Astăzi, 3 iunie 2022, reprezentanții CNPDCP au instruit autoritățile publice locale (APL), din raionul Ungheni. Evenimentul a fost organizat în format online.

Cursul de instruire a avut drept scop familiarizarea, sensibilizarea și informarea reprezentanților APL-urilor în domeniul protecției datelor cu caracter personal.

Subiectele abordate în cadrul sesiunii de instruire au vizat: definirea datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat a actelor locale.

La sesiunea de instruire au participat circa 21 de primari, consilieri locali precum și reprezentanți ai consiliului raional Ungheni.

Evenimentul, moderat de experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, a fost unul dinamic și productiv, participanții la instruire adresând întrebări privind aplicarea în practică a legislației din domeniul protecției datelor cu caracter personal, inclusiv privind oferirea accesului la informații ce conțin date cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 3,7 milioane de euro aplicată de către Autoritatea Olandeză pentru Protecția Datelor (DPA) Administrației Fiscale pentru prelucrarea ilegală a datelor cu caracter personal pe parcursul mai multor ani în cadrul „facilității de identificare a fraudelor” (FSV). Aceasta era o listă neagră pe care Administrația Fiscală o folosea pentru a înregistra indicii de fraudă, adesea cu repercusiuni majore pentru persoanele care fuseseră incluse în mod eronat pe listă.

Pe parcursul investigației sale privind FSV, DPA a descoperit numeroase încălcări ale Regulamentului General privind Protecția Datelor. De exemplu, Administrația Fiscală nu avea niciun temei legal pentru prelucrarea datelor cu caracter personal de pe listă. În multe cazuri, datele cu caracter personal nici măcar nu erau corecte și, prin urmare, oamenii au fost înregistrați în mod eronat ca fiind posibili evazioniști fiscali. Totodată, lista nu a fost protejată în mod corespunzător, iar supraveghetorul intern al Administrației Fiscale în materie de confidențialitate nu a fost implicat încă din primele etape ale creării listei.

Amenda aplicată Administrației Fiscale este cea mai mare impusă vreodată de DPA. Acest lucru se datorează gravității încălcărilor, numărului mare de persoane afectate și faptului că încălcările au persistat o perioadă lungă de timp.

Amenda de 3,7 milioane de euro cuprinde amenzi multiple pentru 6 încălcări:

·        Administrația Fiscală nu a avut un temei legal pentru prelucrarea datelor cu caracter personal în FSV: 1 milion de euro.

·        Scopul FSV nu a fost descris în mod specific în prealabil: 750.000 de euro.

·        FSV conținea informații incorecte și învechite: 750.000 de euro.

·        Datele cu caracter personal au fost stocate mult prea mult timp: 250 000 de euro.

·        FSV nu a fost protejat în mod corespunzător: 500 000 de euro.

·        Administrația Fiscală a așteptat mai mult de un an pentru a cere sfatul supraveghetorului său intern în materie de confidențialitate cu privire la evaluarea riscurilor legate de utilizarea FSV: 450 000 de euro.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal a constatat încălcarea regulilor de prelucrare a datelor cu caracter personal prin intermediul unui sistem de supraveghere video gestionat de o persoană fizică.

Astfel, în urma examinării unei plângeri depuse de un grup de persoane, s-a reținut că aceștia pretind că vecinul lor le-ar fi încălcat dreptul la viața privată prin intermediul camerei de supraveghere video instalate în vecinătatea acestora. De asemenea, petenții au invocat că sistemul de supraveghere video a fost instalat fără consimțământul lor, ceea ce i-a făcut să se adreseze către CNPDCP pentru a li se oferi suport în scopul protecției datelor personale.

Pentru elucidarea tuturor circumstanțelor invocate în plângere, CNPDCP a solicitat prezența la audiere a proprietarului camerei de supraveghere video, care a confirmat instalarea și gestionarea unui sistem de supraveghere video. Examinarea unghiului de captare a camerei de supraveghere video a scos în evidență că aceasta cuprinde o parte din curtea casei sale și o porțiune din drumul public (stradă), la care au acces un număr nelimitat de subiecți de date cu caracter personal. Totodată, nu s-a desprins faptul că, în raza unghiului de captare al dispozitivului de supraveghere video nimerește proprietatea privată a petenților, or, simplul fapt al reflecției luminei reflectorului dispozitivului de supraveghere video nu presupune prelucrarea (captarea/înregistrarea) datelor cu caracter personal ale petenților prin intermediul acestui sistem.

În cumulul materialelor examinate se va reține că în conformitate cu prevederile art. 2 alin. (4) lit. a) din Legea nr.133/2011 privind protecția datelor cu caracter personal, domeniul de acțiune al acesteia nu se extinde asupra prelucrării datelor cu caracter personal efectuate de către operatori exclusiv pentru nevoi personale sau familiale, dacă prin aceasta nu se încalcă dreptul subiecților de date cu caracter personal.

 În context, se va nota că, în linii generale, prelucrarea datelor cu caracter personal prin intermediul unui sistem de supraveghere video utilizat în scopul protejării proprietății, poate avea loc în următoarele condiții:

1) În cazul în care camerele de supraveghere video captează în exclusivitate spațiul privat, utilizat de proprietarul/gestionarul camerelor pentru nevoi personale și de familie – prelucrarea de date cu caracter personal este exceptată de la aplicabilitatea Legii nr. 133/2011, potrivit art. 2 alin. (4), dacă prin această prelucrare nu se încalcă drepturile subiecților ale căror date sunt captate prin intermediul dispozitivelor.

2) În cazul în care unghiul de captare al camerelor de supraveghere video excede spațiul privat al proprietarului/gestionarului camerelor, utilizat pentru nevoi personale sau familiale, intervine aplicabilitatea legii precitate.

În acest caz, dacă unghiurile de captare ale camerelor sunt orientate către proprietatea privată a persoanelor terțe (inclusiv casele, ușile, geamurile apartamentelor, curțile vecinilor), atunci prelucrarea datelor prin intermediul acestor camere poate avea loc, doar în cazul deținerii consimțământului scris al persoanelor  vizate.   

Respectiv, în urma celor menționate supra, CNPDCP a constatat lipsa încălcării prevederilor Legii nr.133/2011 privind protecția datelor cu caracter personal, la prelucrarea datelor cu caracter personal ce vizează nemijlocit autorii plângerii.

Totodată, a fost constată încălcarea prevederilor art. 4 alin. (1) lit. a) și c) din Legea nr.133/2011 privind protecția datelor cu caracter personal, în partea ce ține de prelucrarea datelor cu caracter personal ale subiecților de date ce utilizează porțiunea de drum/stradă, monitorizată prin intermediul sistemului de supraveghere video reclamat, precum și a fost dispusă suspendarea prelucrării datelor cu caracter personal efectuate în mod excesiv în raport cu scopul declarat.

La data de 25 mai 2022, în incinta Academiei de Administrare Publică, a fost semnat Acordul de colaborare dintre Centrul Național pentru Protecția Datelor cu Caracter Personal și Academia de Administrare Publică. Acordul a fost semnat de către Directorul CNPDCP, Victoria MUNTEAN și Rectorul Academiei, Oleg BALAN.

Scopul Acordului este de a consolida capacitățile funcționale ale instituțiilor și a resurselor umane capabile să contribuie la dezvoltarea competențelor profesionale a personalului și la consolidarea integrității instituționale.

În cadrul ceremoniei de semnare, dna Victoria MUNTEAN, a felicitat conducerea și personalul Academiei pentru activitățile și succesele înregistrate de-a lungul anilor. Totodată, Dna MUNTEAN, a salutat intenția de a semna Acordul de colaborare, deoarece reprezintă o oportunitate de a fortifica colaborarea interinstituțională, prin implicarea personalului din cadrul CNPDCP în calitate de formatori în cadrul Academiei, în scopul familiarizării angajaților din sectorul public cu domeniul protecției datelor cu caracter personal, cu principiile și regulile de prelucrare conformă a datelor.

La rândul său, Dl Oleg BALAN, a apreciat deschiderea din partea CNPDCP în vederea semnării Acordului și a menționat importanța acestui eveniment. Totodată, Dl BALAN a vorbit invitaților despre parcursul istoric al Academiei și despre succesele înregistrate în ultimii ani, menționând restructurarea instituțională și modernizarea procesului de studii. De asemenea, Dl Rector a reliefat buna colaborare cu multiple instituții naționale și internaționale în vederea îmbunătățirii procesului de instruire a funcționarilor publici din țară, astfel, remarcând importanța semnării Acordului de colaborare.

Colaborarea dintre Părți se va axa pe domeniile de competență a capitalului uman; pe politicile de integritate, formare și dezvoltare profesională în instituțiile partenere; pe proiecte comune, inclusiv, de cercetare și de dezvoltare a capacităților instituționale; stagii de practică a masteranzilor și evenimente de interes comun.

În perioada 18-20 mai 2022, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au participat la cea de-a 30 – a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor, desfășurată în orașul Cavtat, Croația.

Conferința de primăvară din acest an, a fost găzduită de Agenția Croată pentru Protecția Datelor cu Caracter Personal (AZOP), încurajând astfel participarea a 40 de țări.

Agenda evenimentului a inclus subiecte de actualitate din domeniul protecției datelor cu caracter personal, precum: Convenția 108+, asistență reciprocă și convergență globală, protecția datelor în jurisprudența CEDO: ultimele evoluții. De asemenea, în cadrul evenimentului au avut loc și panele de discuții pe următoarele subiecte: Cele mai recente evoluții și provocări în ceea ce privește transferurile transfrontaliere de date, monitorizarea previziunii, inovației și tehnologiei, găzduită de Autoritatea Europeană de Protecție a Datelor precum și activități de creștere a gradului de sensibilizare și implementare a proiectelor finanțate de UE în țările UE și din afara UE etc.

Autoritățile membre au adoptat o Rezoluție privind necesitatea ratificării prompte a „Convenției 108+”, versiunea modernizată a Convenției 108. Rezoluția îndeamnă guvernele statelor membre ale Consiliului Europei, guvernele țărilor terțe ale Consiliul Europei, Uniunii Europene și Organizațiile Internaționale să accelereze procesul de semnare și ratificare a Convenției 108+.

La eveniment au participat reprezentanți ai Autorităților pentru Protecția Datelor din Europa Centrală și de Est, Consiliului Europei, Comitetului European pentru Protecția Datelor, Autorității Europene pentru Protecția Datelor, în cadrul căruia au avut o oportunitate extraordinară și unică de a discuta cele mai bune practici și strategii, inclusiv în ceea ce privește propria funcție de previziune, transferuri de date și aplicare a cazurilor transfrontaliere.

În urma controlului efectuat de Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), s-a constatat că doi agenți imobiliari, au accesat datele cu caracter personal stocate în Registrul bunurilor imobile a unui cetățean, cu încălcarea legislației în domeniul protecției datelor cu caracter personal.

În fapt, CNPDCP a fost sesizat printr-o plângere de către un cetățean al RM, în care  a menționat că urmare a realizării drepturilor sale în calitate de subiect de date, a constatat că i-au fost prelucrate neconform datele cu caracter personal referitoare la bunul imobil ce-i aparține.

În urma recepționării explicațiilor din partea agenților imobiliari vizați, s-a reținut că aceștia nu au putut justifica, în mod special, scopul și temeiul legal al prelucrării datelor cu caracter personal referitoare la bunul imobil ce aparține cetățeanului, manifestate prin accesarea băncii centrale de date a cadastrului bunurilor imobile.

Astfel, CNPDCP a atestat faptul că, agenții imobiliari au oferit declarații fără a justifica, în mod special, necesitatea accesării efectuate în raport cu datele cu caracter personal ale deținătorului bunului imobil și a demonstrării legăturii de cauzalitate dintre datele cu caracter personal ale proprietarului bunului și scopul accesării acestora.

Corespunzător speței, urmează a fi remarcate prevederile art. 6 alin. (11) din Legea cadastrului bunurilor imobile nr. 1543/1998, care statuează că, datele despre numărul de identificare de stat (IDNP), data nașterii și domiciliul persoanei fizice se eliberează persoanelor care au drepturi înregistrate în capitolul A, B sau C al registrului bunurilor imobile, reprezentanților acestora, precum și notarilor, avocaților, instituțiilor financiare, întreprinderilor care prestează servicii imobiliare sau execută lucrări cadastrale, persoanelor și autorităților indicate la art. 6 alin. (23) lit. b)–i) și art. 8 alin. (3) din prezenta lege, altor persoane care justifică scopul prelucrării datelor cu caracter personal în conformitate cu Legea nr. 133/2011.

Totuși, prevederea menționată supra, nu oferă drepturi nelimitate la obținerea informației din Registrul bunurilor imobile, fiecare accesare a datelor cu caracter personal, fiind necesar a fi justificată și efectuată doar în cazul în care, persoana are în examinare un „dosar”, care vizează subiectul de date (spre exemplu: cerere, petiție, contract, dosar în instanța de judecată etc.) demonstrând astfel o legătură de cauzalitate directă dintre datele cu caracter personal prelucrate și subiectul vizat.

Tot aici, CNPDCP relevă faptul că, informațiile cu caracter deschis despre bunul imobil conținute în Cadastrul bunurilor imobile pot fi accesate de orice solicitant prin intermediul portalului informațional E-Cadastru, spre exemplu: tipul obiectului, numărul cadastral, adresa, modul de folosință, suprafața bunului. Accesarea datelor deschise nu se jurnalizează de către sistemul nominalizat.

Totodată, informația despre titularul/proprietarul bunului nu are un caracter deschis și poate fi accesată doar de către utilizatorii autorizați, în baza contractului încheiat cu ASP, urmare a autentificării în sistem prin logare, or, în situația în care utilizatorul autorizat accesează informația despre proprietarul bunului, această operațiune de prelucrare a datelor cu caracter personal este reflectată în auditul/jurnalizarea accesărilor, care ulterior poate fi prezentat de către Agenția Servicii Publice la solicitarea subiectului de date cu caracter personal, astfel, oferindu-i ultimului un control asupra datelor sale.

Prin urmare, agentul imobiliar are obligația de a prelucra datele cu caracter personal numai în scopuri bine-determinate, explicite și legitime, adecvate, pertinente și neexcesive, în raport cu interesele care rezultă din specificul activității sale.

Respectiv, în speța deplânsă, CNPDCP nu a desprins cu certitudine scopul determinat, explicit și legitim, temeiul legal al operațiunilor de accesare a datelor cu caracter personal ce vizează proprietarul imobilului, corectitudinea și concordanța cu normele legale a accesării, fiind reținută încălcarea de către agenții imobiliari a art. 4 alin. (1) lit. a), b) și art. 5 a Legii nr. 133/2011.

CNPDCP reiterează faptul că scopul Legii 133/2011 este de a asigura protecția drepturilor și libertăților fundamentale ale persoanei fizice în ceea ce privește prelucrarea datelor cu caracter personal, în special dreptul la inviolabilitatea vieții intime, familiale și private.

Astăzi, 20 mai curent, Centrul Național pentru Protecția Datelor cu Caracter Personal a organizat un curs de instruire cu tema: „Cerințele, principiile și noile tendințe din domeniul protecției datelor cu caracter personal” pentru reprezentanții APL-urilor din r. Sîngerei.

Cursul de instruire a avut drept scop de a consolida capacitățile reprezentanților APL-urilor prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

În cadrul cursului de instruire au fost discutate mai multe subiecte, printre cele mai importante se numără: definirea datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat a actelor locale.

Cursul de instruire s-a desfășurat în format online, fiind unul productiv și interactiv, participanții au acordat întrebări și au mulțumit formatorilor pentru prezentarea utilă oferită.

În Monitorul Oficial al Republicii Moldova Nr. 151-157 din 20 mai 2022, a fost publicat Ordinul Nr. 33 din 22 aprilie 2022 cu privire la aprobarea Contractului standard pentru transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un  nivel adecvat de protecție a datelor cu caracter personal.

Contractul Standard, a fost elaborat în scopul implementării art. 32 alin. (5) lit. i) din Legea 133/2011 privind protecția datelor cu caracter personal, iar clauzele acestuia stabilesc garanții adecvate, inclusiv drepturi opozabile ale subiecților de date și căi de atac eficiente în ceea ce privește transmiterile transfrontaliere de date de la operatori către operatori, de la operatori către persoane împuternicite de operatori și/sau de la persoane împuternicite de operatori către operatori, cu condiția să nu fie modificate, cu excepția selectării modulului corespunzător sau a adăugării de informații ori a actualizării informațiilor prevăzute în anexe.

Astfel, operatorii de date pot să-și ajusteze activitățile lor în cadrul transmiterii transfrontaliere a datelor cu caracter personal prin prisma Contractului standard pentru transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un  nivel adecvat de protecție a datelor cu caracter personal, aprobat prin Ordinul Directorului CNPDCP nr. 33 din 22 aprilie 2022.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 1,5 milioane de euro aplicată de către Autoritatea Franceză pentru Protecția Datelor (CNIL) companiei Dedalus Biologie pentru încălcarea articolelor 28, 29 și 32 din GDPR.

La data de 23 februarie 2021, în presă a fost dezvăluită o încălcare masivă a datelor cu caracter personal privind aproape 500.000 de persoane, de către compania Dedalus Biologie. Numele, prenumele, numărul de asigurare socială, numele medicului prescriptor, data examinării, dar mai ales informațiile medicale (HIV, boli genetice, tratament medicamentos sau date genetice) ale acestor persoane au fost publicate pe internet.

Autoritatea franceză pentru Protecția Datelor a efectuat mai multe investigații la fața locului și online, referitor la compania Dedalus Biologie, care vinde soluții software pentru laboratoarele de analize medicale. Pe baza elementelor colectate în timpul investigațiilor, CNIL a identificat trei încălcări. În primul rând, în contextul migrării unui pachet software către un alt instrument, solicitat de două laboratoare care utilizează serviciile Dedalus Biologie, acesta din urmă a extras un volum de date mai mare decât cel cerut. Prin urmare, compania a prelucrat date dincolo de instrucțiunile impuse de operatorul de date și nu a respectat articolul 29 din GDPR. În al doilea rând, compania nu a asigurat securitatea datelor cu caracter personal, contrar articolului 32 din GDPR. Numeroase breșe tehnice și organizatorice au fost constatate în contextul migrării software-ului către un alt soft: lipsa unei proceduri specifice pentru operațiunile de migrare a datelor; lipsa criptării datelor cu caracter personal stocate pe serverul companiei; lipsa ștergerii automate a datelor după migrarea către alt soft; lipsa autentificării necesare de pe internet pentru a accesa zona publică a serverului; lipsa unei proceduri de monitorizare și raportare a alertelor de securitate pe server. Totodată s-a stabilit că, condițiile generale de vânzare propuse de Dedalus Biologie și contractele de mentenanță transmise către CNIL nu conțineau mențiunile prevăzute la articolul 28 alineatul (3) din GDPR.

În acest context, CNIL a impus operatorului o amendă administrativă în valoare de 1,5 milioane de euro pentru încălcarea articolelor 28, 29 și 32 din GDPR și a făcut publică decizia.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

La data de 12 mai 2022, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au instruit angajații Serviciului Fiscal de Stat în domeniul protecției datelor cu caracter personal.

Scopul sesiunii de instruire a fost de a familiariza funcționarii fiscali cu aspecte ce țin de protecția datelor cu caracter personal în serviciul public, reglementarea procedeelor de prelucrare, regimul de confidențialitate și de securitate a datelor cu caracter personal în conformitate cu cadrul normativ.

Sesiunea de instruire a fost organizată în format online la care au participat 1150 de funcționari fiscali.

Cele mai importante subiecte abordate în cadrul sesiunii au fost: definirea datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; confidențialitatea datelor cu caracter personal; securitatea prelucrării datelor cu caracter personal.

Sesiunea de instruire a fost organizată la sediul Serviciului Fiscal de Stat și a fost moderată de către reprezentanții Direcției Juridice și Direcției Prevenire, Supraveghere și Evidență din cadrul CNPDCP.

La rândul lor, reprezentanții fiscali au adresat întrebări în domeniul protecției datelor și au mulțumit formatorilor pentru răspunsuri și informații utile expuse în prezentare.