Întrebări frecvente

1. Operatorii sunt obligați să țină o evidență a prelucrărilor de date?

Fiecare operator sau persoană împuternicită trebuie să păstreze, atât în scris cât și în format electronic, o evidență a activităților de prelucrare. Această evidență trebuie să cuprindă toate informațiile prevăzute la art. 30 alin. (1) din Regulamentul General de Protecție a Datelor 2016/679.

Alegerea modalităților de a păstra evidența prelucrărilor de date rămâne la latitudinea operatorilor, ținând cont de activitatea desfășurată până în prezent în domeniul datelor cu caracter personal.

Evidența prelucrării cuprinde toate următoarele informații:
– numele și datele de contact ale operatorului și, după caz, ale operatorului asociat, ale reprezentantului operatorului și ale responsabilului cu protecția datelor;
– scopurile prelucrării;
– o descriere a categoriilor de persoane vizate și a categoriilor de date cu caracter personal;
– categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din țări terțe sau organizații internaționale;

– dacă este cazul, transferurile de date cu caracter personal către o țară terță sau o organizație internațională, inclusiv identificarea țării terțe sau a organizației internaționale respective și, în cazul transferurilor menționate la articolul 49 alineatul (1) al doilea paragraf, documentația care dovedește existența unor garanții adecvate;
– acolo unde este posibil, termenele-limită preconizate pentru ștergerea diferitelor categorii de date;
– acolo unde este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la articolul 32 alineatul (1).

2.Ce înseamnă operator de date cu caracter personal?  

Potrivit art. 4 din Regulamentul general privind protecția datelor, „operator” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern”.

3.Ce înseamnă operatori asociați?

Potrivit art. 26 din Regulamentul (UE) 2016/679, în cazul în care doi sau mai mulți operatori stabilesc în comun scopurile și mijloacele de prelucrare, aceștia sunt operatori asociați. Ei stabilesc într-un mod transparent responsabilitățile fiecăruia în ceea ce privește îndeplinirea obligațiilor care le revin în temeiul prezentului regulament, în special în ceea ce privește exercitarea drepturilor persoanelor vizate și îndatoririle fiecăruia de furnizare a informațiilor prevăzute la articolele 13 și 14, prin intermediul unui acord între ei, cu excepția cazului și în măsura în care responsabilitățile operatorilor sunt stabilite în dreptul Uniunii sau în dreptul intern care se aplică acestora. Acordul poate să desemneze un punct de contact pentru persoanele vizate.

4. Ce înseamnă persoană împuternicită de operator?

Potrivit art. 4 din Regulamentul (UE) 2016/679, persoana împuternicită de operator înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului.

5. Este necesar să mai notific prelucrările de date?    

Având în vedere faptul că începând din data de 25 mai se aplică Regulamentul UE 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE, operatorii nu mai au obligația de notificare a prelucrărilor de date.

6. Ce obligații am în calitate de operator potrivit Regulamentului (UE) 2016/679?

Obligațiile pe care le au operatorii de date cu caracter personal sunt reglementate în Capitolul IV din Regulamentul 2016/679. Printre principalele obligații ale operatorului în aplicarea Regulamentului sunt:

– desemnarea unui responsabil cu protecția datelor în condițiile art. 37-39 din Regulament;
– cartografierea prelucrărilor de date cu caracter personal (art. 30 din Regulament) ;
– asigurarea securității datelor (art. 25 și art. 32 din Regulament);
– notificarea încălcărilor de securitate în condițiile art. 33 din Regulament;
– evaluarea impactului asupra protecției datelor și respectarea drepturilor persoanelor fizice (art. 35 din Regulament).

Pentru mai multe informații puteți accesa Ghidul orientativ de aplicare a Regulamentului general privind protecția datelor  emis de Autoritatea Națională de Supraveghere.

7. Când trebuie să desemnez un responsabil cu protecția datelor (DPO)?

Potrivit prevederilor art. 37 alin. (1) din Regulamentul (UE) 2016/679, desemnarea responsabilului cu protecția datelor se solicită atunci când:

a) prelucrarea este efectuată de o autoritate sau un organism public, cu excepția instanțelor care acționează în exercițiul funcției lor jurisdicționale;
b) activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în operațiuni de prelucrare care, prin natura, domeniul de aplicare și/sau scopurile lor, necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă;
c) activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în prelucrarea pe scară largă a unor categorii speciale de date sau a unor date cu caracter personal privind condamnări penale și infracțiuni.

8. Ce înseamnă prelucrare pe scară largă?

Atunci când se stabilește dacă prelucrarea este efectuată pe scară largă, trebuie să fie luați în considerare următorii factori:

– numărul persoanelor vizate (ori un număr exact ori un procent din populația relevantă);
– volumul datelor și/sau gama de elemente diferite de date în curs de prelucrare;
durata sau permanența activității de prelucrare a datelor;
– suprafața geografică a activității de prelucrare.

9. Ce condiții trebuie să îndeplinească responsabilul cu protecția datelor?

Responsabilul cu protecția datelor este desemnat pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în dreptul şi practicile din domeniul protecției datelor, precum și pe baza capacității de a-și îndeplini sarcinile. Nivelul necesar al cunoștințelor de specialitate trebuie să fie stabilit în funcție de operațiunile de prelucrare a datelor efectuate și de nivelul de protecție impus pentru datele cu caracter personal prelucrate.

Pentru mai multe informații puteți accesa Ghidul privind responsabilul cu protecția datelor emis de Comitetul european pentru protecția datelor.

10. Se poate desemna un singur responsabil cu protecția datelor pentru un grup de întreprinderi sau pentru mai multe autorități sau organisme publice?


Art. 37 alin. (2) din Regulamentul (UE) 2016/679 permite unui grup de întreprinderi să numească un responsabil cu protecția datelor unic, cu condiția ca acesta să fie „ușor accesibil din fiecare întreprindere”. Noțiunea de accesibilitate se referă la sarcinile responsabilului cu protecția datelor ca punct de contact în ceea ce privește persoanele vizate, autoritatea de supraveghere, dar și pe plan intern în cadrul organizației, având în vedere că una dintre sarcinile responsabilului este de informare și consiliere a operatorului și persoanei împuternicite de operator, precum și a angajaților care se ocupă de prelucrarea cu privire la obligațiile care le revin în temeiul Regulamentului (UE) 2016/679.

Art. 37 alin. (3) din Regulamentul (UE) 2016/679 permite, de asemenea, desemnarea unui responsabil cu protecția datelor unic pentru mai multe autorități sau organisme publice, luând în considerare structura organizatorică și dimensiunea acestora.

Operatorul sau persoana împuternicită de operator are obligația de a publica datele de contact ale responsabilului cu protecția datelor și de a le comunica autorității de supraveghere.

11. Cum comunic responsabilul cu protecția datelor autorității de supraveghere?

Comunicarea responsabilului cu protecția datelor se realizează prin completarea formularului de declarare a responsabilului cu protecția datelor existent pe site-ul autorității la Secțiunea „Responsabilul cu protecția datelor”.

În situația în care grup de întreprinderi sau mai multe autorități sau organisme publice desemnează un responsabil cu protecția datelor unic, fiecare operator sau persoană împuternicită va completa formularul de declarare a responsabilului cu protecția datelor existent pe site-ul autorității la Secțiunea „Responsabilul cu protecția datelor”.

12. Când nu se aplică Regulamentul (UE) 2016/679?

Regulamentul (UE) 2016/679 nu se aplică prelucrării datelor cu caracter personal:

– în cadrul unei activități care nu intră sub incidența dreptului Uniunii;
– de către statele membre atunci când desfășoară activități legate de politica externă și de securitatea comună a Uniunii;
– de către o persoană fizică în cadrul unei activități exclusiv personale sau domestice;
– de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor, al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora;

13.Care sunt condițiile legale de prelucrare a datelor cu caracter personal, altele decât cele speciale?

Potrivit art 6 din Regulamentul (UE) 2016/679 prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una din condițiile prevăzute la alin. (1):

a) când persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale pentru unul sau mai multe scopuri specifice;
b) când prelucrarea este necesară pentru exercitarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;
c) când prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;
d) când prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;
e) când prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public  sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;
f) când prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.
Litera (f) nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.

14. Care sunt condițiile de prelucrare a categoriilor speciale de date cu caracter personal?

Prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.

Prelucrarea acestor categorii de date este permisă numai în condițiile prevăzute la art. 9 alin. (2) din Regulamentul (UE) 2016/679.

Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), prevede la art. 3 alin. (1) că „prelucrarea datelor genetice, biometrice sau a datelor privind sănătatea, în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri, este permisă cu consimțământul explicit al persoanei vizate sau dacă prelucrarea este efectuată în temeiul unor dispoziții legale exprese, cu instituirea unor măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate”.

15. Dacă prelucrarea este prevăzută de un act normativ, mai este necesar să obțin consimțământul persoanelor vizate?

Atunci când prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului, nu mai este necesară obținerea consimțământului persoanelor vizate.

16. Care sunt condițiile de acordare și valabilitate a consimțământului?

Potrivit art. 7 alin. (1) din Regulament, operatorul trebuie să fie în măsură să demonstreze faptul că persoana vizată și-a dat consimțământul pentru operațiunea de prelucrare a datelor cu caracter personal.

În cazul în care consimțământul persoanei vizate este dat în contextual unei declarații scrise care se referă și la alte aspecte, cererea privind consimțământul trebuie să fie prezentată într-o formă care o diferențiază în mod clar de celelalte aspecte, într-o formă inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu.

Art. 7 alin. (3) din Regulament prevede faptul că retragerea consimțământului se face la fel de simplu ca și acordarea acestuia.

În situația în care consimțământul este retras, operatorul are obligația de a șterge, fără întârzieri nejustificate, toate datele cu caracter personal ale persoanei vizate care și-a exercitat dreptul prevăzut la art. 17 alin. (1) lit. b) din Regulament.

Considerentul 32 din Regulamentul (UE) nr. 2016/679 stabilește următoarele: ”Consimțământul ar trebui acordat printr-o acțiune neechivocă care să constituie o manifestare liber exprimată, specifică, în cunoștință de cauză și clară a acordului persoanei vizate pentru prelucrarea datelor sale cu caracter personal, ca de exemplu o declarație făcută în scris, inclusiv în format electronic, sau verbal. Acesta ar putea include bifarea unei căsuțe atunci când persoana vizitează un site, alegerea parametrilor tehnici pentru serviciile societății informaționale sau orice altă declarație sau acțiune care indică în mod clar în acest context acceptarea de către persoana vizată a prelucrării propuse a datelor sale cu caracter personal. Prin urmare, absența unui răspuns, căsuțele bifate în prealabil sau absența unei acțiuni nu ar trebui să constituie un consimțământ. Consimțământul ar trebui să vizeze toate activitățile de prelucrare efectuate în același scop sau în aceleași scopuri. Dacă prelucrarea datelor se face în mai multe scopuri, consimțământul ar trebui dat pentru toate scopurile prelucrării. În cazul în care consimțământul persoanei vizate trebuie acordat în urma unei cereri transmise pe cale electronică, cererea respectivă trebuie să fie clară și concisă și să nu perturbe în mod inutil utilizarea serviciului pentru care se acordă consimțământul.”

Pentru mai multe informații puteți accesa Ghidul privind consimțământul emis de Comitetul european pentru protecția datelor.

17. Când este necesară efectuarea evaluării de impact?

În cazul în care sunt identificate prelucrări de date cu caracter personal susceptibile de a prezenta riscuri ridicate pentru drepturile și libertățile persoanelor fizice, operatorul sau persoana împuternicită va efectua o evaluare a impactului asupra protecției datelor, în condițiile art. 35 din Regulamentul General privind Protecția Datelor.

Evaluarea impactului asupra protecției datelor se realizează anterior colectării datelor cu caracter personal și efectuării prelucrării. Evaluarea impactului asupra protecției datelor se impune mai ales în cazul:

– unei evaluări sistematice și cuprinzătoare a aspectelor personale referitoare la persoane fizice, care se bazează e prelucrare automată, inclusiv crearea de profiluri, și care stă la baza unor decizii care produc efecte juridice privind persoana fizică sau care o afectează în mod similar într-o măsură semnificativă;
– prelucrării pe scară largă a unor categorii speciale de date, menționată la art. 9 alin. (1), sau a unor date cu caracter personal privind condamnări penale și infracțiuni, menționată la art. 10;
– unei monitorizări sistematice pe scară largă a unei zone accesibile publicului.

Evaluarea conține cel puțin:
– o descriere sistematică a operațiunilor de prelucrare preconizate și a scopurilor prelucrării, inclusiv, după caz, interesul legitim urmărit de operator;
– o evaluare a necesității și proporționalității operațiunilor de prelucrare în legătură cu aceste scopuri;

– o evaluare a riscurilor pentru drepturile și libertățile persoanelor vizate menționate la alineatul (1);
– măsurile preconizate în vederea abordării riscurilor, inclusiv garanțiile, măsurile de securitate și mecanismele menite să asigure protecția datelor cu caracter personal și să demonstreze conformitatea cu dispozițiile prezentului regulament, luând în considerare drepturile și interesele legitime ale persoanelor vizate și ale altor persoane interesate

18.În cât timp notific încălcările de securitate?

Cu excepția cazului în care este puțin probabil ca o încălcare a securității datelor cu caracter personal să genereze un risc pentru drepturile și libertățile persoanelor fizice, operatorul are obligația de a notifica autorității de supraveghere orice încălcare a securității datelor, fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore de la data la care a luat cunoștință de aceasta.

Prin Decizia nr. 128 din 22 iunie 2018 a președintelui Autorității de supraveghere s-a adoptat formularul tipizat al notificării de încălcare a securității datelor cu caracter personal în conformitate cu Regulamentul (UE) 2016/679.

19. Care sunt drepturile persoanei vizate?    

La Capitolul III din Regulamentul (UE) 2016/679 sunt reglementate drepturile persoanei vizate:

– dreptul la informare (art. 13 și art. 14);
– dreptul de acces (art. 15);
– dreptul la rectificare (art. 16);
– dreptul la ștergere („dreptul de a fi uitat” – art. 17);
– dreptul la restricționarea prelucrării (art. 18);
– dreptul la portabilitatea datelor (art. 20 -);
– dreptul la opoziție (art. 21);
– dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată (art. 22 – pentru mai multe informații puteți accesa);
– dreptul de a depune o plângere la o autoritate de supraveghere (art. 77).

Pentru exercitarea acestor drepturi, este necesar ca persoanele vizate să adreseze o cerere operatorului în acest sens. Operatorul furnizează persoanei vizate informații privind acțiunile întreprinse în cel mult o lună de la primirea cererii. Această perioadă poate fi prelungită cu două luni atunci când este necesar, ţinându-se seama de complexitatea și numărul cererilor.


20. Cum pot formula o plângere la autoritatea de supraveghere?

Pe site-ul autorității de supraveghere www.dataprotection.ro este disponibil un formular electronic de plângere la secțiunea Plângeri.

De asemenea, vă recomandăm să aveți în vedere prevederile Deciziei nr. 133/2018 a președintelui Autorității de supraveghere privind aprobarea Procedurii de primire și soluționare a plângerilor.

21. Când este admisibilă o plângere?

Potrivit Deciziei nr. 133/2018 și în concordanță cu Legea nr. 102/2005 privind înființarea, organizarea și funcționarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu modificările și completările ulterioare, pentru primirea și înregistrarea valabilă a plângerilor este obligatorie furnizarea următoarelor date ale petiționarului: nume, prenume, adresă poștală de domiciliu sau de reședință. În cazul în care plângerea este depusă electronic este obligatorie furnizarea adresei de poștă electronică a petiționarului.

În cazul plângerilor înaintate prin reprezentant, în afara datelor petiționarului menționate la alin. (1), este obligatorie și furnizarea următoarelor date ale reprezentantului: nume și prenume/denumire, adresă poștală de corespondență/sediu, adresă de poștă electronică, număr de telefon, număr de înregistrare în registrul asociațiilor și fundațiilor, dacă este cazul.

Pentru primirea și înregistrarea valabilă a plângerilor este obligatorie furnizarea datelor de identificare ale operatorului reclamat sau a persoanei împuternicite reclamate, precum nume și prenume/denumire, adresă/sediu, sau cel puțin a informațiilor disponibile deținute de petiționar, în vederea identificării acestora.

Plângerile trimise se semnează olograf sau electronic, iar în cazul petițiilor trimise electronic care nu pot fi semnate, ANSPDCP poate solicita confirmarea corectitudinii datelor transmise electronic. Autoritatea națională de supraveghere informează persoana vizată cu privire la admisibilitatea plângerii, în termen de cel mult 45 de zile de la înregistrare. În cazul în care se constată că informațiile din plângere sau documentele transmise sunt incomplete sau insuficiente, Autoritatea națională de supraveghere solicită persoanei vizate să completeze plângerea pentru a putea fi considerată admisibilă în vederea efectuării unei investigații. Un nou termen de cel mult 45 de zile curge de la data completării plângerii. Autoritatea națională de supraveghere informează persoana vizată în legătură cu evoluția sau cu rezultatul investigației întreprinse în termen de 3 luni de la data la care s-a comunicat acesteia că plângerea este admisibilă.

22. Cum se realizează transferul de date în străinătate?

Transferul de date cu caracter personal se poate realiza prin:
– decizii ale Comisiei Europene privind caracterul adecvat al nivelului de protecție asigurat de statul terț;
– clauze standard de protecție a datelor adoptate de Comisie;
– reguli corporatiste obligatorii în conformitate cu art. 47 din Regulament;
– alte modalități prevăzute la art. 46 și art. 49 din Regulament.

23. Ce măsuri trebuie să iau pentru asigurarea securității prelucrării datelor cu caracter personal?

Securitatea datelor cu caracter personal este reglementată la art. 25 și art. 32 din Regulamentul (UE) 2016/679.

În vederea asigurării unui nivel de securitate corespunzător, operatorul implementează măsuri tehnice și organizatorice adecvate, incluzând printre altele:
– capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și rezistența continue ale sistemelor și serviciilor de prelucrare;
– capacitatea de a restabili disponibilitatea datelor cu caracter personal și accesul la acestea în timp util în cazul în care are loc un incident de natură fizică sau tehnică;
– un proces pentru testarea, evaluarea și aprecierea periodică a eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării.”
– pseudonimizarea și criptarea datelor cu caracter personal, după caz.

24. Cât timp se stochează datele cu caracter personal?

Potrivit art. 5 alin. (1) lit. e) din Regulamentul (UE) 2016/679, ”datele cu caracter personal sunt păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele; datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu articolul 89 alineatul (1), sub rezerva punerii în aplicare a măsurilor de ordin tehnic și organizatoric adecvate prevăzute în prezentul regulament în vederea garantării drepturilor și libertăților persoanei vizate („limitări legate de stocare”);”

Potrivit Regulamentului general privind protecția datelor, datele se păstrează într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele. Datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, cu instituirea unor garanții.

Perioada de stocare poate fi stabilită prin acte normative ce reglementează domeniile specifice de activitate. În măsura în care se impune, este necesară modificarea/completarea acestora astfel încât normele să fie puse în conformitate cu Regulamentul general privind protecția datelor.

office@romaniadataprotection.com

Telefon: 0771.299.774

Orar de contact: 08:00 - 18:00

Program: Luni - Vineri

Manflo Manage SRL

C.U.I 36910260

Cluj-Napoca