusă de INSP a acestor acesări;
• Asigurarea securității și confidențialității datelor cu caracter personal prelucrate;
• Aspecte ce țin de desemnarea Responsabilului cu protecția datelor (DPO);
• Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor (DPIA),etc.

Cursul de instruire s-a dovedit a fi unul foarte util și interactiv, formatorii din cadrul CNPDCP oferind participanților răspunsuri practice la multiplele întrebări acordate de către aceștia. Totodată, aspectele ce țin de procedura corectă de accesare și divulgare a informațiilor ce conțin date cu caracter personal, analiza efectuată de INSP, în ceea ce privește accesul la aceste date, examinarea solicitărilor de dezvăluire a datelor cu caracter personal, precum și legalitatea publicării datelor cu caracter personal ale angajaților INSP de către activiști civici / subiecți de date, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 60 de reprezentanți ai Inspectoratului Național de Securitate Publică.

La data de 30 ianuarie 2024, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului Național de Securitate Publică (INSP).

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților INSP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date etc.

Totodată, aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, evidența dusă de INSP, procedura de acordare a accesului la aceste date pesoanelor terțe, precum examinarea solicitărilor de dezvăluire a datelor cu caracter personal au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 40 de reprezentanți ai Inspectoratului Național de Securitate Publică.