La data de 13 septembrie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru auditorii interni din cadrul autorităților publice, la solicitarea Ministerului Finanțelor (MF). MF în comun cu autoritățile publice centrale desfășoară misiuni de audit intern orizontale, tematica de interes comun identificată pentru anul 2023 fiind „Evaluarea procesului de prelucrare a datelor cu caracter personal în cadrul autorităților publice”.

Scopul cursului de instruire a fost sporirea vizibilității și mediatizarea rolului auditului intern de a adăuga valoare și de a îmbunătăți activitatea entității, inclusiv a proceselor de management al riscului, control și guvernanță, prin prisma legislației privind protecția datelor cu caracter personal.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; aspecte ce țin de Responsabilul cu protecția datelor (DPO); aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc.

Cursul de instruire a fost unul interactiv, formatorii oferind suport metodologic și consultativ, participanților întru desfășurarea misiunii de audit orizontal. Totodată, au fost prezentate multiple exemple practice, în scop de a spori gradul de percepție a auditorilor interni asupra principiilor de protecție a datelor cu caracter personal.

În cadrul evenimentului au participat circa 50 de auditori interni din cadrul a 30 de autorități publice.

În atenția subiecților de date!
Recomandări privind publicarea datelor cu caracter pesonal
pe rețelele de socializare

Reieșind din creșterea semnificativă a numărului de rețele de socializare din ultimul deceniu, precum și din necesitatea stringentă de a proteja confidențialitatea datelor cu caracter personal ale persoanelor fizice, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) vine cu următoarele recomandări:

Odată cu apariția rețelelor de socializare, precum Twitter, Tumblr, Facebook, Telegram, Instagram, Linked In, Tik Tok, Snapchat etc., viața socială s-a schimbat radical, acestea devenind un instrument puternic pentru a socializa, a face noi prieteni și cunoștințe, a distribui imagini foto, video sau pentru a promova o informație. Persoanele împărtășesc cu ușurință știri, imagini, opinii personale și aproape orice se întâmplă în viața lor. Divulgarea datelor cu caracter personal creează un mediu favorabil pentru companiile de publicitate, persoanele care lansează apeluri caritabile (strângeri false de fonduri în scop umanitar), persoanele ce intenționează să se răzbune, infractorii cibernetici, iar acest lucru ar putea presupune colectarea datelor sensibile despre activitățile, interesele, caracteristicile personale, opiniile politice, obiceiurile și comportamentele online ale persoanelor.

Informațiile cu caracter personal pe care o persoană le publică online, alături de datele care descriu acțiunile sale și interacțiunile cu alte persoane, pot crea un profil cuprinzător, care ar putea să conțină activitățile și pasiunile persoanei respective.

În linii mari, serviciile de socializare în rețea (SSR) pot fi definite ca platforme de comunicare online care oferă persoanelor posibilitatea de a se alătura unei rețele sau de a crea comunități/grupuri de utilizatori care împărtășesc aceleași opinii și prezintă anumite caracteristici comune:

 – utilizatorii sunt invitați să furnizeze date cu caracter personal cu scopul de a crea așa numite „conturi/profile”, ce conțin o descriere personală;

– SSR oferă, de asemenea, instrumente ce permit utilizatorilor să publice propriile materiale (conținut generat de utilizator, cum ar fi o fotografie, muzică, videoclipuri sau link-uri către alte site-uri);

– „socializarea în rețea” este facilitată de utilizarea unor instrumente care oferă pentru fiecare utilizator o listă de contacte prin intermediul căreia utilizatorii pot interacționa între ei.

Prin prisma cadrului legislativ național ce reglementează domeniul protecției datelor cu caracter personal, furnizorii SSR sunt operatori de date. Aceștia pun la dispoziție metodele de prelucrare a datelor utilizatorilor și furnizează toate mijloacele/serviciile „de bază” ce țin de gestionarea utilizatorilor (de exemplu înregistrarea și ștergerea conturilor de utilizator). De asemenea, furnizorii de aplicații pot fi operatori de date, în situația în care creează aplicații care funcționează/rulează alături de SSR și dacă utilizatorii decid să utilizeze o astfel de aplicație.

În majoritatea cazurilor, utilizatorii sunt considerați a fi subiecții datelor. Legislația în domeniul protecției datelor nu impune obligațiile care revin unui operator de date unei persoane fizice – utilizator care prelucrează datele cu caracter personal „în cursul unei activități exclusiv personale sau domestice” – așa-numita „excepție a activităților domestice”.

Totuși, în anumite situații, există posibilitatea ca activitățile unui utilizator SSR să nu fie acoperite de excepția activităților domestice și să se considere că utilizatorul a preluat unele dintre obligațiile unui operator de date, în aceste cazuri, fiind necesară respectarea prevederilor legislației în domeniul protecției datelor cu caracter personal.

Astfel, utilizatorul SSR va fi considerat operator și excepția activităților domestice nu se va aplica în următoarele situații:

– Utilizatorul acționează în numele unei societăți sau asociații, fie oricare altă entitate; sau dacă utilizează SSR în special ca o platformă de promovare a obiectivelor comerciale, politice sau caritabile. În acest caz, acestuia îi revine calitatea și, respectiv, responsabilitatea unui operator de date care divulgă date cu caracter personal unui alt operator de date (SSR) și părților terțe (alți utilizatori SSR sau alți eventuali operatori de date care au acces la aceste date). În aceste situații, utilizatorul trebuie să aibă consimțământul persoanelor vizate sau să invoce un alt temei legitim prevăzut de Legea nr. 133/2011 privind protecția datelor cu caracter personal.

– În general, accesul la datele (date de profil, publicări, relatări…) cu care operează/acționează un utilizator este limitat la contactele selectate de acesta. În anumite situații, însă, lista de contacte terțe ale utilizatorilor se poate extinde, fără ca utilizatorul în cauză să cunoască unele contacte care au acces la contul său. Un număr ridicat de contacte poate fi un indiciu că excepția activităților domestice nu se aplică și că utilizatorul poate fi considerat operator de date. Astfel, dacă accesul la informațiile din profil se extinde dincolo de contactele selectate de utilizator, ca în cazul conferirii dreptului de acces la un profil tuturor membrilor SSR sau când datele sunt indexabile de motoarele de căutare, accesul nu se limitează la domeniul personal sau domestic. În mod similar, dacă un utilizator ia o decizie informată de a extinde accesul la profilul său prin acceptarea mai multor persoane în afara „prietenilor” selectați, acesta va trebui să își asume responsabilitățile unui operator de date.

– Totodată, trebuie să se rețină că și în cazul în care nu se aplică excepția activităților domestice, utilizatorul SSR poate beneficia de alte excepții, precum excepția pentru scopuri jurnalistice, artistice sau literare. În aceste cazuri, trebuie să se obțină un echilibru între libertatea de expresie și dreptul la viață privată.

Nu în ultimul rând se va preciza că și în cazul în care se aplică excepția activităților domestice, un utilizator poate fi considerat răspunzător conform dispozițiilor generale ale legislației naționale civile sau penale în cauză (de exemplu, calomniere, răspundere delictuală pentru încălcarea dreptului la personalitate, răspundere penală).

Respectiv, utilizatorii SSR trebuie să demonstreze precauție maximă ce date cu caracter personal publică, ce scriu în public, ce fotografii/înregistrări video sau audio plasează sau cui acordă încredere pe o rețea de socializare.

Totodată, CNPDCP atenționează că, colectarea și prelucrarea de date cu caracter personal pe rețelele de socializare, ca și orice prelucrare de date, trebuie să fie efectuată în strictă conformitate cu prevederile Legii privind protecția datelor cu caracter personal, iar datele cu caracter personal care fac obiectul prelucrării trebuie să fie: prelucrate în mod corect şi conform prevederilor legii; colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri;  adecvate, pertinente şi neexcesive în ceea ce priveşte scopul pentru care sînt colectate şi/sau prelucrate ulterior.

Astfel, CNPDCP îndeamnă subiecții de date să-și protejeze confidențialitatea vieții private înainte de a publica sau a distribui anumite informații pe rețelele de socializare sau pe  orice altă platformă online.

Este foarte important ca utilizatorii rețelelor de socializare să citească cu atenție și să înțelegă:

• Termenii de confidențialitate (de exemplu, conținutul care poate fi partajat cu o terță parte, posibilitatea de a șterge conținutul de pe site etc.);
• Caracteristicile site-ului (de exemplu, cine vă poate vedea mesajele, dacă vor fi doar destinatari specificați sau toți utilizatorii de pe platformă etc.);
• Ce informații biografice ar trebui furnizate (de exemplu, datele biografice, cum ar fi: numele complet, anul nașterii, vârsta sau adresa, ar trebui să fie utilizate doar la înregistrarea contului și nicidecum oferite altor utilizatori de pe rețelele de socializare),
• Informații despre cont (de exemplu, informațiile sensibile, cum ar fi: școala frecventată, afilierea politică, informații despre contul bancar, locul de trai/domiciliul etc., nu ar trebui furnizate niciodată);
• Cine sunt potențialii „Prieteni” (de exemplu, prin analiza profilului persoanelor respective, pentru a înțelege cine sunt, ce fac și ce fel de conținut distribuie);
• Necesitatea de a dezactiva funcțiile de partajare a locației gadgetului utilizat;
• Atenție maximă la postarea online a fotografiilor/înregistrărilor video sau audio (ar putea fi foarte dificil să fie șterse, cum ar fi în cazul metadatelor sau dacă cineva le-a copiat, le-a partajat sau le-a distribuit pe alte site-uri sau rețele de socializare) etc.

Chiar dacă, este destul de greu de a controla confidențialitatea vieții private în rețelele de socializare, acest lucru nu este imposibil. CNPDCP accentuează asupra responsabilității fiecărui cetățean în vederea asigurării protecției datelor cu caracter personal, or, securitatea și confidențialitatea acestor date trebuie să constituie o prioritate.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare 70.000 de euro aplicată de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) din România companiei UiPath SRL pentru încălcarea prevederilor art. 25 și art. 32 din Regulamentului General privind Protecția Datelor (GDPR).

Investigația a fost demarată ca urmare a transmiterii de către operator a unei notificări de încălcare a securității datelor cu caracter personal în temeiul GDPR-ului.

Astfel, UiPath SRL a notificat o încălcare a confidențialității datelor cu caracter personal, constând în publicarea datelor cu caracter personal a unui număr semnificativ de utilizatori ai Platformei Academy pe un website accesibil la o adresa URL.

În cadrul investigației, ANSPDCP a constatat că UiPath SRL nu a pus în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane,  incluzând capacitatea de a asigura confidențialitatea și rezistența continuă ale sistemelor și serviciilor de prelucrare, precum și un proces pentru testarea, evaluarea şi aprecierea periodică ale eficacității măsurilor tehnice şi organizatorice pentru a garanta securitatea prelucrării.

Acest fapt a condus la divulgarea și accesul neautorizat la datele cu caracter personal (numele și prenumele utilizatorului, identificatorul unic al fiecărui utilizator, adresa de e-mail, numele companiei la care utilizatorul este angajat, țara și detalii despre nivelul de cunoștințe obținut în cadrul cursurilor UiPath ACADEMY) a circa 600.000 de utilizatori ai Platformei Academy aparținând operatorului UiPath, pentru o perioadă de aproximativ 10 zile.

ANSPDCP a considerat că această încălcare a prelucrării datelor cu caracter personal este de natură să aducă persoanelor vizate prejudicii fizice, materiale sau morale, cum ar fi pierderea controlului asupra datelor lor cu caracter personal sau pierderea confidențialității datelor cu caracter personal.

În urma investigației efectuate, ANSPDCP a informat celelalte autorități de supraveghere implicate, în cadrul unei proceduri de consultare informală, bazată pe art. 60 din Regulamentul (UE) 2016/679, cu privire la concluziile rezultate din investigațiile efectuate în acest caz cu impact transfrontalier și măsurile propuse.

Având în vedere faptul că UiPath SRL a efectuat o prelucrare transfrontalieră, s-au aplicat dispozițiile art. 60 din Regulamentul (UE) 679/2016, precum și cele ale art. 16 alin. (3), (5), (6), (7) din Legea nr. 102/2005, republicată, care prevăd aplicarea sancțiunilor/măsurilor corective prin decizie a președintelui ANSPDCP, care are la bază procesul-verbal de constatare şi raportul de control.

În acest context, UiPath SRL a fost sancționat contravențional cu amendă în cuantum de 346.598 lei, echivalentul sumei de 70.000 de euro.

În același timp, în temeiul art. 58 alin. (2) lit. d) din GDPR, ANSPDCP a dispus față de operator măsura corectivă de a implementa un mecanism aplicat la intervale regulate de timp, privind testarea, evaluarea și aprecierea periodică  a eficacității măsurilor adoptate, ținând cont de riscul prezentat de prelucrare, în vederea asigurării unui nivel de securitate corespunzător și evitării pe viitor a unor incidente de securitate similare.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 05 septembrie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului de Poliție (IP) Sângerei al Inspectoratului General al Poliției.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților IP Sângerei asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, iar aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, evidența dusă de IP Sângerei, procedura de acordare a accesului la aceste date pesoanelor terțe, precum și aspectele legale privind transmiterea informațiilor ce conțin date cu caracter personal părților pe dosar, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 30 de reprezentanți ai Inspectoratului de Poliție Sângerei.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

La data de 29 august 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului Național de Securitate Publică Direcția Nord (INSP).

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților INSP Direcția Nord asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; aspecte legale privind prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Totodată, aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, evidența dusă de INSP Direcția Nord, procedura de acordare a accesului la aceste date pesoanelor terțe, precum și obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date și modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 60 de reprezentanți ai Inspectoratului Național de Securitate Publică Direcția Nord.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

Reieșind din multitudinea de cazuri mediatizate recent, precum și din specificul abordat în tot mai multe plângeri și sesizări aflate în examinare, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) vine cu următoarele recomandări și atenționări pentru subiecții de date:

CNPDCP îndeamnă subiecții de date să demonstreze precauție maximă la dezvăluirea, transmiterea, diseminarea datelor cu caracter personal ce îi vizează.

Amintim că actele de identitate (cum ar fi buletinele de identitate, pașapoartele), certificatele de stare civilă, carnetele de pensionar, cardurile bancare etc. consemnează o multitudine de date cu caracter personal, care necesită o protecție eficace din partea deținătorului/titularului acestora.

Astfel, oferirea/transmiterea de copii de pe aceste documente, precum și scrierea datelor cu caracter personal în diferite liste/acte de către subiectul de date, în alte scopuri decât cele expres prevăzute de lege, poate genera utilizarea ilegală a acestora, în scopuri contrare celor prevăzute inițial, în detrimentul subiectului de date. La fel,  subiectul de date cu caracter personal ar putea pierde controlul asupra datelor sale cu caracter personal.

În cazul în care vi se solicită prezentarea actelor de identitate și/sau oferirea copiilor de pe aceste acte, precum și prezentarea datelor personale precum: numele, prenumele, IDNP-ul, adresa de domiciliu, datele cardului bancar, venitul, cuantumul pensiei, etc. sub pretexte diferite de persoane terțe, urmează să vă încredințați de legalitatea colectării datelor personale și a utilizării ulterioare a acestor date.

Or, potrivit prevederilor Legii 133/2011 privind protecția datelor cu caracter personal, datele cu caracter personal care fac obiectul prelucrării trebuie să fie: prelucrate în mod corect şi conform prevederilor legii; colectate în scopuri determinate, explicite şi legitime, iar ulterior să nu fie prelucrate într-un mod incompatibil cu aceste scopuri;  adecvate, pertinente şi neexcesive în ceea ce priveşte scopul pentru care sînt colectate şi/sau prelucrate ulterior.

Totodată, CNPDCP reliefează că, în condițiile oferirii/transmiterii benevole a datelor cu caracter personal, consemnate pe diferite acte sau prin înscrierea acestora în careva liste/documente, la baza colectării acestor date personale se invocă/determină existența  consimțământului subiectului datelor cu caracter personal (art. 5 alin. (1) al Legii 133/2011), chiar dacă ulterioara utilizare a acestor date se adeverește a fi efectuată în alte scopuri/ în detrimentul subiectului de date vizat.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității fiecărui cetățean în vederea asigurării protecției datelor cu caracter personal, or, securitatea și confidențialitatea acestor date trebuie să constituie o prioritate.

În contextul informațiilor mediatizate recent, vizând accesul la datele cu caracter personal prelucrate prin intermediul aplicației „Yandex Go” (cum ar fi: datele dispozitivelor mobile ale utilizatorilor, numele, numărul de telefon, adresa de e-mail, date bancare și adresele călătoriilor cu taxiul), Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) vine cu următoarele precizări și recomandări pentru subiecții de date:

CNPDCP îndeamnă subiecții de date să fie prudenți și să se informeze, în prealabil instalării aplicației Yandex Go pe dispozitivele mobile, asupra condițiilor stipulate în Politica de confidențialitate Yandex, deoarece, odată instalată această aplicație, prelucrarea datelor cu caracter personal se efectuează pe baza consimțământului subiectului de date cu caracter personal.

Or, protrivit Politicii de confidențialitate Yandex, clienții sunt informați asupra următoarelor:

–   pct 2. Cine prelucrează informațiile: Pentru a vă asigura utilizarea Site-urilor și Serviciilor, datele personale sunt colectate și utilizate de către Societatea cu Răspundere Limitată „Yandex”, inclusiv compania Yandex, o persoană juridică creată în conformitate cu legile Federației Ruse și înregistrată pe adresa: 119021, Federația Rusă, Moscova, sau afiliatul său care furnizează Serviciul în alte jurisdicții.

–  pct 8. Unde se păstrează și se prelucrează informația dumneavoastră personală: Informația dumneavoastră personală se va păstra în Federația Rusă și/sau în Spațiul Economic European. …. utilizând Site-urile sau Serviciile, dumneavoastră dați Yandex consimțământul expres și neechivoc pentru acest transfer sau stocare și/sau prelucrarea informațiilor în alte jurisdicții specificate, inclusiv Rusia.

De altfel, în cazul utilizării unor sisteme/platforme străine, gestionate/create de operatori nerezidenți, serverele cărora se află în afara țării, survine implicit situația de transmitere transfrontalieră a datelor cu caracter personal, colectate/prelucrate prin intermediul acestor sisteme/platforme, fapt care determină aplicabilitatea obligatorie a prevederilor art. 32 al Legii 133/2011 privind protecția datelor cu caracter personal.

În aceste condiții, transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecție (cum ar fi spre ex. Federația Rusă), poate avea loc în condițiile statuate la art. 32 alin. (5) al Legii privind protecția datelor cu caracter personal care stipulează că transmiterea poate avea loc inclusiv:

b) cu consimțământul subiectului datelor cu caracter personal, cu informarea asupra posibilelor riscuri pe care astfel de transferuri le pot implica pentru subiectul de date ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protecție și a unor garanții adecvate;

i) dacă prelucrarea are loc în temeiul contractului standard pentru transmiterea transfrontalieră a datelor cu caracter personal, elaborat și aprobat de Centru, încheiat de către operatorul de date.

Totodată, este de menționat că, în cazul unor platforme de management a comenzilor de taxi deținute de titulari nerezidenți, dar care își desfășoară activitatea și/sau produc efecte juridice pe teritoriul Republicii Moldova, autoritățile de stat competente vor întâmpina impedimente și/sau nu vor putea exercita un control efectiv asupra acțiunilor eventual prejudiciabile a acestora.

Mai mult, în circumstanțele expuse supra, inclusiv subiectul de date cu caracter personal va pierde controlul asupra datelor sale cu caracter personal și va fi în dificultate de a-și exercita drepturile consacrate de Legea privind protecția datelor cu caracter personal.

În contextul informațiilor menționate supra, precum și ținând cont de faptul că datele cu caracter personal, transferate tranfrontalier în state care nu asigură un nivel adecvat de protecție, ar putea fi utilizate în detrimentul subiecților de date sau în alte scopuri decât cele declarate de operator, prin avizul înaintat Guvernului asupra proiectului de inițiativă legislativă nr. 252 din 13.07.2023, CNPDCP a propus inclusiv:

… în contextul asigurării protecției eficiente a datelor cu caracter personal prelucrate, ar fi oportună examinarea posibilității instituirii normei vizând utilizarea sistemelor (platformelor) electronice de management gestionate/păstrate/stocate pe teritoriul Republicii Moldova. Or, ținând cont de prevederile art. 4 și art. 5 alin. (5) lit. b) ale Legii nr. 133/2011, obligațiile/regulile de prelucrare a datelor cu caracter personal (cum ar fi spre exemplu: utilizarea sistemelor/platformelor electronice de management naționale, precum și păstrarea serverelor pe teritoriul Republicii Moldova, fără a fi admisă transmiterea transfrontalieră de date cu caracter personal) trebuie să fie prevăzute de lege.

La data de 03 august 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului de Poliție (IP) sectorul Botanica al Direcției de Poliție a municipiului Chișinău.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților IP sectorul Botanica asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate; aspecte ce țin de Responsabilul cu Protecția Datelor; aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări la care au primit răspunsuri/explicații de rigoare ce țin de domeniul protecției datelor cu caracter personal. Totodată, aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, evidența dusă de IP sectorul Botanica, procedura de acordare a accesului la aceste date pesoanelor terțe, precum și aspectele legale privind prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți circa 80 de reprezentanți ai Inspectoratului de Poliție sectorul Botanica.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

La data de 11 iulie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au organizat un curs de instruire pentru angajații Inspectoratului de Poliție Ialoveni al IGP.

            Scopul cursului a fost de a spori gradul de percepție a angajaților Inspectoratului de Poliție Ialoveni al IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; drepturile subiecților de date cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; principii și temeiuri legale pentru prelucrarea datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către reprezentanții Inspectoratului de Poliție Ialoveni al IGP; obligațiile Inspectoratului de Poliție Ialoveni al IGP în calitate de operator de date în raport cu subiectul de date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire, moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, s-a dovedit a fi unul foarte util și interactiv, formatorii din cadrul CNPDCP oferind participanților răspunsuri practice, la multiplele întrebări acordate de aceștia. Totodată, aspectele ce țin de procedura corectă de accesare și divulgare a informațiilor ce conțin date cu caracter personal, analiza efectuată de către Inspectoratul de Poliție Ialoveni al IGP, în ceea ce privește accesul la aceste date, precum și cerințele privind protecția datelor cu caracter personal în exercitarea atribuțiilor de serviciu, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți peste 40 de reprezentanți ai Inspectoratului de Poliție Ialoveni al IGP.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 5 000 000 euro aplicată de către Autoritatea Suedeză pentru Protecția Datelor (IMY) companiei  Spotify AB pentru încălcarea articolului 15 – Dreptul de acces la date, articolului 12.1, articolului 12.3, articolului 58 și articolului 83  – Condiții generale pentru impunerea amenzilor administrative, din GDPR.

IMY a auditat modul în care Spotify gestionează dreptul clienților de acces la  datele cu caracter personal. IMY a constatat că Spotify furnizează persoanelor fizice datele cu caracter personal pe care compania le prelucrează, la solicitare, dar că aceștia nu sunt informați suficient de clar despre modul în care aceste date sunt utilizate de companie. Totodată, IMY a constatat anumite deficiențe în activitatea companiei Spotify. Deficiențele care au fost descoperite sunt considerate în general a fi de un nivel scăzut de gravitate. Având în vedere acest lucru, numărul de utilizatori înregistrați și cifra de afaceri a Spotify, IMY a emis o amendă administrativă de aproximativ 5 milioane euro (58 milioane SEK), companiei Spotify pentru că nu a furnizat informații suficient de clare subiecților de date.

Totodată, IMY a constatat că Spotify nu a reușit să gestioneze solicitările de acces legate de plângerile examinate. Decizia în această parte include încălcarea articolelor 12.1, 12.3, 15.3 și 15.1 a-h și 15.2 din GDPR. În legătură cu aceste încălcări, IMY a emis o mustrare și un ordin de conformare referitor la cererea de acces a unui reclamant.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.