POLITICA DE CONFIDENȚIALITATE ȘI DE PROTECȚIE A DATELOR

 

 

 

 

Aplicarea politicii de confidențialitate și protecție a datelor

Denumirea/numee organizației: Klass Wagen Hungary Kft.

Sediul organizației: 1185 Budapest(a), Üllői út 822.

Persoana responsabilă pentru conținutul prezentei politici: Móricz Ferencz

Data intrării în vigoare a regulamentului: 01.01.2024

 

Alte documente referitoare la prezenta politică:

Documentele și politicile care conțin, de exemplu, o declarație scrisă de consimțământ privind prelucrarea datelor sau, în cazul site-urilor web, o notificare obligatorie privind confidențialitatea, trebuie anexate și gestionate împreună cu politica privind confidențialitatea și protecția datelor.

În completarea acestei politici, vă rugăm să consultați Termenii si Condițiile și Politica de Cookie-uri.

 

Prezenta politică stabilește norme privind protecția persoanelor fizice n ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a datelor cu caracter personal. Aceasta se aplică activităților specifice de prelucrare a datelor și n cazul emiterii de instrucțiuni și notificări care reglementează prelucrarea datelor.

Obligația de a angaja (desemna) un responsabil cu protecția datelor se extinde asupra tuturor autorităților publice sau altor organisme cu atribuții publice (indiferent de datele pe care le prelucrează), precum și asupra altor organizații a căror activitate principală constă n monitorizarea sistematică, la scară largă, a persoanelor sau care prelucrează un număr mare de categorii speciale de date cu caracter personal.

Organizația □ angajează x nu angajează un responsabil cu protecția datelor.

Domeniul de aplicare al regulamentului/politicii

Prezenta politică este valabilă până la revocare și se aplică funcționarilor, angajaților și responsabilului cu protecția datelor din cadrul organizației.

Data: Budapest(a), 01.01.2024

Móricz Ferencz

 Conducătorul organizației

 

Scopul politicii

Scopul acestei politici este de a armoniza cerințele celorlalte norme interne ale organizației cu privire la activitățile de gestionare a datelor pentru a proteja drepturile și libertățile fundamentale ale persoanelor fizice și pentru a asigura prelucrarea adecvată a datelor cu caracter personal.

Organizația își propune ca pe parcursul desfăşurării activităţii sale să respecte pe deplin cerințele legale privind prelucrarea datelor cu caracter personal, în special Regulamentul (UE) Parlamentului European și al Consiliului nr. 679/2016.

Un alt scop important al emiterii prezentei politici este acela de a garanta că, prin cunoașterea și respectarea acesteia, angajații organizației sunt capabili să gestioneze în mod legal datele persoanelor fizice.

 

Concepte-cheie, definiții

• GDPR (Regulamentul general privind protecția datelor) este noul regulament al UE privind protecția datelor
• operator: persoana fizică sau juridică, autoritatea publică, agenția sau orice alt organism care, singur sau împreună cu alții, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; în cazul în care scopurile și mijloacele de prelucrare sunt stabilite prin dreptul Uniunii sau al statelor membre, operatorul sau criteriile specifice pentru desemnarea operatorului pot fi, de asemenea, stabilite prin dreptul Uniunii sau al statelor membre;
• prelucrare: orice operațiune sau set de operațiuni care se efectuează asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, prin mijloace automatizate sau nu, cum ar fi: colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea, transmiterea, diseminarea sau punerea la dispoziție în alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;
• prelucrător date: o persoană fizică sau juridică, o autoritate publică, o agenție sau orice alt organism care prelucrează date cu caracter personal în numele operatorului;
• date cu caracter personal: orice informații referitoare la o persoană fizică identificată sau identificabilă (persoana vizată); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un identificator, cum ar fi un nume, un număr, date de localizare, un identificator online sau la unul sau mai multe elemente specifice identității fizice, fiziologice, genetice, psihice, economice, culturale sau sociale a persoanei fizice respective;
• terț/parte terţă: o persoană fizică sau juridică, o autoritate publică, o agenție sau orice alt organism, altul decât persoana vizată, operatorul, persoana împuternicită de operator sau persoanele care, sub autoritatea directă a operatorului sau a persoanei împuternicite de operator, sunt autorizate să prelucreze datele cu caracter personal;
• consimțământul persoanei vizate: o manifestare voluntară, specifică, informată și lipsită de ambiguitate a dorințelor persoanei vizate prin care aceasta își exprimă acordul cu privire la prelucrarea datelor cu caracter personal care o privesc prin intermediul unei declarații sau al unui act de afirmare lipsit de ambiguitate;
• restricționarea prelucrării datelor: marcarea datelor cu caracter personal stocate în scopul restricționării prelucrării lor viitoare;
• pseudonimizare: prelucrarea datelor cu caracter personal astfel încât să nu mai fie posibilă identificarea persoanei fizice la care se referă datele cu caracter personal fără informații suplimentare, cu condiția ca aceste informații suplimentare să fie păstrate separat și să fie luate măsuri tehnice și organizatorice pentru a se asigura că nu poate fi stabilită nicio legătură între datele cu caracter personal și persoanele fizice identificate sau identificabile; 
• sistem de evidenţă: un set de date cu caracter personal structurat în orice mod, fie centralizat, descentralizat sau structurat în funcție de criterii funcționale sau geografice, care este accesibil pe baza unor criterii specifice;
• incident de încălcare a securității datelor: o încălcare a securității care are ca rezultat distrugerea accidentală sau ilegală, pierderea, modificarea, divulgarea neautorizată sau accesul la date cu caracter personal transmise, stocate sau prelucrate în alt mod;

 

Principii de gestionare a datelor                                                                                                

Prelucrarea datelor cu caracter personal trebuie să fie legală, echitabilă și transparentă pentru persoana vizată.

Datele cu caracter personal pot fi colectate numai în scopuri specificate, explicite și legitime.

Scopurile pentru care sunt prelucrate datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar.

Datele cu caracter personal trebuie să fie exacte și actualizate. Datele personale inexacte trebuie șterse fără întârziere.

Datele cu caracter personal trebuie stocate într-o formă care să permită identificarea persoanelor vizate pentru o perioadă de timp care nu depășește perioada necesară. Datele cu caracter personal pot fi stocate pentru perioade mai lungi numai dacă stocarea are loc în scopuri de arhivare în interes public, în scopuri de cercetare științifică și istorică sau în scopuri statistice.

Datele cu caracter personal trebuie prelucrate astfel încât să se asigure securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale, pierderii accidentale, distrugerii sau deteriorării, prin utilizarea unor măsuri tehnice sau organizatorice adecvate.

Principiile protecției datelor se aplică tuturor informațiilor referitoare la o persoană fizică identificată sau identificabilă.

Un angajat al organizației care este responsabil de prelucrarea datelor este pasibil de acțiuni disciplinare, despăgubiri, răspundere civilă și penală pentru prelucrarea legală a datelor cu caracter personal. În cazul în care un angajat constată că datele cu caracter personal pe care le prelucrează sunt inexacte, incomplete sau neactualizate, acesta trebuie să le corecteze sau să obțină corectarea acestora de către persoana responsabilă de înregistrarea lor.

 

Prelucrarea datelor cu caracter personal                 

Deoarece persoanele fizice pot fi asociate cu identificatori online, cum ar fi adresele IP și identificatorii de tip module cookie, furnizați de dispozitivele, aplicațiile, instrumentele și protocoalele pe care le utilizează, aceste date, combinate cu alte informații, pot fi potrivite, respectiv pot fi şi utilizate pentru a stabili profilul și identificarea acestor persoane fizice.

Prelucrarea datelor şi informaţiilor poate avea loc numai dacă persoana vizată își dă consimțământul liber, specific, informat și neechivoc cu privire la prelucrarea datelor sale prin intermediul unei acțiuni afirmative clare şi exprese, cum ar fi o declarație scrisă, inclusiv electronică, sau orală.

Consimțământul cu privire la prelucrarea datelor cu caracter personal se consideră a fi dat și în cazul în care persoana vizată bifează o casetă în acest sens atunci când vizitează site-ul web. Acţiunea tăcită, bifarea automată a unei casete de către operator sau inacțiunea nu constituie consimțământ.

Consimțământul este, de asemenea, considerat ca fiind dat atunci când un utilizator, în cursul utilizării serviciilor electronice, face setările tehnice relevante sau face o declarație sau întreprinde o acțiune care, în contextul relevant, indică în mod clar consimțământul persoanei în cauză la prelucrarea datelor sale cu caracter personal.

 

Datele cu caracter personal privind starea de sănătate includ datele referitoare la sănătatea unei persoane vizate, care conțin informații despre sănătatea sa fizică sau mentală trecută, prezentă sau viitoare. Acestea includ:

• înregistrarea în baza de date/evidenţă pentru serviciile de sănătate;
• un număr, un simbol sau date atribuite unei persoane fizice în scopul identificării individuale a persoanei respective în scopuri medicale;
• informații obținute în urma testării sau examinării unei părți a corpului sau a unui material constitutiv, inclusiv date genetice și mostre biologice;
• informații privind boala, handicapul, riscul de îmbolnăvire, istoricul medical, tratamentul clinic sau starea fiziologică sau biomedicală a persoanei, indiferent de sursa acestora, care poate fi, de exemplu, un medic sau alt profesionist din domeniul sănătății, un spital, un dispozitiv medical sau un test de diagnostic.

 

Datele genetice sunt definite ca date cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane fizice și care rezultă din analiza unui eșantion biologic prelevat de la persoana respectivă, în special analiza cromozomială sau analiza acidului dezoxiribonucleic (ADN) sau a acidului ribonucleic (ARN) sau a oricărui alt element care permite extragerea de informații echivalente cu cele care pot fi obținute din acestea.

Datele cu caracter personal ale copiilor merită o protecție specială, deoarece aceștia pot fi mai puțin conștienți de riscurile, consecințele, garanțiile și drepturile asociate cu prelucrarea datelor cu caracter personal. Această protecție specială ar trebui să se aplice în special utilizării datelor cu caracter personal ale copiilor în scopuri de marketing sau în scopul creării de profiluri personale sau de utilizator.

Datele cu caracter personal trebuie prelucrate într-un mod care să asigure un nivel adecvat de securitate și confidențialitate, în special pentru a preveni accesul neautorizat la datele cu caracter personal sau utilizarea neautorizată a acestora și a mijloacelor utilizate pentru prelucrarea datelor cu caracter personal.

Trebuie luate toate măsurile rezonabile pentru corectarea sau ștergerea datelor personale inexacte.

 

Legalitatea prelucrării

Prelucrarea datelor cu caracter personal este legală dacă este îndeplinită una dintre următoarele condiții:

• persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;
• prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a lua măsuri la cererea persoanei vizate înainte de încheierea contractului;
• prelucrarea este necesară pentru respectarea unei obligații legale la care este supus operatorul;
• prelucrarea este necesară pentru protecția intereselor vitale ale persoanei vizate sau ale unei alte persoane fizice;
• prelucrarea este necesară pentru îndeplinirea unei sarcini efectuate în interes public sau în exercitarea autorității publice cu care este învestit operatorul;
• prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care aceste interese sunt depășite de interesele sau drepturile și libertățile fundamentale ale persoanei vizate care necesită protecția datelor cu caracter personal, în special în cazul în care persoana vizată este un copil.

 

Astfel cum s-a stabilit mai sus, prelucrarea este legală dacă este necesară în contextul unui contract sau al intenției de a încheia un contract.

În cazul în care prelucrarea este efectuată în executarea unei obligații legale la care este supus operatorul sau în cazul în care este necesară pentru îndeplinirea unei sarcini efectuate în interes public sau în exercitarea autorității publice, prelucrarea trebuie să aibă un temei juridic în dreptul Uniunii sau în dreptul unui stat membru.

Prelucrarea este considerată legală atunci când este efectuată în scopul protejării vieții persoanei vizate sau a intereselor unei alte persoane fizice menționate mai sus. Prelucrarea datelor cu caracter personal bazată pe interesele vitale ale unei alte persoane fizice ar trebui, în principiu, să aibă loc numai dacă nu există niciun alt temei juridic pentru prelucrarea în cauză.

 Unele tipuri de prelucrare a datelor cu caracter personal pot servi atât intereselor publice importante, cât și intereselor vitale ale persoanei vizate, de exemplu atunci când prelucrarea este necesară din motive umanitare, inclusiv atunci când este necesară pentru a monitoriza epidemiile și răspândirea acestora sau în cazul unei urgențe umanitare, în special un dezastru natural sau provocat de om.

Interesul legitim al operatorului – inclusiv al operatorului cu care pot fi partajate datele cu caracter personal – sau al unei părți terțe poate constitui un temei juridic pentru prelucrare. Un astfel de interes legitim poate fi, de exemplu, atunci când există o relație relevantă și adecvată între persoana vizată și operator, cum ar fi atunci când persoana vizată este un client sau un angajat al operatorului.

Prelucrarea datelor cu caracter personal strict necesare pentru prevenirea fraudei este, de asemenea, considerată a fi în interesul legitim al operatorului în cauză. Prelucrarea datelor cu caracter personal în scopuri de marketing direct poate fi, de asemenea, considerată a fi bazată pe interesul legitim.

Pentru a stabili existența unui interes legitim, este necesar să se analizeze cu atenție, printre altele, dacă persoana vizată se putea aștepta în mod rezonabil, la momentul și în contextul colectării datelor cu caracter personal, ca prelucrarea în scopurile pentru care au fost colectate datele să aibă loc. Interesele și drepturile fundamentale ale persoanei vizate pot prevala asupra intereselor operatorului atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu se așteaptă la o prelucrare ulterioară.

Prelucrarea datelor cu caracter personal de către autoritățile publice, unitățile de intervenție în caz de urgență cibernetică, unitățile de gestionare a incidentelor de securitate a rețelelor, operatorii de rețele și furnizori de servicii de comunicații electronice și furnizorii de servicii tehnologice de securitate, în măsura strict necesară și proporțională pentru a asigura securitatea rețelelor și a informațiilor, este considerată a fi în interesul legitim al operatorului în cauză.

Prelucrarea datelor cu caracter personal în alte scopuri decât cele pentru care au fost colectate inițial este permisă numai dacă prelucrarea este compatibilă cu scopurile inițiale pentru care datele cu caracter personal au fost colectate inițial. În acest caz, nu este necesar un temei juridic separat, altul decât temeiul juridic care a făcut posibilă colectarea datelor cu caracter personal.

Prelucrarea datelor cu caracter personal de către autoritățile publice în vederea realizării scopurilor organizațiilor religioase recunoscute oficial, astfel cum sunt definite de dreptul constituțional sau de dreptul internațional public, este considerată a fi de interes public.

 

Consimțământul persoanei în cauză, condiții

• În cazul în care prelucrarea se bazează pe consimțământ, operatorul trebuie să fie în măsură să demonstreze că persoana vizată și-a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.
• În cazul în care persoana vizată își dă consimțământul printr-o declarație scrisă care se referă, de asemenea, la alte aspecte, cererea de consimțământ trebuie comunicată într-un mod care se distinge în mod clar de aceste alte aspecte.
• Persoana vizată are dreptul de a-și retrage consimțământul în orice moment. Retragerea consimțământului nu afectează legalitatea prelucrării bazate pe consimțământul anterior retragerii acestuia. Persoana vizată este informată înainte de acordarea consimțământului. Retragerea consimțământului este posibilă în același mod simplu ca și acordarea consimțământului
• În vederea stabilirii faptului dacă consimțământul este voluntar, ar trebui să se țină seamă în cea mai mare măsură, printre altele, de faptul că consimțământul pentru prelucrarea datelor cu caracter personal care nu sunt necesare pentru executarea contractului, inclusiv pentru furnizarea de servicii, a devenit o condiție a executării contractului.
• Prelucrarea datelor cu caracter personal în legătură cu serviciile societății informaționale oferite direct copiilor este legală atunci când copilul are cel puțin 16 ani. În cazul copiilor cu vârsta sub 16 ani, prelucrarea datelor cu caracter personal ale copiilor este legală numai dacă și în măsura în care consimțământul a fost dat sau autorizat de către persoana care deține autoritatea părintească asupra copilului.

 

Prelucrarea datelor cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filosofice sau apartenența sindicală, a datelor genetice sau a datelor biometrice care dezvăluie identitatea persoanelor fizice, a datelor privind sănătatea și a datelor cu caracter personal privind viața sexuală sau orientarea sexuală a persoanelor fizice este interzisă, cu excepția cazului în care persoana vizată și-a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal în unul sau mai multe scopuri specifice.

Prelucrarea datelor cu caracter personal referitoare la deciziile privind răspunderea penală și infracțiunile și măsurile de securitate aferente poate avea loc numai dacă acestea sunt prelucrate de o autoritate publică.

 

Prelucrarea datelor care nu necesită identificare

În cazul în care scopurile pentru care operatorul prelucrează datele cu caracter personal nu necesită sau nu mai necesită identificarea de către operator a persoanei vizate, operatorul nu este obligat să păstreze informații suplimentare.

În cazul în care operatorul poate demonstra că nu este în măsură să identifice persoana vizată, acesta informează în consecință persoana vizată, atunci când este posibil, prin mijloace adecvate.

 

Informații și drepturi ale persoanei vizate

Principiul prelucrării corecte și transparente impune ca persoana vizată să fie informată cu privire la faptul și scopurile prelucrării.

În cazul în care datele cu caracter personal sunt colectate de la persoana vizată, persoana vizată trebuie, de asemenea, informată cu privire la obligația de a furniza datele cu caracter personal și la consecințele necomunicării datelor. Aceste informații pot fi, de asemenea, completate de pictograme standardizate pentru a furniza persoanei vizate informații generale cu privire la prelucrarea preconizată, într-o formă vizibilă, ușor de înțeles și lizibilă.

Informațiile privind prelucrarea datelor cu caracter personal referitoare la persoana vizată trebuie furnizate persoanei vizate în momentul colectării sau, în cazul în care datele au fost colectate de la o altă sursă decât persoana vizată, într-un termen rezonabil, având în vedere circumstanțele cazului.

Persoana vizată are dreptul de acces la datele colectate care o privesc și dreptul de a exercita acest drept în mod simplu și la intervale rezonabile pentru a stabili și a verifica legalitatea prelucrării. Fiecare persoană vizată ar trebui să aibă dreptul de a fi informată, în special, cu privire la scopurile în care sunt prelucrate datele cu caracter personal și, dacă este posibil, cu privire la perioada pentru care sunt prelucrate datele cu caracter personal,

În special, persoana vizată are dreptul ca datele sale cu caracter personal să fie șterse și să nu mai fie prelucrate în cazul în care colectarea sau alte prelucrări ale datelor cu caracter personal nu mai sunt necesare în raport cu scopurile inițiale ale prelucrării sau în cazul în care persoanele vizate și-au retras consimțământul pentru prelucrarea datelor.

În cazul în care prelucrarea datelor cu caracter personal este efectuată în scopuri de marketing direct, persoana vizată ar trebui să aibă dreptul de a se opune în orice moment, gratuit, prelucrării datelor cu caracter personal care o privesc în astfel de scopuri.

Revizuirea datelor cu caracter personal

Pentru a se asigura că stocarea datelor cu caracter personal este limitată la perioada necesară, operatorul va stabili termene limită pentru ștergere sau revizuire periodică.

 

Perioada de revizuire periodică stabilită de conducătorul organizației: 1 an.

Sarcinile/atribuţiile operatorului de date

Operatorul de date aplică normele interne adecvate de protecție a datelor pentru a asigura prelucrarea legală. Aceste norme acoperă competențele și responsabilitățile operatorului.

Este responsabilitatea operatorului să pună în aplicare măsuri adecvate și eficiente și să poată demonstra că activitățile de prelucrare sunt conforme cu legislația aplicabilă.

O astfel de reglementare ar trebui făcută ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării și de riscul pentru drepturile și libertățile persoanelor fizice.

Operatorul de date pune în aplicare măsuri tehnice și organizatorice adecvate, ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de diferitele grade de risc pentru drepturile și libertățile persoanelor fizice, care variază în probabilitate și gravitate. Aceasta revizuiește și, dacă este necesar, actualizează alte norme interne pe baza prezentelor norme.

Operatorul sau persoana împuternicită de operator păstrează înregistrări adecvate ale activităților de prelucrare desfășurate sub autoritatea sa. Fiecare operator și persoană împuternicită de operator cooperează cu autoritatea de supraveghere și pune aceste înregistrări la dispoziție, la cerere, pentru a monitoriza operațiunile de prelucrare în cauză.

 

Drepturi legate de prelucrarea datelor

 

Dreptul de a solicita informații

Orice persoană poate solicita informații, prin intermediul datelor de contact furnizate, cu privire la datele pe care organizația le prelucrează, pe ce temei juridic, în ce scop, din ce sursă și pentru cât timp. Cererea va fi trimisă la datele de contact furnizate fără întârzieri nejustificate și în termen de cel mult 30 de zile.

 

Dreptul la rectificare

Orice persoană poate solicita o modificare a oricăruia dintre datele sale folosind datele de contact furnizate. O astfel de cerere va fi tratată cu promptitudine și în termen de cel mult 30 de zile, iar informațiile vor fi trimise la datele de contact furnizate.

 

Dreptul la ștergere

Orice persoană poate solicita ștergerea datelor sale prin utilizarea datelor de contact furnizate. La cerere, acest lucru trebuie făcut fără întârzieri nejustificate și în termen de cel mult 30 de zile, iar informațiile trebuie trimise la datele de contact furnizate.

 

Dreptul la blocare, restricționare

Orice persoană poate solicita blocarea datelor sale prin utilizarea datelor de contact furnizate. Blocarea va dura atât timp cât motivul indicat face necesară stocarea datelor. La cerere, acest lucru trebuie făcut fără întârziere și în termen de maximum 30 de zile, iar informațiile trebuie trimise la datele de contact furnizate.

 

Dreptul la opoziţie

Orice persoană se poate opune prelucrării datelor sale folosind datele de contact furnizate. Obiecția va fi examinată și se va lua o decizie pe fond în cel mai scurt timp posibil de la data cererii, dar nu mai târziu de 15 zile, iar informațiile privind decizia vor fi trimise la datele de contact furnizate.

 

Posibilități de punere în aplicare în legătură cu prelucrarea datelor

Autoritatea Națională pentru Protecția datelor și Libertatea de informare

(Nemzeti Adatvédelmi és Információszabadság Hatóság)

Adresă poştală: 1530 Budapest(a), Pf.: 5.

Adresă: 1125 Budapest(a), Szilágyi Erzsébet fasor 22/C.
Telefon: +36 (1) 391-1400 
Fax: +36 (1) 391-1410 
Adresă e-mail: ugyfelszolgalat (kukac) naih.hu 
URL: https://naih.hu 
Coordinate: N 47°30'56''; E 18°59'57'' 

 

În cazul unei încălcări ale drepturilor persoanei vizate, persoana vizată poate acționa operatorul în instanță. Instanța se pronunță asupra cauzei pe cale amiabilă. Persoana vizată poate, la alegerea sa, să introducă acțiunea în fața instanței competente din locul în care își are reședința sau domiciliul.

 

Sarcinile/atribuţiile organizației pentru a asigurarea protecţia adecvată a datelor

• Conștientizarea protecției datelor. Trebuie asigurată competența profesională pentru a respecta normele legislative. Formarea personalului și conștientizarea normelor sunt esențiale.
• Scopul prelucrării datelor, criteriile și conceptul de prelucrare a datelor cu caracter personal trebuie revizuite. Asigurați prelucrarea legală și prelucrarea în conformitate cu politica de protecție și gestionare a datelor.
• Informarea corespunzătoare a persoanei vizate. Trebuie acordată atenție faptului că, atunci când prelucrarea se bazează pe consimțământul persoanei vizate, operatorul trebuie, în caz de îndoială, să dovedească faptul că persoana vizată și-a dat consimțământul.
•  Informațiile furnizate  persoanei vizate trebuie să fie concise, ușor accesibile și ușor de înțeles și, prin urmare, trebuie să fie redactate și prezentate într-un limbaj clar și simplu.
• Prelucrarea transparentă a datelor cu caracter personal necesită ca persoana vizată să fie informată cu privire la faptul și scopurile prelucrării datelor sale. Informațiile trebuie furnizate înainte de începerea prelucrării și dreptul de a fi informat îi revine persoanei vizate în timpul prelucrării acestora, până la încetarea prelucrării.
• Principalele drepturi ale persoanei vizate sunt:
• accesul la datele cu caracter personal care îl privesc;
• rectificarea datelor cu caracter personal;
• ștergerea datelor cu caracter personal;
• restricții privind prelucrarea datelor cu caracter personal;
• opunerea profilării și prelucrării automate;
• dreptul la portabilitatea datelor.
• Operatorul informează persoana vizată fără întârzieri nejustificate și în termen de cel mult o lună de la primirea cererii. Dacă este necesar, luând în considerare complexitatea cererii și numărul de cereri, acest termen poate fi prelungit cu încă două luni. Obligația de a furniza informații poate fi asigurată prin funcționarea unui sistem online securizat prin care persoana vizată poate accesa ușor și rapid informațiile necesare.
• Practicile de gestionare a datelor ale organizației trebuie revizuite și trebuie asigurat dreptul la autodeterminare în materie de informații. La cererea persoanei vizate, datele trebuie șterse fără întârziere în cazul în care persoana vizată își retrage consimțământul pe baza căruia a fost efectuată prelucrarea.
•  Consimțământul persoanei vizate trebuie să indice în mod neechivoc că persoana vizată consimte la prelucrare. În cazul în care prelucrarea se bazează pe consimțământul persoanei vizate, operatorul ar trebui, în caz de îndoială, să dovedească faptul că persoana vizată a consimțit la operațiunea de prelucrare.
• La prelucrarea datelor cu caracter personal ale copiilor, trebuie acordată o atenție deosebită respectării normelor privind prelucrarea datelor. Prelucrarea datelor cu caracter personal în legătură cu serviciile societății informaționale oferite direct copiilor este legală atunci când copilul are cel puțin 16 ani. În cazul copiilor cu vârsta sub 16 ani, prelucrarea datelor cu caracter personal ale copiilor este legală numai dacă și în măsura în care consimțământul a fost dat sau autorizat de către persoana care deține autoritatea părintească asupra copilului.
• În cazul prelucrării sau gestionării ilegale/neconforme cu normele legislative a datelor cu caracter personal, autoritatea de supraveghere trebuie notificată. Operatorul trebuie să efectueze notificarea către autoritatea de supraveghere fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore de la luarea la cunoștință a încălcării securității datelor cu caracter personal, cu excepția cazului în care este puțin probabil ca încălcarea securității datelor cu caracter personal să prezinte un risc pentru drepturile persoanei fizice.
• În anumite cazuri, poate fi oportun ca operatorul să efectueze o evaluare a impactului asupra protecției datelor înainte de prelucrare. Evaluarea impactului ar trebui să evalueze impactul operațiunilor de prelucrare preconizate asupra protecției datelor cu caracter personal. În cazul în care autoritatea de supraveghere a prelucrării datelor cu caracter personal concluzionează că prelucrarea este susceptibilă să prezinte un risc ridicat, operatorul ar trebui să consulte autoritatea de supraveghere înainte de prelucrarea datelor cu caracter personal.
• În cazurile în care activitățile principale implică operațiuni de prelucrare/gestionare date/informaţii cu caracter personal care, prin natura, domeniul de aplicare sau scopurile lor, necesită monitorizarea sistematică și pe scară largă a persoanelor vizate, ar trebui numit un responsabil cu protecția datelor. Numirea unui astfel de funcţionar/responsabil are ca şi scop consolidarea securității datelor.

 

Securitatea datelor

În special, trebuie luate măsuri adecvate pentru a proteja datele împotriva accesului neautorizat, modificării, divulgării, dezvăluirii, ștergerii sau distrugerii, distrugerii accidentale sau deteriorării accidentale, precum și împotriva inaccesibilității care rezultă din modificări ale tehnologiei utilizate.

Pentru a proteja fișierele de date gestionate electronic în registre, ar trebui să fie luate măsuri tehnice adecvate pentru a garanta că datele stocate în respectivele registre nu pot fi legate direct de persoana vizată și atribuite acesteia.

La proiectarea și punerea în aplicare a securității datelor, trebuie să se țină seama de stadiul actual al tehnologiei. Dintre mai multe soluții posibile de prelucrare a datelor, ar trebui aleasă cea care asigură un nivel mai ridicat de protecție a datelor cu caracter personal, cu excepția cazului în care aceasta ar impune o sarcină disproporționată operatorului.

Funcţionarul responsabil cu protecția datelor

 

Numirea unui funcţionar responsabil cu protecția datelor este obligatorie pe baza următoarelor criterii:

• prelucrarea este efectuată de autoritățile publice sau de alte organisme cu misiune de serviciu public, cu excepția instanțelor judecătorești care acționează în exercitarea funcției lor judiciare;
• activitățile principale ale operatorului sau ale persoanei împuternicite de operator implică operațiuni de prelucrare care, prin natura, domeniul de aplicare sau scopurile lor, necesită monitorizarea sistematică și pe scară largă a persoanelor vizate;
• principalele activități ale operatorului sau ale persoanei împuternicite de operator se referă la prelucrarea unei cantități mari de date cu caracter personal referitoare la deciziile privind răspunderea penală și infracțiunile.

 

Atunci când numirea unui funcţionar responsabil este obligatorie, se aplică următoarele reguli:

Responsabilul cu protecția datelor este numit pe baza competenței profesionale și, în special, a cunoștințelor de specialitate privind legislația și practica în domeniul protecției datelor, precum și a capacității de a îndeplini sarcinile de operator de date.

Responsabilul  poate fi un angajat al operatorului sau al persoanei împuternicite de operator, dar poate, de asemenea, să își îndeplinească sarcinile în cadrul unui contract de servicii.

Numele și datele de contact ale responsabilului cu protecția datelor trebuie să fie publicate de operator sau de persoana împuternicită de operator și comunicate autorității de supraveghere.

 

Statutul responsabilului cu protecția datelor

Operatorul trebuie să se asigure că funcţionarul responsabil este implicat în toate aspectele legate de protecția datelor cu caracter personal într-un mod adecvat și în timp util. Trebuie asigurată situaţia în care sunt disponibile resursele necesare pentru a menține nivelul de expertiză al funcţionarului responsabil de datele cu caracter personal.

Responsabilul nu acceptă instrucțiuni de la nimeni în legătură cu îndeplinirea sarcinilor sale. Operatorul sau persoana împuternicită de operator nu concediază și nu sancționează funcţionarul în legătură cu îndeplinirea atribuțiilor sale. Responsabilul răspunde direct în fața conducerii superioare a operatorului sau a persoanei împuternicite de operator.

Persoanele vizate pot contacta responsabilul cu protecția datelor pentru toate aspectele legate de prelucrarea datelor lor cu caracter personal și de exercitarea drepturilor lor.

Funcţionarul responsabil este supus unor obligații de confidențialitate sau de protecție a datelor în exercitarea funcțiilor sale.

Funcţionarul responsabil poate îndeplini și alte sarcini, dar nu trebuie să existe niciun conflict de interese în legătură cu aceste sarcini.

 

Sarcinile responsabilului cu protecția datelor

• furnizarea de informații și consiliere profesională operatorului sau persoanei împuternicite de operator și personalului care efectuează prelucrarea;
• monitorizarea respectării normelor interne ale operatorului sau ale persoanei împuternicite de operator privind protecția datelor cu caracter personal;
• la cerere, oferă consultanță tehnică cu privire la evaluarea impactului asupra protecției datelor și monitorizează desfășurarea evaluării impactului;
• să coopereze cu autoritatea de supraveghere.

 

Incident privind protecția datelor

O încălcare a securității datelor este o încălcare a securității care are ca rezultat distrugerea accidentală sau ilegală, pierderea, modificarea, divulgarea neautorizată sau accesul la date cu caracter personal transmise, stocate sau prelucrate în alt mod.

O încălcare a securității datelor cu caracter personal poate cauza prejudicii fizice, materiale sau morale persoanelor fizice, inclusiv pierderea controlului asupra datelor lor cu caracter personal sau restrângerea drepturilor acestora, discriminarea, furtul de identitate sau utilizarea abuzivă a identității lor, dacă nu este soluționată în mod adecvat și în timp util.

Autoritatea de supraveghere competentă trebuie notificată fără întârzieri nejustificate și în termen de cel mult 72 de ore despre orice eventual incident privind protecția datelor, cu excepția situaţiei în care se poate demonstra, în conformitate cu principiul responsabilității, că este puțin probabil ca incidentul privind protecția datelor să prezinte un risc pentru drepturile și libertățile persoanelor fizice.

Persoana vizată trebuie informată fără întârziere în cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să conducă la un risc ridicat pentru drepturile și libertățile persoanei fizice, pentru a-i permite acesteia să ia măsurile de precauție necesare.

Prelucrarea datelor în scopuri administrative și de păstrare a înregistrărilor

De asemenea, organizația poate prelucra date cu caracter personal în contextul activităților sale și în scopuri administrative și de păstrare a evidențelor.

Prelucrarea se bazează pe consimțământul liber exprimat și explicit al persoanei vizate, pe baza unor informații adecvate. După informarea detaliată, inclusiv cu privire la scopurile, temeiul juridic și durata prelucrării și drepturile persoanei vizate, persoana vizată trebuie să fie informată cu privire la caracterul voluntar al prelucrării. Consimțământul pentru prelucrare este consemnat în scris.

 

Prelucrarea datelor în scopuri administrative și de păstrare a înregistrărilor servește următoarelor scopuri:

• prelucrarea datelor membrilor și angajaților organizației, pe baza unei obligații legale;
• prelucrarea datelor persoanelor care au o relație contractuală cu organizația în scopuri de contact, contabilitate și evidență;
• datele de contact ale altor organizații, instituții și întreprinderi care fac afaceri cu organizația, care pot include datele de contact și de identificare ale persoanelor fizice;

 

Prelucrarea datelor astfel cum este descrisă mai sus se bazează pe o obligație legală, pe de o parte, iar pe de altă parte, persoana vizată și-a dat consimțământul explicit pentru prelucrarea datelor sale (de exemplu, în scopul unui contract de muncă sau la înregistrarea ca partener pe un site web etc.)

În cazul documentelor scrise (cum ar fi CV-uri, cereri de angajare, alte propuneri etc.) care conțin date cu caracter personal, consimțământul persoanei în cauză trebuie prezumat. După închiderea cazului, documentele trebuie distruse în absența consimțământului pentru utilizarea ulterioară. Faptul distrugerii trebuie consemnat într-un raport.

În cazul prelucrării în scopuri administrative, datele cu caracter personal sunt incluse numai în dosarele și înregistrările cazului. Prelucrarea acestor date durează până când documentul pe care se bazează prelucrarea este eliminat.

Prelucrarea în scopuri administrative și de păstrare a înregistrărilor ar trebui revizuită anual pentru a se asigura că stocarea datelor cu caracter personal este limitată la perioada necesară, iar datele cu caracter personal inexacte ar trebui șterse fără întârziere.

Respectarea legii trebuie asigurată și în cazul prelucrării în scopuri administrative și de păstrare a datelor.

 

Prelucrarea în alte scopuri

În cazul în care organizația dorește să efectueze prelucrări care nu sunt reglementate de prezenta politică, aceasta trebuie mai întâi să modifice aceste norme interne în consecință sau să adauge norme sau reglementări suplimentare corespunzătoare noului scop al prelucrării.

Alte documente referitoare la prezenta politică

Documentele și politicile care conțin, de exemplu, o declarație scrisă de consimțământ privind prelucrarea datelor sau, în cazul site-urilor web, o notificare obligatorie privind confidențialitatea, trebuie anexate și gestionate împreună cu politica privind confidențialitatea și protecția datelor.

Legislația pe care se bazează prelucrarea datelor

 

• REGULAMENTUL (UE) 679/2016 AL PARLAMENTULUI EUROPEAN ȘI AL CONSILIULUI din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 95/46/CE (Regulamentul general privind protecția datelor).

 

-Legea nr. CXII din 2011 privind dreptul la autodeterminare informațională și libertatea de informare.

 

• Legea nr. LXVI din 1995 privind registrele publice, arhivele publice și protecția materialului arhivistic privat.

 

• Decretul Guvernului nr. 335/2005 (29.XII.) privind cerințele generale de gestionare a documentelor de către organismele publice.

 

• Legea CVIII din 2001 privind anumite aspecte ale serviciilor de comerț electronic și ale serviciilor societății informaționale.

 

• Legea nr. C din 2003 privind comunicațiile electronice.