MEMENTO: Regulamentul GDPR privind protecţia datelor personale, în vigoare de mâine

Vineri, 25 mai 2018, intră în vigoare Regulamentul GDPR nr. 679/2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date. Vă prezentăm în continuare o sinteză a celor mai importante prevederi din act.

Când este legală prelucrarea datelor personale?

Potrivit art. 6 din Regulamentul GDPR, prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

• persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;
• prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;
• prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;
• prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;
• prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;
• prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil. (această prevedere nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor).

Dreptul de a fi uitat în mediul online

Potrivit GDPR, o persoană vizată ar trebui să aibă dreptul la rectificarea datelor cu caracter personal care o privesc și “dreptul de a fi uitată”, în cazul în care păstrarea acestor date încalcă Regulamentul, dreptul Uniunii sau dreptul intern sub incidența căruia intră operatorul.

În special, persoanele vizate vor avea dreptul ca datele lor cu caracter personal să fie șterse și să nu mai fie prelucrate, fără întârzieri nejustificate:

• în cazul în care acestea nu mai sunt necesare pentru scopurile în care sunt colectate / prelucrate;
• în cazul în care persoanele și-au retras consimțământul pentru prelucrare;
• în cazul în care persoanele se opun prelucrării datelor cu caracter personal care le privesc;
• în cazul în care prelucrarea datelor cu caracter personal nu este conformă cu Regulamentul.

Acest drept este relevant în special în cazul în care persoana vizată și-a dat consimțământul când era copil și nu cunoștea pe deplin riscurile pe care le implică prelucrarea, iar ulterior dorește să elimine astfel de date cu caracter personal, în special de pe internet. Persoana vizată trebuie să aibă posibilitatea de a-și exercita acest drept în pofida faptului că nu mai este copil.

Cu toate acestea, păstrarea în continuare a datelor cu caracter personal va fi legală în cazul în care este necesară:

• pentru exercitarea dreptului la libertatea de exprimare și de informare;
• pentru respectarea unei obligații legale;
• pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;
• din motive de interes public în domeniul sănătății publice, în scopuri de arhivare în interes public;
• în scopuri de cercetare științifică sau istorică ori în scopuri statistice;
• pentru constatarea, exercitarea sau apărarea unui drept în instanță.

Supravegherea video a angajaţilor

În data de 9 mai, Camera Deputaţilor a adoptat un proiect de lege care reglementează, printre altele, şi condiţiile în care firmele îşi pot monitoriza angajaţii prin sisteme de supraveghere video sau prin e-mail-ul de serviciu, tocmai în contextul transpunerii noilor directive europene GDPR. Deşi actul nu s-a încheiat încă parcursul legislativ şi măsurile nu se aplică momentan, reţinem prevederile enunţate în propunere.

Mai exact, în cazul în care sunt utilizate sisteme de monitorizare prin mijloace de comunicații electronice și/sau prin mijloace de supraveghere video la locul de muncă, prelucrarea datelor cu caracter personal ale angajaților, în scopul realizării intereselor legitime urmărite de angajator, este permisă numai dacă:

• interesele legitime urmărite urmărite de angajator sunt temeinic justificate și prevalează asupra intereselor sau drepturilor și libertăților persoanelor vizate;
• angajatorul a realizat informarea prealabilă obligatorie, completă și în mod explicit a angajaților;
• angajatorul a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare;
• alte forme și modalități mai puțin intruzive pentru atingerea scopului urmărit de angajator nu și-au dovedit anterior eficiența
• durata de stocare a datelor cu caracter personal este proporțională cu scopul prelucrării, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate.

Cum vor fi controlate firmele?

Cel mai recent proiect legislativ care transpune în România normele GDPR a fost adoptat de Senat chiar săptămâna aceasta, actul vizând, printre altele, şi modalitatea de desfăşurare a controalelor GDPR de către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

În cazul în care proiectul va trece şi de Preşedintele României, personalul de control al ANSPDCP va avea dreptul:

• să efectueze investigaţii, inclusiv inopinate;
• să ceară şi să obţină orice informaţii şi documente indiferent de suportul de stocare, de la operator şi persoana împuternicită de operator/reprezentantul acestora, la faţa locului şi/sau în termenul stabilit;
• să ridice copii de pe acestea;
• să aibă acces la oricare dintre incintele operatorului şi persoanei împuternicite de operator;
• să aibă acces şi să verifice orice echipament, mijloc sau suport de stocare a datelor, necesare desfăşurării investigaţiei, în condiţiile legii.

Ai nevoie de Regulamentul nr. 679/2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal? Poţi cumpăra actul la zi, în format PDF sau MOBI, de AICI!