Regulamentul european privind protecția persoanelor fizice în prelucrarea datelor cu caracter personal va trebui aplicat începând cu 25 mai și în România. Astăzi, Camera Deputaților a adoptat proiectul de lege cu măsuri de punere în aplicare a acestuia, prezentat în premieră de Profit.ro. Deputații au modificat însă proiectul, stabilind că autoritățile și organismele publice care încalcă prevederile GDPR vor avea o perioadă de până la 6 luni pentru remedierea situației, conform unui plan propus de Autoritatea de supraveghere. O modificare importantă pentru firme constă în posibilitatea realizării de profiluri prin prelucrarea datelor personale, cu consimțământul explicit al persoanei vizate. Soluțiile pentru aplicarea noilor reguli vor fi anunțate și detaliate la WeLoveDigital.forum, unde vor veni experți, factori de decizie guvernamentală și cei mai puternici jucători în domeniu.
Conferința va fi organizată pe parcursul a două zile, pe 21-22 mai, la hotel Intercontinental din București.
Detalii pot fi aflate AICI
Proiectul prevede că angajatorii nu-și vor putea monitoriza angajații decât după informarea lor prealabilă, firmele din domeniul prelucrării datelor vor desemna un responsabil pentru protecția datelor, iar amenzile pentru nerespectarea normelor în domeniu de către instituții publice vor fi de cel mult 200.000 lei.
Proiectul a fost adoptat acum de Camera Deputaților, urmând să fie transmis spre adoptare și Senatului, forul decizional al Parlamentului în domeniu.
Deputații au stabilit însă o serie de măsuri în privința aplicării măsurilor corective autorităţilor şi organismelor publice care nu respectă prevederile Regulamentului.
Astfel, conform modificărilor aduse de deputați, în cazul constatării încălcării prevederilor Regulamentului de către autorităţi sau organisme publice, Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) va încheia un proces-verbal de constatare și sancţonare a contravenţei prin care este aplicată sancţunea mustrării și la care anexează un plan de remediere.
Termenul de remediere va fi stabilit în funcţe de riscurile asociate prelucrării, precum şi demersurile necesar a fi îndeplinite pentru asigurarea conformităţi prelucrării. Acest termen va fi cuprins între 60 și 180 de zile de la data comunicării procesului-verbal de constatare și sancţionare a contravenţei, în care autoritatea sau organismul public are posibilitatea remedierii neregulilor constatate și îndeplinirii obligaţilor legale.
În termen de 10 zile de la data expirării termenului de remediere, ANSPDCP poate să reia controlul, iar în cazul în care autoritatea sau organismul public constată că nu poate îndeplini în termenul stabilit, din motive întemeiate, o parte din măsurile dispuse prin planul de remediere, notifică ANSPDCP cu privire la acest aspect cu cel puţin10 zile înainte de expirarea termenului, putând solicita totodată prelungirea termenului iniţal.
ANSPDCP analizează solicitarea de prelungire a termenului și comunică răspunsul autorităţii sau organismului public în termen de 7 zile de la primirea cererii.
Dacă ANSPDCP consideră justificată cererea autorităţii sau organismului public poate prelungi termenul de remediere cu până la 30 de zile, în caz contrar putând relua controlul.
Modelul planului de remediere care se anexează la procesul-verbal de constatare și sancţionare a contravenţei este cel de mai jos.
O altă modificare importantă adusă de deputați este introducerea posibilității prelucrării datelor genetice, biometrice sau a datelor privind sănătatea, în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri, cu consimțământul explicit al persoanei vizate sau dacă prelucrarea este efectuată in temeiul unor dispoziţi legale exprese, cu instituirea unor măsuri corespunzătoare.
Proiectul prevedea inițial o interdicție expresă în acest sens. În mod particular, proiectul de lege stabilea că prelucrarea datelor genetice, biometrice sau a datelor privind sănătatea, în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri este interzisă, cu excepția prelucrărilor efectuate de către sau sub controlul autorităților publice, în limitele puterilor ce le sunt conferite prin lege și în condițiile stabilite de legile speciale care reglementează aceste materii, care să prevadă și garanții adecvate pentru persoana vizată.
”Interdicția nu va putea fi ridicată prin consimțământul persoanei vizate”, stabilea proiectul dar deputații PNL au obținut modificarea prevderii, subliniind că ar fi blocat sectoare întregi din mediul privat, precum serviciile online de sănătate sau asigurările în domeniu.
Deputații au mai stabilit că minimul amenzii contravenționale va fi de 10.000 lei, maximul fiind de 100.000 lei în cazul unei contravevnții, dar au păstrat limita maximă a cumulului amenzilor la 200.000 lei. În acest sens, aleșii au stabilit că sancţiunile contravenţionale principale sunt avertismentul scris și amenda contravenţonală, și nu mustrarea și amenda cum prevedea inițial proiectul.
Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date va intra în vigoare în toate statele membre începând cu 25 mai. Ca de obicei, în astfel de cazuri, autoritățile au pregătit doar cu puțin timp înainte de intrarea în vigoare un proiect de lege care introduce unele măsuri, în plan național, de punere în aplicare a Regulamentului.
Cum Comisia Europeană permite autorităților locale să adapteze la legislația națională anumite prevederi, autoritățile române au luat în considerare cazul românului concediat de angajator pentru că discuta cu logodnica pe internet. Marea Cameră a CEDO a decis că angajatorul ar fi trebuit să îl avertizeze pe angajat că îi sunt monitorizate comunicațiile folosite la serviciu.
Prin urmare, potrivit proiectului de lege pregătit de autoritățile române, în cazul în care sunt utilizate sisteme de monitorizare prin mijloace de comunicații electronice sau prin mijloace de supraveghere video la locul de muncă, prelucrarea datelor cu caracter personal ale angajaților, în scopul realizării intereselor legitime urmărite de angajator, va fi permisă numai dacă este vorba de activități de importanță deosebită, ngajatorul a realizat informarea prealabilă obligatorie, completă și în mod explicit a angajaților și a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare.
De asemenea, monitorizarea este permisă dacă alte forme și modalități mai puțin intruzive pentru atingerea scopului urmărit de angajator nu și-au dovedit anterior eficiența.
Durata de stocare a datelor cu caracter personal obținute astfel nu va putea fi mai mare de de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate.
Firmele, autoritățile sau instituțiile care prelucrează date cu caracter personal vor avea obligația desemnării unui responsabil cu protecția datelor, prevede în mod explicit proiectul de lege.
Conform estimărilor agențiilor în domeniu, afacerile a peste 340.000 de firme din România, reprezentând 40% din numărul total al persoanelor juridice înregistrate, vor fi influențate semnificativ de noile reglementări europene privind prelucrarea datelor cu caracter personal.
Sunt vizate, în special, companiile multinaționale, agențiile de marketing și publicitate, firmele de sondare a opiniei publice, băncile și firmele din domeniul informațiilor și al comunicațiilor.
Autoritățile permit însă anumite derogări de la regimul de protecție a datelor cu caracter personal în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare, respectiv în scopuri de cercetare științifică sau istorică, în scopuri statistice ori în scopuri de arhivare în interes public.
Pentru încălcarea unui ordin emis de autoritatea de supraveghere în domeniul prelucrării datelor, regulamentul European prevede amenzi administrative de până la 20 milioane de euro sau, în cazul unei firme, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându-se în calcul cea mai mare valoare.
Autoritățile române au prevăzut însă că în cazul organismelor publice - Parlamentul, Administrația Prezidențială, Guvernul, ministerele, celelalte organe de specialitate ale administrației publice centrale, autoritățile și instituțiile publice autonome, autoritățile administrației publice locale și de la nivel județean, alte autorități publice, precum și instituțiile din subordinea/coordonarea acestora – amenzile vor fi limitate la 100.000 lei, pentru nerespectarea procedurilor de certificare, sau de 200.000 de lei pentru încălcarea principiilor de prelucrare, inclusiv privind consimțământul sau transferul de date.
Indiferent însă dacă este vorba de firme sau organisme publice, constatarea contravențiilor și aplicarea sancțiunilor contravenționale, precum și a celorlalte măsuri corective prevăzute de regulamentul european, vor fi realizate de Autoritatea națională de supraveghere. În funcție de circumstanțele fiecărui caz în parte, Autoritatea națională de supraveghere poate impune mustrare sau amendă.
Proiectul de lege prevede și măsuri tranzitorii privind soluționarea sesizărilor înregistrate înainte de intrarea în vigoare a regulamentului, adică înainte de 25 mai.
Astfel, noile prevederi se vor aplica și sesizărilor înregistrate înainte de 25 mai și aflate în curs de soluționare, dar dacă regulamentul european și legea menționată prevăd o sancțiune mai gravă, contravenția săvârșită anterior datei de 25 mai va fi sancționată conform dispozițiilor actelor normative în vigoare la data săvârșirii acesteia.
Regulamentul european privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal poate fi consultat AICI.
