Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova (CNPDCP) reamintește că un an în urmă prin Legea nr. 175/2021 pentru modificarea unor acte normative a fost instituită obligația operatorului și a persoanei împuternicite de operator de a desemna o persoană responsabilă cu protecția datelor cu caracter personal, în cazurile prevăzute de art. 25 al Legii nr. 133/2011 privind protecția datelor cu caracter personal.

În conformitate cu prevederile statuate în alin. (6) din același articol, operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale persoanei responsabile cu protecția datelor și de a le comunica CNPDCP.

În acest sens, CNPDCP anunță despre lansarea unui ciclu de instruiri a persoanelor responsabile cu protecția datelor cu caracter personal. Obiectivul de bază al instruirilor este dezvoltarea cunoștințelor teoretice în domeniul protecției datelor cu caracter personal și a deprinderilor practice privind aplicarea actelor normative și cerințelor legislației din domeniu (Durata 3-4 ore).

Vă îndemnăm să vă înregistrați din timp, întrucât instruirile inițial vor fi organizate cu prezența fizică la sediul CNPDCP, în număr de cel mult de 20 persoane, reieșind din capacitățile disponibile.

Instruirile vor fi organizate în limba română.

Persoanele interesate sunt invitate să transmită la adresa centru@datepersonale.md  solicitarea de participare cu specificarea obligatorie a lunii pentru care optează, denumirea operatorului/operatorilor, pe care îl/le reprezintă, data și denumirea actului prin care au fost numiți în funcție de persoană responsabilă cu protecția datelor cu caracter personal și datele de contact (numărul de telefon și e-mail).

Pentru oricare informație suplimentară, inclusiv în vederea conformării activității legate de prelucrarea datelor cu caracter personal la prevederile legale din domeniul protecției datelor cu caracter personal, urmează să contactați Direcția prevenire, supraveghere și evidență a Direcției generale supraveghere și conformitate a CNPDCP, la telefonul de contact nr. 022-811-801/811-802.

Centrul Național pentru Protecția Datelor cu Caracter Personal cu titlu informativ, comunică că, la data de 22 decembrie curent, Președintele Republicii Moldova Maia SANDU, a semnat Decretul privind aprobarea semnării Protocolului de amendare a Convenției pentru protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal (CETS nr.223).

Protocolul de amendare a Convenției pentru protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal oferă un cadru juridic multilateral, robust și flexibil pentru a facilita fluxul transfrontalier de date și garanții eficiente la utilizarea datelor cu caracter personal. Acest instrument a fost deschis spre semnare de către Consiliul Europei (CoE) la 10 octombrie 2018 și, până în prezent, a fost semnat de către 44 de state, 5 dintre care nu sunt membre ale CoE (Argentina, Tunisia, Mauritius, Uruguay și Federația Rusă) și ratificat de 20 state.

Protocolul este un tratat multilateral elaborat sub egida CoE care, potrivit art.36, este deschis pentru semnare statelor parte la Convenția 108.

Scopul prezentei Convenții este de a proteja orice persoană, indiferent de naționalitatea sau reședința acesteia, în ceea ce privește prelucrarea datelor cu caracter personal, contribuind astfel la respectarea drepturilor și libertăților fundamentale ale omului, în special, a dreptului la viața privată.

Protocolul în sine prevede un șir de inovații, precum:

–          Cerințe mai stricte privind proporționalitatea, principii de minimizare a datelor și legalitatea prelucrării;

–          Extinderea tipurilor de date sensibile, care vor include acum date genetice și biometrice, apartenența la sindicat și originea etnică;

–          Obligația de a notifica încălcări ale datelor;

–          O mai mare transparență a prelucrării datelor;

–          Noi drepturi ale persoanelor aflate într-un context de luare a deciziilor, care sunt deosebit de relevante în legătură cu dezvoltarea inteligenței artificiale;

–          Responsabilitatea sporită a operatorilor de date;

–          Cerința aplicării principiului „confidențialității prin proiectare” (privacy by design);

–          Aplicarea principiilor de protecție a datelor la toate activitățile de prelucrare;

–          Regimul fluxurilor transfrontaliere de date cu caracter personal;

–          Competențe consolidate și independența autorităților de protecție a datelor și îmbunătățirea bazei juridice pentru cooperarea internațională.

Decretul privind semnarea Protocolului a intrat în vigoare la data de 23 decembrie curent și a fost publicat în Monitorul Oficial al Republicii Moldova nr. 428-430 art. 790.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 4,3 milioane de euro aplicată de către Autoritatea Portugheză pentru Protecția Datelor (CNPD) companiei Portuguese National Statistics Institute (INE) pentru încălcarea art. 9 alin. (1); art. 12; art. 13; art. 28 alin. (1), (6) și (7); art. 35 alin. (1), (2) și (3) lit. b); art. 44; art. 46 și art. 83 din GDPR.

În anul 2021, CNPD a primit mai multe plângeri cu privire la recensământul național, care era încă în curs de desfășurare la acel moment. Pentru efectuarea recensământului, INE a utilizat serviciile CDN (rețea de livrare de conținut) ale unei companii americane, Cloudflare, Inc., cu peste 200 de centre de date răspândite în peste 100 de țări. Având în vedere plângerile primite, CNPD a inițiat o anchetă. În acel moment, aproximativ 2,5 milioane de formulare, care conțineau datele cu caracter personal a peste șase milioane de cetățeni cu reședința în Portugalia, fuseseră deja transmise către INE. Având în vedere constatările sale preliminare, CNPD a emis, în temeiul articolului 58 alineatul (2) litera (j) din GDPR, un ordin prin care INE era obligat să suspende, în termen de 12 ore, toate fluxurile de date către SUA și către orice alte țări terțe care nu ofereau un nivel adecvat de protecție, fie prin intermediul Cloudflare, Inc., fie prin intermediul oricărei alte companii. După această măsură corectivă cu caracter preventiv, ancheta a continuat cu alte aspecte ale obiectului plângerilor.

În urma anchetei ulterioare, CNPD a identificat cinci încălcări ale GDPR-ului în contextul prelucrării datelor recensământului din 2021, cu privire la următoarele aspecte: 

· Lipsa legalității pentru prelucrarea categoriilor speciale de date cu caracter personal (art. 9 alin. (1) din GDPR);

· Nerespectarea obligațiilor de transparență (art. 12 și 13 din GDPR), în special în ceea ce privește furnizarea oricăror informații referitoare la operațiunile de prelucrare, de exemplu prin afișarea unei notificări privind confidențialitatea pe site-ul INE;

· Lipsa Evaluării Impactului asupra Protecției Datelor (art. 35 alin. (1), (2) și (3) lit. b) din GDPR);

· Lipsa diligenței necesare cu privire la alegerea persoanei împuternicite de către operator (art. 28 alin. (1), (6) și (7) din GDPR), și anume, prin acceptarea unui contract standard, care nu a fost evaluat în conformitate cu art. 28 alin. (3) din GDPR;

· Nerespectarea cerințelor legale pentru transferurile internaționale de date (art. 44 și art. 46 alin. (2) din GDPR), cum au fost interpretate de CJUE în Hotărârea Schrems II.

În acest context, urmare a faptelor constatate, CNPD a stabilit că operatorul de date a încălcat diferite prevederi din GDPR referitor la prelucrarea datelor recensământului 2021 și, prin urmare, a decis, în temeiul articolului 58 alineatul (2) litera (i) și al articolului 83 din GDPR, precum și a unor dispoziții naționale, să aplice operatorului de date o amendă în valoare de 4,3 milioane de euro. Această decizie este una finală, dar care poate fi contestată în instanțele de judecată naționale.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 20 decembrie 2022, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au organizat un curs de instruire pentru reprezentanții APL din raionul Taraclia. La eveniment au fost prezenți circa 20 de participanți.

Scopul cursului de instruire a fost de a informa, sensibiliza și familiariza reprezentanții APL cu cele mai noi aspecte din domeniul protecției datelor cu caracter personal.

Astfel, în cadrul cursului au fost discutate următoarele subiecte: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; depersonalizarea datelor din cadrul Registrului de stat al actelor locale; filmarea și transmiterea ședințelor consiliilor raionale.

Conform planului de acțiuni privind instruirile din cadrul Consiliilor Raionale pentru anul 2022, CNPDCP a reușit să instruiască toate APL-urile din raioanele Republicii, astfel, acoperind un număr de 938 participanți.

În perioada 13-14 decembrie curent, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat la cea de-a 72-a ședință plenară a Comitetului European pentru Protecția Datelor care a avut loc în or. Bruxelles, Belgia. În cadrul plenarei au fost discutate mai multe subiecte, printre care: bilanțul celei de-a 71-a ședință plenară; agenda preliminară a celei de-a 73-a ședință; alegerea coordonatorului comitetului de supraveghere; decizii pe seama unor acte normative aprobate de Comitetul European, etc.

De asemenea, în perioada 15-16 decembrie, la Strasbourg, Franța, a avut loc cea de-a 57 ședință a Biroului T-PD. În cadrul ședinței respective a fost analizat raportul ședinței nr. 56 a Biroului T-PD care a avut loc în perioada 21-23 septembrie curent; programul de lucru al Comitetului pentru anii 2022-2025; Convenția 108+ starea actuală; Identitatea digitală; Cooperarea cu alte organe și entități ale Consiliului Europei; Evoluții și activități majore în domeniul protecției datelor.

Totodată, participanții au fost informați cu graficul și perioada următoarelor ședințe planificate pentru anul 2023.

„Cerințele, principiile și noile tendințe în domeniul protecției datelor cu caracter personal”, au fost discutate astăzi, 09 decembrie curent, în cadrul cursului de instruire organizat pentru reprezentanții APL din raioanele Criuleni și Dubăsari. Evenimentul a fost desfășurat la sediul Consiliului Raional Criuleni și a întrunit 30 de participanți .

Scopul cursului de instruire a fost de a familiariza, informa și sensibiliza reprezentanții APL-urilor cu cele mai noi și actuale prevederi legale în domeniul protecției datelor cu caracter personal.

În cadrul cursului de instruire au fost abordate următoarele subiecte: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; depersonalizarea datelor din cadrul Registrului de stat al actelor locale; filmarea și transmiterea ședințelor consiliilor raionale.

La finalul cursului, formatorii din cadrul CNPDCP au oferit răspuns la toate întrebările acordate de participanți care au manifestat interes față de cursul organizat.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 600 000 de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei Élécricité de France (EDF) pentru încălcarea articolelor 7, 13, 14, 32 din GDPR și a Codului poștal și al comunicațiilor electronice.

CNIL, a primit numeroase plângeri privind dificultățile întâmpinate de persoanele fizice în ceea ce privește luarea în considerare a drepturilor lor de către compania EDF, care este primul producător de energie din Franța.

În urma investigațiilor, CNIL a constatat mai multe încălcări, cum ar fi:

·        Omisiunea obligației de a colecta consimțământul persoanelor fizice pentru a primi prospecțiuni comerciale prin e-mail (articolele L. 34-5 din Codul poștal și al comunicațiilor electronice și 7 din GDPR)

·        Nerespectarea obligației de informare și de exercitare a drepturilor subiecților de date (articolele 13 și 14 din GDPR)

·        Neasigurarea securității datelor cu caracter personal (articolul 32 din GDPR)

În acest context, CNIL  a impus o amendă în valoare de 600 000 de euro companiei EDF și a făcut-o publică. Cuantumul amenzii a fost decis prin prisma încălcărilor constatate precum și a tuturor măsurilor luate de furnizorul francez de energie în cursul procedurii pentru a se conforma.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La 07 decembrie curent, Centrul Național pentru Protecția Datelor cu Caracter Personal, a organizat un atelier de lucru pentru elevii claselor a V-VI-a din IPLT „Gheorghe Asachi” mun. Chișinău.

Atelierul de lucru a avut drept scop de a informa, sensibiliza și de a le oferi elevilor o vizibilitate ridicată cu privire la protecția datelor cu caracter personal și siguranța copiilor în mediul on-line prin promovarea responsabilizării și a celor mai bune practici de intervenție și sprijin.

 Principalele teme abordate în cadrul atelierului au fost:

– Noțiuni generale de date cu caracter personal (pe înțelesul elevilor);

– Utilizarea creativă, utilă și sigură a internetului;

– Riscurile utilizării internetului;

– Comportamente riscante ce pot avea consecințe negative;

– Atitudini și practici de transmitere a pozelor/înregistrărilor video on-line;

– Comunicarea pe rețelele de socializare, etc.

Evenimentul a fost organizat la inițiativa instituției fiind instruiți circa 120 de elevi.

De asemenea, formatorii din cadrul CNPDCP au organizat mai multe jocuri interactive pentru elevi, discuții pe seama materialelor prezentate, au fost difuzate spoturi video, întrebări pe seama unui joc iar, la final, elevii au acordat întrebări referitoare la domeniul protecției datelor.

De menționat că, CNPDCP a inițiat în luna aprilie a anului curent o campanie  de informare și sensibilizare a comunității școlare, în care au fost organizate instruiri pentru elevii claselor a IV-a din IPLT „Onisifor Ghibu” mun. Chișinău și își propune continuarea acestei campanii și pentru ale instituții locale și naționale.

La data de 22 și 24 noiembrie 2022, reprezentantul Centrului Naţional pentru Protecţia Datelor cu Caracter Personal (CNPDCP), dna Daniela Movila, controlor de stat superior, Direcția prevenire, supraveghere și evidență din cadrul Direcției Generale Supraveghere și Conformitate a desfășurat două webinare în format on-line, din cadrul celei de-a doua ediție a programului „Step in GDPR, Compliance și AML”, organizat de către OTP Bank S.A. și partenerii.

Cele mai importante subiecte abordate în cadrul evenimentelor au vizat: evaluarea impactului asupra protecției datelor, consultarea prealabilă și persoana responsabilă cu protecția datelor cu caracter personal.

Participanții au avut ocazia să adreseze întrebări reprezentatului Autorității naționale de protecție a datelor cu caracter personal față de noile tendințe în domeniul protecției datelor cu caracter personal.

La webinare au participat studenți ai ultimului an de studii, masteranzii şi cadrele didactice din cadrul Universității de Stat din Moldova și Academiei de Studii Economice din Moldova, fiind prezenți în jur de 100 de participanți.