In accordance with: Recital (1), Recital (78), Recital (156), Article 1, Article 4, Article 6 paragraph (4) letter (e), Article 25 paragraph (1), Article 32 paragraph (1) letter (a), Article 40 paragraph (2) letter (d), Article 89 paragraph (1) EU GDPR - REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) are referring to PSEUDONYMISATION, respectively:
Recital (1)-> "The protection of natural persons in relation to the processing of personal data is a fundamental right. Article 8(1) of the Charter of Fundamental Rights of the European Union (the ‘Charter’) and Article 16(1) of the Treaty on the Functioning of the European Union (TFEU) provide that everyone has the right to the protection of personal data concerning him or her."
Recital (78)-> "The protection of the rights and freedoms of natural persons with regard to the processing of personal data require that appropriate technical and organisational measures be taken to ensure that the requirements of this Regulation are met. In order to be able to demonstrate compliance with this Regulation, the controller should adopt internal policies and implement measures which meet in particular the principles of data protection by design and data protection by default. Such measures could consist, inter alia, of minimising the processing of personal data, PSEUDONYMISING PERSONAL DATA as soon as possible, transparency with regard to the functions and processing of personal data, enabling the data subject to monitor the data processing, enabling the controller to create and improve security features. When developing, designing, selecting and using applications, services and products that are based on the processing of personal data or process personal data to fulfil their task, producers of the products, services and applications should be encouraged to take into account the right to data protection when developing and designing such products, services and applications and, with due regard to the state of the art, to make sure that controllers and processors are able to fulfil their data protection obligations. The principles of data protection by design and by default should also be taken into consideration in the context of public tenders."
Recital (156)-> "The processing of personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes should be subject to appropriate safeguards for the rights and freedoms of the data subject pursuant to this Regulation. Those safeguards should ensure that technical and organisational measures are in place in order to ensure, in particular, the principle of data minimisation. The further processing of personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes is to be carried out when the controller has assessed the feasibility to fulfil those purposes by processing data which do not permit or no longer permit the identification of data subjects, provided that appropriate safeguards exist (such as, for instance, PSEUDONYMISATION OF THE DATA). Member States should provide for appropriate safeguards for the processing of personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes. Member States should be authorised to provide, under specific conditions and subject to appropriate safeguards for data subjects, specifications and derogations with regard to the information requirements and rights to rectification, to erasure, to be forgotten, to restriction of processing, to data portability, and to object when processing personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes. The conditions and safeguards in question may entail specific procedures for data subjects to exercise those rights if this is appropriate in the light of the purposes sought by the specific processing along with technical and organisational measures aimed at minimising the processing of personal data in pursuance of the proportionality and necessity principles. The processing of personal data for scientific purposes should also comply with other relevant legislation such as on clinical trials."
Article 1 -> "This Regulation lays down rules relating to the protection of natural persons with regard to the processing of personal data and rules relating to the free movement of personal data. This Regulation protects fundamental rights and freedoms of natural persons and in particular their right to the protection of personal data. The free movement of personal data within the Union shall be neither restricted nor prohibited for reasons connected with the protection of natural persons with regard to the processing of personal data."
Article 4 (Definitions) ->
"(1) ‘personal data’ means any information relating to an identified or identifiable natural person (‘data subject’); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;
(2) ‘processing’ means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;
(3) ‘restriction of processing’ means the marking of stored personal data with the aim of limiting their processing in the future;
(4) ‘profiling’ means any form of automated processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerning that natural person's performance at work, economic situation, health, personal preferences, interests, reliability, behaviour, location or movements;
(5) ‘PSEUDONYMISATION’ means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable natural person;
(6) ‘filing system’ means any structured set of personal data which are accessible according to specific criteria, whether centralised, decentralised or dispersed on a functional or geographical basis;
(7) ‘controller’ means the natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by Union or Member State law;
(8) ‘processor’ means a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller;
(9) ‘recipient’ means a natural or legal person, public authority, agency or another body, to which the personal data are disclosed, whether a third party or not. However, public authorities which may receive personal data in the framework of a particular inquiry in accordance with Union or Member State law shall not be regarded as recipients; the processing of those data by those public authorities shall be in compliance with the applicable data protection rules according to the purposes of the processing;
(10) ‘third party’ means a natural or legal person, public authority, agency or body other than the data subject, controller, processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data;
(11) ‘consent’ of the data subject means any freely given, specific, informed and unambiguous indication of the data subject's wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her;
(12) ‘personal data breach’ means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;
(13) ‘genetic data’ means personal data relating to the inherited or acquired genetic characteristics of a natural person which give unique information about the physiology or the health of that natural person and which result, in particular, from an analysis of a biological sample from the natural person in question;
(14) ‘biometric data’ means personal data resulting from specific technical processing relating to the physical, physiological or behavioural characteristics of a natural person, which allow or confirm the unique identification of that natural person, such as facial images or dactyloscopic data;
(15) ‘data concerning health’ means personal data related to the physical or mental health of a natural person, including the provision of health care services, which reveal information about his or her health status;
(16) ‘main establishment’ means:
(a) as regards a controller with establishments in more than one Member State, the place of its central administration in the Union, unless the decisions on the purposes and means of the processing of personal data are taken in another establishment of the controller in the Union and the latter establishment has the power to have such decisions implemented, in which case the establishment having taken such decisions is to be considered to be the main establishment;
(b) as regards a processor with establishments in more than one Member State, the place of its central administration in the Union, or, if the processor has no central administration in the Union, the establishment of the processor in the Union where the main processing activities in the context of the activities of an establishment of the processor take place to the extent that the processor is subject to specific obligations under this Regulation;
(17) ‘representative’ means a natural or legal person established in the Union who, designated by the controller or processor in writing pursuant to Article 27, represents the controller or processor with regard to their respective obligations under this Regulation;
(18) ‘enterprise’ means a natural or legal person engaged in an economic activity, irrespective of its legal form, including partnerships or associations regularly engaged in an economic activity;
(19) ‘group of undertakings’ means a controlling undertaking and its controlled undertakings;
(20) ‘binding corporate rules’ means personal data protection policies which are adhered to by a controller or processor established on the territory of a Member State for transfers or a set of transfers of personal data to a controller or processor in one or more third countries within a group of undertakings, or group of enterprises engaged in a joint economic activity;
(21) ‘supervisory authority’ means an independent public authority which is established by a Member State pursuant to Article 51;
(22) ‘supervisory authority concerned’ means a supervisory authority which is concerned by the processing of personal data because:
(a) the controller or processor is established on the territory of the Member State of that supervisory authority;
(b) data subjects residing in the Member State of that supervisory authority are substantially affected or likely to be substantially affected by the processing; or
(c) a complaint has been lodged with that supervisory authority;
(23) ‘cross-border processing’ means either:
(a) processing of personal data which takes place in the context of the activities of establishments in more than one Member State of a controller or processor in the Union where the controller or processor is established in more than one Member State; or
(b) processing of personal data which takes place in the context of the activities of a single establishment of a controller or processor in the Union but which substantially affects or is likely to substantially affect data subjects in more than one Member State.
(24) ‘relevant and reasoned objection’ means an objection to a draft decision as to whether there is an infringement of this Regulation, or whether envisaged action in relation to the controller or processor complies with this Regulation, which clearly demonstrates the significance of the risks posed by the draft decision as regards the fundamental rights and freedoms of data subjects and, where applicable, the free flow of personal data within the Union;
(25) ‘information society service’ means a service as defined in point (b) of Article 1(1) of Directive (EU) 2015/1535 of the European Parliament and of the Council (1);
(26) ‘international organisation’ means an organisation and its subordinate bodies governed by public international law, or any other body which is set up by, or on the basis of, an agreement between two or more countries."
Article 6 paragraph (4) letter (e)-> "Where the processing for a purpose other than that for which the personal data have been collected is not based on the data subject's consent or on a Union or Member State law which constitutes a necessary and proportionate measure in a democratic society to safeguard the objectives referred to in Article 23(1), the controller shall, in order to ascertain whether processing for another purpose is compatible with the purpose for which the personal data are initially collected, take into account, inter alia: ...(e) the existence of appropriate safeguards, which may include ENCRYPTION OR PSEUDONYMISATION."
Article 25 paragraph (1)->"Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing, the controller shall, both at the time of the determination of the means for processing and at the time of the processing itself, implement appropriate technical and organisational measures, such as PSEUDONYMISATION, which are designed to implement data-protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into the processing in order to meet the requirements of this Regulation and protect the rights of data subjects."
Article 32 paragraph (1) letter (a)-> "Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including inter alia as appropriate: (a) the PSEUDONYMISATION and ENCRYPTION of personal data;"
Article 40 paragraph (2) letter (d)-> "Associations and other bodies representing categories of controllers or processors may prepare codes of conduct, or amend or extend such codes, for the purpose of specifying the application of this Regulation, such as with regard to:...(d) the PSEUDONYMISATION of personal data;"
Article 89 paragraph (1) -> "Processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes, shall be subject to appropriate safeguards, in accordance with this Regulation, for the rights and freedoms of the data subject. Those safeguards shall ensure that technical and organisational measures are in place in particular in order to ensure respect for the principle of data minimisation. Those measures may include PSEUDONYMISATION provided that those purposes can be fulfilled in that manner. Where those purposes can be fulfilled by further processing which does not permit or no longer permits the identification of data subjects, those purposes shall be fulfilled in that manner."
INTERNATIONAL STANDARD ISO/IEC 27001, Third edition, 2022-10, Annex A, Table A.1/8.11 is referring to ”DATA MASKING”, which must be used in accordance with the organization’s policy on access control, with business requirements and with the legislation of the country.
DE CE ESTE NECESARĂ ANONIMIZAREA/ PSEUDONIMIZAREA DATELOR?
1. Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
2. Legea nr. 102 din 3 mai 2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, republicată, cu modificările și completările ulterioare
3. Legea nr. 190 din 18 iulie 2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal, privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor), cu modificările și completările ulterioare
4. Legea nr. 363 din 28 decembrie 2018 privind protecţia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autorităţile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale şi combaterii infracţiunilor sau al executării pedepselor, măsurilor educative şi de siguranţă, precum şi privind libera circulaţie a acestor date
5. STANDARDUL ISO/IEC 27001:2022
În continuare, voi reda câteva dispoziții din cadrul celor 4 acte normative mai sus-menționate și din STANDARDUL ISO/IEC 27001:2022, sugestive în ceea ce privește anonimizarea datelor cu caracter personal:
1. Articolul 4 al Regulamentului (UE) 2016/679 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE:
”1. „date cu caracter personal” înseamnă orice informații privind o persoană fizică identificată sau identificabilă („persoana vizată”); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online sau la unul ori mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;
2. „prelucrare” înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;
3. „restricționarea prelucrării” înseamnă marcarea datelor cu caracter personal stocate cu scopul de a limita prelucrarea viitoare a acestora;
4. „creare de profiluri” înseamnă orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special pentru a analiza sau prevedea aspecte privind performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, fiabilitatea, comportamentul, locul în care se află persoana fizică respectivă sau deplasările acesteia;
5. „PSEUDONIMIZARE” înseamnă prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare, cu condiția ca aceste informații suplimentare să fie stocate separat și să facă obiectul unor măsuri de natură tehnică și organizatorică, care să asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile;
6. „sistem de evidență a datelor” înseamnă orice set structurat de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate după criterii funcționale sau geografice;
7. „operator” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern;
8. „persoană împuternicită de operator” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului;
9. „destinatar” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism căreia (căruia) îi sunt divulgate datele cu caracter personal, indiferent dacă este sau nu o parte terță. Cu toate acestea, autoritățile publice cărora li se pot comunica date cu caracter personal în cadrul unei anumite anchete în conformitate cu dreptul Uniunii sau cu dreptul intern nu sunt considerate destinatari; prelucrarea acestor date de către autoritățile publice respective respectă normele aplicabile în materie de protecție a datelor, în conformitate cu scopurile prelucrării;
10. „parte terță” înseamnă o persoană fizică sau juridică, autoritate publică, agenție sau organism altul decât persoana vizată, operatorul, persoana împuternicită de operator și persoanele care, sub directa autoritate a operatorului sau a persoanei împuternicite de operator, sunt autorizate să prelucreze date cu caracter personal;
11. „consimțământ” al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;
12. „încălcarea securității datelor cu caracter personal” înseamnă o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod sau la accesul neautorizat la acestea;
13. „date genetice” înseamnă datele cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane fizice, care oferă informații unice privind fiziologia sau sănătatea persoanei respective și care rezultă în special în urma unei analize a unei mostre de material biologic recoltate de la persoana în cauză;
14. „date biometrice” înseamnă date cu caracter personal care rezultă în urma unor tehnici de prelucrare specifice referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane fizice care permit sau confirmă identificarea unică a respectivei persoane, cum ar fi imaginile faciale sau datele dactiloscopice;
15. „date privind sănătatea” înseamnă date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv prestarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia;
16. „sediu principal” înseamnă:
(a) în cazul unui operator cu sedii în cel puțin două state membre, locul în care se află administrația centrală a acestuia în Uniune, cu excepția cazului în care deciziile privind scopurile și mijloacele de prelucrare a datelor cu caracter personal se iau într-un alt sediu al operatorului din Uniune, sediu care are competența de a dispune punerea în aplicare a acestor decizii, caz în care sediul care a luat deciziile respective este considerat a fi sediul principal;
(b) în cazul unei persoane împuternicite de operator cu sedii în cel puțin două state membre, locul în care se află administrația centrală a acesteia în Uniune, sau, în cazul în care persoana împuternicită de operator nu are o administrație centrală în Uniune, sediul din Uniune al persoanei împuternicite de operator în care au loc activitățile principale de prelucrare, în contextul activităților unui sediu al persoanei împuternicite de operator, în măsura în care aceasta este supusă unor obligații specifice în temeiul prezentului regulament;
17. „reprezentant” înseamnă o persoană fizică sau juridică stabilită în Uniune, desemnată în scris de către operator sau persoana împuternicită de operator în temeiul articolului 27, care reprezintă operatorul sau persoana împuternicită în ceea ce privește obligațiile lor respective care le revin în temeiul prezentului regulament;
18. „întreprindere” înseamnă o persoană fizică sau juridică ce desfășoară o activitate economică, indiferent de forma juridică a acesteia, inclusiv parteneriate sau asociații care desfășoară în mod regulat o activitate economică;
19. „grup de întreprinderi” înseamnă o întreprindere care exercită controlul și întreprinderile controlate de aceasta;
20. „reguli corporatiste obligatorii” înseamnă politicile în materie de protecție a datelor cu caracter personal care trebuie respectate de un operator sau de o persoană împuternicită de operator stabilită pe teritoriul unui stat membru, în ceea ce privește transferurile sau seturile de transferuri de date cu caracter personal către un operator sau o persoană împuternicită de operator în una sau mai multe țări terțe în cadrul unui grup de întreprinderi sau al unui grup de întreprinderi implicate într-o activitate economică comună;
21. „autoritate de supraveghere” înseamnă o autoritate publică independentă instituită de un stat membru în temeiul articolului 51;
22. „autoritate de supraveghere vizată” înseamnă o autoritate de supraveghere care este vizată de procesul de prelucrare a datelor cu caracter personal deoarece:
a) operatorul sau persoana împuternicită de operator este stabilită pe teritoriul statului membru al autorității de supraveghere respective;
(b) persoanele vizate care își au reședința în statul membru în care se află autoritatea de supraveghere respectivă sunt afectate în mod semnificativ sau sunt susceptibile de a fi afectate în mod semnificativ de prelucrare; sau
(c) la autoritatea de supraveghere respectivă a fost depusă o plângere;
23. „prelucrare transfrontalieră” înseamnă:
(a) fie prelucrarea datelor cu caracter personal care are loc în contextul activităților sediilor din mai multe state membre ale unui operator sau ale unei persoane împuternicite de operator pe teritoriul Uniunii, dacă operatorul sau persoana împuternicită de operator are sedii în cel puțin două state membre; sau
(b) fie prelucrarea datelor cu caracter personal care are loc în contextul activităților unui singur sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Uniunii, dar care afectează în mod semnificativ sau este susceptibilă de a afecta în mod semnificativ persoane vizate din cel puțin două state membre;
24. „obiecție relevantă și motivată” înseamnă o obiecție la un proiect de decizie în scopul de a stabili dacă există o încălcare a prezentului regulament sau dacă măsurile preconizate în ceea ce privește operatorul sau persoana împuternicită de operator respectă prezentul regulament, care demonstrează în mod clar importanța riscurilor pe care le prezintă proiectul de decizie în ceea ce privește drepturile și libertățile fundamentale ale persoanelor vizate și, după caz, libera circulație a datelor cu caracter personal în cadrul Uniunii;
25. „serviciile societății informaționale” înseamnă un serviciu astfel cum este definit la articolul 1 alineatul (1) litera (b) din Directiva 98/34/CE a Parlamentului European și a Consiliului (1);
26. „organizație internațională” înseamnă o organizație și organismele sale subordonate reglementate de dreptul internațional public sau orice alt organism care este instituit printr-un acord încheiat între două sau mai multe țări sau în temeiul unui astfel de acord.”
2. Conform dispozițiilor art. 1 alin. (2) și (3) din Legea nr. 102 din 3 mai 2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, republicată, cu modificările și completările ulterioare:
”Autoritatea națională de supraveghere are drept obiectiv apărarea drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la viață intimă, familială și privată, în legătură cu prelucrarea datelor cu caracter personal și cu libera circulație a acestor date.
Atribuțiile Autorității naționale de supraveghere sunt, în principal, reglementate prin Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), publicat în Jurnalul Oficial al Uniunii Europene, seria L, nr. 119 din 4 mai 2016, denumit în continuare Regulamentul general privind protecția datelor și prin legislația națională de transpunere a Directivei (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului, publicată în Jurnalul Oficial al Uniunii Europene seria L nr. 119 din 4 mai 2016.”
3. Referitor la Legea nr. 190 din 18 iulie 2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor), cu modificările și completările ulterioare, CONSIDER RELEVANTE, în ceea ce privește anonimizarea datelor cu caracter personal, dispozițiile art. 3, 4, 5, 6, 7, 8 și 9, prin care sunt instituite ”Reguli speciale privind prelucrarea unor categorii de date cu caracter personal”, precum si ”Derogările” de la aceste ”Reguli”, al căror conținut îl voi reda în cele ce urmează:
”Prelucrarea datelor genetice, a datelor biometrice sau a datelor privind sănătatea
Articolul 3
(1) Prelucrarea datelor genetice, biometrice sau a datelor privind sănătatea, în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri, este permisă cu consimțământul explicit al persoanei vizate sau dacă prelucrarea este efectuată în temeiul unor dispoziții legale exprese, cu instituirea unor măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate.
(2) Prelucrarea datelor privind sănătatea realizată în scopul asigurării sănătății publice, astfel cum este definită în Regulamentul (CE) nr. 1.338/2008 al Parlamentului European și al Consiliului din 16 decembrie 2008 privind statisticile comunitare referitoare la sănătatea publică, precum și la sănătatea și siguranța la locul de muncă, publicat în Jurnalul Oficial al Uniunii Europene, seria L, nr. 354/70 din 31 decembrie 2008, nu se poate efectua ulterior, în alte scopuri, de către terțe entități.
Prelucrarea unui număr de identificare național
Articolul 4
(1) Prelucrarea unui număr de identificare național, inclusiv prin colectarea sau dezvăluirea documentelor ce îl conțin, se poate efectua în situațiile prevăzute de art. 6 alin. (1) din Regulamentul general privind protecția datelor.
(2) Prelucrarea unui număr de identificare național, inclusiv prin colectarea sau dezvăluirea documentelor ce îl conțin, în scopul prevăzut la art. 6 alin. (1) lit. f) din Regulamentul general privind protecția datelor, respectiv al realizării intereselor legitime urmărite de operator sau de o parte terță, se efectuează cu instituirea de către operator a următoarelor garanții:
a) punerea în aplicare de măsuri tehnice și organizatorice adecvate pentru respectarea, în special, a principiului reducerii la minimum a datelor, precum și pentru asigurarea securității și confidențialității prelucrărilor de date cu caracter personal, conform dispozițiilor art. 32 din Regulamentul general privind protecția datelor;
b) numirea unui responsabil pentru protecția datelor, în conformitate cu prevederile art. 10 din prezenta lege;
c) stabilirea de termene de stocare în funcție de natura datelor și scopul prelucrării, precum și de termene specifice în care datele cu caracter personal trebuie șterse sau revizuite în vederea ștergerii;
d) instruirea periodică cu privire la obligațiile ce le revin a persoanelor care, sub directa autoritate a operatorului sau a persoanei împuternicite de operator, prelucrează date cu caracter personal.
Prelucrarea datelor cu caracter personal în contextul relațiilor de muncă
Articolul 5
În cazul în care sunt utilizate sisteme de monitorizare prin mijloace de comunicații electronice și/sau prin mijloace de supraveghere video la locul de muncă, prelucrarea datelor cu caracter personal ale angajaților, în scopul realizării intereselor legitime urmărite de angajator, este permisă numai dacă:
a) interesele legitime urmărite de angajator sunt temeinic justificate și prevalează asupra intereselor sau drepturilor și libertăților persoanelor vizate;
b) angajatorul a realizat informarea prealabilă obligatorie, completă și în mod explicit a angajaților;
c) angajatorul a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare;
d) alte forme și modalități mai puțin intruzive pentru atingerea scopului urmărit de angajator nu și-au dovedit anterior eficiența; și
e) durata de stocare a datelor cu caracter personal este proporțională cu scopul prelucrării, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate.
Prelucrarea datelor cu caracter personal și de categorii speciale de date cu caracter personal, în contextul îndeplinirii unei sarcini care servește unui interes public
Articolul 6
În cazul în care prelucrarea datelor personale și speciale este necesară pentru îndeplinirea unei sarcini care servește unui interes public conform art. 6 alin. (1) lit. e) și art. 9 lit. g) din Regulamentul general privind protecția datelor se efectuează cu instituirea de către operator sau de către partea terță a următoarelor garanții:
a) punerea în aplicare a măsurilor tehnice și organizatorice adecvate pentru respectarea principiilor enumerate la art. 5 din Regulamentul general privind protecția datelor, în special a reducerii la minimum a datelor, respectiv a principiului integrității și confidențialității;
b) numirea unui responsabil pentru protecția datelor, dacă aceasta este necesară în conformitate cu art. 10 din prezenta lege;
c) stabilirea de termene de stocare în funcție de natura datelor și scopul prelucrării, precum și de termene specifice în care datele cu caracter personal trebuie șterse sau revizuite în vederea ștergerii.
Capitolul III - Derogări
Prelucrarea datelor cu caracter personal în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare
Articolul 7
În vederea asigurării unui echilibru între dreptul la protecția datelor cu caracter personal, libertatea de exprimare și dreptul la informație, prelucrarea în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare poate fi efectuată, dacă aceasta privește date cu caracter personal care au fost făcute publice în mod manifest de către persoana vizată sau care sunt strâns legate de calitatea de persoană publică a persoanei vizate ori de caracterul public al faptelor în care este implicată, prin derogare de la următoarele capitole din Regulamentul general privind protecția datelor:
a) capitolul II - Principii;
b) capitolul III - Drepturile persoanei vizate;
c) capitolul IV - Operatorul și persoana împuternicită de operator;
d) capitolul V - Transferurile de date cu caracter personal către țări terțe sau organizații internaționale;
e) capitolul VI - Autorități de supraveghere independente;
f) capitolul VII - Cooperare și coerență;
g) capitolul IX - Dispoziții referitoare la situații specifice de prelucrare.
Prelucrarea datelor cu caracter personal în scopuri de cercetare științifică sau istorică, în scopuri statistice ori în scopuri de arhivare în interes public
Articolul 8
(1) Prevederile art. 15, 16, 18 și 21 din Regulamentul general privind protecția datelor nu se aplică în cazul în care datele cu caracter personal sunt prelucrate în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în măsura în care drepturile menționate la aceste articole sunt de natură să facă imposibilă sau să afecteze în mod grav realizarea scopurilor specifice, iar derogările respective sunt necesare pentru îndeplinirea acestor scopuri.
(la 01-12-2019, Alineatul (1) din Articolul 8 , Capitolul III a fost modificat de ARTICOLUL UNIC din LEGEA nr. 233 din 27 noiembrie 2019, publicată în MONITORUL OFICIAL nr. 956 din 28 noiembrie 2019)
(2) Prevederile art. 15, 16, 18, 19, 20 și 21 din Regulamentul general privind protecția datelor nu se aplică în cazul în care datele cu caracter personal sunt prelucrate în scopuri de arhivare în interes public, în măsura în care drepturile menționate la aceste articole sunt de natură să facă imposibilă sau să afecteze în mod grav realizarea scopurilor specifice, iar aceste derogări sunt necesare pentru îndeplinirea acestor scopuri.
(3) Derogările prevăzute la alin. (1) și (2) sunt aplicabile numai sub rezerva existenței garanțiilor corespunzătoare pentru drepturile și libertățile persoanelor vizate, prevăzute la art. 89 alin. (1) din Regulamentul general privind protecția datelor.
(4) În cazul în care prelucrarea menționată la alin. (1) și (2) servește în același timp și altui scop, derogările se aplică numai prelucrării în scopurile menționate la alineatele respective.
Articolul 9
(1) În vederea asigurării proporționalității și a unui echilibru între dreptul la protecția datelor cu caracter personal și a datelor speciale și prelucrarea unor astfel de date de către partidele politice și organizațiile cetățenilor aparținând minorităților naționale, organizațiilor neguvernamentale, se vor realiza următoarele garanții:
a) informarea persoanei vizate despre prelucrarea datelor cu caracter personal;
b) garantarea transparenței informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate;
c) garantarea dreptului de rectificare și ștergere.
(2) Prelucrarea datelor cu caracter personal și special este permisă partidelor politice și organizațiilor cetățenilor aparținând minorităților naționale, organizațiilor neguvernamentale, în vederea realizării obiectivelor acestora, fără consimțământul expres al persoanei vizate, dar cu condiția să se prevadă garanțiile corespunzătoare, menționate la alineatul precedent.”
4. În ceea ce privește LEGEA nr. 363 din 28 decembrie 2018 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date, în privința anonimizării datelor cu caracter personal, CONSIDER SUGESTIVE următoarele dispoziții legale:
”Articolul 4
În sensul prezentei legi, termenii și expresiile de mai jos au următoarele semnificații:
a) date cu caracter personal - orice informații privind o persoană fizică identificată sau identificabilă, denumită în continuare persoană vizată; o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;
b) prelucrare - orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;
c) restricționarea prelucrării - marcarea datelor cu caracter personal stocate, cu scopul de a limita prelucrarea viitoare a acestora;
d) creare de profiluri - orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special pentru a analiza sau a preconiza aspecte privind performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, corectitudinea, comportamentul, localizarea sau deplasările respectivei persoane fizice;
e) PSEUDONIMIZARE - prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare, în măsura în care aceste informații suplimentare sunt stocate separat și fac obiectul unor măsuri de natură tehnică și organizatorică destinate să garanteze neatribuirea unei persoane fizice identificate sau identificabile;
f) sistem de evidență a datelor - orice set structurat de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate după criterii funcționale sau geografice;
g) autoritate competentă - orice autoritate publică sau orice alt organism sau entitate învestită cu exercițiul autorității de stat, competentă în materie de prevenire, descoperire, cercetare, urmărire penală și combatere a infracțiunilor sau de executare a pedepselor, inclusiv în materia menținerii și asigurării ordinii și siguranței publice;
h) operator - autoritatea competentă care, singură sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele de prelucrare sunt stabilite printr-un act normativ, operatorul sau criteriile specifice pentru determinarea acestuia se stabilesc prin actul normativ de referință;
i) persoană împuternicită de către operator - persoana fizică sau juridică, instituția/autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului;
j) destinatar - persoana fizică sau juridică, instituția/autoritatea publică, agenția sau un alt organism căruia îi sunt transmise datele cu caracter personal, fie că aceasta este sau nu o parte terță; sunt exceptate din înțelesul definiției autoritățile competente care pot primi date cu caracter personal în cadrul unei anchete, în conformitate cu legislația aplicabilă, iar prelucrarea datelor cu caracter personal respective de către acestea respectă normele aplicabile în materie de protecție a datelor în conformitate cu scopurile prelucrării;
k) încălcarea securității datelor cu caracter personal - orice eveniment, acțiune sau inacțiune ce poate provoca o încălcare a securității, care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod;
l) date genetice - datele cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane fizice, care oferă informații unice privind fiziologia sau sănătatea respectivei persoane fizice, astfel cum rezultă în special în urma unei analize a unei mostre de material biologic recoltate de la acea persoană fizică;
m) date biometrice - date cu caracter personal care rezultă în urma unor tehnici de prelucrare specifice, referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane fizice, care permit sau confirmă identificarea unică a respectivei persoane fizice, cum ar fi imaginile faciale sau datele dactiloscopice;
n) date privind sănătatea - date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv acordarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia;
o) autoritate de supraveghere - Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, desemnată potrivit Legii nr. 102/2005 privind înființarea, organizarea și funcționarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu modificările și completările ulterioare;
p) organizație internațională - o organizație și organismele sale subordonate reglementate de dreptul internațional public sau orice alt organism care este instituit printr-un acord încheiat între două sau mai multe state sau în temeiul unui astfel de acord;
q) interoperabilizare - operațiunea de a pune în legătură datele cu caracter personal cuprinse într-un fișier, într-o bază de date sau într-un sistem de evidență automat cu cele cuprinse într-unul sau mai multe fișiere, baze de date sau sisteme de evidență automate care sunt gestionate de operatori diferiți sau de către același operator, dar având scopuri diferite, similare sau corelate, după caz;
r) evidență pasivă - fișier sau bază de date cu caracter personal constituită în scopul accesării limitate și ulterior ștergerii datelor stocate din sistemul de evidență;
s) stat membru - orice stat membru al Uniunii Europene;
ș) plan de remediere - anexă la procesul-verbal de constatare și sancționare a contravenției, întocmit în condițiile prevăzute la art. 62, prin care Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal stabilește măsuri și un termen de remediere;
t) măsură de remediere - soluție dispusă de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal în planul de remediere în vederea îndeplinirii de către operator sau de către persoana împuternicită de acesta a obligațiilor prevăzute de lege;
ț) termen de remediere - perioada de timp cuprinsă între 60 și 180 de zile de la data comunicării procesului-verbal de constatare și sancționare a contravenției, în care operatorul sau persoana împuternicită de acesta are posibilitatea remedierii neregulilor constatate și îndeplinirii obligațiilor legale.
Articolul 5
(1) Datele cu caracter personal trebuie să fie:
a) prelucrate în mod legal și echitabil;
b) colectate în scopuri determinate, explicite și legitime și să nu fie prelucrate într-un mod incompatibil cu aceste scopuri;
c) adecvate, relevante și neexcesive prin raportare la scopurile în care sunt prelucrate;
d) exacte și, dacă este necesar, actualizate; trebuie adoptate toate măsurile rezonabile pentru a asigura faptul că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, să fie șterse sau rectificate fără întârziere;
e) păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate datele respective;
f) prelucrate într-un mod care să asigure securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare.
(2) Datele cu caracter personal pot fi prelucrate pentru realizarea activităților prevăzute la art. 1 de către același operator sau de către alt operator într-un alt scop decât cel avut în vedere la momentul colectării datelor cu caracter personal, numai dacă sunt îndeplinite cumulativ următoarele condiții:
a) operatorul este abilitat să prelucreze astfel de date cu caracter personal în scopul respectiv, în conformitate cu cadrul normativ aplicabil;
b) prelucrarea este necesară și proporțională în raport cu scopul respectiv, în conformitate cu cadrul normativ aplicabil.
(3) Datele cu caracter personal pot fi prelucrate de către același operator sau de către alt operator în scopul arhivării în interes public sau în scopuri științifice, statistice sau istorice legate de realizarea activităților prevăzute la art. 1 alin. (1), cu condiția instituirii unor garanții adecvate pentru drepturile și libertățile persoanelor vizate.
(4) Operatorul este responsabil pentru respectarea prevederilor alin. (1)-(3) și adoptă măsuri și/sau instituie proceduri pentru a demonstra respectarea acestor prevederi.
Articolul 6
(1) Actele normative, indiferent de nivelul de legiferare, care instituie prelucrări de date cu caracter personal în scopul realizării activităților prevăzute la art. 1, trebuie să stabilească cel puțin următoarele aspecte:
a) contextul general al prelucrării și obiectivele acesteia;
b) datele cu caracter personal care urmează să fie prelucrate;
c) scopurile prelucrării;
d) termenele de stocare generale și, după caz, specifice a datelor cu caracter personal.
(2) Stabilirea termenelor specifice de păstrare este obligatorie în următoarele situații:
a) prelucrarea datelor cu caracter personal referitoare la minori;
b) prelucrarea categoriilor speciale de date cu caracter personal;
c) prelucrarea datelor cu caracter personal a căror acuratețe nu a fost stabilită sau nu a putut fi stabilită;
d) în orice altă situație în care prelucrarea presupune riscuri majore pentru persoana vizată.
(3) Termenele specifice de stocare nu pot fi mai mari decât jumătate din termenul general de stocare corespunzător scopului prelucrării.
(4) La împlinirea termenelor de stocare, datele cu caracter personal pot fi:
a) arhivate în interes public în conformitate cu legislația specială;
b) stocate în evidența pasivă pentru o durată care nu poate depăși jumătate din termenul inițial de stocare;
c) distruse sau șterse prin utilizarea unor proceduri ireversibile, dacă nu se încadrează în una dintre situațiile prevăzute la lit. a) sau b).
(5) Prelucrările de date cu caracter personal bazate pe utilizarea noilor tehnologii sau care sunt de natură să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice pot fi instituite în scopul realizării activităților prevăzute la art. 1 numai în temeiul unui act normativ publicat în Monitorul Oficial al României, Partea I, care să stabilească garanții necesar a fi instituite în temeiul prezentei legi.
Articolul 7
(1) Operatorii dispun măsurile necesare în scopul evidențierii în mod distinct și structurării datelor cu caracter personal, având în vedere următoarele criterii:
a) date referitoare la persoane în privința cărora există indicii temeinice că au săvârșit sau că urmează să săvârșească o infracțiune, inclusiv cele împotriva cărora a fost dispusă
o măsură preventivă privativă de libertate;
b) date referitoare la persoane condamnate pentru săvârșirea unei infracțiuni sau persoane față de care s-a dispus executarea unei măsuri educative sau de siguranță;
c) date referitoare la persoane victime ale unei infracțiuni sau persoane în privința cărora există motive să se creadă că ar putea fi victimele unei infracțiuni;
d) date referitoare la alte persoane care au legătură cu infracțiunea, precum persoane care ar putea fi chemate să depună mărturie în cadrul anchetelor legate de infracțiuni sau în cadrul procedurilor penale ulterioare sau persoane care pot oferi informații cu privire la infracțiuni sau persoane care sunt în legătură sau asociate cu persoanele prevăzute la lit. a) sau b).
(2) Datele cu caracter personal prelucrate în temeiul prezentei legi sunt ordonate în funcție de gradul lor de acuratețe și exactitate. În acest scop, operatorii dispun măsurile necesare pentru realizarea unei distincții între date colectate ca urmare a constatării unor fapte, respectiv date a căror colectare se bazează pe percepția subiectivă a unor persoane fizice.
(3) Operatorii dispun toate măsurile necesare pentru ca datele cu caracter personal inexacte, incomplete sau care nu sunt actualizate să nu fie transmise sau puse la dispoziția destinatarului.
(4) Măsurile prevăzute la alin. (3) includ și evaluări periodice în scopul asigurării calității datelor cu caracter personal prin raportare la scopul în care au fost colectate și sunt ulterior prelucrate.
(5) Termenele de evaluare sunt stabilite prin acte administrative adoptate de către operatori, cărora li se asigură o formă de publicitate. Frecvența evaluărilor este determinată de scopul în care datele cu caracter personal au fost colectate, calitatea datelor la momentul colectării, cantitatea datelor, dacă sunt prelucrate categorii speciale de date cu caracter personal. În cazul sistemelor automatizate de evidență, termenele de evaluare nu pot depăși 2 ani de la momentul colectării, respectiv de la precedenta evaluare.
(6) Evaluarea calității datelor cu caracter personal este obligatorie înainte ca datele cu caracter personal să fie transmise sau puse la dispoziție altui operator.
(7) În situația transmiterii de date cu caracter personal, în scopul asigurării calității datelor, operatorul poate adăuga informații care să permită autorității competente destinatare să evalueze:
a) acuratețea datelor;
b) caracterul integral al datelor;
c) utilitatea datelor raportat la scopul prelucrării;
d) dacă acestea sunt actualizate.
(8) În situația unei transmiteri neconforme cu legislația în vigoare a unor date cu caracter personal sau în cazul în care se constată că datele cu caracter personal nu au calitatea necesară, operatorul este obligat să notifice de îndată destinatarul. Datele care au făcut obiectul transmiterii sunt, după caz:
a) rectificate sau șterse;
b) restricționate la prelucrare.
(9) Restricționarea prelucrării datelor cu caracter personal prevăzută la alin. (8) se dispune doar în una dintre situațiile prevăzute la art. 18 alin. (4).
Articolul 10
Datele cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, afilierea sindicală, prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice, prelucrarea datelor privind sănătatea sau a datelor privind viața sexuală și orientarea sexuală a unei persoane fizice pot fi prelucrate numai dacă sunt strict necesare într-un caz determinat, dacă sunt instituite garanții adecvate pentru drepturile și libertățile persoanei vizate și dacă este îndeplinită una dintre următoarele condiții:
a) prelucrarea este prevăzută expres de lege;
b) prelucrarea este necesară pentru prevenirea unui pericol iminent cel puțin asupra vieții, integrității corporale sau sănătății persoanei vizate sau ale unei alte persoane fizice;
c) prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de persoana vizată.
Articolul 12
(1) Operatorii sunt obligați să instituie măsurile organizatorice, tehnice și de procedură pentru a furniza persoanei vizate informațiile necesare potrivit prevederilor art. 13 și art. 16-21 și pentru a asigura transmiterea unui răspuns în legătură cu prelucrările desfășurate în condițiile prevăzute la art. 11 sau în legătură cu notificarea persoanelor vizate în cazul apariției unui incident de securitate, în condițiile prevederilor art. 39.
(2) Răspunsul trebuie formulat într-o formă concisă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu.
(3) Comunicarea informațiilor în condițiile prevăzute la alin. (2) se realizează în același format în care cererea a fost formulată, cu următoarele excepții:
a) identitatea solicitantului nu poate fi stabilită cu exactitate, în condițiile prevăzute la alin. (10);
b) formatul ales pentru transmiterea cererii presupune riscuri de prelucrare neautorizată sau ilegală ori de pierdere, distrugere sau deteriorare accidentală, prin raportare la cantitatea de date cu caracter personal, gradul de sensibilitate al informației, în special în situația categoriilor de date prevăzute la art. 10 ori a datelor referitoare la minori.
(4) Operatorul este obligat să instituie măsuri organizatorice și de procedură în scopul facilitării exercitării drepturilor persoanei vizate în temeiul prevederilor art. 11 și art. 16-21.
(5) Operatorul are obligația de a informa persoana vizată, în scris, cu privire la modul de soluționare a cererilor formulate în temeiul prezentei legi. Răspunsul se transmite în mod gratuit, în cel mult 60 de zile calendaristice.
(6) În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate:
a) să perceapă o taxă rezonabilă care să țină cont de costurile administrative pentru transmiterea sau comunicarea informațiilor sau pentru luarea măsurilor solicitate; sau
b) să refuze să dea curs cererii.
(7) Cuantumul taxei prevăzute la alin. (6) lit. a) va fi stabilit, respectiv actualizat prin act administrativ emis la nivelul operatorului.
(8) Caracterul nefondat sau excesiv al cererii se stabilește de la caz la caz, în funcție de următoarele criterii:
a) obiectul cererii;
b) caracterul repetitiv al cererii;
c) existența unor prelucrări suplimentare de date cu caracter personal, prin raportare la cele desfășurate la momentul formulării cererii precedente.
(9) Caracterul nefondat sau excesiv al cererii, în condițiile prevăzute la alin. (6), trebuie demonstrat de operator.
(10) În cazul în care identitatea persoanei care formulează o cerere în temeiul prevederilor art. 16 sau 18 nu a putut fi stabilită cu exactitate, operatorul îi solicită acesteia informații suplimentare necesare pentru confirmarea identității.
(11) Informațiile suplimentare colectate potrivit prevederilor alin. (10) nu pot fi prelucrate în niciun alt scop decât pentru confirmarea identității și se distrug în termen de 3 ani de la colectare. Operatorul poate stabili termene de păstrare mai mici.
Articolul 13
Operatorii sunt obligați să instituie măsuri organizatorice, tehnice și de procedură în scopul punerii la dispoziția persoanelor interesate a următoarelor categorii de informații:
a) identitatea și datele de contact ale operatorului;
b) datele de contact ale responsabilului cu protecția datelor, după caz;
c) scopurile în care sunt prelucrate datele cu caracter personal;
d) dreptul de a depune o plângere la autoritatea de supraveghere și datele de contact ale acesteia;
e) dreptul de a solicita operatorului acces la datele cu caracter personal referitoare la persoana vizată ori rectificarea sau ștergerea acestor date sau restricționarea prelucrării lor.
Articolul 14
La cerere, atunci când legea nu prevede altfel, operatorul comunică persoanei vizate informațiile prevăzute la art. 13, precum și următoarele informații suplimentare:
a) temeiul juridic al prelucrării;
b) perioada pentru care sunt stocate datele cu caracter personal sau, în cazul în care nu este posibil, criteriile utilizate pentru a stabili perioada respectivă;
c) dacă este cazul, categoriile de destinatari ai datelor cu caracter personal, inclusiv din state terțe sau organizații internaționale;
d) orice alte informații suplimentare, în funcție de specificul activităților de prelucrare, în special atunci când datele cu caracter personal sunt colectate fără știrea persoanei vizate.
Articolul 15
(1) Operatorul poate dispune, după caz, măsura amânării, restricționării sau omiterii furnizării de informații persoanei vizate în condițiile prevăzute la art. 14 numai dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei vizate, o astfel de măsură este necesară și proporțională într-o societate democratică pentru:
a) evitarea obstrucționării bunei desfășurări a procesului penal;
b) evitarea prejudicierii prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau a executării pedepselor;
c) protejarea ordinii și siguranței publice;
d) protejarea securității naționale;
e) protejarea drepturilor și libertăților celorlalți.
(2) Măsura amânării furnizării de informații se dispune pe o perioadă ce nu poate depăși un an, în situația în care incidența condițiilor care fac imposibilă comunicarea este limitată în timp. Măsura amânării poate fi prelungită în interiorul termenului de un an. La împlinirea termenului pentru care măsura amânării furnizării de informații a fost dispusă, operatorul transmite informațiile prevăzute de lege.
(3) Persoana vizată este informată în scris, în cel mult 60 de zile calendaristice de la înregistrarea solicitării, cu privire la măsura amânării furnizării de informații și motivul dispunerii acesteia, cu privire la termenul pentru care a fost dispusă această măsură, precum și cu privire la faptul că se poate adresa autorității de supraveghere cu plângere împotriva deciziei operatorului sau poate ataca în instanță decizia operatorului.
(4) Măsura restricționării furnizării de informații se dispune în situația în care incidența condițiilor care fac imposibilă comunicarea nu este limitată în timp. În situația restricționării furnizării de informații, operatorul transmite persoanei vizate un răspuns. Forma și conținutul răspunsului sunt stabilite de fiecare operator în parte.
(5) Măsura omisiunii furnizării de informații se dispune în situația în care chiar și simpla informare a persoanei vizate cu privire la una sau mai multe operațiuni de prelucrare este de natură să afecteze una dintre activitățile prevăzute la alin. (1) lit. a)-d).
(6) Omisiunea furnizării de informații poate să fie parțială sau totală. În situația omisiunii parțiale, persoana vizată este informată, în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, cu privire la categoriile de prelucrări care nu sunt de natură a afecta activitățile prevăzute la alin. (1). În situația omisiunii totale, operatorul transmite persoanei vizate un răspuns. Forma și conținutul răspunsului sunt stabilite de fiecare operator în parte.
(7) Operatorul este obligat să țină evidența situațiilor în care a fost dispusă măsura omiterii furnizării de informații și să documenteze adoptarea acestei măsuri.
(8) În luna ianuarie a fiecărui an, operatorul are obligația de a informa autoritatea de supraveghere cu privire la situația statistică a măsurilor de omisiune a furnizării de informații adoptate în anul precedent, defalcat pentru fiecare dintre activitățile prevăzute la alin. (1) lit. a)-d).
Articolul 16
(1) Persoana vizată are dreptul de a obține de la operator, la cerere și în mod gratuit, confirmarea faptului că datele cu caracter personal care o privesc sunt sau nu sunt prelucrate de acesta.
(2) Operatorul este obligat, în situația în care prelucrează date cu caracter personal care privesc persoana vizată, să comunice acesteia, în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, în condițiile prevăzute la art. 12 alin. (2) și (3), pe lângă confirmare, inclusiv datele cu caracter personal care fac obiectul prelucrării, precum și următoarele informații:
a) scopurile și temeiul juridic al prelucrării;
b) categoriile de date cu caracter personal vizate;
c) destinatarii sau categoriile de destinatari cărora le-au fost divulgate datele cu caracter personal, în special destinatarii din state terțe sau organizații internaționale;
d) acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, în cazul în care acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
e) dreptul de a solicita de la operator rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată;
f) dreptul de a depune o plângere la autoritatea de supraveghere și datele de contact ale acesteia;
g) comunicarea datelor cu caracter personal care sunt în curs de prelucrare și a oricărei informații disponibile cu privire la originea datelor cu caracter personal.
Articolul 17
(1) Dispozițiile art. 16 nu se aplică dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei fizice, o astfel de măsură este necesară și proporțională într-o societate democratică pentru:
a) evitarea obstrucționării bunei desfășurări a procesului penal;
b) evitarea prejudicierii prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau a executării pedepselor;
c) protejarea ordinii și siguranței publice;
d) protejarea securității naționale;
e) protejarea drepturilor și libertăților celorlalți.
(2) Măsura limitării dreptului de acces poate să fie totală sau parțială și se dispune cu privire la una sau mai multe operațiuni de prelucrare în situația cărora dezvăluirea este de natură să afecteze una dintre activitățile prevăzute la alin. (1).
(3) În situația prevăzută la alin. (2), persoana vizată poate fi informată cu privire la categoriile de prelucrări care nu sunt de natură a afecta activitățile prevăzute la alin. (1), motivul adoptării acestei măsuri, precum și cu privire la posibilitatea de a depune o plângere la autoritatea de supraveghere sau de a se adresa instanței.
(4) Prin excepție de la dispozițiile alin. (3), motivul adoptării măsurii de limitare a dreptului de acces nu se comunică în situația în care dezvăluirea acestuia este de natură să afecteze una dintre activitățile prevăzute la alin. (1) lit. a)-d).
(5) Operatorul este obligat să țină evidența cazurilor în care a fost dispusă măsura de limitare a dreptului de acces și să documenteze adoptarea acestei măsuri.
(6) În luna ianuarie a fiecărui an, operatorul are obligația de a informa autoritatea de supraveghere cu privire la situația statistică a cazurilor în care a fost adoptată măsura de limitare a dreptului de acces în anul precedent, defalcat pentru fiecare dintre activitățile prevăzute la alin. (1).
Articolul 18
(1) Persoana vizată are dreptul de a obține de la operator, la cerere și în mod gratuit, rectificarea datelor cu caracter personal inexacte care o privesc.
(2) Persoana vizată are dreptul de a solicita completarea datelor cu caracter personal care o privesc, inclusiv prin furnizarea unei declarații suplimentare.
(3) Operatorul are obligația de a șterge, prin proceduri ireversibile, din oficiu sau la cererea persoanei vizate, datele cu caracter personal a căror prelucrare nu este conformă dispozițiilor art. 1 alin. (2), art. 5 sau 10 ori care trebuie șterse în virtutea îndeplinirii unei obligații prevăzute expres de lege.
(4) Operatorul are obligația de a restricționa prelucrarea datelor cu caracter personal, și nu de a le șterge, în cazul în care este incidentă una dintre următoarele situații:
a) exactitatea datelor cu caracter personal este contestată de persoana vizată, iar exactitatea sau inexactitatea datelor respective nu poate fi stabilită cu certitudine;
b) datele cu caracter personal trebuie să fie păstrate ca mijloace de probă.
(5) Operatorul este obligat să comunice persoanei vizate, în condițiile art. 12 alin. (2)-(4), în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, confirmarea sau, după caz, infirmarea soluționării cererilor formulate potrivit prevederilor alin. (1), (2) sau (3), motivele pe care se întemeiază măsura infirmării, precum și faptul că se poate adresa cu plângere la autoritatea de supraveghere sau poate ataca în instanță decizia operatorului.
(6) Termenul prevăzut la alin. (5) poate fi prelungit cu până la 60 de zile calendaristice, în măsura în care soluționarea cererilor necesită proceduri complexe, în special consultarea unor autorități competente din străinătate. Persoana vizată este informată cu privire la prelungirea termenului înainte de expirarea termenului inițial.
(7) Ridicarea restricționării prelucrării instituite potrivit prevederilor alin. (4) lit. a) se realizează de către operator, concomitent cu notificarea persoanei vizate cu privire la măsura adoptată.
(8) Dispozițiile alin. (5) nu se aplică dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei fizice, o astfel de măsură este necesară și proporțională într-o societate democratică pentru:
a) a evita obstrucționarea bunei desfășurări a procesului penal;
b) a nu prejudicia prevenirea, descoperirea, cercetarea, urmărirea penală și combaterea infracțiunilor sau executarea pedepselor;
c) a proteja ordinea și siguranța publică;
d) a proteja securitatea națională;
e) a proteja drepturile și libertățile celorlalți.
Articolul 19
(1) În situația rectificării datelor cu caracter personal potrivit prevederilor art. 18 alin. (1), operatorul are obligația să verifice modul în care acestea au fost colectate.
(2) În cazul în care datele cu caracter personal au fost colectate prin transfer de la o autoritate competentă, operatorul are obligația să transmită acesteia o notificare cu privire la rectificarea datelor.
(3) În situația rectificării, ștergerii ori restricționării datelor cu caracter personal potrivit prevederilor art. 18 alin. (1), (3) sau (4), operatorul are obligația să verifice dacă acestea au fost transmise unui destinatar anterior rectificării.
(4) În cazul în care datele cu caracter personal au fost transmise unui destinatar anterior rectificării, operatorul are obligația să transmită acestuia o notificare cu privire la rectificarea, ștergerea ori restricționarea prelucrării datelor cu caracter personal, după caz.
(5) Destinatarul situat pe teritoriul României ori căruia i se aplică legea română are obligația de a dispune o măsură similară celei cu privire la care a fost notificat, cu excepția incidenței, în cazul ștergerii ori restricționării datelor cu caracter personal, a uneia dintre următoarele situații:
a) datele sunt necesare pentru prevenirea, descoperirea, cercetarea, urmărirea penală și combaterea infracțiunilor ori executarea pedepselor, altele decât cele pentru care au fost transmise;
b) datele sunt necesare pentru derularea altor proceduri judiciare sau administrative direct legate de prevenirea, descoperirea, cercetarea, urmărirea penală și combaterea infracțiunilor ori executarea pedepselor;
c) datele sunt necesare pentru prevenirea unui pericol iminent și grav la adresa ordinii și siguranței publice.
(6) În situația incidenței vreuneia dintre situațiile prevăzute la alin. (5) lit. a)-c), persoana vizată este informată cu aplicarea, după caz, a dispozițiilor art. 14, cu privire la măsura adoptată, motivele pe care se întemeiază măsura infirmării, precum și cu privire la faptul că se poate adresa cu plângere autorității de supraveghere sau poate ataca în instanță decizia operatorului.
Articolul 23
(1) În scopul punerii în aplicare în mod eficient a principiilor de protecție a datelor cu caracter personal, precum și pentru reducerea la minimum a prelucrărilor de date cu caracter personal, dar și în scopul integrării garanțiilor necesare în cadrul prelucrării, pentru a îndeplini cerințele prezentei legi și pentru a proteja drepturile persoanelor vizate, operatorul este obligat ca, la momentul stabilirii mijloacelor de prelucrare, precum și la cel al prelucrării efective, să pună în aplicare măsuri tehnice și organizatorice adecvate, având în vedere:
a) stadiul actual al tehnologiei;
b) costurile de punere în aplicare;
c) natura, domeniul de aplicare, contextul și scopurile prelucrării;
d) riscurile cu grade diferite de probabilitate și de gravitate la adresa drepturilor și libertăților persoanelor fizice pe care le prezintă prelucrarea.
(2) Pentru îndeplinirea obiectivelor prevăzute la alin. (1), operatorul evaluează, la momentul stabilirii mijloacelor de prelucrare, în scopul identificării măsurilor tehnice și organizatorice adecvate, cel puțin posibilitatea introducerii unei soluții de pseudonimizare ori a unei alte soluții tehnice cu efect similar.
(3) Operatorul are obligația de a pune în aplicare măsuri tehnice și organizatorice adecvate prin care să se asigure că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării.
(4) Obligația prevăzută la alin. (3) vizează:
a) volumul de date cu caracter personal colectate;
b) gradul de prelucrare a acestora;
c) perioada de stocare;
d) accesibilitatea acestora.
(5) Prin măsurile dispuse potrivit prevederilor alin. (3) și (4), operatorul trebuie să se asigure că datele cu caracter personal nu sunt accesibile, fără intervenție umană, unui număr nedefinit de utilizatori.
Articolul 25
(1) Desemnarea persoanelor împuternicite de către operator este posibilă doar dacă există suficiente garanții pentru punerea în aplicare a măsurilor tehnice și organizatorice adecvate, astfel încât prelucrarea să îndeplinească cerințele prezentei legi și să asigure protecția drepturilor persoanei vizate.
(2) Desemnarea, de către o persoană împuternicită de către operator, a unei alte persoane împuternicite în scopul realizării uneia sau mai multor operațiuni de prelucrare nu este posibilă decât cu acordul scris al operatorului. Acordul scris poate fi emis doar dacă sunt îndeplinite condițiile prevăzute la alin. (1).
(3) Persoana împuternicită de către operator are obligația de a informa operatorul cu privire la orice modificări preconizate privind adăugarea sau înlocuirea altor persoane împuternicite de către operator.
(4) Desemnarea prevăzută la alin. (1) sau, după caz, alin. (2) se realizează prin intermediul unui contract sau protocol încheiat între părți, care trebuie să detalieze:
a) obiectul și durata prelucrării;
b) natura și scopul prelucrării;
c) tipul de date cu caracter personal și categoriile de persoane vizate;
d) obligațiile și drepturile operatorului.
(5) Protocolul sau, după caz, contractul prevăzut la alin. (4) se pune la dispoziția persoanelor vizate și trebuie să stabilească în sarcina persoanei împuternicite de către operator următoarele obligații:
a) să acționeze numai la instrucțiunile operatorului;
b) să garanteze faptul că persoanele autorizate să prelucreze date cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate corespunzătoare;
c) să asiste operatorul prin orice mijloace adecvate pentru a asigura respectarea dispozițiilor privind drepturile persoanei vizate;
d) să șteargă sau să returneze, din dispoziția operatorului, toate datele cu caracter personal după încetarea furnizării serviciilor de prelucrare a datelor cu caracter personal și să elimine copiile existente, cu excepția cazului în care există o dispoziție legală expresă care îl abilitează să stocheze în continuare datele;
e) să pună la dispoziția operatorului toate informațiile necesare pentru a demonstra respectarea dispozițiilor prezentului articol;
f) să respecte condițiile prevăzute la alin. (2)-(4) pentru recrutarea unei alte persoane împuternicite de către operator.
(6) Protocolul sau, după caz, contractul prevăzut la alin. (4) poate fi pus la dispoziția persoanelor vizate, la cerere, în format electronic.
(7) Persoana împuternicită de către operator este considerată operator în cazul în care, prin încălcarea dispozițiilor prezentei legi, aceasta stabilește scopurile și mijloacele de prelucrare pentru datele cu caracter personal puse la dispoziție de către operator.
(8) În situația prevăzută la alin. (7), operatorul este exonerat de răspundere numai în situația în care demonstrează că persoana împuternicită de operator a acționat cu rea-credință.
Articolul 27
(1) Operatorul este obligat să țină evidența tuturor categoriilor de activități de prelucrare aflate în responsabilitatea sa.
(2) Evidența prevăzută la alin. (1) cuprinde următoarele informații:
a) denumirea și datele de contact ale operatorului și, după caz, ale operatorului asociat și ale responsabilului cu protecția datelor;
b) scopul sau scopurile prelucrării;
c) categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din țări terțe sau organizații internaționale;
d) o descriere a categoriilor de persoane vizate și a categoriilor de date cu caracter personal care sunt prelucrate;
e) dacă este cazul, mențiuni cu privire la desfășurarea activității de creare de profiluri;
f) dacă este cazul, categoriile de transferuri de date cu caracter personal către un stat terț sau o organizație internațională;
g) indicarea temeiului juridic al operațiunii de prelucrare, inclusiv al transferurilor de date cu caracter personal efectuate;
h) dacă este posibil, termenele-limită preconizate pentru ștergerea diferitelor categorii de date cu caracter personal;
i) dacă este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la art. 35.
Articolul 28
(1) Persoana împuternicită de către operator este obligată să țină evidența tuturor categoriilor de activități de prelucrare aflate în responsabilitatea sa.
(2) Evidența prevăzută la alin. (1) cuprinde următoarele informații:
a) numele și datele de contact ale persoanei sau persoanelor împuternicite de către operator, ale fiecărui operator în numele căruia acționează această persoană și, după caz, cele ale responsabilului cu protecția datelor cu caracter personal;
b) categoriile de activități de prelucrare desfășurate în numele fiecărui operator;
c) după caz, transferurile de date cu caracter personal către un stat terț sau către o organizație internațională, inclusiv indicarea statului terț sau a organizației internaționale respective, atunci când au primit instrucțiuni explicite în acest sens de la operator;
d) dacă este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la art. 35.
Articolul 29
(1) Evidențele prevăzute la art. 27 și 28 se păstrează în format hârtie și în format electronic.
(2) Operatorul și persoana împuternicită de către operator au obligația de a pune la dispoziția autorității de supraveghere, la solicitarea acesteia, evidențele prevăzute la art. 27 și 28.
Articolul 30
(1) Operatorul sau persoana împuternicită de către operator este obligat/obligată să înregistreze, în cadrul sistemelor de prelucrare automată, toate operațiunile de prelucrare a datelor cu caracter personal.
(2) Înregistrările prevăzute la alin. (1) trebuie să conțină cel puțin următoarele informații:
a) tipul operațiunii de prelucrare;
b) codul de identificare a utilizatorului și a stației de lucru folosite;
c) numele fișierului accesat;
d) numărul operațiunilor de prelucrare efectuate;
e) codul operației executate sau programul folosit;
f) data accesului - an, lună, zi, cu precizarea inclusiv a orei și minutului la care a fost efectuată prelucrarea.
(3) În cazul operațiunilor de prelucrare sub forma consultării sau divulgării este obligatorie înregistrarea motivului prelucrării care trebuie să permită identificarea documentului/situației concrete care a stat la bază și a justificat prelucrarea datelor cu caracter personal și, după caz, a destinatarilor datelor cu caracter personal.
(4) Înregistrările prevăzute la alin. (1) pot fi utilizate doar în următoarele situații:
a) verificarea legalității prelucrării;
b) monitorizare proprie realizată de către operator sau, după caz, de către persoana împuternicită de către operator;
c) asigurarea integrității și a securității datelor cu caracter personal;
d) în cadrul unor proceduri penale, în condițiile și cu restricțiile impuse de lege.
(5) Responsabilul cu protecția datelor cu caracter personal, în realizarea atribuțiilor sale, are acces la înregistrările prevăzute la alin. (1).
(6) Înregistrările prevăzute la alin. (1) se pun la dispoziția autorității de supraveghere, la cererea acesteia.
Articolul 32
(1) În situația în care se intenționează introducerea unei noi prelucrări de date cu caracter personal, în special în situația în care aceasta implică utilizarea de noi tehnologii, operatorul este obligat să evalueze următoarele aspecte ale prelucrării:
a) natura datelor cu caracter personal prelucrate;
b) domeniul de aplicare;
c) contextul și scopurile prelucrării.
(2) În măsura în care prelucrarea prevăzută la alin. (1) este susceptibilă să genereze un risc ridicat la adresa drepturilor și libertăților persoanelor fizice, operatorul este obligat ca înaintea prelucrării să efectueze o evaluare a impactului operațiunilor de prelucrare preconizate asupra datelor cu caracter personal.
(3) Pentru operațiunile de prelucrare existente, operatorii sunt obligați să realizeze evaluarea prevăzută la alin. (1) și, după caz, evaluarea impactului operațiunilor de prelucrare prevăzută la alin. (2) în termen de 2 ani de la intrarea în vigoare a prezentei legi.
(4) Evaluarea impactului operațiunilor de prelucrare prevăzută la alin. (2) cuprinde cel puțin următoarele:
a) descrierea generală a operațiunilor de prelucrare preconizate;
b) evaluarea riscurilor la adresa drepturilor și libertăților persoanelor vizate;
c) măsurile preconizate în vederea abordării riscurilor;
d) garanțiile, măsurile de securitate și mecanismele menite să asigure protecția datelor cu caracter personal și să demonstreze respectarea dispozițiilor prezentei legi, luând în considerare drepturile și interesele legitime ale persoanelor vizate și ale celorlalte persoane interesate.
Articolul 33
(1) Operatorul sau, după caz, persoana împuternicită de către operator este obligat/obligată să consulte autoritatea de supraveghere înainte de prelucrarea datelor cu caracter personal care fac parte dintr-un sistem nou de evidență a datelor, în situațiile în care:
a) evaluarea impactului asupra protecției datelor cu caracter personal prevăzută la art. 32 indică faptul că prelucrarea ar genera un risc ridicat în absența măsurilor luate de operator pentru atenuarea riscului;
b) tipul de prelucrare, în special în cazul în care se utilizează noi tehnologii, mecanisme sau proceduri, implică un risc ridicat la adresa drepturilor și libertăților persoanelor vizate.
(2) În cadrul procedurilor de elaborare a proiectelor de acte normative care reglementează prelucrări de date cu caracter personal sau în baza cărora vor fi realizate astfel de prelucrări este obligatorie consultarea autorității de supraveghere.
(3) Autoritatea de supraveghere este abilitată să stabilească o listă a operațiunilor de prelucrare care fac obiectul consultării prealabile prevăzute la alin. (1).
(4) Operatorul sau, după caz, persoana împuternicită de către operator transmite autorității de supraveghere, în termen de 30 de zile calendaristice de la finalizare, dar înainte de începerea prelucrării, evaluarea prevăzută la art. 32.
(5) La cererea autorității de supraveghere, operatorul sau, după caz, persoana împuternicită de către operator pune la dispoziția acesteia orice informație în scopul evaluării conformității prelucrării și a riscurilor la adresa protecției datelor cu caracter personal ale persoanei vizate și a garanțiilor aferente.
Articolul 35
(1) Operatorul sau, după caz, persoana împuternicită de către operator implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător.
(2) La stabilirea nivelului de securitate corespunzător, operatorul sau, după caz, persoana împuternicită de acesta are în vedere stadiul actual al tehnologiei și costurile implementării și ține seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de gradul de ingerință asupra drepturilor și libertăților persoanelor fizice, în special cu privire la prelucrarea categoriilor speciale de date cu caracter personal prevăzute la art. 10.
(3) În situația prelucrărilor prin mijloace automate, operatorul sau, după caz, persoana împuternicită de către operator este obligată să realizeze o evaluare a riscurilor incidente prelucrărilor preconizate.
(4) În urma evaluării prevăzute la alin. (3), operatorul sau, după caz, persoana împuternicită de către operator are obligația punerii în aplicare a măsurilor menite:
a) să asigure controlul accesului la echipamentele de prelucrare utilizate pentru prelucrare, denumit în continuare controlul accesului la echipamente;
b) să asigure controlul asupra suporturilor de date, în scopul împiedicării oricărei citiri, copieri, modificări sau eliminări neautorizate a acestora, denumit în continuare controlul suporturilor de date;
c) să asigure controlul asupra introducerii de date cu caracter personal, precum și asupra inspectării, modificării sau ștergerii neautorizate a datelor cu caracter personal stocate, denumit în continuare controlul stocării;
d) să asigure controlul asupra utilizării sistemelor de prelucrare automată cu ajutorul echipamentelor de comunicare a datelor, denumit în continuare controlul utilizatorului;
e) să asigure faptul că persoanele autorizate au acces numai la datele cu caracter personal pentru care au autorizare, denumit în continuare controlul accesului la date;
f) să asigure că sunt posibile verificarea și identificarea organismelor cărora le-au fost transmise sau puse la dispoziție sau s-ar putea să le fie transmise sau puse la dispoziție date cu caracter personal utilizându-se echipamente de comunicare a datelor, denumit în continuare controlul comunicării;
g) să asigure că este posibil ca ulterior să se verifice și să se identifice datele cu caracter personal introduse în sistemele de prelucrare automată, momentul introducerii datelor cu caracter personal și entitatea care le-a introdus, denumit în continuare controlul introducerii datelor;
h) să împiedice citirea, copierea, modificarea sau ștergerea neautorizată a datelor cu caracter personal în timpul transferurilor de date cu caracter personal sau în timpul transportării suporturilor de date, denumit în continuare controlul transportării;
i) să asigure posibilitatea recuperării sistemelor instalate în cazul unei întreruperi, denumită în continuare recuperarea;
j) să asigure funcționarea, fiabilitatea și integritatea sistemului, prin instituirea de măsuri de raportare a defecțiunilor de funcționare, precum și de asigurare a imposibilității coruperii datelor cu caracter personal stocate din cauza funcționării defectuoase a sistemului.
Articolul 36
(1) În cazul în care operatorul constată o încălcare a securității datelor, notifică fără întârzieri nejustificate autoritatea de supraveghere.
(2) În funcție de complexitatea încălcării securității, notificarea prevăzută la alin. (1) se transmite nu mai târziu de 72 de ore. În această situație, operatorul este obligat să transmită și o justificare a întârzierii. Termenul începe să curgă de la momentul la care operatorul a luat cunoștință despre încălcarea securității datelor cu caracter personal.
(3) Notificarea prevăzută la alin. (1) nu este necesară în cazul în care încălcarea securității datelor cu caracter personal nu este susceptibilă să genereze un risc la adresa drepturilor și libertăților persoanelor fizice.
(4) Persoana împuternicită de către operator are obligația să informeze operatorul, fără întârzieri nejustificate, cu privire la existența unei încălcări a securității datelor cu caracter personal.
(5) Operatorul are obligația să implementeze toate măsurile necesare pentru a se asigura că persoana împuternicită de către operator respectă și îndeplinește obligațiile ce îi revin potrivit prevederilor alin. (4).
(6) Notificarea prevăzută la alin. (1) trebuie să conțină cel puțin următoarele informații:
a) o descriere a naturii încălcării securității datelor cu caracter personal, inclusiv, acolo unde este posibil, categoriile și numărul aproximativ de persoane vizate în cauză, precum și categoriile și numărul aproximativ de înregistrări de date cu caracter personal în cauză;
b) numele și datele de contact ale responsabilului cu protecția datelor sau un alt punct de contact de unde se pot obține mai multe informații;
c) descrierea consecințelor probabile ale încălcării securității datelor cu caracter personal;
d) descrierea măsurilor luate sau propuse de operator pentru a remedia încălcarea securității datelor cu caracter personal, inclusiv, dacă este cazul, a măsurilor necesare pentru a atenua eventualele efecte adverse ale acesteia.
(7) În cazul în care nu este posibilă furnizarea, în același timp, a informațiilor prevăzute la alin. (6), acestea pot fi transmise treptat, fără întârzieri nejustificate, într-un termen care să nu depășească 48 de ore de la momentul transmiterii notificării inițiale.
Articolul 37
(1) Operatorul are obligația să documenteze toate cazurile de încălcare a securității datelor cu caracter personal și să păstreze documentele pentru o perioadă de 5 ani de la transmiterea notificării prevăzute la art. 36.
(2) Documentele prevăzute la alin. (1) trebuie să cuprindă:
a) descrierea situației în care a avut loc încălcarea securității datelor cu caracter personal;
b) descrierea efectelor acesteia;
c) descrierea măsurilor de remediere întreprinse.
(3) Documentele prevăzute la alin. (1) trebuie să permită autorității de supraveghere să verifice respectarea dispozițiilor prezentului articol.
Articolul 39
(1) În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat la adresa drepturilor și libertăților persoanelor fizice, operatorul informează persoana vizată, fără întârzieri nejustificate, dar nu mai mult de 10 zile calendaristice de la notificarea autorității de supraveghere, realizată în temeiul prevederilor art. 36, cu privire la încălcarea securității datelor cu caracter personal.
(2) Informarea prevăzută la alin. (1) trebuie să conțină o descriere, folosind un limbaj simplu și clar, a naturii încălcării securității datelor cu caracter personal și cel puțin informațiile prevăzute la art. 36 alin. (6) lit. b)-d).
(3) Informarea prevăzută la alin. (1) nu este necesară în cazul în care este îndeplinită oricare dintre următoarele condiții:
a) operatorul a pus în aplicare măsuri tehnologice și organizatorice adecvate de protecție, incidente în cazul datelor cu caracter personal afectate de încălcarea securității datelor cu caracter personal, în special măsuri prin care se asigură că datele cu caracter personal devin neinteligibile oricărei persoane care nu este autorizată să le acceseze, cum ar fi criptarea;
b) operatorul a luat măsuri ulterioare prin care se asigură că riscul ridicat la adresa drepturilor și libertăților persoanelor vizate menționat la alin. (1) nu mai este susceptibil să se materializeze;
c) necesită un efort disproporționat; în acest caz, informarea se înlocuiește cu informarea publică sau o măsură similară prin care persoanele vizate sunt informate într-un mod la fel de eficace.
(4) În situația primirii unei notificări potrivit prevederilor art. 36, autoritatea de supraveghere, luând în considerare probabilitatea ca încălcarea securității datelor cu caracter personal să genereze un risc ridicat, poate dispune operatorului să informeze persoana vizată sau, după caz, să constate că oricare dintre situațiile prevăzute la alin. (3) este incidentă.
(5) Informarea prevăzută la alin. (1) poate fi amânată, restricționată sau omisă în condițiile prevederilor art. 15.
Articolul 43
(1) Transferul de date cu caracter personal care sunt în curs de prelucrare sau care sunt destinate prelucrării după transferul către un stat terț sau către o organizație internațională, inclusiv transferurile ulterioare către un alt stat terț sau o altă organizație internațională, poate avea loc doar cu respectarea dispozițiilor prezentei legi și numai dacă sunt îndeplinite următoarele condiții:
a) transferul este necesar pentru realizarea scopurilor prevăzute la art. 1;
b) datele cu caracter personal sunt transferate unui operator dintr-o țară terță, care este o autoritate competentă, în sensul art. 4 lit. g), sau unei organizații internaționale, înființată în scopul prevăzut la art. 1;
c) în cazul în care datele cu caracter personal au fost transmise sau au fost puse la dispoziție de către autoritățile competente ale altui stat membru, acel stat membru a autorizat în prealabil efectuarea transferului, în conformitate cu dreptul său intern;
d) Comisia a adoptat o decizie privind caracterul adecvat al nivelului de protecție, în temeiul art. 36 din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului, sau, în absența unei astfel de decizii, există sau se oferă garanții adecvate în temeiul art. 37 din Directivă sau, în absența unei decizii privind caracterul adecvat al nivelului de protecție în conformitate cu art. 36 sau a unor garanții adecvate în conformitate cu art. 37, se aplică derogări pentru situații speciale în conformitate cu art. 38 din aceasta;
e) în cazul unui transfer ulterior către un alt stat terț sau organizație internațională, autoritatea competentă care a realizat transferul inițial sau o altă autoritate competentă din același stat membru autorizează transferul ulterior, ținând seama în mod corespunzător de toți factorii relevanți.
(2) La evaluarea factorilor relevanți pentru transfer, în condițiile alin. (1) lit. e), se au în vedere cel puțin următoarele aspecte:
a) gravitatea infracțiunii;
b) scopul în care datele cu caracter personal au fost transferate inițial;
c) nivelul de protecție a datelor cu caracter personal din țara terță sau din organizația internațională către care sunt transferate ulterior datele cu caracter personal.
(3) Autoritățile competente române autorizează transferul datelor cu caracter personal către un stat terț sau către o organizație internațională, la cererea unei autorități competente dintr-un stat membru, numai dacă sunt îndeplinite condițiile prevăzute de prezenta lege.
(4) Autorizarea prevăzută la alin. (3) se transmite cu celeritate, dar nu mai târziu de 30 de zile calendaristice de la primirea cererii. În situația în care nu sunt îndeplinite condițiile prevăzute de prezenta lege pentru autorizarea transferului, autorității competente din statul membru care a formulat cererea i se comunică motivele pentru care transferul nu poate fi autorizat.
(5) Autoritățile competente române pot realiza transferurile fără autorizarea prealabilă de către un alt stat membru, în conformitate cu dispozițiile alin. (1) lit. c), numai dacă transferul de date cu caracter personal este necesar pentru prevenirea unei amenințări imediate și grave la adresa ordinii și siguranței publice a unui stat membru sau a unei țări terțe sau a intereselor fundamentale ale unui stat membru, iar autorizarea prealabilă nu poate fi obținută în timp util. Autoritatea responsabilă pentru acordarea unei autorizări prealabile este informată fără întârziere.
(6) Dispozițiile prezentului articol, precum și cele ale art. 44-48 se aplică pentru a se asigura că nivelul de protecție a persoanelor fizice garantat prin prezenta lege nu este subminat.
Articolul 44
(1) Transferul de date cu caracter personal către o țară terță sau o organizație internațională este întotdeauna posibil, în condițiile art. 43 alin. (1) lit. d), atunci când Comisia Europeană a decis că statul terț, un teritoriu ori una sau mai multe diviziuni administrativ-teritoriale determinate din acel stat terț sau organizația internațională în cauză asigură un nivel de protecție adecvat.
(2) Transferurile realizate în condițiile alin. (1) nu necesită autorizări speciale.
(3) Autoritățile competente au obligația, în situația transferurilor prevăzute la alin. (1), să monitorizeze și să respecte întocmai dispozițiile actelor de punere în aplicare adoptate de Comisia Europeană.
(4) Decizia Comisiei Europene de abrogare, modificare sau suspendare a unei decizii de adecvare nu aduce atingere transferurilor de date cu caracter personal către țara terță, către teritoriul sau către unul sau mai multe sectoare determinate din acea țară terță sau către organizația internațională în cauză în conformitate cu art. 37 și 38.
(5) Autoritățile competente române au obligația monitorizării listei statelor terțe, a teritoriilor și diviziunilor administrativ-teritoriale determinate din statele terțe și a organizațiilor internaționale în cazul cărora Comisia Europeană a decis că nivelul de protecție adecvat este asigurat sau nu mai este asigurat, prin consultarea Jurnalului Oficial al Uniunii Europene și a site-ului web al Comisiei Europene.
Articolul 45
(1) Prin excepție de la dispozițiile art. 43 alin. (1) lit. d), în absența unei decizii adoptate de Comisia Europeană, transferul de date cu caracter personal către o țară terță sau către o organizație internațională poate avea loc atunci când:
a) au fost stabilite garanții adecvate în ceea ce privește protecția datelor cu caracter personal printr-un act cu caracter juridic obligatoriu; sau
b) operatorul a evaluat toate circumstanțele aferente transferului de date cu caracter personal și a concluzionat că există garanții adecvate în ceea ce privește protecția datelor cu caracter personal.
(2) În scopul îndeplinirii condițiilor prevăzute la alin. (1) lit. b), operatorul trebuie să țină cont cel puțin de următoarele:
a) situația generală privind respectarea drepturilor omului și a libertăților fundamentale;
b) legislația relevantă, atât generală, cât și sectorială, inclusiv privind ordinea și siguranța publică, apărarea, securitatea națională și dreptul penal, precum și punerea în aplicare a acestei legislații;
c) accesul autorităților publice la datele cu caracter personal;
d) legislația privind protecția datelor cu caracter personal;
e) măsurile privind asigurarea securității datelor cu caracter personal;
f) legislația privind transferul ulterior de date cu caracter personal către o altă țară terță sau organizație internațională;
g) drepturile efective și opozabile ale persoanelor vizate și reparații efective pe cale administrativă și judiciară pentru persoanele vizate ale căror date cu caracter personal sunt transferate.
(3) Operatorul informează autoritatea de supraveghere cu privire la transferurile realizate în condițiile alin. (1) lit. b).
(4) Operatorul are obligația să țină evidența transferurilor realizate în condițiile alin. (1) lit. b), precizând cel puțin următoarele:
a) data și ora transferului;
b) informații cu privire la autoritatea competentă destinatară;
c) informații cu privire la justificarea transferului;
d) datele cu caracter personal transferate.
(5) Documentația prevăzută la alin. (4) se păstrează pentru o perioadă de 10 ani și, la cerere, se pune la dispoziția autorității de supraveghere.
Articolul 46
(1) Prin excepție de la dispozițiile art. 45 alin. (1) și în cazul în care nu pot fi îndeplinite condițiile prevăzute la art. 44, un transfer sau o categorie de transferuri de date cu caracter personal către o țară terță sau către o organizație internațională poate avea loc numai în condițiile în care transferul este necesar pentru atingerea unuia dintre următoarele scopuri:
a) protejarea intereselor vitale ale persoanei vizate sau ale unei alte persoane, cum ar fi prevenirea unui pericol iminent cel puțin asupra vieții, integrității corporale sau sănătății acestora;
b) protejarea intereselor legitime ale persoanei vizate, în cazul în care există o dispoziție legală expresă în acest sens;
c) prevenirea unei amenințări imediate și grave la adresa ordinii și siguranței publice a unui stat membru sau a unei țări terțe;
d) în cazuri individuale în scopurile stabilite la art. 1;
e) într-un caz individual pentru descoperirea, exercitarea sau apărarea unui drept în instanță privind scopurile stabilite la art. 1.
(2) Se interzice transferul datelor cu caracter personal în condițiile alin. (1) lit. d) și e) în cazul în care în urma evaluărilor realizate de autoritatea competentă română care transferă datele cu caracter personal se stabilește că drepturile și libertățile fundamentale ale persoanei vizate prevalează asupra interesului public.
(3) În situația transferurilor realizate în condițiile alin. (1), dispozițiile art. 45 alin. (4) și (5) se aplică în mod corespunzător.
Articolul 47
(1) În cazuri individuale specifice, dacă sunt îndeplinite toate condițiile referitoare la transferul de date cu caracter personal prevăzute de prezenta lege, operatorul poate transfera date cu caracter personal către destinatari din state terțe care nu sunt autorități competente în înțelesul prezentei legi, numai dacă sunt îndeplinite în mod cumulativ următoarele condiții:
a) transferul este strict necesar pentru exercitarea unei atribuții prevăzute de lege în sarcina autorității competente române, în scopul îndeplinirii activităților prevăzute la art. 1;
b) autoritatea competentă română stabilește că niciunul dintre drepturile și libertățile fundamentale ale persoanei vizate în cauză nu prevalează în fața interesului public care impune transferul în cazul respectiv;
c) din evaluările realizate de către autoritatea competentă română rezultă că transferul către o autoritate din țara terță, care este competentă în scopul îndeplinirii activităților prevăzute la art. 1, este ineficient sau necorespunzător, în special din cauză că transferul nu poate fi realizat în timp util;
d) autoritatea din țara terță, care este competentă în scopul îndeplinirii activităților prevăzute la art. 1, este informată fără întârzieri nejustificate, cu excepția cazului în care această măsură este ineficientă sau necorespunzătoare;
e) autoritatea competentă română informează destinatarul cu privire la scopul sau scopurile determinate exclusive în care aceasta din urmă poate să prelucreze datele cu caracter personal, cu condiția ca o astfel de prelucrare să fie necesară.
(2) Transferul în condițiile alin. (1) este posibil numai dacă destinatarul se angajează în scris să nu prelucreze datele cu caracter personal în alt scop decât cel pentru care au fost transmise, circumscris îndeplinirii scopurilor prevăzute la art. 1.
(3) Dispozițiile alin. (1) nu afectează transferurile de date cu caracter personal stabilite prin tratate încheiate în domeniul cooperării judiciare în materie penală sau al cooperării polițienești internaționale.
(4) Autoritatea competentă română informează periodic, cel puțin o dată pe an, autoritatea de supraveghere cu privire la transferurile efectuate în temeiul prezentului articol.
(5) În situația transferurilor realizate în condițiile alin. (1), dispozițiile art. 43 alin. (4) și (5) se aplică în mod corespunzător.
Articolul 50
(1) În cazul activităților de prevenire a infracțiunilor, de menținere și de asigurare a ordinii și siguranței publice, sistemele de evidență a datelor cu caracter personal sau mijloacele automate de prelucrare a datelor cu caracter personal pot fi interoperabilizate cu:
a) Registrul național de evidență a persoanelor;
b) Registrul național de evidență a pașapoartelor simple;
c) Registrul național de evidență a permiselor de conducere și a vehiculelor înmatriculate.
(2) În cazul activităților prevăzute la alin. (1), sistemele de evidență a datelor cu caracter personal sau, după caz, mijloacele automate de prelucrare a datelor cu caracter personal pe care le dețin operatorii, pentru scopuri similare ori corelate, pot fi interoperabilizate.
(3) Interoperabilizările prevăzute la alin. (1) și (2) se aduc la cunoștința autorității de supraveghere.
(4) În cazul activităților prevăzute la alin. (1) se pot interoperabiliza sistemele de evidență a datelor cu caracter personal sau, după caz, mijloacele automate de prelucrare a datelor cu caracter personal pe care le dețin pentru scopuri diferite, numai cu acordul prealabil al autorității de supraveghere.”
Din dispozițiile actelor normative anterior menționate, rezultă că principalele tipuri de anonimizări, care pot fi efectuate, se referă la datele enumerate mai jos:
1. nume, prenume;
2. semnătură;
3. detalii de contact – număr de telefon personal, adresă de email, adresa de domiciliu/reședință etc.;
4. serie și număr CI/BI;
5. CNP;
6. funcție, profesie;
7. denumire angajator/furnizor;
8. adresa IP;
9. tipul de browser folosit;
1. persoanele fizice sau juridice vizate de actele normative mai sus-precizate/reprezentanţii legali ai persoanelor vizate;
2. angajaţii;
3. partenerii contractuali;
4. alte instituții/autorități centrale și locale;
5. instanțele de judecată în vederea formulării de acțiuni și reprezentării în instanță;
5. destinatarii supuși prelucrărilor necesare în cadrul activității de investigare/control;
6. auditorii interni, externi şi internaţionali;
7. organele de cercetare penală.
5. STANDARDUL ISO/IEC 27001:2022
În cele ce urmează, voi prezenta un rezumat al conținutului Standardului ISO/IEC 27001:2022.
ISO (Organizația Internațională pentru Standardizare) și IEC (Comisia Electrotehnică Internațională) formează sistemul specializat pentru standardizare la nivel mondial.
ISO/IEC 27001:2022:
- a fost pregătit de Comitetul Tehnic Comun ISO/IEC JTC 1, Tehnologia Informației, Subcomitetul SC 27, Securitatea informațiilor, securitatea cibernetică și protecția vieții private;
- anulează și înlocuiește a doua ediție (ISO/IEC 27001:2013), care a fost revizuită tehnic;
- a fost pregătit în scopul furnizării cerințelor în vederea stabilirii, implementării, menținerii și îmbunătățirii continue a unui sistem de management al securității, influențată fiind de nevoile și de obiectivele organizației, de cerințele de securitate, de procesele organizaționale utilizate, de dimensiunea și de structura organizației;
Sistemul de management al securității informațiilor trebuie să păstreze confidențialitatea, integritatea și disponibilitatea informațiilor, prin aplicarea unui proces de management al riscurilor, care să ofere încredere părților interesate în sensul gestionării adecvate a riscurilor.
Conducerea de top a organizației trebuie să implementeze sistemul de management al securității informațiilor prin:
- asigurarea politicii de securitate a informațiilor și a obiectivelor de securitate, în raport cu direcția strategică a organizației;
- integrarea cerințelor sistemului de management al securității informațiilor în procesele organizației;
- disponibilitatea resurselor necesare sistemului de management al securității informațiilor;
- asigurarea atingerii de către sistemul de management al securității informațiilor a rezultatelor preconizate;
- direcționarea și sprijinirea persoanelor în scopul eficacității sistemului de management al securității informațiilor; respectiv
- promovarea îmbunătățirii continue.
Organizația trebuie să aplice un proces de evaluare a riscului de securitate a informațiilor având în vedere criteriile de acceptare a riscului și criteriile de realizare a evaluărilor de risc pentru securitatea informațiilor, care pot produce rezultate consistente, valide și comparabile.
Măsurile care trebuie aplicate de organizații, în scopul asigurării confidențialității, integrității și disponibilității informațiilor sunt:
- identificarea riscurilor asociate cu pierderea confidențialității, integrității și disponibilității informațiilor, în sfera de aplicare a sistemului de management al securității informațiilor;
- identificarea proprietarilor de risc;
- evaluarea potențialelor consecințe în caz de concretizare a riscurilor, probabilitatea realistă de apariție a riscurilor;
- determinarea nivelurilor de risc;
- compararea rezultatelor supuse analizei de risc;
- prioritizarea riscurilor analizate, care necesită soluții;
- păstrarea informațiilor documentate despre procesul de evaluare a riscului de securitate a informațiilor;
- definirea și aplicarea unui proces de tratare a riscului de securitate a informațiilor;
- selectarea opțiunilor adecvate de tratare a riscului de securitate a informațiilor, ținând seama de rezultatele evaluării riscurilor;
- determinarea tuturor controalelor necesare în scopul implementării opțiunilor de tratare a riscului de securitate a informațiilor alese;
- compararea controalelor și verificarea controalelor necesare, care au fost omise;
- elaborarea ”Declarației de aplicabilitate”, care să conțină enumerarea controalelor necesare, justificarea includerii acestora, dacă controalele necesare au fost implementate sau nu, justificarea excluderii oricăruia dintre controalele prevăzute în anexa A, formularea unui plan de tratare a riscului de securitate a informațiilor, obținerea aprobării deținătorilor de risc cu privire la planul de tratare a riscului de securitate a informațiilor și acceptarea riscurilor reziduale de securitate a informațiilor.
În scopul atingerii obiectivelor de securitate a informațiilor, organizația trebuie să stabilească obiectivele propuse, resursele necesare pentru realizarea obiectivelor, persoanele responsabile cu realizarea obiectivelor, termenul de finlizare, precum și modul de evaluare a rezultatelor.
Organizația trebuie să determine competența necesară a persoanei/persoanelor, care efectuează lucrări sub controlul său, care îi afectează performanța securității informațiilor, competența pe baza educației, a formării sau a experienței adecvate. În acest scop, pot fi avute în vedere furnizarea de instruire, îndrumarea sau relocarea angajaților actuali, angajarea sau contractarea de persoane competente.
Persoanele care lucrează sub controlul organizației trebuie să cunoască: politica de securitate a informatiilor, contribuția lor la eficacitatea sistemului de management al securității informațiilor, beneficiile îmbunătățirii performanței securității informațiilor, respectiv implicațiile neconformității cu cerințele sistemului de management al securității informațiilor.
Organizația trebuie să determine nevoia de comunicații interne și externe relevante pentru sistemul de management al securității informațiilor, respectiv tipul de informații care trebuie comunicate, momentul adecvat pentru comunicare, persoana responsabilă pentru efectuarea comunicărilor, persoanele autorizate să primească informațiile, precum și modalitățile de comunicare.
Atunci când sunt create și actualizate informații documentate, organizația trebuie să realizeze identificarea, descrierea (titlul, data, autorul sau numărul de referință, după caz), formatul (limba, versiunea software, grafica, după caz), suportul (hârtie sau electronic, după caz), respectiv revizuirea și aprobarea pentru adecvare.
Informațiile documentate, solicitate de sistemul de management al securității informațiilor și de Standardul ISO/IEC 27001:2022 vor fi controlate pentru asigurarea disponibilității și adecvarii pentru utilizare, locul și momentul când este necesar, existența protecției adecvate (împotriva pierderii confidențialității, a utilizării necorespunzătoare sau a integrității informațiilor).
Organizația va determina informațiile, care necesită monitorizare, măsurare, procesele și controalele de securitate a informațiilor, metodele de monitorizare, măsurare, analiză și evaluare, în scopul asigurării rezultatelor comparabile, reproductibile, respectiv valide, momentul efectuării monitorizării și măsurării, persoana responsabilă pentru efectuarea monitorizării și măsurării, momentul analizării și evaluării rezultatelor din monitorizare și măsurare, respectiv persoana responsabilă pentru efectuarea analizei și a evaluării rezultatelor.
Organizația trebuie să efectueze audituri interne, la intervale planificate, pentru a furniza informații despre măsura în care sistemul de management al securității informațiilor se conformează, cerințele proprii ale organizației pentru sistemul său de management al securității informațiilor, cerințele Standardului ISO/IEC 27001:2022, în sensul dacă este implementat și menținut eficient.
Organizația trebuie să planifice, să stabilească, să implementeze și să mențină un program de audit, care să aibă în vedere frecvența, metodele, responsabilitățile, cerințele de planificare și raportarea, respectiv să ia în considerare importanța proceselor în cauză și a rezultatelor auditurilor anterioare.
În acest scop, trebuie definite criteriile de audit, domeniul de aplicare pentru fiecare audit, trebuie selectați auditorii, trebuie efectuate rapoarte de audit, care să asigure obiectivitatea și imparțialitatea procesului de audit, trebuie raportate rezultatele procesului de audit conducerii organizației.
Evaluarea conducerii trebuie să includă luarea în considerare a stadiului acțiunilor din evaluările anterioare ale conducerii, raportat la:
- modificările aspectelor externe și interne, relevante pentru sistemul de management al securității informațiilor,
- modificările adaptate la nevoile și la așteptările părților interesate, relevante pentru sistemul de management al securității informațiilor,
- feedback-ul referitor la performanța securității informațiilor, tendințele în caz de neconformități și de acțiuni corective,
- rezultatele monitorizării și măsurătorilor,
- rezultatele raportului de audit, în sensul dacă sunt îndeplinite obiectivele de securitate a informațiilor,
- feedback-ul de la părțile interesate,
- rezultatele evaluării riscurilor și stadiul planului de tratare a riscurilor, respectiv
- oportunitățile de îmbunătățire continuă.
În cazul existenței unei neconformități, organizația trebuie să ia măsuri pentru efectuarea corecturilor, pentru soluționarea eficientă a consecințelor, pentru luarea măsurilor în vederea eliminării cauzelor neconformității, pentru a se evita repetarea lor sau apariția acestora în alte sectoare ale organizației, prin revizuirea neconformității, prin determinarea cauzelor neconformităţii, prin determinarea existenței sau a posibilității apariției unor neconformități similare, prin implementarea oricărei acțiuni necesare, prin revizuirea eficacității oricărei acțiuni corective întreprinse, respectiv prin efectuarea modificărilor sistemului de management al securității informațiilor, în caz de necesitate.
Acțiunile corective trebuie să fie adecvate raportat la efectele neconformităților constatate.
Informațiile documentate trebuie să fie disponibile, ca dovadă a naturii neconformităților pentru orice acțiuni ulterioare întreprinse, să prevadă, totodată, rezultatele oricărei acțiuni corective.
În scopul asigurării confidențialității și protecției informațiilor personale de identificare (PII), organizația trebuie să identifice și să îndeplinească cerințele, prevăzute în acest sens de legile și de reglementările aplicabile sau raportat la cerințele contractuale, după caz.
Acordurile contractuale de muncă trebuie să precizeze responsabilitățile și îndatoririle personalului și ale organizației pentru păstrarea securității informațiilor, rămase valabile după încetarea sau după schimbarea locului de muncă, acestea urmând să fie definite, aplicate și comunicate personalului relevant și altor părți interesate, după caz.
Acordurile de confidențialitate sau de nedezvăluire, care reflectă nevoile organizației pentru protecția informațiilor vor fi identificate, documentate, revizuite și semnate periodic de către personal și de alte părți interesate relevante.
În privința asigurării controlului securității cablajului, cablurile care transportă energie, date sau servicii de informare suport trebuie protejate împotriva interceptării, interferențelor sau deteriorării.
În ceea ce privește controlul întreținerii echipamentelor, acestea trebuie întreținute corect pentru asigurarea disponibilității, integrității și confidențialității informațiilor.
Alocarea și utilizarea drepturilor de acces privilegiate trebuie restricționate și gestionate.
Accesul la informații și la alte active asociate trebuie restricționat, în conformitate cu politica specifică privind controlul accesului.
Accesul de citire și de scriere la codul sursă, instrumentele de dezvoltare și bibliotecile de software trebuie gestionate corespunzător.
Tehnologiile și procedurile de autentificare securizată vor fi implementate pe baza restricțiilor de acces la informații și a politicii specifice subiectului privind controlul accesului.
Utilizarea resurselor trebuie monitorizată și ajustată în conformitate cu cerințele actuale și preconizate de capacitate.
Protecția împotriva programelor malware trebuie implementată și susținută printr-o conștientizare adecvată a utilizatorilor.
Este necesară obținerea informațiilor în privința vulnerabilităților tehnice ale sistemelor informatice, aflate în uz, trebuie evaluată, totodată, expunerea organizației la astfel de vulnerabilități și luate măsurile adecvate.
Configurațiile, inclusiv cele de securitate, ale hardware-ului, ale software-ului, ale serviciilor și ale rețelelor trebuie stabilite, documentate, implementate, monitorizate și revizuite.
Informațiile stocate în sistemele informatice, în dispozitivele sau în orice alt mediu de stocare vor fi șterse, dacă se apreciază necesar.
Mascarea datelor va fi utilizată în conformitate cu politica organizației, specifică subiectului privind controlul accesului și alte politici legate de subiecte specifice, precum și cerințele de afaceri, ținând cont de legislația aplicabilă.
Măsurile de prevenire a scurgerilor de date se aplică sistemelor, rețelelor și oricăror alte dispozitive care prelucrează, stochează sau transmit informații sensibile.
Copiile de rezervă ale informațiilor, ale software-ului și ale sistemelor trebuie menținute și testate, în mod regulat, în conformitate cu politica de rezervă convenită pentru subiecte specifice.
Facilitățile de procesare a informațiilor trebuie implementate cu o redundanță suficientă pentru a îndeplini cerințele de disponibilitate.
Jurnalele care înregistrează activitățile, excepțiile, defecțiunile și alte evenimente relevante trebuie produse, stocate, protejate și analizate.
Rețelele, sistemele și aplicațiile vor fi monitorizate pentru comportamentul anormal și trebuie luate măsuri adecvate pentru a evalua eventualele incidente de securitate a informațiilor.
Utilizarea programelor utilitare, capabile să depășească controalele sistemului și ale aplicațiilor, trebuie restricționată și strict controlată.
Trebuie implementate proceduri și măsuri pentru a gestiona în siguranță instalarea software-ului pe sistemele operaționale.
Se impune securizarea, gestionarea și controlul rețelelor și dispozitivelor de rețea, în scopul protejării informațiilor din sisteme și aplicații.
Trebuie identificate, implementate și monitorizate mecanismele de securitate, nivelurile de serviciu și cerințele de servicii ale serviciilor de rețea.
Grupurile de servicii de informare, utilizatori și sisteme de informații vor fi separate în rețelele organizației.
Este necesară gestionarea accesului la site-uri web externe, în scopul reducerii expunerii la conținutul rău intenționat.
Trebuie definite și implementate reguli în scopul utilizării eficiente a criptografiei, inclusiv pentru gestionarea cheilor criptografice.
Este necesară stabilirea și aplicarea regulilor în scopul dezvoltării, în siguranță, a software-ului și a sistemelor.
Cerințele de securitate a informațiilor trebuie identificate, specificate și aprobate în scopul dezvoltării sau achiziționării aplicațiilor.
Principiile proiectării sistemelor securizate trebuie stabilite, documentate, menținute și aplicate oricăror activități de dezvoltare a sistemelor informatice.
În scopul dezvoltării software-urilor se vor aplica principii de codare sigură, cu respectarea, totodată, a proceselor de testare a securității.
Mediile de dezvoltare, testare și producție trebuie să fie separate și securizate.
Modificările aduse instalațiilor de prelucrare a informațiilor și sistemelor informaționale fac obiectul procedurilor de gestionare a modificărilor.
Testele de audit și alte activități de asigurare, efectuate în scopul evaluării sistemelor operaționale, trebuie planificate și convenite între testator și conducerea organizației.
CONCLUZII - ASPECTE COMUNE PREZENTE ÎN G.D.P.R. - GENERAL DATA PROTECTION REGULATION (Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE -Regulamentul general privind protecţia datelor) și în STANDARDUL ISO/IEC 27001:2022
Similitudinea principală între cele două acte normative este ”PSEUDONIMIZAREA DATELOR”, pe care o regăsim în cadrul ”GENERAL DATA PROTECTION REGULATION” (în cadrul Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016) și ”MASCAREA DATELOR”, menționată în cadrul ”STANDARDULUI ISO/IEC 27001:2022”.
Ambele, atât Standardul ISO/IEC 27001:2022 cât și G.D.P.R.-UL (GENERAL DATA PROTECTION REGULATION) - Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor) își propun implementarea măsurilor în vederea respectării celor 3 principii, care stau la baza securității cibernetice: confidențialitata, integritatea și disponibilitatea datelor și informațiilor utilizate.
G.D.P.R.-ul (GENERAL DATA PROTECTION REGULATION), prin dispozițiile art. 5 alin. (1) lit. f) din Regulamentul anterior menționat, în raport cu care ”Datele cu caracter personal sunt prelucrate într-un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare („INTEGRITATE și CONFIDENȚIALITATE”), iar Standardul ISO/IEC 27001:2022, în Anexa A, Tabelul A.1, la punctul 6.6 privind ”Acorduri de CONFIDENȚIALITATE sau de NEDIVULGARE A INFORMAȚIILOR, care reflectă nevoile organizației pentru protecția informațiilor, vor fi identificate, documentate, revizuite cu regularitate și semnate de persoanele vizate sau de alte părți interesate relevante”; in mod similar, la Anexa 1, Tabelul A1, punctul 7.13 din Standardul ISO/IEC 27001:2022, se menționează faptul că ”Echipamentele vor fi menținute corect pentru a asigura valabilitatea, INTEGRITATEA ȘI CONFIDENȚIALITATEA INFORMAȚIILOR”.
În ceea ce privește PSEUDONIMIZAREA DATELOR, Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor) STIPULEAZĂ:
- la CONSIDERENTUL (78), faptul că ”Protecția drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal necesită adoptarea de măsuri tehnice și organizatorice corespunzătoare pentru a se asigura îndeplinirea cerințelor din prezentul regulament. Pentru a fi în măsură să demonstreze conformitatea cu prezentul regulament, operatorul ar trebui să adopte politici interne și să pună în aplicare măsuri care să respecte în special principiul protecției datelor începând cu momentul conceperii și cel al protecției implicite a datelor. Astfel de măsuri ar putea consta, printre altele, în reducerea la minimum a prelucrării datelor cu caracter personal, PSEUDONIMIZAREA ACESTOR DATE cât mai curând posibil, transparența în ceea ce privește funcțiile și prelucrarea datelor cu caracter personal, abilitarea persoanei vizate să monitorizeze prelucrarea datelor, abilitarea operatorului să creeze elemente de siguranță și să le îmbunătățească. Atunci când elaborează, proiectează, selectează și utilizează aplicații, servicii și produse care se bazează pe prelucrarea datelor cu caracter personal sau care prelucrează date cu caracter personal pentru a-și îndeplini rolul, producătorii acestor produse și furnizorii acestor servicii și aplicații ar trebui să fie încurajați să aibă în vedere dreptul la protecția datelor la momentul elaborării și proiectării unor astfel de produse, servicii și aplicații și, ținând cont de stadiul actual al dezvoltării, să se asigure că operatorii și persoanele împuternicite de operatori sunt în măsură să își îndeplinească obligațiile referitoare la protecția datelor. Principiul protecției datelor începând cu momentul conceperii și cel al protecției implicite a datelor ar trebui să fie luate în considerare și în contextul licitațiilor publice.”;
- la CONSIDERENTUL (156), faptul că ”Prelucrarea datelor cu caracter personal în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice ar trebui să facă obiectul unor garanții adecvate pentru drepturile și libertățile persoanei vizate în temeiul prezentului regulament. Respectivele garanții ar trebui să asigure faptul că au fost instituite măsuri tehnice și organizatorice necesare pentru a se asigura, în special, principiul reducerii la minimum a datelor. Prelucrarea ulterioară a datelor cu caracter personal în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice se efectuează atunci când operatorul a evaluat fezabilitatea pentru îndeplinirea acestor obiective prin prelucrarea unor date cu caracter personal care nu permit sau nu mai permit identificarea persoanelor vizate, cu condiția să existe garanții adecvate (cum ar fi PSEUDONIMIZAREA DATELOR CU CARACTER PERSONAL). Statele membre ar trebui să prevadă garanții adecvate pentru prelucrarea datelor cu caracter personal în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice. Statele membre ar trebui să fie autorizate să ofere, în anumite condiții și sub rezerva unor garanții adecvate pentru persoanele vizate, precizări și derogări în ceea ce privește cererile de informații și dreptul la rectificare, dreptul la ștergere, dreptul de a fi uitat, dreptul la restricționarea prelucrării, dreptul la portabilitatea datelor, precum și dreptul la opoziție în cazul prelucrării datelor cu caracter personal în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice. Condițiile și garanțiile în cauză pot genera proceduri specifice astfel încât persoanele vizate să își exercite respectivele drepturi dacă acest lucru este adecvat în contextul scopurilor vizate de prelucrarea specifică, precum și măsuri tehnice și organizaționale vizând reducerea la minimum a prelucrării datelor cu caracter personal, în conformitate cu principiile proporționalității și necesității. Prelucrarea datelor cu caracter personal în scopuri științifice ar trebui să fie, de asemenea, conformă cu alte acte legislative relevante, cum ar fi cele privind studiile clinice.”;
- la ARTICOLUL 6 (Legalitatea prelucrării), alin. (4), lit. (e), faptul că ”În cazul în care prelucrarea în alt scop decât cel pentru care datele cu caracter personal au fost colectate nu se bazează pe consimțământul persoanei vizate sau pe dreptul Uniunii sau dreptul intern, care constituie o măsură necesară și proporțională într-o societate democratică pentru a proteja obiectivele menționate la articolul 23 alineatul (1), operatorul, pentru a stabili dacă prelucrarea în alt scop este compatibilă cu scopul pentru care datele cu caracter personal au fost colectate inițial, ia în considerare, printre altele: ... existența unor garanții adecvate, care pot include CRIPTAREA sau PSEUDONIMIZAREA.”;
- la ARTICOLUL 25 (Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit), alin. (1), faptul că ”Având în vedere stadiul actual al tehnologiei, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice pe care le prezintă prelucrarea, operatorul, atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine, pune în aplicare măsuri tehnice și organizatorice adecvate, cum ar fi PSEUDONIMIZAREA, care sunt destinate să pună în aplicare în mod eficient principiile de protecție a datelor, precum reducerea la minimum a datelor, și să integreze garanțiile necesare în cadrul prelucrării, pentru a îndeplini cerințele prezentului regulament și a proteja drepturile persoanelor vizate.”;
- la ARTICOLUL 32 (Securitatea prelucrării), alin. (1), lit. (a), faptul că ”Având în vedere stadiul actual al dezvoltării, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscul cu diferite grade de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul și persoana împuternicită de acesta implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc, incluzând printre altele, după caz: PSEUDONIMIZAREA și CRIPTAREA DATELOR CU CARACTER PERSONAL...”;
- la ARTICOLUL 40 (Coduri de conduită), alin. (2), lit. (d), faptul că ”Asociațiile și alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot pregăti coduri de conduită sau le pot modifica sau extinde pe cele existente, în scopul de a specifica modul de aplicare a prezentului regulament, cum ar fi în ceea ce privește:.... PSEUDONIMIZAREA DATELOR CU CARACTER PERSONAL...”;
- la ARTICOLUL 89 (Garanții și derogări privind prelucrarea în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice), alin. (1), faptul că ”Prelucrarea în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice are loc cu condiția existenței unor garanții corespunzătoare, în conformitate cu prezentul regulament, pentru drepturile și libertățile persoanelor vizate. Respectivele garanții asigură faptul că au fost instituite măsuri tehnice și organizatorice necesare pentru a se asigura, în special, respectarea principiului reducerii la minimum a datelor. Respectivele măsuri pot include PSEUDONIMIZAREA, cu condiția ca respectivele scopuri să fie îndeplinite în acest mod. Atunci când respectivele scopuri pot fi îndeplinite printr-o prelucrare ulterioară care nu permite sau nu mai permite identificarea persoanelor vizate, scopurile respective sunt îndeplinite în acest mod.”
Standardul ISO/IEC 27001:2022, în Anexa A, Tabelul A.1, la punctul 8.11 se referă la ”CONTROLUL MASCĂRII DATELOR”, în sensul că "MASCAREA DATELOR" va fi utilizată în conformitate cu politica organizației, specifică subiectului privind controlul accesului, cu alte politici referitoare la subiecte conexe, cu cerințele de afaceri, luând în considerare legislația aplicabilă”.