Învață GDPR!

Pentru exercitarea unui contract în care persoana vizată este parte,  prelucrarea este legală fără consimțământul părții vizate?

Potrivit art 6 din Regulamentul (UE) 2016/679 prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una din condițiile prevăzute la alin. (1): a) când persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale pentru unul sau mai multe scopuri specifice; b) când prelucrarea este necesară pentru exercitarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract; c) când prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului; d) când prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice; e) când prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public  sau care rezultă din exercitarea autorității publice cu care este învestit operatorul; f) când prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil. Nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.

Care NU este unul dintre drepturile persoanei vizate?

La Capitolul III din Regulamentul (UE) 2016/679 sunt reglementate drepturile persoanei vizate: dreptul la informare (art. 13 și art. 14); dreptul de acces (art. 15); dreptul la rectificare (art. 16); dreptul la ștergere („dreptul de a fi uitat” – art. 17); dreptul la restricționarea prelucrării (art. 18); dreptul la portabilitatea datelor (art. 20 -); dreptul la opoziție (art. 21); dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată (art. 22 - pentru mai multe informații puteți accesa); dreptul de a depune o plângere la o autoritate de supraveghere (art. 77). Pentru exercitarea acestor drepturi, este necesar ca persoanele vizate să adreseze o cerere operatorului în acest sens. Operatorul furnizează persoanei vizate informaţii privind acţiunile întreprinse în cel mult o lună de la primirea cererii. Această perioadă poate fi prelungită cu două luni atunci când este necesar, ţinându-se seama de complexitatea şi numărul cererilor.

Este necesar să mai notific prelucrările de date? 

Având în vedere faptul că începând din data de 25 mai se aplică Regulamentul UE 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE, operatorii nu mai au obligația de notificare a prelucrărilor de date.

Este permisă prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă?

Prelucrarea acestor categorii de date este permisă numai în condițiile prevăzute la art. 9 alin. (2) din Regulamentul (UE) 2016/679. Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor), prevede la art. 3 alin. (1) că „prelucrarea datelor genetice, biometrice sau a datelor privind sănătatea, în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri, este permisă cu consimțământul explicit al persoanei vizate sau dacă prelucrarea este efectuată în temeiul unor dispoziții legale exprese, cu instituirea unor măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate”.

Este obligatorie notificarea încălcărilor de securitate?

Obligațiile pe care le au operatorii de date cu caracter personal sunt reglementate în Capitolul IV din Regulamentul 2016/679. Printre principalele obligații ale operatorului în aplicarea Regulamentului este și notificarea încălcărilor de securitate?. (art 33 din Regulament)

Operator de date cu caracter personal poate fi

Art. 4 din Regulamentul General Privind Protecția Datelor, „operator” înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal.

Răspus Corect

Ce înseamnă ANSPDCP?

Regulamentul (UE) 2016/679 se aplică prelucrării datelor cu caracter personal atunci când activitatea operatorului nu intră sub incidența dreptului uniunii?

Regulamentul (UE) 2016/679 nu se aplică prelucrării datelor cu caracter personal: în cadrul unei activități care nu intră sub incidența dreptului Uniunii; de către statele membre atunci când desfășoară activități legate de politica externă și de securitatea comună a Uniunii; de către o persoană fizică în cadrul unei activități exclusiv personale sau domestice; de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor, al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora; acestea sunt reglementate de Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977 a Consiliului.

Operatorii sunt obligați să țină o evidență a prelucrărilor de date?

Fiecare operator sau persoană împuternicită trebuie să păstreaze, atât în scris cât și în format electronic, o evidență a activităților de prelucrare. Această evidență trebuie să cuprindă toate informațiile prevăzute la art. 30 alin. (1) din Regulamentul General de Protecție a Datelor 2016/679. Alegerea modalităților de a păstra evidența prelucrărilor de date rămâne la latitudinea operatorilor, ținând cont de activitatea desfășurată până în prezent în domeniul datelor cu caracter personal. Evidența prelucrării cuprinde toate următoarele informații: - numele și datele de contact ale operatorului și, după caz, ale operatorului asociat, ale reprezentantului operatorului și ale responsabilului cu protecția datelor; - scopurile prelucrării; - o descriere a categoriilor de persoane vizate și a categoriilor de date cu caracter personal; - categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din țări terțe sau organizații internaționale; - dacă este cazul, transferurile de date cu caracter personal către o țară terță sau o organizație internațională, inclusiv identificarea țării terțe sau a organizației internaționale respective și, în cazul transferurilor menționate la articolul 49 alineatul (1) al doilea paragraf, documentația care dovedește existența unor garanții adecvate; - acolo unde este posibil, termenele-limită preconizate pentru ștergerea diferitelor categorii de date; - acolo unde este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la articolul 32 alineatul (1).

În cât timp notific încălcările de securitate?

Cu excepţia cazului în care este puţin probabil ca o încălcare a securităţii datelor cu caracter personal să genereze un risc pentru drepturile şi libertăţile persoanelor fizice, operatorul are obligația de a notifica autorităţii de supraveghere orice încălcare a securităţii datelor, fără întârzieri nejustificate şi, dacă este posibil, în termen de cel mult 72 de ore de la data la care a luat cunoştinţă de aceasta.