Prelucrarea datelor cu caracter personal în cadrul resurselor umane prin prisma Proiectului de lege privind protecția datelor cu caracter personal Victoria.

Prezentarea pe tema: "Prelucrarea datelor cu caracter personal în cadrul resurselor umane prin prisma Proiectului de lege privind protecția datelor cu caracter personal Victoria."— Transcriere de prezentare:

1 Prelucrarea datelor cu caracter personal în cadrul resurselor umane prin prisma Proiectului de lege privind protecția datelor cu caracter personal Victoria BUTUȘANU Centrul Național pentru Protecția Datelor cu Caracter Personal al Republicii Moldova

2 Raționamentul elaborării proiectului
Evoluțiile tehnologice rapide și globalizarea au generat noi provocări pentru protecția datelor cu caracter personal. Amploarea colectării și schimbul de date cu caracter personal a crescut în mod semnificativ. Tehnologia permite atât societăților private, cât și autorităților publice să utilizeze date cu caracter personal la un nivel fără precedent în cadrul activității lor. Indiscutabil, tehnologia a transformat deopotrivă economia și viața socială, iar revoluția digitală promite beneficii pentru sănătate, mediu, dezvoltarea internațională și eficiența economică, însă ea nu trebuie să dicteze valori și drepturi. Persoanele fizice trebuie să aibă controlul asupra propriilor date cu caracter personal, iar securitatea juridică și practică implementată de persoanele fizice, autoritățile publice și private trebuie să fie consolidată. Aceste evoluții au impus necesitatea elaborării unui cadru solid și mai coerent în materie de protecție a datelor, însoțit de o aplicare riguroasă a normelor, luând în considerare importanța creării unui climat de încredere care va permite economiei digitale să se dezvolte pe piața internă.

3 Principiile prelucrării datelor cu caracter personal Exactitatea
Legalitatea Echitabilitatea Transparența Scop determinat, explicit și legitim Limitări legare de stocare Minimizarea datelor cu caracter personal prelcurate Integritatea și confidențialitatea Exactitatea

4 Principiul exactității
Puncte cheie: Datele personale urmează a fi exacte și, dacă este necesar, actualizate. Trebuie să se ia toate măsurile necesare pentru a se asigura că datele personale care sunt inexacte, urmează a fi șterse, distruse sau rectificate fără întârziere având în vedere scopurile pentru care sunt prelucrate Exemplu: O societate care comercializează mobilă a colectat date privind identitatea şi adresa unui client pentru transmiterea unei facturi. Şase luni mai târziu, aceeaşi societate doreşte să înceapă o campanie de marketing şi doreşte să intre în contact cu foştii clienţi. Pentru a-i contacta, societatea doreşte să acceseze registrul naţional al rezidenţilor, care poate conţine adresele actualizate, întrucât rezidenţii sunt obligaţi prin lege să informeze registrul cu privire la adresa lor curentă. Accesul la datele incluse în acest registru este limitat la persoanele şi entităţile care pot oferi un motiv întemeiat. În această situaţie, societatea nu poate utiliza argumentul conform căruia datele trebuie păstrate exacte şi actualizate pentru a susţine că este îndreptăţită să colecteze datele privind noile adrese ale tuturor foştilor săi clienţi din registrul rezidenţilor. Datele au fost colectate în timpul facturării; pentru acest scop, adresa de la momentul vânzării este relevantă. Nu există niciun temei juridic pentru colectarea datelor privind noile adrese, întrucât marketingul nu reprezintă un interes care să surclaseze dreptul la protecţia datelor şi, prin urmare, nu poate justifica accesarea datelor din registru.

5 Principiul limitării legate de scop
Puncte cheie: Scopul urmează a fi definit până la inițierea prelucrării; Nu se poate face o prelucrare ulterioară a datelor într-un mod incompatibil cu scopul original, deși Regulamentul general privind protecția datelor prevede excepții de la această regula în scopuri de arhivare în interes public, în scopuri științifice sau istorice de cercetare și în scopuri statistice; În esență, principiul limitării scopului înseamnă că orice prelucrare personală datele trebuie să se facă pentru un anumit scop bine definit și numai pentru scopuri suplimentare, specificate, compatibile cu cele originale; Datele personale urmează a fi colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într-un mod incompatibil cu aceste scopuri. Prelucrarea ulterioară în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice nu este considerată incompatibilă cu scopurile inițiale. Exemplu: O companie aeriană colectează date de la pasagerii săi pentru ca agenţiile de rezervare de bilete să gestioneze zborurile în mod adecvat. Compania aeriană va avea nevoie de date privind: numerele de loc ale pasagerilor; limitări fizice speciale, cum ar fi necesitatea unui scaun cu rotile; şi cerinţe alimentare speciale. În cazul în care companiilor aeriene li se solicită să transfere aceste date, care sunt incluse în registrele cu numele pasagerilor, către autorităţile în domeniul imigraţiei de la locul de debarcare, aceste date sunt astfel utilizate în scopuri de control al imigraţiei, care diferă de scopul iniţial pentru care au fost colectate. Prin urmare, transferul acestor date către o autoritate din domeniul imigraţiei va necesita un temei juridic nou şi separat.

6 Transparența Puncte cheie: Exemplu:
Obligația operatorului de a implementa toate măsurile adecvate pentru a menține informați subiecții de date cu caracter personal, cu privire la modul în care se utilizează datele lor. Transparența se poate referi la informațiile primite persoanei fizice înainte de începerea prelucrării, informațiile care ar trebui să fie ușor accesibile persoanelor vizate în timpul procesării, de asemenea, la informațiile furnizate persoanelor vizate în urma unei solicitări de acces la aceste propriile date. Operațiunile de prelucrare trebuie să fie explicate persoanelor vizate într-un mod ușor accesibil, care să le permită să înțeleagă ce se va întâmpla cu datele lor. Acest înseamnă că scopul specific al procesării datelor cu caracter personal trebuie să fie cunoscut de către persoana vizată în momentul colectării datelor cu caracter personal. Transparența de prelucrare necesită folosirea unei limbi clare și clare. Trebuie să fie clar persoanele în cauză care sunt riscurile, regulile, măsurile de protecție și drepturile privind prelucrarea datelor lor personale. Exemplu: În cauza Smaranda Bara și alții c. Preșidentele Casei Națională de Asigurări de Sănătate, Casa Națională de Administrare Fiscală (ANAF) viza transmiterea datelor fiscale referitoare la venituri a persoanelor care desfășoară activități independente de la Agenția Națională de Administrare Fiscală la Fondul Național de Asigurări de Sănătate din România, pe baza căruia au fost solicitate plățile arieratelor pentru contribuțiile de asigurări de sănătate. CJEU a fost solicitat să stabilească dacă ar fi trebuit să i se acorde informații prealabile subiectul datelor privind identitatea operatorului de date și scopul pentru transmiterea datelor înainte ca aceste date să fie procesate de către Administrația Națională Fondul de asigurări sociale de sănătate. CJUE a susținut că în cazul unui organism administrativ public a unui stat membru transmite date cu caracter personal unei alte administrații publice organismul care prelucrează în continuare aceste date, persoanele vizate trebuie informate despre această transmisie sau prelucrare.

7 Principiul minimizării datelor cu caracter personal
Puncte cheie: Prelucrarea datelor trebuie să fie limitată la ceea ce este necesar pentru îndeplinirea unui scop legitim; Prelucrarea datelor cu caracter personal ar trebui să aibă loc numai atunci când scopul prelucrării nu poate fi îndeplinit în mod rezonabil prin alte mijloace; Prelucrarea datelor nu poate interfera în mod disproporționat cu interesele, drepturile și drepturile libertățile în joc. Exemplu negativ: O companie care prestează servicii de telefonie mobilă, la angajare, colectează datele privind orientarea sexuală a candidaților. O asemenea prelucrare nu corespunde principiului minimizării datelor cu caracter personal. Relevante – au legătură cu scopul declarat Adecvate – suficiente pentru a vă îndeplini în mod corespunzător scopul declarat Limitate la scopul declarat Principiul minimizării datelor cu caracter personal Art. 11 Proiectul legii

8 Cum decidem ce este adecvat, relevant și limitat?
Scopul specificat pentru colectarea și prelucrarea datelor cu caracter personal

9 Când se consideră că prelucrăm o cantitate prea mare de date și date inadecvate?
Datele nu reprezintă un suport pentru realizarea scopului declarat/existent în cazul Departamentului resurselor umane

10 Nomenculatorul datelor cu caracter personal prelucrate de catre Departamenul resurselor umane

11

12 Integritatea și confidențialitatea datelor cu caracter personal
Articolul 4 - Asigură securitatea adecvată a datelor personale protecția împotriva prelucrării neautorizate/ilegale/împotriva pierderii/distrugerii/deteriorării accidentale prin luarea de măsuri tehnice sau organizatorice corespunzătoare. Articolul 9 – În cazul în care operatorul, operatorul asociat, persoana împuternicită de operator, destinatarul, precum și alte entități care nu sunt considerate a fi destinatari (oganele de ocrotire a legii), terțul, indiferent de tipul proprietății și domeniul de activitate, forma juridică de organizare, solicită informații privind prelucrarea datelor personale și date personale, cererea trebuie să fie motivată, să includă scopul solicitării, temeiul legal, categoriile de date personale solicitate și să demonstreze legătura de cauzalitate dintre categoriile de date personale solicitate și interesul legitim umărit.

13 Codul muncii Capitolul VI
Prelucrarea datelor personale ale salariatului poate fi efectuată exclusiv în scopul îndeplinirii prevederilor legislaţiei în vigoare, acordării de asistenţă la angajare Angajatorul nu este în drept să obţină şi să prelucreze date privind apartenenţa salariatului la sindicate, asociaţii obşteşti şi religioase, partide şi alte organizaţii social-politice, cu excepţia cazurilor prevăzute de lege; Protecţia datelor personale ale salariatului contra utilizării ilegale sau pierderii este asigurată din contul angajatorulu Angajatorul nu este în drept să obţină şi să prelucreze date referitoare la convingerile politice şi religioase ale salariatului, precum şi la viaţa privată a acestuia. În cazurile prevăzute de lege, angajatorul poate cere şi prelucra date despre viaţa privată a salariatului numai cu acordul scris al acestuia

14 Transmiterea datelor cu caracter personal ale salariaților
Să nu comunice unor terţi datele personale ale salariatului fără acordul scris al acestuia, cu excepţia cazurilor cînd acest lucru este necesar în scopul prevenirii unui pericol pentru viaţa sau sănătatea salariatului, precum şi a cazurilor prevăzute de lege Să nu comunice datele personale ale salariatului în scopuri comerciale fără acordul scris al acestuia Să prevină persoanele care primesc datele personale ale salariatului despre faptul că acestea pot fi utilizate doar în scopurile pentru care au fost comunicate şi să ceară persoanelor în cauză confirmarea în scris a respectării acestei reguli. Persoanele care primesc datele personale ale salariatului sînt obligate să respecte regimul de confidenţialitate, cu excepţia cazurilor prevăzute de lege

15 Să permită accesul la datele personale ale salariatului doar persoanelor împuternicite în acest sens, care, la rîndul lor, au dreptul să solicite numai datele personale necesare exercitării unor atribuţii concrete Să nu solicite informaţii privind starea sănătăţii salariatului, cu excepţia datelor ce vizează capacitatea salariatului de a-şi îndeplini obligaţiile de muncă Să transmită reprezentanţilor salariaţilor datele personale ale salariatului în modul prevăzut de prezentul cod şi să limiteze această informaţie numai la acele date personale care sînt necesare exercitării de către reprezentanţii respectivi a atribuţiilor lor

16 Securitatea prelucrării datelor cu caracter personal Articolul 36
Securitatea spațiului de prelucrare Identificarea și autorizarea persoanelor care au aces la sistemele de evidență ce conțin date personale Instalărea și/sau modificarea mijloacelor, soluțiilor de software/hardware , […] regulile de gestionare a fișierelor temporare Protecția antivirus Protecția contra intruziunilor, inclusiv în cazul utilizării tehnologiilor fără fir

17 Practică frauduloasă de protecție a datelor cu caracter personal
Permiterea accesului la dosarul personal persoanelor neutorizate în acest sens; Divulgarea de către Departamentul resurselor umane a datelor cu caracter personal din dosarul personal a salariatului; Obtrucționarea dreptului subiectului de date cu caracter personal de a solicita ștergerea sau distrugerea unor date din dosarul personal, etc.

18 Drepturile subiecților de date cu caracter personal
Legea 133 privind protecția datelor cu caracter personal dreptul la informare dreptul de acces, dreptul de intervenție dreptul de opoziție, dreptul de a nu fi supus unei decizii individuale Proiectul de lege Dreptul la portabilitatea datelor Dreptul de a fi uitat Dreptul de rectificare

19 Certificarea De asemenea fiecare operator sau persoană împuternicită de operator poate obține în urma unei evaluări adecvate certificate sau mărci cu scopul de a demonstra că operațiunile de prelucrare a datelor personale efectuate de operator sau persoana împuternicită de operator respectă prezenta lege. Acești operatori sau persoane împuternicite de operatori își asumă angajamente obligatorii și executorii prin intermediul instrumentelor contractuale sau altor instrumente obligatorii din punct de vedere juridic în scopul aplicării garanțiilor adecvate, inclusiv a respectării drepturilor subiecților de date. Organismele de certificare sunt acreditate de Centru în baza unor criterii aprobate de ultimul.

20 Transmiterea transfrontalieră a datelor personale
Transmiterile transfrontaliere de date personale către un stat membru al Spațiului Economic European nu necesită o autorizație din partea Centrului. Același lucru se aplică atunci când Comisia Uniunii Europene a decis, pe baza unei decizii, că o țară terță, un teritoriu sau unul sau mai multe sectoare specificate în respectiva țară terță sau o organizație internațională asigură un nivel adecvat de protecție. Transferuri în temeiul unei decizii privind caracterul adecvat al nivelului de protecție Transmiterea transfrontalieră în baza garanțiilor adecvate

21 Prelucrarea datelor personale și libertatea de exprimare și de acces la informație - Articolul 12
În anul 1970 Adunarea Parlamentară a Consiliului Europei adoptă Rezoluția nr. 428(1970) privind mijloacele de comunicare în masă și drepturile omului. „Există o zonă în care exercitarea dreptului la libertatea de informare și la libertatea de informare ar putea ajunge în conflict cu dreptul la inviolabilitatea vieții private garantat de art. 8 al Convenției” Este recunoscută libertatea de exprimare și de acces la informație Orice persoană are dreptul de a prelucra date personale în scopurile exprimării academice, artistice sau literare, precum și în cazul jurnaliștilor pentru prelucrarea datelor personale în scopuri jurnalistice, dacă aceasta se face în scopul publicării informațiilor care vizează interesul public

22 !Nu se aplică Normele prezentei legi, cu excepția competențelor Centrului și prevederilor statuate la art. 1 – 4, 13, 36 și Capitolului VIII și IX, nu se aplică prelucrării datelor cu caracter personal în scopuri academice, artistice, jurnalistice sau literare, dacă acestea sunt necesare pentru a concilia (proporționalitatea și echilibrul) dreptul la protecția datelor personale cu libertatea de exprimare și de informare în care, în același timp: a) prelucrarea datelor se realizează în scopul exercitării dreptului la libertatea de exprimare și de informare, respectând în același timp dreptul persoanei la protecția datelor personale și nu există interese ale subiectului de date care trebuie protejate, cu condiția ca garanțiile subiecților de date nu sunt afectate, iar securitatea fizică și psihică a subiecților de date nu sunt puse în pericol, care sunt mai importante decât interesul public; b) prelucrarea datelor se efectuează în vederea publicării informațiilor de interes public; c) dispozițiile prezentei legi sunt incompatibile și/sau împiedică exercitarea dreptului la libertatea de exprimare și de informare.

23 Legalitatea prelucrării datelor cu caracter personal
Subiectul de date și-a dat consimțământul pentru prelucrarea datelor sale personale pentru unul sau mai multe scopuri specifice Prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului Prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice Prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea competențelor autorității publice cu care este învestit operatorul Prelucrarea este necesară în scopul realizării intereselor legitime urmărite de operator sau de o parte terță […] Prelucrarea este necesară pentru executarea unui contract la care subiectul de date este parte sau pentru a face demersuri la cererea subiectului de date înainte de încheierea unui contract. Legalitatea prelucrării datelor cu caracter personal

24 Responsabilul pentru protecția datelor cu caracter personal Articolul 42-44 proiectul de lege
Informarea și consultarea operatorului, sau a persoanei împuternicite de operator, precum și a angajaților care se ocupă de prelucrarea datelor personale cu privire la obligațiile care le revin în temeiul prezentei legi și al altor dispoziții normative referitoare la protecția datelor personale Monitorizarea respectării prezentei legi, a altor dispoziții normative referitoare la protecția datelor personale și a politicilor operatorului sau ale persoanei împuternicite de operator în ceea ce privește protecția datelor personale, inclusiv alocarea responsabilităților și acțiunile de sensibilizare și de formare a personalului implicat în operațiunile de prelucrare, precum și auditurile aferente Consultarea, la cerere, în ceea ce privește evaluarea impactului asupra protecției datelor personale și monitorizarea funcționării acesteia

25 Responsabilitatea operatorilor de date
Pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu cerințele prezentei legi și/sau alte acte regulatorii în domeniul protecției datelor personale Asigură protecția datelor personale începând cu momentului conceperii și în mod implicit; Asigură evidența activităților de prelucrare a datelor cu caracter personal Implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc

26 Excluderea obligației notificării
În rezultatul reglementărilor menționate a fost exclusă obligativitatea notificării prevăzută în prezent de art. 23 din Legea privind protecția datelor cu caracter personal. Astfel, prezentul proiect de lege nu conține prevederi privind obligația persoanelor fizice și persoanelor juridice care prelucrează date cu caracter personal, de a se înregistra la Centru în calitate de operator de date cu caracter personal și a notifica sistemele sale de evidență în care prelucrează date personale. În aceste condiții, operatorii vor fi obligați individual să respecte normele de securitate a datelor cu caracter personal, modificare care își are scopul în principiul responsabilizării operatorului de date cu caracter personal.

27 Prelucrarea pe scară largă a unor categorii speciale de date
Evaluarea impactului asupra protecției datelor personale (DPIA) Articolul 40 alin. (2) proiectul de lege Monitorizarea sistematică pe scară largă a unei zone accesibile publicului Prelucrarea pe scară largă a unor categorii speciale de date Evaluarea sistematică și cuprinzătoare a aspectelor personale referitoare la subiecții de date care se bazează pe prelucrarea automată, inclusiv crearea de profiluri […]

28 Vă mulțumesc cordial pentru atenție!