POLITICA  GENERALĂ  CU  PRIVIRE  LA  PROTECȚIA  ȘI  PRELUCRAREA DATELOR  CU  CARACTER  PERSONAL  A  ASOCIATIEI PERSONA

 

PREAMBUL:

Prezenta politică generală de confidențialitate va guverna întreaga activitate, procedurile și procesele privitoare la prelucrarea datelor cu caracter personal din cadrul ASOCIATIEI PERSONA

Date de contact, pentru protecția datelor cu caracter personal: tel. mobil: +40 748222764, e-mail: nicoleta.maria.stoica@gmail.com

 

1. DEFINIȚII

Datele cu caracter personal = orice informație referitoare la o persoană identificată sau identificabilă („persoana vizată”): nume, prenume, poreclă, pseudonim, data și locul nașterii, cod numeric personal, domiciliul (integral / parțial), seria și numărul de carte de identitate, seria și numărul de pașaport, seria și numărul card-ului de sănătate, numărul card-ului bancar, seria și numărul permisului de conducere, adresa de e mail, nr. de telefon fix/mobil, nr. fax, un identificator online, unul sau mai multe elemente specifice proprii identității sale fizice (semne distinctive), fiziologice (boli, dizabilități, deficiențe), genetice (boli, cariotipuri, cariograme), psihice (dizabilități), economice, culturale sau sociale, precum și orice alte date care pot conduce la identificarea unei persoane.

Persoana vizată = o persoana care poate fi identificată direct sau indirect, prin referire una sau mai multe din datele cu caracter personale.

Prelucrarea datelor cu caracter personal = orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea (ultimele două reprezintă prelucrări finale).

Restricționarea prelucrării datelor cu caracter personal = marcarea datelor cu caracter personal stocate cu scopul de a limita prelucrarea viitoare a acestora (blocarea prelucrării viitoare).

Crearea de profiluri = orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special pentru a analiza sau prevedea aspecte privind performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, fiabilitatea, comportamentul, locul în care se află persoana fizică respectivă sau deplasările acesteia.

Pseudonimizare = prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare, cu condiția ca aceste informații suplimentare să fie stocate separat să facă obiectul unor măsuri de natură tehnică și organizatorică care să asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile.

Operator = persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu alte persoane, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal.

Persoana împuternicită de operator = persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului.

Destinatar = persoana fizică sau juridică, autoritatea publică, agenția sau alt organism căreia (căruia) îi sunt divulgate datele cu caracter personal, indiferent dacă este sau nu o parte terță.

Parte terță = o persoană fizică sau juridică, autoritate publică, agenție sau organism altul decât persoana vizată, operatorul, persoana împuternicită de operator și persoanele care, sub directa autoritate a operatorului sau a persoanei împuternicite de operator, sunt autorizate să prelucreze date cu caracter personal.

Consimțământ = orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate.

Încălcarea securității datelor cu caracter personal = o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea.

Date genetice = datele cu caracter personal referitoare  la caracteristicile genetice moștenite sau dobândite ale unei persoane fizice.

Date biometrice = date cu caracter personal care rezultă în urma unor tehnici de prelucrare specifice referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane fizice care permit sau confirmă identificarea unică a respectivei persoane, cum ar fi imaginile faciale sau datele dactiloscopice.

Date privind sănătatea = înseamnă date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv prestarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia.

 

1. INFORMAREA ȘI CONSIMȚĂMÂNTUL DE PRELUCRARE A DATELOR CU CARACTER PERSONAL.

Prelucrarea datelor cu caracter personal se va realiza numai în baza consimțământului clar, neechivoc,  prealabil, în scris (prin sisteme electronice sau fizic)  exprimat de fiecare persoană fizică în parte.

Pentru minori  consimțământul de prelucrare a datelor cu caracter personal se va exprima clar, neechivoc, prealabil, în scris (prin sisteme electronice sau fizic) de reprezentanții legali (părinți sau tutori).

Consimțământul se va exprima după informarea completă a persoanei fizice, cu precizarea destinatarilor sau categoriilor de destinatari cărora li se vor transmite datele cu caracter personal ale persoanei fizice.

Informarea persoanelor fizice va cuprinde:

Când datele sunt colectate direct de la persoana fizică vizată, la momentul la care datele personale sunt colectate, operatorul trebuie să furnizeze persoanei vizate următoarele:

1. identitatea și datele de contact ale operatorului sau ale reprezentantului acestuia
2. datele de contact ale responsabilului cu protecția datelor,
3. scopurile în care sunt prelucrate datele cu caracter personal, temeiul juridic al prelucrării (temei contractual/legal); categoriile de date cu caracter personal vizate
4. destinatarii sau categoriile de destinatari ai datelor cu caracter personal, cu precizarea că datele personale ale clienților vor fi transferate către agenți economici din țări sau din afara UE sau SEE
5. perioada de stocare
6. drepturile persoanei fizice vizate de a solicita operatorului accesul la datele cu caracter personal proprii sau ale minorilor reprezentanți, rectificarea sau ștergerea datelor cu caracter personal proprii sau ale minorilor reprezentați, dreptul de a restricționa sau de a se opune la prelucrarea datelor cu caracter personal, precum și dreptul la portabilitatea datelor cu caracter personal
7. dreptul persoanei fizic vizate de a-și retrage consimțământul în orice moment (fără ca prelucrarea realizată anterior retragerii consimțământului să fie afectată)
8. dreptul de a depunere plângere la autoritatea de supraveghere
9. dacă datele sunt necesare pentru încheierea sau executarea unui contract, obligația de a furniza datele și consecințele nefurnizării o existența unor decizii automate,
10. crearea de profiluri, logica din spatele acestor procese de profilare și consecințele pentru persoana vizată

Când datele nu sunt obținute direct de la persoana vizată ci din altă sursă (de la intermediari):

– trebuie furnizate aceleași informații ca la punctul anterior o suplimentar plus  categoriile de date și  sursa de unde provin aceste date cu caracter personal

Când datele nu sunt obținute direct de la persoana vizată ci din altă sursă (de la intermediari) operatorul are obligația de a furniza persoanelor fizice informațiile de mai sus:

✓ într-un termen rezonabil, dar nu mai mare de o lună, calculat primirii datelor de la intermediar;

✓ dacă datele cu caracter personal urmează să fie utilizate pentru comunicarea cu persoana vizată, cel târziu în momentul primei comunicări către persoana vizată respectivă; sau

✓ dacă se intenționează divulgarea datelor cu caracter personal către un alt destinatar, cel mai târziu la data la care acestea sunt divulgate pentru prima oară.

 

III. PRINCIPII

La nivelul operatorului (agentului economic inclusiv a afiliatelor/subsidiarelor), politica generală de confidențialitate cu privire la prelucrarea datelor cu caracter personal va fi coordonată de următoarele principii generale:

1.1. Principiul legalității

Orice prelucrare a datelor cu caracter personal se va realiza numai cu respectarea normelor legale în vigoare și numai pentru scopul legal stabilit.

Orice prelucrare a datelor cu caracter personal se va realiza în limitele obiectului de activitate al operatorului și pentru executarea obligațiilor contractuale sau legale.

Orice prelucrare a datelor cu caracter personal se va realiza numai de către angajații sau colaboratorii operatorului, numai în limitele necesare executării contractelor și numai la cererea, din dispoziția operatorului (a conducerii operatorului).

1.2. Principiul echității

Principiul echității presupune ca orice operațiune de prelucrare a datelor cu caracter personal, privită individual, precum și  toate operațiunile de prelucrare a datelor cu caracter personal, privite cumulativ, să asigure un echilibru între drepturile și obligațiile persoanei vizate și drepturile și obligațiile operatorului.

1.3. Principiul transparenței

Principiul transparenței reprezintă o garanție pentru persoanele fizice vizate cu privire la modul în care datele cu caracter personal sunt  colectate, utilizate, consultate sau prelucrate.

Acest principiu se referă în special la informarea persoanelor vizate privind identitatea operatorului și scopurile prelucrării, precum și la oferirea de informații suplimentare, pentru a asigura o prelucrare echitabilă și transparentă în ceea ce privește persoanele fizice vizate și dreptul acestora de a li se confirma și comunica datele cu caracter personal care le privesc care sunt prelucrate.

Principiul transparenței prevede că orice informații și comunicări referitoare la prelucrarea respectivelor date cu caracter personal sunt ușor accesibile și ușor de înțeles și că se utilizează un limbaj simplu și clar.

 

 

1.4. Principiile colectării și prelucrării datelor cu caracter personal

Colectarea datelor cu caracter personal se va realiza pentru scopuri specifice activității operatorului, determinate, explicite și legitime.

Colectarea datelor trebuie să asigure persoanele fizice vizate că acestea nu vor fi prelucrate ulterior într-un mod incompatibil cu aceste scopuri determinate, explicite și legitime.

Prelucrarea ulterioară în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice nu este considerată incompatibilă cu scopurile specifice activității operatorului.

Datele cu caracter personal care sunt prelucrate trebuie să fie: adecvate (pertinente pentru realizarea unei prelucrări necesare pentru îndeplinirea activității legale a operatorului/pentru executarea obligațiilor contractuale), relevante (utile pentru realizarea unei prelucrări necesare pentru îndeplinirea activității legale a operatorului/pentru executarea obligațiilor contractuale),limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate, exacte și unde e cazul, actualizate.

Trebuie luate măsuri rezonabile ca datele care nu sunt exacte să fie șterse și / sau rectificate fără întârziere.

Limitări legate de stocare

Regula: datele nu trebuie păstrate mai mult decât este necesar pentru îndeplinirea scopurilor. Excepția: datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în următoarele scopuri:

✓ arhivare în interes public

✓ cercetare științifică sau istorică

✓ statistice

 

1. INTERDICȚII:

Operatorul, în baza regulamentului, interzice prelucrarea următoarelor date cu caracter personal: datelor cu caracter personal care dezvăluie originea rasială sau etnică, opiniilor politice, confesiunilor religioase, convingerilor filozofice, apartenențelor la sindicate, datelor genetice, datelor biometrice, datelor privind sănătatea, datelor privind viața sexuală sau orientarea sexuală, datelor privind condamnările penale.

 

1. INTEGRITATE ȘI CONFIDENȚIALITATE
2. datele cu caracter personal sunt prelucrate în cadrul operatorului într-o manieră care asigură măsuri adecvate de securitate.
3. măsurile de securitate asigură protecții împotriva:

✓ accesul neautorizat sau prelucrarea nelegală;

✓ pierdere sau furt;

✓ distrugere sau vătămarea integrității.

 

1. MĂSURILE DE SECURITATE:
2. Măsuri organizatorice de securitate a datele cu caracter personal tipărite pe suport material:

• Datele cu caracter personal tipărite pe suport material vor fi păstrate în fișete sau dulapuri securizate (închise). Aceste date vor putea fi accesate numai de către persoana sau persoanele autorizate de operator și numai în scopul utilizării lor pentru executarea contractelor și pentru activități de arhivare și statistică.
• În această categorie regăsim: contractele individuale de muncă, actele adițional la contractele individuale de muncă, diplomele de studii, fișele de post, fișele de protecție a muncii, fișele privitoare la medicina muncii, orice alte documente privitoare la angajații și colaboratorii operatorului.
• Datele cu caracter personal tipărite pe suport de hârtie în care sunt cuprinse documente financiar-contabile vor fi păstrate în fișete sau dulapuri securizate (închise). Aceste date vor putea fi accesate numai de către persoana sau persoanele autorizate de operator și numai în scopul utilizării lor pentru realizarea evidențelor financiar-contabile, precum și pentru activități de arhivare și statistică.
• Datele cu caracter personal tipărite pe suport de hârtie cuprinse în documente financiar-contabile se vor păstra (arhiva) pentru întreaga perioada stabilită de normele legale în vigoare (Legea nr. 82/1991, ORDIN nr. 2.634 din 5 noiembrie 2015 privind documentele financiar-contabile, Codul fiscal, Codul de procedură fiscală).

1. Măsuri fizice și tehnice de securitate a datelor cu caracter personal

Regulamentul general cu privire la protecția datelor cu caracter personal care a fost emis de către Parlamentul Uniunii Europene propune un set strict de reguli pentru a proteja persoanele fizice și pentru a spori securitatea circulației libere a datelor în cadrul Uniunii. În realizarea acestor scopuri legislația prevede implementarea unor măsuri de securitate directe în sarcina firmelor al căror specific de afaceri presupune utilizarea datelor cu caracter personal.

1. Reguli generale cu privire la colectarea datelor cu caracter personal:

• Există un temei juridic pentru controlul și prelucrarea datelor cu caracter personal de către Asociatia PERSONA; Scopul legitim pentru colectarea și prelucrarea datelor cu caracter personal este acela de a putea furniza serviciile contractuale promise;
• Toate activitățile de prelucrare a datelor cu caracter personal au fost documentate;
• Cantitatea de date cu caracter personal colectate și prelucrate de către Asociatia PERSONA a fost redusă la minimul necesar pentru a putea desfășura activitățile contractual și lucrative; Se colectează și se prelucrează doar datele cu carter personal care sunt strict necesare și nimic în plus;
• Înainte de colectarea și prelucrarea datelor cu caracter personal se obține consimțământul persoanelor în cauză;
• Datele cu caracter personal pot fi șterse, corectate sau modificate oricând la cererea subiectului acestor date;
• Se recomandă ștergerea definitivă a datelor cu caracter personal de care nu mai este nevoie pentru activității viitoare sau care nu este necesar a fi arhivate din motive legale;
• În cazul în care se pierd date cu caracter personal sau în cazul în care are loc un incident, ofițerul de protecție al datelor cu caracter personal va lua măsurile necesare pentru notificarea cât mai rapidă a Autorității Naționale de Supraveghere și Protecție a Datelor cu Caracter Personal;

2. Reguli cu privire la protecția fizică (hardware) a dispozitivelor:

• Angajații, persoanele împuternicite ale operatorului (utilizatorii autorizați) se vor putea conecta la sistemele informatice ale operatorului doar pe baza unor credențiale personalizate unice și identificabile în sistem;
• Angajații, persoanele împuternicite ale operatorului (utilizatorii) au obligația de a schimba parola de acces la sistemele informatice cel puțin o dată la 3 luni, fără posibilitatea a o repeta.
• Fiecare terminal existent în cadrul societății, terminal de pe care un individ s-ar putea conecta în sistem, trebuie să fie închis sau blocat (Windows Lock) pe perioada când nu este folosit de către personalul autorizat; Terminalele lăsate pornite și nesupravegheate reprezintă o vulnerabilitate;
• Credențialele și parolele personalului autorizat nu se comunică nici colegilor și nici superiorilor, iar dacă specificul afacerii duce la nevoia de a accesa un cont deținut de personalul autorizat, acest acces se va face doar prin intermediul unui cont de supervizare (master account sau system admin account) pentru a se putea urmări cu exactitate toată liniaritatea acțiunilor efectuate în sistem (când și de către cine); Se recomandă ca documentele commune să fie accesibile pe un dispozitiv cu acces comun din toate conturile personalului care are nevoie să lucreze cu ele, dar este imperative ca parolele și credențiale de access ă fie individuale;
• Credențialele și parolele nu se păstrează în format fizic, pe suport de hârtie sau pe suport electronic, pentru a evita posibilitatea ca datele cu caracter personal să fie accesate de persoane neautorizate, prelucrate nelegal,  pierdute sau furate, distruse sau vătămate în integritatea lor.
• Toate terminalele sau componentele sistemului hardware sunt securizate fizic pentru a nu putea fi penetrate fizic din exterior. Terminalele sunt închise în spații de lucru, serverele sunt închise,  accesul fiind posibil  doar pe baza de cheie sau cartelă, dispozitivele sau terminalele mobile (telefoane, tablete, laptopuri) nu vor fi lăsate nesupravegheate de către utilizatorii autorizați sau sunt securizate în spații închise.
• Toate parolele de pe componentele de furnizare de servicii internet și alte asemenea component hardware trebuie să fie schimbate, nu este permis să rămână cele presetate care au venit din fabrică, iar aceste parole la rândul lor vor fi schimbate periodic;
• Fiecare componentă a sistemelor de lucru trebuie să fie accesibilă doar personalului autorizat, spre exemplu personalul format din asociații de proces nu ar trebui să poată avea acces la routere, la switchuri sau alte asemenea componente;
• Pentru componentele din sistem care se află în posesia firmei responsabilitatea securității îi aparține acesteia, iar în cazul în care există componente ale sistemului care sunt în posesia unor furnizori externi de servicii responsabilitatea securității fizice le aparține acestora și trebuie adaugată o clauză de securitate și de confidențialitate în contractual de colaborare sau în cel de furnizare de servicii;
• Sistemele sunt dotate cu funcții de restabilire a disponibilității și a accesului la datele cu caracter personal în caz de incident fizic sau tehnic.
• Accesul la orice componentă hardware a sistemelor utilizare în cadrul societății trebuie să fie securizat și inaccesibil personalului neautorizat sau persoanelor străine;

3. Măsuri cu privire la protecția programelor (software) de lucru utilizate:

• Fiecare terminal conectat la internet sau la mediul virtual extern companiei trebuie să aibă sisteme de protecție precum antivirus și firewall;
• Fiecare site propriu prin intermediul căruia firma își desfășoară activitatea trebuie să fie securizat (din HTTP devine HTTPS), fapt care va avea impact și în dobândirea unui grad mai ridicat de încredere din partea clienților. Dacă site-ul aparține unui terț care este furnizor de servicii, acesta va fi cel responsabil cu securitatea datelor;
• Programele de lucru au implementată funcția de ștergere a clienților care solicită în mod expres acest lucru, prin această procedură se asigură dreptul ”de fi uitat” al persoanelor fizice, cu excepția datelor ce se păstrează și se arhivează obligatoriu pe anumite perioade timp în baza dispozițiilor legale.
• Se recomandă criptarea datelor prelucrate pentru a spori nivelul de securizare în cazul unor scurgeri sau sustrageri de baze de date;
• Reactualizarea contractelor de colaborare, de parteneriat și furnizare de servicii cu toate firmele cu care se lucrează, adăugând clauzele de confidențialitate;
• Există posibilitatea ca persoanele interesate să poată contacta online în mod direct societatea pentru a adresa plângeri (plângerile nu vor fi publice, dar societatea își va posta datele de contact pentru primirea de posibile plângeri);
• Operatorul are obligația de a răspunde la plângeri sau solicitări în termen de 5 zile de la data primirii acestora, fiind desemnat un responsabil care să rezolve aceste plângeri;
• Periodic (trimestrial) se va realiza testarea și evaluarea măsurilor de protecție a datelor cu caracter personal (audit de protecție a datelor cu caracter personal).

4. Reguli cu privire la consimțământ:
5. operatorul trebuie să poată face dovada că a obținut consimțământul persoanei
6. trebuie să se diferențieze clar de alte documente (nu le putem pune „la grămadă”)
7. forma inteligibilă (să se vadă că a fost clar exprimat)
8. ușor de înțeles
9. să fie într-un limbaj clar și simplu
10. orice presiune sau dezechilibru de putere din exterior invalidează consimțământul
11. persoana vizată are dreptul de a-și retrage oricând consimțământul
12. retragerea consimțământului nu afectează legalitatea prelucrării de dinainte de retragere, ci are efecte doar după
13. persoana vizată trebuie informată despre dreptul de a-și retrage consimțământul
14. retragerea trebuie să se facă la fel de simplu ca acordarea lui

 

Condiții suplimentare cu privire la consimțământul copiilor:

1. copilul trebuie să aibă peste 16 ani, putând reduce vârsta la 13 ani
2. părinții își vor da consimțământul pentru copiii sub 16 ani

 

La propunerea specialistului IT din cadrul societății se poate extinde lista de măsuri de securitate propuse spre implementare, după ce sunt revizuite ca să ne asigurăm că sunt în conformitate cu regulamentul. În perioada următoare pot să apară propuneri și din partea angajaților care ar putea depista breșe în sistem în urma activității de lucru. În urma viitoarelor audituri de protecție a datelor se vor mai putea adăuga măsuri noi de protecție care reies din nevoia practică. De asemenea, ANSPDCP poate emite noi ghiduri sau regulamente care să implice noi măsuri de protecție a datelor cu caracter personal.

 

VII. INCIDENTE DE SECURITATE

Incidentul de securitate este definit ca fiind o încălcare a măsurilor de securitate implementate în cadrul operatorului care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, sau divulgarea neautorizată a datelor cu caracter personal  sau la accesul neautorizat al acestora.

Notificarea autorității de supraveghere

Autoritatea de supraveghere,  în cazul unui incident de securitate, va fi notificată:

– fără întârzieri nejustificate, în termen de cel mult 72 de ore de la data la care a luat cunoștință (dacă este posibil)

– în cazul în care notificarea nu are loc în termen de 72 de ore aceasta este însoțită de o explicație motivată

Notificarea va:

✓ descrie caracterul încălcării securității datelor cu caracter personal

✓ dacă e posibil, categoriile și numărul aproximativ al persoanelor vizate în cauză

✓ dacă e posibil, categoriile și numărul aproximativ al înregistrărilor de date cu caracter personal în cauză

✓ comunica numele și datele de contact ale responsabilului cu protecția datelor sau un alt punct de contact de unde se pot obține mai multe informații

✓ descrie consecințele probabile ale încălcării securității datelor cu caracter personal

✓ descrie măsurile luate sau propuse spre a fi luate de operator pentru a remedia problema încălcării securității datelor cu caracter personal

Atunci când și în măsura în care nu este posibil să se furnizeze informațiile în același timp, acestea pot fi furnizate în mai multe etape, fără întârzieri nejustificate.

Operatorul păstrează documente referitoare la toate cazurile de încălcare a securității datelor cu caracter personal, care cuprind o descriere a situației de fapt în care a avut loc încălcarea securității datelor cu caracter personal, a efectelor acesteia și a măsurilor de remediere întreprinse (registru de incidente de securitate).

Notificarea persoanei vizate în cazul unui incident de securitate

Dacă este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul informează persoana vizată fără întârzieri nejustificate cu privire la incident,  într-un limbaj clar și simplu, asupra caracterului incidentului.

Notificarea conține cel puțin următoare:

✓ datele de contact ale responsabilului cu protecția datelor sau un alt punct de contact de unde se pot obține mai multe informații;

✓ consecințele probabile ale încălcării securității datelor cu caracter personal  măsurile luate sau propuse spre a fi luate de operator pentru a remedia problema încălcării securității datelor cu caracter personal.

Evaluarea impactului asupra protecției datelor (DPIA)

În cadrul operatorului s-a realizat o evaluare care cuprinde:

1. o descriere sistematică a operațiunilor de prelucrare preconizate și a scopurilor prelucrării, inclusiv, după caz, interesul legitim urmărit de operator
2. o evaluare a necesității și proporționalității operațiunilor de prelucrare în legătură cu aceste scopuri
3. o evaluare a riscurilor pentru drepturile și libertățile persoanelor vizate
4. măsurile preconizate în vederea abordării riscurilor, inclusiv garanțiile, măsurile de securitate și mecanismele menite să asigure protecția datelor cu caracter personal și să demonstreze conformitatea cu dispozițiile prezentului regulament, luând în considerare drepturile și interesele legitime ale persoanelor vizate și ale altor persoane interesate.

DPIA este necesară mai ales când avem următoarele situații:

– prelucrare automată, inclusiv crearea de profiluri, cu efect semnificativ asupra drepturilor persoanei

– prelucrare pe scară largă a unor categorii speciale de date, sau a unor date cu caracter personal privind condamnări penale și infracțiuni

– monitorizare sistematică pe scară largă a unei zone accesibile publicului

Operatorul se va consulta cu responsabilul cu protecția datelor atunci când efectuează DPIA.

În urma evaluării a fost determinat un risc scăzut asupra pierderii sau scurgerii de date cu caracter personal, iar la nivelul operatorului au fost implementate toate măsurile rezonabile pentru asigurarea corespunzătoare protecției datelor cu caracter personal, nefiind necesară consultarea prealabilă a autorității de supraveghere.

 

VIII. RESPONSABILUL CU PROTECȚIA DATELOR (DPO) 

Având în vedere faptul că activitățile principale ale Asociatia PERSONA constau în operațiuni de prelucrare a datelor cu caracter personal care, prin natura, domeniul de aplicare și scopurile lor, sunt necesare doar pentru întocmirea contractelor, ofițerul de protecție a datelor cu caracter personal va fi juristul societății acesta având deja toate responsabilitățile de întocmire a contractelor.

 

1. TRANSFERUL DE DATE CĂTRE STATE DIN AFARA UE/SEE SAU CĂTRE ORGANIZAȚII INTERNAȚIONALE

Transferurile internaționale sunt permise în următoarele situații:

– transferuri în temeiul unei decizii privind caracterul adecvat al nivelului de protecție

– transferuri în baza unor garanții adecvate

– reguli corporative obligatorii

– derogări pentru situații specifice

În absența unei decizii privind caracterul adecvat al nivelului de protecție în conformitate cu articolul 45 alineatul (3) sau a unor garanții adecvate în conformitate cu articolul 46, inclusiv a regulilor corporatiste obligatorii, operatorul realizează  un transfer sau un set de transferuri de date cu caracter personal către o țară terță sau o organizație internațională numai în una dintre condițiile următoare:

– persoana vizată și-a exprimat în mod explicit acordul cu privire la transferul propus, după ce a fost informată asupra posibilelor riscuri pe care astfel de transferuri le pot implica pentru persoana vizată ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protecție și a unor garanții adecvate

– transferul este necesar pentru executarea unui contract între persoana vizată și operator sau pentru aplicarea unor măsuri precontractuale adoptate la cererea persoanei vizate

– transferul este necesar pentru încheierea unui contract sau pentru executarea unui contract încheiat în interesul persoanei vizate între operator și o altă persoană fizică sau juridică

1. Prezenta politică generală de prelucrare a datelor cu caracter confidențial a intrat în vigoare la data de 1 oct 2018 și este implementată prin proceduri specifice.