Legea nr. 190/2018

Legea pune în aplicare, în principal, art. 6 alin. (2), art. 9 alin. (4), art. 37–39, 42, 43, art. 83 alin. (7), art. 85 și art. 87–89 din Regulamentul (UE) 2016/679, numit în lege „Regulamentul general privind protecția datelor” art. 1.

• Autorități și organisme publice – Camera Deputaților și Senatul, Administrația Prezidențială, Guvernul, ministerele, celelalte organe de specialitate ale administrației publice centrale, autoritățile și instituțiile publice autonome, autoritățile administrației publice locale și de la nivel județean, alte autorități publice, precum și instituțiile din subordinea/coordonarea acestora. Sunt asimilate lor unitățile de cult și asociațiile și fundațiile de utilitate publică (lit. a).
• Număr de identificare național – numărul prin care se identifică o persoană fizică în anumite sisteme de evidență și care are aplicabilitate generală, cum ar fi: codul numeric personal, seria și numărul actului de identitate, numărul pașaportului, al permisului de conducere, numărul de asigurare socială de sănătate (lit. b).
• Plan de remediere – anexă la procesul-verbal de constatare și sancționare a contravenției, prin care Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Autoritatea națională de supraveghere) stabilește măsuri și un termen de remediere (lit. c).
• Măsură de remediere – soluție dispusă de Autoritatea națională de supraveghere în planul de remediere, pentru ca autoritatea/organismul public să își îndeplinească obligațiile prevăzute de lege (lit. d).
• Termen de remediere – perioada de cel mult 90 de zile de la data comunicării procesului-verbal de constatare și sancționare a contravenției, în care autoritatea/organismul public poate remedia neregulile constatate și își poate îndeplini obligațiile legale (lit. e).
• Îndeplinirea unei sarcini care servește unui interes public – include activitățile partidelor politice, ale organizațiilor cetățenilor aparținând minorităților naționale și ale organizațiilor neguvernamentale care servesc realizării obiectivelor prevăzute de dreptul constituțional sau de dreptul internațional public ori funcționării sistemului democratic, inclusiv încurajarea participării cetățenilor la luarea deciziilor și la pregătirea politicilor publice și promovarea principiilor și valorilor democrației (lit. f).

Se aplică și definițiile din art. 4 al Regulamentului general privind protecția datelor art. 2 alin. 2.

• Prelucrarea lor în scopul unui proces decizional automatizat sau pentru crearea de profiluri este permisă cu consimțământul explicit al persoanei vizate sau dacă se face în temeiul unor dispoziții legale exprese, cu măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate art. 3 alin. 1.
• Datele privind sănătatea prelucrate în scopul asigurării sănătății publice nu pot fi prelucrate ulterior, în alte scopuri, de către terțe entități art. 3 alin. 2.

• Prelucrarea, inclusiv prin colectarea sau dezvăluirea documentelor care îl conțin, se poate face în situațiile prevăzute de art. 6 alin. (1) din Regulament art. 4 alin. 1.
• Dacă prelucrarea se face pentru interesele legitime ale operatorului sau ale unei părți terțe, operatorul trebuie să instituie patru garanții art. 4 alin. 2:
  • măsuri tehnice și organizatorice adecvate, în special pentru reducerea la minimum a datelor și pentru securitatea și confidențialitatea prelucrărilor (lit. a);
  • numirea unui responsabil pentru protecția datelor (lit. b);
  • stabilirea de termene de stocare în funcție de natura datelor și scopul prelucrării și de termene în care datele trebuie șterse sau revizuite în vederea ștergerii (lit. c);
  • instruirea periodică a persoanelor care prelucrează date sub directa autoritate a operatorului sau a persoanei împuternicite (lit. d).

Când la locul de muncă se folosesc sisteme de monitorizare prin mijloace de comunicații electronice și/sau supraveghere video, prelucrarea datelor angajaților în scopul intereselor legitime ale angajatorului este permisă numai dacă sunt îndeplinite toate condițiile:

• interesele legitime ale angajatorului sunt temeinic justificate și prevalează asupra intereselor sau drepturilor și libertăților persoanelor vizate (lit. a);
• angajatorul a făcut informarea prealabilă obligatorie, completă și în mod explicit a angajaților (lit. b);
• angajatorul a consultat sindicatul sau, după caz, reprezentanții angajaților înainte de introducerea sistemelor de monitorizare (lit. c);
• alte forme și modalități mai puțin intruzive nu și-au dovedit anterior eficiența (lit. d);
• durata de stocare este proporțională cu scopul prelucrării, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate (lit. e).

Prelucrarea datelor personale și speciale necesară pentru o sarcină de interes public se face cu trei garanții instituite de operator sau de partea terță:

• măsuri tehnice și organizatorice adecvate pentru respectarea principiilor din Regulament, în special reducerea la minimum a datelor și integritatea și confidențialitatea (lit. a);
• numirea unui responsabil pentru protecția datelor, dacă aceasta este necesară potrivit art. 10 din lege (lit. b);
• stabilirea de termene de stocare și de termene în care datele trebuie șterse sau revizuite în vederea ștergerii (lit. c).

Pentru echilibrul dintre protecția datelor, libertatea de exprimare și dreptul la informație, prelucrarea în aceste scopuri se poate face prin derogare de la capitolele II, III, IV, V, VI, VII și IX din Regulament, dacă privește date care:

• au fost făcute publice în mod manifest de către persoana vizată, sau
• sunt strâns legate de calitatea de persoană publică a persoanei vizate ori de caracterul public al faptelor în care este implicată.

• Cercetare științifică sau istorică ori scopuri statistice: nu se aplică art. 15, 16, 18 și 21 din Regulament art. 8 alin. 1.
• Arhivare în interes public: nu se aplică art. 15, 16, 18, 19, 20 și 21 din Regulament art. 8 alin. 2.
• În ambele cazuri, numai în măsura în care drepturile respective ar face imposibilă sau ar afecta în mod grav realizarea scopurilor specifice, iar derogările sunt necesare pentru îndeplinirea acestor scopuri art. 8 alin. 1 și 2.
• Derogările se aplică numai dacă există garanții corespunzătoare pentru drepturile și libertățile persoanelor vizate art. 8 alin. 3.
• Dacă prelucrarea servește și altui scop, derogările se aplică numai prelucrării în scopurile de mai sus art. 8 alin. 4.

• Garanții obligatorii: informarea persoanei vizate despre prelucrare; garantarea transparenței informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor; garantarea dreptului de rectificare și ștergere art. 9 alin. 1.
• Aceste organizații pot prelucra date cu caracter personal și special, în vederea realizării obiectivelor lor, fără consimțământul expres al persoanei vizate, cu condiția să prevadă garanțiile de mai sus art. 9 alin. 2.

Unitățile de cult apar în lege la definiții: sunt asimilate autorităților/organismelor publice art. 2 alin. 1 lit. a, deci li se aplică regimul de sancționare din art. 13–14.

• Operatorii și persoanele împuternicite de operator desemnează un responsabil cu protecția datelor în situațiile și condițiile din art. 37–39 din Regulament art. 10 alin. 1.
• Când operatorul sau persoana împuternicită este o autoritate publică sau un organism public, poate fi desemnat un responsabil unic pentru mai multe autorități sau organisme, ținând seama de structura organizatorică și de dimensiunea acestora art. 10 alin. 2.
• Activitatea și sarcinile responsabilului se realizează cu respectarea art. 38 și 39 din Regulament și a reglementărilor legale naționale aplicabile art. 10 alin. 3.

• Acreditarea organismelor de certificare se face de Asociația de Acreditare din România – RENAR, în calitate de organism național de acreditare art. 11 alin. 1.
• Organismele de certificare sunt acreditate în conformitate cu standardul EN-ISO/IEC 17065 și cu cerințele suplimentare stabilite de Autoritatea națională de supraveghere art. 11 alin. 2.

• Încălcarea dispozițiilor enumerate la art. 83 alin. (4)–(6) din Regulament constituie contravenție art. 12 alin. 1.
• Sancțiunile contravenționale principale sunt avertismentul și amenda contravențională art. 12 alin. 2.
• Încălcarea art. 3–9 din lege constituie contravenție art. 12 alin. 3.
• Constatarea contravențiilor, aplicarea sancțiunilor și a celorlalte măsuri corective se fac de Autoritatea națională de supraveghere art. 12 alin. 4.

• Când constată o încălcare săvârșită de o autoritate/un organism public, Autoritatea națională de supraveghere încheie un proces-verbal de constatare și sancționare a contravenției prin care aplică sancțiunea avertismentului și la care anexează un plan de remediere art. 13 alin. 1.
• Termenul de remediere se stabilește în funcție de riscurile asociate prelucrării și de demersurile necesare pentru asigurarea conformității art. 13 alin. 2; el nu poate depăși 90 de zile art. 2 alin. 1 lit. e.
• În termen de 10 zile de la expirarea termenului de remediere, Autoritatea națională de supraveghere poate să reia controlul art. 13 alin. 3.
• Răspunderea pentru îndeplinirea măsurilor de remediere revine autorității/organismului public care poartă răspunderea contravențională pentru faptele constatate art. 13 alin. 4.
• Modelul planului de remediere este în anexa legii; cuprinde: fapta săvârșită, măsuri de remediere, termen de remediere, mod de îndeplinire art. 13 alin. 5 și anexa.

• Dacă la reluarea controlului se constată că măsurile din planul de remediere nu au fost îndeplinite în totalitate, Autoritatea națională de supraveghere poate aplica amenda, în funcție de circumstanțele fiecărui caz art. 14 alin. 1.
• Amendă de la 10.000 lei până la 100.000 lei art. 14 alin. 4 pentru: încălcarea obligațiilor operatorului și ale persoanei împuternicite, ale organismului de certificare și ale organismului de monitorizare din Regulament art. 14 alin. 2 și pentru încălcarea art. 3–9 din lege art. 14 alin. 3.
• Amendă de la 10.000 lei până la 200.000 lei art. 14 alin. 6 pentru încălcarea dispozițiilor din Regulament privind: principiile de bază pentru prelucrare, inclusiv condițiile privind consimțământul; drepturile persoanelor vizate; transferurile de date către o țară terță sau o organizație internațională; obligațiile din legislația națională adoptată în temeiul capitolului IX; nerespectarea unei decizii sau a unei limitări a prelucrării ori neacordarea accesului art. 14 alin. 5.
• Amendă de la 10.000 lei până la 200.000 lei art. 14 alin. 8 pentru încălcarea unei decizii emise de Autoritatea națională de supraveghere art. 14 alin. 7.

• Se modifică Legea nr. 102/2005: sancțiunile contravenționale principale pe care le aplică Autoritatea națională de supraveghere sunt avertismentul și amenda art. 15.
• Legea intră în vigoare la 5 zile de la data publicării în Monitorul Oficial al României, Partea I art. 16.