Legea nr. 363/2018
Privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date
85 întrebări cu răspuns Textul integral (de pe Portalul Legislativ)
Rezumat de învățat
Legea reglementează prelucrarea datelor cu caracter personal de către autoritățile competente (poliție, parchet, instanțe, penitenciare etc.) atunci când previn, descoperă, cercetează și urmăresc penal infracțiunile, execută pedepse și măsuri educative sau de siguranță ori mențin ordinea și siguranța publică. Stabilește principiile prelucrării, drepturile persoanei vizate, obligațiile operatorului și ale persoanei împuternicite, transferurile în străinătate și amenzile. Se cere la concursurile pentru posturile din structurile Ministerului Afacerilor Interne, din penitenciare, parchete și instanțe și la posturile care lucrează cu evidențe de persoane.
Esențialul, în două minute
- Legea reglementează prelucrarea datelor de către autoritățile competente pentru infracțiuni, executarea pedepselor și ordinea publică; nu se aplică apărării și securității naționale (art. 1, 3).
- Operatorul stabilește scopurile și mijloacele prelucrării; persoana împuternicită prelucrează datele în numele operatorului (art. 4 lit. h–i).
- Persoana vizată primește răspuns gratuit, în cel mult 60 de zile calendaristice, la cererile de acces, rectificare sau ștergere (art. 12, 16, 18).
- Datele păstrate ca mijloace de probă sau cu exactitate contestată se restricționează, nu se șterg (art. 18 alin. 4).
- Încălcarea securității se notifică autorității de supraveghere în cel mult 72 de ore, iar persoana vizată, la risc ridicat, în cel mult 10 zile calendaristice (art. 36, 39).
- Operatorul desemnează obligatoriu un responsabil cu protecția datelor; sunt exceptate instanțele în funcția judiciară (art. 40).
- Supravegherea o face ANSPDCP, care poate da avertizări și poate limita sau interzice prelucrările (art. 51–53).
- Amenzile: 10.000–100.000 lei (art. 10, 11, 22–42) și 20.000–200.000 lei (art. 5, 12–21, transferuri, dispozițiile autorității); prima sancțiune e avertismentul cu plan de remediere (art. 61–62).
Capcane la grilă
- Nu confunda 72 de ore (notificarea autorității) cu 48 de ore (completarea treptată a notificării) și cu 10 zile calendaristice (informarea persoanei vizate) (art. 36, 39).
- Nu confunda 60 de zile calendaristice (răspunsul operatorului) cu 30 de zile lucrătoare (răspunsul autorității la consultarea prealabilă) (art. 12, 34).
- Nu confunda documentele despre încălcări, păstrate 5 ani, cu documentația transferurilor, păstrată 10 ani, și cu informațiile de identificare, distruse în 3 ani (art. 12, 37, 45).
- Nu confunda termenul de remediere (60–180 de zile) cu prelungirea lui (până la 30 de zile) și cu reluarea controlului (în 10 zile de la expirare) (art. 4, 62).
- Nu confunda amânarea informării (piedică limitată în timp, cel mult un an) cu restricționarea ei (piedică nelimitată în timp) (art. 15).
Cum înveți mai repede: citește o secțiune, răspunde la întrebările de sub ea fără să te uiți în text, apoi bifeaz-o. Secțiunile bifate se strâng; progresul rămâne salvat în browserul tău.
Bifele se țin doar în acest browser. Fă-ți cont gratuit (doar e-mailul sau Google) ca să le ai pe orice dispozitiv.
Obiectul, scopul și domeniul de aplicare (art. 1–3)
- Obiectul: prelucrarea datelor pentru prevenirea, descoperirea, cercetarea, urmărirea penală și combaterea infracțiunilor, executarea pedepselor, măsurilor educative și de siguranță și menținerea ordinii și siguranței publice, de către autoritățile competente art. 1 alin. 1.
- Ordinea și siguranța publică: prelucrarea se face numai dacă e prevăzută de lege și necesară pentru prevenirea unui pericol cel puțin asupra vieții, integrității corporale sau sănătății unei persoane ori a proprietății ei și pentru combaterea infracțiunilor art. 1 alin. 2.
- Scopul legii: protejarea drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la protecția datelor cu caracter personal art. 2 alin. 1.
- Libera circulație a datelor în țară și cu statele membre UE nu poate fi împiedicată din motive de protecție a datelor, cât timp sunt respectate condițiile legii sau ale Regulamentului general privind protecția datelor art. 2 alin. 3.
- Se aplică prelucrărilor automatizate (integral sau parțial) și celor neautomatizate ale datelor care fac parte sau vor face parte dintr-un sistem de evidență art. 3 alin. 2.
- Nu se aplică prelucrărilor din domeniul apărării naționale și securității naționale art. 3 alin. 3.
1. Legea nr. 363/2018 NU se aplică prelucrărilor de date efectuate pentru activitățile din domeniul:
Răspuns corect: a) apărării naționale și securității naționale
„Prezenta lege nu se aplică prelucrărilor de date cu caracter personal efectuate pentru realizarea activităților din domeniul apărării naționale și securității naționale” — art. 3 alin. (3)
2. Prelucrarea datelor pentru menținerea ordinii și siguranței publice se realizează numai dacă este prevăzută de lege și necesară pentru:
Răspuns corect: b) prevenirea unui pericol cel puțin asupra vieții, integrității corporale sau sănătății unei persoane ori a proprietății acesteia
„sunt necesare pentru prevenirea unui pericol cel puțin asupra vieții, integrității corporale sau sănătății unei persoane ori a proprietății acesteia” — art. 1 alin. (2)
Definiții (art. 4)
- Date cu caracter personal: orice informații privind o persoană fizică identificată sau identificabilă (persoana vizată), de exemplu prin nume, număr de identificare, date de localizare, identificator online art. 4 lit. a.
- Prelucrare: orice operațiune asupra datelor, cu sau fără mijloace automatizate: colectare, înregistrare, stocare, consultare, utilizare, dezvăluire, restricționare, ștergere, distrugere etc. art. 4 lit. b.
- Restricționarea prelucrării: marcarea datelor stocate pentru a limita prelucrarea lor viitoare art. 4 lit. c.
- Pseudonimizare: datele nu mai pot fi atribuite unei persoane fără informații suplimentare, păstrate separat și protejate art. 4 lit. e.
- Autoritate competentă: autoritatea publică sau alt organism învestit cu autoritatea de stat, competent în materie de infracțiuni, executarea pedepselor și ordine publică art. 4 lit. g.
- Operator: autoritatea competentă care, singură sau cu altele, stabilește scopurile și mijloacele prelucrării art. 4 lit. h.
- Persoană împuternicită de operator: cea care prelucrează datele în numele operatorului art. 4 lit. i.
- Încălcarea securității datelor: orice eveniment, acțiune sau inacțiune care duce, accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea sau accesul neautorizat la date art. 4 lit. k.
- Date genetice, date biometrice, date privind sănătatea: biometrice sunt, de exemplu, imaginile faciale sau datele dactiloscopice art. 4 lit. l–n.
- Autoritate de supraveghere: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), potrivit Legii nr. 102/2005 art. 4 lit. o.
- Interoperabilizare: punerea în legătură a datelor din fișiere, baze de date sau sisteme de evidență ale unor operatori diferiți ori ale aceluiași operator, cu scopuri diferite art. 4 lit. q; evidență pasivă: bază de date pentru acces limitat și apoi ștergerea datelor art. 4 lit. r.
- Plan, măsură și termen de remediere: planul e anexă la procesul-verbal de contravenție; termenul de remediere este între 60 și 180 de zile de la comunicarea procesului-verbal art. 4 lit. ș–ț.
3. Potrivit Legii nr. 363/2018, operatorul este:
Răspuns corect: c) autoritatea competentă care, singură sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare
„operator - autoritatea competentă care, singură sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal” — art. 4 lit. h)
4. Persoana care prelucrează datele cu caracter personal în numele operatorului se numește:
Răspuns corect: a) persoană împuternicită de către operator
„agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului” — art. 4 lit. i)
5. Restricționarea prelucrării înseamnă:
Răspuns corect: b) marcarea datelor cu caracter personal stocate, cu scopul de a limita prelucrarea viitoare a acestora
„restricționarea prelucrării - marcarea datelor cu caracter personal stocate, cu scopul de a limita prelucrarea viitoare a acestora” — art. 4 lit. c)
6. Care dintre următoarele sunt date biometrice, potrivit definiției din lege?
Răspuns corect: c) imaginile faciale sau datele dactiloscopice
„care permit sau confirmă identificarea unică a respectivei persoane fizice, cum ar fi imaginile faciale sau datele dactiloscopice” — art. 4 lit. m)
Principiile prelucrării și termenele de stocare (art. 5–6)
- Datele trebuie să fie art. 5 alin. 1:
- prelucrate legal și echitabil;
- colectate în scopuri determinate, explicite și legitime;
- adecvate, relevante și neexcesive;
- exacte și, dacă e necesar, actualizate; cele inexacte se șterg sau se rectifică fără întârziere;
- păstrate cât e necesar scopului;
- prelucrate cu securitate adecvată (protecție împotriva prelucrării ilegale, pierderii, distrugerii).
- Alt scop decât cel inițial: permis doar dacă, cumulativ, operatorul e abilitat legal și prelucrarea e necesară și proporțională art. 5 alin. 2.
- Responsabilitatea pentru respectarea principiilor aparține operatorului, care trebuie să o poată demonstra art. 5 alin. 4.
- Actele normative care instituie prelucrări stabilesc cel puțin: contextul și obiectivele, datele prelucrate, scopurile, termenele de stocare art. 6 alin. 1.
- Termene specifice obligatorii pentru: minori, categorii speciale de date, date cu acuratețe nestabilită, situații cu riscuri majore art. 6 alin. 2.
- Termenul specific nu poate depăși jumătate din termenul general de stocare art. 6 alin. 3.
- La expirarea termenului, datele se arhivează, se stochează în evidența pasivă (cel mult jumătate din termenul inițial) sau se distrug/șterg ireversibil art. 6 alin. 4.
- Noile tehnologii sau prelucrările cu risc ridicat se instituie numai prin act normativ publicat în Monitorul Oficial, Partea I art. 6 alin. 5.
7. Potrivit principiilor prelucrării, datele cu caracter personal trebuie să fie:
Răspuns corect: a) adecvate, relevante și neexcesive prin raportare la scopurile în care sunt prelucrate
„adecvate, relevante și neexcesive prin raportare la scopurile în care sunt prelucrate” — art. 5 alin. (1) lit. c)
8. Cine este responsabil pentru respectarea principiilor prelucrării datelor prevăzute la art. 5?
Răspuns corect: b) operatorul
„Operatorul este responsabil pentru respectarea prevederilor alin. (1)-(3) și adoptă măsuri și/sau instituie proceduri” — art. 5 alin. (4)
9. Termenele specifice de stocare nu pot fi mai mari decât:
Răspuns corect: c) jumătate din termenul general de stocare corespunzător scopului prelucrării
„Termenele specifice de stocare nu pot fi mai mari decât jumătate din termenul general de stocare corespunzător scopului prelucrării” — art. 6 alin. (3)
10. Stabilirea termenelor specifice de păstrare este obligatorie, printre altele, la prelucrarea datelor referitoare la:
Răspuns corect: a) minori
„prelucrarea datelor cu caracter personal referitoare la minori;” — art. 6 alin. (2) lit. a)
Categoriile de persoane, calitatea datelor și scopul (art. 7–9)
- Datele se evidențiază distinct pentru: suspecți (inclusiv cei cu măsură preventivă privativă de libertate), condamnați, victime și alte persoane legate de infracțiune, precum martorii art. 7 alin. 1.
- Fapte vs. percepții: se face distincție între datele din constatarea unor fapte și cele bazate pe percepția subiectivă a unor persoane art. 7 alin. 2.
- Datele inexacte, incomplete sau neactualizate nu se transmit destinatarului art. 7 alin. 3.
- Evaluarea periodică a calității: în sistemele automatizate, la cel mult 2 ani de la colectare sau de la evaluarea precedentă art. 7 alin. 5; obligatorie înainte de transmiterea datelor altui operator art. 7 alin. 6.
- Transmitere neconformă sau date fără calitatea necesară: operatorul notifică de îndată destinatarul; datele se rectifică, se șterg sau se restricționează art. 7 alin. 8.
- Interdicția altor scopuri: datele colectate pentru scopurile art. 1 nu se prelucrează în alte scopuri, cu excepția cazurilor prevăzute expres de lege; atunci se aplică Regulamentul general art. 8 alin. 1–2.
- Transferul către destinatari: autoritatea care transferă îl informează pe destinatar despre condițiile specifice de prelucrare, iar destinatarul trebuie să le respecte art. 9 alin. 1–2.
11. În cazul sistemelor automatizate de evidență, termenele de evaluare a calității datelor nu pot depăși:
Răspuns corect: c) 2 ani de la momentul colectării, respectiv de la precedenta evaluare
„În cazul sistemelor automatizate de evidență, termenele de evaluare nu pot depăși 2 ani de la momentul colectării, respectiv de la precedenta evaluare.” — art. 7 alin. (5)
12. Evaluarea calității datelor cu caracter personal este obligatorie:
Răspuns corect: a) înainte ca datele să fie transmise sau puse la dispoziție altui operator
„Evaluarea calității datelor cu caracter personal este obligatorie înainte ca datele cu caracter personal să fie transmise sau puse la dispoziție altui operator.” — art. 7 alin. (6)
13. Dacă se constată că datele transmise nu au calitatea necesară, operatorul:
Răspuns corect: b) este obligat să notifice de îndată destinatarul
„operatorul este obligat să notifice de îndată destinatarul” — art. 7 alin. (8)
Date sensibile și decizii automate (art. 10–11)
- Categoriile speciale: originea rasială sau etnică, opiniile politice, religia, convingerile filozofice, afilierea sindicală, datele genetice, biometrice, privind sănătatea, viața și orientarea sexuală art. 10.
- Se prelucrează numai dacă sunt strict necesare într-un caz determinat, cu garanții adecvate și dacă art. 10:
- prelucrarea e prevăzută expres de lege; sau
- e necesară pentru prevenirea unui pericol iminent asupra vieții, integrității corporale sau sănătății; sau
- datele au fost făcute publice în mod manifest de persoana vizată.
- Decizia exclusiv automată (inclusiv crearea de profiluri) cu efect juridic negativ este interzisă, cu excepția celei reglementate expres de lege, cu garanții, inclusiv dreptul la intervenție umană art. 11 alin. 1.
- Profilurile discriminatorii pe baza categoriilor speciale de date sunt interzise art. 11 alin. 3.
14. Datele care dezvăluie originea etnică sau opiniile politice pot fi prelucrate, printre altele, dacă:
Răspuns corect: c) sunt făcute publice în mod manifest de persoana vizată
„prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de persoana vizată” — art. 10 lit. c)
15. Adoptarea unei decizii întemeiate exclusiv pe prelucrarea automată, cu efect juridic negativ pentru persoana vizată, este:
Răspuns corect: a) interzisă, cu excepția cazului în care prelucrarea este reglementată expres de lege, cu garanții adecvate
„care produce un efect juridic negativ pentru persoana vizată sau care o afectează în mod semnificativ este interzisă” — art. 11 alin. (1)
16. În ce condiții pot fi prelucrate categoriile speciale de date (origine etnică, opinii politice, date genetice, biometrice, privind sănătatea)?
Aceste date pot fi prelucrate numai dacă sunt strict necesare într-un caz determinat, dacă sunt instituite garanții adecvate pentru drepturile și libertățile persoanei vizate și dacă este îndeplinită una dintre condițiile: prelucrarea este prevăzută expres de lege; este necesară pentru prevenirea unui pericol iminent cel puțin asupra vieții, integrității corporale sau sănătății persoanei vizate sau a altei persoane; datele au fost făcute publice în mod manifest de persoana vizată.
„prelucrarea este necesară pentru prevenirea unui pericol iminent cel puțin asupra vieții, integrității corporale sau sănătății persoanei vizate” — art. 10
Cum răspunde operatorul la cereri (art. 12–14)
- Forma răspunsului: concisă, inteligibilă, ușor accesibilă, cu limbaj clar și simplu art. 12 alin. 2, în același format în care a fost făcută cererea, cu excepțiile din lege art. 12 alin. 3.
- Termenul general: răspuns scris, gratuit, în cel mult 60 de zile calendaristice art. 12 alin. 5.
- Cereri vădit nefondate sau excesive (mai ales repetitive): operatorul poate percepe o taxă rezonabilă sau poate refuza cererea art. 12 alin. 6; caracterul excesiv trebuie demonstrat de operator art. 12 alin. 9.
- Identitate neclară: operatorul cere informații suplimentare, folosite doar pentru confirmarea identității și distruse în 3 ani de la colectare art. 12 alin. 10–11.
- Informații puse la dispoziție tuturor art. 13:
- identitatea și datele de contact ale operatorului;
- datele de contact ale responsabilului cu protecția datelor;
- scopurile prelucrării;
- dreptul de plângere la autoritatea de supraveghere;
- dreptul de acces, rectificare, ștergere, restricționare.
- La cerere, în plus: temeiul juridic, perioada de stocare, categoriile de destinatari și alte informații art. 14.
17. În ce termen răspunde operatorul, în scris, la cererile formulate de persoana vizată în temeiul legii?
Răspuns corect: b) în cel mult 60 de zile calendaristice, în mod gratuit
„Răspunsul se transmite în mod gratuit, în cel mult 60 de zile calendaristice.” — art. 12 alin. (5)
18. Dacă cererile unei persoane vizate sunt în mod vădit nefondate sau excesive, operatorul poate:
Răspuns corect: c) să perceapă o taxă rezonabilă sau să refuze să dea curs cererii
„să perceapă o taxă rezonabilă care să țină cont de costurile administrative pentru transmiterea sau comunicarea informațiilor” — art. 12 alin. (6)
19. Cine trebuie să demonstreze caracterul nefondat sau excesiv al cererii?
Răspuns corect: a) operatorul
„Caracterul nefondat sau excesiv al cererii, în condițiile prevăzute la alin. (6), trebuie demonstrat de operator.” — art. 12 alin. (9)
20. Informațiile suplimentare colectate pentru confirmarea identității solicitantului se distrug în termen de:
Răspuns corect: b) 3 ani de la colectare
„nu pot fi prelucrate în niciun alt scop decât pentru confirmarea identității și se distrug în termen de 3 ani de la colectare” — art. 12 alin. (11)
Amânarea, restricționarea sau omiterea informării (art. 15)
- Motivele (dacă măsura e necesară și proporțională): buna desfășurare a procesului penal, prevenirea și combaterea infracțiunilor, ordinea publică, securitatea națională, drepturile altora art. 15 alin. 1.
- Amânarea: când piedica e limitată în timp; cel mult un an, poate fi prelungită în interiorul acestui termen art. 15 alin. 2.
- Informarea despre amânare: în scris, în cel mult 60 de zile calendaristice de la înregistrarea cererii art. 15 alin. 3.
- Restricționarea: când piedica nu e limitată în timp; operatorul trimite un răspuns art. 15 alin. 4.
- Omisiunea: când chiar simpla informare ar afecta activitățile; poate fi parțială sau totală art. 15 alin. 5–6.
- Raportare: operatorul ține evidența omisiunilor și informează autoritatea de supraveghere statistic, în luna ianuarie a fiecărui an art. 15 alin. 7–8.
21. Măsura amânării furnizării de informații către persoana vizată se dispune pe o perioadă care nu poate depăși:
Răspuns corect: c) un an
„Măsura amânării furnizării de informații se dispune pe o perioadă ce nu poate depăși un an” — art. 15 alin. (2)
22. Măsura restricționării furnizării de informații se dispune când:
Răspuns corect: a) incidența condițiilor care fac imposibilă comunicarea nu este limitată în timp
„Măsura restricționării furnizării de informații se dispune în situația în care incidența condițiilor care fac imposibilă comunicarea nu este limitată în timp.” — art. 15 alin. (4)
23. Când informează operatorul autoritatea de supraveghere despre situația statistică a măsurilor de omisiune a furnizării de informații din anul precedent?
Răspuns corect: b) în luna ianuarie a fiecărui an
„În luna ianuarie a fiecărui an, operatorul are obligația de a informa autoritatea de supraveghere cu privire la situația statistică” — art. 15 alin. (8)
24. Explicați diferența dintre amânarea, restricționarea și omisiunea furnizării de informații către persoana vizată.
Amânarea se dispune când condițiile care fac imposibilă comunicarea sunt limitate în timp, pe cel mult un an, cu posibilitate de prelungire în interiorul acestui termen; la expirare operatorul transmite informațiile. Restricționarea se dispune când aceste condiții nu sunt limitate în timp, iar operatorul transmite persoanei un răspuns. Omisiunea se dispune când chiar și simpla informare ar afecta procesul penal, combaterea infracțiunilor, ordinea publică sau securitatea națională; poate fi parțială sau totală.
„Măsura omisiunii furnizării de informații se dispune în situația în care chiar și simpla informare a persoanei vizate” — art. 15 alin. (2), (4)-(6)
Dreptul de acces (art. 16–17)
- Confirmarea că datele sunt sau nu prelucrate se obține la cerere și gratuit art. 16 alin. 1.
- Termen: cel mult 60 de zile calendaristice de la înregistrarea solicitării art. 16 alin. 2.
- Ce se comunică: scopurile și temeiul juridic, categoriile de date, destinatarii, perioada de stocare, dreptul la rectificare/ștergere/restricționare, dreptul de plângere, originea datelor art. 16 alin. 2.
- Limitarea dreptului de acces: totală sau parțială, pentru aceleași motive ca la art. 15 art. 17 alin. 1–2.
- Motivul limitării nu se comunică dacă dezvăluirea lui ar afecta procesul penal, combaterea infracțiunilor, ordinea publică sau securitatea națională art. 17 alin. 4.
- Evidență și raportare: în luna ianuarie, statistic, către autoritatea de supraveghere art. 17 alin. 5–6.
25. Confirmarea faptului că datele care o privesc sunt sau nu prelucrate se obține de persoana vizată:
Răspuns corect: c) la cerere și în mod gratuit
„la cerere și în mod gratuit, confirmarea faptului că datele cu caracter personal care o privesc sunt sau nu sunt prelucrate de acesta” — art. 16 alin. (1)
26. Ce informații comunică operatorul persoanei vizate care își exercită dreptul de acces și în ce termen?
În cel mult 60 de zile calendaristice de la înregistrarea solicitării, operatorul comunică, pe lângă confirmare, datele prelucrate și: scopurile și temeiul juridic al prelucrării; categoriile de date; destinatarii sau categoriile de destinatari; perioada de stocare sau criteriile pentru stabilirea ei; dreptul de a cere rectificarea, ștergerea sau restricționarea; dreptul de plângere la autoritatea de supraveghere; datele în curs de prelucrare și originea lor.
„în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării” — art. 16 alin. (2)
Rectificare, completare, ștergere, restricționare (art. 18–21)
- Rectificarea datelor inexacte: la cerere și gratuit art. 18 alin. 1; completarea, inclusiv printr-o declarație suplimentară art. 18 alin. 2.
- Ștergerea prin proceduri ireversibile, din oficiu sau la cerere, a datelor prelucrate neconform art. 18 alin. 3.
- Restricționare în loc de ștergere când art. 18 alin. 4:
- exactitatea e contestată și nu poate fi stabilită cu certitudine;
- datele trebuie păstrate ca mijloace de probă.
- Termen: cel mult 60 de zile calendaristice, prelungibil cu încă până la 60 de zile pentru proceduri complexe; persoana e anunțată înainte de expirarea termenului inițial art. 18 alin. 5–6.
- Verificări și notificări: la rectificare, operatorul verifică cum au fost colectate datele și dacă au fost transmise; anunță autoritatea de la care le-a primit și destinatarii art. 19 alin. 1–4.
- Destinatarul din România ia o măsură similară, cu excepțiile din lege art. 19 alin. 5.
- Calea prin autoritatea de supraveghere: în cazurile de limitare, persoana se poate adresa autorității de supraveghere, care o informează despre constatări și despre posibilitatea de a merge în instanță art. 20.
- Datele din hotărâri judecătorești, cazier și procesul penal: art. 13, 16 și 18 se aplică și acestora art. 21.
27. Operatorul trebuie să restricționeze prelucrarea, și nu să șteargă datele, atunci când:
Răspuns corect: a) datele cu caracter personal trebuie să fie păstrate ca mijloace de probă
„datele cu caracter personal trebuie să fie păstrate ca mijloace de probă” — art. 18 alin. (4) lit. b)
28. Termenul de 60 de zile calendaristice pentru soluționarea cererilor de rectificare sau ștergere poate fi prelungit cu:
Răspuns corect: b) până la 60 de zile calendaristice
„Termenul prevăzut la alin. (5) poate fi prelungit cu până la 60 de zile calendaristice” — art. 18 alin. (6)
29. Operatorul are obligația de a șterge datele prelucrate neconform:
Răspuns corect: c) prin proceduri ireversibile, din oficiu sau la cererea persoanei vizate
„Operatorul are obligația de a șterge, prin proceduri ireversibile, din oficiu sau la cererea persoanei vizate” — art. 18 alin. (3)
30. În ce situații operatorul restricționează prelucrarea datelor în loc să le șteargă?
Operatorul restricționează prelucrarea, și nu șterge datele, când: a) exactitatea datelor este contestată de persoana vizată, iar exactitatea sau inexactitatea lor nu poate fi stabilită cu certitudine; b) datele trebuie păstrate ca mijloace de probă. Ridicarea restricționării din primul caz se face concomitent cu notificarea persoanei vizate.
„exactitatea datelor cu caracter personal este contestată de persoana vizată, iar exactitatea sau inexactitatea datelor respective nu poate fi stabilită cu certitudine” — art. 18 alin. (4) și (7)
Obligațiile operatorului, operatori asociați și persoana împuternicită (art. 22–26)
- Măsuri tehnice și organizatorice adecvate și proporționale, inclusiv politici de protecție a datelor art. 22.
- Protecția datelor de la conceperea prelucrării: operatorul evaluează cel puțin posibilitatea pseudonimizării art. 23 alin. 1–2.
- Protecția implicită: se prelucrează doar datele necesare fiecărui scop – volum, grad de prelucrare, perioadă de stocare, accesibilitate art. 23 alin. 3–4; datele nu sunt accesibile, fără intervenție umană, unui număr nedefinit de utilizatori art. 23 alin. 5.
- Operatorii asociați se desemnează prin act normativ, care stabilește responsabilitățile și un punct de contact unic art. 24 alin. 1–3; actul juridic dintre ei se pune la dispoziția persoanelor vizate cu minimum 5 zile înainte de intrarea în vigoare art. 24 alin. 4.
- Persoana împuternicită se desemnează prin contract sau protocol, doar dacă oferă garanții suficiente art. 25 alin. 1, 4; o altă persoană împuternicită (subîmputernicit) se poate desemna doar cu acordul scris al operatorului art. 25 alin. 2.
- Obligațiile persoanei împuternicite din contract art. 25 alin. 5:
- acționează numai la instrucțiunile operatorului;
- garantează confidențialitatea celor care prelucrează datele;
- asistă operatorul;
- la încetarea serviciilor, șterge sau returnează datele și elimină copiile;
- dă operatorului informațiile pentru a demonstra conformitatea.
- Împuternicitul devine operator dacă, încălcând legea, stabilește el scopurile și mijloacele; operatorul e exonerat doar dacă dovedește reaua-credință a împuternicitului art. 25 alin. 7–8.
- Interdicția: nimeni nu prelucrează datele peste instrucțiunile operatorului, cu excepțiile prevăzute expres de lege art. 26.
31. La momentul stabilirii mijloacelor de prelucrare, operatorul evaluează cel puțin posibilitatea introducerii:
Răspuns corect: a) unei soluții de pseudonimizare ori a unei alte soluții tehnice cu efect similar
„cel puțin posibilitatea introducerii unei soluții de pseudonimizare ori a unei alte soluții tehnice cu efect similar” — art. 23 alin. (2)
32. Prin măsurile de protecție implicită, operatorul se asigură că datele NU sunt accesibile, fără intervenție umană:
Răspuns corect: b) unui număr nedefinit de utilizatori
„operatorul trebuie să se asigure că datele cu caracter personal nu sunt accesibile, fără intervenție umană, unui număr nedefinit de utilizatori” — art. 23 alin. (5)
33. Actul juridic dintre operatorii asociați trebuie pus la dispoziția persoanelor vizate:
Răspuns corect: c) cu minimum 5 zile înainte de intrarea în vigoare a acestuia
„Obligația de punere la dispoziție trebuie îndeplinită cu minimum 5 zile înainte de intrarea în vigoare a respectivului act juridic.” — art. 24 alin. (4)
34. O persoană împuternicită poate desemna o altă persoană împuternicită numai:
Răspuns corect: a) cu acordul scris al operatorului
„nu este posibilă decât cu acordul scris al operatorului” — art. 25 alin. (2)
Evidențe și jurnalizare (art. 27–31)
- Evidența activităților de prelucrare e ținută de operator art. 27 și de persoana împuternicită art. 28: cuprinde scopurile, destinatarii, categoriile de persoane și date, transferurile, termenele de ștergere, măsurile de securitate.
- Forma: evidențele se păstrează în format hârtie și în format electronic și se pun la dispoziția autorității de supraveghere, la cerere art. 29.
- Jurnalizarea: în sistemele automate se înregistrează toate operațiunile de prelucrare art. 30 alin. 1, cu cel puțin art. 30 alin. 2:
- tipul operațiunii;
- codul utilizatorului și al stației de lucru;
- numele fișierului accesat;
- numărul operațiunilor;
- codul operației sau programul folosit;
- data accesului – an, lună, zi, oră și minut.
- La consultare sau divulgare se înregistrează obligatoriu și motivul prelucrării art. 30 alin. 3.
- Folosirea înregistrărilor: doar pentru verificarea legalității, automonitorizare, integritatea și securitatea datelor și în proceduri penale art. 30 alin. 4.
- Cooperarea cu autoritatea de supraveghere, la cererea acesteia, e obligatorie art. 31.
35. Evidențele activităților de prelucrare ținute de operator și de persoana împuternicită se păstrează:
Răspuns corect: c) în format hârtie și în format electronic
„Evidențele prevăzute la art. 27 și 28 se păstrează în format hârtie și în format electronic.” — art. 29 alin. (1)
36. Înregistrările operațiunilor de prelucrare din sistemele automate trebuie să cuprindă, printre altele:
Răspuns corect: a) codul de identificare a utilizatorului și a stației de lucru folosite
„codul de identificare a utilizatorului și a stației de lucru folosite” — art. 30 alin. (2) lit. b)
37. La operațiunile de prelucrare sub forma consultării sau divulgării este obligatorie înregistrarea:
Răspuns corect: b) motivului prelucrării
„În cazul operațiunilor de prelucrare sub forma consultării sau divulgării este obligatorie înregistrarea motivului prelucrării” — art. 30 alin. (3)
38. Ce informații trebuie să conțină înregistrările operațiunilor de prelucrare din sistemele automate și în ce scopuri pot fi folosite?
Înregistrările conțin cel puțin: tipul operațiunii; codul de identificare a utilizatorului și a stației de lucru; numele fișierului accesat; numărul operațiunilor efectuate; codul operației sau programul folosit; data accesului – an, lună, zi, ora și minutul. La consultare sau divulgare se înregistrează și motivul prelucrării. Pot fi folosite doar pentru verificarea legalității prelucrării, monitorizarea proprie, asigurarea integrității și securității datelor și în proceduri penale.
„data accesului - an, lună, zi, cu precizarea inclusiv a orei și minutului la care a fost efectuată prelucrarea” — art. 30 alin. (2)-(4)
Evaluarea impactului și consultarea prealabilă (art. 32–34)
- Prelucrare nouă: operatorul evaluează natura datelor, domeniul de aplicare, contextul și scopurile art. 32 alin. 1.
- Risc ridicat: înaintea prelucrării se face o evaluare a impactului art. 32 alin. 2; pentru prelucrările existente, termenul a fost de 2 ani de la intrarea în vigoare a legii art. 32 alin. 3.
- Conținutul evaluării: descrierea operațiunilor, evaluarea riscurilor, măsurile față de riscuri, garanțiile și măsurile de securitate art. 32 alin. 4.
- Consultarea prealabilă a autorității de supraveghere: înainte de prelucrarea dintr-un sistem nou de evidență cu risc ridicat art. 33 alin. 1 și obligatoriu la elaborarea proiectelor de acte normative care reglementează prelucrări art. 33 alin. 2.
- Trimiterea evaluării: în termen de 30 de zile calendaristice de la finalizare, dar înainte de începerea prelucrării art. 33 alin. 4.
- Răspunsul autorității: observații sau recomandări în cel mult 30 de zile lucrătoare de la înregistrarea cererii, prelungibil cu 20 de zile lucrătoare; prelungirea se anunță în 20 de zile lucrătoare art. 34 alin. 1–2.
39. Evaluarea impactului operațiunilor de prelucrare se transmite autorității de supraveghere:
Răspuns corect: c) în termen de 30 de zile calendaristice de la finalizare, dar înainte de începerea prelucrării
„în termen de 30 de zile calendaristice de la finalizare, dar înainte de începerea prelucrării, evaluarea prevăzută la art. 32” — art. 33 alin. (4)
40. La consultarea prealabilă, autoritatea de supraveghere transmite observații sau recomandări în cel mult:
Răspuns corect: a) 30 de zile lucrătoare de la data înregistrării cererii de consultare
„observații sau recomandări, în termen de cel mult 30 de zile lucrătoare de la data înregistrării cererii de consultare” — art. 34 alin. (1)
41. În funcție de complexitatea prelucrării, termenul de răspuns al autorității la consultarea prealabilă poate fi prelungit cu:
Răspuns corect: b) 20 de zile lucrătoare
„În funcție de complexitatea prelucrării preconizate, termenul prevăzut la alin. (1) poate fi prelungit cu 20 de zile lucrătoare.” — art. 34 alin. (2)
Securitatea datelor (art. 35)
- Nivelul de securitate se stabilește după stadiul tehnologiei, costuri, natura și scopurile prelucrării și gradul de ingerință în drepturi art. 35 alin. 2.
- Evaluarea riscurilor e obligatorie la prelucrările prin mijloace automate art. 35 alin. 3.
- Măsurile cerute art. 35 alin. 4:
- controlul accesului la echipamente;
- controlul suporturilor de date;
- controlul stocării;
- controlul utilizatorului;
- controlul accesului la date;
- controlul comunicării;
- controlul introducerii datelor;
- controlul transportării;
- recuperarea sistemelor după o întrerupere;
- funcționarea, fiabilitatea și integritatea sistemului.
42. Măsura de securitate prin care persoanele autorizate au acces numai la datele pentru care au autorizare se numește:
Răspuns corect: c) controlul accesului la date
„să asigure faptul că persoanele autorizate au acces numai la datele cu caracter personal pentru care au autorizare, denumit în continuare controlul accesului la date” — art. 35 alin. (4) lit. e)
43. Enumerați măsurile de securitate pe care trebuie să le aplice operatorul în urma evaluării riscurilor prelucrărilor automate.
Operatorul pune în aplicare: controlul accesului la echipamente; controlul suporturilor de date; controlul stocării; controlul utilizatorului; controlul accesului la date; controlul comunicării; controlul introducerii datelor; controlul transportării; recuperarea sistemelor în cazul unei întreruperi; asigurarea funcționării, fiabilității și integrității sistemului.
„să asigure controlul accesului la echipamentele de prelucrare utilizate pentru prelucrare, denumit în continuare controlul accesului la echipamente” — art. 35 alin. (4)
Încălcarea securității datelor (art. 36–39)
- Notificarea autorității de supraveghere: fără întârzieri nejustificate art. 36 alin. 1, cel târziu în 72 de ore de la momentul în care operatorul a luat cunoștință, cu justificarea întârzierii art. 36 alin. 2.
- Nu e necesară notificarea dacă încălcarea nu poate genera un risc pentru drepturile persoanelor art. 36 alin. 3.
- Persoana împuternicită informează operatorul fără întârzieri nejustificate art. 36 alin. 4.
- Conținutul notificării: natura încălcării, contactul responsabilului cu protecția datelor, consecințele probabile, măsurile luate art. 36 alin. 6; informațiile pot fi trimise treptat, în cel mult 48 de ore de la notificarea inițială art. 36 alin. 7.
- Documentarea tuturor încălcărilor; documentele se păstrează 5 ani de la notificare art. 37 alin. 1.
- Alt stat membru: dacă sunt implicate date primite de la sau trimise către un operator din alt stat membru, acesta e informat în același termen art. 38.
- Informarea persoanei vizate la risc ridicat: în cel mult 10 zile calendaristice de la notificarea autorității art. 39 alin. 1, într-un limbaj simplu și clar art. 39 alin. 2.
- Informarea persoanei nu e necesară dacă art. 39 alin. 3:
- datele erau protejate, de exemplu prin criptare;
- operatorul a luat măsuri ulterioare care înlătură riscul ridicat;
- ar necesita un efort disproporționat – atunci se face informare publică.
44. Notificarea încălcării securității datelor către autoritatea de supraveghere se transmite nu mai târziu de:
Răspuns corect: a) 72 de ore
„notificarea prevăzută la alin. (1) se transmite nu mai târziu de 72 de ore” — art. 36 alin. (2)
45. Termenul pentru notificarea încălcării securității datelor începe să curgă:
Răspuns corect: b) de la momentul la care operatorul a luat cunoștință despre încălcare
„Termenul începe să curgă de la momentul la care operatorul a luat cunoștință despre încălcarea securității datelor cu caracter personal.” — art. 36 alin. (2)
46. Dacă informațiile din notificare nu pot fi furnizate în același timp, ele pot fi transmise treptat, într-un termen care să nu depășească:
Răspuns corect: c) 48 de ore de la momentul transmiterii notificării inițiale
„într-un termen care să nu depășească 48 de ore de la momentul transmiterii notificării inițiale” — art. 36 alin. (7)
47. Documentele privind cazurile de încălcare a securității datelor se păstrează:
Răspuns corect: a) 5 ani de la transmiterea notificării
„să păstreze documentele pentru o perioadă de 5 ani de la transmiterea notificării prevăzute la art. 36” — art. 37 alin. (1)
Responsabilul cu protecția datelor (art. 40–42)
- Desemnarea e obligatorie pentru operator art. 40 alin. 1; instanțele sunt exceptate când acționează în funcția lor judiciară art. 40 alin. 2.
- Condiții: calități profesionale, cunoștințe de specialitate în protecția datelor, capacitatea de a îndeplini sarcinile art. 40 alin. 3.
- Același responsabil poate fi desemnat de mai multe autorități competente art. 40 alin. 4.
- Datele de contact ale responsabilului se publică și se comunică autorității de supraveghere art. 40 alin. 5.
- Operatorul îl consultă în timp util și îi asigură resurse, acces la date și la prelucrări și pregătire art. 41.
- Sarcinile responsabilului art. 42:
- informează și consiliază operatorul și angajații;
- monitorizează respectarea legii și a politicilor, inclusiv formarea personalului și auditurile;
- consiliază, la cerere, la evaluarea impactului;
- cooperează cu autoritatea de supraveghere;
- este persoana de contact cu autoritatea de supraveghere.
48. Cine este exceptat de la obligația de a desemna un responsabil cu protecția datelor?
Răspuns corect: a) instanțele, atunci când acționează în exercițiul funcției lor judiciare
„Instanțele sunt exceptate de la obligația prevăzută la alin. (1) atunci când acționează în exercițiul funcției lor judiciare.” — art. 40 alin. (2)
49. Datele de contact ale responsabilului cu protecția datelor:
Răspuns corect: b) se publică de operator și se comunică autorității de supraveghere
„Operatorul are obligația să publice datele de contact ale responsabilului cu protecția datelor și să le comunice autorității de supraveghere.” — art. 40 alin. (5)
50. Care dintre următoarele este o sarcină a responsabilului cu protecția datelor?
Răspuns corect: c) informarea și consilierea operatorului și a angajaților cu privire la obligațiile lor
„informează și consiliază operatorul și angajații acestuia care efectuează prelucrarea cu privire la obligațiile care le revin” — art. 42 lit. a)
51. Enumerați sarcinile principale ale responsabilului cu protecția datelor.
Responsabilul: a) informează și consiliază operatorul și angajații care efectuează prelucrarea cu privire la obligațiile lor; b) monitorizează respectarea legii și a politicilor operatorului, inclusiv formarea personalului și auditurile; c) consiliază, la cerere, cu privire la evaluarea impactului; d) cooperează cu autoritatea de supraveghere; e) este persoana de contact în relația cu autoritatea de supraveghere, asigurând consultarea prealabilă.
„consiliază, la cerere, cu privire la evaluarea impactului asupra protecției datelor cu caracter personal” — art. 42
Transferul datelor către state terțe și organizații internaționale (art. 43–48)
- Condițiile generale: transferul e necesar scopurilor art. 1, destinatarul e o autoritate competentă sau o organizație internațională, statul membru care a dat datele a autorizat transferul, există decizie de adecvare, garanții sau derogări art. 43 alin. 1.
- Autorizarea cerută de alt stat membru se transmite în cel mult 30 de zile calendaristice de la primirea cererii art. 43 alin. 4.
- Fără autorizare prealabilă: doar pentru o amenințare imediată și gravă la adresa ordinii și siguranței publice, când autorizarea nu poate fi obținută la timp art. 43 alin. 5.
- Decizia de adecvare a Comisiei Europene: transferul e posibil fără autorizări speciale art. 44 alin. 1–2.
- Garanții adecvate, fără decizie a Comisiei: printr-un act juridic obligatoriu sau după evaluarea operatorului; operatorul informează autoritatea de supraveghere și ține evidența transferurilor (data și ora, destinatarul, justificarea, datele) art. 45 alin. 1, 3–4.
- Documentația transferurilor se păstrează 10 ani art. 45 alin. 5.
- Derogări: interese vitale, interese legitime prevăzute de lege, amenințare imediată la ordinea publică, cazuri individuale art. 46 alin. 1.
- Destinatari care nu sunt autorități competente: doar în cazuri individuale, cu condiții cumulative și cu angajamentul scris al destinatarului art. 47 alin. 1–2; autoritatea de supraveghere e informată cel puțin o dată pe an art. 47 alin. 4.
- Cooperarea internațională: mecanisme de cooperare, asistență reciprocă, schimb de practici art. 48.
52. Autorizarea transferului de date cerută de autoritatea competentă a unui stat membru se transmite în cel mult:
Răspuns corect: a) 30 de zile calendaristice de la primirea cererii
„Autorizarea prevăzută la alin. (3) se transmite cu celeritate, dar nu mai târziu de 30 de zile calendaristice de la primirea cererii.” — art. 43 alin. (4)
53. Documentația transferurilor realizate pe baza evaluării garanțiilor de către operator se păstrează:
Răspuns corect: b) 10 ani
„Documentația prevăzută la alin. (4) se păstrează pentru o perioadă de 10 ani” — art. 45 alin. (5)
Interoperabilizarea sistemelor de evidență (art. 49–50)
- Pentru cercetarea și combaterea infracțiunilor, sistemele de evidență cu scopuri diferite pot fi interoperabilizate art. 49 alin. 1, inclusiv cu ale altor autorități și instituții publice, numai cu consultarea prealabilă a autorității de supraveghere art. 49 alin. 2–3.
- Cu entități de drept privat: numai pentru urmărirea penală, pe baza ordonanței procurorului sau, la judecată, a completului de judecată art. 49 alin. 4–5.
- Pentru prevenire și ordine publică, se pot interoperabiliza cu art. 50 alin. 1:
- Registrul național de evidență a persoanelor;
- Registrul național de evidență a pașapoartelor simple;
- Registrul național de evidență a permiselor de conducere și a vehiculelor înmatriculate.
- Scopuri similare sau corelate: interoperabilizarea se aduce la cunoștința autorității de supraveghere art. 50 alin. 2–3; scopuri diferite: numai cu acordul prealabil al autorității art. 50 alin. 4.
54. Interoperabilizarea cu sistemele de evidență ale entităților de drept privat este permisă numai pentru urmărirea penală, în baza:
Răspuns corect: c) unei ordonanțe emise de procurorul competent sau, la judecată, a completului învestit
„în baza unei ordonanțe emise de procurorul competent să efectueze ori să supravegheze urmărirea penală într-un caz determinat” — art. 49 alin. (5)
55. Pentru prevenirea infracțiunilor și ordinea publică, sistemele de evidență pot fi interoperabilizate cu:
Răspuns corect: a) Registrul național de evidență a pașapoartelor simple
„Registrul național de evidență a pașapoartelor simple;” — art. 50 alin. (1) lit. b)
56. Interoperabilizarea sistemelor deținute pentru scopuri diferite, în activitățile de prevenire și ordine publică, este posibilă:
Răspuns corect: b) numai cu acordul prealabil al autorității de supraveghere
„pe care le dețin pentru scopuri diferite, numai cu acordul prealabil al autorității de supraveghere” — art. 50 alin. (4)
Autoritatea de supraveghere (art. 51–56)
- Supravegherea prelucrărilor din această lege o face autoritatea de supraveghere (ANSPDCP) art. 51 alin. 1, care monitorizează și controlează legalitatea lor art. 52 alin. 1.
- Excepția: nu supraveghează prelucrările instanțelor în exercițiul funcției judiciare art. 52 alin. 2.
- Sarcini: acțiuni de conștientizare, informarea persoanelor vizate, primirea și investigarea plângerilor, verificarea legalității, cooperarea cu alte autorități, investigații, consiliere la consultarea prealabilă art. 52 alin. 3.
- Acces la toate datele prelucrate de operator și de împuternicit art. 53 alin. 1.
- Competențe art. 53 alin. 2:
- emite avertizări;
- dispune punerea în conformitate, rectificarea sau ștergerea datelor ori restricționarea prelucrării;
- dispune limitarea temporară sau definitivă ori interdicția prelucrărilor.
- Denunțarea confidențială: autoritățile competente instituie mecanisme care o încurajează art. 54.
- Raportul anual se transmite Parlamentului și Guvernului și se pune la dispoziția publicului, Comisiei și Comitetului European pentru Protecția Datelor art. 55.
- Reprezentarea în Comitetul European pentru Protecția Datelor și cooperarea cu instituții similare din străinătate art. 56.
57. Autoritatea de supraveghere NU este competentă să supravegheze operațiunile de prelucrare ale:
Răspuns corect: c) instanțelor, atunci când acționează în exercițiul funcției lor judiciare
„autoritatea de supraveghere nu este competentă să supravegheze operațiunile de prelucrare ale instanțelor atunci când acestea acționează în exercițiul funcției lor judiciare” — art. 52 alin. (2)
58. Printre competențele autorității de supraveghere se numără:
Răspuns corect: a) dispunerea limitării temporare sau definitive ori a interdicției prelucrărilor
„de a dispune limitarea temporară sau definitivă ori interdicția prelucrărilor” — art. 53 alin. (2) lit. c)
59. Raportul anual al autorității de supraveghere se transmite:
Răspuns corect: b) Parlamentului și Guvernului
„Rapoartele se transmit Parlamentului și Guvernului.” — art. 55
Căi de atac și despăgubiri (art. 57–60)
- Plângere la autoritatea de supraveghere, dacă persoana consideră că prelucrarea îi încalcă drepturile art. 57 alin. 1.
- Instanța: persoana se poate adresa instanței pentru orice drept încălcat, fără a pierde posibilitatea plângerii art. 58.
- Mandatarea unei asociații fără scop lucrativ, activă în protecția datelor, care să depună plângerea în numele persoanei art. 59.
- Despăgubiri pentru prejudicii materiale sau morale cauzate de operator sau de altă autoritate competentă art. 60 alin. 1.
- Operator necunoscut la prelucrări automate: fiecare dintre operatorii implicați e considerat responsabil art. 60 alin. 2.
60. Dacă la prelucrările automate nu se poate determina operatorul care a cauzat prejudiciul:
Răspuns corect: c) fiecare dintre operatorii implicați în operațiunea de prelucrare este considerat a fi responsabil
„fiecare dintre operatorii de date cu caracter personal implicați în operațiunea de prelucrare este considerat a fi responsabil” — art. 60 alin. (2)
61. Ce căi are la dispoziție persoana vizată pentru apărarea drepturilor prevăzute de Legea nr. 363/2018?
Persoana vizată se poate adresa cu plângere autorității de supraveghere; se poate adresa instanței pentru apărarea oricăror drepturi încălcate, fără a pierde posibilitatea plângerii; poate mandata un organism, o organizație sau o asociație fără scop lucrativ, activă în protecția datelor, să depună plângerea în numele său; are dreptul la despăgubiri pentru prejudiciile materiale sau morale cauzate de o prelucrare ilegală.
„persoanele vizate au dreptul de a se adresa instanței pentru apărarea oricăror drepturi garantate de prezenta lege” — art. 57-60
Contravenții, sancțiuni și planul de remediere (art. 61–65 și anexa)
- Amendă de la 10.000 la 100.000 lei pentru încălcarea obligațiilor de la art. 11 și 22–42 și a regulilor privind datele sensibile art. 10 art. 61 alin. 1–3.
- Amendă de la 20.000 la 200.000 lei pentru încălcarea art. 61 alin. 4–8:
- principiilor de la art. 5;
- drepturilor persoanelor vizate art. 12–21;
- regulilor privind transferurile în state terțe;
- dispozițiilor autorității de supraveghere sau neacordarea accesului acesteia.
- Prima sancțiune: la constatarea încălcării se aplică avertismentul, prin proces-verbal la care se anexează un plan de remediere art. 62 alin. 1.
- Reluarea controlului: în termen de 10 zile de la expirarea termenului de remediere art. 62 alin. 3.
- Cererea de prelungire: operatorul notifică cu cel puțin 10 zile înainte de expirarea termenului; autoritatea răspunde în 7 zile și poate prelungi termenul cu până la 30 de zile art. 62 alin. 4–6.
- Răspunderea pentru măsurile de remediere revine operatorului sau persoanei împuternicite art. 62 alin. 7.
- Amenda se poate aplica dacă, la reluarea controlului, măsurile din plan nu au fost îndeplinite în totalitate art. 63.
- Modelul planului de remediere este în anexa legii: tabel cu nr., fapta săvârșită, măsuri de remediere, termen de remediere, mod de îndeplinire; alte mențiuni; semnăturile agentului constatator și ale contravenientului; ștampila art. 62 alin. 8, anexa.
- Abrogare: Legea nr. 238/2009 (prelucrarea datelor de către structurile MAI) se abrogă art. 64.
- Intrarea în vigoare a sancțiunilor: art. 61 se aplică la 30 de zile de la publicarea legii în Monitorul Oficial art. 65.
62. Încălcarea obligațiilor de la art. 11 și 22-42 se sancționează cu amendă:
Răspuns corect: a) de la 10.000 lei până la 100.000 lei
„Contravențiile prevăzute la alin. (1) și (2) se sancționează cu amendă de la 10.000 lei până la 100.000 lei.” — art. 61 alin. (3)
63. Încălcarea drepturilor persoanelor vizate prevăzute la art. 12-21 se sancționează cu amendă:
Răspuns corect: b) de la 20.000 lei până la 200.000 lei
„Contravențiile prevăzute la alin. (4)-(7) se sancționează cu amendă de la 20.000 lei până la 200.000 lei.” — art. 61 alin. (5) și (8)
64. La prima constatare a încălcării legii, autoritatea de supraveghere încheie un proces-verbal prin care aplică:
Răspuns corect: c) sancțiunea avertismentului, la care anexează un plan de remediere
„prin care se aplică sancțiunea avertismentului, conform art. 58 alin. (2) lit. b) din Regulamentul general privind protecția datelor, și la care anexează un plan de remediere” — art. 62 alin. (1)
65. Autoritatea de supraveghere poate relua controlul în termen de:
Răspuns corect: a) 10 zile de la data expirării termenului de remediere
„În termen de 10 zile de la data expirării termenului de remediere, autoritatea de supraveghere poate să reia controlul.” — art. 62 alin. (3)
Cifre și termene de reținut
| Ce | Cât | Articolul |
|---|---|---|
| Termenul de remediere | între 60 și 180 de zile de la comunicarea procesului-verbal | art. 4 lit. ț |
| Termenul specific de stocare / evidența pasivă | cel mult jumătate din termenul general / inițial | art. 6 alin. 3–4 |
| Evaluarea calității datelor în sisteme automatizate | cel mult 2 ani | art. 7 alin. 5 |
| Răspuns la cererile persoanei vizate | cel mult 60 de zile calendaristice, gratuit | art. 12 alin. 5; art. 16 alin. 2; art. 18 alin. 5 |
| Prelungirea termenului la rectificare/ștergere | până la 60 de zile calendaristice | art. 18 alin. 6 |
| Distrugerea informațiilor pentru confirmarea identității | 3 ani de la colectare | art. 12 alin. 11 |
| Amânarea furnizării de informații | cel mult un an | art. 15 alin. 2 |
| Raportarea statistică a omisiunilor și limitărilor | în luna ianuarie a fiecărui an | art. 15 alin. 8; art. 17 alin. 6 |
| Punerea la dispoziție a actului dintre operatorii asociați | minimum 5 zile înainte de intrarea în vigoare | art. 24 alin. 4 |
| Evaluarea prelucrărilor existente | 2 ani de la intrarea în vigoare a legii | art. 32 alin. 3 |
| Trimiterea evaluării către autoritate | 30 de zile calendaristice de la finalizare | art. 33 alin. 4 |
| Răspunsul autorității la consultare | 30 de zile lucrătoare, + 20 de zile lucrătoare | art. 34 alin. 1–2 |
| Notificarea încălcării securității | cel târziu 72 de ore | art. 36 alin. 2 |
| Completarea treptată a notificării | cel mult 48 de ore de la notificarea inițială | art. 36 alin. 7 |
| Păstrarea documentelor despre încălcări | 5 ani | art. 37 alin. 1 |
| Informarea persoanei vizate la risc ridicat | cel mult 10 zile calendaristice de la notificarea autorității | art. 39 alin. 1 |
| Autorizarea transferului cerută de alt stat membru | cel mult 30 de zile calendaristice | art. 43 alin. 4 |
| Păstrarea documentației transferurilor | 10 ani | art. 45 alin. 5 |
| Informarea autorității despre transferurile din art. 47 | cel puțin o dată pe an | art. 47 alin. 4 |
| Amendă art. 10, 11, 22–42 | 10.000 – 100.000 lei | art. 61 alin. 3 |
| Amendă art. 5, 12–21, transferuri, art. 53 | 20.000 – 200.000 lei | art. 61 alin. 8 |
| Reluarea controlului | în 10 zile de la expirarea termenului de remediere | art. 62 alin. 3 |
| Cererea de prelungire / răspunsul / prelungirea | cu 10 zile înainte / în 7 zile / până la 30 de zile | art. 62 alin. 4–6 |
| Intrarea în vigoare a art. 61 | 30 de zile de la publicare | art. 65 |
Rezumatul e făcut din textul actului valabil la 21 octombrie 2026 și nu înlocuiește legea: la concurs se cer formulările din text.
Gata cu rezumatul?
Fă un test din tot actul: 85 întrebări, cu verificare pe loc și scor.
Concursuri deschise care cer acest act
© lastat.ro — rezumatele, „Esențialul" și întrebările sunt realizate de lastat.ro. Pregătirea proprie, citarea cu link și distribuirea unei pagini sunt libere; copierea automată sau sistematică nu e permisă (termeni).