Regulile pentru aplicarea GDPR, promulgate de presedintele Iohannis

Pe ultima suta de metri, senatorii au introdus cateva noi modificari prin care au scos partidele din lista celor responsabili cu implementarea GDPR, insa a fost adugata o prevedere interesanta si pentru firme. Acestea vor avea posibilitatea sa realizeze profiluri prin prelucrarea datelor personale, insa numai cu consimtamantul explicit al persoanei vizate, dar si masuri de protejare a drepturilor si intereselor acesteia. 

Partidele politice si GDPR

Asa cum mentionam anterior, senatorii au reusit sa strecoare in lege un amendament prin care le permite partidelor politice din tara noastra sa prelucreze date fara consimtamantul expres al persoanei vizate. Nu este inca foarte clar daca aceasta masura contravine Directivei europene. Ce stim cu siguranta, este ca la alegerile care urmeaza organizatiile politice, organizatiile minoritatilor nationale si ONG-urile vor putea prelucra date cu caracter personal fara consimtamantul expres al persoanei vizate, spre deosebire de toate celelalte institutii sau firme private. 

Art. 9

"(1) ...

(2) Prelucrarea datelor cu caracter personal si special este permisa partidelor politice si organizatiilor cetatenilor apartinand minoritatilor nationala, organizatiilor neguvernamentale, in vederea realizarii obiectivelor acestora, fara consimtamantul expres al persoanei vizate, dar cu conditia sa se prevada garantiile corespunzatoare, mentionate la alineatul precedent."

Avand in vedere ultimele amendamente votate de senatori, intelegem ca organismele publice care incalca prevederile GDPR vor avea o perioada de cel mult trei luni pentru remedierea situatiei, conform planului propus de ANSPDPC.

Regulamentul GDPR intrat in vigoare la data de 25 mai si in tara noastra prevede, printre altele, ca angajatorii nu-si vor putea monitoriza angajatii decat dupa informarea lor prealabila. Amenzile pentru nerespectarea normelor in domeniu vor fi de maximum 200.000 de lei.

Controlul ANSPDCP, prelucrarea datelor genetice si a datelor privind sanatatea

Pachet Teste REZOLVATE pentru reusita la examenul de titularizare in invatamantul prescolar - EDUCATORI 2 culegeri

Vezi AICI detalii

Consilier Ghid complet de Salarizare ReviSal si Contributii sociale

Vezi AICI detalii

Registrul de Evidenta Fiscala PFA

Vezi AICI detalii

Daca in timpul controlului institutiei abilitate cu astfel de atributii se constata incalcarea legislatiei in vigoare privind protectia datelor personale, atunci se va intocmi, in prima instanta, un plan de remediere si se va stabili o perioada in care acesta va fi implementat.

O alta noutate pe care trebuie s-o avem in vedere este reprezentata de reducerea termenului de remediere. Senatorii au votat ca acesta sa fie de maximum 90 de zile. Inainte de schimbarea introdusa de senatori, termenul de remediere era de maximum 180 de zile. 

In urma expirarii termenului de remediere, ANSPDCP va putea relua controlul. Asadar, in termen de 10 zile de la expirarea termenului inspectorii vor putea din nou sa verifice daca GDPR este aplicat corect. Chiar si asa, e important sa stim ca se poate cere extinderea termenului initial de remediere. ANSPDCP analizeaza solicitarea de prelungire si comunica raspunsul in termen de 7 zile de primirea cererii. Daca inspectorii o vor considera justificatam, vor prelungi termenul de remediere cu pana la 30 de zile. In caz contrar, vor relua controlul si, cel mai probabil, vor aplica amenzi pentru constatarea de nereguli. 

O alta modificare importanta adusa de deputati a fost introducerea posibilitatii prelucrarii datelor genetice, biometrice sau a datelor privind sănătatea, în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri, cu consimtamântul explicit al persoanei vizate sau dacă prelucrarea este efectuată in temeiul unor dispoziţi legale exprese, cu instituirea unor măsuri corespunzătoare. Proiectul prevedea initial o interdictie expresa in acest sens. In mod particular, proiectul de lege stabilea ca prelucrarea datelor genetice, biometrice sau a datelor privind sanatatea, in scopul realizarii unui proces decizional automatizat sau pentru crearea de profiluri este interzisa, cu exceptia prelucrarilor efectuate de catre sau sub controlul autoritatilor publice, in limitele puterilor ce le sunt conferite prin lege si in conditiile stabilite de legile speciale care reglementeaza aceste materii, care sa prevada si garantii adecvate pentru persoana vizata. ”Interdictia nu va putea fi ridicata prin consimtamantul persoanei vizate”, stabilea proiectul dar deputatii PNL au obtinut modificarea prevederii, subliniind ca ar fi blocat sectoare intregi din mediul privat, precum serviciile online de sanatate sau asigurarile in domeniu. Acum, senatorii au tinut sa prevada explicit ca operatorii datelor sunt obligati sa asigure si masurile necesare pentru ”protejarea drepturilor libertatilor si intereselor legitime” ale persoanelor vizate.

In continuare, proiectul de lege promulgat de presedinte stabileste ca amenda minima va fi de 10.000 de lei, iar maximum cumulat al amenzilor va fi 100.000 lei. Asadar, senatorii au stabilit ca sanctiunile contraventionale principale sunt avertismentul si amenda contraventionala, nu mustrarea si amenda.

Supravegherea angajatilor de catre companii

In 2017 CEDO ii dadea dreptate unui angajat roman care comunica de la locul de munca, folosind un obiect de inventar al companiei, cu logodnica sa si a fost concediat pentru acest lucru. CEDO a aratat ca acesta trebuia instiintat de faptul ca este monitorizat. Avand acest aspect in vedere, alesii din Parlament au adus cateva modificari proiectului legislativ privind regulile de aplicare a GDPR in Romania. Asadar, in cazul in care sunt utilizate sisteme de monitorizare prin mijloace de comunicatii electronice sau prin mijloace de supraveghere video la locul de munca, prelucrarea datelor cu caracter personal ale angajatilor, in scopul realizarii intereselor legitime urmarite de angajator, va fi permisa numai daca este vorba de activitati de importanta deosebita, iar angajatorul a realizat informarea prealabila obligatorie, completa si in mod explicit a angajatilor si a consultat sindicatul/reprezentantii angajatilor inainte de introducerea sistemelor de monitorizare.

In plus, supravegherea angajatilor este permisa daca alte modalitati mai putin intruzive folosite in trecut nu au functionat. 

Dupa cum bine stim deja, proiectul de lege stabileste si faptul ca institutiile, autoritatile sau institutiile care prelucreaza date cu caracter personal vor avea obligatia desemnarii unui DPO. 

Conform analizelor efectuate de specialisti, peste 340.000 de firme din tara noastra vor fi influentate semnificativ de noile reguli. 

Amenzile - senatorii au fost blanzi (cu ai lor)

Conform Directivei europene, amenzile pentru incalcarea legislatiei in vigoare sau a unui ordin emis de ANSPDCP se sanctioneaza cu amenzi de pana la 20.000.000 de euro sau pana la 4% din ifra de afaceri mondiala totala anuala corespunzatoare exercitiului financiar anterior. In Romania, insa, lucrurile vor fi un pic diferite pentru organismele publice. Asa cum precizam mai sus, amenzile vor fi limitate pana la 100.000 de lei pentru nerespectarea procedurilor de certificare sau 200.000 de lei pentru incalcarea principiilor de prelucrare, inclusiv privind consimtamantul sau transferul de date. Atentie! Aceasta limitare este valabila momentan doar pnetru Parlament, Administratia Prezidentiala, Guvern, ministerele, alte organe de specialitate ale administratiei publice centrale, institutii publice autonome, autoritatile locale si judetene, precum si alte autoritati publice sau institutii aflate in subordonare/coordonarea acestora. 

Indiferent daca vorbim despre firme sau institutii publice, constatarea neregulilor si sanctionarea se va face de catre ANSPDCP. Ei vor decide, in functie de gravitatea fiecarui caz, daca vor da avertisment sau amenda. 

Important! Noile prevederi se vor aplica si sesizarilor inregistrate inainte de 25 mai si aflate in curs de solutionare, dar daca regulamentul european si legea mentionata  prevad o sanctiune mai grava, contraventia savarsita anterior datei de 25 mai va fi sanctionata conform dispozitiilor actelor normative in vigoare la data savarsirii acesteia.