Astăzi, 10 iulie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) în colaborare cu experții proiectului TAIEX, organizează conferința națională ”Evaluarea Impactului asupra Protecției Datelor și rolul Responsabilului cu protecția datelor”.

Scopul conferinței constă în preluarea celor mai bune practici legale și operaționale de către reprezentanții instituțiilor publice privind mecanismele de Evaluare a Impactului asupra Protecției Datelor (DPIA), operațiunile de prelucrare care necesită o DPIA, precum și rolul Responsabilului cu protecția datelor (DPO) în cadrul operatorilor de date cu caracter personal din sectorul public.

Evenimentul a fost deschis de către Directorul CNPDCP, D-na Victoria Muntean: “Aspirațiile actuale de digitizare a societății, precum și evoluțiile tehnologice rapide utilizate pe scară largă atât de statele UE cât și de restul țărilor, subliniază necesitatea stringentă de o protecție solidă a datelor cu caracter personal – un drept garantat atât de instrumentele Uniunii Europene, cât şi de instrumentele Consiliului Europei. Colectarea, stocarea și utilizarea datelor cu caracter personal la un nivel fără precedent, expun subiecții de date ale căror date sunt prelucrate la anumite riscuri. Aceste riscuri variază de la furtul de identitate sau divulgarea din greșeală a datelor cu caracter personal, până la folosirea acestora în scopuri necunoscute. O Evaluare a Impactului asupra Protecției Datelor, în acest caz, este mai mult decât necesară, aceasta descriind un proces conceput pentru a identifica riscurile care decurg din prelucrarea datelor cu caracter personal, pentru a minimiza aceste riscuri și a le depista cât mai devreme posibil”.

Conferința este moderată de experți în protecția datelor cu caracter personal din Italia și Malta. Printre temele abordate de experți sunt: evaluarea necesității și proporționalității operațiunilor de prelucrare care fac obiectul cerinței de efectuare a unei evaluări a impactului asupra protecției datelor; scenarii de evaluare a impactului asupra protecției datelor cu caracter personal; mecanisme practice de efectuare a consultărilor prealabile dacă evaluarea impactului asupra protecției datelor, indică faptul că prelucrarea ar genera un risc sporit, iar acesta nu poate fi atenuat prin mijloace rezonabile sub aspectul tehnologiilor disponibile și al costurilor implementării, de către angajații DPA-urilor; mijloacele acordate Responsabilului cu protecția datelor pentru a-și îndeplini misiunile; exemple de cele mai bune practici pentru a ajuta instituțiile de stat / organizațiile în numirea și sprijinirea Responsabilului cu protecția datelor, în scopul evitării unor eventuale conflicte de interese; etc.

În cadrul evenimentului participă circa 60 de reprezentanți ai sectorului public.

Atelierul de lucru este organizat şi finanțat de instrumentul de asistență tehnică și schimb de informații a Comisiei Europene (TAIEX).

La data de 10 iulie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), celebrează 15 ani de activitate. Sunt 15 ani în care instituția a parcurs diverse etape și a dobândit asiduu respectul și încrederea publicului larg.

În toată această perioadă, domeniul protecției datelor a înregistrat o evoluție considerabilă în asigurarea securității și confidențialității datelor cu caracter personal, a respectării dreptului la viața privată, dar și a nivelului ridicat de interpretare corectă și aplicare conformă a prevederilor legale din domeniul protecției datelor cu caracter personal de către actorii implicați în prelucrarea datelor cu caracter personal, inclusiv prin asigurarea echilibrului între prevederile legale aferente drepturilor de acces la informație, libertății de exprimare și protecției datelor cu caracter personal.

CNPDCP în calitate de autoritate publică autonomă, independentă și imparțială față de alte autorități publice, persoane fizice și juridice, informează că obiectivul său rămâne în continuare același –  apărarea drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la viața privată în legătură cu prelucrarea și transmiterea transfrontalieră a datelor cu caracter personal.

În vederea realizării obiectivului de bază, ca și pe parcursul celor 15 ani de activitate, CNPDCP continuă organizarea diverselor acțiuni în scopul informării, sensibilizarării și educării societății asupra importanței domeniului protecției datelor cu caracter personal, atât din perspectiva respectării/cunoașterii drepturilor subiecților de date, cât și asigurării exercitării obligațiilor aferente operatorilor de date cu caracter personal, asigură activitatea de control și supraveghere, emite decizii, instrucțiuni și recomandări, încheie procese-verbale cu privire la contravenție, constată încălcarea prevederilor legale în domeniul protecției datelor cu caracter personal, precum și organizează acțiuni de prevenire a încălcării legislației din domeniu.

Prin urmare, pe parcursul celor 15 ani de activitate, CNPDCP a continuat activitatea de monitorizare și verificare a conformității prelucrării datelor cu caracter personal de către operatorii din sectorul public și privat prin efectuarea de controale pe baza plângerilor subiecților de date cu caracter personal și a autosesizărilor autorității, urmare a sesizărilor recepționate spre examinare, inclusiv din partea autorităților/instituțiilor publice.

În același timp, în adresa CNPDCP parvin tot mai multe petiții de la subiecții de date cu caracter personal și, evoluția din ultimii ani, ne demonstrează acest fapt. Cele mai dese tematici reflectate în plângeri sunt:

• Prelucrarea datelor cu caracter personal în lipsa consimțământului subiectului de date și/sau a temeiului legal;
• Prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video/audio;
• Realizarea drepturilor subiecților de date cu caracter personal (acces, informare, intervenție, opoziție);
• Prelucrarea datelor cu caracter personal prin dezvăluire pe rețelele de socializare.

Totodată, domeniul protecției datelor cu caracter personal contunuă a fi promovat prin fortificarea colaborării internaționale – un aspect strategic, fiind  materializat prin participarea activă a reprezentanților CNPDCP la ședințele plenare din cadrul Comitetului European pentru Protecția Datelor (EDPB) și ale Consiliul Europei. Este de menționat că Republica Moldova deține statutul de membru observator din 2017 în cadrul EDPB, iar acceptarea Republicii Moldova în calitate membru cu statut de observator reprezintă o premieră și o realizare de importanță majoră în spațiul estic, fiind o etapă importantă în vederea recunoașterii Republicii Moldova ca stat terț ce asigură un nivel echivalent de protecție a datelor cu caracter personal cu cel din cadrul UE.

La fel, pe parcursul celor 15 ani de achivitate, au fost încheiate 16 acorduri de colaborare la nivel național (Institutul Național de Justiție, Uniunea Avocaților din RM, ULIM, Departamentul Instituțiilor Penitenciare, Inspectoratul General de Poliție al MAI, Academia de Administrare Publică, Asociația Națională a Companiilor din Domeniul Tehnologiei Informației și Comunicațiilor, etc.) și 10 la nivel internațional (Acorduri de Cooperare bilaterală cu Autoritățile de Protecție a Datelor din România, Ucraina, Italia, Ungaria, Georgia, Letonia, Malta și Republica Polonă), ceea ce ne permite să avem o colaborare mai rapidă și eficientă cu partenerii noștri.

CNPDCP, în calitate de autoritate de protecție a datelor cu caracter personal, își va continua misiunea de a asigura păstrarea unui echilibru just între dreptul la protecția datelor cu caracter personal și drepturile garantate de Constituția Republicii Moldova, precum și va depune toate eforturile pentru a atinge noi progrese în promovarea și fortificarea domeniului protecției datelor cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 150 000 euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei KG COM pentru nerespectarea obligațiilor care îi revin în temeiul GDPR-ului și al Legii franceze privind protecția datelor cu caracter personal.

KG COM administrează mai multe site-uri web pentru a oferi clienților săi servicii de ghicit prin intermediul unui chat online sau prin telefon. Ca urmare a publicării unui articol de presă în 2020 care dezvăluia existența unei încălcări a datelor cu caracter personal în care era implicată compania, CNIL a efectuat trei misiuni de anchetă.

Urmare a investigațiilor sale, CNIL a identificat mai multe încălcări, cum ar fi:

• Nerespectarea obligației de a minimiza datele cu caracter personal colectate și utilizate (articolul 5.1.c din GDPR);
• Lipsa unui temei juridic pentru utilizarea datelor bancare (articolul 6 din GDPR);
• Neobținerea consimțământului prealabil pentru colectarea unor categorii speciale de date (articolul 9 din GDPR);
• Neasigurarea securității datelor cu caracter personal (articolul 32 din GDPR);
• Nerespectarea obligației de a notifica CNIL cu privire la încălcarea securității datelor (articolul 33 din GDPR);
• Nerespectarea obligațiilor legate de utilizarea cookie-urilor (articolul 82 din Legea privind protecția datelor).

În acest context, CNIL a aplicat două amenzi companiei KG COM:

–  o amendă de 120 000 euro pentru nerespectarea prevederilor stipulate în Regulamentul general privind protecția datelor. Această amendă a fost luată în colaborare cu omologii europeni de la CNIL în contextul ghișeului unic, deoarece KG COM are clienți și potențiali clienți din mai multe state membre ale UE;

–  o amendă de 30 000 euro pentru neconformitate în legătură cu utilizarea cookie-urilor (articolul 82 din Legea franceză privind protecția datelor cu caracter personal).

La stabilirea cuantumului amenzii, CNIL a luat în considerare numărul deosebit de mare de încălcări ale prevederilor legale privind protecția datelor, caracterul sensibil al datelor cu caracter personal prelucrate (date privind sănătatea, informații referitoare la orientarea sexuală) și numărul de persoane vizate.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 40 milioane de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei CRITEO pentru încălcarea prevederilor legale stipulate în GDPR.

CRITEO este specializată în „retargeting comportamental”, care constă în urmărirea navigării utilizatorilor de Internet pentru a afișa reclame personalizate. În acest scop, compania colectează datele de navigare ale utilizatorilor de Internet datorită tracker-ului CRITEO (cookie) care este plasat pe terminalele acestora atunci când vizitează anumite site-uri web partenere CRITEO. Apoi, participă la licitații în timp real și afișează publicitate personalizată dacă a câștigat licitația.

În urma plângerilor depuse de organizațiile Privacy International și None of Your Business, CNIL a efectuat mai multe investigații asupra CRITEO.

În urma investigațiilor, CNIL a constatat cinci încălcări ale GDPR:

·        Nedemonstrarea că persoana și-a dat consimțământul (articolul 7.1 din GDPR)

·        Nerespectarea obligației de informare și transparență (articolele 12 și 13 din GDPR)

·        Nerespectarea dreptului de acces (articolul 15.1 din GDPR)

·        Nerespectarea dreptului de a retrage consimțământul și ștergerea datelor (articolele 7.3 și 17.1 din GDPR)

·        Nerespectarea unui acord între operatorii asociați (articolul 26 GDPR)

În acest context, CNIL a impus o amendă de 40 de milioane de euro companiei CRITEO, iar această decizie a fost transmisă tuturor celorlalte 26 de autorități europene de supraveghere, în conformitate cu prevederile ghișeului unic instituit prin GDPR, întrucât toate erau vizate de acest caz transfrontalier și toate au  aprobat-o.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 28 iunie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au organizat un curs de instruire pentru angajații Clinicii Universitare de Asistență Medicală Primară cu genericul: „Prevederi legale în domeniul protecției datelor cu caracter personal”.

            Scopul cursului a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

În cadrul evenimentului au fost abordate subiecte de importanță, cum ar fi:

• Definirea datelor cu caracter personal privind sănătatea;
• Prelucrarea categoriilor obișnuite de date cu caracter personal;
• Prelucrarea categoriilor speciale de date cu caracter personal;
• Temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea;
• Principii de prelucrare a datelor cu caracter personal;
• Drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal;
• Confidențialitatea și secretul profesional;
• Divulgarea datelor cu caracter personal privind starea de sănătate;
• Obligativitatea de asigurare a confidențialității și securității datelor cu caracter personal
• Reducerea la minimum a datelor și limitarea stocării, etc.

Cursul de instruire a fost moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență și s-a dovedit a fi unul interactiv și util. Participanții la curs au acordat multiple întrebări formatorilor referitor la modalitatea legală de prelucrare a datelor cu caracter personal în activitatea cotidiană desfășurată de către aceștia. Totodată, un interes sporit au prezentat cazurile concrete de prelucrare neconformă a datelor cu caracter personal privind la starea de sănătate examinate de CNPDCP, precum și corectitudinea dezvăluirii datelor cu caracter personal privind starea de sănătate persoanelor terțe.

În cadrul evenimentului au fost instruiți circa 40 de reprezentanți ai Clinicii Universitare de Asistență Medicală Primară.

La data de 23 iunie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Direcției de Poliție a UTA Găgăuzia.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Direcției de Poliție a UTA Găgăuzia asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost abordate subiecte de importanță, cum ar fi: definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal; modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații Direcției de Poliție a UTA Găgăuzia; cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu; obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date; aspecte vizând divulgarea informațiilor ce conțin date cu caracter personal, precum și analiza efectuată de către operatorul de date, în ceea ce privește accesul la aceste date; asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire, moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, s-a dovedit a fi unul util, formatorii din cadrul CNPDCP oferind participanților răspunsuri practice, la multiplele întrebări acordate de aceștia. Totodată, aspectele ce țin de procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, evidența dusă de Direcția de Poliție a UTA Găgăuzia, precum și ducerea evidenței corecte a auditului acestor accesări, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului au fost instruiți peste 40 de reprezentanți ai Direcției de Poliție a UTA Găgăuzia.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

Stimaţi colegi!

Cu prilejul Zilei funcţionarului public, marcată anual la data de 23 iunie, echipa Centrului Național pentru Protecția Datelor cu Caracter Personal, Vă adresează cele mai calde urări de sănătate, bunăstare şi succese.

Vă mulţumim pentru profesionalismul, energia inepuizabilă, ideile inovatoare şi exigența de care daţi dovadă în activitatea Dumneavoastră zi de zi.

Instituirea acestei zile de sărbătoare este o confirmare a rolului funcționarului public în fortificarea statului, căci puterea statului este în funcționarii săi, în devotamentul, spiritul dreptății manifestat și responsabilitatea civică. Să acționăm și mai departe cu dedicație, obiectivitate și fidelitate, întru îndeplinirea misiunii noastre de a proteja interesele cetățenilor Republicii Moldova.

Cu aceste gânduri, stimați colegi, Vă felicităm cu prilejul sărbătorii şi Vă dorim să Vă păstrați perseverența, integritatea și să Vă bucurați de succese profesionale.

Cu profund respect,

Echipa CNPDCP

La data de 21 iunie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au organizat un curs de instruire pentru angajații Asociaţiei Medicale Teritoriale Centru cu genericul: „Prevederi legale în domeniul protecției datelor cu caracter personal”.

Scopul cursului a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

În cadrul evenimentului au fost abordate subiecte de importanță, cum ar fi: definirea datelor cu caracter personal privind sănătatea; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; divulgarea datelor cu caracter personal privind starea de sănătate; reducerea la minimum a datelor și limitarea stocării, etc.

Cursul de instruire, moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, s-a dovedit a fi unul foarte util, participanții acordând multiple întrebări formatorilor referitor la modalitatea legală de prelucrare a datelor cu caracter personal în activitatea cotidiană desfășurată de către aceștia. Totodată, aspectele ce țin de examinarea solicitărilor de dezvăluire a datelor cu caracter personal privind starea de sănătate, reprezentantului legal al pacientului, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului, care a avut loc atât cu prezența fizică, cât și on-line, au fost instruiți circa 120 de reprezentanți ai Asociaţiei Medicale Teritoriale Centru.

În perioada 14 – 16 iunie curent, la Strasbourg, Franța reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat la cea de-a 44-a ședință plenară a Comitetului Consultativ al Convenției  pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal (Convenția 108).

În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·        Convenția 108+, ratificările și aderările actuale;

·        Protecția datelor cu caracter personal pentru Combaterea Spălării Banilor și a Finanțării Terorismului;

·        Clauze contractuale în contextul fluxurilor transfrontaliere de date;

·        Interpretarea articolului 11 din Convenția 108 modernizată;

·        Protecția datelor cu caracter personal, inclusiv a datelor biometrice în procesul electoral;

·        Cooperarea cu alte organisme și entități ale Consiliului Europei;

·        Evoluții și activități majore în domeniul protecției datelor, etc.

Totodată, delegația CNPDCP s-a expus cu privire la stadiul ratificării Protocolului de modificare CETS 223 la Convenția 108. Menționăm că, la 9 februarie 2023, în baza Decretului Președintelui Republicii Moldova nr. 757/2002, Republica Moldova a semnat Protocolul de modificare a Convenției 108 pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, iar în Planul de acțiuni al Guvernului Republicii Moldova pentru anul curent este planificată acțiunea de promovare a măsurilor de ratificare a protocolului.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul ședințelor plenare a Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, cât și asupra ponderii documentelor adoptate în cadrul acestora.

La data de 16 iunie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Agenției Naționale Transport Auto (ANTA), la solicitarea acestora.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților ANTA asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, reieșind din obligativitatea acestora de a asigura protecția drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor;

·        Examinarea solicitărilor de dezvăluire a datelor cu caracter personal;

·        Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;

·        Procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări;

·        Asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire a fost unul interactiv, participanții acordând multiple întrebări, formatorilor, referior la modalitatea legală de prelucrare a datelor cu caracter personal în activitatea cotidiană desfășurată de către angajații ANTA.

În cadrul evenimentului au participat reprezentanți din cadrul celor doua ramuri cheie ale instituției: ramura ce ține de activitatea de ghișeu unic – eliberarea actelor permisive și cea ce ține de activitatea de control rutier.