La data de 14 iunie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au organizat un curs de instruire pentru angajații Ministerului Afacerilor Interne, cu genericul: „Asigurarea protecției datelor cu caracter personal în activitatea MAI”.

            Scopul cursului a fost de a spori gradul de percepție a angajaților MAI asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

·        Drepturile subiecților de date cu caracter personal;

·        Prelucrarea categoriilor speciale de date cu caracter personal;

·        Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;

·        Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către MAI;

·        Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;

·        Obligațiile MAI în calitate de operator de date în raport cu subiectul de date;

·        Aspecte vizând divulgarea informațiilor ce conțin date cu caracter personal, precum și analiza efectuată de către MAI, în ceea ce privește accesul la aceste date;

·        Procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, precum și ducerea evidenței corecte a auditului acestor accesări;

·        Asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire, s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări, reeșind din activitatea desfășurată de aceștia, la care au primit răspunsuri documentate cu exemple practice, din partea formatorilor.

În cadrul evenimentului, moderat de către reprezentanții Direcției Generale Supraveghere și Conformitate, au fost instruiți circa 50 de reprezentanți ai MAI.

La data de 09 iunie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au organizat un curs de instruire pentru angajații Centrului Medicilor de Familie din municipiul Bălți, cu genericul: „Prevederi legale în domeniul protecției datelor cu caracter personal”.

            Scopul cursului a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

În cadrul evenimentului au fost abordate subiecte de importanță, cum ar fi:

·        Definirea datelor cu caracter personal privind sănătatea;

·        Prelucrarea categoriilor speciale de date cu caracter personal;

·        Temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea;

·        Drepturile pacienților;

·        Obligativitatea caracterului secret a datelor cu caracter personal;

·        Divulgarea datelor cu caracter personal privind starea de sănătate;

·        Reducerea la minimum a datelor și limitarea stocării, etc.

Cursul de instruire, moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, s-a dovedit a fi unul util și interactiv, participanții acordând multiple întrebări formatorilor referitor la exemple practice ce țin de domeniul protecției datelor cu caracter personal.

 La eveniment au participat circa 50 de reprezentanții ai Centrului Medicilor de Familie din municipiul Bălți.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 300 000 de euro aplicată de către Autoritatea Federală de Protecție a Datelor din Germania (DPA) unei bănci, pentru lipsa de transparență într-o decizie individuală automatizată.

O decizie automatizată este o decizie luată de un sistem IT bazat exclusiv pe algoritmi și fără intervenție umană. În acest caz, Regulamentul (UE) 2016/679 (GDPR) prevede obligații speciale de transparență. Datele cu caracter personal trebuie prelucrate într-un mod care să fie ușor de înțeles pentru subiecții de date. Persoanele afectate au dreptul la o explicație cu privire la decizia luată după o evaluare corespunzătoare.

În acest caz, însă, banca nu a luat în calcul acest lucru în aplicația sa digitală pentru un card de credit. Folosind un formular online, banca a solicitat diverse date despre veniturile, ocupația și datele cu caracter pesonal ale solicitantului. Pe baza informațiilor solicitate și a datelor suplimentare din surse externe, algoritmul băncii a respins cererea clientului fără nicio justificare anume. Algoritmul se bazează pe criterii și reguli definite anterior de bancă. Deoarece clientul avea un Credit Score bun și un venit regulat ridicat, s-a îndoit de respingerea automatizată și a depus o plângere la DPA din Germania.

O bancă este obligată să își informeze clienții cu privire la principalele motive ale respingerii atunci când ia o decizie automatizată cu privire la o cerere de card de credit. Aceasta include informații concrete cu privire la baza de date și factorii decizionali, precum și criteriile de respingere.

În urma investigațiilor, DPA din Germania a constatat că banca a încălcat articolul 22 alineatul (3), articolul 5 alineatul (1) litera (a) și articolul 15 alineatul (1) litera (h) din GDPR. La impunerea amenzii, s-a luat în considerare, în special, cifra de afaceri ridicată a băncii, structura intenționată a procesului de depunere a cererilor și de solicitare a informației.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La 05 iunie 2023, în rezultatul promovării cu succes a perioadei de probă stabilită pentru funcționarul public debutant, doi angajați ai Centrului Naţional pentru Protecția Datelor cu Caracter Personal (CNPDCP) au depus jurământul de credinţă, care prevede respectarea Constituţiei Republicii Moldova, drepturilor şi libertăţilor fundamentale ale omului, apărarea suveranității, independenţei şi integrității teritoriale a Republicii Moldova, executarea în mod obiectiv şi imparţial  a legilor ţării, îndeplinirea conştiincioasă a obligaţiilor în exercitarea funcţiei publice, precum şi respectarea normelor de conduită profesională.

Jurământul de credință a fost depus în prezența conducerii și colegilor din cadrul CNPDCP, în fața simbolurilor de stat, în conformitate cu prevederile art. 32 din Legea nr. 158/2008 cu privire la funcția publică și statutul funcționarului public.

În cadrul evenimentului, Directorul adjunct al CNPDCP, doamna Angela COLOMIICENCO, i-a felicitat pe tinerii funcționari și le-a dorit mari succese, curaj, abnegație, noi performanțe în realizarea aspirațiilor profesionale, iar munca depusă să fie recunoscută și apreciată la justa sa valoare!

La data de 05 iunie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Direcției Generale Urmărire Penală a Inspectoratului General al Poliției.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Direcției Generale Urmărire Penală a IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

·        Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații Direcției Generale Urmărire Penală a IGP;

·        Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;

·        Procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, evidența dusă de Direcția Generală Urmărire Penală a acestor acesări, precum și procedura de acordare a accesului la datele cu caracter personal a părților pe dosar;

·        Importanța protecției datelor cu caracter personal în cadrul acțiunilor de urmărire penală efectuate de către ofițerii de urmărire penală;

·        Cadrul normativ care reglementează protecția informațiilor din cauzele penale ce conțin date cu caracter personal;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc.

Totodată, în cadrul evenimentului s-a discutat despre necesitatea modificării procedurii penale prin expunerea unor reglementări clare în partea ce ține de asigurarea confidențialității datelor cu caracter personal a părților pe dosar, în procedura de luare a cunoștinței cu materialele cauzelor penale. La momentul actual, această normă specială nu acoperă toate cazurile/situațiile ce ar proteja datele cu caracter personal ale subiecților de date.

Cursul de instruire s-a dovedit a fi unul interactiv, formatorii din cadrul CNPDCP oferind participanților răspunsuri/explicații de rigoare, la multiplele întrebări acordate de aceștia.

În cadrul evenimentului au fost instruiți circa 50 de reprezentanți ai Direcției Generale Urmărire Penală a IGP.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

Centrul Naţional pentru Protecţia Datelor cu Caracter Personal (CNPDCP), a fost sesizat cu privire la legalitatea activității paginii web cu denumirea www.numar.md, în care erau publicate anumite date cu caracter personal a mai multor persoane fizice, de către un reprezentant mass-media.

În urma analizării  paginii web www.numar.md, a fost reținut că, prin intermediul acesteia, orice persoană putea să lase un comentariu, vizibil tuturor, asupra deținătorului oricărui număr de telefon mobil din Republica Moldova. Comentariile de pe pagina web aveau diferit conținut, atât informații biografice cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., cât și informații cu caracter calomnios și defăimător. Dezvăluirea în spațiul online, spre vizualizare nerestricționată a acestor informații putea prejudicia grav drepturile şi libertățile constituționale ale cetățenilor.

În context s-a determinat că, problema indicată în sesizare era una complexă, fiind necesar a fi abordată și examinată în ansamblu de diverși actori naționali, instituții publice de reglementare și monitorizare atât a spațiului informațional, cât și virtual, în contextul în care prin intermediul unui site erau oferite informații/date cu caracter personal ale unui număr indefinit de subiecți de date, fapt care putea duce la încălcarea drepturilor şi libertăților fundamentale ale persoanei fizice în ceea ce priveşte prelucrarea datelor cu caracter personal, în special a dreptului la inviolabilitatea vieţii intime, familiale şi private.

Totodată, urmează a evidenția că nu s-a putut determina localizarea hosting-ului după adresa IP al acesteia din cauza utilizării, de către gestionarul site-ului, a serviciului de Cloudflare as a reverse-proxy, ceea ce presupune că este un server care se află în fața unuia sau mai multor servere web, interceptând solicitările de la clienți a serverului de origine și care asigură că niciun client nu comunică vreodată direct cu acel server de origine. La fel, gestionarul avea calitatea de ne-rezident al Republicii Moldova, existând o mare probabilitate ca mijloacele de prelucrare a datelor cu caracter personal să fi fost localizate în afara Republicii Moldova.

Drept urmare, prin prisma atribuțiilor sale, CNPDCP a sesizat Serviciul de Informații și Securitate, I.P. „Serviciul Tehnologia Informației și Securitate Cibernetică”, precum și Agenția Națională pentru Reglementare în Comunicații Electronice și Tehnologia Informației, în vederea întreprinderii măsurilor necesare aferente verificării legalității paginii web www.numar.md.

Subsidiar, în rezultatul obținerii informațiilor de la instituțiile nominalizate supra, în temeiul art. 27 alin. (4) al Legii privind protecția datelor cu caracter personal, CNPDCP s-a autosesizat în vederea verificării conformității prelucrării datelor cu caracter personal cu cerințele legii prenotate, prin intermediul paginii web www.numar.md.

În cadrul controlului efectuat de către CNPDCP, au fost efectuate un șir de acțiuni legate de solicitarea informațiilor necesare examinării cazului, examinarea materialelor recepționate, audierea registrantului al numelui de subdomeniu „numar.md”, etc. Drept urmare a acțiunilor întreprinse, la data de 20.01.2023, s-a constatat că pagina web www.numar.md nu mai era activă.

În rezultatul efectuării controlului, CNPDCP a determinat ca fiind neconform, mijlocul oferit pentru prelucrarea datelor cu caracter personal, prin publicarea pe pagina web www.numar.md a informațiilor ce conțin date cu caracter personal, cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., întrucât nu a fost stabilit existența unui scop determinat, explicit și legitim, nici existența unui temei legal de prelucrare a datelor cu caracter personal ce vizează deținătorii numerelor de telefonie mobilă din Republica Moldova, acțiuni săvârșite contrar prevederilor art. 4 alin. (1) lit. a), b), c) și art. 5 alin. (1) ale Legii 133/2011 privind protecția datelor cu caracter personal. 

În acest context, ținând cont de prevederile art. 27 alin. (3) și alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a dispus prin Decizie: constatarea in rem a încălcării prevederilor Legii nr. 133/2011, la prelucrarea datelor cu caracter personal prin intermediul paginii www.numar.md, constatarea indisponibilității în rețeaua de internet a paginii www.numar.md, precum și sesizarea IP „Serviciului Tehnologia Informației și Securitate Cibernetică” în vederea examinării posibilității intervenirii prin prisma competențelor, statuate la pct. 33 subpct. 7) al Regulamentului cu privire la gestionarea domeniului de nivel superior .md, aprobat prin Hotărârea ANRCETI nr. 42/2020.

Finalmente, se notează că scopul care a stat la baza autosesizării Autorității de control, manifestat prin dorința de a contracara prelucrarea neconformă a datelor cu caracter personal, a fost atins odată cu indisponibilitatea/devenirea inactivă a paginii web www.numar.md, care constituia un mijloc de dezvăluire abuzivă a informațiilor personalizate ale unui număr impunător de subiecții de date.

La data de 29 mai 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au organizat un curs de instruire pentru angajații Serviciului Fiscal de Stat (SFS) în domeniul protecției datelor cu caracter personal.

Scopul sesiunii de instruire a fost de a familiariza funcționarii fiscali cu aspecte ce țin de protecția datelor cu caracter personal în serviciul public, reglementarea procedeelor de prelucrare, regimul de confidențialitate și de securitate a datelor cu caracter personal în conformitate cu cadrul normativ.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Noțiunile generale privind protecția datelor cu caracter personal;

·        Principiile de protecție a datelor cu caracter personal;

·        Prelucrarea categoriilor speciale de date cu caracter personal;

·        Temeiuri legale de prelucrare a datelor cu caracter personal;

·        Asigurarea securității și confidențialității datelor cu caracter personal de către angajații SFS;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor;

·        Stocarea, păstrarea și divulgarea datelor cu caracter personal;

·        Transmiterea în format electronic a informațiilor ce conțin date cu caracter personal, etc.

Cursul de instruire, organizat în format online, a fost moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, la eveniment participând circa 300 de funcționari fiscali.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre decizia finală a Autorității de Protecția Datelor din Austria (SA) din data de 10 mai 2023, cu privire la încălcarea articolelor 5, 6, 9, 27 din GDPR de către compania Clearview AI.

Compania ar deține o bază de date care include peste 30 de miliarde de imagini faciale din întreaga lume, care sunt extrase din surse web publice (mass-media, rețele sociale, videoclipuri online) prin intermediul web scraping. Aceasta oferă un serviciu de căutare sofisticat care permite, prin intermediul sistemelor de inteligență artificială, crearea de profiluri pe baza datelor biometrice extrase din imagini. Profilurile pot fi îmbogățite cu informații legate de imaginile respective, cum ar fi tag-urile imaginii, geolocalizarea sau paginile web sursă.

Ca urmare a unei cereri de acces la datele cu caracter personal, un subiect de date a aflat că datele sale (imaginea) sunt, de asemenea, prelucrate de Clearview AI. În consecință, acesta a înaintat o plângere către SA din Austria.

În urma investigațiilor efectuate, SA din Austria a constatat că Clearview AI a încălcat următoarele prevederi din GDPR: 

·        Articolul 5 alineatul (1) litera (a): Prelucrarea datelor cu caracter personal ale reclamantului a fost lipsită de legalitate, echitate și transparență.

·        Articolul 5 alineatul (1) litera (b): Prelucrarea efectuată de Clearview AI servește unui scop complet diferit de cel al publicării inițiale a datelor cu caracter personal ale reclamantului (în special a fotografiilor).

·        Articolul 5 alineatul (1) litera (c): Stocarea permanentă a datelor cu caracter personal constituie, de asemenea, o încălcare a principiului minimizării datelor.

·        Articolul 9 alineatul (1): Scanarea feței reclamantului, extragerea trăsăturilor faciale care permit identificarea unică a acestuia și traducerea acestor trăsături în vectori constituie o prelucrare a unor categorii speciale de date cu caracter personal. O excepție de la interdicția de prelucrare în temeiul articolului 9 alineatul (2) nu se aplică în acest caz, motiv pentru care prelucrarea a fost efectuată cu încălcarea articolului 9 alineatul (1) din GDPR.

·      Articolul 6 alineatul (1): legalitatea prelucrării de către Clearview AI ar fi putut fi acoperită doar de articolul 6 alineatul (1) litera (f) din GDPR. După o amplă cântărire a intereselor, SA din Austria a ajuns la concluzia că, din cauza gravei intruziuni în viața privată a reclamantului, interesele acestuia au depășit în mod clar interesele pur comerciale ale Clearview AI.

Totodată, SA din Austria a dispus companiei Clearview AI să șteargă datele cu caracter personal ale reclamantului și să desemneze un reprezentant al companiei în Uniunea Europeană. 

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 26 mai 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au participat în calitate de formatori, la cursul de instruire cu genericul: „Prelucrarea datelor cu caracter personal în sectorul educațional”, organizat pentru Direcția Generală de Învățământ Cahul.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților din sectorul educațional asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Noțiunile generale privind protecția datelor cu caracter personal;

·        Principiile de protecție a datelor cu caracter personal;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor;

·        Asigurarea securității și confidențialității datelor cu caracter personal de către angajații instituțiilor de învățământ;

·        Rolul activ al profesorul în informarea elevilor despre consecințele divulgării datelor cu caracter personal;

·        Instalarea și administrarea sistemelor de supraveghere video în instituțiile de învățământ;

·        Stocarea, păstrarea și divulgarea datelor cu caracter personal;

·        Transmiterea în format electronic a informațiilor ce conțin date cu caracter personal, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări la care au primit răspunsuri/explicații de rigoare ce țin de domeniul protecției datelor cu caracter personal.

Evenimentul a avut loc online, fiind instruiți circa 85 de reprezentanți ai Direcției Generale de Învățământ Cahul.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 1,2 miliarde de euro, aplicată ca urmare a deciziei obligatorii de soluționare a litigiilor a Comitetului European pentru Protecția Datelor (EDPB), companiei Meta Platforms Ireland Limited (Meta IE), pentru încălcarea gravă a prevederilor legale, stipulate în Regulamentul (UE) 2016/679 (GDPR). Această amendă, care este cea mai mare amendă GDPR de până acum, a fost aplicată pentru transferurile de date cu caracter personal efectuate de Meta IE în SUA pe baza unor clauze contractuale standard, începând cu data de 16 iulie 2020.

În decizia sa obligatorie din 13 aprilie 2023, EDPB a dispus Autorității Irlandeze pentru Protecția Datelor (DPA) să își modifice proiectul de decizie, impunând o amendă companiei Meta IE (fostă Facebook Ireland Limited). Având în vedere gravitatea încălcării, EDPB a constatat că punctul de plecare pentru calcularea amenzii ar trebui să fie între 20% și 100% din maximul legal aplicabil. De asemenea, DPA Irlandeză are obligația să dispună companiei Meta IE să-și aducă operațiunile de prelucrare în conformitate cu capitolul V din GDPR, prin încetarea prelucrării ilegale, inclusiv a stocării, în SUA a datelor cu caracter personal ale utilizatorilor europeni transferate cu încălcarea prevederilor legale din GDPR, în termen de 6 luni de la notificarea deciziei sale finale.

Decizia finală a DPA Irlandeze încorporează evaluarea juridică exprimată de EDPB în decizia sa obligatorie, adoptată în baza art. 65 alineatul (1) litera (a) din GDPR, după ce DPA Irlandeză, în calitate de autoritate de supraveghere principală, a declanșat o procedură de soluționare a litigiilor cu privire la obiecțiile formulate de mai multe autorități de supraveghere vizate.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.