Învață GDPR!

Evaluarea de impact trebuie făcută înainte de colectarea datelor cu caracter personal?

În cazul în care sunt identificate prelucrări de date cu caracter personal susceptibile de a prezenta riscuri ridicate pentru drepturile și libertăţile persoanelor fizice, operatorul sau persoana împuternicită va efectua o evaluare a impactului asupra protecţiei datelor, în condiţiile art. 35 din Regulamentul General privind Protecţia Datelor.Evaluarea impactului asupra protecţiei datelor se realizează anterior colectării datelor cu caracter personal și efectuării prelucrării.

Este permisă prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă?

Prelucrarea acestor categorii de date este permisă numai în condițiile prevăzute la art. 9 alin. (2) din Regulamentul (UE) 2016/679. Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor), prevede la art. 3 alin. (1) că „prelucrarea datelor genetice, biometrice sau a datelor privind sănătatea, în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri, este permisă cu consimțământul explicit al persoanei vizate sau dacă prelucrarea este efectuată în temeiul unor dispoziții legale exprese, cu instituirea unor măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate”.

Ce ghiduri nu a emis Comitetul European pentru protecția datelor?

Comitetul european pentru protecția datelor a adoptat și dat publicității, o serie de ghiduri: Ghidul privind responsabilul pentru protecția datelor; Ghidul privind consimțământul; Ghidul privind dreptul la portabilitatea datelor; Ghidul privind transparența, Ghidul privind evaluarea de impact; Ghidul privind stabilirea autorității de supraveghere principale a operatorului sau a persoanei împuternicite de operator; Ghidul privind notificarea încălcărilor de securitate; Ghidul privind deciziile automate individuale și profilare; Orientări privind derogările prevăzute la art. 49 din Regulamentul (UE) 2016/679.

Regulamentul (UE) 2016/679 se aplică prelucrării datelor cu caracter personal atunci când activitatea operatorului nu intră sub incidența dreptului uniunii?

Regulamentul (UE) 2016/679 nu se aplică prelucrării datelor cu caracter personal: în cadrul unei activități care nu intră sub incidența dreptului Uniunii; de către statele membre atunci când desfășoară activități legate de politica externă și de securitatea comună a Uniunii; de către o persoană fizică în cadrul unei activități exclusiv personale sau domestice; de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor, al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora; acestea sunt reglementate de Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977 a Consiliului.

Comunicarea responsabilul cu protecția datelor, către autoritatea de supraveghere se face

Comunicarea responsabilului cu protecția datelor se realizează prin completarea formularului de declarare a responsabilului cu protecția datelor existent pe site-ul autorității la Secțiunea „Responsabilul cu protecția datelor”. În situația în care grup de întreprinderi sau mai multe autorități sau organisme publice desemnează un responsabil cu protecția datelor unic, fiecare operator sau persoană împuternicită va completa formularul de declarare a responsabilului cu protecția datelor existent pe site-ul autorității la Secțiunea „Responsabilul cu protecția datelor”.

În cât timp notific încălcările de securitate?

Cu excepţia cazului în care este puţin probabil ca o încălcare a securităţii datelor cu caracter personal să genereze un risc pentru drepturile şi libertăţile persoanelor fizice, operatorul are obligația de a notifica autorităţii de supraveghere orice încălcare a securităţii datelor, fără întârzieri nejustificate şi, dacă este posibil, în termen de cel mult 72 de ore de la data la care a luat cunoştinţă de aceasta.

Potrivit măsurilor de punere în aplicare a Regulamentului (UE) 2016/679, Biserica Ortodoxă Română este considerată autoritate și/sau organism public?

Autoritățile și organismele publice sunt: Camera Deputaților, Senatul, Administrația Prezidențială, Guvernul, ministerele, celelalte organe de specialitate ale administrației publice centrale, autoritățile și instituțiile publice autonome, autoritățile administrației publice locale și de la nivel județean, alte autorități publice, instituțiile din Subordinea/coordonarea celor de mai sus. Sunt asimilate autorităților/organismelor publice și unitățile de cult și asociațiile și fundațiile de utilitate publică potrivit art. 2 alin. (1) lit. a din Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE)

Dacă operatorul nu mai poate să demonstreze faptul că persoana vizată și-a dar consimțământul, mai poate să continue prelucrarea datelor acesteia?

Potrivit art. 7 alin. (1) din Regulament, operatorul trebuie să fie în măsură să demonstreze faptul că persoana vizată și-a dat consimțământul pentru operațiunea de prelucrare a datelor cu caracter personal.

Se poate desemna un responsabil cu protecția datelor cu caracter personal pentru mai mulți operatori economici?

Art. 37 din Regulamentul (UE) 2016/679 alin. (2)  permite unui grup de întreprinderi să numească un responsabil cu protecția datelor unic, cu condiția ca acesta să fie „ușor accesibil din fiecare întreprindere”. Noțiunea de accesibilitate se referă la sarcinile responsabilului cu protecția datelor ca punct de contact în ceea ce privește persoanele vizate, autoritatea de supraveghere, dar și pe plan intern în cadrul organizației, având în vedere că una dintre sarcinile responsabilului este de informare și consiliere a operatorului și persoanei împuternicite de operator, precum și a angajaților care se ocupă de prelucrarea cu privire la obligațiile care le revin în temeiul Regulamentului (UE) 2016/679. alin. (3)  permite, de asemenea, desemnarea unui responsabil cu protecția datelor unic pentru mai multe autorități sau organisme publice, luând în considerare structura organizatorică și dimensiunea acestora.

Retragerea consimțământului poate fi făcută imediat după ce acesta a fost dat?

Art. 7 alin. (3) din Regulament prevede faptul că retragerea consimțământului se face la fel de simplu ca și acordarea acestuia. În situația în care consimțământul este retras, operatorul are obligația de a șterge, fără întârzieri nejustificate, toate datele cu caracter personal ale persoanei vizate care și-a exercitat dreptul prevăzut la art. 17 alin. (1) lit. b) din Regulament.