La data de 29 mai 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au organizat un curs de instruire pentru angajații Serviciului Fiscal de Stat (SFS) în domeniul protecției datelor cu caracter personal.

Scopul sesiunii de instruire a fost de a familiariza funcționarii fiscali cu aspecte ce țin de protecția datelor cu caracter personal în serviciul public, reglementarea procedeelor de prelucrare, regimul de confidențialitate și de securitate a datelor cu caracter personal în conformitate cu cadrul normativ.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Noțiunile generale privind protecția datelor cu caracter personal;

·        Principiile de protecție a datelor cu caracter personal;

·        Prelucrarea categoriilor speciale de date cu caracter personal;

·        Temeiuri legale de prelucrare a datelor cu caracter personal;

·        Asigurarea securității și confidențialității datelor cu caracter personal de către angajații SFS;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor;

·        Stocarea, păstrarea și divulgarea datelor cu caracter personal;

·        Transmiterea în format electronic a informațiilor ce conțin date cu caracter personal, etc.

Cursul de instruire, organizat în format online, a fost moderat de către reprezentanții Direcției Prevenire, Supraveghere și Evidență, la eveniment participând circa 300 de funcționari fiscali.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre decizia finală a Autorității de Protecția Datelor din Austria (SA) din data de 10 mai 2023, cu privire la încălcarea articolelor 5, 6, 9, 27 din GDPR de către compania Clearview AI.

Compania ar deține o bază de date care include peste 30 de miliarde de imagini faciale din întreaga lume, care sunt extrase din surse web publice (mass-media, rețele sociale, videoclipuri online) prin intermediul web scraping. Aceasta oferă un serviciu de căutare sofisticat care permite, prin intermediul sistemelor de inteligență artificială, crearea de profiluri pe baza datelor biometrice extrase din imagini. Profilurile pot fi îmbogățite cu informații legate de imaginile respective, cum ar fi tag-urile imaginii, geolocalizarea sau paginile web sursă.

Ca urmare a unei cereri de acces la datele cu caracter personal, un subiect de date a aflat că datele sale (imaginea) sunt, de asemenea, prelucrate de Clearview AI. În consecință, acesta a înaintat o plângere către SA din Austria.

În urma investigațiilor efectuate, SA din Austria a constatat că Clearview AI a încălcat următoarele prevederi din GDPR: 

·        Articolul 5 alineatul (1) litera (a): Prelucrarea datelor cu caracter personal ale reclamantului a fost lipsită de legalitate, echitate și transparență.

·        Articolul 5 alineatul (1) litera (b): Prelucrarea efectuată de Clearview AI servește unui scop complet diferit de cel al publicării inițiale a datelor cu caracter personal ale reclamantului (în special a fotografiilor).

·        Articolul 5 alineatul (1) litera (c): Stocarea permanentă a datelor cu caracter personal constituie, de asemenea, o încălcare a principiului minimizării datelor.

·        Articolul 9 alineatul (1): Scanarea feței reclamantului, extragerea trăsăturilor faciale care permit identificarea unică a acestuia și traducerea acestor trăsături în vectori constituie o prelucrare a unor categorii speciale de date cu caracter personal. O excepție de la interdicția de prelucrare în temeiul articolului 9 alineatul (2) nu se aplică în acest caz, motiv pentru care prelucrarea a fost efectuată cu încălcarea articolului 9 alineatul (1) din GDPR.

·      Articolul 6 alineatul (1): legalitatea prelucrării de către Clearview AI ar fi putut fi acoperită doar de articolul 6 alineatul (1) litera (f) din GDPR. După o amplă cântărire a intereselor, SA din Austria a ajuns la concluzia că, din cauza gravei intruziuni în viața privată a reclamantului, interesele acestuia au depășit în mod clar interesele pur comerciale ale Clearview AI.

Totodată, SA din Austria a dispus companiei Clearview AI să șteargă datele cu caracter personal ale reclamantului și să desemneze un reprezentant al companiei în Uniunea Europeană. 

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 26 mai 2023, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au participat în calitate de formatori, la cursul de instruire cu genericul: „Prelucrarea datelor cu caracter personal în sectorul educațional”, organizat pentru Direcția Generală de Învățământ Cahul.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților din sectorul educațional asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

·        Noțiunile generale privind protecția datelor cu caracter personal;

·        Principiile de protecție a datelor cu caracter personal;

·        Aspecte ce țin de Responsabilul cu protecția datelor (DPO);

·        Aspecte ce țin de Evaluarea Impactului asupra Protecției Datelor;

·        Asigurarea securității și confidențialității datelor cu caracter personal de către angajații instituțiilor de învățământ;

·        Rolul activ al profesorul în informarea elevilor despre consecințele divulgării datelor cu caracter personal;

·        Instalarea și administrarea sistemelor de supraveghere video în instituțiile de învățământ;

·        Stocarea, păstrarea și divulgarea datelor cu caracter personal;

·        Transmiterea în format electronic a informațiilor ce conțin date cu caracter personal, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări la care au primit răspunsuri/explicații de rigoare ce țin de domeniul protecției datelor cu caracter personal.

Evenimentul a avut loc online, fiind instruiți circa 85 de reprezentanți ai Direcției Generale de Învățământ Cahul.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 1,2 miliarde de euro, aplicată ca urmare a deciziei obligatorii de soluționare a litigiilor a Comitetului European pentru Protecția Datelor (EDPB), companiei Meta Platforms Ireland Limited (Meta IE), pentru încălcarea gravă a prevederilor legale, stipulate în Regulamentul (UE) 2016/679 (GDPR). Această amendă, care este cea mai mare amendă GDPR de până acum, a fost aplicată pentru transferurile de date cu caracter personal efectuate de Meta IE în SUA pe baza unor clauze contractuale standard, începând cu data de 16 iulie 2020.

În decizia sa obligatorie din 13 aprilie 2023, EDPB a dispus Autorității Irlandeze pentru Protecția Datelor (DPA) să își modifice proiectul de decizie, impunând o amendă companiei Meta IE (fostă Facebook Ireland Limited). Având în vedere gravitatea încălcării, EDPB a constatat că punctul de plecare pentru calcularea amenzii ar trebui să fie între 20% și 100% din maximul legal aplicabil. De asemenea, DPA Irlandeză are obligația să dispună companiei Meta IE să-și aducă operațiunile de prelucrare în conformitate cu capitolul V din GDPR, prin încetarea prelucrării ilegale, inclusiv a stocării, în SUA a datelor cu caracter personal ale utilizatorilor europeni transferate cu încălcarea prevederilor legale din GDPR, în termen de 6 luni de la notificarea deciziei sale finale.

Decizia finală a DPA Irlandeze încorporează evaluarea juridică exprimată de EDPB în decizia sa obligatorie, adoptată în baza art. 65 alineatul (1) litera (a) din GDPR, după ce DPA Irlandeză, în calitate de autoritate de supraveghere principală, a declanșat o procedură de soluționare a litigiilor cu privire la obiecțiile formulate de mai multe autorități de supraveghere vizate.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal, cu tutlu informativ, comunică despre numirea dnei Anu Talus în funcția de președinte al Comitetului European pentru Protecția Datelor (EDPB), în locul președintelui în funcție, Andrea Jelinek. Ea a fost aleasă cu 19 voturi din 27, în două tururi de scrutin, la data de 25 mai curent,  în cadrul celei de-a 80-a Ședințe Plenare.

Anu Talus este directorul Autorității Finlandeze pentru Protecția Datelor, funcție pe care o va cumula cu cea de președinte al EDPB.

În conformitate cu art. 73 din Regulamentul (UE) 2016/679, Consiliul alege un președinte și doi vicepreședinți dintre membrii săi prin majoritate absolută și prin vot secret. Mandatul acestora este pentru o perioadă de cinci ani și poate fi reînnoit o singură dată. Președintele EDPB supraveghează toate sarcinile Consiliului și asigură îndeplinirea acestora la timp.

Totodată, dna Irene Loizidou Nikolaidou (Comisar al Autorității pentru Protecția Datelor din Cipru), a fost aleasă în calitate de nou vicepreședinte al EDPB, în timp ce vicepreședintele Aleid Wolfsen rămâne în funcție, mandatul său încheindu-se la data de 15 mai 2024.

EDPB este un organism european independent, care contribuie la aplicarea consecventă a normelor de protecție a datelor în întreaga Uniune Europeană și promovează cooperarea între autoritățile de protecție a datelor din UE (DPA).  EDPB a fost înființat în temeiul art. 68 din Regulamentul (UE) 2016/679 și este sprijinit în activitatea sa de către Secretariatul EDPB. Scretariatul își îndeplinește sarcinile conform instrucțiunilor președintelui. Acesta oferă suport analitic, administrativ și logistic Consiliului; organizează toate ședințele Consiliului de administrație și gestionează platformele IT utilizate de DPA. În plus, Secretariatul are un rol major în furnizarea de analize juridice.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre adoptarea în versiune finală a Liniilor Directorii privind tehnologia de recunoaștere facială în domeniul aplicării legii, în cadrul celei de-a 79-a Ședințe Plenare a Comitetului European pentru Protecția Datelor.

Liniile directorii oferă îndrumări pentru legislatorii UE și naționali, precum și pentru autoritățile de aplicare a legii, cu privire la implementarea și utilizarea sistemelor tehnologiei de recunoaștere facială.

Totodată, acestea subliniază faptul că instrumentele de recunoaștere facială ar trebui să fie utilizate numai în strictă conformitate cu Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului și numai dacă sunt necesare și proporționale, astfel cum se prevede în Carta drepturilor fundamentale a Uniunii Europene.

Textul integral al Liniilor Directorii privind tehnologia de recunoaștere facială în domeniul aplicării legii poate fi vizualizat pe site-ul CNPDCP accesând următorul link:    https://datepersonale.md/en/the-documents-of-the-european-data-protection-board/

La data de 22 mai 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat un curs de instruire în domeniul protecției datelor cu caracter personal pentru angajații Inspectoratului de Poliție sectorul Râșcani al Direcției de Poliție a municipiului Chișinău.

Scopul cursului de instruire a fost de a spori gradul de percepție a angajaților IP sectorul Râșcani asupra principiilor de protecție a datelor cu caracter personal, precum și asupra asigurării aplicării corecte a prevederilor legale din domeniu, în activitatea pe care o desfășoară.

În cadrul evenimentului au fost discutate subiecte de importanță, cum ar fi:

• Definirea noțiunilor aferente domeniului protecției datelor cu caracter personal;
• Drepturile subiecților de date cu caracter personal;
• Prelucrarea categoriilor speciale de date cu caracter personal;
• Modalitatea legală de prelucrare a datelor cu caracter personal în activitatea desfășurată de către organele poliției;
• Cerințele privind protecția datelor cu caracter personal, în exercitarea atribuțiilor de serviciu;
• Obligațiile organului de poliție în calitate de operator de date în raport cu subiectul de date;
• Aspecte vizând divulgarea informațiilor ce conțin date cu caracter personal, precum și analiza efectuată de către operatorul de date, în ceea ce privește accesul la aceste date;
• Aspecte legale privind prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video;
• Procedura corectă de accesare a datelor cu caracter personal prin intermediul Sistemelor Informaționale de Stat, precum și ducerea evidenței corecte a auditului acestor accesări;
• Asigurarea securității și confidențialității datelor cu caracter personal prelucrate, etc.

Cursul de instruire s-a dovedit a fi unul interactiv, participanții acordând multiple întrebări la care au primit răspunsuri/explicații de rigoare ce țin de domeniul protecției datelor cu caracter personal.

În cadrul evenimentului au fost instruiți circa 100 de reprezentanți ai Inspectoratului de Poliție sectorul Râșcani.

Cursul de instruire face parte din planul de instruiri în cadrul subdiviziunilor IGP pentru anul 2023, aprobat și semnat de către conducătorii CNPDCP și IGP la data de 25 ianuarie curent.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 5.200.000 euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei CLEARVIEW AI pentru prelucrarea ilegală a datelor cu caracter personal prin intermediul tehnologiilor de recunoaștere facială.

Compania CLEARVIEW AI colectează fotografii de pe o mulțime de site-uri web, inclusiv rețele sociale, și vinde accesul la baza sa de date prin intermediul unui motor de căutare în care o persoană poate fi căutată cu ajutorul unei fotografii. Compania oferă acest serviciu și autorităților de aplicare a legii. Tehnologia de recunoaștere facială este utilizată pentru a interoga motorul de căutare și a găsi o persoană pe baza fotografiei sale.

La data de 17 octombrie 2022, CNIL a aplicat o amendă în valoare de 20 de milioane de euro și a dispus companiei CLEARVIEW AI să nu colecteze și să prelucreze date privind persoanele fizice aflate pe teritoriul Franței fără temei legal, precum și ștergerea acestor date. Totodată, în cazul în care compania nu se conformează ordinului în termen de două luni, trebuie să plătească o penalitate de 100.000 de euro pe zi de întârziere.

CLEARVIEW AI a avut la dispoziție două luni pentru a se conforma hotărârii CNIL. Cu toate acestea, compania nu a trimis nicio dovadă de conformitate în acest termen.

Astfel, la data de 13 aprilie 2023, CNIL a considerat că compania CLEARVIEW AI  nu a respectat ordinul și, în consecință, a impus o penalitate restantă de 5.200.000 euro.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 10 noiembrie 2022, în adresa Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a parvenit demersul Serviciului Fiscal de Stat (SFS) prin care a informat că, în rezultatul exercitării atribuțiilor de administrare fiscală, s-a constatat că un agent economic colectează și utilizează date cu caracter personal contrar prevederilor art. 5 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, ceea ce a servit drept motiv pentru inițierea verificării/investigării conformității operațiunilor de prelucrare a datelor cu caracter personal.

            În fapt, SFS a menționat că, la întocmirea actelor de achiziții, prin care agentul economic a procurat producție agricolă în perioada februarie-aprilie a anului 2022, au fost constatate cazuri când persoanele fizice indicate în actele de achiziții erau decedate la momentul întocmirii acestora, iar în alte cazuri, persoanele ale căror date au fost consemnate în acele documente au negat semnarea lor. Potrivit materialelor anexate la demersul SFS, s-a constatat faptul că agentul economic a prelucrat datele cu caracter personal a 35 de persoane fizice, în lipsa consimțământului acestora sau a succesorilor persoanelor decedate, sau în lipsa altui temei legal prevăzut de art. 5 alin. (5) din Legea nr. 133/2011 privind protecția datelor cu caracter personal.

În urma investigațiilor efectuate de CNPDCP, în corespundere cu prevederile art. 27 al Legii nr. 133/2011 privind protecția datelor cu caracter personal, prin decizia CNPDCP a fost constatată încălcarea prevederilor art. 4 alin. (1) lit. a), art. 5 alin. (1), (4) și art. 12 ale Legii nr. 133/2011 privind protecția datelor cu caracter personal de către agentul economic în cauză la prelucrarea datelor cu caracter personal ale subiecților de date vizați în demersul SFS.

Totodată, CNPDCP a dispus inclusiv încetarea operațiunilor de prelucrare a datelor cu caracter personal ale subiecților de date vizați în demersul SFS și distrugerea copiilor buletinelor de identitate utilizate/obținute ilicit de către agentul economic.

Consecvent, în corespundere cu prevederile art. 20 alin. (1) lit. m) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, CNPDCP a sesizat în ordine penală organul de urmărire penală a SFS, privind existența unor indicii rezonabile de falsificare a actelor de achiziții a mărfurilor, faptă prevăzută la articolul 335¹ din Codul penal.

Mai mult, urmare a constatării încălcărilor menționate supra, CNPDCP a intervenit în ordine contravențională în privința agentului economic, prin întocmirea procesului-verbal cu privire la contravenție prin faptele prevăzute la art. 74¹ alin (1) și (3) din Codul contravențional.

CNPDCP reiterează faptul că scopul Legii 133/2011 este de a asigura protecția drepturilor și libertăților fundamentale ale persoanei fizice în ceea ce privește prelucrarea datelor cu caracter personal, în special dreptul la inviolabilitatea vieții intime, familiale și private.

La data de 17 mai curent, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a organizat cursul de instruire „Protecția datelor cu caracter personal și siguranța copiilor în mediul on-line” pentru instituția Publică Liceul Teoretic „Mircea Eliade” din Chișinău, publicul țintă fiind elevii clasei a V-a. Evenimentul a avut loc în cadrul orei de Dezvoltare personală.

Scopul campaniei de informare și sensibilizare a comunității școlare este de a oferi o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line la nivel local și național prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin.

Tematicile abordate în cadrul instruirii au vizat: noțiuni generale privind datele cu caracter personal; postarea și utilizarea corectă a pozelor pe rețelele de socializare; utilizarea creativă, utilă și sigură a internetului; riscurile utilizării internetului; aspectele ce pot avea consecințe negative; atitudini și practici de transmitere a pozelor/înregistrărilor video în mediul online; comunicarea pe rețelele sociale, etc.

Totodată, formatorii din cadrul CNPDCP au realizat activități interactive, au avut loc discuții pe seama materialelor informative prezentate, au fost prezentate spoturi video iar, la final, elevii au completat un rebus în baza materialului prezentat.

Evenimentul a fost organizat la inițiativa CNPDCP, fiind instruiți 39 de elevi.

De menționat că,  campania de informare și sensibilizare a comunității școlare a fost lansată la data de 15 aprilie 2022, iar CNPDCP își propune să continue acest format de instruiri atât în instituțiile școlare din municipiului  Chișinău, cât și în cele din raioanele Republicii Moldova.