Reieșind din multitudinea de cazuri mediatizate recent, precum și din specificul abordat în tot mai multe plângeri și sesizări aflate în examinare, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) vine cu următoarele recomandări și atenționări pentru subiecții de date:

CNPDCP îndeamnă subiecții de date să demonstreze precauție maximă la dezvăluirea, transmiterea, diseminarea datelor cu caracter personal ce îi vizează.

Amintim că actele de identitate (cum ar fi buletinele de identitate, pașapoartele), certificatele de stare civilă, carnetele de pensionar, cardurile bancare etc. consemnează o multitudine de date cu caracter personal, care necesită o protecție eficace din partea deținătorului/titularului acestora.

Astfel, oferirea/transmiterea de copii de pe aceste documente, precum și scrierea datelor cu caracter personal în diferite liste/acte de către subiectul de date, în alte scopuri decât cele expres prevăzute de lege, poate genera utilizarea ilegală a acestora, în scopuri contrare celor prevăzute inițial, în detrimentul subiectului de date. La fel,  subiectul de date cu caracter personal ar putea pierde controlul asupra datelor sale cu caracter personal.

În cazul în care vi se solicită prezentarea actelor de identitate și/sau oferirea copiilor de pe aceste acte, precum și prezentarea datelor personale precum: numele, prenumele, IDNP-ul, adresa de domiciliu, datele cardului bancar, venitul, cuantumul pensiei, etc. sub pretexte diferite de persoane terțe, urmează să vă încredințați de legalitatea colectării datelor personale și a utilizării ulterioare a acestor date.

Or, potrivit prevederilor Legii 133/2011 privind protecția datelor cu caracter personal, datele cu caracter personal care fac obiectul prelucrării trebuie să fie: prelucrate în mod corect şi conform prevederilor legii; colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri;  adecvate, pertinente şi neexcesive în ceea ce priveşte scopul pentru care sînt colectate şi/sau prelucrate ulterior.

Totodată, CNPDCP reliefează că, în condițiile oferirii/transmiterii benevole a datelor cu caracter personal, consemnate pe diferite acte sau prin înscrierea acestora în careva liste/documente, la baza colectării acestor date personale se invocă/determină existența  consimțământului subiectului datelor cu caracter personal (art. 5 alin. (1) al Legii 133/2011), chiar dacă ulterioara utilizare a acestor date se adeverește a fi efectuată în alte scopuri/ în detrimentul subiectului de date vizat.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității fiecărui cetățean în vederea asigurării protecției datelor cu caracter personal, or, securitatea și confidențialitatea acestor date trebuie să constituie o prioritate.

În contextul informațiilor mediatizate recent, vizând accesul la datele cu caracter personal prelucrate prin intermediul aplicației „Yandex Go” (cum ar fi: datele dispozitivelor mobile ale utilizatorilor, numele, numărul de telefon, adresa de e-mail, date bancare și adresele călătoriilor cu taxiul), Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) vine cu următoarele precizări și recomandări pentru subiecții de date:

CNPDCP îndeamnă subiecții de date să fie prudenți și să se informeze, în prealabil instalării aplicației Yandex Go pe dispozitivele mobile, asupra condițiilor stipulate în Politica de confidențialitate Yandex, deoarece, odată instalată această aplicație, prelucrarea datelor cu caracter personal se efectuează pe baza consimțământului subiectului de date cu caracter personal.

Or, protrivit Politicii de confidențialitate Yandex, clienții sunt informați asupra următoarelor:

–   pct 2. Cine prelucrează informațiile: Pentru a vă asigura utilizarea Site-urilor și Serviciilor, datele personale sunt colectate și utilizate de către Societatea cu Răspundere Limitată „Yandex”, inclusiv compania Yandex, o persoană juridică creată în conformitate cu legile Federației Ruse și înregistrată pe adresa: 119021, Federația Rusă, Moscova, sau afiliatul său care furnizează Serviciul în alte jurisdicții.

–  pct 8. Unde se păstrează și se prelucrează informația dumneavoastră personală: Informația dumneavoastră personală se va păstra în Federația Rusă și/sau în Spațiul Economic European. …. utilizând Site-urile sau Serviciile, dumneavoastră dați Yandex consimțământul expres și neechivoc pentru acest transfer sau stocare și/sau prelucrarea informațiilor în alte jurisdicții specificate, inclusiv Rusia.

De altfel, în cazul utilizării unor sisteme/platforme străine, gestionate/create de operatori nerezidenți, serverele cărora se află în afara țării, survine implicit situația de transmitere transfrontalieră a datelor cu caracter personal, colectate/prelucrate prin intermediul acestor sisteme/platforme, fapt care determină aplicabilitatea obligatorie a prevederilor art. 32 al Legii 133/2011 privind protecția datelor cu caracter personal.

În aceste condiții, transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecție (cum ar fi spre ex. Federația Rusă), poate avea loc în condițiile statuate la art. 32 alin. (5) al Legii privind protecția datelor cu caracter personal care stipulează că transmiterea poate avea loc inclusiv:

b) cu consimțământul subiectului datelor cu caracter personal, cu informarea asupra posibilelor riscuri pe care astfel de transferuri le pot implica pentru subiectul de date ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protecție și a unor garanții adecvate;

i) dacă prelucrarea are loc în temeiul contractului standard pentru transmiterea transfrontalieră a datelor cu caracter personal, elaborat și aprobat de Centru, încheiat de către operatorul de date.

Totodată, este de menționat că, în cazul unor platforme de management a comenzilor de taxi deținute de titulari nerezidenți, dar care își desfășoară activitatea și/sau produc efecte juridice pe teritoriul Republicii Moldova, autoritățile de stat competente vor întâmpina impedimente și/sau nu vor putea exercita un control efectiv asupra acțiunilor eventual prejudiciabile a acestora.

Mai mult, în circumstanțele expuse supra, inclusiv subiectul de date cu caracter personal va pierde controlul asupra datelor sale cu caracter personal și va fi în dificultate de a-și exercita drepturile consacrate de Legea privind protecția datelor cu caracter personal.

În contextul informațiilor menționate supra, precum și ținând cont de faptul că datele cu caracter personal, transferate tranfrontalier în state care nu asigură un nivel adecvat de protecție, ar putea fi utilizate în detrimentul subiecților de date sau în alte scopuri decât cele declarate de operator, prin avizul înaintat Guvernului asupra proiectului de inițiativă legislativă nr. 252 din 13.07.2023, CNPDCP a propus inclusiv:

… în contextul asigurării protecției eficiente a datelor cu caracter personal prelucrate, ar fi oportună examinarea posibilității instituirii normei vizând utilizarea sistemelor (platformelor) electronice de management gestionate/păstrate/stocate pe teritoriul Republicii Moldova. Or, ținând cont de prevederile art. 4 și art. 5 alin. (5) lit. b) ale Legii nr. 133/2011, obligațiile/regulile de prelucrare a datelor cu caracter personal (cum ar fi spre exemplu: utilizarea sistemelor/platformelor electronice de management naționale, precum și păstrarea serverelor pe teritoriul Republicii Moldova, fără a fi admisă transmiterea transfrontalieră de date cu caracter personal) trebuie să fie prevăzute de lege.

La data de 03 august 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului de Poliție (IP) sectorul Botanica al Direcției de Poliție a municipiului Chișinău.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților IP sectorul Botanica asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; aspecte ce țin de Responsabilul cu Protecția Datelor; aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări la care au primit răspunsuri/explicații de rigoare ce țin de domeniul protecției datelor cu caracter personal. Totodată, aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, evidența dusă de IP sectorul Botanica, procedura de acordare a accesului la aceste date pesoanelor terțe, precum și aspectele legale privind prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 80 de reprezentanți ai Inspectoratului de Poliție sectorul Botanica.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

La data de 11 iulie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au organizat un curs de instruire pentru angajații Inspectoratului de Poliție Ialoveni al IGP.

            Scopul cursului a fost de a spori gradul de percepție a angajaților Inspectoratului de Poliție Ialoveni al IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către reprezentanții Inspectoratului de Poliție Ialoveni al IGP; obligațiile Inspectoratului de Poliție Ialoveni al IGP în calitate de operator de date în raport cu subiectul de date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire, moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, s-a dovedit a fi unul foarte util și interactiv, formatorii din cadrul CNPDCP oferind participanților răspunsuri practice, la multiplele întrebări acordate de aceștia. Totodată, aspectele ce țin de procedura corectă de accesare și divulgare a informațiilor ce conțin date cu caracter personal, analiza efectuată de către Inspectoratul de Poliție Ialoveni al IGP, în ceea ce privește accesul la aceste date, precum și cerințele privind protecția datelor cu caracter personal în exercitarea atribuțiilor de serviciu, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți peste 40 de reprezentanți ai Inspectoratului de Poliție Ialoveni al IGP.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 5 000 000 euro aplicată de către Autoritatea Suedeză pentru Protecția Datelor (IMY) companiei  Spotify AB pentru încălcarea articolului 15 – Dreptul de acces la date, articolului 12.1, articolului 12.3, articolului 58 și articolului 83  – Condiții generale pentru impunerea amenzilor administrative, din GDPR.

IMY a auditat modul în care Spotify gestionează dreptul clienților de acces la  datele cu caracter personal. IMY a constatat că Spotify furnizează persoanelor fizice datele cu caracter personal pe care compania le prelucrează, la solicitare, dar că aceștia nu sunt informați suficient de clar despre modul în care aceste date sunt utilizate de companie. Totodată, IMY a constatat anumite deficiențe în activitatea companiei Spotify. Deficiențele care au fost descoperite sunt considerate în general a fi de un nivel scăzut de gravitate. Având în vedere acest lucru, numărul de utilizatori înregistrați și cifra de afaceri a Spotify, IMY a emis o amendă administrativă de aproximativ 5 milioane euro (58 milioane SEK), companiei Spotify pentru că nu a furnizat informații suficient de clare subiecților de date.

Totodată, IMY a constatat că Spotify nu a reușit să gestioneze solicitările de acces legate de plângerile examinate. Decizia în această parte include încălcarea articolelor 12.1, 12.3, 15.3 și 15.1 a-h și 15.2 din GDPR. În legătură cu aceste încălcări, IMY a emis o mustrare și un ordin de conformare referitor la cererea de acces a unui reclamant.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Astăzi, 10 iulie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) în colaborare cu experții proiectului TAIEX, organizează conferința națională ”Evaluarea Impactului asupra Protecției Datelor și rolul Responsabilului cu protecția datelor”.

Scopul conferinței constă în preluarea celor mai bune practici legale și operaționale de către reprezentanții instituțiilor publice privind mecanismele de Evaluare a Impactului asupra Protecției Datelor (DPIA), operațiunile de prelucrare care necesită o DPIA, precum și rolul Responsabilului cu protecția datelor (DPO) în cadrul operatorilor de date cu caracter personal din sectorul public.

Evenimentul a fost deschis de către Directorul CNPDCP, D-na Victoria Muntean: “Aspirațiile actuale de digitizare a societății, precum și evoluțiile tehnologice rapide utilizate pe scară largă atât de statele UE cât și de restul țărilor, subliniază necesitatea stringentă de o protecție solidă a datelor cu caracter personal – un drept garantat atât de instrumentele Uniunii Europene, cât şi de instrumentele Consiliului Europei. Colectarea, stocarea și utilizarea datelor cu caracter personal la un nivel fără precedent, expun subiecții de date ale căror date sunt prelucrate la anumite riscuri. Aceste riscuri variază de la furtul de identitate sau divulgarea din greșeală a datelor cu caracter personal, până la folosirea acestora în scopuri necunoscute. O Evaluare a Impactului asupra Protecției Datelor, în acest caz, este mai mult decât necesară, aceasta descriind un proces conceput pentru a identifica riscurile care decurg din prelucrarea datelor cu caracter personal, pentru a minimiza aceste riscuri și a le depista cât mai devreme posibil”.

Conferința este moderată de experți în protecția datelor cu caracter personal din Italia și Malta. Printre temele abordate de experți sunt: evaluarea necesității și proporționalității operațiunilor de prelucrare care fac obiectul cerinței de efectuare a unei evaluări a impactului asupra protecției datelor; scenarii de evaluare a impactului asupra protecției datelor cu caracter personal; mecanisme practice de efectuare a consultărilor prealabile dacă evaluarea impactului asupra protecției datelor, indică faptul că prelucrarea ar genera un risc sporit, iar acesta nu poate fi atenuat prin mijloace rezonabile sub aspectul tehnologiilor disponibile și al costurilor implementării, de către angajații DPA-urilor; mijloacele acordate Responsabilului cu protecția datelor pentru a-și îndeplini misiunile; exemple de cele mai bune practici pentru a ajuta instituțiile de stat / organizațiile în numirea și sprijinirea Responsabilului cu protecția datelor, în scopul evitării unor eventuale conflicte de interese; etc.

În cadrul evenimentului participă circa 60 de reprezentanți ai sectorului public.

Atelierul de lucru este organizat şi finanțat de instrumentul de asistență tehnică și schimb de informații a Comisiei Europene (TAIEX).

La data de 10 iulie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), celebrează 15 ani de activitate. Sunt 15 ani în care instituția a parcurs diverse etape și a dobândit asiduu respectul și încrederea publicului larg.

În toată această perioadă, domeniul protecției datelor a înregistrat o evoluție considerabilă în asigurarea securității și confidențialității datelor cu caracter personal, a respectării dreptului la viața privată, dar și a nivelului ridicat de interpretare corectă și aplicare conformă a prevederilor legale din domeniul protecției datelor cu caracter personal de către actorii implicați în prelucrarea datelor cu caracter personal, inclusiv prin asigurarea echilibrului între prevederile legale aferente drepturilor de acces la informație, libertății de exprimare și protecției datelor cu caracter personal.

CNPDCP în calitate de autoritate publică autonomă, independentă și imparțială față de alte autorități publice, persoane fizice și juridice, informează că obiectivul său rămâne în continuare același –  apărarea drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la viața privată în legătură cu prelucrarea și transmiterea transfrontalieră a datelor cu caracter personal.

În vederea realizării obiectivului de bază, ca și pe parcursul celor 15 ani de activitate, CNPDCP continuă organizarea diverselor acțiuni în scopul informării, sensibilizarării și educării societății asupra importanței domeniului protecției datelor cu caracter personal, atât din perspectiva respectării/cunoașterii drepturilor subiecților de date, cât și asigurării exercitării obligațiilor aferente operatorilor de date cu caracter personal, asigură activitatea de control și supraveghere, emite decizii, instrucțiuni și recomandări, încheie procese-verbale cu privire la contravenție, constată încălcarea prevederilor legale în domeniul protecției datelor cu caracter personal, precum și organizează acțiuni de prevenire a încălcării legislației din domeniu.

Prin urmare, pe parcursul celor 15 ani de activitate, CNPDCP a continuat activitatea de monitorizare și verificare a conformității prelucrării datelor cu caracter personal de către operatorii din sectorul public și privat prin efectuarea de controale pe baza plângerilor subiecților de date cu caracter personal și a autosesizărilor autorității, urmare a sesizărilor recepționate spre examinare, inclusiv din partea autorităților/instituțiilor publice.

În același timp, în adresa CNPDCP parvin tot mai multe petiții de la subiecții de date cu caracter personal și, evoluția din ultimii ani, ne demonstrează acest fapt. Cele mai dese tematici reflectate în plângeri sunt:

• Prelucrarea datelor cu caracter personal în lipsa consimțământului subiectului de date și/sau a temeiului legal;
• Prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video/audio;
• Realizarea drepturilor subiecților de date cu caracter personal (acces, informare, intervenție, opoziție);
• Prelucrarea datelor cu caracter personal prin dezvăluire pe rețelele de socializare.

Totodată, domeniul protecției datelor cu caracter personal contunuă a fi promovat prin fortificarea colaborării internaționale – un aspect strategic, fiind  materializat prin participarea activă a reprezentanților CNPDCP la ședințele plenare din cadrul Comitetului European pentru Protecția Datelor (EDPB) și ale Consiliul Europei. Este de menționat că Republica Moldova deține statutul de membru observator din 2017 în cadrul EDPB, iar acceptarea Republicii Moldova în calitate membru cu statut de observator reprezintă o premieră și o realizare de importanță majoră în spațiul estic, fiind o etapă importantă în vederea recunoașterii Republicii Moldova ca stat terț ce asigură un nivel echivalent de protecție a datelor cu caracter personal cu cel din cadrul UE.

La fel, pe parcursul celor 15 ani de achivitate, au fost încheiate 16 acorduri de colaborare la nivel național (Institutul Național de Justiție, Uniunea Avocaților din RM, ULIM, Departamentul Instituțiilor Penitenciare, Inspectoratul General de Poliție al MAI, Academia de Administrare Publică, Asociația Națională a Companiilor din Domeniul Tehnologiei Informației și Comunicațiilor, etc.) și 10 la nivel internațional (Acorduri de Cooperare bilaterală cu Autoritățile de Protecție a Datelor din România, Ucraina, Italia, Ungaria, Georgia, Letonia, Malta și Republica Polonă), ceea ce ne permite să avem o colaborare mai rapidă și eficientă cu partenerii noștri.

CNPDCP, în calitate de autoritate de protecție a datelor cu caracter personal, își va continua misiunea de a asigura păstrarea unui echilibru just între dreptul la protecția datelor cu caracter personal și drepturile garantate de Constituția Republicii Moldova, precum și va depune toate eforturile pentru a atinge noi progrese în promovarea și fortificarea domeniului protecției datelor cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 150 000 euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei KG COM pentru nerespectarea obligațiilor care îi revin în temeiul GDPR-ului și al Legii franceze privind protecția datelor cu caracter personal.

KG COM administrează mai multe site-uri web pentru a oferi clienților săi servicii de ghicit prin intermediul unui chat online sau prin telefon. Ca urmare a publicării unui articol de presă în 2020 care dezvăluia existența unei încălcări a datelor cu caracter personal în care era implicată compania, CNIL a efectuat trei misiuni de anchetă.

Urmare a investigațiilor sale, CNIL a identificat mai multe încălcări, cum ar fi:

• Nerespectarea obligației de a minimiza datele cu caracter personal colectate și utilizate (articolul 5.1.c din GDPR);
• Lipsa unui temei juridic pentru utilizarea datelor bancare (articolul 6 din GDPR);
• Neobținerea consimțământului prealabil pentru colectarea unor categorii speciale de date (articolul 9 din GDPR);
• Neasigurarea securității datelor cu caracter personal (articolul 32 din GDPR);
• Nerespectarea obligației de a notifica CNIL cu privire la încălcarea securității datelor (articolul 33 din GDPR);
• Nerespectarea obligațiilor legate de utilizarea cookie-urilor (articolul 82 din Legea privind protecția datelor).

În acest context, CNIL a aplicat două amenzi companiei KG COM:

–  o amendă de 120 000 euro pentru nerespectarea prevederilor stipulate în Regulamentul general privind protecția datelor. Această amendă a fost luată în colaborare cu omologii europeni de la CNIL în contextul ghișeului unic, deoarece KG COM are clienți și potențiali clienți din mai multe state membre ale UE;

–  o amendă de 30 000 euro pentru neconformitate în legătură cu utilizarea cookie-urilor (articolul 82 din Legea franceză privind protecția datelor cu caracter personal).

La stabilirea cuantumului amenzii, CNIL a luat în considerare numărul deosebit de mare de încălcări ale prevederilor legale privind protecția datelor, caracterul sensibil al datelor cu caracter personal prelucrate (date privind sănătatea, informații referitoare la orientarea sexuală) și numărul de persoane vizate.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 40 milioane de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei CRITEO pentru încălcarea prevederilor legale stipulate în GDPR.

CRITEO este specializată în „retargeting comportamental”, care constă în urmărirea navigării utilizatorilor de Internet pentru a afișa reclame personalizate. În acest scop, compania colectează datele de navigare ale utilizatorilor de Internet datorită tracker-ului CRITEO (cookie) care este plasat pe terminalele acestora atunci când vizitează anumite site-uri web partenere CRITEO. Apoi, participă la licitații în timp real și afișează publicitate personalizată dacă a câștigat licitația.

În urma plângerilor depuse de organizațiile Privacy International și None of Your Business, CNIL a efectuat mai multe investigații asupra CRITEO.

În urma investigațiilor, CNIL a constatat cinci încălcări ale GDPR:

·        Nedemonstrarea că persoana și-a dat consimțământul (articolul 7.1 din GDPR)

·        Nerespectarea obligației de informare și transparență (articolele 12 și 13 din GDPR)

·        Nerespectarea dreptului de acces (articolul 15.1 din GDPR)

·        Nerespectarea dreptului de a retrage consimțământul și ștergerea datelor (articolele 7.3 și 17.1 din GDPR)

·        Nerespectarea unui acord între operatorii asociați (articolul 26 GDPR)

În acest context, CNIL a impus o amendă de 40 de milioane de euro companiei CRITEO, iar această decizie a fost transmisă tuturor celorlalte 26 de autorități europene de supraveghere, în conformitate cu prevederile ghișeului unic instituit prin GDPR, întrucât toate erau vizate de acest caz transfrontalier și toate au  aprobat-o.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 28 iunie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au organizat un curs de instruire pentru angajații Clinicii Universitare de Asistență Medicală Primară cu genericul: „Prevederi legale în domeniul protecției datelor cu caracter personal”.

            Scopul cursului a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

În cadrul evenimentului au fost abordate subiecte de importanță, cum ar fi:

• Definirea datelor cu caracter personal privind sănătatea;
• Prelucrarea categoriilor obișnuite de date cu caracter personal;
• Prelucrarea categoriilor speciale de date cu caracter personal;
• Temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea;
• Principii de prelucrare a datelor cu caracter personal;
• Drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal;
• Confidențialitatea și secretul profesional;
• Divulgarea datelor cu caracter personal privind starea de sănătate;
• Obligativitatea de asigurare a confidențialității și securității datelor cu caracter personal
• Reducerea la minimum a datelor și limitarea stocării, etc.

Cursul de instruire a fost moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență și s-a dovedit a fi unul interactiv și util. Participanții la curs au acordat multiple întrebări formatorilor referitor la modalitatea legală de prelucrare a datelor cu caracter personal în activitatea cotidiană desfășurată de către aceștia. Totodată, un interes sporit au prezentat cazurile concrete de prelucrare neconformă a datelor cu caracter personal privind la starea de sănătate examinate de CNPDCP, precum și corectitudinea dezvăluirii datelor cu caracter personal privind starea de sănătate persoanelor terțe.

În cadrul evenimentului au fost instruiți circa 40 de reprezentanți ai Clinicii Universitare de Asistență Medicală Primară.