În adresa CNPDCP a parvenit plângerea unui subiect de date, prin care a fost solicitată verificarea legalității prelucrării datelor cu caracter personal ce îl vizează, manifestată prin transmiterea, de către un centru de sănătate raional, a informațiilor privind starea de sănătate a acestuia, în adresa unui avocat, care, ulterior, le-ar fi prezentat în ședință de judecată, considerând că prin aceste acțiuni i-au fost aduse atingeri vieții private și familiale.

Conform Legii nr. 133/2011 privind protecția datelor cu caracter personal, datele privind starea de sănătate a pacientului, rezultatele investigațiilor, diagnosticul, pronosticul, tratamentul, înscrise în documentația medicală, contrapuse unui pacient, constituie categorii speciale de date cu caracter personal, acestea având un nivel sporit de protecție.

În context, la examinarea speței, CNPDCP a luat în considerare prevederile Legii nr. 133/2011 privind protecția datelor cu caracter personal, ordine în care, prin prisma art. 6 și 7 ale Legii privind protecția datelor cu caracter personal, prelucrarea datelor cu caracter personal privind starea de sănătate ar fi admisă doar în cazul când subiectul datelor cu caracter personal și-a dat consimțământul sau a intervenit una din următoarele situații:

–                     prelucrarea este necesară pentru îndeplinirea obligaţiilor sau drepturilor specifice ale operatorului în domeniul dreptului muncii, cu respectarea garanţiilor prevăzute de lege şi ţinîndu-se cont de faptul că o eventuală dezvăluire către un terţ a datelor cu caracter personal prelucrate în acest scop poate fi efectuată numai dacă există o obligaţie legală a operatorului în acest sens;

–                     prelucrarea este necesară pentru protecţia vieţii, integrităţii fizice sau a sănătății subiectului datelor cu caracter personal ori a altei persoane, în cazul în care subiectul datelor cu caracter personal se află în incapacitate fizică sau juridică de a-şi da consimţămîntul;

–                     prelucrarea se referă la date făcute publice în mod voluntar şi manifest de către subiectul datelor cu caracter personal;

–                     prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în justiție al subiectului datelor cu caracter personal;

–                     prelucrarea este necesară în scopul asigurării securității statului, al reducerii riscului de declanșare sau în cazul declanșării urgențelor de sănătate publică, cu condiția ca aceasta să se efectueze cu respectarea drepturilor subiectului datelor cu caracter personal şi a celorlalte garanții prevăzute de prezenta lege.

Subsidiar, art. 29 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, statuează obligația operatorilor și terților care au acces la datele cu caracter personal de a asigura confidențialitatea acestor date, cu excepția cazurilor:

a)      prelucrarea se referă la date făcute publice în mod voluntar și manifest de către subiectul datelor cu caracter personal;

b)      datele cu caracter personal au fost depersonalizate.

În acord cu prevederile menționate supra, art. 14 din Legea ocrotirii sănătății, statuează că medicii, alți lucrători medico-sanitari, farmaciști sunt obligați să păstreze secretul informațiilor referitoare la boală, la viața intimă și familială a pacientului de care au luat cunoștință în exercițiul profesiunii, cu excepția cazurilor de pericol al răspândirii maladiilor transmisibile, la cererea motivată a organelor de urmărire penală sau a instanțelor judecătorești.

De asemenea, urmează a fi scoase în evidență prevederile Legii nr. 263/2005 cu privire la drepturile și responsabilitățile pacientului, care conține norme juridice speciale care au drept scop consolidarea drepturilor fundamentale ale omului în sistemul serviciilor de sănătate, asigurarea respectării demnității și integrității pacientului, și reieșind din natura datelor sensibile privind starea de sănătate, stabilește condiții stricte de dezvăluire a acestora. Se va accentua că datele privind starea de sănătate a pacientului, prin natura lor, pot prezenta un risc pentru persoanele vizate atunci când sunt prelucrate și, prin urmare, necesită o protecție sporită. Aceste date fac obiectul unui principiu de interdicție și trebuie să existe un număr limitat de circumstanțe în care o astfel de prelucrare este legitimă. Totodată, confidențialitatea datelor medicale reprezintă secret profesional, care este o formă a dreptului la respectarea vieții private. Interzicerea divulgării informațiilor medicale, calificate drept confidențiale este necesară pentru a garanta că instituțiile medico-sanitare asigură dreptul pacientului la respectarea vieții private.

În acest sens, având în vedere conținutul certificatului medical eliberat în adresa avocatului, CNPDCP a constatat că dezvăluirea informației cu privire la natura afecțiunilor ce vizează subiectul de date, care reprezintă date privind starea de sănătate, perioada de timp a tratamentului, precum și data efectuării ultimei vizite la centru de sănătate, a avut loc contrar prevederilor legale menționate supra și principiilor de prelucrare a datelor cu caracter personal prevăzute la art. 4 alin. (1) lit. a) și b), precum și art. 6, 7 și art. 29  din Legea nr. 133/2016 privind protecția datelor cu caracter personal, acțiune încadrabilă în norma contravențională prevăzută de art. 741 alin. (4) Cod Contravențional.

În urma examinării cauzei, CNPDCP a emis decizia de încălcare a principiilor de prelucrare a datelor cu caracter personal și a încheiat procesul-verbal cu privire la contravenție, fiind remis instanței de judecată pentru soluționare, iar ca rezultat persoana cu funcție de răspundere din cadrul Centrului de sănătate raional a fost recunoscută vinovată în comiterea contravenției prevăzute de art. 741 alin. (4) Cod contravențional.

Recomandări:

Ținând cont de prevederile art. 53 din Legea cu privire la avocatură, coroborat cu art. 5 alin. (5) din Legea privind protecția datelor cu caracter personal, solicitarea informației de către un avocat constituie un drept și nu o obligație a acestuia. Respectiv, nu poate fi reținut drept temei legal al operatorul de date – Centrul de sănătate raional, pentru dezvăluirea datelor cu caracter personal ce vizează subiectul datelor cu caracter personal, atâta timp cât prelucrarea nu a fost necesară pentru îndeplinirea expresă a unei obligații care îi revine nemijlocit operatorului conform legii, reprezentantul entității fiind obligat să asigure confidențialitatea datelor cu caracter personal.

Totuși, CNPDCP reține că, în cadrul unui proces de judecată, întru evitarea unei grave încălcări a principiilor de protecție a datelor cu caracter personal prin dezvăluirea neautorizată a acestora, soluționarea cererilor de acces la datele cu caracter personal privind starea de sănătate, se va realiza ținând cont de prevederile art. 118 Cod de procedură civilă, potrivit cărora, circumstanțele care au importanță pentru soluționarea justă a pricinii sunt determinate definitiv de instanța judecătorească pornind de la pretențiile și obiecțiile părților și ale altor participanți la proces, precum și de la normele de drept material și procedural ce urmează a fi aplicate.

Respectiv, părțile sau alți participanți la proces, pot adresa instanței de judecată (judecătorului), în temeiul art. 119 Cod de procedură civilă, o cerere de reclamare a probelor, iar judecătorul, analizând motivele invocate în cererea de reclamare a probei și apreciind proporționalitatea volumului informației pentru soluționarea cauzei civile, va reclama organizațiilor și persoanelor fizice probele necesare.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt în conformitate cu legislația în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit, în data de 07 octombrie, curent, reprezentanții autorităților publice locale (APL) din raionul Căușeni. Cursul de instruire a avut drept scop de a consolida capacitățile reprezentaților APL-urilor și familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

Subiectele abordate în cadrul instruirii au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaţionale, etc.

Instruirea a fost organizată la inițiativa CNPDCP, la evenimentul participând primarii și consilierii locali ai raionului Căușeni.

Evenimentul, moderat de trei experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, a fost unul dinamic și productiv, participanții la instruire adresând întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea conducerii Centrului Național pentru Protecția Datelor cu Caracter Personal la cea de-a 53-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, care a avut loc în perioada 28 – 30 septembrie, curent.

În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·        Convenția 108+, ratificările și aderările actuale;

·        Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

·        Identitatea digitală;

·        Prelucrarea datelor cu caracter personal de către și pentru campaniile politice;

·        Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

·        Clauze contractuale în contextul fluxurilor transfrontaliere de date;

·        Cooperarea cu alte organisme și entități ale Consiliului Europei;

·        Evoluții și activități majore în domeniul protecției datelor cu caracter personal, etc.

Totodată, CNPDCP în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Ședințelor Biroului Comitetului Consultativ al Convenției 108, cât și despre ponderea documentelor adoptate în cadrul acestora.

La data de 6 septembrie 2021, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit angajații Administrației Naționale a Penitenciarelor întru asigurarea implementării conforme a prevederilor legislației privind protecția datelor cu caracter personal. Instruirea a avut loc online la solicitarea Administrației Naționale a Penitenciarelor la care au fost prezenți aproximativ 30 de angajați.

Subiectele abordate în cadrul instruirii au vizat: noțiuni generale privind protecția datelor cu caracter personal, principiile de protecție a datelor cu caracter personal, drepturile subiecților de date, asigurarea securității și confidențialității datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor.

La final, participaţii la instruire au adresat întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.

În data de 27 iulie 2021, în rezultatul promovării cu succes a perioadei de probă a funcționarilor publici debutanți și confirmării în funcția publică de controlor de stat în Direcția conformitate din cadrul Direcţiei Generale Supraveghere şi Conformitate a Centrului Naţional pentru Protecția Datelor cu Caracter Personal (CNPDCP), colegul nostru, Gicu Arion, a depus jurământul de credinţă, care prevede respectarea Constituţiei Republicii Moldova, drepturilor şi libertăţilor fundamentale ale omului, apărarea suveranității, independenţei şi integrității teritoriale a Republicii Moldova, executarea în mod obiectiv şi imparţial legile ţării, îndeplinirea conştiincioasă a obligaţiilor în exercitarea funcţiei publice, precum şi respectarea normelor de conduită profesională. Jurământul de credință a fost depus în prezența conducerii și colegilor din cadrul CNPDCP, în fața simbolurilor de stat, în conformitate cu prevederile art. 32 din Legea nr. 158-XVI din 04 iulie 2008 cu privire la funcția publică și statutul funcționarului public. Cu această ocazie, directorul CNPDCP, Eduard Răducan, a menţionat că, funcţia publică este extrem de importantă, în mod special pentru că funcţionarul public contribuie la construirea viitorului ţării și i-a dorit, în acest sens, tânărului funcționar mari succese, curaj, abnegație, noi performanțe în realizarea aspirațiilor profesionale, iar munca depusă să fie recunoscută și apreciată la justa sa valoare!

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea reprezentanților instituției la cea de-a 51-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a avut loc online, la data de 7 iulie, curent.

În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

·        Linii directoare privind Codurile de Conduită (CoC) ca instrument pentru transferuri. Scopul principal al acestora este de a clarifica aplicarea articolelor 40 (3) și 46 (2) (e) din GDPR.

·        Versiune finală a Ghidului privind asistenții vocali virtuali (VVA). Liniile directoare conțin recomandări pentru părțile interesate relevante cu privire la modul de abordare a uneia dintre cele mai relevante provocări de conformitate pentru VVA.

·        Versiune finală a Ghidul privind conceptele de operator și persoană împuternicită de operator. Aceste Linii directoare vor oferi clarificări cu privire la concepte fundamentale, cum ar fi operatori asociați și persoane împuternicite de operator.

·        După înființarea TikTok în UE și identificarea principalului său sediu în Irlanda pentru cazurile în curs de desfășurare legate de aplicația TikTok, CEPD a decis să desființeze Grupul său de Lucru TikTok creat pentru a coordona acțiunile potențiale ale autorităților de supraveghere ale SEE (SA) și pentru a obține o imagine de ansamblu asupra prelucrării și practicilor TikTok în întreaga UE. La momentul creării Grupului de Lucru, în UE nu exista o unitate principală pentru TikTok, iar acesta își propunea să faciliteze schimbul de informații între SA. Acum, se aplică procedura de ghișeu unic, iar SA irlandeză a fost desemnată ca autoritate principală care se ocupă de dosare.

·        CEPD a discutat posibile subiecte pentru prima sa acțiune coordonată de aplicare a legislației, ca urmare a deciziei CEPD de a institui un Cadrul Legal Coordonat de Aplicare a Legislației la 20 octombrie 2020. CEPD a decis că prima acțiune se va referi la utilizarea serviciilor bazate pe cloud de către organismele din sectorul public și vor fi efectuate lucrări suplimentare pentru a specifica detaliile și domeniul de aplicare în lunile următoare.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Sesiunilor Plenare organizate de către CEPD, cât și despre ponderea documentelor adoptate în cadrul acestora.

Anual, la data de 10 iulie, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), celebrează constituirea instituției în calitate de autoritate publică autonomă și independentă care are drept scop respectarea drepturilor şi libertăților fundamentale ale persoanei fizice în ceea ce privește prelucrarea datelor cu caracter personal, în special a dreptului la inviolabilitatea vieții intime, familiale și private.

Cu acest prilej, una din activitățile organizate de reprezentanții CNPDCP, a fost sensibilizarea publicului larg cu privire la importanța protecției datelor cu caracter personal.

Acțiunea s-a desfășurat în preajma Arcului de Triumf, iar cetățenii au fost informați despre noțiunea de date cu caracter personal, drepturile subiecților de date, măsurile de securitate și confidențialitate a datelor, precum și despre principiile protecției datelor cu caracter personal. Totodată, cetățenii au fost sensibilizați cu privire la posibilele situații în care datele cu caracter personal nu sunt prelucrate în conformitate cu prevederile legislației naționale din domeniu de către operatorii de date cu caracter personal.

Scopul acestei acțiuni a fost de a educa, motiva și încuraja cetățenii Republicii Moldova să acorde o atenție sporită protecției datelor cu caracter personal ce îi vizează.

Centrul Naţional pentru Protecţia Datelor cu Caracter Personal al Republicii Moldova (CNPDCP), informează că începând cu data de 26 mai 2021, întâmpină deficiențe de ordin tehnic în partea ce ține de emiterea/semnarea deciziilor automatizate privind înregistrarea sau refuzul înregistrării operatorilor/sistemelor de evidență a datelor cu caracter personal, fapt care, inerent, condiționează prelungirea termenului de emitere/amânarea emiterii a deciziilor menționate supra, până la înlăturarea acestei deficiențe tehnice.

Concomitent menționăm că, notificările și documentele aferente acestora, depuse în perioada aprilie-prima jumătate a lunii iunie, au fost examinate, însă, pe moment nu pot fi semnate, din motivele enunțate supra.

În context relevăm că CNPDCP, în comun cu entitatea responsabilă de funcționarea/mentenanța Registrul de evidenta al operatorilor de date cu caracter personal (RODCAP), se depun eforturi consolidate în vederea soluționării în termeni proximi a deficienței apărute.

Ne cerem scuze pentru inconveniențe și Vă mulțumim pentru înțelegere.

În cazul în care nu sunteți vizat de mesajul respectiv, vă rugăm să-l ignorați.

Centrul Naţional pentru Protecţia Datelor cu Caracter Personal (CNPDCP) a oferit, în data de 1 iulie, un webinar privind prelucrarea datelor cu caracter personal prin intermediul mijloacelor de supraveghere video, la solicitarea Camerei de Comerţ Americană din Moldova (AmCham Moldova)

Webinarul a fost susținut de către Șeful Direcției prevenire, supraveghere și evidență a Centrului Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova, dl Alexei Strahov.

În cadrul evenimentului, au fost explicate cerințele legale naționale privind prelucrarea datelor cu caracter personal prin intermediul dispozitivelor video cum ar fi: principiul responsabilității, utilizarea camerelor video în scopuri personale, camere false, necesitatea prelucrării și proporționalitatea, temeiul legal pentru prelucrarea datelor, dezvăluirea materialelor video către terți, obligația privind transparența, dreptul de acces, perioada de stocare a înregistrării, securitatea prelucrării datelor, evaluarea impactului asupra datelor personale, practici internaționale existente, precum și necesitatea notificării sistemelor de evidență a datelor cu caracter personal în Registrul de evidenţă al operatorilor de date cu caracter personal.

Participanții au avut ocazia să adreseze întrebări reprezentatului Autorității naționale de protecție a datelor cu caracter personal fața de aspectele practice aplicării legislației din domeniul protecției datelor cu caracter personal și să găsească răspunsuri care să faciliteze procesele de afaceri.

La webinar au participat circa 40 de membri a AmCham Moldova.

Menționăm că CNPDCP anterior a abordat problematica prelucrării datelor cu caracter personal prin intermediul mijloacelor de supraveghere video, inclusiv publicând pe pagina web www.datepersonale.md: „Aspecte practice și legale în legătură cu instalarea și gestionarea mijloacelor de supraveghere video”. Aceste recomandări au drept scop familiarizarea proprietarilor/gestionarulor sistemelor video în cazul utilizării supravegherii prin intermediul mijloacelor video în vederea respectării din partea acestora cerințelor fața de prelucrarea datelor cu caracter personal stabilite de Legea nr. 133 din 8 iulie 2011 privind protecţia datelor cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea conducerii CNPDCP la cea de-a 41-a Sesiune Plenară a  Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, care a avut loc on-line, în perioada 28-30 iunie, curent.

Peste 150 de participanți din Statele Părți la Convenția 108 și observatori ai Comitetului Consultativ din toate colțurile lumii, s-au întâlnit virtual pentru a discuta și a lucra pe subiecte de actualitate majoră referitoare la protecția datelor cu caracter personal, pentru a finaliza documente importante și a contribuie la elaborarea politicilor.

În cadrul Sesiunii Plenare au fost discutate mai multe subiecte, printre care: programul de lucru pentru anii 2022-2025; Convenția 108+, ratificările și aderările actuale; mecanismul de evaluare și urmărire în temeiul Convenției 108+; accesul  transfrontalier la datele cu caracter personal al organelor de ocrotire a legii; identitatea digitală; prelucrarea datelor cu caracter personal de către și pentru campaniile politice; schimbul automat de date; cooperarea cu alte organisme și entități ale Consiliului Europei; evoluții și activități majore în domeniul protecției datelor cu caracter personal, etc.

CNPDCP, în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Sesiunilor Plenare a Comitetului Consultativ al Convenției 108, cât și despre ponderea documentelor adoptate în cadrul acestora.