GDPR – Un an: Perspectiva Autorității de Supraveghere

Vlad Irimia

În contextul împlinirii unui an de la intrarea în vigoare a Regulamentului 2016/679 privind protecția datelor[1] („Regulamentul” sau „GDPR”), Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal („ANSPDCP” sau „Autoritatea de supraveghere”) a organizat, în data de 24 mai, o dezbatere aniversară, ocazie cu care a lansat public Ghidul Întrebări și Răspunsuri cu privire la aplicarea Regulamentului (UE) 2016/679 („Ghidul”), document ce poate fi accesat la următoarea adresă.

Tot pentru a marca împlinirea unui an de aplicare a Regulamentului, la sfârșitul lunii mai 2019, ANSPDCP a oferit public și o serie de informații cu caracter statistic menite a detalia activitatea Autorității de supraveghere din această perioadă, informații accesibile la următoarea adresă.

Ghidul ANSPDCP

Astfel cum se precizează în comunicatul ANSPDCP privind Ghidul, Autoritatea de supraveghere își propune să ofere clarificări punctuale pentru operatori, împuterniciți și persoane fizice, cu privire la aplicarea prevederilor Regulamentului, precum și ale legislației/ actelor subsecvente adoptate la nivelul României în aplicarea GDPR (și anume: Legea 190/2018[2] și Deciziile emise de Autoritatea de supraveghere).

În ansamblu, Ghidul oferă, sub forma a 85 de întrebări și răspunsuri, o serie de informații utile atât persoanelor fizice vizate cât și tuturor actorilor ce intră sub imperiul de reglementare al GDPR, detaliind o serie de aspecte principale în interpretarea și aplicarea Regulamentului.

Documentul include (i) atât informații cu caracter de principiu aferente temelor indicate, cât și (ii) referiri la dispozițiile relevante din Regulament ori din diversele Directive UE aplicabile în această materie, (iii) referiri la legislația națională aplicabilă, (iv) chestiuni relevante cuprinse în Deciziile adoptate de ANSPDCP, precum și (iv) câteva aspecte incluse în diversele ghiduri, opinii, documente de lucru sau recomandări formulate, la nivel european, de către Comitetul European pentru Protecția Datelor („EDPB”) sau de către fostul Grup de Lucru pentru Protecția Datelor Articolul 29 (Article 29 Working Party).

Astfel, plecând de la aspectele definitorii legate de domeniul de aplicare al Regulamentului, definițiile și principalele obligații ale operatorilor, astfel cum sunt stabilite de GDPR, Ghidul oferă, printre altele, o serie de răspunsuri cu privire la următoarele chestiuni de interes:

a) relația operator – persoană împuternicită de operator;
b) aspecte privind desemnarea unui responsabil cu protecția datelor (DPO) – fiind menționate inclusiv o serie de referiri privind definirea unor termeni relevanți (cum ar fi: autoritate și organism public ori prelucrare pe scară largă) și obligațiile de comunicare către ANSPDCP;
c) condiții de prelucrare a diverselor categorii de date (inclusiv date cu caracter special);
d) aspecte privind acordarea și valabilitatea consimțământului, ca temei al prelucrării;
e) chestiuni referitoare la efectuarea evaluărilor de impact asupra protecției datelor cu caracter personal (cu menționarea situațiilor specifice în care astfel de evaluări se impun, în baza cerințelor ANSPDCP, precum și a o serie de aspecte relevante referitoare la conținutul și efectuarea propriu-zisă a evaluărilor);
f) aspecte referitoare la încălcarea securității datelor (inclusiv cu privire la perioada și modalitatea de notificare a acestora);
g) detalii privind drepturile persoanelor vizate, condițiile de exercitare a acestora precum și informațiile care trebuie furnizate persoanelor vizate, în baza GDPR, fiind menționate inclusiv o serie de aspecte practice (cum ar fi: modalitatea efectivă de informare sau formatul de furnizare al informațiilor);
h) aspecte referitoare la transferul de date către o țară terță sau către o organizație internațională; și
i) măsuri pentru asigurarea securității prelucrării datelor precum și chestiuni referitoare la stocarea acestora.

Autoritatea de supraveghere a considerat necesar să includă, în Ghid, și o serie de chestiuni care privesc operațiunile de prelucrare efectuate de asociațiile de proprietari prin (i) utilizarea mijloacelor de supraveghere video în baza interesului legitim (fiind luate în considerare atât cerințele specifice ale legislației din domeniul pazei și protecției cât și cele privind organizarea şi funcţionarea asociaţiilor de proprietari) și (ii) publicarea listelor de plată de către asociațiile de proprietari.

Tot ca abordare practică, ANSPDCP a furnizat și o clarificare referitoare la posibilitatea instituțiilor publice de a publica pe site-ul propriu datele cu caracter personal ale persoanelor care participă la concursuri pentru ocuparea unor posturi corespunzătoare funcțiilor contractuale.

Ghidul cuprinde, de asemenea, și o indicare a ghidurilor, orientărilor și opiniilor utile adoptate de către EDPB precum și de către Autoritatea de supraveghere.

În plus, documentul pus la dispoziție de ANSPDCP mai conține și o serie de aspecte specifice la nivel național, cum ar fi:
a) indicarea elementelor de noutate aduse de Legea 190/2018, dintre care menționăm: (i) reguli speciale privind prelucrarea unor categorii de date cu caracter personal, precum date genetice, date biometrice sau date privind sănătatea; (ii) condițiile de prelucrare a unui număr de identificare național (spre exemplu: codul numeric personal, seria și numărul actului de identitate); și (iii) prevederi specifice privind prelucrarea datelor cu caracter personal în contextul relaţiilor de muncă;
b) măsurile pe care Autoritatea de supraveghere le poate lua în sectorul privat și în sectorul public, fiind de subliniat condițiile diferite de sancționare aplicabile autorităților și organismelor publice (ce presupun atât aplicarea unui plan de remediere, cât și plafonarea cuantumului amenzilor la un nivel diferit);
c) condițiile de primire și soluționare a plângerilor adresate ANSPDCP, fiind detaliate și aspecte privind întocmirea, depunerea și condițiile de admisibilitate a plângerilor, termenul de răspuns din partea Autorității de supraveghere și posibilitatea persoanelor vizate de a se adresa instanțelor; și
d) o serie de aspecte principale privind efectuarea investigațiilor de către ANSPDCP.

Aprecierile ANSPDCP în baza informațiilor statistice

În baza datelor aferente perioadei 25 mai 2018 – 24 mai 2019, ANSPDCP a formulat următoarele aprecieri privind aplicabilitatea GDPR (astfel cum sunt acestea indicate în comunicatul Autorității de supraveghere):

(i) numărul de plângeri și sesizări a crescut semnificativ (în 2018 fiind primite 5260 de plângeri și sesizări, față de 3734 de plângeri și sesizări primite în 2017), ceea ce indică faptul că a crescut și gradul de conștientizare a persoanelor fizice în privința drepturilor de care beneficiază, odată cu aplicarea Regulamentului; și

(2) din notificările de încălcări de securitate înregistrate, a rezultat că operatorii s-au preocupat să pună în practică obligațiile prevăzute de Regulament și să ia măsurile corespunzătoare în cazul incidentelor apărute.

O detaliere a informațiilor relevante prezentate de Autoritatea de supraveghere, a măsurilor corective aplicate de aceasta precum și a obiectului principal al plângerilor și sesizărilor primite de la diversele persoane vizate veți găsi în secțiunea aferentă privind protecția datelor cu caracter personal din această ediție a newsletter-ului.

Concluzii

Având în vedere atât aspectele pozitive constatate de ANSPDCP privind aplicarea prevederilor GDPR, astfel cum am detaliat mai sus, cât și intenția Autorității de supraveghere de a acorda prioritate îndrumării operatorilor în vederea asigurării unei conformări adecvate la noile reguli de protecția datelor (aspect subliniat de către ANSPDCP în comunicatul de presă emis la data de 31 mai 2019, disponibil la adresa indicată mai sus), se poate aprecia că există o preocupare semnificativă, în special în mediul privat, cu privire la protecția datelor cu caracter personal, aspect subliniat și prin prisma gradului mai mare de conștientizare a drepturilor pe care persoanele vizate le au, conform Regulamentului, precum și prin prisma recomandărilor Autorității de supraveghere, către persoanele vizate, de a-și exercita drepturile prevăzute de GDPR, față de operatori.

Față de apariția Ghidului și luând în considerare și aspectele subliniate în mod public de ANSPDCP, ne manifestăm încrederea că, pe măsura aplicării practice a prevederilor Regulamentului și a legislației naționale subsecvente, recentul Ghid emis de ANSPDCP va putea asimila soluțiile practice necesare și prezenta, în eventuale completări ulterioare, răspunsuri suplimentare adecvate diverselor chestiuni de interes din perspectiva datelor cu caracter personal.

[1] Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE.
[2] Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor).

Av. Vlad Irimia
Senior Associate VOICU & FILIPESCU

Citeşte mai mult despre ANSPDCP, avocat, Comitetul European pentru Protecția Datelor, Daniela Slapciu, Vlad Irimia, Voicu & Filipescu! Pentru condiţiile de publicare pe JURIDICE.ro detalii aici.

Urmăriţi JURIDICE.ro şi pe LinkedIn  WhatsApp  Threads  Google News 

(P) JURIDICE.ro foloseşte şi recomandă SmartBill.