Protecția datelor cu caracter personal

(1) Drepturile persoanei vizate în contextul prelucrării datelor cu caracter personal în cadrul Sistemului de evidență a datelor PNR se exercită potrivit Regulamentului general privind protecția datelor și a legislației de punere în aplicare a acestuia, cu aplicarea prevederilor alin. (2)-(6) , precum și ale art. 24-28 din Legea nr. 238/2009 , republicată.

(2) Cererile formulate în exercitarea drepturilor persoanelor vizate se adresează numai UNIP. O cerere este validă numai în situația în care persoana vizată face dovada identității în condițiile legii.

(3) Pentru a comunica solicitantului informații cu privire la datele cu caracter personal prelucrate în cadrul Sistemului de evidență a datelor PNR, în situația prelucrărilor prevăzute la art. 24-29 , UNIP solicită, după caz, acordul autorităților competente către care au fost transferate datele, acordul EUROPOL sau acordul entității similare din străinătate care a furnizat datele.

(4) Autoritățile competente comunică opțiunea în termen de 20 de zile de la data primirii solicitării din partea UNIP.

(5) În situația în care entitatea similară din străinătate consultată potrivit alin. (3) nu comunică un răspuns în considerarea termenelor de răspuns la cererile persoanelor vizate, UNIP răspunde solicitantului fără a indica proveniența datelor.

(6) În situația în care o entitate similară din străinătate solicită UNIP, în urma transmiterii unor date PNR, acordul pentru comunicarea unor informații solicitate de persoana vizată, UNIP comunică acordul în termen de 30 de zile de la primirea solicitării sau, după caz, în termenul indicat de entitatea solicitantă. Dacă datele au fost transferate unei autorități competente, înainte de a transmite răspunsul către entitatea similară din străinătate, UNIP consultă respectiva autoritate competentă indicând și eventualul termen precizat de entitatea solicitantă.

(1) Asigurarea confidențialității și securității prelucrării datelor cu caracter personal în cadrul Sistemului de evidență a datelor PNR se realizează potrivit Regulamentului general privind protecția datelor și legislației de punere în aplicare a acestuia.

(2) Este interzisă prelucrarea datelor PNR prin intermediul persoanelor împuternicite de către operator, în sensul Regulamentului general privind protecția datelor și a legislației de punere în aplicare a acestuia.

(3) Operatorul prevăzut la art. 32 are obligația de a implementa măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel ridicat de securitate a datelor cu caracter personal prelucrate în cadrul Sistemului de evidență a datelor PNR, ținând seama de riscurile asociate prelucrării datelor PNR și de natura respectivelor date.

(1) Prelucrarea datelor PNR care dezvăluie originea rasială sau etnică, opiniile politice, religia sau convingerile filozofice, apartenența la un sindicat, sănătatea, viața sexuală sau orientarea sexuală este interzisă.

(2) În cazul în care datele PNR transmise de transportatorii aerieni cuprind informații din categoriile prevăzute la alin. (1) , personalul UNIP șterge în mod ireversibil respectivele informații imediat după identificarea acestora în Sistemul de evidență a datelor PNR.

(3) Prelucrarea datelor PNR după criterii legate de categoriile de informații prevăzute la alin. (1) este interzisă.

(1) UNIP păstrează o evidență a tuturor categoriilor de activități de prelucrare a datelor PNR aflate în responsabilitatea sa. Această evidență cuprinde următoarele informații:

(2) Evidența prevăzută la alin. (1) se pune la dispoziția Autorității naționale de supraveghere, la cererea acesteia.

(1) Sistemul de evidență a datelor PNR asigură trasabilitatea prelucrărilor efectuate la nivelul UNIP, astfel încât să fie posibilă identificarea personalului care a realizat activitățile de prelucrare și identificarea autorității competente care a avut acces la datele PNR și la rezultatele prelucrărilor realizate de către UNIP.

(2) Sistemul de evidență a datelor PNR asigură cel puțin trasabilitatea operațiunilor de colectare, consultare, dezvăluire și ștergere.

(3) Fișierul de trasabilitate generat de Sistemul de evidență a datelor PNR trebuie să conțină cel puțin următoarele informații:

(4) Fișierele de trasabilitate generate de Sistemul de evidență a datelor PNR pot fi accesate doar pentru următoarele scopuri:

(5) Utilizarea fișierelor de trasabilitate generate de către Sistemul de evidență a datelor PNR în alte scopuri decât cele prevăzute la alin. (4) este interzisă.

(6) Fișierele de trasabilitate generate de către Sistemul de evidență a datelor PNR se păstrează pentru o perioadă de 5 ani și se pun la dispoziția Autorității naționale de supraveghere, la cererea acesteia.

(1) În situația în care au fost transferate în condițiile prezentei legi date incorecte sau neactualizate, UNIP are obligația de a informa destinatarii respectivelor date asupra neconformității acestora, cu menționarea datelor care au fost modificate sau, dacă este cazul, cu precizarea că datele transmise trebuie rectificate, șterse ori restricționate la prelucrare.

(2) În situația în care se constată că au fost transferate date PNR cu nerespectarea condițiilor impuse de prezenta lege, UNIP are obligația de a-i informa pe destinatarii acestor date, cu precizarea că datele transmise trebuie șterse de îndată.

(3) În situația în care se constată că UNIP a primit date PNR incorecte ori neactualizate, datele se rectifică, se șterg sau, după caz, se blochează. Dacă transferul a fost realizat în mod eronat ori cu nerespectarea condițiilor impuse de prezenta lege, datele se șterg sau, după caz, se blochează de îndată. Entitatea care a transmis datele este informată cu privire la măsura adoptată și la motivul adoptării acesteia.

(1) UNIP notifică Autoritatea națională de supraveghere de îndată, dar nu mai târziu de 24 de ore de la constatare, încălcarea securității datelor cu caracter personal din cadrul Sistemului de evidență a datelor PNR, cu excepția cazului în care încălcarea securității datelor nu este susceptibilă să genereze un risc la adresa drepturilor și libertăților persoanelor fizice.

(2) În situația în care nu este posibilă notificarea în termenul prevăzut la alin. (1) , notificarea se transmite în termen de 72 de ore de la constatarea încălcării securității datelor, însoțită de o justificare a întârzierii.

(3) Notificarea prevăzută la alin. (1) trebuie să conțină cel puțin următoarele informații:

(4) UNIP ține evidența tuturor cazurilor de încălcare a securității datelor cu caracter personal, inclusiv o descriere a situației în care a avut loc încălcarea securității datelor cu caracter personal, a efectelor acesteia și a măsurilor de remediere întreprinse.

(5) În cazul în care încălcarea securității datelor implică date cu caracter personal care au fost transmise de un operator dintr-un alt stat membru sau către un astfel de operator, informațiile prevăzute la alin. (3) se comunică de îndată operatorului respectiv.

(6) În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru protecția datelor cu caracter personal sau la adresa drepturilor și libertăților persoanelor fizice, operatorul informează, de îndată, persoana vizată cu privire la încălcarea securității datelor cu caracter personal.

(7) Informarea persoanei vizate, prevăzută la alin. (6) , nu este necesară în cazul în care este îndeplinită oricare dintre următoarele condiții:

(8) În cazul prevăzut la alin. (7) lit. c) informarea persoanei vizate se înlocuiește cu o informare publică sau o măsură similară prin care persoanele vizate sunt informate într-un mod la fel de eficace.

(1) Prezenta lege nu poate fi interpretată în sensul modificării în orice fel a obligațiilor ce revin transportatorilor aerieni potrivit dispozițiilor legale din domeniul protecției datelor cu caracter personal aplicabile acestora.

(2) În cadrul activităților necesare pentru transmiterea datelor PNR către UNIP, transportatorii aerieni rămân responsabili, în temeiul dispozițiilor legale din domeniul protecției datelor cu caracter personal aplicabile acestora, în ceea ce privește:

(1) Prelucrarea datelor cu caracter personal în cadrul Sistemului de evidență a datelor PNR, inclusiv transferul acestor date în străinătate, este monitorizată și se supune controlului Autorității naționale de supraveghere.

(2) Pentru realizarea monitorizării și controlului prevăzut la alin. (1) , Autoritatea națională de supraveghere îndeplinește următoarele atribuții:

(3) Autoritatea națională de supraveghere auditează sistematic operațiunile de prelucrare a datelor cu caracter personal efectuate la nivelul UNIP.

(4) Autoritatea națională de supraveghere oferă consiliere oricărei persoane vizate, la cererea acesteia, cu privire la exercitarea drepturilor sale în contextul prelucrării datelor cu caracter personal în cadrul Sistemului de evidență a datelor PNR.