La data de 21 iunie curent, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a instruit angajații din cadrul Secretariatului Parlamentului în domeniul protecției datelor cu caracter personal.

Scopul cursului de instruire a fost de a familiariza reprezentanții Parlamentului cu cele mai noi tendințe din domeniul protecției datelor cu caracter personal. Astfel, participanții au avut posibilitatea să-și fortifice cunoștințele asupra următoarelor subiecte: noțiunile generale privind protecția datelor cu caracter personal; principiile de protecție a datelor cu caracter personal; drepturile subiecților de date cu caracter personal; evaluarea impactului asupra protecției datelor; persoana responsabilă de protecţia datelor cu caracter personal; asigurarea securității și confidențialității datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor.

Sesiunea de instruire a fost organizată pentru circa 70 de reprezentanți ai Parlamentului RM.

Centrul Național pentru Protecția Datelor cu Caracter Personal, la data de 17 iunie 2022, a desfășurat instruirea autorităților publice locale (APL) din raionul Călărași, în domeniul protecției datelor cu caracter personal.

Cursul de instruire a fost organizat în format online și a avut drept scop de a consolida capacitățile reprezentanților APL-urilor prin familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

În cadrul sesiunii de instruire, moderatorii din cadrul Direcției Juridice și Direcției Prevenire, Supraveghere și Evidență au abordat subiecte ce țin de: definirea datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat a actelor locale.

La rândul lor, reprezentanții APL-urilor din raion au acordat întrebări formatorilor privind aplicarea în practică a cadrului normativ în domeniul protecției datelor precum și oferirea accesului la informații ce conțin date cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea conducerii Centrului Național pentru Protecția Datelor cu Caracter Personal, la cea de-a 66-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a avut loc la data de 14-15 iunie curent, la Bruxelles, Belgia.

În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

·        Orientări privind certificarea ca instrument pentru transferuri. Scopul principal al acestor orientări este de a oferi clarificări suplimentare cu privire la utilizarea practică a acestui instrument de transfer. Orientările sunt compuse din patru părți, fiecare dintre acestea concentrându-se asupra unor aspecte specifice privind certificarea ca instrument pentru transferuri, cum ar fi: scopul, domeniul de aplicare și diferiții actori implicați; orientări de punere în aplicare privind cerințele de acreditare pentru organismele de certificare; criterii de certificare specifice în scopul demonstrării existenței unor garanții adecvate pentru transferuri; și angajamentele obligatorii și executorii care trebuie puse în aplicare. Orientările vor face obiectul unei consultări publice până la sfârșitul lunii septembrie.

·        O decizie de soluționare a litigiului pe baza art. 65 din GDPR. Decizia cu caracter obligatoriu urmărește să abordeze lipsa de consens cu privire la anumite aspecte ale unui proiect de decizie emis de SA franceză în calitate de autoritate de supraveghere principală (LSA) cu privire la Accor SA, o societate specializată în sectorul hotelier al cărei sediu principal este situat în Franța, precum și obiecțiile ulterioare exprimate de una dintre autoritățile de supraveghere vizate. Decizia abordează temeinicia părții de obiecție considerată „relevantă și motivată” în conformitate cu cerințele art. 4(24) din GDPR. LSA va adopta decizia sa finală, adresată operatorului, pe baza deciziei CEPD, fără întârzieri nejustificate și cel târziu la o lună de la notificarea deciziei CEPD.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Sesiunilor Plenare organizate de către CEPD, cât și despre ponderea documentelor adoptate în cadrul acestora.

Astăzi, 10 iunie curent, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), au instruit angajații Agenției Naționale pentru Siguranța Alimentelor (ANSA), în domeniul protecției datelor cu caracter personal.

Scopul cursului de instruire a fost de a familiariza funcționarii ANSA cu principalele aspecte ce țin de domeniul protecției datelor cu caracter personal și prelucrarea datelor cu caracter personal.

Principalele subiecte abordate în cadrul sesiunii de instruire au fost: definirea datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale; evaluarea impactului asupra protecției datelor; desemnarea funcției și sarcinile responsabilului de protecția datelor.

Instruirea a fost organizată la sediul ANSA, la care au participat circa 60 de reprezentanți. Cursul a fost unul productiv și interactiv, reprezentanții ANSA au acordat întrebări formatorilor CNPDCP și au mulțumit pentru informația utilă prezentată.

Astăzi, 3 iunie 2022, reprezentanții CNPDCP au instruit autoritățile publice locale (APL), din raionul Ungheni. Evenimentul a fost organizat în format online.

Cursul de instruire a avut drept scop familiarizarea, sensibilizarea și informarea reprezentanților APL-urilor în domeniul protecției datelor cu caracter personal.

Subiectele abordate în cadrul sesiunii de instruire au vizat: definirea datelor cu caracter personal; prelucrarea categoriilor speciale de date cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat a actelor locale.

La sesiunea de instruire au participat circa 21 de primari, consilieri locali precum și reprezentanți ai consiliului raional Ungheni.

Evenimentul, moderat de experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, a fost unul dinamic și productiv, participanții la instruire adresând întrebări privind aplicarea în practică a legislației din domeniul protecției datelor cu caracter personal, inclusiv privind oferirea accesului la informații ce conțin date cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 3,7 milioane de euro aplicată de către Autoritatea Olandeză pentru Protecția Datelor (DPA) Administrației Fiscale pentru prelucrarea ilegală a datelor cu caracter personal pe parcursul mai multor ani în cadrul „facilității de identificare a fraudelor” (FSV). Aceasta era o listă neagră pe care Administrația Fiscală o folosea pentru a înregistra indicii de fraudă, adesea cu repercusiuni majore pentru persoanele care fuseseră incluse în mod eronat pe listă.

Pe parcursul investigației sale privind FSV, DPA a descoperit numeroase încălcări ale Regulamentului General privind Protecția Datelor. De exemplu, Administrația Fiscală nu avea niciun temei legal pentru prelucrarea datelor cu caracter personal de pe listă. În multe cazuri, datele cu caracter personal nici măcar nu erau corecte și, prin urmare, oamenii au fost înregistrați în mod eronat ca fiind posibili evazioniști fiscali. Totodată, lista nu a fost protejată în mod corespunzător, iar supraveghetorul intern al Administrației Fiscale în materie de confidențialitate nu a fost implicat încă din primele etape ale creării listei.

Amenda aplicată Administrației Fiscale este cea mai mare impusă vreodată de DPA. Acest lucru se datorează gravității încălcărilor, numărului mare de persoane afectate și faptului că încălcările au persistat o perioadă lungă de timp.

Amenda de 3,7 milioane de euro cuprinde amenzi multiple pentru 6 încălcări:

·        Administrația Fiscală nu a avut un temei legal pentru prelucrarea datelor cu caracter personal în FSV: 1 milion de euro.

·        Scopul FSV nu a fost descris în mod specific în prealabil: 750.000 de euro.

·        FSV conținea informații incorecte și învechite: 750.000 de euro.

·        Datele cu caracter personal au fost stocate mult prea mult timp: 250 000 de euro.

·        FSV nu a fost protejat în mod corespunzător: 500 000 de euro.

·        Administrația Fiscală a așteptat mai mult de un an pentru a cere sfatul supraveghetorului său intern în materie de confidențialitate cu privire la evaluarea riscurilor legate de utilizarea FSV: 450 000 de euro.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și de a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt conforme legislației în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal a constatat încălcarea regulilor de prelucrare a datelor cu caracter personal prin intermediul unui sistem de supraveghere video gestionat de o persoană fizică.

Astfel, în urma examinării unei plângeri depuse de un grup de persoane, s-a reținut că aceștia pretind că vecinul lor le-ar fi încălcat dreptul la viața privată prin intermediul camerei de supraveghere video instalate în vecinătatea acestora. De asemenea, petenții au invocat că sistemul de supraveghere video a fost instalat fără consimțământul lor, ceea ce i-a făcut să se adreseze către CNPDCP pentru a li se oferi suport în scopul protecției datelor personale.

Pentru elucidarea tuturor circumstanțelor invocate în plângere, CNPDCP a solicitat prezența la audiere a proprietarului camerei de supraveghere video, care a confirmat instalarea și gestionarea unui sistem de supraveghere video. Examinarea unghiului de captare a camerei de supraveghere video a scos în evidență că aceasta cuprinde o parte din curtea casei sale și o porțiune din drumul public (stradă), la care au acces un număr nelimitat de subiecți de date cu caracter personal. Totodată, nu s-a desprins faptul că, în raza unghiului de captare al dispozitivului de supraveghere video nimerește proprietatea privată a petenților, or, simplul fapt al reflecției luminei reflectorului dispozitivului de supraveghere video nu presupune prelucrarea (captarea/înregistrarea) datelor cu caracter personal ale petenților prin intermediul acestui sistem.

În cumulul materialelor examinate se va reține că în conformitate cu prevederile art. 2 alin. (4) lit. a) din Legea nr.133/2011 privind protecția datelor cu caracter personal, domeniul de acțiune al acesteia nu se extinde asupra prelucrării datelor cu caracter personal efectuate de către operatori exclusiv pentru nevoi personale sau familiale, dacă prin aceasta nu se încalcă dreptul subiecților de date cu caracter personal.

 În context, se va nota că, în linii generale, prelucrarea datelor cu caracter personal prin intermediul unui sistem de supraveghere video utilizat în scopul protejării proprietății, poate avea loc în următoarele condiții:

1) În cazul în care camerele de supraveghere video captează în exclusivitate spațiul privat, utilizat de proprietarul/gestionarul camerelor pentru nevoi personale și de familie – prelucrarea de date cu caracter personal este exceptată de la aplicabilitatea Legii nr. 133/2011, potrivit art. 2 alin. (4), dacă prin această prelucrare nu se încalcă drepturile subiecților ale căror date sunt captate prin intermediul dispozitivelor.

2) În cazul în care unghiul de captare al camerelor de supraveghere video excede spațiul privat al proprietarului/gestionarului camerelor, utilizat pentru nevoi personale sau familiale, intervine aplicabilitatea legii precitate.

În acest caz, dacă unghiurile de captare ale camerelor sunt orientate către proprietatea privată a persoanelor terțe (inclusiv casele, ușile, geamurile apartamentelor, curțile vecinilor), atunci prelucrarea datelor prin intermediul acestor camere poate avea loc, doar în cazul deținerii consimțământului scris al persoanelor  vizate.   

Respectiv, în urma celor menționate supra, CNPDCP a constatat lipsa încălcării prevederilor Legii nr.133/2011 privind protecția datelor cu caracter personal, la prelucrarea datelor cu caracter personal ce vizează nemijlocit autorii plângerii.

Totodată, a fost constată încălcarea prevederilor art. 4 alin. (1) lit. a) și c) din Legea nr.133/2011 privind protecția datelor cu caracter personal, în partea ce ține de prelucrarea datelor cu caracter personal ale subiecților de date ce utilizează porțiunea de drum/stradă, monitorizată prin intermediul sistemului de supraveghere video reclamat, precum și a fost dispusă suspendarea prelucrării datelor cu caracter personal efectuate în mod excesiv în raport cu scopul declarat.

La data de 25 mai 2022, în incinta Academiei de Administrare Publică, a fost semnat Acordul de colaborare dintre Centrul Național pentru Protecția Datelor cu Caracter Personal și Academia de Administrare Publică. Acordul a fost semnat de către Directorul CNPDCP, Victoria MUNTEAN și Rectorul Academiei, Oleg BALAN.

Scopul Acordului este de a consolida capacitățile funcționale ale instituțiilor și a resurselor umane capabile să contribuie la dezvoltarea competențelor profesionale a personalului și la consolidarea integrității instituționale.

În cadrul ceremoniei de semnare, dna Victoria MUNTEAN, a felicitat conducerea și personalul Academiei pentru activitățile și succesele înregistrate de-a lungul anilor. Totodată, Dna MUNTEAN, a salutat intenția de a semna Acordul de colaborare, deoarece reprezintă o oportunitate de a fortifica colaborarea interinstituțională, prin implicarea personalului din cadrul CNPDCP în calitate de formatori în cadrul Academiei, în scopul familiarizării angajaților din sectorul public cu domeniul protecției datelor cu caracter personal, cu principiile și regulile de prelucrare conformă a datelor.

La rândul său, Dl Oleg BALAN, a apreciat deschiderea din partea CNPDCP în vederea semnării Acordului și a menționat importanța acestui eveniment. Totodată, Dl BALAN a vorbit invitaților despre parcursul istoric al Academiei și despre succesele înregistrate în ultimii ani, menționând restructurarea instituțională și modernizarea procesului de studii. De asemenea, Dl Rector a reliefat buna colaborare cu multiple instituții naționale și internaționale în vederea îmbunătățirii procesului de instruire a funcționarilor publici din țară, astfel, remarcând importanța semnării Acordului de colaborare.

Colaborarea dintre Părți se va axa pe domeniile de competență a capitalului uman; pe politicile de integritate, formare și dezvoltare profesională în instituțiile partenere; pe proiecte comune, inclusiv, de cercetare și de dezvoltare a capacităților instituționale; stagii de practică a masteranzilor și evenimente de interes comun.

În perioada 18-20 mai 2022, reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal, au participat la cea de-a 30 – a ediție a Conferinței de primăvară a Autorităților Europene de Protecție a Datelor, desfășurată în orașul Cavtat, Croația.

Conferința de primăvară din acest an, a fost găzduită de Agenția Croată pentru Protecția Datelor cu Caracter Personal (AZOP), încurajând astfel participarea a 40 de țări.

Agenda evenimentului a inclus subiecte de actualitate din domeniul protecției datelor cu caracter personal, precum: Convenția 108+, asistență reciprocă și convergență globală, protecția datelor în jurisprudența CEDO: ultimele evoluții. De asemenea, în cadrul evenimentului au avut loc și panele de discuții pe următoarele subiecte: Cele mai recente evoluții și provocări în ceea ce privește transferurile transfrontaliere de date, monitorizarea previziunii, inovației și tehnologiei, găzduită de Autoritatea Europeană de Protecție a Datelor precum și activități de creștere a gradului de sensibilizare și implementare a proiectelor finanțate de UE în țările UE și din afara UE etc.

Autoritățile membre au adoptat o Rezoluție privind necesitatea ratificării prompte a „Convenției 108+”, versiunea modernizată a Convenției 108. Rezoluția îndeamnă guvernele statelor membre ale Consiliului Europei, guvernele țărilor terțe ale Consiliul Europei, Uniunii Europene și Organizațiile Internaționale să accelereze procesul de semnare și ratificare a Convenției 108+.

La eveniment au participat reprezentanți ai Autorităților pentru Protecția Datelor din Europa Centrală și de Est, Consiliului Europei, Comitetului European pentru Protecția Datelor, Autorității Europene pentru Protecția Datelor, în cadrul căruia au avut o oportunitate extraordinară și unică de a discuta cele mai bune practici și strategii, inclusiv în ceea ce privește propria funcție de previziune, transferuri de date și aplicare a cazurilor transfrontaliere.

În urma controlului efectuat de Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), s-a constatat că doi agenți imobiliari, au accesat datele cu caracter personal stocate în Registrul bunurilor imobile a unui cetățean, cu încălcarea legislației în domeniul protecției datelor cu caracter personal.

În fapt, CNPDCP a fost sesizat printr-o plângere de către un cetățean al RM, în care  a menționat că urmare a realizării drepturilor sale în calitate de subiect de date, a constatat că i-au fost prelucrate neconform datele cu caracter personal referitoare la bunul imobil ce-i aparține.

În urma recepționării explicațiilor din partea agenților imobiliari vizați, s-a reținut că aceștia nu au putut justifica, în mod special, scopul și temeiul legal al prelucrării datelor cu caracter personal referitoare la bunul imobil ce aparține cetățeanului, manifestate prin accesarea băncii centrale de date a cadastrului bunurilor imobile.

Astfel, CNPDCP a atestat faptul că, agenții imobiliari au oferit declarații fără a justifica, în mod special, necesitatea accesării efectuate în raport cu datele cu caracter personal ale deținătorului bunului imobil și a demonstrării legăturii de cauzalitate dintre datele cu caracter personal ale proprietarului bunului și scopul accesării acestora.

Corespunzător speței, urmează a fi remarcate prevederile art. 6 alin. (11) din Legea cadastrului bunurilor imobile nr. 1543/1998, care statuează că, datele despre numărul de identificare de stat (IDNP), data nașterii și domiciliul persoanei fizice se eliberează persoanelor care au drepturi înregistrate în capitolul A, B sau C al registrului bunurilor imobile, reprezentanților acestora, precum și notarilor, avocaților, instituțiilor financiare, întreprinderilor care prestează servicii imobiliare sau execută lucrări cadastrale, persoanelor și autorităților indicate la art. 6 alin. (23) lit. b)–i) și art. 8 alin. (3) din prezenta lege, altor persoane care justifică scopul prelucrării datelor cu caracter personal în conformitate cu Legea nr. 133/2011.

Totuși, prevederea menționată supra, nu oferă drepturi nelimitate la obținerea informației din Registrul bunurilor imobile, fiecare accesare a datelor cu caracter personal, fiind necesar a fi justificată și efectuată doar în cazul în care, persoana are în examinare un „dosar”, care vizează subiectul de date (spre exemplu: cerere, petiție, contract, dosar în instanța de judecată etc.) demonstrând astfel o legătură de cauzalitate directă dintre datele cu caracter personal prelucrate și subiectul vizat.

Tot aici, CNPDCP relevă faptul că, informațiile cu caracter deschis despre bunul imobil conținute în Cadastrul bunurilor imobile pot fi accesate de orice solicitant prin intermediul portalului informațional E-Cadastru, spre exemplu: tipul obiectului, numărul cadastral, adresa, modul de folosință, suprafața bunului. Accesarea datelor deschise nu se jurnalizează de către sistemul nominalizat.

Totodată, informația despre titularul/proprietarul bunului nu are un caracter deschis și poate fi accesată doar de către utilizatorii autorizați, în baza contractului încheiat cu ASP, urmare a autentificării în sistem prin logare, or, în situația în care utilizatorul autorizat accesează informația despre proprietarul bunului, această operațiune de prelucrare a datelor cu caracter personal este reflectată în auditul/jurnalizarea accesărilor, care ulterior poate fi prezentat de către Agenția Servicii Publice la solicitarea subiectului de date cu caracter personal, astfel, oferindu-i ultimului un control asupra datelor sale.

Prin urmare, agentul imobiliar are obligația de a prelucra datele cu caracter personal numai în scopuri bine-determinate, explicite și legitime, adecvate, pertinente și neexcesive, în raport cu interesele care rezultă din specificul activității sale.

Respectiv, în speța deplânsă, CNPDCP nu a desprins cu certitudine scopul determinat, explicit și legitim, temeiul legal al operațiunilor de accesare a datelor cu caracter personal ce vizează proprietarul imobilului, corectitudinea și concordanța cu normele legale a accesării, fiind reținută încălcarea de către agenții imobiliari a art. 4 alin. (1) lit. a), b) și art. 5 a Legii nr. 133/2011.

CNPDCP reiterează faptul că scopul Legii 133/2011 este de a asigura protecția drepturilor și libertăților fundamentale ale persoanei fizice în ceea ce privește prelucrarea datelor cu caracter personal, în special dreptul la inviolabilitatea vieții intime, familiale și private.