Centrul Naţional pentru Protecţia Datelor cu Caracter Personal (CNPDCP), a fost sesizat cu privire la legalitatea activității paginii web cu denumirea www.numar.md, în care erau publicate anumite date cu caracter personal a mai multor persoane fizice, de către un reprezentant mass-media.

În urma analizării  paginii web www.numar.md, a fost reținut că, prin intermediul acesteia, orice persoană putea să lase un comentariu, vizibil tuturor, asupra deținătorului oricărui număr de telefon mobil din Republica Moldova. Comentariile de pe pagina web aveau diferit conținut, atât informații biografice cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., cât și informații cu caracter calomnios și defăimător. Dezvăluirea în spațiul online, spre vizualizare nerestricționată a acestor informații putea prejudicia grav drepturile şi libertățile constituționale ale cetățenilor.

În context s-a determinat că, problema indicată în sesizare era una complexă, fiind necesar a fi abordată și examinată în ansamblu de diverși actori naționali, instituții publice de reglementare și monitorizare atât a spațiului informațional, cât și virtual, în contextul în care prin intermediul unui site erau oferite informații/date cu caracter personal ale unui număr indefinit de subiecți de date, fapt care putea duce la încălcarea drepturilor şi libertăților fundamentale ale persoanei fizice în ceea ce priveşte prelucrarea datelor cu caracter personal, în special a dreptului la inviolabilitatea vieţii intime, familiale şi private.

Totodată, urmează a evidenția că nu s-a putut determina localizarea hosting-ului după adresa IP al acesteia din cauza utilizării, de către gestionarul site-ului, a serviciului de Cloudflare as a reverse-proxy, ceea ce presupune că este un server care se află în fața unuia sau mai multor servere web, interceptând solicitările de la clienți a serverului de origine și care asigură că niciun client nu comunică vreodată direct cu acel server de origine. La fel, gestionarul avea calitatea de ne-rezident al Republicii Moldova, existând o mare probabilitate ca mijloacele de prelucrare a datelor cu caracter personal să fi fost localizate în afara Republicii Moldova.

Drept urmare, prin prisma atribuțiilor sale, CNPDCP a sesizat Serviciul de Informații și Securitate, I.P. „Serviciul Tehnologia Informației și Securitate Cibernetică”, precum și Agenția Națională pentru Reglementare în Comunicații Electronice și Tehnologia Informației, în vederea întreprinderii măsurilor necesare aferente verificării legalității paginii web www.numar.md.

Subsidiar, în rezultatul obținerii informațiilor de la instituțiile nominalizate supra, în temeiul art. 27 alin. (4) al Legii privind protecția datelor cu caracter personal, CNPDCP s-a autosesizat în vederea verificării conformității prelucrării datelor cu caracter personal cu cerințele legii prenotate, prin intermediul paginii web www.numar.md.

În cadrul controlului efectuat de către CNPDCP, au fost efectuate un șir de acțiuni legate de solicitarea informațiilor necesare examinării cazului, examinarea materialelor recepționate, audierea registrantului al numelui de subdomeniu „numar.md”, etc. Drept urmare a acțiunilor întreprinse, la data de 20.01.2023, s-a constatat că pagina web www.numar.md nu mai era activă.

În rezultatul efectuării controlului, CNPDCP a determinat ca fiind neconform, mijlocul oferit pentru prelucrarea datelor cu caracter personal, prin publicarea pe pagina web www.numar.md a informațiilor ce conțin date cu caracter personal, cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., întrucât nu a fost stabilit existența unui scop determinat, explicit și legitim, nici existența unui temei legal de prelucrare a datelor cu caracter personal ce vizează deținătorii numerelor de telefonie mobilă din Republica Moldova, acțiuni săvârșite contrar prevederilor art. 4 alin. (1) lit. a), b), c) și art. 5 alin. (1) ale Legii 133/2011 privind protecția datelor cu caracter personal. 

În acest context, ținând cont de prevederile art. 27 alin. (3) și alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a dispus prin Decizie: constatarea in rem a încălcării prevederilor Legii nr. 133/2011, la prelucrarea datelor cu caracter personal prin intermediul paginii www.numar.md, constatarea indisponibilității în rețeaua de internet a paginii www.numar.md, precum și sesizarea IP „Serviciului Tehnologia Informației și Securitate Cibernetică” în vederea examinării posibilității intervenirii prin prisma competențelor, statuate la pct. 33 subpct. 7) al Regulamentului cu privire la gestionarea domeniului de nivel superior .md, aprobat prin Hotărârea ANRCETI nr. 42/2020.

Finalmente, se notează că scopul care a stat la baza autosesizării Autorității de control, manifestat prin dorința de a contracara prelucrarea neconformă a datelor cu caracter personal, a fost atins odată cu indisponibilitatea/devenirea inactivă a paginii web www.numar.md, care constituia un mijloc de dezvăluire abuzivă a informațiilor personalizate ale unui număr impunător de subiecții de date.

La data de 29 mai 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au organizat un curs de instruire pentru angajații Serviciului Fiscal de Stat (SFS) în domeniul protecției datelor cu caracter personal.

Scopul sesiunii de instruire a fost de a familiariza funcționarii fiscali cu aspecte ce țin de protecția datelor cu caracter personal în serviciul public, reglementarea procedeelor de prelucrare, regimul de confidențialitate și de securitate a datelor cu caracter personal în conformitate cu cadrul normativ.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Noțiunile generale privind protecția datelor cu caracter personal;

·        Principiile de protecție a datelor cu caracter personal;

·        Prelucrarea categoriilor speciale de date cu caracter personal;

·        Temeiuri legale de prelucrare a datelor cu caracter personal;

·        Asigurarea securității și confidențialității datelor cu caracter personal de către angajații SFS;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor;

·        Stocarea, păstrarea și divulgarea datelor cu caracter personal;

·        Transmiterea în format electronic a informațiilor ce conțin date cu caracter personal, etc.

Cursul de instruire, organizat în format online, a fost moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, la eveniment participând circa 300 de funcționari fiscali.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre decizia finală a Autorității de Protecția Datelor din Austria (SA) din data de 10 mai 2023, cu privire la încălcarea articolelor 5, 6, 9, 27 din GDPR de către compania Clearview AI.

Compania ar deține o bază de date care include peste 30 de miliarde de imagini faciale din întreaga lume, care sunt extrase din surse web publice (mass-media, rețele sociale, videoclipuri online) prin intermediul web scraping. Aceasta oferă un serviciu de căutare sofisticat care permite, prin intermediul sistemelor de inteligență artificială, crearea de profiluri pe baza datelor biometrice extrase din imagini. Profilurile pot fi îmbogățite cu informații legate de imaginile respective, cum ar fi tag-urile imaginii, geolocalizarea sau paginile web sursă.

Ca urmare a unei cereri de acces la datele cu caracter personal, un subiect de date a aflat că datele sale (imaginea) sunt, de asemenea, prelucrate de Clearview AI. În consecință, acesta a înaintat o plângere către SA din Austria.

În urma investigațiilor efectuate, SA din Austria a constatat că Clearview AI a încălcat următoarele prevederi din GDPR: 

·        Articolul 5 alineatul (1) litera (a): Prelucrarea datelor cu caracter personal ale reclamantului a fost lipsită de legalitate, echitate și transparență.

·        Articolul 5 alineatul (1) litera (b): Prelucrarea efectuată de Clearview AI servește unui scop complet diferit de cel al publicării inițiale a datelor cu caracter personal ale reclamantului (în special a fotografiilor).

·        Articolul 5 alineatul (1) litera (c): Stocarea permanentă a datelor cu caracter personal constituie, de asemenea, o încălcare a principiului minimizării datelor.

·        Articolul 9 alineatul (1): Scanarea feței reclamantului, extragerea trăsăturilor faciale care permit identificarea unică a acestuia și traducerea acestor trăsături în vectori constituie o prelucrare a unor categorii speciale de date cu caracter personal. O excepție de la interdicția de prelucrare în temeiul articolului 9 alineatul (2) nu se aplică în acest caz, motiv pentru care prelucrarea a fost efectuată cu încălcarea articolului 9 alineatul (1) din GDPR.

·      Articolul 6 alineatul (1): legalitatea prelucrării de către Clearview AI ar fi putut fi acoperită doar de articolul 6 alineatul (1) litera (f) din GDPR. După o amplă cântărire a intereselor, SA din Austria a ajuns la concluzia că, din cauza gravei intruziuni în viața privată a reclamantului, interesele acestuia au depășit în mod clar interesele pur comerciale ale Clearview AI.

Totodată, SA din Austria a dispus companiei Clearview AI să șteargă datele cu caracter personal ale reclamantului și să desemneze un reprezentant al companiei în Uniunea Europeană. 

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 26 mai 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au participat în calitate de formatori, la cursul de instruire cu genericul: „Prelucrarea datelor cu caracter personal în sectorul educațional”, organizat pentru Direcția Generală de Învățământ Cahul.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților din sectorul educațional asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Noțiunile generale privind protecția datelor cu caracter personal;

·        Principiile de protecție a datelor cu caracter personal;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor;

·        Asigurarea securității și confidențialității datelor cu caracter personal de către angajații instituțiilor de învățământ;

·        Rolul activ al profesorul în informarea elevilor despre consecințele divulgării datelor cu caracter personal;

·        Instalarea și administrarea sistemelor de supraveghere video în instituțiile de învățământ;

·        Stocarea, păstrarea și divulgarea datelor cu caracter personal;

·        Transmiterea în format electronic a informațiilor ce conțin date cu caracter personal, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări la care au primit răspunsuri/explicații de rigoare ce țin de domeniul protecției datelor cu caracter personal.

Evenimentul a avut loc online, fiind instruiți circa 85 de reprezentanți ai Direcției Generale de Învățământ Cahul.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 1,2 miliarde de euro, aplicată ca urmare a deciziei obligatorii de soluționare a litigiilor a Comitetului European pentru Protecția Datelor (EDPB), companiei Meta Platforms Ireland Limited (Meta IE), pentru încălcarea gravă a prevederilor legale, stipulate în Regulamentul (UE) 2016/679 (GDPR). Această amendă, care este cea mai mare amendă GDPR de până acum, a fost aplicată pentru transferurile de date cu caracter personal efectuate de Meta IE în SUA pe baza unor clauze contractuale standard, începând cu data de 16 iulie 2020.

În decizia sa obligatorie din 13 aprilie 2023, EDPB a dispus Autorității Irlandeze pentru Protecția Datelor (DPA) să își modifice proiectul de decizie, impunând o amendă companiei Meta IE (fostă Facebook Ireland Limited). Având în vedere gravitatea încălcării, EDPB a constatat că punctul de plecare pentru calcularea amenzii ar trebui să fie între 20% și 100% din maximul legal aplicabil. De asemenea, DPA Irlandeză are obligația să dispună companiei Meta IE să-și aducă operațiunile de prelucrare în conformitate cu capitolul V din GDPR, prin încetarea prelucrării ilegale, inclusiv a stocării, în SUA a datelor cu caracter personal ale utilizatorilor europeni transferate cu încălcarea prevederilor legale din GDPR, în termen de 6 luni de la notificarea deciziei sale finale.

Decizia finală a DPA Irlandeze încorporează evaluarea juridică exprimată de EDPB în decizia sa obligatorie, adoptată în baza art. 65 alineatul (1) litera (a) din GDPR, după ce DPA Irlandeză, în calitate de autoritate de supraveghere principală, a declanșat o procedură de soluționare a litigiilor cu privire la obiecțiile formulate de mai multe autorități de supraveghere vizate.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal, cu tutlu informativ, comunică despre numirea dnei Anu Talus în funcția de președinte al Comitetului European pentru Protecția Datelor (EDPB), în locul președintelui în funcție, Andrea Jelinek. Ea a fost aleasă cu 19 voturi din 27, în două tururi de scrutin, la data de 25 mai curent,  în cadrul celei de-a 80-a Ședințe Plenare.

Anu Talus este directorul Autorității Finlandeze pentru Protecția Datelor, funcție pe care o va cumula cu cea de președinte al EDPB.

În conformitate cu art. 73 din Regulamentul (UE) 2016/679, Consiliul alege un președinte și doi vicepreședinți dintre membrii săi prin majoritate absolută și prin vot secret. Mandatul acestora este pentru o perioadă de cinci ani și poate fi reînnoit o singură dată. Președintele EDPB supraveghează toate sarcinile Consiliului și asigură îndeplinirea acestora la timp.

Totodată, dna Irene Loizidou Nikolaidou (Comisar al Autorității pentru Protecția Datelor din Cipru), a fost aleasă în calitate de nou vicepreședinte al EDPB, în timp ce vicepreședintele Aleid Wolfsen rămâne în funcție, mandatul său încheindu-se la data de 15 mai 2024.

EDPB este un organism european independent, care contribuie la aplicarea consecventă a normelor de protecție a datelor în întreaga Uniune Europeană și promovează cooperarea între autoritățile de protecție a datelor din UE (DPA).  EDPB a fost înființat în temeiul art. 68 din Regulamentul (UE) 2016/679 și este sprijinit în activitatea sa de către Secretariatul EDPB. Scretariatul își îndeplinește sarcinile conform instrucțiunilor președintelui. Acesta oferă suport analitic, administrativ și logistic Consiliului; organizează toate ședințele Consiliului de administrație și gestionează platformele IT utilizate de DPA. În plus, Secretariatul are un rol major în furnizarea de analize juridice.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre adoptarea în versiune finală a Liniilor Directorii privind tehnologia de recunoaștere facială în domeniul aplicării legii, în cadrul celei de-a 79-a Ședințe Plenare a Comitetului European pentru Protecția Datelor.

Liniile directorii oferă îndrumări pentru legislatorii UE și naționali, precum și pentru autoritățile de aplicare a legii, cu privire la implementarea și utilizarea sistemelor tehnologiei de recunoaștere facială.

Totodată, acestea subliniază faptul că instrumentele de recunoaștere facială ar trebui să fie utilizate numai în strictă conformitate cu Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului și numai dacă sunt necesare și proporționale, astfel cum se prevede în Carta drepturilor fundamentale a Uniunii Europene.

Textul integral al Liniilor Directorii privind tehnologia de recunoaștere facială în domeniul aplicării legii poate fi vizualizat pe site-ul CNPDCP accesând următorul link:    https://datepersonale.md/en/the-documents-of-the-european-data-protection-board/

La data de 22 mai 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului de Poliție sectorul Râșcani al Direcției de Poliție a municipiului Chișinău.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților IP sectorul Râșcani asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor aferente domeniului protecției datelor cu caracter personal;
• Drepturile subiecților de date cu caracter personal;
• Prelucrarea categoriilor speciale de date cu caracter personal;
• Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției;
• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;
• Obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date;
• Aspecte vizând divulgarea informațiilor ce conțin date cu caracter personal, precum și analiza efectuată de către operatorul de date, în ceea ce privește accesul la aceste date;
• Aspecte legale privind prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video;
• Procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, precum și ducerea evidenței corecte a auditului acestor accesări;
• Asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări la care au primit răspunsuri/explicații de rigoare ce țin de domeniul protecției datelor cu caracter personal.

În cadrul evenimentului au fost instruiți circa 100 de reprezentanți ai Inspectoratului de Poliție sectorul Râșcani.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 5.200.000 euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei CLEARVIEW AI pentru prelucrarea ilegală a datelor cu caracter personal prin intermediul tehnologiilor de recunoaștere facială.

Compania CLEARVIEW AI colectează fotografii de pe o mulțime de site-uri web, inclusiv rețele sociale, și vinde accesul la baza sa de date prin intermediul unui motor de căutare în care o persoană poate fi căutată cu ajutorul unei fotografii. Compania oferă acest serviciu și autorităților de aplicare a legii. Tehnologia de recunoaștere facială este utilizată pentru a interoga motorul de căutare și a găsi o persoană pe baza fotografiei sale.

La data de 17 octombrie 2022, CNIL a aplicat o amendă în valoare de 20 de milioane de euro și a dispus companiei CLEARVIEW AI să nu colecteze și să prelucreze date privind persoanele fizice aflate pe teritoriul Franței fără temei legal, precum și ștergerea acestor date. Totodată, în cazul în care compania nu se conformează ordinului în termen de două luni, trebuie să plătească o penalitate de 100.000 de euro pe zi de întârziere.

CLEARVIEW AI a avut la dispoziție două luni pentru a se conforma hotărârii CNIL. Cu toate acestea, compania nu a trimis nicio dovadă de conformitate în acest termen.

Astfel, la data de 13 aprilie 2023, CNIL a considerat că compania CLEARVIEW AI  nu a respectat ordinul și, în consecință, a impus o penalitate restantă de 5.200.000 euro.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 10 noiembrie 2022, în adresa Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a parvenit demersul Serviciului Fiscal de Stat (SFS) prin care a informat că, în rezultatul exercitării atribuțiilor de administrare fiscală, s-a constatat că un agent economic colectează și utilizează date cu caracter personal contrar prevederilor art. 5 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, ceea ce a servit drept motiv pentru inițierea verificării/investigării conformității operațiunilor de prelucrare a datelor cu caracter personal.

            În fapt, SFS a menționat că, la întocmirea actelor de achiziții, prin care agentul economic a procurat producție agricolă în perioada februarie-aprilie a anului 2022, au fost constatate cazuri când persoanele fizice indicate în actele de achiziții erau decedate la momentul întocmirii acestora, iar în alte cazuri, persoanele ale căror date au fost consemnate în acele documente au negat semnarea lor. Potrivit materialelor anexate la demersul SFS, s-a constatat faptul că agentul economic a prelucrat datele cu caracter personal a 35 de persoane fizice, în lipsa consimțământului acestora sau a succesorilor persoanelor decedate, sau în lipsa altui temei legal prevăzut de art. 5 alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal.

În urma investigațiilor efectuate de CNPDCP, în corespundere cu prevederile art. 27 al Legii nr. 133/2011 privind protecția datelor cu caracter personal, prin decizia CNPDCP a fost constatată încălcarea prevederilor art. 4 alin. (1) lit. a), art. 5 alin. (1), (4) și art. 12 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către agentul economic în cauză la prelucrarea datelor cu caracter personal ale subiecților de date vizați în demersul SFS.

Totodată, CNPDCP a dispus inclusiv încetarea operațiunilor de prelucrare a datelor cu caracter personal ale subiecților de date vizați în demersul SFS și distrugerea copiilor buletinelor de identitate utilizate/obținute ilicit de către agentul economic.

Consecvent, în corespundere cu prevederile art. 20 alin. (1) lit. m) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a sesizat în ordine penală organul de urmărire penală a SFS, privind existența unor indicii rezonabile de falsificare a actelor de achiziții a mărfurilor, faptă prevăzută la articolul 335¹ din Codul penal.

Mai mult, urmare a constatării încălcărilor menționate supra, CNPDCP a intervenit în ordine contravențională în privința agentului economic, prin întocmirea procesului-verbal cu privire la contravenție prin faptele prevăzute la art. 74¹ alin (1) și (3) din Codul contravențional.

CNPDCP reiterează faptul că scopul Legii 133/2011 este de a asigura protecția drepturilor și libertăților fundamentale ale persoanei fizice în ceea ce privește prelucrarea datelor cu caracter personal, în special dreptul la inviolabilitatea vieții intime, familiale și private.