La 18 noiembrie 2021, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) și Biroul Comisarului pentru Informații și Protecția Datelor din Malta, au semnat un Acord de colaborare în domeniul protecției datelor cu caracter personal. Acordul a fost semnat de către Directorul CNPDCP, Eduard Răducan și Directorul Biroului Comisarului pentru Informații și Protecția Datelor din Malta, Ian Deguara, în cadrul Sesiunii Plenare a Comitetului European pentru Protecția Datelor, Brussels, Belgia.

Acordul prevede dezvoltarea relațiilor de cooperare între cele două instituții pe aspectul obținerii unor progrese constante în domeniul protecției datelor, precum și promovarea bunelor practici care vor crea condiții favorabile pentru asigurarea protecției eficiente a datelor cu caracter personal ale cetățenilor Republicii Malta și Republicii Moldova.

CNPDCP precizează că acordul este direcționat spre diverse activități care vor impulsiona schimbul de informații privind aplicarea legilor, regulamentelor, standardelor și recomandărilor europene în domeniul protecției datelor cu caracter personal, schimbul de experți pe termen scurt în vederea dezvoltării profesionale reciproce în sectoare specifice, cooperarea în domeniul instruirii profesionale și calificării, consultări, seminare, conferințe, ateliere de lucru, vizite de studiu, organizarea activităților focusate pe promovarea protecției vieții private și a datelor cu caracter personal, cooperare în vederea organizării proiectelor de interes comun pentru ambele instituții la nivel regional și național, etc.

Amintim că, CNPDCP mai are încheiate alte 14 acorduri la nivel național de colaborare cu instituții din diferite domenii de activitate, precum și 8 acorduri de colaborare internațională cu autoritățile de protecție a datelor cu caracter personal din România, Ucraina, Georgia, Italia, Ungaria, Letonia, etc.

La data de 19 noiembrie, a fost desfășurată Acțiunea publică – ”Protejează datele cu caracter personal”, organizată de reprezentanții CNPDCP.  Publicul țintă – locuitorii raionului Ialoveni, au fost sensibilizați cu privire la importanța protecției datelor cu caracter personal.

Acțiunea s-a desfășurat în preajma Consiliului Raional Ialoveni, iar cetățenii au fost informați despre noțiunea de date cu caracter personal, drepturile subiecților de date, măsurile de securitate și confidențialitate a datelor, precum și despre principiile protecției datelor cu caracter personal. Totodată, aceștia au fost sensibilizați cu privire la posibilele situații în care datele cu caracter personal nu sunt prelucrate în conformitate cu prevederile legislației naționale din domeniu, de către operatorii de date cu caracter personal, iar reprezentantul Direcției Juridice, le-a oferit îndrumări și recomandări practice care ar trebui întreprinse în astfel de situații.

Scopul acestei acțiuni a fost de a educa, motiva și încuraja cetățenii Republicii Moldova să acorde o atenție sporită protecției datelor cu caracter personal ce îi vizează.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea conducerii Centrului Național Pentru Protecția Datelor cu Caracter Personal, la cea de-a 57-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a avut loc cu prezența fizică, la data de 18 noiembrie curent, la Brussels, Belgia.

În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

·  Linii directorii privind interacțiunea dintre art. 3 și capitolul V din GDPR. Prin clarificarea interacțiunii dintre domeniul de aplicare teritorial al GDPR (art. 3) și prevederile privind transferurile internaționale specificate la capitolul V, Liniile directorii urmăresc să ajute operatorii și persoanele împuternicite de operator din UE să identifice dacă o operațiune de prelucrare constituie un transfer internațional și să ofere o înțelegere comună a conceptului de transfer internațional. Liniile directorii vor fi supuse consultării publice până la sfârșitul lunii ianuarie.

·  Declarația privind pachetul de servicii digitale și strategia de date a Comisiei Europene. În declarația sa, EDPB își reiterează apelul pentru interzicerea oricărei utilizări a Inteligenței Artificiale pentru recunoașterea automatizată a trăsăturilor umane în spații accesibile publicului și îndeamnă colegiuitorul să ia în considerare o eliminare treptată care să conducă la interzicerea publicității direcționate pe bază de urmărire generalizată, în timp ce profilarea copiilor ar trebui în general interzisă.

·  În cele din urmă, EDPB a nominalizat doi reprezentanți ai autorităților de Protecție a Datelor din Belgia și Germania pentru a participa la cea de-a șasea Revizuire Comună a acordului UE-SUA privind finanțarea în scopuri teroriste (TFTP).

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Sesiunilor Plenare organizate de către EDPB, cât și despre ponderea documentelor adoptate în cadrul acestora.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre emiterea unei decizii privind constatarea prelucrării neconforme a datelor cu caracter personal de către primarul unei localități.

Prelucrarea neconformă a datelor cu caracter personal a subiectului de date care a sesizat Autoritatea națională privind protecția datelor cu caracter personal, a fost materializată prin accesarea multiplă de către edilul localității, a datelor conținute în Registrul bunurilor imobile, fără a avea un scop și temei legal, precum și în lipsa consimțământului subiectului de date.

Totodată, în cadrul examinării auditului accesărilor datelor cu caracter personal de către primar, CNPDCP a constat că, edilul a efectuat 134 de accesări a datelor cu caracter personal, de pe 10 adrese IP diferite, dintre care multiple accesări fiind efectuate în afara programului de muncă și în zilele de odihnă.

Astfel în urma efectuării controlului celor sesizate s-a constat încălcarea art. 4, art. 5 și art. 29 din Legea 133/2011 privind protecția datelor cu caracter personal.

Prin urmare, din conținutul circumstanțelor relatate, reiese faptul existenței în acțiunile/inacțiunile primarului a contravenției prevăzute de art. 741 alin. (2) Cod contravențional.

În lumina celor relatate, CNPDCP, în calitate de organ de control al prelucrării datelor cu caracter personal, accentuează asupra obligației legale a operatorilor de date cu caracter personal, de a respecta prevederile cadrului normativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt efectuate în conformitate cu legislația în vigoare.

Totodată, CNPDCP a stabilit prescripții edilului vizat, să înlăture neconformitățile constatate în decizie, și să informeze CNPDCP despre acțiunile efectuate, în termenii stabiliți.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit, în data de 05 noiembrie, curent, reprezentanții autorităților publice locale (APL) din raionul Râșcani. Cursul de instruire a avut drept scop de a consolida capacitățile reprezentaților APL-urilor și familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

Subiectele abordate în cadrul instruirii au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaţionale, etc.

Instruirea a fost organizată la inițiativa CNPDCP, la eveniment participând circa 60 de primari, consilieri locali și secretari ai consiliilor locale ai raionului Râșcani.

Evenimentul, moderat de trei experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, a fost unul dinamic și productiv, participanții la instruire adresând întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.

La data de 11 noiembrie 2021, Centrul Național pentru Protecția Datelor cu Caracter Personal la solicitarea Consiliului Raional Fălești, a organizat o ședință de instruire pentru reprezentanții autorităților publice locale din cadrul raionului Fălești, întru asigurarea implementării conforme a prevederilor legislației privind protecția datelor cu caracter personal. Instruirea a avut loc fizic, la solicitarea Consiliului Raional Fălești la care au fost prezenți aproximativ 55 de persoane.

Subiectele abordate în cadrul instruirii au vizat: noțiuni generale privind protecția datelor cu caracter personal, principiile de protecție a datelor cu caracter personal, drepturile subiecților de date, asigurarea securității și confidențialității datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor.

Cu titlu separat, au fost discutate aspectele legate de depersonalizarea corectă a datelor cu caracter personal ce se conțin în actele administrative ale autorităților publice locale în RSAL, potrivit pct. 13 subpct. 7) al Regulamentului cu privire la modul de ținere a Registrului de stat al actelor locale.

La final, participaţii la instruire au adresat întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.

În adresa CNPDCP a parvenit plângerea unui subiect de date, prin care a fost solicitată verificarea legalității prelucrării datelor cu caracter personal ce îl vizează, manifestată prin transmiterea, de către un centru de sănătate raional, a informațiilor privind starea de sănătate a acestuia, în adresa unui avocat, care, ulterior, le-ar fi prezentat în ședință de judecată, considerând că prin aceste acțiuni i-au fost aduse atingeri vieții private și familiale.

Conform Legii nr. 133/2011 privind protecția datelor cu caracter personal, datele privind starea de sănătate a pacientului, rezultatele investigațiilor, diagnosticul, pronosticul, tratamentul, înscrise în documentația medicală, contrapuse unui pacient, constituie categorii speciale de date cu caracter personal, acestea având un nivel sporit de protecție.

În context, la examinarea speței, CNPDCP a luat în considerare prevederile Legii nr. 133/2011 privind protecția datelor cu caracter personal, ordine în care, prin prisma art. 6 și 7 ale Legii privind protecția datelor cu caracter personal, prelucrarea datelor cu caracter personal privind starea de sănătate ar fi admisă doar în cazul când subiectul datelor cu caracter personal și-a dat consimțământul sau a intervenit una din următoarele situații:

–                     prelucrarea este necesară pentru îndeplinirea obligaţiilor sau drepturilor specifice ale operatorului în domeniul dreptului muncii, cu respectarea garanţiilor prevăzute de lege şi ţinîndu-se cont de faptul că o eventuală dezvăluire către un terţ a datelor cu caracter personal prelucrate în acest scop poate fi efectuată numai dacă există o obligaţie legală a operatorului în acest sens;

–                     prelucrarea este necesară pentru protecţia vieţii, integrităţii fizice sau a sănătății subiectului datelor cu caracter personal ori a altei persoane, în cazul în care subiectul datelor cu caracter personal se află în incapacitate fizică sau juridică de a-şi da consimţămîntul;

–                     prelucrarea se referă la date făcute publice în mod voluntar şi manifest de către subiectul datelor cu caracter personal;

–                     prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în justiție al subiectului datelor cu caracter personal;

–                     prelucrarea este necesară în scopul asigurării securității statului, al reducerii riscului de declanșare sau în cazul declanșării urgențelor de sănătate publică, cu condiția ca aceasta să se efectueze cu respectarea drepturilor subiectului datelor cu caracter personal şi a celorlalte garanții prevăzute de prezenta lege.

Subsidiar, art. 29 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, statuează obligația operatorilor și terților care au acces la datele cu caracter personal de a asigura confidențialitatea acestor date, cu excepția cazurilor:

a)      prelucrarea se referă la date făcute publice în mod voluntar și manifest de către subiectul datelor cu caracter personal;

b)      datele cu caracter personal au fost depersonalizate.

În acord cu prevederile menționate supra, art. 14 din Legea ocrotirii sănătății, statuează că medicii, alți lucrători medico-sanitari, farmaciști sunt obligați să păstreze secretul informațiilor referitoare la boală, la viața intimă și familială a pacientului de care au luat cunoștință în exercițiul profesiunii, cu excepția cazurilor de pericol al răspândirii maladiilor transmisibile, la cererea motivată a organelor de urmărire penală sau a instanțelor judecătorești.

De asemenea, urmează a fi scoase în evidență prevederile Legii nr. 263/2005 cu privire la drepturile și responsabilitățile pacientului, care conține norme juridice speciale care au drept scop consolidarea drepturilor fundamentale ale omului în sistemul serviciilor de sănătate, asigurarea respectării demnității și integrității pacientului, și reieșind din natura datelor sensibile privind starea de sănătate, stabilește condiții stricte de dezvăluire a acestora. Se va accentua că datele privind starea de sănătate a pacientului, prin natura lor, pot prezenta un risc pentru persoanele vizate atunci când sunt prelucrate și, prin urmare, necesită o protecție sporită. Aceste date fac obiectul unui principiu de interdicție și trebuie să existe un număr limitat de circumstanțe în care o astfel de prelucrare este legitimă. Totodată, confidențialitatea datelor medicale reprezintă secret profesional, care este o formă a dreptului la respectarea vieții private. Interzicerea divulgării informațiilor medicale, calificate drept confidențiale este necesară pentru a garanta că instituțiile medico-sanitare asigură dreptul pacientului la respectarea vieții private.

În acest sens, având în vedere conținutul certificatului medical eliberat în adresa avocatului, CNPDCP a constatat că dezvăluirea informației cu privire la natura afecțiunilor ce vizează subiectul de date, care reprezintă date privind starea de sănătate, perioada de timp a tratamentului, precum și data efectuării ultimei vizite la centru de sănătate, a avut loc contrar prevederilor legale menționate supra și principiilor de prelucrare a datelor cu caracter personal prevăzute la art. 4 alin. (1) lit. a) și b), precum și art. 6, 7 și art. 29  din Legea nr. 133/2016 privind protecția datelor cu caracter personal, acțiune încadrabilă în norma contravențională prevăzută de art. 741 alin. (4) Cod Contravențional.

În urma examinării cauzei, CNPDCP a emis decizia de încălcare a principiilor de prelucrare a datelor cu caracter personal și a încheiat procesul-verbal cu privire la contravenție, fiind remis instanței de judecată pentru soluționare, iar ca rezultat persoana cu funcție de răspundere din cadrul Centrului de sănătate raional a fost recunoscută vinovată în comiterea contravenției prevăzute de art. 741 alin. (4) Cod contravențional.

Recomandări:

Ținând cont de prevederile art. 53 din Legea cu privire la avocatură, coroborat cu art. 5 alin. (5) din Legea privind protecția datelor cu caracter personal, solicitarea informației de către un avocat constituie un drept și nu o obligație a acestuia. Respectiv, nu poate fi reținut drept temei legal al operatorul de date – Centrul de sănătate raional, pentru dezvăluirea datelor cu caracter personal ce vizează subiectul datelor cu caracter personal, atâta timp cât prelucrarea nu a fost necesară pentru îndeplinirea expresă a unei obligații care îi revine nemijlocit operatorului conform legii, reprezentantul entității fiind obligat să asigure confidențialitatea datelor cu caracter personal.

Totuși, CNPDCP reține că, în cadrul unui proces de judecată, întru evitarea unei grave încălcări a principiilor de protecție a datelor cu caracter personal prin dezvăluirea neautorizată a acestora, soluționarea cererilor de acces la datele cu caracter personal privind starea de sănătate, se va realiza ținând cont de prevederile art. 118 Cod de procedură civilă, potrivit cărora, circumstanțele care au importanță pentru soluționarea justă a pricinii sunt determinate definitiv de instanța judecătorească pornind de la pretențiile și obiecțiile părților și ale altor participanți la proces, precum și de la normele de drept material și procedural ce urmează a fi aplicate.

Respectiv, părțile sau alți participanți la proces, pot adresa instanței de judecată (judecătorului), în temeiul art. 119 Cod de procedură civilă, o cerere de reclamare a probelor, iar judecătorul, analizând motivele invocate în cererea de reclamare a probei și apreciind proporționalitatea volumului informației pentru soluționarea cauzei civile, va reclama organizațiilor și persoanelor fizice probele necesare.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt în conformitate cu legislația în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit, în data de 07 octombrie, curent, reprezentanții autorităților publice locale (APL) din raionul Căușeni. Cursul de instruire a avut drept scop de a consolida capacitățile reprezentaților APL-urilor și familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

Subiectele abordate în cadrul instruirii au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaţionale, etc.

Instruirea a fost organizată la inițiativa CNPDCP, la evenimentul participând primarii și consilierii locali ai raionului Căușeni.

Evenimentul, moderat de trei experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, a fost unul dinamic și productiv, participanții la instruire adresând întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea conducerii Centrului Național pentru Protecția Datelor cu Caracter Personal la cea de-a 53-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, care a avut loc în perioada 28 – 30 septembrie, curent.

În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·        Convenția 108+, ratificările și aderările actuale;

·        Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

·        Identitatea digitală;

·        Prelucrarea datelor cu caracter personal de către și pentru campaniile politice;

·        Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

·        Clauze contractuale în contextul fluxurilor transfrontaliere de date;

·        Cooperarea cu alte organisme și entități ale Consiliului Europei;

·        Evoluții și activități majore în domeniul protecției datelor cu caracter personal, etc.

Totodată, CNPDCP în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Ședințelor Biroului Comitetului Consultativ al Convenției 108, cât și despre ponderea documentelor adoptate în cadrul acestora.

La data de 6 septembrie 2021, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit angajații Administrației Naționale a Penitenciarelor întru asigurarea implementării conforme a prevederilor legislației privind protecția datelor cu caracter personal. Instruirea a avut loc online la solicitarea Administrației Naționale a Penitenciarelor la care au fost prezenți aproximativ 30 de angajați.

Subiectele abordate în cadrul instruirii au vizat: noțiuni generale privind protecția datelor cu caracter personal, principiile de protecție a datelor cu caracter personal, drepturile subiecților de date, asigurarea securității și confidențialității datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor.

La final, participaţii la instruire au adresat întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.