Experiența Centrului Național pentru Protecţia Datelor cu Caracter Personal, punct de reper pentru Autoritatea de Protecție a  Datelor din Republica Belarus

La data de 21 mai, curent, Conducerea Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), a avut o întrevedere de lucru cu Conducerea instituției nou create la nivel național, responsabilă de domeniul  protecției datelor din Republica Belarus.

Ședința a avut loc în format online și a vizat experiența Republicii Moldova pe aspectul aplicării legislației din domeniul protecției datelor cu caracter personal atât la nivel național cât și internațional, Registrul de stat al operatorilor de date cu caracter personal, cerințele faţă de asigurarea securităţii datelor cu caracter personal la prelucrarea acestora în cadrul sistemelor informaţionale de date cu caracter personal precum și alte aspecte ce țin de buna funcționare a unei instituții.

În acest context, echipa CNPDCP, le urează mult succes colegilor din cadrul  Autorității pentru Protecția Datelor din Republica Belarus și își exprimă disponibilitatea de a le acorda și în continuare suportul necesar.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea conducerii Centrului Național Pentru Protecția Datelor cu Caracter Personal la cea de-a 52-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automată a datelor cu caracter personal, care a avut loc în perioada 24-26 martie, curent.

În cadrul Ședinței au fost discutate mai multe subiecte, printre care

·        Convenția 108+, ratificările și aderările actuale;

·        Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

·        Accesul  transfrontalier la datele cu caracter personal al organelor de ocrotire a legii;

·        Identitatea digitală;

·        Prelucrarea datelor cu caracter personal de către și pentru campaniile politice;

·        Schimbul automat de date;

·        Cooperarea cu alte organisme și entități ale Consiliului Europei;

·        Evoluții și activități majore în domeniul protecției datelor cu caracter personal, etc.

Totodată, în cadrul Ședinței a fost abordat un subiect de importanță majoră ce ține de certificatele de vaccinare COVID-19. În acest sens un aport considerabil l-au avut reprezentanții Comitetului pentru Bioetică (DH-BIO), precum și reprezentanții Secretariatului. În acest context, va fi prezentată delegațiilor Declarația „Covid-19 Vaccinarea, atestările digitale și protecția datelor ”.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea Directorului Centrului Național Pentru Protecția Datelor cu Caracter Personal la cea de-a 46-a Sesiune Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a avut loc online. 

În cadrul Sesiunii menționate au fost discutate mai multe subiecte, printre care:

·        CEPD și-a adoptat Programului de lucru pentru anii 2021-2022, în conformitate cu articolul 29 din Regulamentul de procedură al CEPD.

·        A fost adoptată Declarația privind proiectul Regulamentului ePrivacy. “Regulamentul privind confidențialitatea electronică nu trebuie  în niciun caz  să scadă nivelul de protecție oferit de actuala directivă privind e-confidențialitatea și ar trebui să completeze GDPR-ul, oferind garanții puternice suplimentare pentru confidențialitate și protecția tuturor tipurilor de comunicații electronice” a afirmat Andrea Jelinek,  Președintele CEPD.

·         A fost adoptat Ghidul nr. 2/2021 privind asistența vocală virtuală. Aceste linii directorii au scopul de a identifica unele dintre cele mai relevante provocări de conformitate pentru VVA și de a oferi recomandări părților interesate relevante cu privire la modul de abordare a acestora. Documentul va fi supus consultărilor publice pentru o perioadă de șase săptămâni.

·        A fost adoptată versiune finală a Ghidului nr. 1/2020 privind vehicule conectate, în urma consultării publice. Ghidul se concentrează pe prelucrarea datelor cu caracter personal în legătură cu utilizarea neprofesională a vehiculelor conectate de către subiecții de date. Versiunea finală integrează formularea actualizată și clarificări suplimentare pentru a aborda comentariile și feedback-ul primit în timpul consultării publice.

·        A fost emisă Opinia comună cu EDPS nr. 3/2021 referitoare la propunerea de Regulament a Parlamentului European și Consiliului privind guvernanța datelor.

·        A fost adoptat în urma consultărilor publice Ghidul nr. 9/2020 privind obiecție relevantă și motivată.

·        Totodată, în cadrul CEPD au fost discutate proiectele de decizii privind conformitatea Regatului Unit, care au fost primite de la Comisia Europeană.

CNPDCP, în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Sesiunilor Plenare organizate de către CEPD, cât și despre ponderea documentelor adoptate în cadrul acestora, în scopul alinierii legislației naționale privind protecția datelor cu caracter personal cu standardele UE.

Stimate doamne,

În preajma sărbătorii de 8 Martie, ne exprimăm recunoștința, admirația și aprecierea față de Voi, dragi femei și Vă aducem în dar buchetul celor mai sincere felicitări și urări de sănătate. Fiți fericite şi împlinite, Dragi Femei!

Cu respect,
Eduard Răducan,
Director CNPDCP

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda în valoare de 40 000 EUR aplicată de către Autoritatea Norvegiană pentru Protecția Datelor, companiei Coop Finnmark SA, pentru distribuirea ilegală a înregistrărilor de pe camerele de supraveghere video dintr-un magazin.

După examinarea cazului, Autoritatea Norvegiană pentru Protecția Datelor a constatat că Coop Finnmark nu avea niciun temei legal pentru distribuirea respectivelor secvențe video. Bjørn Erik Thon, Directorul General al Autorității Norvegiene pentru Protecția Datelor a menționat: „Cerința unui temei legal este un principiu de bază al Regulamentului General privind Protecția Datelor și orice încălcare a acestui principiu este considerată gravă”.

Autoritatea Norvegiană pentru Protecția Datelor a constatat că acest caz este atât de grav încât o amendă este măsura corectivă adecvată. Totodată, s-a acordat importanță faptului că imaginile de pe camerele de supraveghere video conțineau date cu caracter personal referitoare la copii, ceea ce ar putea implica un risc major pentru confidențialitatea acestora. Suma amenzii a fost calculată în baza unei evaluări generale a gravității încălcării și a situației financiare a organizației.

CNPDCP, în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt în conformitate cu legislația în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amenda administrativă în valoare de 250 000 EUR aplicată de către Autoritatea Suedeză pentru Protecția Datelor, Autorității de Poliție, pentru folosirea ilegală a aplicației de recunoaștere facială Clearview AI, în scopul identificării persoanelor.

În urma anchetei efectuate de către Autoritatea Suedeză pentru Protecția Datelor s-a concluzionat că Clearview AI a fost folosită de către câțiva angajați fără nicio autorizație prealabilă. Autoritatea de Poliție nu a implementat suficiente măsuri organizatorice pentru a asigura și a putea demonstra că prelucrarea datelor cu caracter personal în acest caz a fost efectuată în conformitate cu Codul Penal, prelucrând în mod ilegal date biometrice pentru recunoașterea facială, precum și nu a efectuat o evaluare a impactului asupra protecției datelor care ar fi fost necesară în acest caz. Există reguli și reglementări clar definite cu privire la modul în care Autoritatea de Poliție poate prelucra datele cu caracter personal și ține de responsabilitatea Autorității de Poliție să se asigure că angajații sunt la curent cu aceste reguli.

Suplimentar amenzii menționate supra, Autoritatea de Poliție va organiza cursuri de instruire pentru angajați în scop de a evita orice viitoare prelucrare ilegală a datelor cu caracter personal. În plus, va informa subiecții de date ale căror date au fost dezvăluite către Clearview AI, atunci când regulile de confidențialitate o permit. În cele din urmă, Autoritatea de Poliție se va asigura, că orice date cu caracter personal transferate către Clearview AI sunt șterse ulterior.

CNPDCP, în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt în conformitate cu legislația în vigoare.

Perioada de stocare precum și divulgarea datelor medicale în contextul pandemiei COVID-19 – printre subiectele de interes ale participanților la atelierul de lucru „Prelucrarea și protecția datelor cu caracter personal în domeniul sănătății publice în contextul unor eventuale provocări la nivel global” (pandemia COVID – 19), desfășurat online pe parcursul a trei zile (26,27,28 ianuarie).

Denis Coțofan, Șef adjunct al Direcției Juridice, CNPDCP a vorbit în cadrul evenimentului despre cerințele legislației privind protecția datelor cu caracter personal în domeniul sănătății publice la nivel național, prelucrarea categoriilor speciale de date cu caracter personal, precum și despre temeiurile legale de prelucrare a datelor cu caracter personal privind sănătatea. În acest context, D-nul Coțofan a răspuns la întrebările participanților referitor la supravegherea video în spitale, perioada de stocare a informației obținute în urma supravegherii video ce conține date cu caracter personal, dar și referitor la prelucrarea datelor medicale în contextul pandemiei COVID-19. Totodată, au fost prezentate și recomandări pentru angajații din sistemul medical în scopul aplicării măsurilor de securitate ce țin de protecția datelor cu caracter personal.

Jelena Siminiati, Director Adjunct pentru Afaceri Juridice, Spitalului Clinic Rijeka, Croația a menționat în cadrul atelierului despre experiența UE privind legalitatea prelucrării datelor cu caracter personal de către autoritățile publice competente în contextul pandemiei de COVID – 19, drepturile pacienților, obligativitatea caracterului confidențial a datelor cu caracter personal, precum și despre echilibru dintre securitatea și sănătatea publică și dreptul la protecția datelor cu caracter personal.

Un aspect important în combaterea pandemiei COVID – 19, potrivit D-ului David Balla, Director General al Departamentului de Digitalizare și Management de Proiect de la Ministerului Sănătății din Slovacia, ar fi utilizarea datelor de localizare și a instrumentelor de urmărire a contactelor. Totodată, D-nul Balla s-a expus asupra subiectelor precum divulgarea datelor cu caracter personal, minimalizarea datelor prelucrate, precum și limitarea termenelor de stocare a acestora.

Atelierul a fost moderat de experți în protecția datelor cu caracter personal din Croația, Slovacia și reprezentanți din cadrul CNPDCP și a fost organizat pentru trei regiuni ale ţării: centru, nord şi sud. În cadrul evenimentului au participat aproximativ 200 de persoane.

Atelierul de lucru a fost organizat şi finanțat de instrumentul de asistență tehnică și schimb de informații a Comisiei Europene (TAIEX).

Datele personale sunt procesate în fiecare clipă la nivel mondial – la serviciu, în cadrul relaţiei cu autorităţile publice și entitățile private, în domeniul sănătăţii, în momentul tranzacţionării de bunuri sau servicii, în timpul efectuării călătoriilor în afara teritoriului naţional sau când posesorii datelor navighează pe internet.

Anual, la data de 28 ianuarie, este marcată Ziua protecţiei datelor. Cu prilejul acestei zile autoritățile naţionale însărcinate cu asigurarea protecţiei datelor cu caracter personal organizează activităţi specifice pentru a atrage atenţia asupra drepturilor și responsabilităților privind protecţia datelor cu caracter personal. Printre aceste activităţi se numără campanii adresate publicului larg.

Astfel, în contextul Zilei protecției datelor, mai mulți angajați ai Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au distribuit trecătorilor, în preajma Scuarului Catedralei, materiale informative privind importanța protecției datelor personale. În cadrul acțiunii, cetățenii au fost informați despre datele cu caracter personal, drepturile subiecților de date cu caracter personal și măsurile de securitate și confidențialitate la prelucrarea datelor. În același timp, oamenii au fost sensibilizați și despre posibile abuzuri și consecințe ale situațiilor în care datele personale pot fi preluate cu încălcarea prevederilor legislației naționale din domeniu de către operatorii de date cu caracter personal.

În anul curent, CNPDCP își propune organizarea mai multor activități de informare a publicului cu privire la protecția datelor cu caracter personal, dar și asigurarea dezvoltării unui dialog constructiv și permanent cu toate părțile interesate în scopul identificării soluțiilor optime pentru aplicarea corectă a normelor legale din domeniul protecției datelor.

Anul 2021 marchează 40 de ani de la adoptarea, în anul 1981, la Strasbourg, a Convenției 108 pentru protecţia persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal.

Convenţia pentru protecţia persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal reprezintă un instrument internaţional ce determină responsabilitate şi apără persoanele fizice de la abuzurile care pot apărea la colectarea şi prelucrarea datelor, şi care, totodată, pune misiunea de reglementare a fluxului transfrontalier de date cu caracter personal.

Republica Moldova a semnat Convenţia 108 la 04 mai 1998 şi a ratificat-o prin Hotărîrea Parlamentului nr.483-XIV din 02 iulie 1999, iar în vigoare aceasta este pentru ţara noastră din 01 iunie 2008. Republica Moldova a desemnat Centrul Naţional pentru Protecţia Datelor cu Caracter Personal în calitate de autoritate competentă pentru implementarea prevederilor Convenţiei şi pentru întreţinerea raporturilor de asistenţă reciprocă cu alte state părţi.

În contextul marcării Centrul Național pentru Protecția Datelor cu Caracter Personal (Centrul) informează că, obiectivul autorității rămâne în continuare același – informarea subiecților de date asupra drepturilor acestora și responsabilizarea operatorilor de date cu caracter personal întru respectarea prevederilor legislației din domeniu.

Retrospectiva anului 2020, indică următoarele aspecte de bază în activitatea Autorității de protecție a datelor cu caracter personal:

Centrul a examinat 833 de petiții înaintate de către persoane fizice – subiecți ai datelor cu caracter personal, adică cu 12% mai multe comparativ cu anul precedent. Cele mai multe plângeri au vizat următoarele subiecte:

– realizarea drepturilor subiecților de date cu caracter personal (acces, informare, intervenție, opoziție),

– prelucrarea datelor cu caracter personal prin intermediul sistemelor de supraveghere video/audio,

– prelucrarea datelor cu caracter personal stocate în diverse resurse informaționale de stat etc.

În perioada anului 2020, Centrul a examinat 1472 notificări depuse în vederea înregistrării în Registrul de evidență a operatorilor de date cu caracter personal, atât a operatorilor de date cu caracter personal cât și a sistemelor de evidență ținute în formă automatizată și/sau manuală în care sunt prelucrate date cu caracter personal.

În ceea ce privește controlul conformității prelucrării datelor cu caracter personal cu cerințele Legii privind protecția datelor cu caracter personal, în anul 2020, au fost inițiate și examinate peste 300 materiale de control, atât în baza plângerilor subiecților de date cu caracter personal, sesizărilor/autosesizărilor, cât și în baza solicitărilor de autorizare a transmiterii transfrontaliere de date cu caracter personal.

Chiar dacă anul 2020 a fost un an al provocărilor, reieșind din situația pandemică la nivel global, Centrul a încercat să își concentreze activitatea pe întărirea relațiilor bilaterale și multilaterale cu partenerii externi, atât în cadrul organizațiilor internaționale cât și individual. Pentru atingerea acestui scop angajații Centrului au participat la ședințele de lucru ale Comitetului european pentru protecția datelor și ședințele plenare în cadrul Consiliului Europei. Totodată, pe parcursul anului 2020, Centrul a aplicat și a obținut suport din partea Proiectului TAIEX – pe aspectul „Prelucrarea și protecția datelor cu caracter personal în domeniul sănătății publice, în contextul unor eventuale provocări la nivel global! (pandemia COVID-19)”, eveniment care se desfășoară în prezent în format online (în perioada 26 – 28 ianuarie).

La capitolul instruiri, Centrul a desfășurat multiple ședințe de lucru cu reprezentanții instituțiilor publice și private pe aspectele ce vizau: asistență la elaborarea codurilor de conduită în diverse sfere de activitate, examinarea legilor sectoriale, ghidare și consultanță etc. Totodată, reprezentanții Centrului au organizat instruiri la care au participat circa 500 de persoane atât din Chișinău, cât și din raioanele Republicii Moldova.