În perioada 18-20 mai 2022, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au participat la cea de-a 30 – a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor, desfășurată în orașul Cavtat, Croația.

Conferința de primăvară din acest an, a fost găzduită de Agenția Croată pentru Protecția Datelor cu Caracter Personal (AZOP), încurajând astfel participarea a 40 de țări.

Agenda evenimentului a inclus subiecte de actualitate din domeniul protecției datelor cu caracter personal, precum: Convenția 108+, asistență reciprocă și convergență globală, protecția datelor în jurisprudența CEDO: ultimele evoluții. De asemenea, în cadrul evenimentului au avut loc și panele de discuții pe următoarele subiecte: Cele mai recente evoluții și provocări în ceea ce privește transferurile transfrontaliere de date, monitorizarea previziunii, inovației și tehnologiei, găzduită de Autoritatea Europeană de Protecție a Datelor precum și activități de creștere a gradului de sensibilizare și implementare a proiectelor finanțate de UE în țările UE și din afara UE etc.

Autoritățile membre au adoptat o Rezoluție privind necesitatea ratificării prompte a „Convenției 108+”, versiunea modernizată a Convenției 108. Rezoluția îndeamnă guvernele statelor membre ale Consiliului Europei, guvernele țărilor terțe ale Consiliul Europei, Uniunii Europene și Organizațiile Internaționale să accelereze procesul de semnare și ratificare a Convenției 108+.

La eveniment au participat reprezentanți ai Autorităților pentru Protecția Datelor din Europa Centrală și de Est, Consiliului Europei, Comitetului European pentru Protecția Datelor, Autorității Europene pentru Protecția Datelor, în cadrul căruia au avut o oportunitate extraordinară și unică de a discuta cele mai bune practici și strategii, inclusiv în ceea ce privește propria funcție de previziune, transferuri de date și aplicare a cazurilor transfrontaliere.

În urma controlului efectuat de Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), s-a constatat că doi agenți imobiliari, au accesat datele cu caracter personal stocate în Registrul bunurilor imobile a unui cetățean, cu încălcarea legislației în domeniul protecției datelor cu caracter personal.

În fapt, CNPDCP a fost sesizat printr-o plângere de către un cetățean al RM, în care  a menționat că urmare a realizării drepturilor sale în calitate de subiect de date, a constatat că i-au fost prelucrate neconform datele cu caracter personal referitoare la bunul imobil ce-i aparține.

În urma recepționării explicațiilor din partea agenților imobiliari vizați, s-a reținut că aceștia nu au putut justifica, în mod special, scopul și temeiul legal al prelucrării datelor cu caracter personal referitoare la bunul imobil ce aparține cetățeanului, manifestate prin accesarea băncii centrale de date a cadastrului bunurilor imobile.

Astfel, CNPDCP a atestat faptul că, agenții imobiliari au oferit declarații fără a justifica, în mod special, necesitatea accesării efectuate în raport cu datele cu caracter personal ale deținătorului bunului imobil și a demonstrării legăturii de cauzalitate dintre datele cu caracter personal ale proprietarului bunului și scopul accesării acestora.

Corespunzător speței, urmează a fi remarcate prevederile art. 6 alin. (11) din Legea cadastrului bunurilor imobile nr. 1543/1998, care statuează că, datele despre numărul de identificare de stat (IDNP), data nașterii și domiciliul persoanei fizice se eliberează persoanelor care au drepturi înregistrate în capitolul A, B sau C al registrului bunurilor imobile, reprezentanților acestora, precum și notarilor, avocaților, instituțiilor financiare, întreprinderilor care prestează servicii imobiliare sau execută lucrări cadastrale, persoanelor și autorităților indicate la art. 6 alin. (23) lit. b)–i) și art. 8 alin. (3) din prezenta lege, altor persoane care justifică scopul prelucrării datelor cu caracter personal în conformitate cu Legea nr. 133/2011.

Totuși, prevederea menționată supra, nu oferă drepturi nelimitate la obținerea informației din Registrul bunurilor imobile, fiecare accesare a datelor cu caracter personal, fiind necesar a fi justificată și efectuată doar în cazul în care, persoana are în examinare un „dosar”, care vizează subiectul de date (spre exemplu: cerere, petiție, contract, dosar în instanța de judecată etc.) demonstrând astfel o legătură de cauzalitate directă dintre datele cu caracter personal prelucrate și subiectul vizat.

Tot aici, CNPDCP relevă faptul că, informațiile cu caracter deschis despre bunul imobil conținute în Cadastrul bunurilor imobile pot fi accesate de orice solicitant prin intermediul portalului informațional E-Cadastru, spre exemplu: tipul obiectului, numărul cadastral, adresa, modul de folosință, suprafața bunului. Accesarea datelor deschise nu se jurnalizează de către sistemul nominalizat.

Totodată, informația despre titularul/proprietarul bunului nu are un caracter deschis și poate fi accesată doar de către utilizatorii autorizați, în baza contractului încheiat cu ASP, urmare a autentificării în sistem prin logare, or, în situația în care utilizatorul autorizat accesează informația despre proprietarul bunului, această operațiune de prelucrare a datelor cu caracter personal este reflectată în auditul/jurnalizarea accesărilor, care ulterior poate fi prezentat de către Agenția Servicii Publice la solicitarea subiectului de date cu caracter personal, astfel, oferindu-i ultimului un control asupra datelor sale.

Prin urmare, agentul imobiliar are obligația de a prelucra datele cu caracter personal numai în scopuri bine-determinate, explicite și legitime, adecvate, pertinente și neexcesive, în raport cu interesele care rezultă din specificul activității sale.

Respectiv, în speța deplânsă, CNPDCP nu a desprins cu certitudine scopul determinat, explicit și legitim, temeiul legal al operațiunilor de accesare a datelor cu caracter personal ce vizează proprietarul imobilului, corectitudinea și concordanța cu normele legale a accesării, fiind reținută încălcarea de către agenții imobiliari a art. 4 alin. (1) lit. a), b) și art. 5 a Legii nr. 133/2011.

CNPDCP reiterează faptul că scopul Legii 133/2011 este de a asigura protecția drepturilor și libertăților fundamentale ale persoanei fizice în ceea ce privește prelucrarea datelor cu caracter personal, în special dreptul la inviolabilitatea vieții intime, familiale și private.

Astăzi, 20 mai curent, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire cu tema: „Cerințele, principiile și noile tendințe din domeniul protecției datelor cu caracter personal” pentru reprezentanții APL-urilor din r. Sîngerei.

Cursul de instruire a avut drept scop de a consolida capacitățile reprezentanților APL-urilor prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

În cadrul cursului de instruire au fost discutate mai multe subiecte, printre cele mai importante se numără: definirea datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat a actelor locale.

Cursul de instruire s-a desfășurat în format online, fiind unul productiv și interactiv, participanții au acordat întrebări și au mulțumit formatorilor pentru prezentarea utilă oferită.

În Monitorul Oficial al Republicii Moldova Nr. 151-157 din 20 mai 2022, a fost publicat Ordinul Nr. 33 din 22 aprilie 2022 cu privire la aprobarea Contractului standard pentru transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un  nivel adecvat de protecție a datelor cu caracter personal.

Contractul Standard, a fost elaborat în scopul implementării art. 32 alin. (5) lit. i) din Legea 133/2011 privind protecția datelor cu caracter personal, iar clauzele acestuia stabilesc garanții adecvate, inclusiv drepturi opozabile ale subiecților de date și căi de atac eficiente în ceea ce privește transmiterile transfrontaliere de date de la operatori către operatori, de la operatori către persoane împuternicite de operatori și/sau de la persoane împuternicite de operatori către operatori, cu condiția să nu fie modificate, cu excepția selectării modulului corespunzător sau a adăugării de informații ori a actualizării informațiilor prevăzute în anexe.

Astfel, operatorii de date pot să-și ajusteze activitățile lor în cadrul transmiterii transfrontaliere a datelor cu caracter personal prin prisma Contractului standard pentru transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un  nivel adecvat de protecție a datelor cu caracter personal, aprobat prin Ordinul Directorului CNPDCP nr. 33 din 22 aprilie 2022.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 1,5 milioane de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei Dedalus Biologie pentru încălcarea articolelor 28, 29 și 32 din GDPR.

La data de 23 februarie 2021, în presă a fost dezvăluită o încălcare masivă a datelor cu caracter personal privind aproape 500.000 de persoane, de către compania Dedalus Biologie. Numele, prenumele, numărul de asigurare socială, numele medicului prescriptor, data examinării, dar mai ales informațiile medicale (HIV, boli genetice, tratament medicamentos sau date genetice) ale acestor persoane au fost publicate pe internet.

Autoritatea franceză pentru Protecția Datelor a efectuat mai multe investigații la fața locului și online, referitor la compania Dedalus Biologie, care vinde soluții software pentru laboratoarele de analize medicale. Pe baza elementelor colectate în timpul investigațiilor, CNIL a identificat trei încălcări. În primul rând, în contextul migrării unui pachet software către un alt instrument, solicitat de două laboratoare care utilizează serviciile Dedalus Biologie, acesta din urmă a extras un volum de date mai mare decât cel cerut. Prin urmare, compania a prelucrat date dincolo de instrucțiunile impuse de operatorul de date și nu a respectat articolul 29 din GDPR. În al doilea rând, compania nu a asigurat securitatea datelor cu caracter personal, contrar articolului 32 din GDPR. Numeroase breșe tehnice și organizatorice au fost constatate în contextul migrării software-ului către un alt soft: lipsa unei proceduri specifice pentru operațiunile de migrare a datelor; lipsa criptării datelor cu caracter personal stocate pe serverul companiei; lipsa ștergerii automate a datelor după migrarea către alt soft; lipsa autentificării necesare de pe internet pentru a accesa zona publică a serverului; lipsa unei proceduri de monitorizare și raportare a alertelor de securitate pe server. Totodată s-a stabilit că, condițiile generale de vânzare propuse de Dedalus Biologie și contractele de mentenanță transmise către CNIL nu conțineau mențiunile prevăzute la articolul 28 alineatul (3) din GDPR.

În acest context, CNIL a impus operatorului o amendă administrativă în valoare de 1,5 milioane de euro pentru încălcarea articolelor 28, 29 și 32 din GDPR și a făcut publică decizia.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 12 mai 2022, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au instruit angajații Serviciului Fiscal de Stat în domeniul protecției datelor cu caracter personal.

Scopul sesiunii de instruire a fost de a familiariza funcționarii fiscali cu aspecte ce țin de protecția datelor cu caracter personal în serviciul public, reglementarea procedeelor de prelucrare, regimul de confidențialitate și de securitate a datelor cu caracter personal în conformitate cu cadrul normativ.

Sesiunea de instruire a fost organizată în format online la care au participat 1150 de funcționari fiscali.

Cele mai importante subiecte abordate în cadrul sesiunii au fost: definirea datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; confidențialitatea datelor cu caracter personal; securitatea prelucrării datelor cu caracter personal.

Sesiunea de instruire a fost organizată la sediul Serviciului Fiscal de Stat și a fost moderată de către reprezentanții Direcției Juridice și Direcției Prevenire, Supraveghere și Evidență din cadrul CNPDCP.

La rândul lor, reprezentanții fiscali au adresat întrebări în domeniul protecției datelor și au mulțumit formatorilor pentru răspunsuri și informații utile expuse în prezentare.

Astăzi, 6 mai 2022, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a organizat cea de-a două sesiune de instruire în comunitatea școlară. Și de această dată, grupul țintă, au fost elevii claselor a IV- a B și D din cadrul Instituției Publice Liceul Teoretic „Onisifor Ghibu” din municipiul Chișinău. Sesiunea de instruire a fost organizată în cadrul orei de Dezvoltare personală.

Astfel, elevii au avut posibilitatea să cunoască cele mai importante aspecte în domeniul protecției datelor cu caracter personal, în special cum să-și asigure protecția datelor în mediul on-line.

Subiectele abordate au vizat: noțiuni generale privind datele cu caracter personal; postarea și utilizarea corectă a pozelor pe rețelele de socializare; utilizarea creativă, utilă și sigură a internetului; riscurile utilizării internetului; componentele riscante ce pot avea consecințe negative; atitudini și practici de transmitere a pozelor/înregistrărilor video în mediul online; comunicarea pe rețelele sociale, etc.

De asemenea, elevii au avut parte și de jocuri interactive în cadrul orei precum: completarea unui rebus, joc de rol și runda întrebări-răspunsuri. Copii au manifestat interes față de ora respectivă și au mulțumit organizatorilor pentru informația prezentată.

La data de 6 mai 2022, reprezentanții CNPDCP au instruit autoritățile publice locale (APL), din raionul Florești.

Cursul de instruire a avut drept scop familiarizarea, sensibilizarea și informarea reprezentanților APL-urilor în domeniul protecției datelor cu caracter personal.

Cele mai importante subiecte abordate în cadrul sesiunii au fost: definirea datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat a actelor locale.

Evenimentul a fost organizat în format online. La sesiunea de instruire au participat circa 25 de primari, consilieri locali și reprezentanți ai consiliului raional Florești.

Cursul de instruire a fost moderat de către reprezentanții Direcției Juridice și Direcției Prevenire, Supraveghere și Evidență din cadrul CNPDCP, fiind unul productiv și interactiv pentru participanți, primind răspuns la toate întrebările acordate în domeniul protecției datelor cu caracter personal.

Astăzi, 4 mai 2022, echipa Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a participat la o sesiune de informare și familiarizare cu cele mai importante aspecte în domeniul anticorupție. În cadrul sesiunii de informare, angajații CNPDCP au avut posibilitatea să cunoască aspectele regimului juridic al conflictului de interese; regimului juridic al cadourilor; regimului juridic al neadmiterii, denunțării și tratării; influențelor necorespunzătoare; regimului juridic al neadmiterii, denunțării manifestărilor de corupție și protecția avertizorilor de integritate ș.a. 

Dl Ion Pruteanu, Șeful Direcției Educație Anticorupție, Centrul Național Anticorupție (CNA), în calitate de formator, a menționat că scopul acestor instruiri este de a familiariza instituțiile publice în domeniul anticorupție și a îndemnat ca toți agenții publici să dea dovadă de un comportament integru în realizarea atribuțiilor de serviciu.

Participanții prezenți în sală au manifestat interes sporit față de tematica abordată, au acordat întrebări formatorului și au mulțumit pentru suport și informație utilă.

Astăzi, 29 aprilie curent, în Monitorul Oficial al Republicii Moldova nr. 129-133 a fost publicată Hotărârea de Guvern nr. 282 din 27 aprilie 2022 cu privire la lichidarea Registrului de evidență al operatorilor de date cu caracter personal și abrogarea unor hotărâri ale Guvernului.

Potrivit proiectului, lichidarea Registrului de evidență al operatorilor de date cu caracter personal se va realiza în conformitate cu prevederile art. XXXI alin. (1) și (2) din Legea nr. 175/2021 pentru modificarea unor acte normative, care vine cu modificări ale unor prevederi din Legea nr. 133/2011 privind protecția datelor cu caracter personal și al art.18 alin. (1) și (3) din Legea nr. 71/2007 cu privire la registre.

Hotărârea de Guvern, reglementează modul și procedura de distrugere a datelor și documentelor stocate pe suport de hârtie și în format electronic, actele normative care urmează a fi abrogate, precum și alte prevederi ce stabilesc modul și condițiile de lichidare a registrului.

Astfel, CNPDCP va asigura în limitele competențelor sale, punerea în aplicare a măsurilor necesare pentru realizarea distrugerii registrului conform Hotărârii de Guvern nr. 282/2022.

Amintim că, instituirea și funcționarea Registrului de evidență al operatorilor de date cu caracter personal a fost reglementat de prevederile Hotărârii de Guvern 833/2011 cu privire la aprobarea Conceptului tehnic și al sistemului informațional automatizat „Registru de evidență a operatorilor de date cu caracter personal” și a Hotărârii de Guvern 296/2012 cu privire la aprobarea Regulamentului registrului menționat supra.

Noua Hotărârea de Guvern a fost aprobată în cadrul ședinței Executivului din 27 aprilie 2022.