Protecia datelor personale AUTORITATEA NAIONAL DE SUPRAVEGHERE A

Protecţia datelor personale

AUTORITATEA NAŢIONALĂ DE SUPRAVEGHERE A PRELUCRĂRII DATELOR CU CARACTER PERSONAL Îndeplineşte cerinţele: Ø Directivei 95/46/CE a Parlamentului European şi Consiliului Ø Convenţiei nr. 108 pentru protecţia persoanelor referitor la prelucrarea automatizată a datelor cu caracter personal

Autonomia şi Independenţa ANSPDCP Ø Ø Autoritate publică autonomă şi independentă faţă de orice altă autoritate a administraţiei publice, ca şi faţă de orice persoană fizică sau juridică de drept privat ANSPDCP exercită atribuţiile în mod independent şi imparţial, din oficiu sau la cerere

Independenţa ANSPDCP n n Autonomie bugetară Modalitatea de numire a conducerii Autorităţii (Plenul Senatului) Autoritatea nu poate fi supusă niciunui mandat imperativ sau reprezentativ Autoritatea nu poate fi obligată să se supună instrucţiunilor sau dispoziţiilor altor autorităţi

ROLUL ANSPDCP q Apără drepturile şi libertăţile fundamentale persoanelor fizice, în special dreptul la viaţă intimă, familială şi privată, în legătură cu prelucrarea datelor cu caracter personal

CONDUCEREA AUTORITĂŢII § § Preşedintele este numit de Senatul României, pentru un mandat de 5 ani (poate fi reînnoit o singură dată) Preşedintele are funcţie de secretar de stat În exercitarea atribuţiilor sale, emite decizii şi instrucţiuni obligatorii pentru toate instituţiile şi unităţile la a căror activitate se referă Este ajutat în exercitarea atribuţiilor de un vicepreşedinte, numit de Senat

ATRIBUŢIILE AUTORITĂŢII 1. efectuează investigaţii din oficiu sau la primirea unor plângeri ori sesizări; 2. primeşte şi soluţionează plângeri, sesizări, cereri de la persoanele fizice; 3. primeşte şi analizează notificările privind prelucrările de date şi transmiterile de date către statele membre ale Uniunii Europene; 4. autorizează transferurile de date în state terţe;

ATRIBUŢIILE AUTORITĂŢII 5. este consultată când se elaborează proiecte de acte normative referitoare la protecţia drepturilor şi libertăţilor persoanelor, în privinţa prelucrării datelor cu caracter personal; 6. aplică sancţiuni.

Măsuri dispuse de ANSPDCP q ANSPDCP poate dispune: - suspendarea provizorie a prelucrării - încetarea prelucrării datelor - ştergerea parţială ori integrală ANSPDCP - sesizează organele de urmărire penală - intentează acţiuni în justiţie - constată contravenţii - aplică sancţiuni contravenţionale q

LEGEA NR. 677/2001 Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date: - a intrat în vigoare la 12 decembrie 2001 - a fost pusă în aplicare din 12 martie 2002 - a fost modificată prin Legea nr. 102/2005 q

SFERA DE APLICARE A LEGII NR. 677/2001 - mijloace de prelucrare Legea se aplică: n prelucrărilor de date cu caracter personal efectuate, în totalitate sau în parte prin mijloace automate prin orice alte mijloace decât cele automate şi care fac parte dintr-un sistem de evidenţă sau sunt destinate a face parte dintr-un astfel de sistem

SFERA DE APLICARE - COMPETENŢĂ TERITORIALĂ Legea se aplică prelucrărilor de date personale, efectuate în cadrul activităţilor desfăşurate de: operatori stabiliţi în România; Ø misiunile diplomatice sau oficiile consulare ale României; Ø operatori care nu sunt stabiliţi în România, prin utilizarea de mijloace de orice natură situate pe teritoriul României. Ø

OPERATOR DE DATE PERSONALE q orice persoană fizică sau juridică, de drept privat ori de drept public, inclusiv autorităţile publice, instituţiile şi structurile teritoriale acestora, care stabileşte scopul şi mijloacele de prelucrare a datelor cu caracter personal, sau care este astfel desemnat printr-un act normativ

DATE CU CARACTER PERSONAL (art. 3 lit. a din Legea nr. 677/2001) Orice informaţii referitoare la o persoană fizică identificată sau identificabilă. § O persoană identificabilă este acea persoană care poate fi identificată direct sau indirect, în mod particular prin referire la un număr de identificare ori la unul sau mai mulţi factori specifici identităţii sale fizice, fiziologice, psihice, economice, culturale sau sociale. § Exemple: nume şi prenume, adresa, CNP, email, funcţie, cetăţenie, data şi locul naşterii, imagine, semnătură §

LEGITIMITATEA PRELUCRĂRILOR DE DATE CU CARACTER PERSONAL (art. 5 din Legea nr. 677/2001) Principiul consimţământului persoanei vizate Prelucrările de date cu caracter personal nu pot fi efectuate decât dacă persoana vizată şi-a dat expres şi neechivoc consimţământul.

EXCEPŢII - când prelucrarea este necesară în vederea executării unui contract sau antecontract la care persoana vizată este parte; - când prelucrarea este necesară în vederea protejării vieţii, integrităţii fizice sau sănătăţii persoanei vizate ori a unei alte persoane ameninţate; - când prelucrarea este necesară în vederea îndeplinirii unor obligaţii legale operatorilor; - când prelucrarea este necesară în vederea aducerii la îndeplinire a unor măsuri de interes public; - când prelucrarea este necesară în vederea realizării unui interes legitim al operatorului sau al terţului căruia îi sunt dezvăluite datele cu condiţia să nu prejudicieze drepturile şi libertăţile fundamentale persoanei; - dacă datele sunt obţinute din documente accesibile publicului; - dacă prelucrarea se face exclusiv în scopuri statistice, de cercetare istorică sau ştiinţifică, atunci când datele rămân anonime.

INTERZICEREA PRELUCRĂRII UNOR CATEGORII SPECIALE DE DATE CU CARACTER PERSONAL Sunt interzise prelucrările de date personale privind: ü originea rasială sau etnică ü convingerile politice, religioase, filosofice sau de altă natură ü apartenenţa sindicală ü datele privind starea de sănătate ü datele privind viaţa sexuală

EXCEPŢII • • • există consimţământul persoanei vizate protecţia intereselor vitale persoanei vizate realizarea unor scopuri de medicină preventivă, de stabilire a diagnosticelor şi administrare a îngrijirilor medicale îndeplinirea obligaţiilor sau exercitarea drepturilor specifice ale operatorului în domeniul dreptului muncii, în anumite condiţii activităţile legitime ale unei fundaţii, asociaţii sau ale unei alte organizaţii cu scop nelucrativ şi cu specific politic, filozofic, religios ori sindical, cu condiţia ca persoana în cauză să fie membră a acestora datele sunt făcute publice în mod manifest de către persoana vizată constatarea, exercitarea sau apărarea unui drept în justiţie legea prevede expres acest lucru, în scopul protejării unui interes public important, în anumite condiţii dacă prelucrarea se efectuează în scopuri jurnalistice, literare sau artistice, în anumite condiţii

OBLIGAŢIILE OPERATORILOR DE DATE CU CARACTER PERSONAL 1. să notifice autorităţii de supraveghere orice prelucrare ori ansamblu de prelucrări având acelaşi scop sau scopuri corelate (art. 22 alin. 1) 2. să completeze notificarea la solicitarea autorităţii de supraveghere (art. 22 alin. 4)

3. să menţioneze numărul de înregistrare primit de la autoritatea de supraveghere, pe fiecare act prin care datele personale sunt colectate, stocate sau dezvăluite (art. 24 alin. 2) 4. să comunice în termen de 5 zile la autoritatea de supraveghere orice schimbare de natură să afecteze exactitatea informaţiilor înregistrate (art. 24 alin. 3)

ASIGURAREA CONFIDENŢIALITĂŢII ŞI SECURITĂŢII PRELUCRĂRII Temeiul legal: - art. 19 – 20 din Legea nr. 677/2001 - Ordinul nr. 52/2002 § Operatorii trebuie să aplice măsurile tehnice şi organizatorice adecvate pentru protejarea datelor personale împotriva (art. 20): - distrugerii accidentale sau ilegale - pierderii, modificării, dezvăluirii sau accesului neautorizat, în special dacă prelucrarea comportă transmisii de date în cadrul unei reţele - împotriva oricărei forme de prelucrare ilegală

DREPTURILE PERSOANELOR VIZATE Dreptul de informare a persoanei vizate (art. 12) Dreptul de acces la date (art. 13) Dreptul de intervenţie (art. 14) Dreptul de opoziţie (art. 15) Dreptul de a nu fi supus unei decizii individuale (art. 17) Dreptul de a se adresa justiţiei (art. 18)

Dreptul la informare - gratuit n n este o obligaţie legală a operatorului - la momentul colectării datelor personale (colectare directă) sau cel târziu la prima comunicare, înainte de dezvăluirea datelor către terţi (colectare din altă sursă); cu privire la identitatea operatorului, scopul prelucrării, destinatarii datelor, menţiunea dacă furnizarea datelor este obligatorie şi care sunt consecinţele unui refuz, inclusiv drepturile specifice persoanelor vizate şi modalitatea de exercitare a acestora.

Dreptul de acces - gratuit n n Persoana vizată poate cere operatorului, o dată pe an, în mod gratuit, printr-o cerere scrisă, semnată şi datată, să i se comunice dacă datele sale sunt sau nu prelucrate în acel moment; în caz afirmativ, operatorul are obligaţia de a comunica persoanei informaţii privind scopul prelucrării, datele prelucrate, destinatarii datelor, sursa de colectare, mecanismele de prelucrare şi drepturile specifice persoanei vizate.

Dreptul de intervenţie - gratuit - n - Persoana vizată poate cere operatorului, în scris, printr-o cerere datată şi semnată: rectificarea sau actualizarea datelor sale, în special a datelor incomplete sau inexacte; blocarea, ştergerea, transformarea în date anonime a datelor prelucrate ilegal.

DREPTUL DE OPOZIŢIE - gratuit n Persoana vizată are dreptul de a se opune în orice moment, din motive întemeiate şi legitime legate de situaţia sa particulară, ca date care o vizează să facă obiectul unei prelucrări; în caz de opoziţie justificată prelucrarea nu mai poate viza datele în cauză; n excepţie - cazurile în care există dispoziţii legale contrare; n persoana vizată are dreptul de a se opune în orice moment, în mod gratuit şi fără nici o justificare, ca datele care o vizează să fie prelucrate în scop de marketing direct, în numele operatorului sau al unui terţ, sau să fie dezvăluite unor terţi într-un asemenea scop.

Exercitarea drepturilor specifice cerere în formă scrisă adresată operatorului, datată şi semnată; n operatorul trebuie să răspundă la cerere în termen de 15 zile de la data sesizării; n dacă operatorul nu răspunde la cererea formulată, persoana vizată se adresează ANSPDCP. n

Dreptul de a nu fi supus unei decizii individuale n n Orice persoană are dreptul de a cere şi de a obţine: - retragerea sau anularea oricărei decizii care produce efecte juridice în privinţa sa, - reevaluarea oricărei decizii luate în privinţa sa, dacă decizia a fost adoptată exclusiv pe baza unei prelucrări de date cu caracter personal Excepţie: decizia este autorizată de o lege care precizează măsurile ce garantează apărarea interesului legitim al persoanei vizate

DREPTUL DE A SE ADRESA JUSTIŢIEI - gratuit - n n Orice persoană care a suferit un prejudiciu în urma unei prelucrări ilegale de date cu caracter personal, se poate adresa instanţei competente pentru repararea prejudiciului cauzat; Instanţa competentă este cea în a cărei rază teritorială domiciliază reclamantul, iar cererea de chemare în judecată este scutită de taxă de timbru.

CONTRAVENŢII ŞI SANCŢIUNI 1. Omisiunea de a notifica si notificarea cu reacredinţă - amendă de la 500 RON la 10. 000 RON 2. Prelucrarea nelegală a datelor personale - amendă de la 1. 000 RON la 25. 000 RON 3. Neîndeplinirea obligaţiilor privind confidenţialitatea şi aplicarea măsurilor de securitate - amendă de la 1. 500 RON la 50. 000 RON 4. Refuzul de a furniza informaţii - amendă de la 1. 000 RON la 15. 000 RON

MĂSURILE ADOPTATE ÎN SCOPUL PUNERII ÎN APLICARE A LEGII NR. 677/2001 - elaborarea formularelor tipizate de notificări (Decizia nr. 60 din 6 iunie 2006 a preşedintelui autorităţii de supraveghere, publicată în Monitorul Oficial al României, Partea I, nr. 507 din 12 iunie 2006 şi intrată în vigoare pe 22 iunie 2006) - stabilirea unor situaţii în care nu este necesară notificarea prelucrării unor date cu caracter personal (Decizia nr. 90/2006 a preşedintelui autorităţii de supraveghere, publicată în Monitorul oficial nr. 654 din 28 iulie 2006) - elaborarea cerinţelor minime de securitate a prelucrărilor de date cu caracter personal (Ordinul Avocatului Poporului nr. 52 din 18 aprilie 2002, publicat în Monitorul Oficial al României, Partea I, nr. 383 din 5 iunie 2002) - elaborarea unei decizii privind transferurile datelor cu caracter personal către alte state (Decizia nr. 28/2007 publicată în Monitorul Oficial nr. 182 din 16 martie 2007)

VĂ MULŢUMIM PENTRU ATENŢIA ACORDATĂ ! AUTORITATEA NAŢIONALĂ DE SUPRAVEGHERE A PRELUCRĂRII DATELOR CU CARACTER PERSONAL Str. Olari nr. 32, sectorul 2 Municipiul Bucureşti, cod 024057 Tel. 252. 55. 99 Fax: 252. 57 www. dataprotection. ro e-mail: anspdcp@dataprotection. ro