Stimaţi colegi!

Cu prilejul Zilei funcţionarului public, marcată anual la data de 23 iunie, echipa Centrului Național pentru Protecția Datelor cu Caracter Personal, Vă adresează cele mai calde urări de sănătate, bunăstare şi succese.

Vă mulţumim pentru profesionalismul, energia inepuizabilă, ideile inovatoare şi exigența de care daţi dovadă în activitatea Dumneavoastră zi de zi.

Instituirea acestei zile de sărbătoare este o confirmare a rolului funcționarului public în fortificarea statului, căci puterea statului este în funcționarii săi, în devotamentul, spiritul dreptății manifestat și responsabilitatea civică. Să acționăm și mai departe cu dedicație, obiectivitate și fidelitate, întru îndeplinirea misiunii noastre de a proteja interesele cetățenilor Republicii Moldova.

Cu aceste gânduri, stimați colegi, Vă felicităm cu prilejul sărbătorii şi Vă dorim să Vă păstrați perseverența, integritatea și să Vă bucurați de succese profesionale.

Cu profund respect,

Echipa CNPDCP

La data de 21 iunie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au organizat un curs de instruire pentru angajații Asociaţiei Medicale Teritoriale Centru cu genericul: „Prevederi legale în domeniul protecției datelor cu caracter personal”.

Scopul cursului a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

În cadrul evenimentului au fost abordate subiecte de importanță, cum ar fi: definirea datelor cu caracter personal privind sănătatea; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea; drepturile pacienților; obligativitatea caracterului secret a datelor cu caracter personal; divulgarea datelor cu caracter personal privind starea de sănătate; reducerea la minimum a datelor și limitarea stocării, etc.

Cursul de instruire, moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, s-a dovedit a fi unul foarte util, participanții acordând multiple întrebări formatorilor referitor la modalitatea legală de prelucrare a datelor cu caracter personal în activitatea cotidiană desfășurată de către aceștia. Totodată, aspectele ce țin de examinarea solicitărilor de dezvăluire a datelor cu caracter personal privind starea de sănătate, reprezentantului legal al pacientului, au prezentat un interes sporit pentru participanții la curs.

În cadrul evenimentului, care a avut loc atât cu prezența fizică, cât și on-line, au fost instruiți circa 120 de reprezentanți ai Asociaţiei Medicale Teritoriale Centru.

În perioada 14 – 16 iunie curent, la Strasbourg, Franța reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat la cea de-a 44-a ședință plenară a Comitetului Consultativ al Convenției  pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal (Convenția 108).

În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·        Convenția 108+, ratificările și aderările actuale;

·        Protecția datelor cu caracter personal pentru Combaterea Spălării Banilor și a Finanțării Terorismului;

·        Clauze contractuale în contextul fluxurilor transfrontaliere de date;

·        Interpretarea articolului 11 din Convenția 108 modernizată;

·        Protecția datelor cu caracter personal, inclusiv a datelor biometrice în procesul electoral;

·        Cooperarea cu alte organisme și entități ale Consiliului Europei;

·        Evoluții și activități majore în domeniul protecției datelor, etc.

Totodată, delegația CNPDCP s-a expus cu privire la stadiul ratificării Protocolului de modificare CETS 223 la Convenția 108. Menționăm că, la 9 februarie 2023, în baza Decretului Președintelui Republicii Moldova nr. 757/2002, Republica Moldova a semnat Protocolul de modificare a Convenției 108 pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, iar în Planul de acțiuni al Guvernului Republicii Moldova pentru anul curent este planificată acțiunea de promovare a măsurilor de ratificare a protocolului.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul ședințelor plenare a Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, cât și asupra ponderii documentelor adoptate în cadrul acestora.

La data de 16 iunie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Agenției Naționale Transport Auto (ANTA), la solicitarea acestora.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților ANTA asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, reieșind din obligativitatea acestora de a asigura protecția drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor;

·        Examinarea solicitărilor de dezvăluire a datelor cu caracter personal;

·        Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;

·        Procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, precum și ducerea evidenței corecte a auditului acestor accesări;

·        Asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire a fost unul interactiv, participanții acordând multiple întrebări, formatorilor, referior la modalitatea legală de prelucrare a datelor cu caracter personal în activitatea cotidiană desfășurată de către angajații ANTA.

În cadrul evenimentului au participat reprezentanți din cadrul celor doua ramuri cheie ale instituției: ramura ce ține de activitatea de ghișeu unic – eliberarea actelor permisive și cea ce ține de activitatea de control rutier.

La data de 14 iunie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au organizat un curs de instruire pentru angajații Ministerului Afacerilor Interne, cu genericul: „Asigurarea protecției datelor cu caracter personal în activitatea MAI”.

            Scopul cursului a fost de a spori gradul de percepție a angajaților MAI asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

·        Drepturile subiecților de date cu caracter personal;

·        Prelucrarea categoriilor speciale de date cu caracter personal;

·        Principii și temeiuri legale pentru prelucrarea datelor cu caracter personal;

·        Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către MAI;

·        Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;

·        Obligațiile MAI în calitate de operator de date în raport cu subiectul de date;

·        Aspecte vizând divulgarea informațiilor ce conțin date cu caracter personal, precum și analiza efectuată de către MAI, în ceea ce privește accesul la aceste date;

·        Procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, precum și ducerea evidenței corecte a auditului acestor accesări;

·        Asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire, s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări, reeșind din activitatea desfășurată de aceștia, la care au primit răspunsuri documentate cu exemple practice, din partea formatorilor.

În cadrul evenimentului, moderat de către reprezentanții Direcției Generale Supraveghere și Conformitate, au fost instruiți circa 50 de reprezentanți ai MAI.

La data de 09 iunie 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au organizat un curs de instruire pentru angajații Centrului Medicilor de Familie din municipiul Bălți, cu genericul: „Prevederi legale în domeniul protecției datelor cu caracter personal”.

            Scopul cursului a fost de a consolida capacitățile personalului medical prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

În cadrul evenimentului au fost abordate subiecte de importanță, cum ar fi:

·        Definirea datelor cu caracter personal privind sănătatea;

·        Prelucrarea categoriilor speciale de date cu caracter personal;

·        Temeiuri legale de prelucrare a datelor cu caracter personal privind sănătatea;

·        Drepturile pacienților;

·        Obligativitatea caracterului secret a datelor cu caracter personal;

·        Divulgarea datelor cu caracter personal privind starea de sănătate;

·        Reducerea la minimum a datelor și limitarea stocării, etc.

Cursul de instruire, moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, s-a dovedit a fi unul util și interactiv, participanții acordând multiple întrebări formatorilor referitor la exemple practice ce țin de domeniul protecției datelor cu caracter personal.

 La eveniment au participat circa 50 de reprezentanții ai Centrului Medicilor de Familie din municipiul Bălți.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 300 000 de euro aplicată de către Autoritatea Federală de Protecție a Datelor din Germania (DPA) unei bănci, pentru lipsa de transparență într-o decizie individuală automatizată.

O decizie automatizată este o decizie luată de un sistem IT bazat exclusiv pe algoritmi și fără intervenție umană. În acest caz, Regulamentul (UE) 2016/679 (GDPR) prevede obligații speciale de transparență. Datele cu caracter personal trebuie prelucrate într-un mod care să fie ușor de înțeles pentru subiecții de date. Persoanele afectate au dreptul la o explicație cu privire la decizia luată după o evaluare corespunzătoare.

În acest caz, însă, banca nu a luat în calcul acest lucru în aplicația sa digitală pentru un card de credit. Folosind un formular online, banca a solicitat diverse date despre veniturile, ocupația și datele cu caracter pesonal ale solicitantului. Pe baza informațiilor solicitate și a datelor suplimentare din surse externe, algoritmul băncii a respins cererea clientului fără nicio justificare anume. Algoritmul se bazează pe criterii și reguli definite anterior de bancă. Deoarece clientul avea un Credit Score bun și un venit regulat ridicat, s-a îndoit de respingerea automatizată și a depus o plângere la DPA din Germania.

O bancă este obligată să își informeze clienții cu privire la principalele motive ale respingerii atunci când ia o decizie automatizată cu privire la o cerere de card de credit. Aceasta include informații concrete cu privire la baza de date și factorii decizionali, precum și criteriile de respingere.

În urma investigațiilor, DPA din Germania a constatat că banca a încălcat articolul 22 alineatul (3), articolul 5 alineatul (1) litera (a) și articolul 15 alineatul (1) litera (h) din GDPR. La impunerea amenzii, s-a luat în considerare, în special, cifra de afaceri ridicată a băncii, structura intenționată a procesului de depunere a cererilor și de solicitare a informației.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La 05 iunie 2023, în rezultatul promovării cu succes a perioadei de probă stabilită pentru funcționarul public debutant, doi angajați ai Centrului Naţional pentru Protecția Datelor cu Caracter Personal (CNPDCP) au depus jurământul de credinţă, care prevede respectarea Constituţiei Republicii Moldova, drepturilor şi libertăţilor fundamentale ale omului, apărarea suveranității, independenţei şi integrității teritoriale a Republicii Moldova, executarea în mod obiectiv şi imparţial  a legilor ţării, îndeplinirea conştiincioasă a obligaţiilor în exercitarea funcţiei publice, precum şi respectarea normelor de conduită profesională.

Jurământul de credință a fost depus în prezența conducerii și colegilor din cadrul CNPDCP, în fața simbolurilor de stat, în conformitate cu prevederile art. 32 din Legea nr. 158/2008 cu privire la funcția publică și statutul funcționarului public.

În cadrul evenimentului, Directorul adjunct al CNPDCP, doamna Angela COLOMIICENCO, i-a felicitat pe tinerii funcționari și le-a dorit mari succese, curaj, abnegație, noi performanțe în realizarea aspirațiilor profesionale, iar munca depusă să fie recunoscută și apreciată la justa sa valoare!

La data de 05 iunie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Direcției Generale Urmărire Penală a Inspectoratului General al Poliției.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților Direcției Generale Urmărire Penală a IGP asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Definirea noțiunilor generale aferente domeniului protecției datelor cu caracter personal;

·        Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către angajații Direcției Generale Urmărire Penală a IGP;

·        Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;

·        Procedura corectă de accesare a datelor cu caracter personal prin intermediul sistemelor informaționale de stat, evidența dusă de Direcția Generală Urmărire Penală a acestor acesări, precum și procedura de acordare a accesului la datele cu caracter personal a părților pe dosar;

·        Importanța protecției datelor cu caracter personal în cadrul acțiunilor de urmărire penală efectuate de către ofițerii de urmărire penală;

·        Cadrul normativ care reglementează protecția informațiilor din cauzele penale ce conțin date cu caracter personal;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor, etc.

Totodată, în cadrul evenimentului s-a discutat despre necesitatea modificării procedurii penale prin expunerea unor reglementări clare în partea ce ține de asigurarea confidențialității datelor cu caracter personal a părților pe dosar, în procedura de luare a cunoștinței cu materialele cauzelor penale. La momentul actual, această normă specială nu acoperă toate cazurile/situațiile ce ar proteja datele cu caracter personal ale subiecților de date.

Cursul de instruire s-a dovedit a fi unul interactiv, formatorii din cadrul CNPDCP oferind participanților răspunsuri/explicații de rigoare, la multiplele întrebări acordate de aceștia.

În cadrul evenimentului au fost instruiți circa 50 de reprezentanți ai Direcției Generale Urmărire Penală a IGP.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

Centrul Naţional pentru Protecţia Datelor cu Caracter Personal (CNPDCP), a fost sesizat cu privire la legalitatea activității paginii web cu denumirea www.numar.md, în care erau publicate anumite date cu caracter personal a mai multor persoane fizice, de către un reprezentant mass-media.

În urma analizării  paginii web www.numar.md, a fost reținut că, prin intermediul acesteia, orice persoană putea să lase un comentariu, vizibil tuturor, asupra deținătorului oricărui număr de telefon mobil din Republica Moldova. Comentariile de pe pagina web aveau diferit conținut, atât informații biografice cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., cât și informații cu caracter calomnios și defăimător. Dezvăluirea în spațiul online, spre vizualizare nerestricționată a acestor informații putea prejudicia grav drepturile şi libertățile constituționale ale cetățenilor.

În context s-a determinat că, problema indicată în sesizare era una complexă, fiind necesar a fi abordată și examinată în ansamblu de diverși actori naționali, instituții publice de reglementare și monitorizare atât a spațiului informațional, cât și virtual, în contextul în care prin intermediul unui site erau oferite informații/date cu caracter personal ale unui număr indefinit de subiecți de date, fapt care putea duce la încălcarea drepturilor şi libertăților fundamentale ale persoanei fizice în ceea ce priveşte prelucrarea datelor cu caracter personal, în special a dreptului la inviolabilitatea vieţii intime, familiale şi private.

Totodată, urmează a evidenția că nu s-a putut determina localizarea hosting-ului după adresa IP al acesteia din cauza utilizării, de către gestionarul site-ului, a serviciului de Cloudflare as a reverse-proxy, ceea ce presupune că este un server care se află în fața unuia sau mai multor servere web, interceptând solicitările de la clienți a serverului de origine și care asigură că niciun client nu comunică vreodată direct cu acel server de origine. La fel, gestionarul avea calitatea de ne-rezident al Republicii Moldova, existând o mare probabilitate ca mijloacele de prelucrare a datelor cu caracter personal să fi fost localizate în afara Republicii Moldova.

Drept urmare, prin prisma atribuțiilor sale, CNPDCP a sesizat Serviciul de Informații și Securitate, I.P. „Serviciul Tehnologia Informației și Securitate Cibernetică”, precum și Agenția Națională pentru Reglementare în Comunicații Electronice și Tehnologia Informației, în vederea întreprinderii măsurilor necesare aferente verificării legalității paginii web www.numar.md.

Subsidiar, în rezultatul obținerii informațiilor de la instituțiile nominalizate supra, în temeiul art. 27 alin. (4) al Legii privind protecția datelor cu caracter personal, CNPDCP s-a autosesizat în vederea verificării conformității prelucrării datelor cu caracter personal cu cerințele legii prenotate, prin intermediul paginii web www.numar.md.

În cadrul controlului efectuat de către CNPDCP, au fost efectuate un șir de acțiuni legate de solicitarea informațiilor necesare examinării cazului, examinarea materialelor recepționate, audierea registrantului al numelui de subdomeniu „numar.md”, etc. Drept urmare a acțiunilor întreprinse, la data de 20.01.2023, s-a constatat că pagina web www.numar.md nu mai era activă.

În rezultatul efectuării controlului, CNPDCP a determinat ca fiind neconform, mijlocul oferit pentru prelucrarea datelor cu caracter personal, prin publicarea pe pagina web www.numar.md a informațiilor ce conțin date cu caracter personal, cum ar fi: numele, prenumele, studii, locul de muncă, vârsta, localitatea, adresa de domiciliu, gen de activitate, etc., întrucât nu a fost stabilit existența unui scop determinat, explicit și legitim, nici existența unui temei legal de prelucrare a datelor cu caracter personal ce vizează deținătorii numerelor de telefonie mobilă din Republica Moldova, acțiuni săvârșite contrar prevederilor art. 4 alin. (1) lit. a), b), c) și art. 5 alin. (1) ale Legii 133/2011 privind protecția datelor cu caracter personal. 

În acest context, ținând cont de prevederile art. 27 alin. (3) și alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a dispus prin Decizie: constatarea in rem a încălcării prevederilor Legii nr. 133/2011, la prelucrarea datelor cu caracter personal prin intermediul paginii www.numar.md, constatarea indisponibilității în rețeaua de internet a paginii www.numar.md, precum și sesizarea IP „Serviciului Tehnologia Informației și Securitate Cibernetică” în vederea examinării posibilității intervenirii prin prisma competențelor, statuate la pct. 33 subpct. 7) al Regulamentului cu privire la gestionarea domeniului de nivel superior .md, aprobat prin Hotărârea ANRCETI nr. 42/2020.

Finalmente, se notează că scopul care a stat la baza autosesizării Autorității de control, manifestat prin dorința de a contracara prelucrarea neconformă a datelor cu caracter personal, a fost atins odată cu indisponibilitatea/devenirea inactivă a paginii web www.numar.md, care constituia un mijloc de dezvăluire abuzivă a informațiilor personalizate ale unui număr impunător de subiecții de date.