Implementarea Directivei NIS (Network Internet Security) în România

Juridic / Legislativ

Vizualizari: 2230

Facebooktwittergoogle_plusredditpinterestlinkedinmail

În timp ce Regulamentul UE 2016/679 (GDPR) este preocupat de protectia datelor cu caracter personal, Directiva NIS  se concentrează asupra menținerii funcționării serviciilor esențiale.

Să presupunem că un furnizor este afectat de un atac cibernetic și datele personale nu sunt compromise dar serviciul devine inutilizabil pentru o zi întreagă. Deși nu există nicio obligație de a raporta sub GDPR, compania va fi aproape sigur că va trebui să notifice autoritatea de reglementare în conformitate cu Directiva NIS. Dar să presupunem că există o întrerupere a serviciului și pierderea datelor cu caracter personal. Compania se va confrunta cu cerințe distincte de raportare, atât în ​​conformitate cu Directiva NIS, cât și cu GDPR. După cum afirmă autoritatea britanică de reglementare, " cerințele fiecărei legislații ar trebui să fie respectate în termenii săi ". Acest lucru ridică posibilitatea de a prezenta două rapoarte autorității de reglementare pentru aceeași încălcare!

Elaborarea, în iulie 2016, a Directivei UE 2016/1148 privind măsuri pentru un nivel comun ridicat de securitate a rețelelor şi a sistemelor informatice în Uniunea Europeana (Directiva NIS), confirmă preocupările constante din ultimii ani ale forurilor comunitare pe linia creșterii rezilienței infrastructurilor IT&C aparținând operatorilor de servicii esențiale și furnizorilor de servicii digitale din statele membre. Această Directivă prevede măsuri unitare pentru atingerea unui nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniune și noi mecanisme de cooperare la nivel european.

Directiva NIS urmărește îmbunătățirea capabilităților naționale, consolidarea cooperării la nivelul UE și promovarea unei culturi a gestionării riscurilor și a raportării incidentelor în rândul principalilor actori
economici care furnizează servicii esențiale și servicii digitale. Pornește de la riscurile pe care le implică incidentele de securitate asupra desfășurării activităților economice, a potențialelor pierderi financiare pe care le pot înregistra companiile, cetățenii sau administrațiile statelor membre, precum și a perturbărilor intenționate sau neintenționate asupra sistemelor electronice care susțin servicii esențiale pentru societate și care pot afecta mai multe state membre în același timp.

Directiva NIS acordă atenție deosebită domeniului IT&C, în sensul că există prevederi clare pentru operatorii de servicii esențiale (OSE) și furnizorii de servicii digitale (FSD).

Transpunerea în legislația națională a Directivei NIS s-a realizat prin Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice, care a fost promulgată de Președintele României la 28 decembrie 2018 și a intrat în vigoare începând cu 12 ianuarie 2019. Actul normativ are o importanţă deosebită pentru România, deoarece transpune la nivel naţional Directiva NIS nr. 1148/2016 şi aliniază ţara noastră la un cadru european comun de răspuns la incidente de securitate cibernetică.

Noile reglementări legislative vizează asigurarea securității rețelelor și sistemelor informatice ce deservesc activități vitale pentru economie și societate, precum infrastructură digitală, energie, transport, sănătate etc.. Mai exact, este stabilit mecanismul de prevenţie, detecţie şi reacţie în cazul unor incidente de securitate cibernetică, astfel încât impactul asupra economiei şi populaţiei să fie minim - toate acestea în contextul creşterii continue a riscurilor la care suntem expuşi în era digitală, nu doar la nivel individual.

Un exemplu relevant îl poate constitui cazul virusului cibernetic BlackEnergy care a afectat Ucraina timp de mai mulţi ani, culminând cu o pană de curent în decembrie 2015 ce a lăsat aproximativ 230.000 de persoane fără electricitate. Acest atac cibernetic asupra infrastructurilor critice din Ucraina este doar unul dintre multiplele semnale de alarmă din ultimii ani asupra modului în care populaţia şi economia unei ţări pot fi afectate direct, la scară largă.

Cine este vizat de Legea de transpunere a Directivei NIS (Legea nr. 362/2018)?

În primul rând, sunt vizaţi operatorii de servicii esenţiale – persoanele fizice sau juridice, de stat sau private, care furnizează servicii din următoarele sectoare energie, transport , bancar, infrastructuri ale pieţei financiare, sănătate,  furnizarea şi distribuirea de apă potabilă și infrastructură digitală.

De reţinut că, potrivit Legii nr. 362/2018, un serviciu este considerat esențial dacă furnizarea lui îndeplinește cumulativ următoarele condiții:

  • serviciul este esențial în susținerea unor activități societale și/sau economice de cea mai mare importanță;
  • furnizarea sa depinde de o rețea sau de un sistem informatic;
  • furnizarea serviciului este perturbată semnificativ în cazul producerii unui incident.

Provocarea cea mai mare a proiectului de implementare a Directivei NIS este sistemul propus pentru implementarea acesteia, respectiv obligativitatea înregistrării și autorizării de către CERT-RO a auditorilor și echipelor de răspuns la incidentele de securitate informatică precum și faptul că registrul furnizorilor de servicii esențiale în document clasificat. „Art. 7. (3) Registrul prevăzut la alin.(1) face parte din categoria documentelor clasificate.
Așadar, se știe lista domeniilor de activitate acoperite (pentru că este specificată în mod explicit în anexă) și se va ști și procedura după care se va face face selecția (procedură ce va fi creată ulterior adoptării legii) dar nu vom putea ști exact care vor fi firmele care vor fi subiecții legii.

Contravențiile prevăzute în Legea nr. 362/2018 se sancționează astfel:

  1. cu amendă de la 3.000 lei la 50.000 lei, iar în cazul constatării unor încălcări repetate limita maximă a amenzii este de 100.000 lei;
  2. prin derogare de la dispozițiile legale privind regimul juridic al contravențiilor, pentru persoanele cu o cifră de afaceri de peste 2.000.000 lei, cu amendă în cuantum de la 0,5% la 2% din cifra de afaceri, iar, în cazul unor încălcări repetate, limita maximă a amenzii este de 5% din cifra de afaceri.
  3. Pentru entitățile nou-înființate și care nu au înregistrat cifra de afaceri în anul anterior sancționării, amenda se stabilește în cuantum de minimum unu și maximum 25 de salarii minime brute pe economie.

 

Un nou curs ONLINE - Implementarea Directivei NIS (Network Internet Security) în România

Elaborarea, în iulie 2016, a Directivei UE 2016/1148 privind măsuri pentru un nivel comun ridicat de securitate a rețelelor şi a sistemelor informatice în Uniunea Europeana (Directiva NIS), confirmă preocupările constante din ultimii ani ale forurilor comunitare pe linia creșterii rezilienței infrastructurilor IT&C aparținând operatorilor de servicii esențiale și furnizorilor de servicii digitale din statele membre. Această Directivă prevede măsuri unitare pentru atingerea unui nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniune și noi mecanisme de cooperare la nivel european.

De aceea am lansat un nou curs pe platforma de E-learning DPO-NET.ro, intitulatImplementarea Directivei NIS (Network Internet Security) în România„.

Scopul acestui curs este de a furniza o sinteză a tuturor informațiilor legate de noile prevederi introduse prin Directiva UE 2016/1148 privind măsuri pentru un nivel comun ridicat de securitate a rețelelor şi a sistemelor informatice în Uniunea Europeana (Directiva NIS).

Cost curs: 190 LEI

La finalul cursului se va accesa un chestionar grila cu zece intrebari alese aleatoriu din baza de date si daca rezultatul final al raspunsurilor corecte depaseste procentul de 70%, cursantul obtine automat un Certificat de Absolvire. 

Acest curs poate fi utilizat de Responsabilul cu Protectia Datelor (DPO) pentru a asigura informarea angajatilor operatorului de date, obtinand astfel si dovada instruirii acestora prin obtinerea Certificatului de Absolvire emis de dpo-NET.ro. Pentru inscrierea la curs este nevoie sa aveti un cont cu acces la cursurile online dpo-NET.ro.

Daca nu ati solicitat inca un astfel de cont, o puteti face prin completarea urmatorului formular: https://dpo-net.ro/solicitare-cont-acces-cursuri-online/, urmand ca in maxim 48 de ore sa primiti un email de confirmare privind inregistrarea, cu detalii despre autentificarea in sistem. 

Din cuprins:

1. Introducere
2. De ce este importantă Legea nr. 362/2018 de transpunere a Directivei NIS în România?
3. Cine este vizat de Legea de transpunere a Directivei NIS?
4. Transpunerea Directivei în România
4. Legea 362/2018
6. Principiile Legii 362/2018
7. Registrul operatorilor de servicii esențiale
8. Obligațiile operatorilor de servicii esențiale
9. Obligațiile furnizorilor de servicii digitale
10. Obligațiile echipelor de intervenție în caz de incidente de securitate informatică
11. Cerințele minime de securitate pentru asigurarea securității rețelelor și sistemelor informatice
12. Notificarea incidentelor de securitate
13. Managementul incidentelor de securitate
14. Auditul de securitate a rețelelor și sistemelor informatice aparținând operatorilor de servicii esențiale sau furnizorilor de servicii digitale
15. Autorizarea echipelor CSIRT ce deservesc rețele și sisteme informatice din categoria serviciilor esențiale și serviciilor digitale
16. Controlul îndeplinirii obligațiilor de securitate și aplicarea sancțiunilor

ANEXA 1 – Textul promulgat al Directivei 2016/1148 privind măsuri pentru un nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniunea Europeana
ANEXA 2 – Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a reţelelor şi sistemelor informatice

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

ANAF-ul impune actualizarea documentelor pentru a respecta GDPR

Juridic / Legislativ

Vizualizari: 4630

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Clienții IFN-urilor si a CAR-urilor trebuie să semneze un nou acord​ prin care sunt de acord ca împrumutătorul să transmită datele personale la ANAF în vederea interogării informațiilor de natură fiscală, avand in vedere modificarile la Ordinul 3731. IFN-urile vor solicita acordul, scris, fie pe suport de hârtie, fie în format electronic, exprimat în condițiile legii, persoanelor fizice și persoanelor juridice, respectiv semnarea unui acord de consultare, transmitere și prelucrare a informațiilor din bazele de date ale Ministerului Finanțelor Publice, Agenția Națională de Administrare Fiscală precum și a Datelor cu Caracter Personal, aparținând Clientului denumit generic "Acord". Acest acord va conține datele de identificare ale persoanelor (CNP, CUI), datele de contact (adresa) precum și mențiunea expresă cu privire la valabilitatea acordului (Acordul este valabil 5 zile lucrătoare de la data semnării de către contribuabil). 

Ca urmare a Ordinului nr. 3731 din 29 decembrie 2016, Agenţia Naţională de Administrare Fiscală a încheiat protocoale de colaborare cu 52 de instituții financiare nebancare, înscrise în Registrul general, Registrul special şi în Registrul Instituțiilor de Plată al Băncii Naţionale a României .

La data de 25.05.2016, a intrat în vigoare Regulamentul (UE) 2016/679 şi, potrivit dispoziţiilor art.99 alin.(2), este aplicabil de la data 25 mai 2018 iar prevederile lui sunt aplicabile direct pe teritoriile statelor membre U.E., fără ca, în principiu, să mai fie necesare măsuri de transpunere ori implementare. Totuşi, Regulamentul de referinţă prevede faptul că în anumite situaţii sunt necesare dispoziţii de implementare la nivel naţional sau statele membre sunt abilitate să adopte anumite dispoziţii legale interne. Regulamentul general privind protecţia datelor, prevede norme specifice potrivit cărora se pot realiza operaţiunile de prelucrare, stabilind atât principii legate de prelucrarea datelor cu caracter personal cât şi condiţiile de legalitate a prelucrării. În consecinţă, dispoziiţiile legale menţionate trebuie avute în vedere la încheierea unui act de cooperare în domeniul prelucrării datelor cu caracter personal, în scopul asigurării unei protecţii uniforme şi consecvente a persoanelor fizice în ceea ce priveşte prelucrarea unor asemenea date.

Având în vedere modificările legislative survenite, se impunea si modificarea Ordinul A.N.A.F. nr. 3731/2016, deoarece normele sale nu mai corespundeau necesităţilor de reglementare care au prezidat apariţia sa și completat cu normele de drept al Uniunii Europene sau de drept intern referitoare la prelucrarea şi protecţia datelor cu caracter personal.

Astfel, a fost elaborat un proiect de Ordin pentru modificarea Ordinului nr. 3731 din 29 decembrie 2016 privind aprobarea modelului-cadru al protocolului de cooperare în vederea schimbului de informaţii între Agenţia Naţională de Administrare Fiscală şi instituțiile financiare nebancare. Mai mult, având în vedere faptul că a fost adoptată Legea nr. 129/2018 care prevede la art.V că se abrogă, la data de 25 mai 2018, Legea nr.677/2001 iar toate trimiterile din actele normative la aceasta se interpretează ca trimiteri la Regulamentul (UE) 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor) şi la legislaţia de punere în aplicare a acestuia, toate textele din Protocolul de colaborare ce fac referire la Legea nr.677/2001 au fost înlocuite cu menţionarea Regulamentului (UE) 2016/679.

Totodată, una din prevederile Ordinului preşedintelui A.N.A.F. nr.3731/2016 ce a necesitat modificare este articolul nr. 4 prin care se face referire strict la protecția datelor cu caracter personal. Acesta a fost înlocuit în întregime cu dispoziții în conformitate cu normele actuale. De asemenea, au fost reevaluate categoriile de date cu caracter personal ce sunt evidenţiate în Anexa nr.1 la protocol - Acord de consultare, transmitere şi prelucrare a
informaţiilor din bazele de date ale Ministerului Finanţelor Publice, Agenţia Naţională de Administrare Fiscală, precum şi a datelor cu caracter personal, aparţinând clientului.

Potrivit dispoziţiilor art. 11 alin. (3) lit. d) din Legea nr. 207/2015 privind Codul de procedură fiscală, cu modificările şi completările ulterioare, organul fiscal poate transmite informaţiile pe care le deţine oricărui solicitant, cu acordul scris al contribuabilului/plătitorului despre care au fost solicitate informaţii. Prin acord scris se înţelege ca acordul să fie emis fie pe suport hârtie, fie în formă electronică, exprimat în condiţiile
legii. Prin urmare un alt articol care se impunea a fi modificat este cel referitor la consimțământul contribuabilului respectiv pct. 2.1.1.

Instituțiile financiare nebancare solicită ANAF, după obținerea acordului contribuabilului, informaţii fiscale despre solicitant pentru perioada aferentă ultimilor 2 (doi) ani fiscali încheiaţi, inclusiv informaţiile aferente perioadei cuprinse între ultimul an fiscal încheiat şi data solicitării acestora. De asemenea instituţia financiară nebancară transmite ANAF date privind activitatea de creditare, activitatea de leasing, date referitoare la scrisorile de garanție precum și datele referitoare la informațiile din istoricul situației existente, începând cu 1 ianuarie 2013. Schimbul de date se realizează periodic, cu respectarea legislaţiei în vigoare, conform unei proceduri de lucru comune. Prin adresele transmise de către Federația C.A.R. Armonia (nr.02/2019 și 09/2019) reprezentanții Caselor de Ajutor Reciproc au solicitat încheierea unor protocoale de colaborare cu Agenția Națională de Administrare Fiscală, în baza Ordinului nr. 3731/2016 privind aprobarea modelului-cadru al protocolului de colaborare în vederea schimbului de informaţii între Agenţia Naţională de Administrare Fiscală şi instituţiile financiare nebancare. Solicitări similare au fost înregistrate și de la Uniunea Caselor de Ajutor Reciproc ale Salariaților din Județul Hunedoara încă înainte de încheierea ordinului (nr.1436/2015) și FEDCAR (nr. 10/09.11.2015).

Casele de ajutor reciproc sunt asociații fără scop patrimonial, organizate în baza liberului consimțământ al salariaților, în vederea sprijinirii și întrajutorării financiare a membrilor lor și sunt autorizate de Banca Nationala a Romaniei să desfășoare servicii de plată, fiind în evidență si înscrise în Registrul de Evidență al BNR . Potrivit art. 5 litera g din Legea nr. 93/2009 privind instituțiile financiare nebancare, Registrul de evidenţă este registrul deschis şi ţinut de Banca Naţională a României, în care sunt înscrise instituţiile financiare nebancare care desfăşoară activităţi de creditare exclusiv din fonduri publice ori puse la dispoziţie în baza unor acorduri interguvernamentale, precum şi instituţiile financiare nebancare organizate sub forma caselor de amanet sau a caselor de ajutor reciproc. De asemenea, potrivit art 14 litera e din același act normativ, instituţiile
financiare nebancare pot desfăşura activităţi de creditare către membrii asociaţiilor fără scop patrimonial organizate pe baza liberului consimţământ al salariaţilor/pensionarilor, în vederea sprijinirii prin împrumuturi financiare a membrilor lor de către aceste entităţi, organizate sub forma juridică a caselor de ajutor reciproc.

Prin Ordinul președintelui ANAF nr.3731/2016 este reglementat schimbul de informații exclusiv cu instituţiile financiare nebancare înscrise în Registrul general şi în Registrul special al Băncii Naţionale a României.
Prin activitatea de creditare destinată persoanelor fizice și prin dezvoltarea pe teritoriul României a unei rețele ample, casele de ajutor reciproc pot oferi ANAF rapoarte referitoare la activitatea desfășurată.
Luând în considerare necesitatea unei abordări unitare cu privire la toți solicitanții, prin proiectul de Ordin anexat, se modifică Ordinul nr. 3731/2016 prin adăugarea pentru realizarea schimbului de informaţii și a instituţiilor financiare nebancare înscrise în Registrul de Evidență al BNR.

Principalele modificari aduse Ordinului nr. 3731 din 29 decembrie 2016

  • Art. 5 - Prelucrarea datelor cu caracter personal ce constituie obiectul prezentului Protocol se realizează în conformitate cu prevederile Regulamentului (UE) 2016/679 al  Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)."
  • La Anexa nr. 1, articolul 2, punctul 2.1., subpunctul 2.1.1., litera a) : În vederea interogării informațiilor de natură fiscală, instituția financiară nebancară semnatară a prezentului Protocol va întreprinde următoarele activități: a) va solicita acordul, scris, fie pe suport de hârtie, fie în format electronic, exprimat în condițiile legii, persoanelor fizice și persoanelor juridice, respectiv semnarea unui acord de consultare, transmitere și prelucrare a informațiilor din bazele de date ale Ministerului Finanțelor Publice, Agenția Națională de Administrare Fiscală precum și a Datelor cu Caracter Personal, aparținând Clientului denumit generic "Acord". Acest acord va conține datele de identificare ale persoanelor (CNP, CUI), datele de contact (adresa) precum și mențiunea expresă cu privire la valabilitatea acordului (Acordul este valabil 5 zile lucrătoare de la data semnării de către contribuabil) conform Anexei la prezentul protocol.
  • Anexa nr. 1, articolul 4: 4.1.- Prelucrarea datelor cu caracter personal ce constituie obiectul prezentului Protocol se realizează în conformitate cu prevederile Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor). 4.2.- Datele cu caracter personal ce sunt prelucrate de către Părți în scopul menționat la art.1din protocol sunt următoarele: nume, prenume, adresă de domiciliu, cod numeric personal, număr și serie act de identitate, date fiscale ) 4.3.- Datele cu caracter personal în cauză sunt prelucrate numai pentru realizarea scopului prevăzut la art.1 din prezentul Protocol, cu respectarea legislației în vigoare și  nu pot face obiectul diseminării către alte instituții/persoane fizice/persoane juridice decât în condițiile legii, cu acordul prealabil al Părților. 4.4.- În situația în care persoana vizată își retrage consimțământul ce a stat la  baza legalității prelucrării datelor cu caracter personal ce o privesc, Părțile se informează reciproc pentru a dispune măsurile legale ce se impun. 4.5.- În conformitate cu prevederile Regulamentului (UE) 2016/679, persoanele vizate ale căror date cu caracter personal sunt prelucrate beneficiază de următoarele drepturi: dreptul la informare, dreptul de acces la datele cu caracter personal, dreptul la rectificarea datelor cu caracter personal, dreptul la ștergerea datelor cu caracter personal (dreptul de a fi uitat), dreptul la restricționarea prelucrării, dreptul la opoziție, dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, precum și dreptul de a depune plângere către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. 4.6.- Dacă persoanele vizate au exercitat și au obținut de la una din Părți dreptul la rectificarea datelor cu caracter personal, dreptul la ștergerea datelor cu caracter personal (dreptul de a fi uitat), dreptul la restricționarea prelucrării, dreptul la opoziție, dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, Părțile se informează reciproc despre acest fapt. 4.7.- Părțile pun în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu normele de drept al Uniunii Europene sau de drept intern referitoare la protecția datelor cu caracter personal. 4.8.- Orice persoană fizică care acționează sub autoritatea uneia din Părți și are acces la datele cu caracter personal ce fac obiectul prezentului Protocol are obligația să păstreze confidențialitatea acestor date și nu le prelucrează decât la cererea Părților, cu excepția cazului în care dreptul Uniunii Europene sau dreptul intern îl obligă să facă acest lucru. 4.9.- În situația în care părțile constată o încălcare a securității datelor cu caracter  personal se vor informa reciproc și vor dispune măsurile prevăzute de normele de drept al Uniunii Europene sau de drept intern, în special cele privind informarea persoanei vizate și notificarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal. 4.10.- În scopul garantării prelucrării datelor cu caracter personal în mod legal, echitabil și transparent față de persoana vizată, atât ANAF cât și IFN, asigură publicarea pe site-ul/portalul propriu a unei informări privind obiectul prezentului protocol ."
  • Anexa nr. 1, articolul 5, punctele 5.6 și 5.7: ANAF poate vizualiza lista accesărilor utilizatorilor, respectiv poate solicita instituțiilor financiare nebancare să prezinte, prin sondaj, în format electronic, acordurile
    pentru a verifica dacă interogările au fost făcute în conformitate cu prevederile Protocolului și s-au respectat dispozițiile Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date. De asemenea, ori de câte ori se impune, ANAF, poate solicita formularele de acord în original de la instituțiile financiare nebancare, ținând cont de faptul că aceste documente sunt arhivate în locații externe. În situația în care, instituția financiară nebancară nu transmite
    formularele solicitate în termen de 10 zile lucrătoare pentru un număr de maxim 20 acorduri și 25 de zile lucrătoare pentru un număr mai mare de 20 de acorduri, ANAF poate suspenda accesul la informațiile oferite de către ANAF . 5.7. În situația în care, în urma verificărilor efectuate, ANAF identifică abateri respectiv interogări în baza de date fără acordul semnat al persoanei și/sau în afara termenului de valabilitate, ANAF va suspenda accesul instituției financiare nebancare respective la informațiile oferite de către ANAF . Încetarea suspendării accesului va avea loc după ce instituția financiară nebancară va proceda la investigarea și stabilirea cauzelor care au generat deficiențele, precum și identificarea persoanelor responsabile. Rezultatele verificării vor fi comunicate ANAF în vederea reluării accesului

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Societatea civila contestă legalitatea implementării tehnologiei de recunoaștere facială

Juridic / Legislativ

Vizualizari: 8340

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Mai multe organizații nonguvernamentale au transmis autorităților o SCRISOARE DESCHISĂ prin care îți exprimă îngrijorarea cu privire la respectarea principiilor fundamentale ce țin de respectarea vieții private, prin punerea în aplicare a sistemului de recunoaștere facială ce urmează a fi achiziționat de Inspectoratul General al Poliției Române, formulând totodată mai multe cereri în mod public.

„Subliniem faptul că organizațiile semnatare nu se poziționează împotriva implementării de noi tehnologii menite să aducă un plus de siguranță locuitorilor României, susținând în schimb o abordare responsabilă a acestora, respectând dreptul la viață privată, conform legislației naționale și europene aplicabile.”

Redactarea caietului de sarcini desconsiderând obligațiile privind instituirea unor garanții adecvate pentru drepturile și libertățile persoanelor va avea drept consecință achiziția unui sistem de recunoaștere facială care nu va putea fi folosit în condiții de legalitate.

„Inspectoratul General al Poliției Române, din subordinea Ministerului Afacerilor Interne, trebuia să facă o analiză de impact înainte de a demara orice acțiune legată de prelucrarea datelor cu caracter personal, cum ar fi achiziționarea aplicației software, și să includă criterii fundamentale care să asigure respectarea principiilor “privacy by design” și ”privacy by default”, se arată în scrisoare deschisă.

Organizațiile semnatare consideră că decizia implementării unui sistem de monitorizare în masă, care vizează toți locuitorii României, ar fi trebuit luată, conform cerințelor legale, în urma unui proces real și transparent de evaluare a riscurilor, care să implice atât Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, cât și societatea civilă.

"Lipsa acestui proces ne determină să privim cu scepticism atât legalitatea implementării acestui sistem, cât și capacitatea de a-și îndeplini scopul fără a aduce atingeri drepturilor tuturor locuitorilor României.", concluzionează semnatarii.

Pentru conformitatea soluției tehnice ONG-urile solicită analiza următoarele acțiuni propuse:

  1. anularea procedurii de achiziție în cauză;
  2. identificarea sau elaborarea unui cadru legal care să reglementeze expres un astfel de sistem de monitorizare în masă;
  3. efectuarea unei evaluări a impactului prelucrărilor de date pentru acest tip de prelucrare;
  4. consultarea societății civile cu privire la utilizarea unui sistem de recunoaștere facială;
  5. consultarea autorității cu privire la rezultatul evaluării impactului prelucrărilor pentru a stabili împreuna cu aceasta măsurile corespunzătoare care vor fi instituite pentru protejarea drepturilor, a libertăților și a intereselor legitime ale persoanei vizate;
  6. redactarea unui nou Caiet de sarcini care să cuprindă cerințe exprese privind măsurile tehnice și organizatorice pe care sistemul trebuie sa le cuprindă încă din momentul conceperii;
  7. stabilirea la cel puțin 70% a ponderii criteriului de selecție privind „Eficacitatea algoritmului de căutare/comparare”, acesta fiind de departe cel mai important aspect al acestui sistem;
  8. impunerea de criterii de selecție în ceea ce privește demonstrarea capacității tehnice și profesionale prin solicitarea demonstrării existenței unei experiențe similare prin implementarea unui sistem similar și solicitarea de recomandări emise de beneficiari, precum și solicitarea dovezilor privind deținerea unui specialist în data privacy care va asista pe toată perioada de implementare a sistemului și a training-ului personalului autorității contractante.

Organizațiile care au înaintat scrisoarea deschisa autorităților sunt:

dpo-NET.ro a tras un semnal de alarmă asupra riscurilor și a controverselor asociate utilizării acestui tip de sistem de monitorizare în masă într-un articol publicat în urmă cu o lună, în care am analizat și trendurile contradictorii în ceea ce privește utilizarea acestei tehnologii la nivel mondial.

Ne bucurăm că un subiect atât de sensibil și totodată atât de important nu a trecut neobservat de societatea civila.

Vom urmări îndeaproape efectele acestei scrisori deschise, cu speranța că autoritățile vor luat în serios acest demers și vor înțelege, în cel de-al 12-lea ceas, că ignorarea obligațiilor legale ce le revin atunci când discutăm despre implementarea unei asemena tehnologii va avea efectul mărului otrăvit, împingând spre noi borne neîncrederea populației în capacitatea Poliției Române de a le asigura siguranța.

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

NOU! Consultă Registrul Amenzilor GDPR pentru mai multe informații despre sancțiunile acordate în baza Regulamentului 2016/679


Acest articol este protejat de către dispoziţiile legale incidente și este interzisă copierea, reproducerea, recompilarea, modificarea, precum şi orice modalitate de exploatare a acestuia. Articolele publicate pe DPO-NET.RO pot fi preluate doar în limita a maxim 500 de caractere, fără a depăşi jumătate din totalul de caractere, şi cu citarea obligatorie a sursei, cu link activ. Orice abatere de la această regulă constituie o încălcare a Legii 8/1996 privind dreptul de autor. Dacă sunteţi interesaţi de preluarea ştirilor și articolelor publicate pe DPO-NET.RO, vă rugăm să ne contactati.

Decizie CJUE. Furnizorii de servicii de internet obligați să elimine conținutul ilicit 

La nici două zile după ce Curtea de Justiție a Uniunii Europene a confirmat faptul că check-box-urle pre-bifate sunt insuficiente, fiind necesar acordul activ al utilizatorilor pentru stocarea […]

Guvernul dorește îngreunarea accesului la informații publice

APADOR-CH (Asociaţia pentru Apărarea Drepturilor Omului în România, Comitetul Helsinki) atrage atenția print-o postare pe site-ul său asupra faptului că „Secretariatul General al Guvernului vrea ca cetățenii care […]

Decizie CJEU: Stocarea cookie-urilor necesită acordul activ al utilizatorilor. Check-box-urle pre-bifate sunt insuficiente!

Stocarea cookie-urilor necesită „acordul activ” din partea utilizatorilor de internet, a hotărât Curtea de Justiție a Uniunii Europene marți (1 octombrie). Decizia a venit în urma  litigiului dintre […]

Google obligată să respecte „Dreptul de a fi uitat“ doar pe teritoriul UE

Curtea de Justiție a Uniunii Europene a decis că Google nu trebuie să aplice dreptul de a fi uitat la nivel global, relatează BBC Înseamnă că motorul de […]

Cum păstrăm evidența activităților de prelucrare? Bonus: FORMULAR GRATUIT

Evidența activităților de prelucrare este pilonul central al proiectului implementării GDPR. Atunci când pornim pe lungul traseu al conformității GDPR important este primul pas pe care îl facem. […]

De ce românilor nu le pasă de viața lor privată ?

La începutul săptămânii trecute citeam despre implementarea unui sistem de recunoaștere facială care va folosi camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare și camere […]

Românii vor fi monitorizați de un sistem de recunoașterea facială

Camerele de monitorizare video (CCTV), webcam-urile, telefoane mobile, rețele de socializare, camere ATM din România vor fi monitorizate de un sistem de recunoaștere facială. Controversele din jurul acestei tehnologii […]

Cine sunt campionii GDPR Summer Challenge 2019 ?

68 de participanți, grupati in 14 echipe, au luat startul in concursul GDPR Summer Challenge 2019 GDPR Summer Challenge este o competitie organizata de Dpo-NET.ro – Data Protection […]

A început GDPR Summer Challenge 2019!

68 de participanți din 14 echipe au luat startul in concursul GDPR Summer Challenge 2019. GDPR Summer Challenge este o simulare de caz la care participă mai multe […]

GDPR Summer Challenge este pregătit de lansare!

Sâmbătă, 10 August 2019, începe primul concurs național din România destinat aprofundarii și mai ales verificării cunoștințelor în domeniul protecției datelor. Scopul este ca participantii să dobândească cât […]

Te-ai înscris la GDPR Summer Challenge?

Peste 50 de persoane s-au înscris până acum în concursul „GDPR Summer Challenge”, motiv pentru care organizatorii au decis creșterea numărului de membrii într-o echipă la 5 persoane, […]

Înscrie-te acum la GDPR Summer Challenge!

Acceptă GDPRovocarea acestui sfârșit de vară! 5 echipe formate din pasionați de GDPR vor concura pentru titlul de GDPR Summer Challenge Champion 2019. Nu este doar un concurs, […]

Atenție la falsele certificări GDPR!

Înainte de a parcurge acest articol-manifest vă invit să răspundeți singuri la o întrebare: „Dacă ideea de a fi tratat de un fals doctor vă înspăimântă, v-ați lăsa […]

Ce facem după atacutile cibernetice asupra spitalelor românești? Nimic?

Spitalele sunt o țintă a atacurilor ransomware în toată lumea, nu doar în România. Foarte multe astfel de incidente au fost raportate de spitale în ultimii ani și […]

Decizia Curții de Apel Iași: GDPR NU împiedică accesul la informații publice

Unul dintre miturile ce au luat naștere odată cu intrarea în vigoare a Regulamentului General Pentru Protecția Datelor (GDPR) este că acesta va restricționa accesul la date personale. […]

Regulamentul UE privind securitatea informatică intră în vigoare la 27 iunie 2019

“Regulamentul (UE) 2019/881 al Parlamentului European și al Consiliului din 17 aprilie 2019 privind ENISA și privind certificarea securității cibernetice pentru tehnologia informației și comunicațiilor și de abrogare […]

„Directiva UE privind Drepturile de Autor: un pas inainte, doi pasi inapoi” ?

Noile reguli, propuse inițial cu mai mult de doi ani în urmă, dar aprobate în sfârșit de Parlamentul European în luna martie 2019 și Comisia Europeană în luna […]

Booking.com isi actualizează Politica de Confidențialitate

„Dorim să ajutăm la îmbunătățirea serviciilor tuturor brandurilor Booking Holdings, dezvoltarea de noi mărci și să vă oferim serviciile de care aveți nevoie și pe care le doriți. […]

[1 Aprilie 2019]: O mare firma de recrutare din România, iese din afaceri, acuzând GDPR

Acest articol este un pamflet si trebuie tratat ca atare.    Recruiting Great People SRL, agenție de recrutare cu peste 50 de ani de activitate in România,  a […]

ASCPD: Știrile false, adevărate bombe invizibile

În contextul Zilei Internaționale a Păcălelilor, anunțul Asociației Specialiștilor în Confindențialitate și Protecția Datelor (ASCPD) prin care se anunța lansarea pe data de 1 Aprilie 2019 a unei […]