Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre compania Notebooksbilliger.de AG, care se ocupa cu supravegherea video a potențialilor hoți. Compania a fost amendată cu 10,4 mil. euro de către Comisarul de stat pentru Protecția Datelor, Barbara Thiel din Saxonia Inferioară. Agentul economic monitorizează angajații de doi ani fără nicio justificare legală. Camerele video erau instalate în spațiile de lucru, departamentul vânzărilor, depozite și camerele pentru personal.

Potrivit companiei, camerele video au fost instalate pentru a preveni și investiga potențiale infracțiuni și pentru a urmări fluxul de mărfuri în depozite. Totodată, mai multe înregistrări au fost stocate mai mult de 60 de zile, contrar legislației.

 „Acesta este un caz grav de supraveghere la locul de muncă. Companiile trebuie să înțeleagă că supravegherea video este o încălcare majoră a drepturilor angajaților lor. Or, angajații nu trebuie să-și sacrifice drepturile personale doar pentru că angajatorul îi suspectează de furt. Conform jurisprudenței Curții Federale a Muncii, acest lucru poate pune personalul sub presiune pentru a acționa cât mai discret posibil pentru a evita să fie criticat sau sancționat pentru comportamentul lor”, a explicat Thiel.

Clienții notebooksbilliger.de au fost, de asemenea, afectați de supravegherea video ilegală, deoarece unele camere erau direcționate  nemijlocit către fluxul de cumpărători din zona vânzărilor.

Amenda de 10,4 milioane de euro este cea mai mare sancțiune care a fost aplicată vreodată de comisarul de stat pentru protecția datelor din Saxonia Inferioară în temeiul Regulamentului general pentru protecția datelor (GDPR). GDPR permite autorităților de supraveghere să impună amenzi de până la 20 de mil. euro – sau până la 4% din cifra de afaceri anuală totală a unei companii la nivel mondial.

CNPDCP, în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt în conformitate cu legislația în vigoare.

Totodată, CNPDCP atenționează asupra nedivulgării și neadmiterii prelucrării datelor cu caracter personal de către persoane terțe. Datele vizează diferite domenii de activitate, iar prelucrarea neconformă a acestora poate avea consecințe negative.

BULETIN INFORMATIV NR. 7

(1 noiembrie 2020 – 31 ianuarie 2021)

1.  Activități de informare și instruire efectuate de CNPDCP

La data de 26-28 ianuarie 2021, Centrul Naţional pentru Protecţia Datelor cu Caracter Personal (CNPDCP) în colaborare cu experţii proiectului TAIEX au organizat atelierul de lucru on-line – „Prelucrarea și protecția datelor cu caracter personal în domeniul sănătății publice în contextul unor eventuale provocări la nivel global” (pandemia COVID – 19). Scopul atelierului a fost de a consolida și a spori abilitățile reprezentanților din domeniul sănătății publice cu privire la eventualele provocări care pot apărea la nivel global (în contextul pandemiei de COVID – 19), respectând totodată drepturile și libertățile fundamentale ale persoanelor fizice la protecția datelor cu caracter personal atunci când prelucrarea este necesară din motive de interes public în domeniul sănătății publice precum și adoptarea bunelor practici pe baza jurisprudenței relevante; stabilirea unui echilibru între prelucrarea, păstrarea și divulgarea datelor cu caracter personal referitoare la sănătate precum și dreptul la confidențialitatea vieții private; promovarea clarității și analiza specializată, orientată spre prevederile Legii privind protecția datelor cu caracter personal în domeniul specific de aplicare – cel al sănătății; familiarizarea reprezentanților din domeniul medical cu noile provocări ce țin de prelucrarea datelor cu caracter personal. Atelierul a fost moderat de experți în protecția datelor cu caracter personal din Croația, Slovacia și reprezentanți din cadrul CNPDCP și a fost organizat pentru trei regiuni ale ţării: centru, nord şi sud. În cadrul evenimentului au participat aproximativ 200 de persoane.

2. Activitatea de control

În perioada de referință, CNPDCP a declanșat verificarea conformității operațiunilor de prelucrare a datelor cu caracter personal, fiind astfel inițiate 48 de investigații. Din cele 48 de investigații: 8 proceduri de investigații au fost inițiate ca urmare a autosesizării CNPDCP în legătură cu o presupusă prelucrare neconformă a datelor cu caracter personal; în 20 de cazuri finalizate s-a constatat încălcarea prevederilor legale fiind încheiate 25 de procese verbale cu privire la contravenție,  care ulterior au fost remise instanței de judecată pentru soluționare.

3. Activitatea de supraveghere

Pe parcursul perioadei de referință, la „Ghișeul unic” al CNPDCP au fost înaintate spre examinare – 292 de notificări în vederea înregistrării operatorilor de date cu caracter personal și/sau sistemelor de evidență gestionate. Ca urmare a analizei respectivelor formulare de notificare, au fost emise 164 de decizii de autorizare și 128 de decizii de refuz. Astfel, circa 141 de operatori de date și 164 de sisteme de evidență a datelor cu caracter personal au fost înregistrate în Registrul de evidență a operatorilor de date cu caracter personal.

4. Constatări ale Centrului Național pentru Protecția Datelor cu Caracter Personal

I. CNPDCP a fost sesizat de un subiect de date (persoană cu funcție de demnitate publică), care a reclamat acțiunile pretins ilegale ale unui activist civic, manifestate privind publicarea pe profilul personal de pe rețeaua de socializare “Facebook”, în lipsa consimțământului, a înregistrărilor video ce conțin categoria obișnuită de date cu caracter personal – nume, prenume, funcția deținută și instituția publică în care activează subiectul de date cu caracter personal, precum și adresa de domiciliu.

În cadrul examinării cauzei s-a constatat, că profilul persoanei ce a publicat înregistrările video pe rețeaua de socializare “Facebook”, este accesibil oricărui utilizator al rețelei în cauză, în cadrul acestuia fiind diseminate în acces public nerestricționat imagini cu adresa de domiciliu a subiectului de date – strada și numărul casei de locuit, fără consimțământul acestuia. Or, aceasta nu intră în categoria informației publice, spre deosebire de celelalte date cu caracter personal – nume, prenume, funcția deținută și instituția publică în care activează subiectul de date, ce ar putea fi considerate informații publice odată ce subiectul de date este funcționar public/persoană cu funcție de demnitate publică/persoană publică.

În linii generale, este de menționat că atunci când abordăm subiectul privind persoanele care exercită anumite funcții publice, gradul de ingerință în inviolabilitatea vieții private este mult mai mare, comparativ cu persoanele care nu dispun de un asemenea statut. Cu atât mai mult, acest grad de ingerință se extinde în ipoteza unor circumstanțe publice/fapte publice și în cazul existenței unor subiecte care pot prezenta interes public. Totuși, trebuie de avut în vedere faptul că, statul are obligația pozitivă de a legifera mecanisme legale de protecție a inviolabilității vieții private chiar și în cazul persoanelor publice care exercită funcții, care sunt implicate în circumstanțe/fapte publice și/sau vizate în subiecte de ordin public. Or, este categoric inadmisibil faptul ca această categorie de subiecți de date cu caracter personal să fie lipsită de garanții juridice și mecanisme care să le asigure protecția dreptului lor constituțional – inviolabilitatea vieții private.

În contextul cazului examinat s-a constatat că activistul civic – operator de date în sensul art. 3 al Legii privind protecția datelor cu caracter personal, urma să asigure confidențialitatea datelor cu caracter personal, în special a adresei de domiciliu, prin prisma obligativității prevăzute la art. 29 al Legii privind protecția datelor cu caracter personal.

Prin urmare, Centrul a constatat că publicarea/dezvăluirea pe profilul de pe rețeaua de socializare „Facebook”, a datelor cu caracter personal a subiectului de date, în special, a adresei de domiciliu, în lipsa consimțământului acestuia este contrară prevederilor art. 4 alin. (1) lit. a), art. 5 alin. (1) și art. 29 alin. (1) ale Legii privind protecția datelor cu caracter personal, fiind întocmit proces – verbal cu privire la contravenție în temeiul art. 741 alin. (4) Cod contravențional.

II. CNPDCP a recepționat plângerea unui subiect de date, referitor la pretinsa prelucrare ilegală a datelor cu caracter personal de către un organ de drept (MAI) manifestată prin accesarea și extragerea datelor sale cu caracter personal stocate în RSP, precum și a membrilor familiei acestuia (imprimarea fișei personale).

În context, potrivit explicației reprezentantului organului de drept, datele cu caracter personal ale subiectului de date stocate în RSP au fost accesate și extrase (imprimată fișa personală) în vederea identificării acestuia, cu scopul de a fi audiat în cadrul unei cauze penale în calitate de martor.

În context, a fost reliefat că fișa personală din RSP conține informații cu privire la locul și data naşterii, numele, prenumele, patronimicul, cetăţenia, rudele, locul de domiciliu la moment și în trecut, studiile, aspect confirmat de către însuși reprezentantul organului de drept, care a declarat că fișa personală a subiectului de date extrasă din RSP conține informațiile respective.

Prin urmare, în rezultatul examinării cazului, CNPDCP a constatat caracterul pertinent în partea ce ține de accesarea (vizualizarea) datelor cu caracter personal a subiectului de date, totodată, fiind reținut caracterul excesiv al prelucrării datelor cu caracter personal a subiectului de date, manifestată prin extragerea și stocarea la materialele unui dosar penal a fișei personale a subiectului de date ce conține un volum impunător de date cu caracter personal ale acestuia precum și a rudelor acestuia, care nu au o calitate procesuală.

La caz, CNPDCP urmează a interveni prin prisma calității de agent constatator, în temeiul art. 741 alin. (4) Cod contravențional.

5. Știri internaționale și europene

v La data de 10 noiembrie 2020 în cadrul celei de-a 41-a sesiune plenară, Comitetul European pentru Protecția Datelor (EDPB) a adoptat cu o majoritate de 2/3 din membrii săi prima sa decizie de soluționare a litigiilor în temeiul art. 65 din GDPR. Decizia obligatorie urmărește să soluționeze litigiul apărut în urma unui proiect de decizie emis de Autoritatea de Supraveghere Irlandeză ca autoritate de supraveghere principală (LSA) cu privire la compania internațională Twitter.

La data de 11 noiembrie, EDPB a adoptat recomandări cu privire la măsurile care completează instrumentele de transfer pentru a asigura conformitatea cu nivelul UE de protecție a datelor cu caracter personal, precum și recomandări privind garanțiile esențiale europene pentru măsurile de supraveghere.  Ambele documente au fost adoptate ca urmare a hotărârii CJUE „Schrems II”. Recomandările urmăresc să ajute operatorii și persoanele împuternicite de operatori care acționează ca exportatori de date de a identifica și implementa măsuri suplimentare adecvate acolo unde sunt necesare pentru a asigura un nivel adecvat de protecție echivalent cu cel al datelor pe care le transferă către țări terțe.

La data de 19 noiembrie, în cadrul celei de-a 42-a sesiune plenară, Comisia Europeană a prezentat două noi seturi de proiecte de clauze contractuale standard (SCC): un set de SCC-uri pentru contractele între operatori și persoanele împuternicite de operatori, elaborat în conformitate cu art. 28 (7) din GDPR și art. 29 (7) din Regulamentul 2018/1725 și altul pentru transferurile de date în afara UE, în conformitate cu art. 46 (2) (c) din GDPR.  EDPB a adoptat o declarație referitor la viitorul regulament privind confidențialitatea electronică și rolul autorităților de supraveghere și al EDPB în acest context.

La data de 15 decembrie, EDPB s-a întrunit pentru cea de-a 43-a sesiune plenară, în cadrul căreia a fost discutată o gamă largă de subiecte:

–        EDPB și-a adoptat Strategia 2021-2023, care stabilește obiectivele strategice ale Consiliului, grupate în jurul a patru piloni, precum și trei acțiuni cheie pe pilon pentru a contribui la atingerea acestor obiective. Cei patru piloni principali ai strategiei EDPB sunt:

·        avansarea armonizării și facilitarea conformității;

·        sprijinirea aplicării efective și a cooperării eficiente între autoritățile naționale de supraveghere;

·        abordarea drepturilor fundamentale a noilor tehnologii și;

·        dimensiunea globală.

–        EDPB a emis o declarație cu privire la sfârșitul perioadei de tranziție Brexit, în care descrie principalele implicații ale sfârșitului acestei perioade pentru operatorii de date și persoanele împuternicite de operator.

–        EDPB a înaintat spre consultări publice Liniile directorii privind restricțiile prevăzute la articolul 23 din GDPR, având drept scop de a reaminti condițiile din jurul utilizării acestor restricții în lumina Cartei drepturilor fundamentale și a GDPR.

–        În urma consultărilor publice, EDPB a adoptat versiunea finală a Liniilor directorii referitor la interacțiunea Directivei 2 privind serviciile de plată (PSD2) și GDPR. Liniile directorii vizează să ofere îndrumări suplimentare cu privire la aspectele privind protecția datelor în contextul PSD2, în special cu privire la relația dintre dispozițiile relevante din GDPR și PSD2.

–        De asemenea, în urma consultării publice, EDPB a adoptat versiunea finală a Liniilor directorii privind articolele 46 (2) (a) și 46 (3) (b) din Regulamentul 2016/679 pentru transferurile de date cu caracter personal între SEE și autoritățile publice din afara SEE. Aceste articole abordează transferurile de date cu caracter personal de la autoritățile sau organismele publice ale SEE către organismele publice din țări terțe, în cazul în care aceste transferuri nu sunt acoperite de o decizie de adecvare.

–        EDPB a adoptat, de asemenea, o declarație privind protecția datelor cu caracter personal prelucrate în legătură cu prevenirea utilizării sistemului financiar în scopul spălării banilor și finanțării terorismului.

–        EDPB a adoptat un aviz la art. 64 referitor la proiectul de decizie privind regulile corporative obligatorii ale operatorului (BCR) Equinix, prezentat Consiliului de administrație de către AS olandeză.

La data de 15 ianuarie 2020, EDPB și AEPD au adoptat avize comune cu privire la două seturi de clauze contractuale (CSC): o opinie cu privire la SCC-urile pentru contractele între operatori și persoane împuternicite de operatori și una cu privire la SCC-urile pentru transferul de date cu caracter personal către țări terțe.

La data de 18 ianuarie, EDPB a adoptat Linii directorii cu privire la exemple privind notificarea încălcării securității datelor. Aceste orientări completează orientările WP 29 privind notificarea încălcării securității datelor prin introducerea mai multor recomandări orientate spre practică. Acestea urmăresc să ajute operatorii de date să decidă cum să gestioneze încălcările de securitate a datelor și ce factori să ia în considerare în timpul evaluării riscurilor. Documentul este supus consultărilor publice până la data de 02.03.2021.

La data de 28 ianuarie, cu ocazia celei de-a 15-a ediție a celebrării Zilei Protecției Datelor, membrii EDPB au prezentat un mesaj comun de felicitare.

v În perioada 16-18 decembrie, s-a desfășurat ce-a de-a 51-a ședință a Biroului Comitetului Consultativ al Convenției pentru Protecția Persoanelor cu privire la Prelucrarea Automatizată a Datelor cu Caracter Personal. Ședința a fost una de totalizare și analizare a unor aspecte care nu au reușit a fi închise pe parcursul anului 2020 și anume:

•        Biroul a luat act de informația prezentată de Secretariat privind:

a) Actualele 33 de semnături și 10 ratificări (cea mai recentă de la ultima  ședință plenară fiind Finlanda, la 10 decembrie 2020) a Convenției 108+ la doi ani de la deschiderea pentru semnare a Protocolului de modificare. Cinci state (Bulgaria, Cipru, Estonia, Lituania și Norvegia) au menționat despre aplicarea articolului 37.3 din Protocolul de modificare și au declarat aplicarea provizorie a Convenției 108+ în așteptarea intrării sale în vigoare;

b) obiectivul de a avea cel puțin 38 de ratificări până la 10 octombrie 2023 pentru a permite o intrare parțială în vigoare a Convenției 108+ conform articolului 37.2 din Protocolul de modificare;

c) revizuirea semestrială a Comitetului Miniștrilor privind starea semnăturilor și ratificarea modificării  Protocolului în conformitate cu decizia adoptată în sesiunea ministerială din mai 2018, etc.

6. Alte autorități pentru protecția datelor

·        Amendă în valoare de 12.250.000 EUR aplicată de către Autoritatea Italiană pentru protecția datelor cu caracter personal (Garante per la protezione dei dati personali), operatorului de telefonie mobilă, Vodafone, pentru prelucrarea ilegală a datelor cu caracter personal ale milioane de utilizatori în scopuri de telemarketing. Această decizie marchează ultimul pas într-o procedură complexă inițiată de Autoritatea Italiană pentru protecția datelor cu caracter personal, în urma a sute de plângeri și semnalări trimise de utilizatori împotriva apelurilor telefonice nesolicitate efectuate de Vodafone și / sau rețeaua de telemarketing a operatorului pentru a promova serviciile de telefonie și Internet.

·        Amenda administrativă în valoare de 300.000 SEK, aplicată de către Autoritatea Suedeză pentru Protecția Datelor unei asociații de proprietari pentru supravegherea video ilegală într-un bloc de apartamente. Autoritatea Suedeză pentru Protecția Datelor a primit o plângere privind supravegherea video într-un bloc de apartamente aparținând asociației de proprietari Uppsalahem. Zona de monitorizare a camerei video cuprindea în mod clar două uși ale apartamentului, dintre care una aparține reclamantului și cealaltă aparține unui rezident care a fost supus perturbărilor și hărțuirii. În decizia sa, Autoritatea Suedeză pentru Protecția Datelor concluzionează că supravegherea video în cauză, monitorizează persoanele în mediul lor familial, încălcându-le dreptul la confidențialitate

·        Autoritatea Norvegiană pentru Protecția Datelor a impus amendă administrativă în sumă de 750.000 NOK spitalului Østfold HF pentru stocarea extraselor de rapoarte din dosarele pacienților în afara zonei de siguranță, în perioada 2013-2019. Dosarele în care au fost stocate extrasele nu au avut acces controlat, iar activitatea din dosare nu a fost înregistrată. Extrasele de raport au fost, de asemenea, stocate pe o perioadă mult prea mare de timp după ce listele nu mai erau necesare.

·        Amenzi în valoare de 100 milioane EUR și 35 milioane EUR aplicate de către Autoritatea pentru Protecția Datelor din Franța (CNIL), companiilor Google și Amazon pentru încălcarea reglementărilor privind „cookies”. Amenzile au rezultat din două investigații separate efectuate de CNIL în legătură cu utilizarea cookie-urilor pe site-urile franceze Google și Amazon. CNIL a amendat Google LLC cu 60 de milioane de euro și Google Ireland Ltd (Google sediu central) cu 40 de milioane de euro. Combinate, aceste amenzi sunt cele mai mari sancțiuni pronunțate vreodată de CNIL. Atât Google LLC, cât și Google Ireland Ltd au fost considerate responsabile pentru utilizarea cookie-urilor, prin exercitarea  puterii de decizie în ceea ce privește prelucrarea datelor cu caracter personal privind utilizatorii aflați în Franța.

·        Inspectoratul pentru Protecția Datelor din Estonia a aplicat amendă de 100.000 de euro pentru trei lanțuri de farmacii care permiteau vizualizarea în mediul de farmacii on-line a prescripțiilor medicale ale diferitor persoane fără acordul acestora în baza accesului la codul lor personal de identificare.

·        Amenda administrativă în valoare de 450.000 EUR, aplicată de către Comisia pentru Protecția Datelor din Irlanda (DPC) companiei Twitter International pentru încălcarea articolului 33 (1) și 33 (5) din GDPR. Ancheta Comisiei pentru protecția datelor din Irlanda a început în ianuarie 2019, după recepționarea unei notificări de încălcare de la compania Twitter, constatând încălcarea articolului 33 (1) și 33 (5) din GDPR în ceea ce privește nerespectarea obligației de notificare a încălcării la timp către DPC precum și nerespectarea documentării adecvate a încălcării.

·        Amenda administrativă în valoare de 250.000 EUR, aplicată de către Autoritatea de Protecție a Datelor din Polonia, companiei ID Finance Poland, pentru încălcarea principiului de confidențialitate și protecție a datelor cu caracter personal. În cadrul procedurilor de verificare, Președintele Oficiului pentru Protecția Datelor cu Caracter Personal (UODO), a stabilit că încălcarea a avut loc în urma eșecului de a restabili configurația de securitate adecvată după ce unul dintre serverele operate de către persoana împuternicită de operator a fost repornit. Operatorul de date a fost informat despre acest lucru de către unul dintre specialiștii săi în securitate cibernetică, care a detectat vulnerabilitatea și a indicat care sunt informațiile disponibile publicului. Compania ID Finance Poland nu a verificat imediat vulnerabilitățile identificate ale sistemului și drept urmare, câteva zile mai târziu, datele au fost furate de pe acest server.

·        Amenda administrativă în valoare de 20 mii de euro, aplicată companiei de asigurări  din Polonia, Towarzystwo Ubezpieczeń i Reasekuracji WARTA S.A. pentru încălcarea prevederilor Regulamentului General privind Protecția Datelor. Oficiul pentru Protecția Datelor cu Caracter Personal polonez (UODO) a fost sesizat de o persoană terţă cu privire la încălcarea datelor cu caracter personal. Este vorba de un e-mail, care conţinea o poliță de asigurare, trimisă de agentul de asigurări al companiei, unui destinatar neautorizat. Documentul trimis conținea date cu caracter personal – numele, prenumele, adresa de reședință, numărul de identificare personal și informații referitoare la obiectul asigurării (autoturism).

·        Amenda administrativă în valoare de 460 mii de euro aplicată de către Oficiului pentru Protecția Datelor cu Caracter Personal (UODO) companiei de telefonie mobilă din Polonia, Virgin Mobile Polska pentru lipsa măsurilor tehnice și organizatorice adecvate implementate pentru a asigura securitatea datelor prelucrate. UODO a declarat că operatorul de telefonie mobilă a încălcat principiile confidențialității și securităţii datelor cu caracter personal, nu a efectuat teste, măsurători și evaluări periodice și cuprinzătoare ale eficacității măsurilor tehnice și organizatorice aplicate pentru a asigura securitatea datelor prelucrate. În plus, vulnerabilitatea asociată schimbului de date în aceste sisteme a fost utilizată de o persoană neautorizată pentru a obține date de la unii dintre clienții companiei.

Specialiștii în securitate cibernetică avertizează asupra mai multor fraude care se desfășoară în numele BCR. Iată la ce trebuie să fii atent. Specialișii de la CERT-RO – Centrul Național de Răspuns la Incidente de Securitate Cibernetică – susțin că au primit mai multe notificări referitoare la fraude derulate în numele BCR. Practic, sunt țintiți clienții acestei bănci, iar tentativele sunt de tip phishing, adică extragere de date sensibile, anunță playtech.ro. În ultima perioadă s-au intensificat furturile de bani și de pe cardurile bancare din Republica Moldova.

Infractorii cibernetici caută să pună mâna pe datele bancare ale unor persoane naive și mai apoi să intre în posesia banilor din cont. Cei de la CERT-RO susțin că metoda nu e una sofisticată. Circulă o serie de mesaje de tip phishing care ţintesc clienţii BCR, doar că aceste mesaje sunt primite de la adrese de e-mail din afara ţării.

Atacatorii încearcă să extragă astfel de la utilizatori informaţiile cardurilor bancare.

„Cum funcţionează acest atac: Mesajul vine de la o adresă fără nicio legătură cu BCR, de pe domenii diverse (.com, .fr) (…). Textul este unul destul de corect scris în limba română, dar cu imprecizii de ordin ortografic, semn că atacatorii ar fi putut folosi un instrument automat online de traducere. Sub pretextul că BCR şi-a ‘actualizat sistemul de securitate online’, atacatorii încearcă să determine potenţialele victime să introducă datele cardului, deoarece ‘de la 1 ianuarie a acestui an, toate cardurile sunt temporar dezactivate pentru plăţi online’. Desigur, utilizatorul ar trebui să-şi dea seama că este o tentativă de păcăleală, mai ales dacă a folosit fără probleme cardul în perioada specificată”, spun cei de la CERT-RO.

În Republica Moldova furtul datelor bancare are loc prin intermediul mai multor aplicații de comunicare. Într-un comunicat Banca Națională a Moldovei atrage atenția publicului că orice informație cu privire la cardurile bancare este una privată și nu trebuie comunicată nimănui, nici chiar reprezentanților băncilor. Avertizarea vine în contextul unor mesaje false difuzate pe aplicațiile de comunicare precum Viber, WatsApp, Telegram etc. în numele băncii centrale.

Asemenea mesaje  sunt emise de impostori care încearcă să obțină de la persoane neinițiate datele referitoare la cardurile bancare. În cazul divulgării, informația poate fi folosită de escroci pentru a sustrage mijloacele bănești de pe contul de card.

Păstrarea banilor pe card este o opțiune sigură, dacă sunt respectate condițiile de utilizare ale acestuia. Este important ca datele cardului să nu fie dezvăluite  persoanelor terțe.

Pentru a evita  utilizarea neautorizată a cardurilor, se recomandă cetățenilor,  în cazul în care sunt contactați de către pretinși angajați ai băncilor și li se solicită datele cardului, să întrerupă  imediat convorbirea, să telefoneze la numărul indicat pe verso acestuia și să informeze banca ce l-a emis.

În acest context, CNPDCP reamintește asupra neadmiterii divulgării datelor cu caracter personal – din diferite domenii: bancar, sănătate, muncă, social, etc – către persoane terțe neautorizate. Divulgarea datelor cu caracter personal poate avea consecințe negative în urma prelucrării neconforme a acestora.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre amendarea cu 50 mii de euro a companiei belgiene Family Service, care distribuie cutiile roz pentru viitorii părinți. Amenda a fost aplicată de către Serviciul de inspecție și Camera de litigii din Belgia.

Serviciul de inspecție și Camera de litigii din Belgia a pornit o investigație pe numele companiei după ce a fost sesizată că a furnizat date cu caracter personal persoanelor terțe, inclusiv brokerilor de date, fără consimțământul din partea clienților. Family Service este o companie de marketing care distribuie cutii roz care includ mostre, oferte speciale și fișe de informații pentru viitorii părinți.

Serviciul de inspecție și Camera de litigii din Belgia au constatat că Family Service închiria și / sau vindea date cu caracter personal în scopuri comerciale. Respectivele detalii nu au fost indicate în comunicarea cu clienți într-un mod clar și inteligibil.

Potrivit datelor autorității de la Bruxelles, Family Service prelucrează datele la 21,10% din populația belgiană și a ordonat companiei să respecte protecția datelor cu caracter personal.

CNPDCP, în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt în conformitate cu legislația în vigoare.

Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), cu titlu informativ și aplicativ, comunică despre interzicerea de către Autoritatea italiană de protecție a datelor cu caracter personal – Garante, a prelucrării datelor personale a utilizatorilor TikTok. Autoritatea a notificat rețeaua de socializare pentru mai multe încălcări cu privire la protecția datelor cu caracter personal a minorilor cu vârsta mai mică de 13 ani.

În decembrie anul trecut Garante a fixat mai multe încălcări și a notificat TikTok. Neregulile vizează  insuficiența măsurilor de protecție e datelor minorilor, evitarea interdicției de înregistrare pe care compania o aplică copiilor cu vârsta sub 13 ani.

Autoritatea italiană de protecție a datelor cu caracter personal nu a primit nici un răspuns din partea rețelei de socializare. În rezultat, aceasta a interzis TikTok să prelucreze datele referitoare la orice utilizator „a cărui vârstă nu a putut fi stabilită cu deplină certitudine pentru a asigura respectarea cerințelor legate de vârstă”.

Interdicția este provizorie – 15 februarie – până la finalizarea examinării de către Garante a prelucrării datelor cu caracter personal a utilizatorilor TikTok.

CNPDCP, în calitate de autoritatea națională de supraveghere a prelucrării datelor cu caracter personal, accentuează asupra responsabilității operatorilor de date cu caracter personal de a respecta prevederile cadrului legislativ în materie de protecție a datelor cu caracter personal și a se asigura că operațiunile de prelucrare a datelor cu caracter personal sunt în conformitate cu legislația în vigoare.

CNPDCP informează că, începând cu data de  6 august curent, activitatea instituției va fi suspendată în legătură cu faptul că unii angajați ai CNPDCP  au fost testați pozitiv  cu noul tip de coronavirus, reluarea activității fiind determinată de evoluția situației epidemiologice din cadrul Autorității Naționale de Protecție a Datelor cu Caracter Personal. Angajaților care au avut contact direct cu persoanele testate pozitiv, li s-a recomandat să se autoizoleze la domiciliu și să ia legătura cu medicul de familie.

Astfel, corespondența va fi recepționată doar în format electronic (prin poșta electronică cu aplicarea semnăturii electronice), iar legătura cu publicul se va axa preferențial pe utilizarea tehnologiilor de comunicații electronice, la datele de contact afișate pe pagina web și la sediul instituției. În cazul eventualelor situații de urgență pot fi contactate subdiviziunile responsabile ale CNPDCP, după cum urmează:

Direcția juridică – 079521830;

Direcția generală supraveghere și conformitate – 079677786;

Direcția prevenire, supraveghere și evidență (înregistrarea în calitate de operator de date) – 079677795;

Serviciul documentare și arhivare – 079677792.

CNPDCP informează despre preschimbarea/amânarea, din oficiu, a termenilor (data) acțiunilor procesuale, prestabilite începând cu data de 6 august 2020, pe marginea cazurilor gestionate de angajații CNPDCP în baza Legii privind protecția datelor cu caracter personal și Codului contravențional (citarea persoanelor). În context, părțile și alți participanți se vor înștiința suplimentar despre noul termen (data) de realizare a măsurilor procesuale în cadrul cazurilor gestionate de angajații CNPDCP.

Conducerea Centrului Național pentru Protecția Datelor cu Caracter Personal a participat la evenimentul on-line organizat de Biroul Comitetului Convenției 108 și Departamentul pentru protecția datelor din cadrul Consiliului Europei în perioada 1 –3 iulie, eveniment programat inițial pentru cea de-a 40-a Sesiune Plenară amânată din cauza circumstanțelor actuale la nivel global. Scopul evenimentului menționat supra a fost prezentarea activității Comitetului Consultativ unui public mai larg decât cel de obicei. În cadrul evenimentului a fost discutată o gamă largă de subiecte, cum ar fi:

·        Mecanisme de urmărire și evaluare;

·        Abordarea ultimelor provocări pe care le prezintă profilarea în era inteligenței artificiale;

·        Dreptul la protecția datelor în cadrul procesului educațional;

·        Identitatea digitală;

·        Recunoașterea facială;

·        Alegerile și campaniile politice.

 Pentru mai multe informații referitoare la fiecare subiect în parte puteți accesa următorul link:  https://www.coe.int/en/web/data-protection/data-protection-views-from-strasbourg-in-visio-1-3-july

ANUNȚ!

CNPDCP informează că, în perioada  24-27 iunie curent, activitatea CNPDCP va fi suspendată în legătură cu faptul că un angajat al CNPDCP  a fost testat pozitiv  cu noul tip de coronavirus. Astfel, angajaților CNPDCP li s-a recomandat să se autoizoleze și să ia legătura cu medicul de familie.CNPDCP informează despre preschimbarea/amânarea, din oficiu, a termenilor (data) acțiunilor procesuale, prestabilite pentru perioada 24 – 27 iunie 2020, pe marginea cazurilor gestionate de angajații CNPDCP în baza Legii privind protecția datelor cu caracter personal și Codului contravențional (citarea persoanelor).În context, părțile și alți participanți se vor înștiința suplimentar despre noul termen (data) de realizare a măsurilor procesuale în cadrul cazurilor gestionate de angajații CNPDCP.

Anunț în legătură cu adresările înaintate CNPDCP pe contul de Facebook

Reieșind din faptul că, la momentul actual, CNPDCP nu dispune de persoană responsabilă din cadrul Serviciului de informare, comunicare cu mass-media, care ar gestiona contul CNPDCP în rețeaua de socializare Facebook, rugăm respectuos ca toate adresările, întrebările, sugestiile dumneavoastră înaintate în format electronic să le transmiteți către CNPDCP prin intermediul poștei electronice oficiale a autorității – centru@datepersonale.md.