Anual, la data de 28 ianuarie, comunitatea europeană celebrează „Ziua Protecției Datelor”. În acest sens, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a organizat la data de 27 ianuarie 2023, o acțiune stradală.

Un grup de angajați ai CNPDCP au mers în fața Arcului de Triumf din mun. Chișinău, unde au distribuit materiale informative trecătorilor, aceștia fiind informați despre  „Ziua Protecției Datelor”, noțiunea de date cu caracter personal, drepturile subiecților de date, măsurile de securitate și confidențialitate a datelor, precum și despre principiile de protecție a datelor cu caracter personal. Totodată, cetățenii au fost informați cu privire la posibilele situații de prelucrare neconformă a datelor cu caracter personal, fiindu-le oferite îndrumări și recomandări practice care ar trebui întreprinse în astfel de cazuri.

Amintim că, acțiunea stradală a fost organizată în scopul sensibilizării societății asupra domeniul protecției datelor cu caracter personal, în conformitate cu Planul de acțiuni aprobat de CNPDCP în contextul celebrării „Zilei Protecției Datelor”.

Astăzi, 27 ianuarie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal, în parteneriat cu compania Moldcell, au organizat un atelier de lucru pentru elevii clasei a VIII-a din IPLT „Gheorghe Asachi” mun. Chișinău.

Atelierul de lucru, este o acțiune ce face parte din Planul de activități aprobate de CNPDCP în contextul „Zilei Protecției Datelor”, celebrate anual, la data de 28 ianuarie.

Atelierul a avut drept scop de a informa, sensibiliza și familiariza comunitatea școlară cu domeniul protecției datelor cu caracter personal și siguranța copiilor în mediul on-line prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin.

Principalele subiecte abordate în cadrul atelierului au fost:

–         Definirea datelor cu caracter personal;

–         Utilizarea creativă, utilă și sigură a internetului;

–         Riscurile utilizării internetului;

–         Comportamente riscante ce pot avea consecințe negative;

–         Atitudini și practici de transmitere a pozelor/înregistrărilor video on-line;

–         Comunicarea pe rețelele de socializare, etc.

Atelierul de lucru a fost organizat în cadrul orei de dezvoltare personală. Elevii au manifestat interes sporit față de subiect, au interacționat și au răspuns la întrebările acordate de formatori.

De asemenea, la finalul orei, reprezentanții companiei Moldcell, au organizat un joc Quiz – „Internet fără griji”, elevii fiind implicați în vederea evaluării cunoștințelor acumulate în baza materialului informativ prezentat pe domeniul protecției datelor cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 8 milioane de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei APPLE DISTRIBUTION INTERNATIONAL pentru prelucrarea ilegală a datelor cu caracter personal.

CNIL a efectuat mai multe investigații în 2021 și 2022, în urma unei plângeri privind personalizarea publicităților în App Store, pentru a verifica respectarea reglementărilor aplicabile. Serviciile CNIL au concluzionat că, în cadrul vechii versiuni 14.6 a sistemului de operare al iPhone, atunci când un utilizator vizita App Store, elementele de identificare utilizate în mai multe scopuri, inclusiv personalizarea reclamelor din App Store, erau citite în mod implicit și automat pe terminal, fără a obține consimțământul subiectului vizat.

În urma investigațiilor, CNIL a constatat o încălcare a articolului 82 din Legea franceză privind protecția datelor și a aplicat o amendă administrativă în valoare de 8 milioane de euro companiei APPLE DISTRIBUTION INTERNATIONAL. Cuantumul amenzii a fost stabilit în baza analizei următoarelor criterii: scopului prelucrării datelor cu caracter personal limitat doar la Apple Store, numărului de persoane vizate pe teritoriul Franței, profiturilor pe care compania le-a obținut din veniturile din publicitate generate indirect de datele colectate de acești identificatori, precum și a faptului că, între timp, compania a adus în conformitate/a ajustat aceste prelucrări de date cu caracter personal.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Conștientizând necesitatea informării, promovării și asigurării protecției drepturilor persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, precum și necesitatea unor eforturi comune în vederea implementării acestor valori, la data de 25 ianuarie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), reprezentat de către directorul Victoria MUNTEAN și Inspectoratul General al Poliției (IGP), în persoana șefului Viorel CERNĂUȚEANU, au semnat:

– Planul de instruiri în domeniul protecției datelor cu caracter personal, pentru subdiviziunile IGP;

– Protocolul adițional la Acordul de colaborare semnat de Părți în anul 2019.

Scopul primordial stabilit prin Planul de instruiri menționat supra este de a spori gradul de percepție a angajaților din sectorul polițienesc asupra principiilor de protecție a datelor cu caracter personal și asupra asigurării implementării/aplicării corecte în activitatea cotidiană a prevederilor legale din domeniul protecției datelor. Planul de instruiri a fost elaborat și aprobat de comun acord și prevede petrecerea instruirilor în cadrul tuturor subdiviziunilor IGP.

De asemenea, instituțiile menționate au convenit asupra semnării unui Protocol adițional la Acordul de colaborare semnat de Părți în anul 2019. Protocolul adițional are statuate drept obiective de interes comun:

 a) Consolidarea relațiilor reciproce de colaborare și schimb de informație/experiență în domeniul protecției datelor cu caracter personal, precum și în alte domenii de interes comun, în condițiile legii;

b) Organizarea și desfășurarea, în cadrul Inspectoratului General al Poliției sau a Centrului Național pentru Protecția Datelor cu Caracter Personal, a instruirilor, seminarelor, întâlnirilor/vizitelor de lucru, meselor-rotunde pentru discutarea proiectelor comune de activitate, inclusiv instituirii și gestionării sistemelor informaționale care consemnează date cu caracter personal;

c) Cooperarea urmează să asigure continuitatea și durabilitatea eforturilor întru îmbunătățirea continuă a realizării scopului privind asigurarea protecției drepturilor și libertăților fundamentale ale cetățenilor în ceea ce privește prelucrarea datelor cu caracter personal în conformitate cu cele mai bune standarde și practici naționale și internaționale existente.

La fel, este de menționat faptul că evenimentul de semnare a actelor menționate supra face parte inclusiv din activitățile preconizate a fi organizate de CNPDCP în contextul Zilei protecției datelor, celebrate anual la data de 28 ianuarie.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 230 000 de euro aplicată de către Autoritatea Finlandeză pentru Protecția Datelor (SA) companiei Viking Line pentru prelucrarea ilegală a datelor cu caracter personal privind starea de sănătate ale angajaților.

SA finlandeză a inițiat investigația activităților companiei Viking Line pe baza unei plângeri. Un fost angajat al companiei a informat SA finlandeză că nu a primit toate datele sale cu caracter personal stocate în sistemele companiei, în pofida cererii sale. Potrivit angajatului, Viking Line a păstrat  datele cu caracter personal privind starea de sănătate ale angajaților într-un sistem al managementului resurselor umane timp de 20 de ani. Totodată, potrivit acestuia, unele informații de diagnosticare stocate erau inexacte.

În urma investigațiilor s-a constatat că, păstrarea informațiilor de diagnostic în legătură cu alte date legate de angajare este contrar prevederilor legale. De asemenea, datele cu caracter personal privind starea de sănătate ar fi trebuit șterse imediat când stocarea lor nu mai era necesară. Totodată, Viking Line nu și-a informat în mod corespunzător angajații cu privire la prelucrarea datelor lor cu caracter personal

 În acest context, SA finlandeză a emis o amendă administrativă în valoare de 230.000 euro companiei Viking Line pentru mai multe încălcări ale legislației privind protecția datelor. La fel, SA finlandeză a dispus companiei să-și corecteze practicile și să-și informeze angajații cu privire la prelucrarea datelor lor cu caracter personal, conform cerințelor GDPR.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 5 milioane de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) rețelei de socializare TIKTOK pentru prelucrarea ilegală a datelor cu caracter personal.

În perioada mai 2020 – iunie 2022, CNIL a efectuat mai multe investigații on-line pe site-ul „tiktok.com”, în sesiune nelogată și nu pe aplicația mobilă. În urma investigațiilor efectuate s-a constatat că, deși companiile TIKTOK UK și TIKTOK IRELAND au oferit un buton care permite acceptarea imediată a cookie-urilor, nu au pus în aplicare o soluție echivalentă care să permită utilizatorului de internet să le refuze la fel de ușor.

Pe baza constatărilor efectuate, CNIL a concluzionat că TIKTOK INFORMATION TECHNOLOGIES UK LIMITED (TIKTOK UK) și TIKTOK TECHNOLOGY LIMITED (TIKTOK IRELAND) nu și-au respectat obligațiile stabilite în baza  articolul 82 din Legea franceză privind protecția datelor, încălcând libertatea consimțământului utilizatorilor de internet și neinformarea acestora într-o manieră suficient de precisă cu privire la scopurile cookie-urilor, nici pe bannerul de informare de prim nivel, nici în contextul interfeței de alegere accesibilă după clic pe un link din banner.

În acest context, CNIL a emis o amendă în valoare de 5 milioane de euro rețelei de socializare TIKTOK. Cuantumul acestei amenzi a fost decis pe baza încălcărilor identificate, a numărului de persoane vizate – inclusiv a minorilor – și a numeroaselor comunicări anterioare din partea CNIL asupra faptului că trebuie tot atât de simplu să refuzi cookie-urile cât să le și accepți.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda totală în valoare de 390 milioane de euro aplicată de către Autoritatea Irlandeză pentru Protecția Datelor (SA) rețelelor de socializare Facebook și Instagram pentru încălcarea prevederilor legale stabilite de GDPR.

În urma deciziilor obligatorii ale EDPB de soluționare a litigiilor din 5 decembrie 2022, SA Irlandeză și-a adoptat deciziile referitoare la Facebook și Instagram (Meta Platforms Ireland Limited, „Meta IE”). Aceste decizii sunt rezultatul unor anchete bazate pe plângeri cu privire la activitățile Facebook și Instagram, în special în ceea ce privește legalitatea și transparența prelucrării pentru publicitatea comportamentală. Meta IE a fost amendat cu 210 milioane de euro în decizia Facebook și 180 de milioane de euro în decizia Instagram de către SA Irlandeză.

 Aceste decizii obligatorii au fost adoptate în baza art. 65 alineatul (1) litera (a) din GDPR, după ce SA Irlandeză, a declanșat două proceduri de soluționare a litigiilor cu privire la obiecțiile formulate de autoritățile de supraveghere vizate din zece țări în fiecare caz. Totodată, acestea au formulat obiecții cu privire la temeiul juridic al prelucrării (art. 6 din GDPR), la principiile de protecție a datelor (art. 5 din GDPR) și la utilizarea de măsuri corective, inclusiv amenzi.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova (CNPDCP) reamintește că un an în urmă prin Legea nr. 175/2021 pentru modificarea unor acte normative a fost instituită obligația operatorului și a persoanei împuternicite de operator de a desemna o persoană responsabilă cu protecția datelor cu caracter personal, în cazurile prevăzute de art. 25 al Legii nr. 133/2011 privind protecția datelor cu caracter personal.

În conformitate cu prevederile statuate în alin. (6) din același articol, operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale persoanei responsabile cu protecția datelor și de a le comunica CNPDCP.

În acest sens, CNPDCP anunță despre lansarea unui ciclu de instruiri a persoanelor responsabile cu protecția datelor cu caracter personal. Obiectivul de bază al instruirilor este dezvoltarea cunoștințelor teoretice în domeniul protecției datelor cu caracter personal și a deprinderilor practice privind aplicarea actelor normative și cerințelor legislației din domeniu (Durata 3-4 ore).

Vă îndemnăm să vă înregistrați din timp, întrucât instruirile inițial vor fi organizate cu prezența fizică la sediul CNPDCP, în număr de cel mult de 20 persoane, reieșind din capacitățile disponibile.

Instruirile vor fi organizate în limba română.

Persoanele interesate sunt invitate să transmită la adresa centru@datepersonale.md  solicitarea de participare cu specificarea obligatorie a lunii pentru care optează, denumirea operatorului/operatorilor, pe care îl/le reprezintă, data și denumirea actului prin care au fost numiți în funcție de persoană responsabilă cu protecția datelor cu caracter personal și datele de contact (numărul de telefon și e-mail).

Pentru oricare informație suplimentară, inclusiv în vederea conformării activității legate de prelucrarea datelor cu caracter personal la prevederile legale din domeniul protecției datelor cu caracter personal, urmează să contactați Direcția prevenire, supraveghere și evidență a Direcției generale supraveghere și conformitate a CNPDCP, la telefonul de contact nr. 022-811-801/811-802.

Centrul Național pentru Protecția Datelor cu Caracter Personal cu titlu informativ, comunică că, la data de 22 decembrie curent, Președintele Republicii Moldova Maia SANDU, a semnat Decretul privind aprobarea semnării Protocolului de amendare a Convenției pentru protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal (CETS nr.223).

Protocolul de amendare a Convenției pentru protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal oferă un cadru juridic multilateral, robust și flexibil pentru a facilita fluxul transfrontalier de date și garanții eficiente la utilizarea datelor cu caracter personal. Acest instrument a fost deschis spre semnare de către Consiliul Europei (CoE) la 10 octombrie 2018 și, până în prezent, a fost semnat de către 44 de state, 5 dintre care nu sunt membre ale CoE (Argentina, Tunisia, Mauritius, Uruguay și Federația Rusă) și ratificat de 20 state.

Protocolul este un tratat multilateral elaborat sub egida CoE care, potrivit art.36, este deschis pentru semnare statelor parte la Convenția 108.

Scopul prezentei Convenții este de a proteja orice persoană, indiferent de naționalitatea sau reședința acesteia, în ceea ce privește prelucrarea datelor cu caracter personal, contribuind astfel la respectarea drepturilor și libertăților fundamentale ale omului, în special, a dreptului la viața privată.

Protocolul în sine prevede un șir de inovații, precum:

–          Cerințe mai stricte privind proporționalitatea, principii de minimizare a datelor și legalitatea prelucrării;

–          Extinderea tipurilor de date sensibile, care vor include acum date genetice și biometrice, apartenența la sindicat și originea etnică;

–          Obligația de a notifica încălcări ale datelor;

–          O mai mare transparență a prelucrării datelor;

–          Noi drepturi ale persoanelor aflate într-un context de luare a deciziilor, care sunt deosebit de relevante în legătură cu dezvoltarea inteligenței artificiale;

–          Responsabilitatea sporită a operatorilor de date;

–          Cerința aplicării principiului „confidențialității prin proiectare” (privacy by design);

–          Aplicarea principiilor de protecție a datelor la toate activitățile de prelucrare;

–          Regimul fluxurilor transfrontaliere de date cu caracter personal;

–          Competențe consolidate și independența autorităților de protecție a datelor și îmbunătățirea bazei juridice pentru cooperarea internațională.

Decretul privind semnarea Protocolului a intrat în vigoare la data de 23 decembrie curent și a fost publicat în Monitorul Oficial al Republicii Moldova nr. 428-430 art. 790.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 4,3 milioane de euro aplicată de către Autoritatea Portugheză pentru Protecția Datelor (CNPD) companiei Portuguese National Statistics Institute (INE) pentru încălcarea art. 9 alin. (1); art. 12; art. 13; art. 28 alin. (1), (6) și (7); art. 35 alin. (1), (2) și (3) lit. b); art. 44; art. 46 și art. 83 din GDPR.

În anul 2021, CNPD a primit mai multe plângeri cu privire la recensământul național, care era încă în curs de desfășurare la acel moment. Pentru efectuarea recensământului, INE a utilizat serviciile CDN (rețea de livrare de conținut) ale unei companii americane, Cloudflare, Inc., cu peste 200 de centre de date răspândite în peste 100 de țări. Având în vedere plângerile primite, CNPD a inițiat o anchetă. În acel moment, aproximativ 2,5 milioane de formulare, care conțineau datele cu caracter personal a peste șase milioane de cetățeni cu reședința în Portugalia, fuseseră deja transmise către INE. Având în vedere constatările sale preliminare, CNPD a emis, în temeiul articolului 58 alineatul (2) litera (j) din GDPR, un ordin prin care INE era obligat să suspende, în termen de 12 ore, toate fluxurile de date către SUA și către orice alte țări terțe care nu ofereau un nivel adecvat de protecție, fie prin intermediul Cloudflare, Inc., fie prin intermediul oricărei alte companii. După această măsură corectivă cu caracter preventiv, ancheta a continuat cu alte aspecte ale obiectului plângerilor.

În urma anchetei ulterioare, CNPD a identificat cinci încălcări ale GDPR-ului în contextul prelucrării datelor recensământului din 2021, cu privire la următoarele aspecte: 

· Lipsa legalității pentru prelucrarea categoriilor speciale de date cu caracter personal (art. 9 alin. (1) din GDPR);

· Nerespectarea obligațiilor de transparență (art. 12 și 13 din GDPR), în special în ceea ce privește furnizarea oricăror informații referitoare la operațiunile de prelucrare, de exemplu prin afișarea unei notificări privind confidențialitatea pe site-ul INE;

· Lipsa Evaluării Impactului asupra Protecției Datelor (art. 35 alin. (1), (2) și (3) lit. b) din GDPR);

· Lipsa diligenței necesare cu privire la alegerea persoanei împuternicite de către operator (art. 28 alin. (1), (6) și (7) din GDPR), și anume, prin acceptarea unui contract standard, care nu a fost evaluat în conformitate cu art. 28 alin. (3) din GDPR;

· Nerespectarea cerințelor legale pentru transferurile internaționale de date (art. 44 și art. 46 alin. (2) din GDPR), cum au fost interpretate de CJUE în Hotărârea Schrems II.

În acest context, urmare a faptelor constatate, CNPD a stabilit că operatorul de date a încălcat diferite prevederi din GDPR referitor la prelucrarea datelor recensământului 2021 și, prin urmare, a decis, în temeiul articolului 58 alineatul (2) litera (i) și al articolului 83 din GDPR, precum și a unor dispoziții naționale, să aplice operatorului de date o amendă în valoare de 4,3 milioane de euro. Această decizie este una finală, dar care poate fi contestată în instanțele de judecată naționale.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.