Conștientizând necesitatea informării, promovării și asigurării protecției drepturilor persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, precum și necesitatea unor eforturi comune în vederea implementării acestor valori, la data de 25 ianuarie 2023, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), reprezentat de către directorul Victoria MUNTEAN și Inspectoratul General al Poliției (IGP), în persoana șefului Viorel CERNĂUȚEANU, au semnat:

– Planul de instruiri în domeniul protecției datelor cu caracter personal, pentru subdiviziunile IGP;

– Protocolul adițional la Acordul de colaborare semnat de Părți în anul 2019.

Scopul primordial stabilit prin Planul de instruiri menționat supra este de a spori gradul de percepție a angajaților din sectorul polițienesc asupra principiilor de protecție a datelor cu caracter personal și asupra asigurării implementării/aplicării corecte în activitatea cotidiană a prevederilor legale din domeniul protecției datelor. Planul de instruiri a fost elaborat și aprobat de comun acord și prevede petrecerea instruirilor în cadrul tuturor subdiviziunilor IGP.

De asemenea, instituțiile menționate au convenit asupra semnării unui Protocol adițional la Acordul de colaborare semnat de Părți în anul 2019. Protocolul adițional are statuate drept obiective de interes comun:

 a) Consolidarea relațiilor reciproce de colaborare și schimb de informație/experiență în domeniul protecției datelor cu caracter personal, precum și în alte domenii de interes comun, în condițiile legii;

b) Organizarea și desfășurarea, în cadrul Inspectoratului General al Poliției sau a Centrului Național pentru Protecția Datelor cu Caracter Personal, a instruirilor, seminarelor, întâlnirilor/vizitelor de lucru, meselor-rotunde pentru discutarea proiectelor comune de activitate, inclusiv instituirii și gestionării sistemelor informaționale care consemnează date cu caracter personal;

c) Cooperarea urmează să asigure continuitatea și durabilitatea eforturilor întru îmbunătățirea continuă a realizării scopului privind asigurarea protecției drepturilor și libertăților fundamentale ale cetățenilor în ceea ce privește prelucrarea datelor cu caracter personal în conformitate cu cele mai bune standarde și practici naționale și internaționale existente.

La fel, este de menționat faptul că evenimentul de semnare a actelor menționate supra face parte inclusiv din activitățile preconizate a fi organizate de CNPDCP în contextul Zilei protecției datelor, celebrate anual la data de 28 ianuarie.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 230 000 de euro aplicată de către Autoritatea Finlandeză pentru Protecția Datelor (SA) companiei Viking Line pentru prelucrarea ilegală a datelor cu caracter personal privind starea de sănătate ale angajaților.

SA finlandeză a inițiat investigația activităților companiei Viking Line pe baza unei plângeri. Un fost angajat al companiei a informat SA finlandeză că nu a primit toate datele sale cu caracter personal stocate în sistemele companiei, în pofida cererii sale. Potrivit angajatului, Viking Line a păstrat  datele cu caracter personal privind starea de sănătate ale angajaților într-un sistem al managementului resurselor umane timp de 20 de ani. Totodată, potrivit acestuia, unele informații de diagnosticare stocate erau inexacte.

În urma investigațiilor s-a constatat că, păstrarea informațiilor de diagnostic în legătură cu alte date legate de angajare este contrar prevederilor legale. De asemenea, datele cu caracter personal privind starea de sănătate ar fi trebuit șterse imediat când stocarea lor nu mai era necesară. Totodată, Viking Line nu și-a informat în mod corespunzător angajații cu privire la prelucrarea datelor lor cu caracter personal

 În acest context, SA finlandeză a emis o amendă administrativă în valoare de 230.000 euro companiei Viking Line pentru mai multe încălcări ale legislației privind protecția datelor. La fel, SA finlandeză a dispus companiei să-și corecteze practicile și să-și informeze angajații cu privire la prelucrarea datelor lor cu caracter personal, conform cerințelor GDPR.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 5 milioane de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) rețelei de socializare TIKTOK pentru prelucrarea ilegală a datelor cu caracter personal.

În perioada mai 2020 – iunie 2022, CNIL a efectuat mai multe investigații on-line pe site-ul „tiktok.com”, în sesiune nelogată și nu pe aplicația mobilă. În urma investigațiilor efectuate s-a constatat că, deși companiile TIKTOK UK și TIKTOK IRELAND au oferit un buton care permite acceptarea imediată a cookie-urilor, nu au pus în aplicare o soluție echivalentă care să permită utilizatorului de internet să le refuze la fel de ușor.

Pe baza constatărilor efectuate, CNIL a concluzionat că TIKTOK INFORMATION TECHNOLOGIES UK LIMITED (TIKTOK UK) și TIKTOK TECHNOLOGY LIMITED (TIKTOK IRELAND) nu și-au respectat obligațiile stabilite în baza  articolul 82 din Legea franceză privind protecția datelor, încălcând libertatea consimțământului utilizatorilor de internet și neinformarea acestora într-o manieră suficient de precisă cu privire la scopurile cookie-urilor, nici pe bannerul de informare de prim nivel, nici în contextul interfeței de alegere accesibilă după clic pe un link din banner.

În acest context, CNIL a emis o amendă în valoare de 5 milioane de euro rețelei de socializare TIKTOK. Cuantumul acestei amenzi a fost decis pe baza încălcărilor identificate, a numărului de persoane vizate – inclusiv a minorilor – și a numeroaselor comunicări anterioare din partea CNIL asupra faptului că trebuie tot atât de simplu să refuzi cookie-urile cât să le și accepți.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda totală în valoare de 390 milioane de euro aplicată de către Autoritatea Irlandeză pentru Protecția Datelor (SA) rețelelor de socializare Facebook și Instagram pentru încălcarea prevederilor legale stabilite de GDPR.

În urma deciziilor obligatorii ale EDPB de soluționare a litigiilor din 5 decembrie 2022, SA Irlandeză și-a adoptat deciziile referitoare la Facebook și Instagram (Meta Platforms Ireland Limited, „Meta IE”). Aceste decizii sunt rezultatul unor anchete bazate pe plângeri cu privire la activitățile Facebook și Instagram, în special în ceea ce privește legalitatea și transparența prelucrării pentru publicitatea comportamentală. Meta IE a fost amendat cu 210 milioane de euro în decizia Facebook și 180 de milioane de euro în decizia Instagram de către SA Irlandeză.

 Aceste decizii obligatorii au fost adoptate în baza art. 65 alineatul (1) litera (a) din GDPR, după ce SA Irlandeză, a declanșat două proceduri de soluționare a litigiilor cu privire la obiecțiile formulate de autoritățile de supraveghere vizate din zece țări în fiecare caz. Totodată, acestea au formulat obiecții cu privire la temeiul juridic al prelucrării (art. 6 din GDPR), la principiile de protecție a datelor (art. 5 din GDPR) și la utilizarea de măsuri corective, inclusiv amenzi.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova (CNPDCP) reamintește că un an în urmă prin Legea nr. 175/2021 pentru modificarea unor acte normative a fost instituită obligația operatorului și a persoanei împuternicite de operator de a desemna o persoană responsabilă cu protecția datelor cu caracter personal, în cazurile prevăzute de art. 25 al Legii nr. 133/2011 privind protecția datelor cu caracter personal.

În conformitate cu prevederile statuate în alin. (6) din același articol, operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale persoanei responsabile cu protecția datelor și de a le comunica CNPDCP.

În acest sens, CNPDCP anunță despre lansarea unui ciclu de instruiri a persoanelor responsabile cu protecția datelor cu caracter personal. Obiectivul de bază al instruirilor este dezvoltarea cunoștințelor teoretice în domeniul protecției datelor cu caracter personal și a deprinderilor practice privind aplicarea actelor normative și cerințelor legislației din domeniu (Durata 3-4 ore).

Vă îndemnăm să vă înregistrați din timp, întrucât instruirile inițial vor fi organizate cu prezența fizică la sediul CNPDCP, în număr de cel mult de 20 persoane, reieșind din capacitățile disponibile.

Instruirile vor fi organizate în limba română.

Persoanele interesate sunt invitate să transmită la adresa centru@datepersonale.md  solicitarea de participare cu specificarea obligatorie a lunii pentru care optează, denumirea operatorului/operatorilor, pe care îl/le reprezintă, data și denumirea actului prin care au fost numiți în funcție de persoană responsabilă cu protecția datelor cu caracter personal și datele de contact (numărul de telefon și e-mail).

Pentru oricare informație suplimentară, inclusiv în vederea conformării activității legate de prelucrarea datelor cu caracter personal la prevederile legale din domeniul protecției datelor cu caracter personal, urmează să contactați Direcția prevenire, supraveghere și evidență a Direcției generale supraveghere și conformitate a CNPDCP, la telefonul de contact nr. 022-811-801/811-802.

Centrul Național pentru Protecția Datelor cu Caracter Personal cu titlu informativ, comunică că, la data de 22 decembrie curent, Președintele Republicii Moldova Maia SANDU, a semnat Decretul privind aprobarea semnării Protocolului de amendare a Convenției pentru protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal (CETS nr.223).

Protocolul de amendare a Convenției pentru protecția persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal oferă un cadru juridic multilateral, robust și flexibil pentru a facilita fluxul transfrontalier de date și garanții eficiente la utilizarea datelor cu caracter personal. Acest instrument a fost deschis spre semnare de către Consiliul Europei (CoE) la 10 octombrie 2018 și, până în prezent, a fost semnat de către 44 de state, 5 dintre care nu sunt membre ale CoE (Argentina, Tunisia, Mauritius, Uruguay și Federația Rusă) și ratificat de 20 state.

Protocolul este un tratat multilateral elaborat sub egida CoE care, potrivit art.36, este deschis pentru semnare statelor parte la Convenția 108.

Scopul prezentei Convenții este de a proteja orice persoană, indiferent de naționalitatea sau reședința acesteia, în ceea ce privește prelucrarea datelor cu caracter personal, contribuind astfel la respectarea drepturilor și libertăților fundamentale ale omului, în special, a dreptului la viața privată.

Protocolul în sine prevede un șir de inovații, precum:

–          Cerințe mai stricte privind proporționalitatea, principii de minimizare a datelor și legalitatea prelucrării;

–          Extinderea tipurilor de date sensibile, care vor include acum date genetice și biometrice, apartenența la sindicat și originea etnică;

–          Obligația de a notifica încălcări ale datelor;

–          O mai mare transparență a prelucrării datelor;

–          Noi drepturi ale persoanelor aflate într-un context de luare a deciziilor, care sunt deosebit de relevante în legătură cu dezvoltarea inteligenței artificiale;

–          Responsabilitatea sporită a operatorilor de date;

–          Cerința aplicării principiului „confidențialității prin proiectare” (privacy by design);

–          Aplicarea principiilor de protecție a datelor la toate activitățile de prelucrare;

–          Regimul fluxurilor transfrontaliere de date cu caracter personal;

–          Competențe consolidate și independența autorităților de protecție a datelor și îmbunătățirea bazei juridice pentru cooperarea internațională.

Decretul privind semnarea Protocolului a intrat în vigoare la data de 23 decembrie curent și a fost publicat în Monitorul Oficial al Republicii Moldova nr. 428-430 art. 790.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 4,3 milioane de euro aplicată de către Autoritatea Portugheză pentru Protecția Datelor (CNPD) companiei Portuguese National Statistics Institute (INE) pentru încălcarea art. 9 alin. (1); art. 12; art. 13; art. 28 alin. (1), (6) și (7); art. 35 alin. (1), (2) și (3) lit. b); art. 44; art. 46 și art. 83 din GDPR.

În anul 2021, CNPD a primit mai multe plângeri cu privire la recensământul național, care era încă în curs de desfășurare la acel moment. Pentru efectuarea recensământului, INE a utilizat serviciile CDN (rețea de livrare de conținut) ale unei companii americane, Cloudflare, Inc., cu peste 200 de centre de date răspândite în peste 100 de țări. Având în vedere plângerile primite, CNPD a inițiat o anchetă. În acel moment, aproximativ 2,5 milioane de formulare, care conțineau datele cu caracter personal a peste șase milioane de cetățeni cu reședința în Portugalia, fuseseră deja transmise către INE. Având în vedere constatările sale preliminare, CNPD a emis, în temeiul articolului 58 alineatul (2) litera (j) din GDPR, un ordin prin care INE era obligat să suspende, în termen de 12 ore, toate fluxurile de date către SUA și către orice alte țări terțe care nu ofereau un nivel adecvat de protecție, fie prin intermediul Cloudflare, Inc., fie prin intermediul oricărei alte companii. După această măsură corectivă cu caracter preventiv, ancheta a continuat cu alte aspecte ale obiectului plângerilor.

În urma anchetei ulterioare, CNPD a identificat cinci încălcări ale GDPR-ului în contextul prelucrării datelor recensământului din 2021, cu privire la următoarele aspecte: 

· Lipsa legalității pentru prelucrarea categoriilor speciale de date cu caracter personal (art. 9 alin. (1) din GDPR);

· Nerespectarea obligațiilor de transparență (art. 12 și 13 din GDPR), în special în ceea ce privește furnizarea oricăror informații referitoare la operațiunile de prelucrare, de exemplu prin afișarea unei notificări privind confidențialitatea pe site-ul INE;

· Lipsa Evaluării Impactului asupra Protecției Datelor (art. 35 alin. (1), (2) și (3) lit. b) din GDPR);

· Lipsa diligenței necesare cu privire la alegerea persoanei împuternicite de către operator (art. 28 alin. (1), (6) și (7) din GDPR), și anume, prin acceptarea unui contract standard, care nu a fost evaluat în conformitate cu art. 28 alin. (3) din GDPR;

· Nerespectarea cerințelor legale pentru transferurile internaționale de date (art. 44 și art. 46 alin. (2) din GDPR), cum au fost interpretate de CJUE în Hotărârea Schrems II.

În acest context, urmare a faptelor constatate, CNPD a stabilit că operatorul de date a încălcat diferite prevederi din GDPR referitor la prelucrarea datelor recensământului 2021 și, prin urmare, a decis, în temeiul articolului 58 alineatul (2) litera (i) și al articolului 83 din GDPR, precum și a unor dispoziții naționale, să aplice operatorului de date o amendă în valoare de 4,3 milioane de euro. Această decizie este una finală, dar care poate fi contestată în instanțele de judecată naționale.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 20 decembrie 2022, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au organizat un curs de instruire pentru reprezentanții APL din raionul Taraclia. La eveniment au fost prezenți circa 20 de participanți.

Scopul cursului de instruire a fost de a informa, sensibiliza și familiariza reprezentanții APL cu cele mai noi aspecte din domeniul protecției datelor cu caracter personal.

Astfel, în cadrul cursului au fost discutate următoarele subiecte: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; depersonalizarea datelor din cadrul Registrului de stat al actelor locale; filmarea și transmiterea ședințelor consiliilor raionale.

Conform planului de acțiuni privind instruirile din cadrul Consiliilor Raionale pentru anul 2022, CNPDCP a reușit să instruiască toate APL-urile din raioanele Republicii, astfel, acoperind un număr de 938 participanți.

În perioada 13-14 decembrie curent, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au participat la cea de-a 72-a ședință plenară a Comitetului European pentru Protecția Datelor care a avut loc în or. Bruxelles, Belgia. În cadrul plenarei au fost discutate mai multe subiecte, printre care: bilanțul celei de-a 71-a ședință plenară; agenda preliminară a celei de-a 73-a ședință; alegerea coordonatorului comitetului de supraveghere; decizii pe seama unor acte normative aprobate de Comitetul European, etc.

De asemenea, în perioada 15-16 decembrie, la Strasbourg, Franța, a avut loc cea de-a 57 ședință a Biroului T-PD. În cadrul ședinței respective a fost analizat raportul ședinței nr. 56 a Biroului T-PD care a avut loc în perioada 21-23 septembrie curent; programul de lucru al Comitetului pentru anii 2022-2025; Convenția 108+ starea actuală; Identitatea digitală; Cooperarea cu alte organe și entități ale Consiliului Europei; Evoluții și activități majore în domeniul protecției datelor.

Totodată, participanții au fost informați cu graficul și perioada următoarelor ședințe planificate pentru anul 2023.