Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea conducerii Centrului Național Pentru Protecția Datelor cu Caracter Personal, la cea de-a 57-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a avut loc cu prezența fizică, la data de 18 noiembrie curent, la Brussels, Belgia.

În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

·  Linii directorii privind interacțiunea dintre art. 3 și capitolul V din GDPR. Prin clarificarea interacțiunii dintre domeniul de aplicare teritorial al GDPR (art. 3) și prevederile privind transferurile internaționale specificate la capitolul V, Liniile directorii urmăresc să ajute operatorii și persoanele împuternicite de operator din UE să identifice dacă o operațiune de prelucrare constituie un transfer internațional și să ofere o înțelegere comună a conceptului de transfer internațional. Liniile directorii vor fi supuse consultării publice până la sfârșitul lunii ianuarie.

·  Declarația privind pachetul de servicii digitale și strategia de date a Comisiei Europene. În declarația sa, EDPB își reiterează apelul pentru interzicerea oricărei utilizări a Inteligenței Artificiale pentru recunoașterea automatizată a trăsăturilor umane în spații accesibile publicului și îndeamnă colegiuitorul să ia în considerare o eliminare treptată care să conducă la interzicerea publicității direcționate pe bază de urmărire generalizată, în timp ce profilarea copiilor ar trebui în general interzisă.

·  În cele din urmă, EDPB a nominalizat doi reprezentanți ai autorităților de Protecție a Datelor din Belgia și Germania pentru a participa la cea de-a șasea Revizuire Comună a acordului UE-SUA privind finanțarea în scopuri teroriste (TFTP).

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Sesiunilor Plenare organizate de către EDPB, cât și despre ponderea documentelor adoptate în cadrul acestora.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre emiterea unei decizii privind constatarea prelucrării neconforme a datelor cu caracter personal de către primarul unei localități.

Prelucrarea neconformă a datelor cu caracter personal a subiectului de date care a sesizat Autoritatea națională privind protecția datelor cu caracter personal, a fost materializată prin accesarea multiplă de către edilul localității, a datelor conținute în Registrul bunurilor imobile, fără a avea un scop și temei legal, precum și în lipsa consimțământului subiectului de date.

Totodată, în cadrul examinării auditului accesărilor datelor cu caracter personal de către primar, CNPDCP a constat că, edilul a efectuat 134 de accesări a datelor cu caracter personal, de pe 10 adrese IP diferite, dintre care multiple accesări fiind efectuate în afara programului de muncă și în zilele de odihnă.

Astfel în urma efectuării controlului celor sesizate s-a constat încălcarea art. 4, art. 5 și art. 29 din Legea 133/2011 privind protecția datelor cu caracter personal.

Prin urmare, din conținutul circumstanțelor relatate, reiese faptul existenței în acțiunile/inacțiunile primarului a contravenției prevăzute de art. 741 alin. (2) Cod contravențional.

În lumina celor relatate, CNPDCP, în calitate de organ de control al prelucrării datelor cu caracter personal, accentuează asupra obligației legale a operatorilor de date cu caracter personal, de a respecta prevederile cadrului normativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt efectuate în conformitate cu legislația în vigoare.

Totodată, CNPDCP a stabilit prescripții edilului vizat, să înlăture neconformitățile constatate în decizie, și să informeze CNPDCP despre acțiunile efectuate, în termenii stabiliți.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit, în data de 05 noiembrie, curent, reprezentanții autorităților publice locale (APL) din raionul Râșcani. Cursul de instruire a avut drept scop de a consolida capacitățile reprezentaților APL-urilor și familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

Subiectele abordate în cadrul instruirii au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaţionale, etc.

Instruirea a fost organizată la inițiativa CNPDCP, la eveniment participând circa 60 de primari, consilieri locali și secretari ai consiliilor locale ai raionului Râșcani.

Evenimentul, moderat de trei experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, a fost unul dinamic și productiv, participanții la instruire adresând întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.

La data de 11 noiembrie 2021, Centrul Național pentru Protecția Datelor cu Caracter Personal la solicitarea Consiliului Raional Fălești, a organizat o ședință de instruire pentru reprezentanții autorităților publice locale din cadrul raionului Fălești, întru asigurarea implementării conforme a prevederilor legislației privind protecția datelor cu caracter personal. Instruirea a avut loc fizic, la solicitarea Consiliului Raional Fălești la care au fost prezenți aproximativ 55 de persoane.

Subiectele abordate în cadrul instruirii au vizat: noțiuni generale privind protecția datelor cu caracter personal, principiile de protecție a datelor cu caracter personal, drepturile subiecților de date, asigurarea securității și confidențialității datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor.

Cu titlu separat, au fost discutate aspectele legate de depersonalizarea corectă a datelor cu caracter personal ce se conțin în actele administrative ale autorităților publice locale în RSAL, potrivit pct. 13 subpct. 7) al Regulamentului cu privire la modul de ținere a Registrului de stat al actelor locale.

La final, participaţii la instruire au adresat întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.

În adresa CNPDCP a parvenit plângerea unui subiect de date, prin care a fost solicitată verificarea legalității prelucrării datelor cu caracter personal ce îl vizează, manifestată prin transmiterea, de către un centru de sănătate raional, a informațiilor privind starea de sănătate a acestuia, în adresa unui avocat, care, ulterior, le-ar fi prezentat în ședință de judecată, considerând că prin aceste acțiuni i-au fost aduse atingeri vieții private și familiale.

Conform Legii nr. 133/2011 privind protecția datelor cu caracter personal, datele privind starea de sănătate a pacientului, rezultatele investigațiilor, diagnosticul, pronosticul, tratamentul, înscrise în documentația medicală, contrapuse unui pacient, constituie categorii speciale de date cu caracter personal, acestea având un nivel sporit de protecție.

În context, la examinarea speței, CNPDCP a luat în considerare prevederile Legii nr. 133/2011 privind protecția datelor cu caracter personal, ordine în care, prin prisma art. 6 și 7 ale Legii privind protecția datelor cu caracter personal, prelucrarea datelor cu caracter personal privind starea de sănătate ar fi admisă doar în cazul când subiectul datelor cu caracter personal și-a dat consimțământul sau a intervenit una din următoarele situații:

–                     prelucrarea este necesară pentru îndeplinirea obligaţiilor sau drepturilor specifice ale operatorului în domeniul dreptului muncii, cu respectarea garanţiilor prevăzute de lege şi ţinîndu-se cont de faptul că o eventuală dezvăluire către un terţ a datelor cu caracter personal prelucrate în acest scop poate fi efectuată numai dacă există o obligaţie legală a operatorului în acest sens;

–                     prelucrarea este necesară pentru protecţia vieţii, integrităţii fizice sau a sănătății subiectului datelor cu caracter personal ori a altei persoane, în cazul în care subiectul datelor cu caracter personal se află în incapacitate fizică sau juridică de a-şi da consimţămîntul;

–                     prelucrarea se referă la date făcute publice în mod voluntar şi manifest de către subiectul datelor cu caracter personal;

–                     prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în justiție al subiectului datelor cu caracter personal;

–                     prelucrarea este necesară în scopul asigurării securității statului, al reducerii riscului de declanșare sau în cazul declanșării urgențelor de sănătate publică, cu condiția ca aceasta să se efectueze cu respectarea drepturilor subiectului datelor cu caracter personal şi a celorlalte garanții prevăzute de prezenta lege.

Subsidiar, art. 29 alin. (1) din Legea nr. 133/2011 privind protecția datelor cu caracter personal, statuează obligația operatorilor și terților care au acces la datele cu caracter personal de a asigura confidențialitatea acestor date, cu excepția cazurilor:

a)      prelucrarea se referă la date făcute publice în mod voluntar și manifest de către subiectul datelor cu caracter personal;

b)      datele cu caracter personal au fost depersonalizate.

În acord cu prevederile menționate supra, art. 14 din Legea ocrotirii sănătății, statuează că medicii, alți lucrători medico-sanitari, farmaciști sunt obligați să păstreze secretul informațiilor referitoare la boală, la viața intimă și familială a pacientului de care au luat cunoștință în exercițiul profesiunii, cu excepția cazurilor de pericol al răspândirii maladiilor transmisibile, la cererea motivată a organelor de urmărire penală sau a instanțelor judecătorești.

De asemenea, urmează a fi scoase în evidență prevederile Legii nr. 263/2005 cu privire la drepturile și responsabilitățile pacientului, care conține norme juridice speciale care au drept scop consolidarea drepturilor fundamentale ale omului în sistemul serviciilor de sănătate, asigurarea respectării demnității și integrității pacientului, și reieșind din natura datelor sensibile privind starea de sănătate, stabilește condiții stricte de dezvăluire a acestora. Se va accentua că datele privind starea de sănătate a pacientului, prin natura lor, pot prezenta un risc pentru persoanele vizate atunci când sunt prelucrate și, prin urmare, necesită o protecție sporită. Aceste date fac obiectul unui principiu de interdicție și trebuie să existe un număr limitat de circumstanțe în care o astfel de prelucrare este legitimă. Totodată, confidențialitatea datelor medicale reprezintă secret profesional, care este o formă a dreptului la respectarea vieții private. Interzicerea divulgării informațiilor medicale, calificate drept confidențiale este necesară pentru a garanta că instituțiile medico-sanitare asigură dreptul pacientului la respectarea vieții private.

În acest sens, având în vedere conținutul certificatului medical eliberat în adresa avocatului, CNPDCP a constatat că dezvăluirea informației cu privire la natura afecțiunilor ce vizează subiectul de date, care reprezintă date privind starea de sănătate, perioada de timp a tratamentului, precum și data efectuării ultimei vizite la centru de sănătate, a avut loc contrar prevederilor legale menționate supra și principiilor de prelucrare a datelor cu caracter personal prevăzute la art. 4 alin. (1) lit. a) și b), precum și art. 6, 7 și art. 29  din Legea nr. 133/2016 privind protecția datelor cu caracter personal, acțiune încadrabilă în norma contravențională prevăzută de art. 741 alin. (4) Cod Contravențional.

În urma examinării cauzei, CNPDCP a emis decizia de încălcare a principiilor de prelucrare a datelor cu caracter personal și a încheiat procesul-verbal cu privire la contravenție, fiind remis instanței de judecată pentru soluționare, iar ca rezultat persoana cu funcție de răspundere din cadrul Centrului de sănătate raional a fost recunoscută vinovată în comiterea contravenției prevăzute de art. 741 alin. (4) Cod contravențional.

Recomandări:

Ținând cont de prevederile art. 53 din Legea cu privire la avocatură, coroborat cu art. 5 alin. (5) din Legea privind protecția datelor cu caracter personal, solicitarea informației de către un avocat constituie un drept și nu o obligație a acestuia. Respectiv, nu poate fi reținut drept temei legal al operatorul de date – Centrul de sănătate raional, pentru dezvăluirea datelor cu caracter personal ce vizează subiectul datelor cu caracter personal, atâta timp cât prelucrarea nu a fost necesară pentru îndeplinirea expresă a unei obligații care îi revine nemijlocit operatorului conform legii, reprezentantul entității fiind obligat să asigure confidențialitatea datelor cu caracter personal.

Totuși, CNPDCP reține că, în cadrul unui proces de judecată, întru evitarea unei grave încălcări a principiilor de protecție a datelor cu caracter personal prin dezvăluirea neautorizată a acestora, soluționarea cererilor de acces la datele cu caracter personal privind starea de sănătate, se va realiza ținând cont de prevederile art. 118 Cod de procedură civilă, potrivit cărora, circumstanțele care au importanță pentru soluționarea justă a pricinii sunt determinate definitiv de instanța judecătorească pornind de la pretențiile și obiecțiile părților și ale altor participanți la proces, precum și de la normele de drept material și procedural ce urmează a fi aplicate.

Respectiv, părțile sau alți participanți la proces, pot adresa instanței de judecată (judecătorului), în temeiul art. 119 Cod de procedură civilă, o cerere de reclamare a probelor, iar judecătorul, analizând motivele invocate în cererea de reclamare a probei și apreciind proporționalitatea volumului informației pentru soluționarea cauzei civile, va reclama organizațiilor și persoanelor fizice probele necesare.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt în conformitate cu legislația în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit, în data de 07 octombrie, curent, reprezentanții autorităților publice locale (APL) din raionul Căușeni. Cursul de instruire a avut drept scop de a consolida capacitățile reprezentaților APL-urilor și familiarizarea, sensibilizarea și informarea acestora cu domeniul protecției datelor cu caracter personal.

Subiectele abordate în cadrul instruirii au vizat: definirea datelor cu caracter personal; temeiuri legale de prelucrare a datelor cu caracter personal; filmarea și transmiterea online a ședințelor consiliilor locale; depersonalizarea datelor în cadrul Registrului de stat al actelor locale; aprobarea politicii de securitate și a instrucțiunilor privind sistemele informaţionale, etc.

Instruirea a fost organizată la inițiativa CNPDCP, la evenimentul participând primarii și consilierii locali ai raionului Căușeni.

Evenimentul, moderat de trei experți în domeniul protecției datelor cu caracter personal din cadrul CNPDCP, a fost unul dinamic și productiv, participanții la instruire adresând întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea conducerii Centrului Național pentru Protecția Datelor cu Caracter Personal la cea de-a 53-a Reuniune a Biroului Comitetului Consultativ al Convenției pentru protecția persoanelor cu privire la prelucrarea automatizată a datelor cu caracter personal, care a avut loc în perioada 28 – 30 septembrie, curent.

În cadrul Ședinței au fost discutate mai multe subiecte, printre care:

·        Convenția 108+, ratificările și aderările actuale;

·        Mecanismul de evaluare și urmărire în temeiul Convenției 108+;

·        Identitatea digitală;

·        Prelucrarea datelor cu caracter personal de către și pentru campaniile politice;

·        Schimburi inter-statale de date pentru Combaterea Spălării Banilor și a Finanțării Terorismului și scopuri fiscale;

·        Clauze contractuale în contextul fluxurilor transfrontaliere de date;

·        Cooperarea cu alte organisme și entități ale Consiliului Europei;

·        Evoluții și activități majore în domeniul protecției datelor cu caracter personal, etc.

Totodată, CNPDCP în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Ședințelor Biroului Comitetului Consultativ al Convenției 108, cât și despre ponderea documentelor adoptate în cadrul acestora.

La data de 6 septembrie 2021, Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) a instruit angajații Administrației Naționale a Penitenciarelor întru asigurarea implementării conforme a prevederilor legislației privind protecția datelor cu caracter personal. Instruirea a avut loc online la solicitarea Administrației Naționale a Penitenciarelor la care au fost prezenți aproximativ 30 de angajați.

Subiectele abordate în cadrul instruirii au vizat: noțiuni generale privind protecția datelor cu caracter personal, principiile de protecție a datelor cu caracter personal, drepturile subiecților de date, asigurarea securității și confidențialității datelor cu caracter personal în cadrul sistemelor informaționale de evidență a datelor.

La final, participaţii la instruire au adresat întrebări privind aplicarea în practică a legislaţiei din domeniul protecţiei datelor cu caracter personal, inclusiv oferirea accesului la informații ce conțin date cu caracter personal.

În data de 27 iulie 2021, în rezultatul promovării cu succes a perioadei de probă a funcționarilor publici debutanți și confirmării în funcția publică de controlor de stat în Direcția conformitate din cadrul Direcţiei Generale Supraveghere şi Conformitate a Centrului Naţional pentru Protecția Datelor cu Caracter Personal (CNPDCP), colegul nostru, Gicu Arion, a depus jurământul de credinţă, care prevede respectarea Constituţiei Republicii Moldova, drepturilor şi libertăţilor fundamentale ale omului, apărarea suveranității, independenţei şi integrității teritoriale a Republicii Moldova, executarea în mod obiectiv şi imparţial legile ţării, îndeplinirea conştiincioasă a obligaţiilor în exercitarea funcţiei publice, precum şi respectarea normelor de conduită profesională. Jurământul de credință a fost depus în prezența conducerii și colegilor din cadrul CNPDCP, în fața simbolurilor de stat, în conformitate cu prevederile art. 32 din Legea nr. 158-XVI din 04 iulie 2008 cu privire la funcția publică și statutul funcționarului public. Cu această ocazie, directorul CNPDCP, Eduard Răducan, a menţionat că, funcţia publică este extrem de importantă, în mod special pentru că funcţionarul public contribuie la construirea viitorului ţării și i-a dorit, în acest sens, tânărului funcționar mari succese, curaj, abnegație, noi performanțe în realizarea aspirațiilor profesionale, iar munca depusă să fie recunoscută și apreciată la justa sa valoare!

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ, comunică despre participarea reprezentanților instituției la cea de-a 51-a Ședință Plenară a Comitetului European pentru Protecția Datelor (CEPD), care a avut loc online, la data de 7 iulie, curent.

În cadrul Plenarei, CEPD a adoptat mai multe documente, printre care:

·        Linii directoare privind Codurile de Conduită (CoC) ca instrument pentru transferuri. Scopul principal al acestora este de a clarifica aplicarea articolelor 40 (3) și 46 (2) (e) din GDPR.

·        Versiune finală a Ghidului privind asistenții vocali virtuali (VVA). Liniile directoare conțin recomandări pentru părțile interesate relevante cu privire la modul de abordare a uneia dintre cele mai relevante provocări de conformitate pentru VVA.

·        Versiune finală a Ghidul privind conceptele de operator și persoană împuternicită de operator. Aceste Linii directoare vor oferi clarificări cu privire la concepte fundamentale, cum ar fi operatori asociați și persoane împuternicite de operator.

·        După înființarea TikTok în UE și identificarea principalului său sediu în Irlanda pentru cazurile în curs de desfășurare legate de aplicația TikTok, CEPD a decis să desființeze Grupul său de Lucru TikTok creat pentru a coordona acțiunile potențiale ale autorităților de supraveghere ale SEE (SA) și pentru a obține o imagine de ansamblu asupra prelucrării și practicilor TikTok în întreaga UE. La momentul creării Grupului de Lucru, în UE nu exista o unitate principală pentru TikTok, iar acesta își propunea să faciliteze schimbul de informații între SA. Acum, se aplică procedura de ghișeu unic, iar SA irlandeză a fost desemnată ca autoritate principală care se ocupă de dosare.

·        CEPD a discutat posibile subiecte pentru prima sa acțiune coordonată de aplicare a legislației, ca urmare a deciziei CEPD de a institui un Cadrul Legal Coordonat de Aplicare a Legislației la 20 octombrie 2020. CEPD a decis că prima acțiune se va referi la utilizarea serviciilor bazate pe cloud de către organismele din sectorul public și vor fi efectuate lucrări suplimentare pentru a specifica detaliile și domeniul de aplicare în lunile următoare.

CNPDCP, în calitate de autoritate națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra importanței participării Republicii Moldova în cadrul Sesiunilor Plenare organizate de către CEPD, cât și despre ponderea documentelor adoptate în cadrul acestora.