Autoritatea Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat o investigație la Asociația de proprietari Militari R, comuna Chiajna, județul Ilfov, în cadrul căreia a constatat încălcarea anumitor dispoziții din Regulamentul General privind Protecția Datelor.

Astfel, asociația de proprietari a fost sancționată pentru faptul că nu a adus la îndeplinire măsura corectivă dispusă de a transmite răspuns la solicitările Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, încălcându-se astfel instrucțiunile instituției noastre, fapta prevăzută de art. 83 alin. (5) din Regulamentul (UE) 679/2016. Ca atare, operatorul a fost sancționat cu amendă în cuantum de 9659 lei, echivalentul sumei de 2000 EURO;

Totodată, asociației de proprietari i s-a aplicat și o măsură corectivă, de a transmite în scris Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal toate informațiile solicitate prin adresa comunicată anterior, în termen de 5 zile calendaristice, în temeiul art. (58) alin. (1) lit. a) și e) din Regulamentul Regulamentul (UE) nr. 679/2016.

Sancțiunile au fost aplicate ca urmare a unei plângeri prin care petentul a reclamat faptul că nu i s-a răspuns la cererea transmisă asociației de proprietari.

Raportul de activitate al ANSPDCP aferent anului 2019 a fost postat in data de 28 Septembrie 2020 pe site-ul instituției și conține o prezentare sintetică a activităților Autorității, fiind structurat în concordanță cu principalele competențe ale ANSPDCP, în următoarele capitole:

Activitatea de avizare, consultare și informare publică

În anul 2019, Autoritatea naţională de supraveghere a emis avize asupra unui număr de 53 de proiecte de acte normative elaborate de instituţii şi autorităţi publice care implicau aspecte complexe privind prelucrarea datelor cu caracter personal, în baza atribuțiilor prevăzute de art. 57 alin. (1) lit. c) din Regulamentul (UE) 2016/679. Astfel, proiectele au fost transmise de către unele ministere, precum Ministerul Afacerilor Interne, Ministerul Muncii și Justiției Sociale, Ministerul Turismului, Ministerul Justiției, dar și de către alte autorități sau instituții publice, cum ar fi Autoritatea Electorală Permanentă, Oficiul Naţional de Prevenire şi Combatere a Spălării Banilor, Agenția Națională a Funcționarilor Publici. În același timp, Ministerul pentru Relația cu Parlamentul a solicitat punctul de vedere al Autorității naţionale de supraveghere cu privire la diferite propuneri legislative promovate de senatori și deputați. Pentru majoritatea proiectelor, Autoritatea naţională de supraveghere a apreciat că este necesară completarea/modificarea textelor respective, fiind efectuate o serie de observații și propuneri, ținând cont de necesitatea armonizării unor dispoziții din proiectele respective cu principiile și condițiile de prelucrare a datelor cu caracter personal.

Autoritatea națională de supraveghere a emis în anul 2019 un număr total de 1156 de puncte de vedere. Față de anul 2018, când au fost emise 778 de puncte de vedere, în acest an se poate observa o creștere semnificativă a numărului de solicitări ( peste 30%), ceea ce relevă interesul crescut al celor operatorilor și împuterniciților în asigurarea respectării regulilor de prelucrare a datelor personale instituite de Regulamentul (UE) 2016/679 și de legislația națională conexă.

Unele dintre cazurile semnificative supuse atenției Autorității naționale de supraveghere sunt prezentate în continuare, astfel:

1. În mai multe situații, s-a solicitat punctul de vedere al Autorității naționale de supraveghere cu privire la prelucrarea codului numeric personal de către unitățile de cazare.
2. O persoană fizică a solicitat un punct de vedere cu privire la condițiile în care se pot face dezvăluiri de date din Registrul Național de Evidență a Persoanelor (R.N.E.P.) gestionat de D.E.P.A.B.D.
3. Mai mulți operatori de date din mediul privat au solicitat punctul de vedere al Autorității naționale de supraveghere cu privire la prelucrarea datelor cu caracter personal prin utilizarea unor sisteme de localizare GPS.
4. Mai multe entități din domeniul privat au solicitat punctul de vedere al Autorității naționale de supraveghere cu privire la transferul datelor cu caracter personal către un stat terț în baza contractelor cu clauze standard.
5. Supravegherea video efectuată în spații publice de către o poliție locală utilizată în scopul monitorizării propriilor angajați.
6. Prelucrarea datelor în contextul comunicărilor comerciale prin mijloace electronice.
7. Publicarea datelor pe Internet de către autorități și instituții publice.
8. Prelucrarea datelor personale de către furnizorii de servicii de sănătate
9. Prelucrarea datelor în contextul asigurării accesului la informațiile de interes public și a libertății de exprimare
10. Stabilirea calității de operator – împuternicit – operatori asociați
11. Obligația întocmirii unei evaluări a impactului asupra protecţiei datelor.
12. Accesul registratorilor medicali la datele medicale prelucrate de către un furnizor de servicii de sănătate.
13. Date biometrice – tehnici de recunoaștere facială.
14. Stabilirea de termene de stocare a datelor în contextul recrutării personalului.
15. Consimțământul persoanei vizate în contextul furnizării serviciilor de sănătate

Puncte de vedere

1. Puncte de vedere solicitate în contextul cooperării prin Sistemul IMI
2. Puncte de vedere privind unele cauze aflate pe rolul Curții de Justiție a Uniunii Europene
3. Puncte de vedere exprimate în contextul analizării codurilor de conduită

În anul 2019 nu au fost aprobate de către Autoritatea națională de supraveghere coduri de conduită ale asociațiilor profesionale. După punerea în aplicare a Regulamentul (UE) 2016/679, Autoritatea națională de supraveghere a primit și analizat un număr de 11 proiecte de coduri de conduită, care au vizat, în principal, următoarele domenii de activitate: bănci, asigurări și reasigurări, birou de credit, pensii administrate privat, executori judecătorești, notari, detectivi particulari, jocuri de noroc. Asupra tuturor proiectelor de coduri au fost efectuate observații și propuneri, fiind necesară punerea în acord a acestora cu Regulamentul (UE) 2016/679 și Orientările nr. 1/2019 privind codurile de conduită și organismele de monitorizare prevăzute în Regulamentul (UE) 2016/679 emise de Comitetul european pentru protecția datelor, inclusiv sub aspectul organismului de monitorizare. Având în vedere că cerințele de acreditare a organismelor de monitorizare urmează să fie elaborate, fiind necesară îndeplinirea procedurii de consultare a Comitetului european pentru protecția datelor, Autoritatea națională de supraveghere aprobă codurile de conduită care respectă prevederile art. 40 și 41 din Regulamentul (UE) 2016/679 și Ghidul nr. 1/2019 al Comitetului european pentru protecția datelor.

    4. Puncte de vedere exprimate în contextul analizării evaluărilor de impact

Activitatea de analiză și soluționare a plângerilor prealabile

În anul 2019 au fost depuse la Autoritatea națională de supraveghere un număr de 51 de plângeri prealabile. În acest context, precizăm faptul că, potrivit art. 21 alin. (6) din Legea nr. 102/2005,
republicată, în măsura în care persoana vizată este nemultumită de răspunsul primit ca urmare a depunerii plângerii sale la Autoritatea națională de supraveghere, aceasta se poate adresa secţiei de contencios administrativ a tribunalului competent, după parcurgerea procedurii prealabile prevăzute de Legea contenciosului administrativ nr. 554/2004, cu modificările şi completările ulterioare. Așadar, dintre plângerile prealabile formulate în condițiile legii, urmare a reanalizării susținerilor și dovezilor transmise de către petenți, au fost admise un număr de 15 plângeri, raportat la aspectele semnalate de către persoanele vizate în cauză.

Activitatea de monitorizare și control

In anul 2019, Autoritatea națională de supraveghere a primit un număr total de 6193 de plângeri, sesizări și notificări privind incidente de securitate, pe baza cărora au fost deschise 912 investigații.
Ca urmare a investigațiilor efectuate, au fost aplicate 28 de amenzi în cuantum total de 2.339.291,75 lei. De asemenea, au mai fost aplicate 134 de avertismente și au fost dispuse 128 de măsuri corective.

În ceea ce privește incidentele de securitate, în anul 2019, operatorii de date au transmis un număr de 233 de notificări, atât în temeiul Regulamentului (UE) 2016/679, cât și al Legii nr. 506/2004 și au vizat, în principal, următoarele aspecte: dezvăluirea neautorizată a datelor cu caracter personal; pierderea trimiterilor poștale; indisponibilitatea datelor cu caracter personal; accesul neautorizat la sistemele de supraveghere video cu circuit închis (CCTV); accesul ilegal la datele personale ale clienților în sistemul bancar.

Totodată, sesizările privind posibile neconformități cu dispozițiile Regulamentului (UE) 2016/679 s-au ridicat la un număr de 152 și au avut ca obiect aspecte precum: lipsa măsurilor de securitate a prelucrărilor de date; prezența camerelor de supraveghere video; publicarea datelor cu caracter personal în mediul online.

Ca urmare a sesizărilor primite și încălcărilor de securitate notificate de către operatorii de date cu caracter personal, pe parcursul anului 2019, la nivelul Autorității Naționale de Supraveghere a fost deschis un număr de 385 de investigații din oficiu. Urmare a investigațiilor efectuate din oficiu, în anul 2019 au fost aplicate 11 amenzi în cuantum total de 2.099.124,95 lei (445.000 Euro), 14 avertismente și 13 măsuri corective.

FIȘE DE CAZ

1. Divulgare neautorizată de date cu caracter personal prin intermediul extraselor de cont/detaliilor tranzacțiilor
2. Acces neautorizat la datele cu caracter personal prelucrate prin aplicația informatică utilizată de către o instituție bancară în activitatea de creditare și divulgarea neautorizată a datelor cu caracter personal.
3. Neimplementarea unui proces pentru testarea, evaluarea şi aprecierea periodice ale eficacității măsurilor tehnice şi organizatorice pentru a garanta securitatea prelucrării
4. Divulgare neautorizată de date cu caracter personal prin intermediul e-mail-ului
5. Divulgare neautorizată a datelor pacienților
6. Încălcarea securității datelor cu caracter personal de către o societate de telefonie mobilă – transmitere eronată a facturilor prin e-mail
7. Încălcarea securității datelor cu caracter personal de către o societate de telefonie mobilă – accesare neautorizată a bazei de date
8. Încălcarea securității datelor cu caracter personal de către o societate de telefonie mobilă – divulgare neautorizată de date pe Internet
9. Pierderea unor documente în timpul transportului de către o societate care prestează servicii poștale
10. Obținerea consimțământul persoanelor vizate pentru prelucrarea datelor cu caracter personal la crearea unui cont pe website
11. Dezvăluirea listei de pasageri în mediul online
12. Dezvăluire de date pe website-ul unei societăți
13. Dezvăluirea datelor cu caracter personal ale clienților unei unități hoteliere în mediul online

Activitatea de soluţionare a plângerilor

În anul 2019, au fost primite 5808 plângeri (față de 4822 plângeri înregistrate în 2018), care au vizat, în principal, următoarele aspecte:

• dezvăluirea datelor cu caracter personal fără consimțâmântul persoanelor vizate;
• încălcarea drepturilor și a principiilor prevăzute de Regulamentul (UE) 2016/679;
• transmiterea de date la Biroul de Credit;
• instalarea de sisteme de supraveghere video la nivelul diverselor entități;
• primirea de mesaje comerciale nesolicitate;
• încălcarea măsurilor de securitate și confidențialitate a prelucrărilor de date personale, respectiv, neadoptarea de către operatori a măsurilor tehnice și organizatorice adecvate privind
  asigurarea securității prelucrărilor;
• nerespectarea condițiilor privind consimțământul în mediul online.

Pentru soluţionarea plângerilor primite, considerate admisibile, în anul 2019, au fost demarate 527 de investigații.
Urmare a investigațiilor efectuate pe baza plângerilor, au fost aplicate următoarele sancțiuni contravenționale :

• 17 amenzi, dintre care 14 în baza Regulamentului (UE) 2016/679, reprezentând un cuantum total de 210.166,8 lei (echivalentul sumei de 44.000 Euro, prin raportare la cursul de schimb valutar
  oficial al BNR de la data aplicării sancțiunii) și 3 amenzi în baza Legii nr. 506/2004, în cuantum total de 30.000 lei;
• 120 de avertismente.
• 115 măsuri corective în baza dispozițiilor art. 58 alin. (2) lit. c) și d) din Regulamentul (UE) 2016/679

Principalele constatări rezultate din activitatea de soluționare a plângerilor

FIȘE DE CAZ

1. Investigații referitoare la prelucrarea datelor cu caracter personal ale angajaților
2. Investigații privind încălcarea regulilor de confidențialitate și securitate a prelucrărilor de date
3. Investigații referitoare la prelucrarea datelor cu caracter personal de către asociații de proprietari
4. Nerespectarea măsurilor dispuse de Autoritatea națională de supraveghere
5. Investigați referitoare la nerespectarea drepturilor persoanelor vizat
6. Investigații referitoare la transmiterea de comunicări comerciale prin mijloace de comunicație electronică
7. Investigații referitoare la prelucrarea datelor cu caracter personal de către autoritățile publice
8. Dezvăluirea datelor cu caracter personal către diverse entități

Acest Raport conține repere statistice evidențiate în cadrul fiecărui capitol, inclusiv prin grafice comparative cu anii anteriori, cum sunt:

• numărul de investigații efectuate in total sau diferentiat (din oficiu, respectiv pe baza plângerilor),
• numărul de plângeri și sesizări primite,
• numărul măsurilor corective aplicate ( inclusiv amenzi),
• numărul de puncte de vedere emise, de litigii aflate pe rol, de coduri de conduită analizate,
• numărul de comunicate de presă, număr reguli corporatiste/IMI.

Raportul anual 2019 conține mai multe fișe de caz/spețe  referitoare la activitatea de investigare, precum și cele mai relevante puncte de vedere emise, care reflectă complexitatea activității desfășurate, prin raportare la atribuțiile instituției.

Redactia Dpo-NET.ro analizeaza deja acest raport si urmeaza sa publice o serie de articole pornind de la informatiile prezentate de ANSPDCP. 

Raportul poate fi descarcat de aici: https://www.dataprotection.ro/servlet/ViewDocument?id=1957

Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) România, în urma unei consultări cu toți membrii, a transmis către Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal, un document conținând 20 de propuneri de modificare a proiectului de  Decizie a ANSPDCP privind Cerințele suplimentare pentru acreditarea organismelor de certificare în temeiul art. 43 din Regulamentul (UE) 2016/679, care au fost elaborate cu consultarea Asociației de Acreditare din România - Renar și care urmează a fi transmise pentru aviz Comitetului European pentru Protecția Datelor, în concordanță cu art. 64 din Regulamentul (UE) 2016/679.

 “Salutăm și apreciem în mod deosebit inițiativa ANSPDCP de a supune acest proiect dezbaterii. Acest proces de certificare, prevăzut de art. 43 din Regulamentul (UE) 2016/679, este extrem de important pentru toți operatorii de date și certificarea GDPR va însemna confirmarea respectării de către o organizație a cerințelor unui standard în materie de protecția datelor. Companiile vor putea apela în mod voluntar la certificarea produselor, serviciilor sau proceselor pentru a demonstra că acestea au fost inspectate, verificate și aprobate de un organism de certificare. Scopul final al certificării este creșterea încrederii printre consumatori, parteneri și alți factori interesați, ceea ce poate deveni un avantaj concurențial major. Certificarea GDPR va reprezenta asumarea responsabilității asupra prelucrărilor de date, oferind un sentiment de siguranță clienților, partenerilor sau angajaților proprii, fapt ce va cimenta relația cu aceștia”, a declarat Marius Dumitrescu, Președintele ASCPD.

Certificarea GDPR va fi un proces similar obținerii certificărilor ISO, astfel ca pentru a dobândi această certificare, operatorii interesați vor trece printr-un proces care va urmări planificarea, controlul, evaluarea și corectarea proceselor organizației, astfel încât acestea să corespunda normelor standardului în materie de protecție a datelor. Articolele 42 și 43 din Regulament prevăd obiectivele, garanțiile și rolurile actorilor, împreună cu principiile generale pentru procesele de certificare și acreditare. Etapele procesului de certificare sunt determinate în GDPR și pot fi completate de etapele identificate în standardul ISO / IEC 17065.

Cu toate acestea, dincolo de prevederile generice, ar trebui să fie examinate certificările existente pentru a identifica cele mai bune practici. Aspecte precum gestionarea soluționării litigiilor, tehnicile de monitorizare a certificărilor acordate și politicile de sancționare sunt esențiale pentru dezvoltarea unor mecanisme de încredere pentru  certificarea în domeniul protecției datelor. Pentru operatori sau împuterniciți acestora, certificarea GDPR reprezinta o forma prin care organizația poate confirma bunele practici implementate în ceea ce privește protecția datelor, un plus de valoare care poate sa-i asigure dezvoltarea portofoliului de clienți.

Această certificare va fi voluntară, ceea ce înseamană că pe o piață puternic concurențială, aceasta poate reprezenta o forma de departajare față de competitori. Spre exemplu, un operator care dorește să externalizeze a anumită activitate ce include prelucrarea de date personale, va înclina spre contractarea unui împuternicit care deține o certificare GDPR, aceasta reprezentând o garanție suplimentară a responsabilității împuternicitului în ceea ce privește protecția datelor personale.

Nu în ultimul rând, certificarea GDPR va demonstra existența unor garanții adecvate oferite de operatorii sau de persoanele împuternicite de operatori, care nu fac obiectul Regulamentului GDPR, în cadrul transferurilor de date cu caracter personal către țări terțe sau organizații internaționale.

Despre Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) România

Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) este creată cu scopul de a informa și de a reuni profesioniștii care doresc să gestioneze cu succes punerea în aplicare a Regulamentului General privind Protecția Datelor 2016/679 și a legislației aferente, funcționând ca un organism consultativ profesionist pentru persoane și organizații. ASPDC este o organizație non-guvernamentală, autonomă, apolitică și non-profit care ajută la definirea, susținerea și îmbunătățirea profesiei de Responsabil în protecția datelor și a altor specialiști în domeniu și își desfășoară activitatea în conformitate cu prevederile OG nr. 26/2000.

ASCPD ghidează persoanele responsabile în protecția datelor și alți specialiști în domeniul confidențialității datelor în rezolvarea numeroaselor probleme juridice, tehnice și organizatorice pentru a obține un echilibru adecvat între interesele persoanelor vizate, care necesită protecție, și cele ale operatorilor.

Obiectivul ASCPD este de a oferi soluții concrete la problemele cu care se confruntă specialiștii în confidențialitate și protecția datelor, de a crește gradul de conștientizare a legislației și de a oferi membrilor săi un forum în care aceste subiecte să poată fi dezbătute, precum și un loc de pregătire profesională continuă. ASCPD militează pentru îmbunătățirea gradului de conștientizare cu privire la tehnologiile și legile care pun în pericol viață privată, pentru a se asigura că publicul este informat și implicat.

După o perioadă de 12 luni de monitorizare a activității ASCPD în România, membrii Confederației Organizațiilor Europene pentru Protecția Datelor (CEDPO) au avizat favorabil, în aprilie 2020, adeziunea organizației românești, devenind astfel cel de-al zecelea membru cu drepturi depline.

Confederația Organizațiilor Europene pentru Protecția Datelor (CEDPO) este o “organizație umbrelă” care reunește cele mai reprezentative asociații naționale de protecție a datelor din Uniunea Europeană. CEDPO a fost fondată în septembrie 2011 de Association Française des Correspondants à la Protection des Données à Caractère Personnel (AFCDP, Franța), Asociación Profesional Española de Privacidad (APEP, Spania), Gesellschaft fur Datenschutz und Datensicherheit eV (GDD, Germania) și Nederlands Genootschap van Functionarissen voor de Gegevensbescherming (NGFG, Olanda). Din momentul fondarii în 2011 și pană în momentul aderării Asociaţiei Specialiştilor în Confidenţialitate şi Protecţia Datelor (ASCPD), doar cinci organizații au mai fost invitate să se alăture Confederației: ADPO din Irlanda, ARGE Daten din Austria, ASSO DPO din Italia, SABI din Polonia si AEPT din Portugalia

Scopul acestei Confederații este de a promova rolul Responsabilului cu protecția datelor (DPO) și de a milita pentru un sistem de protecție a datelor echilibrat, bazat pe experiență practică și eficiență. În plus, CEDPO contribuie activ la o mai bună armonizare a legislației și a practicilor privind protecția datelor în Uniunea Europeană (UE) și în Spațiul Economic European (SEE), unind toate organizațiile membre într-o singură voce și valorificând astfel experiența bogată și diversă ale asociațiilor membre ale CEDPO, care dețin cunoștințe practice despre problemele care înconjoară rolul și poziția DPO, precum și provocările zilnice cu care se confruntă.

CEDPO este și un interlocutor activ pentru factorii de decizie europeni și autoritățile pentru protecția datelor în contextul adoptării și implementării Regulamentului general privind protecția datelor (GDPR),  propunerile sale jucând un rol important în definirea legislației actuale, în special în ceea ce privește reglementarea poziției și a rolului responsabilului cu protecția datelor (DPO). De asemenea, CEDPO a participat la modernizarea Convenției 108 a Consiliului Europei („Convenția pentru protecția persoanelor cu privire la prelucrarea automată a datelor cu caracter personal”), susținând o mai bună recunoaștere a rolului crucial pe care DPO îl joacă în protecția datelor în zilele noastre. Mai multe detalii despre proiectele asociației găsiți pe www.ascpd.ro