Protecția datelor cu caracter personal

Azi

Legea 266/2023 · 7 articole

Articolul 16

(1) Prelucrarea datelor în BMS comun, CIR și MID de către operatorii de date cu caracter personal în scopul prevenirii, descoperirii, cercetării infracțiunilor de terorism sau a altor infracțiuni grave se realizează cu respectarea prevederilor Legii nr. 363/2018 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date, ale Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) sau ale Legii nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), cu modificările ulterioare, după caz.

(2) În sensul prevederilor art. 40 alin. (1) din Regulamentul (UE) 2019/817 și ale art. 40 alin. (1) din Regulamentul (UE) 2019/818, următoarele autorități au calitatea de operatori în ceea ce privește prelucrarea datelor în BMS comun:

a) Inspectoratul General al Poliției de Frontieră;

b) Inspectoratul General al Poliției Române;

c) Inspectoratul General pentru Imigrări;

d) Ministerul Afacerilor Externe;

e) autoritățile naționale competente prevăzute la art. 3 alin. (1) din Legea nr. 76/2023 , cu excepția celor prevăzute la lit. a)-d);

f) Ministerul Afacerilor Interne, prin Centrul Național SIS;

g) Inspectoratul General al Poliției de Frontieră, prin Unitatea națională a ETIAS.

(3) În sensul art. 40 alin. (2) din Regulamentul (UE) 2019/817 și al art. 40 alin. (2) din Regulamentul (UE) 2019/818, autoritățile prevăzute la art. 3 , 4 și art. 13 alin. (1) au calitatea de operatori în ceea ce privește prelucrarea datelor în CIR.

(4) În sensul art. 40 alin. (3) lit. (b) din Regulamentul (UE) 2019/817 și al art. 40 alin. (3) lit. (b) din Regulamentul (UE) 2019/818, următoarele autorități au calitatea de operatori în ceea ce privește prelucrarea datelor în MID:

a) Inspectoratul General al Poliției de Frontieră;

b) Inspectoratul General al Poliției Române, prin Centrul de Cooperare Polițienească Internațională - Biroul național SIRENE, precum și prin Direcția cazier judiciar, statistică și evidențe operative;

c) Inspectoratul General pentru Imigrări;

d) Inspectoratul General al Poliției de Frontieră, prin Unitatea națională a ETIAS;

e) Ministerul Afacerilor Externe, prin Centrul Național de Vize și misiunile diplomatice și oficiile consulare ale României.

Articolul 17

(1) Autoritățile prevăzute la art. 3 , 4 , 10 și art. 13 alin. (1) elaborează planuri de securitate, planuri de asigurare a continuității activității și planuri de recuperare în caz de dezastru.

(2) Fără a aduce atingere obligațiilor prevăzute la art. 33 din Regulamentul (UE) 2016/679, respectiv a celor prevăzute la art. 36 din Legea nr. 363/2018 , autoritatea în cadrul căreia s-a produs un incident de securitate comunică respectivul incident Unității centrale interoperabilitate, de îndată, dar nu mai târziu de 48 de ore de la data la care a luat cunoștință de acesta.

(3) Incidentele de securitate prevăzute la alin. (2) se notifică Comisiei Europene, eu-LISA, Autorității naționale de supraveghere și Autorității Europene pentru Protecția Datelor, de către Unitatea centrală interoperabilitate, de îndată, dar nu mai târziu de 24 de ore de la data luării la cunoștință.

(4) Incidentele de securitate care au sau pot avea impact asupra securității sistemelor informatice și de comunicații ale Ministerului Afacerilor Interne se raportează de Direcția generală pentru comunicații și tehnologia informației, prin Unitatea centrală interoperabilitate, către Direcția generală de protecție internă pentru cunoașterea, prevenirea și contracararea amenințărilor, vulnerabilităților și factorilor de risc la adresa securității cibernetice a ministerului.

(5) În cazul în care incidentele de securitate au sau pot avea impact asupra securității sistemelor informatice și de comunicații aparținând unor instituții publice, altele decât cele din cadrul Ministerului Afacerilor Interne, acestea se transmit de Direcția generală de protecție internă entităților în cauză.

(6) În cazul în care incidentele de securitate sunt de natură a afecta securitatea națională a României, acestea se transmit de Direcția generală de protecție internă celorlalte organe de stat cu atribuții în domeniu.

Articolul 18

(1) În aplicarea prevederilor art. 45 și 46 din Regulamentul (UE) 2019/817 și ale art. 45 și 46 din Regulamentul (UE) 2019/818, orice persoană care a suferit prejudicii materiale sau morale ca urmare a unei operațiuni ilegale de prelucrare sau a oricărei acțiuni incompatibile cu prevederile Regulamentului (UE) 2019/817 și ale Regulamentului (UE) 2019/818, realizată de o autoritate competentă ori desemnată potrivit prezentei legi, are dreptul de a se adresa instanței de contencios administrativ competente potrivit Legii contenciosului administrativ nr. 554/2004 , cu modificările și completările ulterioare.

(2) Utilizarea abuzivă a datelor din sistemele de informații ale Uniunii Europene care asigură interoperabilitatea, prelucrarea acestora sau schimbul de informații care contravine regulamentelor care se referă la aceste sisteme, constatate ca urmare a investigărilor desfășurate de către personalul Autorității naționale de supraveghere cu atribuții în acest scop, se sancționează potrivit art. 15-19 din Legea nr. 102/2005 privind înființarea, organizarea și funcționarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, republicată, art. 12-14 din Legea nr. 190/2018 , cu modificările ulterioare, respectiv art. 61 și 62 din Legea nr. 363/2018 .

Articolul 19

În aplicarea prevederilor art. 47 din Regulamentul (UE) 2019/817 și ale art. 47 din Regulamentul (UE) 2019/818, operatorul de date cu caracter personal pune la dispoziția persoanei vizate următoarele informații:

a) identitatea și datele de contact ale operatorului și, după caz, ale reprezentantului acestuia;

b) datele de contact ale responsabilului cu protecția datelor, după caz;

c) scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării;

d) destinatarii sau categoriile de destinatari ai datelor cu caracter personal;

e) dacă este cazul, intenția operatorului de a transfera date cu caracter personal către o țară terță sau o organizație internațională;

f) perioada pentru care vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;

g) existența dreptului de a solicita operatorului, în ceea ce privește datele cu caracter personal referitoare la persoana vizată, accesul la acestea, rectificarea sau ștergerea acestora sau restricționarea prelucrării sau a dreptului de a se opune prelucrării, precum și a dreptului la portabilitatea datelor;

h) dreptul de a depune o plângere la Autoritatea națională de supraveghere;

i) categoriile de date cu caracter personal prelucrate.

Articolul 20

(1) În aplicarea prevederilor art. 48 alin. (1) din Regulamentul (UE) 2019/817 și ale art. 48 alin. (1) din Regulamentul (UE) 2019/818, competența de examinare a cererilor de acces, rectificare, restricționare și ștergere a datelor cu caracter personal stocate în MID aparține autorităților prevăzute la art. 3 , 4 și art. 13 alin. (1) , după caz, cu respectarea termenelor și a procedurii prevăzute la art. 48 alin. (2)-(10) din Regulamentul (UE) 2019/817 și la art. 48 alin. (2)-(10) din Regulamentul (UE) 2019/818.

(2) Persoanele ale căror date cu caracter personal sunt prelucrate în MID pot adresa cererile prevăzute la alin. (1) , prin accesarea portalului web prevăzut la art. 49 din Regulamentul (UE) 2019/817 și la art. 49 din Regulamentul (UE) 2019/818 sau prin transmiterea către oricare dintre operatorii de date menționați la art. 13 alin. (1) a unei cereri scrise, datate și semnate.

(3) În aplicarea alin. (2) se utilizează sau se menționează numărul de identificare unic prevăzut la art. 34 lit. (c) din Regulamentul (UE) 2019/817 și la art. 34 lit. (c) din Regulamentul (UE) 2019/818 disponibil în portalul web prevăzut la art. 49 din Regulamentul (UE) 2019/817 și la art. 49 din Regulamentul (UE) 2019/818.

(4) În aplicarea prevederilor art. 48 alin. (8) din Regulamentul (UE) 2019/817 și ale art. 48 alin. (8) din Regulamentul (UE) 2019/818, contestația la decizia privind cererea prevăzută la alin. (1) se realizează fie printr-o plângere depusă la Autoritatea națională de supraveghere cu respectarea dispozițiilor Legii nr. 102/2005 , republicată, fie prin introducerea unei acțiuni la instanța de contencios administrativ în condițiile Legii nr. 554/2004 , cu modificările și completările ulterioare.

Articolul 21

Instituția responsabilă de aplicarea prevederilor art. 49 alin. (4) din Regulamentul (UE) 2019/817 și ale art. 49 alin. (4) din Regulamentul (UE) 2019/818 este Oficiul Responsabilului cu Protecția Datelor Personale din cadrul Ministerului Afacerilor Interne.

Articolul 22

(1) În aplicarea prevederilor art. 51 alin. (5) din Regulamentul (UE) 2019/817 și ale art. 51 alin. (5) din Regulamentul (UE) 2019/818, autoritățile prevăzute la art. 3 , 4 , art. 13 alin. (1) și art. 16 alin. (2) furnizează informațiile solicitate de Autoritatea națională de supraveghere, acordă acesteia accesul la evidențele proprii și îi permit accesul în localurile proprii utilizate pentru asigurarea interoperabilității, cu respectarea prevederilor Legii nr. 363/2018 .

(2) Sumele și resursele necesare exercitării atribuțiilor ce rezultă din aplicarea art. 51 din Regulamentul (UE) 2019/817 și a art. 51 din Regulamentul (UE) 2019/818 se asigură de la bugetul de stat și sunt prevăzute distinct, anual, cu această destinație, în bugetul Autorității naționale de supraveghere.

(3) Pentru îndeplinirea atribuțiilor prevăzute de prezenta lege se alocă suplimentar Autorității naționale de supraveghere un număr de 5 posturi, precum și sumele necesare bugetării acestora, iar sumele necesare se suportă de la bugetul de stat și sunt prevăzute distinct, anual, cu această destinație, în bugetul Autorității naționale de supraveghere.