La data de 02 octombrie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au organizat un curs de instruire pentru angajații Inspectoratului General de Carabinieri (IGC), cu genericul: „Asigurarea protecției datelor cu caracter personal în activitatea Inspectoratului General de Carabinieri”, la solicitarea Ministerului Afacerilor Interne.

            Scopul cursului a fost de a spori gradul de percepție a angajaților IGC asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

            În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către IGC; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile IGC în calitate de operator de date în raport cu subiectul de date; aspecte vizând divulgarea informațiilor ce conțin date cu caracter personal, precum și analiza efectuată de către IGC, în ceea ce privește accesul la aceste date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; examinarea solicitărilor de dezvăluire a datelor cu caracter personal; verificarea conformității prelucrării datelor cu caracter personal și etapele investigației, etc.

            Cursul de instruire, s-a dovedit a fi unul interactiv, iar aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, precum și ducerea evidenței corecte a auditului acestor accesări, au prezentat un interes sporit pentru participanții la curs.

            În cadrul evenimentului, moderat de către experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, au fost instruiți circa 50 de reprezentanți ai IGC.

   La data de 29 septembrie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire cu genericul „Evaluarea, prin prisma sistemului de control intern managerial existent, funcționalitatea procesului de prelucrare a datelor cu caracter personal în cadrul judecătoriilor și curților de apel” pentru angajații Agenției de Administrare a Instanțelor Judecătorești, la solicitatea acestora. Evenimentul a avut loc la sediul Curții de Apel Comrat.

   Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Agenției de Administrare a Instanțelor Judecătorești asupra principiilor de protecție a datelor cu caracter personal, precum și de a indentifica un mecanism de evaluare a impactului asupra protecției datelor cu caracter personal în judecătorii și curțile de apel.

   În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; examinarea solicitărilor de dezvăluire a datelor cu caracter personal; verificarea conformității prelucrării datelor cu caracter personal; etc.

   Totodată, posibilitatea sustragerii informațiilor ce conțin date cu caracter personal din dosarul pe suport de hârtie, posibilitatea existenței vagi și/sau inexistenței măsurilor de asigurare a securității informațiilor aflate în dosar pe suport de hârtie, nerespectarea principiilor de integritate și securitate a datelor cu caracter personal, au prezentat un interes sporit pentru participanții la curs. În cadrul cursului de instruire un rol aprate a avut și subiectul referitor la aspectele ce țin de depersonalizarea hotărârilor judecătorești, determinându-se necesitatea unor activități de control intern asupra procesului de anonimizare/depersonalizare a hotărârilor judecătorești și determinarea măsurilor organizatorice de protecție a informațiilor ce conțin date cu caracter personal.

   În cadrul evenimentului au fost instruiți circa 40 de reprezentanți ai Agenției de Administrare a Instanțelor Judecătorești.

   La data de 28 septembrie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire cu genericul „Asigurarea protecției datelor cu caracter personal în activitatea Centrului Național Anticorupție” pentru angajații Centrului Național Anticorupție (CNA), la solicitatea acestora.

   Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților CNA asupra principiilor de protecție a datelor cu caracter personal, în vederea cunoașterii și asimilării celor mai bune practici din domeniu, precum și asupra asigurării aplicării corecte a prevederilor legale în activitatea pe care o desfășoară, ceea ce va contribui ulterior la sporirea performanței angajaților CNA în depistarea și contracararea fenomenului corupției.

   În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;
• Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații CNA;
• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;
• Procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat și evidența dusă de CNA a acestor acesări;
• Cadrul normativ care reglementează protecția informațiilor din cauzele penale ce conțin date cu caracter personal;
• Verificarea conformității prelucrării datelor cu caracter personal. Etapele investigației;
• Aspecte ce țin de Responsabilul cu protecția datelor (DPO);
• Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc.

   Totodată, în cadrul evenimentului s-a discutat despre importanța protecției datelor cu caracter personal în cadrul acțiunilor de urmărire penală efectuate de către ofițerii CNA, precum și despre legalitatea accesărilor în scopul indentificării potențialilor suspecți în raport cu legătura de cauzalitate, necesitatea și proporționalitatea acestor acțiuni.

   Cursul de instruire s-a dovedit a fi unul interactiv, formatorii din cadrul CNPDCP oferind participanților răspunsuri/explicații de rigoare, la multiplele întrebări acordate de aceștia.

   În cadrul evenimentului au fost instruiți circa 150 de reprezentanți ai CNA.

     La data de 27 septembrie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au organizat un curs de instruire pentru angajații Spitalului Clinic Municipal pentru Copii nr. 1  cu genericul: „Prevederi legale în domeniul protecției datelor cu caracter personal”.

    Scopul cursului a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

    În cadrul evenimentului au fost abordate subiecte de importanță, cum ar fi: definirea datelor cu caracter personal privind sănătatea; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; divulgarea datelor cu caracter personal privind starea de sănătate; reducerea la minimum a datelor și limitarea stocării, etc.

   Cursul de instruire, moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, s-a dovedit a fi unul foarte util și interactiv. Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea cotidiană desfășurată de către personalul medical, precum și aspectele ce țin de examinarea solicitărilor de dezvăluire a datelor cu caracter personal privind starea de sănătate, reprezentantului legal al pacientului, au prezentat un interes sporit pentru participanții la curs.

    În cadrul evenimentului au fost instruiți circa 70 de reprezentanți ai Spitalului Clinic Municipal pentru Copii nr. 1.

În atenția autorităților publice!
CNPDCP recomandă întreprinderea măsurile necesare pentru protecţia datelor cu caracter personal la accesarea registrelor/sistemelor informaționale de stat

       Urmare a defășurării procedurilor de control asupra conformităţii prelucrării datelor cu caracter personal cu cerinţele Legii nr. 133/2011 privind protecția datelor cu caracter personal, inițiate în baza plângerilor recepționate din parte subiecților de date, Centrul Național pentru Protecția Datelor cu Caracter personal a depistat următoarele neconformități: tendința de utilizare a credențialelor de acces (nume de utilizator și parola) a unui singur cont de utilizator autorizat de către mai mulți angajați ai entității beneficiare; deținerea/utilizarea numelui de utilizator și parolei de către persoane terțe; neactualizarea listei utilizatorilor autorizați după încetarea raporturilor de muncă, după schimbarea locului de muncă sau a funcției în entitate; neincluderea în listele de utilizatori a datelor personale ale utilizatorului autorizat (IDNP, numărul sau adresa de contact); neinformarea deținătorului sistemului informațional despre schimbarea administratorului responsabil de accesul la portalele informaționale menționate supra indicat în lista utilizatorilor; neactualizarea sistematică a parolelor de utilizator; lipsa evidenței manuale și/sau electronice a accesării/consultării datelor cu caracter personal stocate în sistemele informaționale de stat, etc.

         CNPDCP nu pune la îndoială și nu neagă dreptul autorității publice de a colecta/accesa/consulta sau verifica date cu caracter personal din diverse sisteme informaționale de stat, care sunt necesare pentru realizarea/executarea sarcinilor care rezultă din exercitarea prerogativelor de autoritate publică cu care este investită, însă, toate aceste potențiale operațiuni de prelucrare a datelor cu caracter personal urmează a fi efectuate cu respectarea tuturor condițiilor de prelucrare a datelor cu caracter personal statuate de Legea privind protecția datelor cu caracter personal, iar situațiile identificate generează riscuri iminente față de asigurarea confidențialității și securității datelor cu caracter personal prelucrate/stocate în registrele/sistemele informaționale de stat, care vizează practic toți cetățenii Republicii Moldova.

          În acest context, reieșind din prevederile art. 20 alin. (1) lit. a), c), o), q) al Legii nr. 133/2011 privind protecția datelor cu caracter personal, în vederea asigurării unui nivel adecvat de integritate, confidențialitate și securitate a datelor cu caracter personal și având ca scop de a preveni admiterea încălcărilor similare celor indicate, CNPDCP a venit cu recomandări față de autoritățile publice în vederea:

1. Revizuirii și actualizării cu regularitate a listei utilizatorilor autorizați anexate la contractele de prestări servicii încheiate în contextul acordării accesului la registrele/sistemele informaționale de stat, în special cele gestionate de ASP;
2. Instituirii unui mecanism de ținere de către utilizatorii autorizați a evidenței manuale și/sau electronice a accesării/consultării datelor cu caracter personal, precum și instruirii angajaților din subordine despre neadmiterea accesării/utilizării neautorizate a datelor cu caracter personal din sistemele de evidență.

În perioada 18 – 22 septembrie 2023 reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal au participat la „Evenimentul la nivel înalt privind protecția datelor” organizat de OECD-SIGMA și Fondul Regional pentru Parteneriatul Estic (GIZ) în strânsă colaborare cu Autoritatea Europeană pentru Protecția Datelor și diferite instituții ale UE (DGJUST, DGNEAR și Parlamentul European), la Bruxelles, Belgia.

Scopul evenimentului a fost de a permite crearea de rețele și de a face schimb de experiență între instituțiile de protecție a datelor cu caracter personal din regiunea Parteneriatului Estic și regiunea Balcanilor de Vest, precum și de a consolida relațiile cu instituțiile UE responsabile de domeniul protecției datelor.

Pe parcursul sesiunilor de lucru, au fost abordate subiecte de actualitate din domeniul protecției datelor, precum:

• Necesitatea protecției datelor cu caracter personal. Provocări și oportunități pentru regiunea Balcanii de Vest și Parteneriatului Estic;
• Activitatea Unității de politici și consultare, evoluțiile legislative recente ale UE / Ghidul digital;
• Activitatea Unității de supraveghere și aplicare, metodologia de investigare, Evaluarea Impactului asupra Protecției Datelor;
• Activitatea Unității de tehnologie și confidențialitate, inițiative cheie, cum ar fi Tech Sonar, site-ul de colectare a dovezilor, EU Voice / EU Video, nextCloud, etc;
• Sensibilizarea și informarea publicului larg privind provocările și problemele legate de protecția datelor, creșterea gradului de conștientizare și crearea de legături între transformarea digitală și protecția datelor;
• Provocările și necesitățile protecției datelor cu caracter personal în era digitală.

La evenimentul menționat supra au participat reprezentanți din 11 țări ale parteneriatului Estic și din regiunile Balcanii de Vest precum: Albania, Armenia, Azerbajan, Bosnia și Herțegovina, Georgia, Kosova, Muntenegru, Macedonia de Nord, Moldova, Serbia și Ucraina.

La data de 19 septembrie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului de Poliție Strășeni.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Inspectoratului de Poliție Strășeni asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;
• Drepturile subiecților de date cu caracter personal;
• Prelucrarea categoriilor speciale de date cu caracter personal;
• Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției;
• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;
• Obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date;
• Aspecte vizând divulgarea informațiilor ce conțin date cu caracter personal, precum și analiza efectuată de către operatorul de date, în ceea ce privește accesul la aceste date;
• Aspecte legale privind prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video;
• Procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, precum și ducerea evidenței corecte a auditului acestor accesări;
• Asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări la care au primit răspunsuri/explicații de rigoare ce țin de domeniul protecției datelor cu caracter personal.

În cadrul evenimentului au fost instruiți circa 30 de reprezentanți ai Inspectoratului de Poliție Strășeni.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

La data de 13 septembrie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru auditorii interni din cadrul autorităților publice, la solicitarea Ministerului Finanțelor (MF). MF în comun cu autoritățile publice centrale desfășoară misiuni de audit intern orizontale, tematica de interes comun identificată pentru anul 2023 fiind „Evaluarea procesului de prelucrare a datelor cu caracter personal în cadrul autorităților publice”.

Scopul cursului de instruire a fost sporirea vizibilității și mediatizarea rolului auditului intern de a adăuga valoare și de a îmbunătăți activitatea entității, inclusiv a proceselor de management al riscului, control și guvernanță, prin prisma legislației privind protecția datelor cu caracter personal.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; aspecte ce țin de Responsabilul cu protecția datelor (DPO); aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc.

Cursul de instruire a fost unul interactiv, formatorii oferind suport metodologic și consultativ, participanților întru desfășurarea misiunii de audit orizontal. Totodată, au fost prezentate multiple exemple practice, în scop de a spori gradul de percepție a auditorilor interni asupra principiilor de protecție a datelor cu caracter personal.

În cadrul evenimentului au participat circa 50 de auditori interni din cadrul a 30 de autorități publice.

În atenția subiecților de date!
Recomandări privind publicarea datelor cu caracter pesonal
pe rețelele de socializare

Reieșind din creșterea semnificativă a numărului de rețele de socializare din ultimul deceniu, precum și din necesitatea stringentă de a proteja confidențialitatea datelor cu caracter personal ale persoanelor fizice, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) vine cu următoarele recomandări:

Odată cu apariția rețelelor de socializare, precum Twitter, Tumblr, Facebook, Telegram, Instagram, Linked In, Tik Tok, Snapchat etc., viața socială s-a schimbat radical, acestea devenind un instrument puternic pentru a socializa, a face noi prieteni și cunoștințe, a distribui imagini foto, video sau pentru a promova o informație. Persoanele împărtășesc cu ușurință știri, imagini, opinii personale și aproape orice se întâmplă în viața lor. Divulgarea datelor cu caracter personal creează un mediu favorabil pentru companiile de publicitate, persoanele care lansează apeluri caritabile (strângeri false de fonduri în scop umanitar), persoanele ce intenționează să se răzbune, infractorii cibernetici, iar acest lucru ar putea presupune colectarea datelor sensibile despre activitățile, interesele, caracteristicile personale, opiniile politice, obiceiurile și comportamentele online ale persoanelor.

Informațiile cu caracter personal pe care o persoană le publică online, alături de datele care descriu acțiunile sale și interacțiunile cu alte persoane, pot crea un profil cuprinzător, care ar putea să conțină activitățile și pasiunile persoanei respective.

În linii mari, serviciile de socializare în rețea (SSR) pot fi definite ca platforme de comunicare online care oferă persoanelor posibilitatea de a se alătura unei rețele sau de a crea comunități/grupuri de utilizatori care împărtășesc aceleași opinii și prezintă anumite caracteristici comune:

 – utilizatorii sunt invitați să furnizeze date cu caracter personal cu scopul de a crea așa numite „conturi/profile”, ce conțin o descriere personală;

– SSR oferă, de asemenea, instrumente ce permit utilizatorilor să publice propriile materiale (conținut generat de utilizator, cum ar fi o fotografie, muzică, videoclipuri sau link-uri către alte site-uri);

– „socializarea în rețea” este facilitată de utilizarea unor instrumente care oferă pentru fiecare utilizator o listă de contacte prin intermediul căreia utilizatorii pot interacționa între ei.

Prin prisma cadrului legislativ național ce reglementează domeniul protecției datelor cu caracter personal, furnizorii SSR sunt operatori de date. Aceștia pun la dispoziție metodele de prelucrare a datelor utilizatorilor și furnizează toate mijloacele/serviciile „de bază” ce țin de gestionarea utilizatorilor (de exemplu înregistrarea și ștergerea conturilor de utilizator). De asemenea, furnizorii de aplicații pot fi operatori de date, în situația în care creează aplicații care funcționează/rulează alături de SSR și dacă utilizatorii decid să utilizeze o astfel de aplicație.

În majoritatea cazurilor, utilizatorii sunt considerați a fi subiecții datelor. Legislația în domeniul protecției datelor nu impune obligațiile care revin unui operator de date unei persoane fizice – utilizator care prelucrează datele cu caracter personal „în cursul unei activități exclusiv personale sau domestice” – așa-numita „excepție a activităților domestice”.

Totuși, în anumite situații, există posibilitatea ca activitățile unui utilizator SSR să nu fie acoperite de excepția activităților domestice și să se considere că utilizatorul a preluat unele dintre obligațiile unui operator de date, în aceste cazuri, fiind necesară respectarea prevederilor legislației în domeniul protecției datelor cu caracter personal.

Astfel, utilizatorul SSR va fi considerat operator și excepția activităților domestice nu se va aplica în următoarele situații:

– Utilizatorul acționează în numele unei societăți sau asociații, fie oricare altă entitate; sau dacă utilizează SSR în special ca o platformă de promovare a obiectivelor comerciale, politice sau caritabile. În acest caz, acestuia îi revine calitatea și, respectiv, responsabilitatea unui operator de date care divulgă date cu caracter personal unui alt operator de date (SSR) și părților terțe (alți utilizatori SSR sau alți eventuali operatori de date care au acces la aceste date). În aceste situații, utilizatorul trebuie să aibă consimțământul persoanelor vizate sau să invoce un alt temei legitim prevăzut de Legea nr. 133/2011 privind protecția datelor cu caracter personal.

– În general, accesul la datele (date de profil, publicări, relatări…) cu care operează/acționează un utilizator este limitat la contactele selectate de acesta. În anumite situații, însă, lista de contacte terțe ale utilizatorilor se poate extinde, fără ca utilizatorul în cauză să cunoască unele contacte care au acces la contul său. Un număr ridicat de contacte poate fi un indiciu că excepția activităților domestice nu se aplică și că utilizatorul poate fi considerat operator de date. Astfel, dacă accesul la informațiile din profil se extinde dincolo de contactele selectate de utilizator, ca în cazul conferirii dreptului de acces la un profil tuturor membrilor SSR sau când datele sunt indexabile de motoarele de căutare, accesul nu se limitează la domeniul personal sau domestic. În mod similar, dacă un utilizator ia o decizie informată de a extinde accesul la profilul său prin acceptarea mai multor persoane în afara „prietenilor” selectați, acesta va trebui să își asume responsabilitățile unui operator de date.

– Totodată, trebuie să se rețină că și în cazul în care nu se aplică excepția activităților domestice, utilizatorul SSR poate beneficia de alte excepții, precum excepția pentru scopuri jurnalistice, artistice sau literare. În aceste cazuri, trebuie să se obțină un echilibru între libertatea de expresie și dreptul la viață privată.

Nu în ultimul rând se va preciza că și în cazul în care se aplică excepția activităților domestice, un utilizator poate fi considerat răspunzător conform dispozițiilor generale ale legislației naționale civile sau penale în cauză (de exemplu, calomniere, răspundere delictuală pentru încălcarea dreptului la personalitate, răspundere penală).

Respectiv, utilizatorii SSR trebuie să demonstreze precauție maximă ce date cu caracter personal publică, ce scriu în public, ce fotografii/înregistrări video sau audio plasează sau cui acordă încredere pe o rețea de socializare.

Totodată, CNPDCP atenționează că, colectarea și prelucrarea de date cu caracter personal pe rețelele de socializare, ca și orice prelucrare de date, trebuie să fie efectuată în strictă conformitate cu prevederile Legii privind protecția datelor cu caracter personal, iar datele cu caracter personal care fac obiectul prelucrării trebuie să fie: prelucrate în mod corect şi conform prevederilor legii; colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri;  adecvate, pertinente şi neexcesive în ceea ce priveşte scopul pentru care sînt colectate şi/sau prelucrate ulterior.

Astfel, CNPDCP îndeamnă subiecții de date să-și protejeze confidențialitatea vieții private înainte de a publica sau a distribui anumite informații pe rețelele de socializare sau pe  orice altă platformă online.

Este foarte important ca utilizatorii rețelelor de socializare să citească cu atenție și să înțelegă:

• Termenii de confidențialitate (de exemplu, conținutul care poate fi partajat cu o terță parte, posibilitatea de a șterge conținutul de pe site etc.);
• Caracteristicile site-ului (de exemplu, cine vă poate vedea mesajele, dacă vor fi doar destinatari specificați sau toți utilizatorii de pe platformă etc.);
• Ce informații biografice ar trebui furnizate (de exemplu, datele biografice, cum ar fi: numele complet, anul nașterii, vârsta sau adresa, ar trebui să fie utilizate doar la înregistrarea contului și nicidecum oferite altor utilizatori de pe rețelele de socializare),
• Informații despre cont (de exemplu, informațiile sensibile, cum ar fi: școala frecventată, afilierea politică, informații despre contul bancar, locul de trai/domiciliul etc., nu ar trebui furnizate niciodată);
• Cine sunt potențialii „Prieteni” (de exemplu, prin analiza profilului persoanelor respective, pentru a înțelege cine sunt, ce fac și ce fel de conținut distribuie);
• Necesitatea de a dezactiva funcțiile de partajare a locației gadgetului utilizat;
• Atenție maximă la postarea online a fotografiilor/înregistrărilor video sau audio (ar putea fi foarte dificil să fie șterse, cum ar fi în cazul metadatelor sau dacă cineva le-a copiat, le-a partajat sau le-a distribuit pe alte site-uri sau rețele de socializare) etc.

Chiar dacă, este destul de greu de a controla confidențialitatea vieții private în rețelele de socializare, acest lucru nu este imposibil. CNPDCP accentuează asupra responsabilității fiecărui cetățean în vederea asigurării protecției datelor cu caracter personal, or, securitatea și confidențialitatea acestor date trebuie să constituie o prioritate.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare 70.000 de euro aplicată de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) din România companiei UiPath SRL pentru încălcarea prevederilor art. 25 și art. 32 din Regulamentului General privind Protecția Datelor (GDPR).

Investigația a fost demarată ca urmare a transmiterii de către operator a unei notificări de încălcare a securității datelor cu caracter personal în temeiul GDPR-ului.

Astfel, UiPath SRL a notificat o încălcare a confidențialității datelor cu caracter personal, constând în publicarea datelor cu caracter personal a unui număr semnificativ de utilizatori ai Platformei Academy pe un website accesibil la o adresa URL.

În cadrul investigației, ANSPDCP a constatat că UiPath SRL nu a pus în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane,  incluzând capacitatea de a asigura confidențialitatea și rezistența continuă ale sistemelor și serviciilor de prelucrare, precum și un proces pentru testarea, evaluarea şi aprecierea periodică ale eficacității măsurilor tehnice şi organizatorice pentru a garanta securitatea prelucrării.

Acest fapt a condus la divulgarea și accesul neautorizat la datele cu caracter personal (numele și prenumele utilizatorului, identificatorul unic al fiecărui utilizator, adresa de e-mail, numele companiei la care utilizatorul este angajat, țara și detalii despre nivelul de cunoștințe obținut în cadrul cursurilor UiPath ACADEMY) a circa 600.000 de utilizatori ai Platformei Academy aparținând operatorului UiPath, pentru o perioadă de aproximativ 10 zile.

ANSPDCP a considerat că această încălcare a prelucrării datelor cu caracter personal este de natură să aducă persoanelor vizate prejudicii fizice, materiale sau morale, cum ar fi pierderea controlului asupra datelor lor cu caracter personal sau pierderea confidențialității datelor cu caracter personal.

În urma investigației efectuate, ANSPDCP a informat celelalte autorități de supraveghere implicate, în cadrul unei proceduri de consultare informală, bazată pe art. 60 din Regulamentul (UE) 2016/679, cu privire la concluziile rezultate din investigațiile efectuate în acest caz cu impact transfrontalier și măsurile propuse.

Având în vedere faptul că UiPath SRL a efectuat o prelucrare transfrontalieră, s-au aplicat dispozițiile art. 60 din Regulamentul (UE) 679/2016, precum și cele ale art. 16 alin. (3), (5), (6), (7) din Legea nr. 102/2005, republicată, care prevăd aplicarea sancțiunilor/măsurilor corective prin decizie a președintelui ANSPDCP, care are la bază procesul-verbal de constatare şi raportul de control.

În acest context, UiPath SRL a fost sancționat contravențional cu amendă în cuantum de 346.598 lei, echivalentul sumei de 70.000 de euro.

În același timp, în temeiul art. 58 alin. (2) lit. d) din GDPR, ANSPDCP a dispus față de operator măsura corectivă de a implementa un mecanism aplicat la intervale regulate de timp, privind testarea, evaluarea și aprecierea periodică  a eficacității măsurilor adoptate, ținând cont de riscul prezentat de prelucrare, în vederea asigurării unui nivel de securitate corespunzător și evitării pe viitor a unor incidente de securitate similare.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.