DOCUMENT Regulile pregătite în România pentru GDPR: Angajatorii vor monitoriza angajații doar după informare prealabilă, firmele vor alege un responsabil, amenzile pentru instituții publice vor fi limitate la 200.000 lei

Regulamentul european privind protecția persoanelor fizice în prelucrarea datelor cu caracter personal va trebui aplicat începând cu 25 mai și în România, iar autoritățile au pregătit acum un proiect de lege cu măsuri de punere în aplicare a acestuia. Proiectul prevede că angajatorii nu-și vor putea monitoriza angajații decât după informarea lor prealabilă, firmele din domeniul prelucrării datelor vor desemna un responsabil pentru protecția datelor, iar amenzile pentru nerespectarea normelor în domeniu de către instituții publice vor fi de cel mult 200.000 lei.

Înainte de a fi prezentată aici, informația a fost anunțată cu mult înainte pe Profit Insider

Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date va intra în vigoare în toate statele membre începând cu 25 mai. Ca de obicei, în astfel de cazuri, autoritățile au pregătit doar cu puțin timp înainte de intrarea în vigoare un proiect de lege care introduce unele măsuri, în plan național, de punere în aplicare a Regulamentului.

Cum Comisia Europeană permite autorităților locale să adapteze la legislația națională anumite prevederi, autoritățile române au luat în considerare cazul românului concediat de angajator pentru că discuta cu logodnica pe internet. Marea Cameră a CEDO a decis că angajatorul ar fi trebuit să îl avertizeze pe angajat că îi sunt monitorizate comunicațiile folosite la serviciu.

CITEȘTE ȘI EXCLUSIV Noile reglementări privind parteneriatul public-privat au fost adoptate deși mediul de afaceri reclamă că sunt inaplicabile și anulează șansele realizării oricărui proiect PPP

Prin urmare, potrivit proiectului de lege pregătit de autoritățile române, în cazul în care sunt utilizate sisteme de monitorizare prin mijloace de comunicații electronice sau prin mijloace de supraveghere video la locul de muncă, prelucrarea datelor cu caracter personal ale angajaților, în scopul realizării intereselor legitime urmărite de angajator, va fi permisă numai dacă este vorba de activități de importanță deosebită,  ngajatorul a realizat informarea prealabilă obligatorie, completă și în mod explicit a angajaților și a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare.

De asemenea, monitorizarea este permisă dacă alte forme și modalități mai puțin intruzive pentru atingerea scopului urmărit de angajator nu și-au dovedit anterior eficiența.

Durata de stocare a datelor cu caracter personal obținute astfel nu va putea fi mai mare de de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate.

CITEȘTE ȘI Noua ”taxă pe stâlp” pregătită de autorități: Turnurile turbinelor eoliene - incluse în categoria clădirilor pentru a putea fi impozitate

Firmele, autoritățile sau instituțiile care prelucrează date cu caracter personal vor avea obligația desemnării unui responsabil cu protecția datelor, prevede în mod explicit proiectul de lege.

Conform estimărilor agențiilor în domeniu, afacerile a peste 340.000 de firme din România, reprezentând 40% din numărul total al persoanelor juridice înregistrate, vor fi influențate semnificativ de noile reglementări europene privind prelucrarea datelor cu caracter personal. 

Sunt vizate, în special, companiile multinaționale, agențiile de marketing și publicitate, firmele de sondare a opiniei publice, băncile și firmele din domeniul informațiilor și al comunicațiilor.

CITEȘTE ȘI Companiile cu portofolii mari de clienți persoane fizice riscă un nou val de procese colective după 25 mai. Ce trebuie să facă firmele pentru GDPR

În mod particular, proiectul de lege stabilește că prelucrarea datelor genetice, biometrice sau a datelor privind sănătatea, în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri este interzisă, cu excepția prelucrărilor efectuate de către sau sub controlul autorităților publice, în limitele puterilor ce le sunt conferite prin lege și în condițiile stabilite de legile speciale care reglementează aceste materii, care să prevadă și garanții adecvate pentru persoana vizată. Interdicția nu va putea fi ridicată prin consimțământul persoanei vizate.

Autoritățile permit însă anumite derogări de la regimul de protecție a datelor cu caracter personal în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare, respectiv în scopuri de cercetare științifică sau istorică, în scopuri statistice ori în scopuri de arhivare în interes public.

Pentru încălcarea unui ordin emis de autoritatea de supraveghere în domeniul prelucrării datelor, regulamentul European prevede amenzi administrative de până la 20 milioane de euro sau, în cazul unei firme, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându-se în calcul cea mai mare valoare.

CITEȘTE ȘI Diaconescu (ANSPDCP): Regulamentul obligă organizațiile să aibă un responsabil cu protecția datelor cu caracter personal

Autoritățile române au prevăzut însă că în cazul organismelor publice - Parlamentul, Administrația Prezidențială, Guvernul, ministerele, celelalte organe de specialitate ale administrației publice centrale, autoritățile și instituțiile publice autonome, autoritățile administrației publice locale și de la nivel județean, alte autorități publice, precum și instituțiile din subordinea/coordonarea acestora – amenzile vor fi limitate la 100.000 lei, pentru nerespectarea procedurilor de certificare, sau de 200.000 de lei pentru încălcarea principiilor de prelucrare, inclusiv privind consimțământul sau transferul de date.

Indiferent însă dacă este vorba de firme sau organisme publice, constatarea contravențiilor și aplicarea sancțiunilor contravenționale, precum și a celorlalte măsuri corective prevăzute de regulamentul european, vor fi realizate de Autoritatea națională de supraveghere. În funcție de circumstanțele fiecărui caz în parte, Autoritatea națională de supraveghere poate impune mustrare sau amendă.

Proiectul de lege prevede și măsuri tranzitorii privind soluționarea sesizărilor înregistrate înainte de intrarea în vigoare a regulamentului, adică înainte de 25 mai.

CITEȘTE ȘI Operatorii sunt obligați să transmită ANCOM, de la 1 ianuarie, contractele de acces pe proprietatea publică sau privată. Vezi sancțiunile

Astfel, noile prevederi se vor aplica și sesizărilor înregistrate înainte de 25 mai și aflate în curs de soluționare, dar dacă regulamentul european și legea menționată  prevăd o sancțiune mai gravă, contravenția săvârșită anterior datei de 25 mai va fi sancționată conform dispozițiilor actelor normative în vigoare la data săvârșirii acesteia.

Regulamentul european privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal poate fi consultat AICI.

Profit.ro vă prezintă mai jos proiectul de lege privind măsuri de punere în aplicare a regulamentului.