La sfârșitul lunii august, în Republica Moldova a intrat în vigoare o nouă lege privind protecția datelor cu caracter personal, care schimbă radical regulile pentru mediul de afaceri și cetățeni. Elaborat în conformitate cu Regulamentul general al Uniunii Europene privind protecția datelor (GDPR), documentul impune o abordare mult mai riguroasă a confidențialității și introduce amenzi considerabile pentru încălcări. NewsMaker explică ce prevede noua lege, de ce companiile vor trebui să-și adapteze activitatea și ce noi instrumente au la dispoziție cetățenii pentru a-și proteja datele.
Ce s-a schimbat pentru afaceri și organizații
Să începem prin a explica ce informații sunt considerate date cu caracter personal. Reprezentanții Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP) au precizat pentru NM că în această categorie intră orice informație referitoare la o persoană fizică identificată sau identificabilă. Mai simplu spus, este vorba despre orice informație care permite stabilirea identității unei persoane. Aceasta poate fi numele, numărul de identificare, datele de localizare, identificatorul online, precum și alte elemente specifice identității fizice, fiziologice, genetice, psihice, economice, culturale sau sociale a persoanei respective.
În Republica Moldova existau reguli privind prelucrarea datelor cu caracter personal și înainte de intrarea în vigoare a noii legi, însă respectarea acestora era adesea mai degrabă o formalitate. Companiile se limitau deseori la publicarea pe site a unui mesaj prin care informau că pot colecta astfel de date. Noua lege introduce principiul responsabilității stricte. Potrivit reprezentanților CNPDCP, orice operator de date cu caracter personal – adică orice persoană sau entitate care prelucrează astfel de informații – trebuie să demonstreze că respectă cerințele legale.
Operatorul este, de asemenea, obligat să asigure protecția datelor: să cripteze sau să anonimizeze datele, să testeze periodic măsurile de securitate și să fie capabil să restabilească rapid datele în cazul unui incident.
Mai mult, colectarea informațiilor „pur și simplu” sau „pentru orice eventualitate” este acum ilegală. Pentru prelucrarea datelor, operatorul trebuie să aibă temeiuri legale. Printre acestea se numără, de exemplu, consimțământul persoanei, necesitatea executării unui contract, obligația legală a companiei, protejarea intereselor vitale, precum și interesul public sau interesul legitim al companiei.
Legea acordă o atenție deosebită securității cibernetice și scurgerilor de informații. Dacă baza de date este spartă, operatorul este obligat să informeze CNPDCP în termen de 72 de ore din momentul depistării incidentului. Dacă însă scurgerea reprezintă o amenințare gravă pentru oameni, de exemplu, au fost furate parole sau date din pașapoarte, compania trebuie să-i informeze direct despre acest lucru și pe cei afectați.
Modificările au vizat și documentația internă a afacerilor. Companiile în care lucrează mai mult de 250 de angajați, precum și întreprinderile a căror activitate este legată de riscuri ridicate sau de informații sensibile sunt obligate să țină un registru detaliat al operațiunilor. În acest document se consemnează ce date anume colectează compania, în ce scop, cui îi sunt transmise și în ce termene urmează să fie șterse. În plus, înainte de lansarea oricăror proiecte digitale de amploare, capabile să influențeze drepturile cetățenilor, afacerile sunt obligate să efectueze o evaluare preliminară a impactului asupra protecției datelor. În unele cazuri, de exemplu, în cazul monitorizării în masă, companiile vor trebui să desemneze un angajat special responsabil de protecția datelor.
Au devenit mai stricte și regulile privind transmiterea informațiilor în străinătate: trimiterea datelor cetățenilor în afara țării este permisă acum exclusiv în prezența unor garanții de securitate sigure.
Pentru încălcarea acestor reguli sunt prevăzute amenzi considerabile, care pot ajunge la 1–2 milioane de lei sau la 1–2% din cifra de afaceri anuală a companiei. Totuși, constatarea unei încălcări nu duce automat la aplicarea unei amenzi. Legea prevede și măsuri corective sau avertismente. Înainte de aplicare, cuantumul amenzii este stabilit individual, pe baza unui mecanism gradual și a unor criterii clare, în funcție de circumstanțele fiecărui caz.
Totodată, reprezentanții CNPDCP au subliniat că nici legea, nici instituția nu urmăresc transformarea supravegherii într-un mecanism exclusiv punitiv. „Sarcina instituției este ca operatorii să înțeleagă noile cerințe, să adapteze procesele și să implementeze măsuri pentru prelucrarea legală, transparentă și sigură a datelor. Cei doi ani de după adoptarea legii au reprezentat o perioadă de tranziție pentru pregătire. Centrul înțelege complexitatea adaptării și este pregătit [dacă va fi necesar] să ofere explicații și asistență metodologică”, au explicat reprezentanții Centrului pentru Protecția Datelor cu Caracter Personal.
Aceștia au mai precizat că, în primul an de la intrarea în vigoare a legii, amenzile nu vor depăși 10% din cuantumul prevăzut de lege, iar în al doilea an vor ajunge la cel mult 40%. Amenzile vor fi aplicate în cuantum integral abia începând cu al treilea an.
Ce s-a schimbat pentru cetățeni
Noua lege le oferă cetățenilor noi posibilități de a-și proteja datele, similare celor existente în Uniunea Europeană. În primul rând, aceasta garantează dreptul la informare. Astfel, orice organizație este obligată să explice cât mai clar și accesibil cine colectează datele, în ce scop și cui îi pot fi transmise ulterior.
Dacă o persoană are îndoieli cu privire la modul în care sunt utilizate datele sale, aceasta poate solicita companiei un raport complet despre ce date ale sale sunt păstrate și ce se întâmplă cu ele. În cazul identificării unor erori sau inexactități, intră în vigoare dreptul la rectificare, care obligă operatorul să corecteze operativ și la prima solicitare datele.
Una dintre cele mai importante noutăți a devenit dreptul la ștergerea datelor. Acesta le permite cetățenilor, în multe situații, să solicite distrugerea completă a informațiilor lor personale din bazele de date ale companiei, fără întârzieri nejustificate. Dacă însă între persoana fizică și organizație apare un litigiu, persoana are dreptul să limiteze prelucrarea datelor sale, „înghețând”, de fapt, utilizarea acestora până la finalizarea tuturor verificărilor.
De asemenea, datorită dreptului la portabilitate, cetățenii își pot lua datele digitale într-un format convenabil și le pot transmite unui alt furnizor de servicii. Cetățenii pot beneficia de toate drepturile enumerate prin depunerea unei solicitări scrise către operator, care nu are dreptul să ignore o astfel de adresare.
Abonați-vă la canalul de Telegram NewsMaker în română. Relatăm despre cele mai importante știri din țară și de peste hotare.
Vreți să susțineți ceea ce facem?
Puteți contribui la realizarea jurnalismului calitativ. Pentru aceasta, puteți contribui printr-o donație unică prin sistemul E-commerce de la maib sau puteți întocmi un abonament lunar pe Patreon! În acest mod, puteți fi parte a schimbării în bine pentru Moldova. Datorită contribuției dvs, noi vom avea posibilitatea să transformăm în realitate și mai multe proiecte noi și importante și, ceea ce este la fel de important, să rămânem independenți. Indiferent de mărimea contribuției, veți primi un mic cadou. Accesați linkul pentru a fi complicele nostru. Nu este greu, ba chiar plăcut.
Susțineți NewsMaker!
