Ghidul de completare a notificarilor

GHIDUL DE COMPLETARE A NOTIFICARILOR

1. Categorii de formulare

FORMULARUL F 1 cuprinde Notificarea generala, Notificarea simplificata si Notificarea pentru transferul datelor in strainatate.

FORMULARUL F 2 cuprinde Notificarea pentru prelucrarea de date cu caracter personal, efectuata in cadrul activitatilor de prevenire, cercetare si reprimare a infractiunilor si de mentinere a ordinii publice, precum si al altor activitati desfasurate in domeniul dreptului penal, in limitele si cu restrictiile stabilite de lege.

2. Informatii generale privind completarea formularelor de notificare

Pe data de 12 iunie 2006 a fost publicata Decizia nr. 60/2006 privind stabilirea unor formulare tipizate ale notificarilor prevazute de Legea nr. 677/2001 publicata in Monitorul Oficial nr. 507 din 12 iunie 2006.

Aceasta intra in vigoare la data de 22 iunie 2006, data la care Ordinul Avocatului Poporului nr. 53/2002 privind aprobarea formularelor tipizate ale notificarilor prevazute de Legea nr. 677/2001, isi inceteaza aplicabilitatea.

Ca atare, incepand cu data 22 iunie 2006, toti operatorii au obligatia de a completa noile formulare de notificare.

Notificarile completate pe formularele aprobate prin Ordinul nr. 53/2002, pana la data intrarii in vigoare a acestei decizii (22 iunie 2006), raman valabile. In aceasta situatie, operatorii care deja sunt inregistrati la autoritatea de supraveghere, au obligatia de a reconfirma, pana la 31 decembrie 2006, prin folosirea noilor formulare de notificare, prelucrarile de date cu caracter personal pe care le efectueaza la data intrarii in vigoare a acestei decizii (22 iunie 2006), fara a avea obligatia achitarii taxei de notificare.

Formularele acceptate sunt numai cele obtinute din Monitorul Oficial nr. 507 din 12 iunie 2006, de la sediul autoritatii sau de pe site-ul acesteia: www.dataprotection.ro.

Completarea formularelor de notificare se efectueaza, dupa caz, prin marcarea casutelor corespunzatoare cu semnul “X” sau prin completarea spatiilor libere, conform cerintelor de la punctele respective. Aceste operatiuni pot fi efectuate, atat in format electronic, cat si pe suport de hartie, utilizandu-se majuscule.

Dupa completare, formularele se transmit autoritatii de supraveghere, prin posta, impreuna cu dovada achitarii taxei de notificare sau a scutirii de la plata acesteia ori se depun la Registratura.

In cadrul sistemului de transmitere on-line a formularelor de notificare, prima pagina a acestora se completeaza pe suport de hartie si se transmite autoritatii de supraveghere, impreuna cu dovada achitarii taxei de notificare sau a scutirii de la plata acesteia.

Dovada achitarii taxei de notificare se face prin remiterea originalului sau a copiei certificate, prin semnatura si stampila, a documentului respectiv. Taxa de notificare este de 100 RON pentru persoane fizice, 1000 RON pentru persoane juridice si 1500 RON pentru transferul datelor in strainatate. Taxa constituie venit la bugetul de stat, se achita la Trezoreria Statului in raza careia are domiciliul/sediul fiscal operatorul, iar codul cont aferent acestei taxe este 20160103.

Persoanele scutite de obligatia achitarii taxei sunt autoritatile publice, astfel cum sunt definite in art. 2 din Legea nr. 500/2002 privind finantele publice, pensionarii, studentii, elevii si somerii.

3. Modalitatea de completare a formularului  F 1

Acest formular se completeaza in urmatoarele cazuri:

cand operatorul notifica pentru prima data o prelucrare de date cu caracter personal;

cand operatorul notifica o prelucrare de date intr-un scop diferit fata de cel declarat printr-o notificare anterioara;

cand operatorul se incadreaza intr-o categorie care are obligatia sa completeze o notificare simplificata;

cand operatorul transfera date cu caracter personal in strainatate, desi este scutit de obligatia de a notifica prelucrarea datelor cu caracter personal;

cand operatorul a notificat deja o prelucrare de date si, ulterior, transfera date cu caracter personal in strainatate, caz in care efectueaza o completare a notificarii anterioare; 

cand operatorul completeaza si/sau modifica o notificare anterioara.

3.1 Prima pagina a formularului F 1:

Spatiile rezervate autoritatii de supraveghere nu se vor completa decat de catre aceasta.

La sectiunile unde se solicita marcarea unor casute, se va marca cu „X”, dupa caz, daca:

operatorul notifica pentru prima data si, in aceasta situatie, completeaza o notificare generala sau o notificare simplificata;

operatorul completeaza si/sau modifica o notificare anterioara. In aceasta  situatie, operatorul trebuie sa precizeze numarul notificarii pe care intentioneaza sa o modifice sau sa o completeze;

operatorul a achitat taxa de notificare sau este scutit de aceasta obligatie, in ambele cazuri anexandu-se dovada necesara, cu exceptia autoritatilor publice.

La sectiunea „DECLARATIE”, persoana abilitata (operatorul – persoana fizica sau reprezentantul legal – in cazul persoanei juridice) sa dea aceasta declaratie isi mentioneaza numele si prenumele, functia sau profesia (dupa caz), specifica data completarii si semneaza. De asemenea, este necesara precizarea coordonatelor de contact ale persoanei respective, cum ar fi adresa, telefonul, faxul, adresa de posta electronica etc.

Notificarea trebuie semnata, iar in cazul operatorului persoana juridica trebuie sa poarte si stampila acestuia.

Atentie!

Formularele a caror „DECLARATIE” nu este completata si semnata potrivit cerintelor cerintelor nu vor fi analizate, urmand a se proceda la clasarea lor.

3.2 Completarea celorlalte sectiuni ale Formularului F1

3.2.1 SECTIUNEA I: Operatorul

Pentru inceput, operatorul bifeaza daca este persoana fizica sau persoana juridica. In aceasta din urma situatie, alege sectorul caruia ii apartine, public – cu precizarea categoriei de autoritati din care face parte (autoritate centrala, locala sau „altele” - cum ar fi: regii autonome, companii sau societati nationale) – sau privat.

De asemenea, operatorul precizeaza Codul Unic de Inregistrare in cazul in care este persoana juridica.

Daca operatorul este membru al unei asociatii profesionale sau al unei alte forme de asociere, se mentioneaza denumirea acesteia. Potrivit art. 28 din Legea nr. 677/2001, asociatiile profesionale au obligatia de a elabora coduri de conduita, supuse avizarii ANSPDCP, referitoare la stabilirea regulilor de protectie a datelor personale prelucrate de membrii acestora.

Numele (denumirea) operatorului:

In cazul persoanelor fizice se precizeaza numele si prenumele operatorului.

In cazul persoanelor juridice romane se precizeaza denumirea oficiala si completa a operatorului, asa cum rezulta din actul normativ de infiintare (pentru operatorii din sectorul public) sau asa cum este inregistrat la Oficiul Registrului Comertului sau in Registrul asociatiilor si fundatiilor (pentru operatorii din sectorul privat).

In cazul persoanelor juridice straine, se precizeaza denumirea oficiala si completa a operatorului, asa cum rezulta din inregistrarea la camera de comert de care apartine.

Adresa operatorului

Se completeaza adresa operatorului persoana fizica (domiciliul si/sau resedinta) si, respectiv, sediul persoanei juridice, asa cum este stabilit potrivit legii, in actul normativ de infiintare sau asa cum este inregistrat la Oficiul Registrului Comertului ori in Registrul asociatiilor si fundatiilor (pentru persoanele juridice romane).

Observatie: Operatorul trebuie sa informeze autoritatea de supraveghere in legatura cu orice schimbare de adresa, nume sau denumire. In caz contrar, savarseste o contraventie, conform art. 31 din Legea nr. 677/200, modificata si completata.

Persoana de contact

Se completeaza datele solicitate ale persoanei de contact desemnate de operator pentru mentinerea legaturii cu ANSPDCP. Este de preferat ca, in cadrul operatorului, sa fie desemnata o persoana responsabila cu aplicarea Legii nr. 677/2001 pentru protectia persoanelor cu privire la protectia datelor cu caracter personal si libera circulatie a acestor date, modificata si completata.

3.2.2 SECTIUNEA II: Persoana fizica sau juridica care are calitatea de reprezentant

In cazul in care operatorul nu este stabilit in Romania, conform art. 2 alin. (3) din Legea nr. 677/2001, modificata si completata, el trebuie sa isi desemneze un reprezentant. Acesta este o persoana juridica sau fizica care are sediul sau domiciliul/resedinta stabilite pe teritoriul statului roman sau o alta entitate fara personalitate juridica, desemnata de operator pentru prelucrarea datelor in Romania (spre exemplu, o reprezentanta sau o sucursala). Dispozitiile Legii nr. 677/2001 sunt aplicabile si reprezentantului operatorului.

Daca operatorul isi desemneaza un reprezentant, completeaza rubricile de la aceasta sectiune, potrivit instructiunilor de la SECTIUNEA I.

3.2.3 SECTIUNEA III: Persoana fizica sau juridica care are calitatea de imputernicit

Se completeaza numai in cazul in care operatorul desemneaza una sau mai multe persoane fizice sau juridice, ca imputernicit(ti), pentru a prelucra date cu caracter personal pe seama sa. Rubricile de la aceasta sectiune se completeaza potrivit instructiunilor de la SECTIUNEA I.

Conform art. 3 lit. f) din Legea nr. 677/2001, persoana imputernicita este o persoana fizica sau juridica, de drept privat ori de drept public, inclusiv autoritatile publice, institutiile si structurile teritoriale ale acestora, care prelucreaza date cu caracter personal pe seama operatorului. Imputernicitul nu poate sa prelucreze datele decat pe baza instructiunilor operatorului, cu exceptia cazului in care actioneaza in temeiul unei obligatii legale.

In cazul in care operatorul alege, pentru prelucrarea datelor, o persoana imputernicita, potrivit art. 20 alin. (5) din Legea nr. 677/2001, trebuie sa incheie cu aceasta un contract care sa contina, in mod obligatoriu:

a) obligatia persoanei imputernicite de a actiona doar in baza instructiunilor primite de la operator;

b) faptul ca persoana imputernicita este obligata, la randul sau, sa aplice masurile tehnice si organizatorice adecvate pentru protejarea datelor cu caracter personal impotriva distrugerii accidentale sau ilegale, pierderii, modificarii, dezvaluirii sau accesului neautorizat, in special daca prelucrarea respectiva comporta transmisii de date in cadrul unei retele, precum si impotriva oricarei alte forme de prelucrare ilegala.

La notificare se anexeaza copia contractului incheiat intre operator si imputernicit.

3.2.4 SECTIUNEA IV: Scopul prelucrarii

In acest spatiu se marcheaza cu „X” casutele corespunzatoare activitatii in cadrul careia operatorul efectueaza prelucrarea datelor cu caracter personal. Daca activitatea operatorului sau unele dintre activitatile sale nu se regasesc in sectiunea de fata, se completeaza spatiul aferent rubricii „altele”. Domeniile vor fi selectate in functie de scopul sau de scopurile corelate pentru care se desfasoara prelucrarea datelor.

ESEU: Dezvoltare regionala - test grila ESEU: Politicile de solidaritate, politici sociale si coeziunea europeana

In cazul in care operatorul prelucreaza date personale pentru doua sau mai multe scopuri care nu au legatura intre ele, atunci este obligat sa completeze cate un formular tipizat, pentru fiecare scop in parte si sa achite taxa de notificare, daca este cazul, separat pentru fiecare dintre aceste scopuri.

In situatia in care scopul si mijloacele de prelucrare a datelor cu caracter personal sunt stabilite de operator, autoritatea de supraveghere poate solicita actul din care sa reiasa modul de stabilire a scopului si a mijloacelor de prelucrare.

Pentru realizarea unor campanii sau loterii publicitare se ataseaza notificarii, regulamentul autentificat la notariat, in original sau in copie certificata prin semnatura si stampila.

Observatie: Prelucrarea datelor personale in alte scopuri decat cele declarate in notificare se poate sanctiona contraventional, cu exceptia cazurilor scutite de obligatia de notificare.

3.2.5 SECTIUNEA V: Categoria sau categoriile de persoane vizate

In acest spatiu se marcheaza cu „X” casutele corespunzatoare categoriilor de persoane vizate ale caror date personale sunt prelucrate, in functie de scopul prelucrarii.  Daca categoriile de persoane vizate nu se regasesc, in totalitate sau in parte, in aceasta sectiune, se completeaza spatiul aferent rubricii „altele”.

Persoanele vizate sunt persoanele fizice ale caror date personale sunt colectate de operator, in vederea efectuarii asupra acestora, a operatiunilor prevazute de art. 3 lit. b) din Legea nr. 677/2001, respectiv de inregistrare, organizare, stocare, adaptare ori modificare, extragere, consultare, dezvaluire etc.

Exemplu: Daca scopul prelucrarii este “educatie si cultura”, categoriile de persoane vizate pot fi: “cadre didactice”, “studenti”, “minori”, “candidati”, “artisti”, “membrii familiei persoanei vizate”.

3.2.6 SECTIUNEA VI: Modul in care persoanele vizate sunt informate asupra drepturilor lor

Operatorul bifeaza corespunzator, cu „X”, una sau mai multe dintre modalitatile enumerate in aceasta sectiune, prin care persoanelor vizate le sunt aduse la cunostinta informatiile prevazute la art. 12 din Legea nr. 677/2001, modificata si completata. Operatorul are obligatia de a comunica persoanei vizate, in principal, informatii privind:

1.    identitatea operatorului sau, in cazul in care exista, a reprezentantului sau a imputernicitului;

2.    scopul prelucrarii;

3.    categoriile de date prelucrate (in cazul in care nu sunt colectate direct de la persoanele vizate);

4.    caracterul obligatoriu sau facultativ de a furniza datele personale;

5.    consecintele refuzului de a le furniza;

6.    destinatarii sau categoriile de destinatari ai datelor;

7.    existenta dreptului de acces, de interventie asupra datelor, de opozitie la prelucrarea datelor, de a nu fi supus unei decizii individuale, conditiile de exercitare a acestor drepturi, precum si a dreptului de a se adresa justitiei;

8.    eventualul transfer al datelor in strainatate.

Mai jos sunt prezentate cateva modele ce pot fi utilizate pentru informarea corecta a persoanelor vizate, in momentul colectarii datelor lor, astfel incat acestea sa fie in situatia de a consimti in mod expres si neechivoc pentru prelucrarea datelor.

MODEL DE NOTA DE INFORMARE IN SCRIS (pentru formularele de colectare a datelor, gen taloane, cupoane si altele asemenea)

(se indica identitatea operatorului sau a reprezentantului, precum si, daca este cazul, pe cea a imputernicitului) prelucreaza datele cu caracter personal furnizate de dumneavoastra prin acest document.(se precizeaza categoriile de date, daca acestea nu sunt colectate direct de la persoanele vizate) in scopul (se precizeaza scopul). Datele vor fi dezvaluite .(se precizeaza destinatarii carora le vor fi dezvaluite datele). Pe viitor, aceste date/datele .. (se precizeaza concret datele) ne permit sa va tinem la curent cu activitatea noastra.

In cazul in care nu doriti aceasta bifatiNU 

Conform Legii nr. 677/2001, beneficiati de dreptul de acces, de interventie asupra datelor, dreptul de a nu fi supus unei decizii individuale. Aveti dreptul sa va opuneti prelucrarii datelor personale care va privesc si sa solicitati stergerea datelor^*. Pentru exercitarea acestor drepturi, va puteti adresa cu o cerere scrisa, datata si semnata la .(se precizeaza serviciul, organismul sau persoana responsabila) De asemenea, va este recunoscut dreptul de a va adresa justitiei.

Datele dumneavoastra vor fi transferate in …………… (precizati statele), in vederea.. se precizeaza scopul transferului datelor in strainatate).

MODEL DE NOTA DE INFORMARE (in scris sau prin afisare, recomandata autoritatilor si institutiilor publice)

(se indica identitatea operatorului sau, daca este cazul, si pe cea a imputernicitului prin intermediul serviciului (iilor) . (daca este cazul, se precizeaza denumirea serviciilor respective), prelucreaza datele dumneavoastra cu caracter personal .(se precizeaza categoriile de date, daca acestea nu sunt colectate direct de la persoanele vizate), prin mijloace automatizate/manuale, destinate (se indica scopul prelucrarii

Sunteti/nu sunteti obligat(a) sa furnizati datele, acestea fiind necesare……………………. (se precizeaza scopul)

Refuzul dvs. determina……………… (se precizeaza consecintele refuzului).

Informatiile inregistrate sunt destinate utilizarii de catre operator si sunt comunicate numai urmatorilor destinatari: …………….. (se precizeaza destinatarii).

Conform Legii nr. 677/2001, beneficiati de dreptul de acces, de interventie asupra datelor si de dreptul de a nu fi supus unei decizii individuale. Totodata, aveti dreptul sa va opuneti prelucrarii datelor personale care va privesc si sa solicitati stergerea datelor^*. Pentru exercitarea acestor drepturi, va puteti adresa cu o cerere scrisa, datata si semnata la .(se precizeaza serviciul, organismul sau persoana responsabila) De asemenea, va este recunoscut dreptul de a va adresa justitiei. Datele dumneavoastra pot fi transferate in …………… (precizati statele), in vederea.. se precizeaza scopul transferului datelor in strainatate).”

MODEL DE NOTA DE INFORMARE PRIVIND PROTECTIA DATELOR PERSONALE (pentru afisare pe pagina web sau in cazul colectarii datelor prin formulare on-line)

Conform cerintelor Legii nr. 677/2001 pentru protectia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulatie a acestor date, modificata si completata si ale Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal si protectia vietii private in sectorul comunicatiilor electronice (se precizeaza si acest act normativ, dupa caz).(se precizeaza denumirea operatorului sau a reprezentantului, precum si, daca este cazul, pe cea a imputernicitului are obligatia de a administra in conditii de siguranta si numai pentru scopurile specificate, datele personale pe care ni le furnizati despre dumneavoastra, un membru al familiei dumneavoastra ori o alta persoana. Scopul colectarii datelor este: (se indica scopul prelucrarii).

Sunteti/nu sunteti obligat(a) sa furnizati datele, acestea fiind necesare……………………..(se precizeaza scopul Refuzul dvs. determina……………… (se precizeaza consecintele refuzului

Informatiile inregistrate sunt destinate utilizarii de catre operator si sunt comunicate numai urmatorilor destinatari:…………….. (se precizeaza destinatarii).

Doriti sa primiti informatii despre produsele, serviciile, evenimentele etc. oferite de..(se precizeaza denumirea operatorului sau a reprezentantului, precum si, daca este cazul, pe cea a imputernicitului

DA NU 

Conform Legii nr. 677/2001, beneficiati de dreptul de acces, de interventie asupra datelor, dreptul de a nu fi supus unei decizii individuale si dreptul de a va adresa justitiei. Totodata, aveti dreptul sa va opuneti prelucrarii datelor personale care va privesc si sa solicitati stergerea datelor^*. Pentru exercitarea acestor drepturi, va puteti adresa cu o cerere scrisa, datata si semnata la .(se precizeaza serviciul, organismul sau persoana responsabila) De asemenea, va este recunoscut dreptul de a va adresa justitiei. Datele dumneavoastra vor fi transferate in …………… (precizati statele), in vederea.. se precizeaza scopul transferului datelor in strainatate).”

Daca unele din datele despre dumneavoastra sunt incorecte, va rugam sa ne informati cat mai curand posibil.

Observatie:

orice persoana are dreptul de a se opune, pentru motive legitime, la prelucrarea datelor ce o privesc. Acest drept de opozitie poate fi exclus pentru anumite prelucrari prevazute de lege (de ex.: prelucrari efectuate de serviciile financiare si fiscale, de politie, justitie, securitate sociala). Prin urmare, aceasta mentiune nu poate figura daca prelucrarea are un caracter obligatoriu; orice persoana are, de asemenea, dreptul de a se opune, in mod gratuit si fara nici o justificare, la prelucrarile datelor sale personale in scopuri de marketing direct.

3.2.7 SECTIUNEA VII: Serviciul sau angajatul responsabil pentru exercitarea drepturilor prevazute de Legea nr. 677/2001

In aceasta sectiune operatorul trebuie sa stabileasca cui se pot adresa persoanele vizate pentru exercitarea drepturilor lor potrivit art. 12 – 17 din Legea nr. 677/2001. Prin urmare, la aceasta sectiune, va fi indicat operatorul sau reprezentantul. O alta situatie este aceea in care poate fi mentionat serviciul sau numele unei persoane din cadrul operatorului/reprezentantului (persoana juridica). Pentru acest ultim caz, se va identifica persoana de contact si titlul sau pozitia detinuta de aceasta, de exemplu: „Secretarul General”, „Directorul Directiei de Comunicare” etc. Coordonatele de contact se mentioneaza numai in situatia in care acestea difera fata de cele ale operatorului sau ale reprezentantului.

3.2.8 SECTIUNEA VIII: Date si categorii de date prelucrate

In acest spatiu se marcheaza cu „X” casutele corespunzatoare datelor sau categoriilor de date personale prelucrate, in functie de scopul sau scopurile declarate in Sectiunea IV din formularul de notificare. Daca datele sau categoriile de date nu se regasesc, in totalitate sau in parte, in sectiunea de fata, se completeaza spatiul aferent rubricii „altele”.

Date cu caracter personal pot fi numai acele date care se refera la o persoana fizica identificata sau identificabila, direct sau indirect, printr-un numar de identificare sau prin referire la o serie de factori specifici identitatii sale fizice, fiziologice, psihice, economice, culturale sau sociale, inclusiv datele biometrice (amprenta digitala, maxilo-faciala, retina si altele asemenea) sau datele genetice (ADN-ul).

3.2.9 SECTIUNEA IX: Categorii de date cu caracter special

Aceasta sectiune se completeaza daca sunt prelucrate asemenea tipuri de date cu caracter personal. Completarea se realizeaza in mod similar sectiunii anterioare.

Potrivit Legii nr. 677/2001, datele cu caracter special sunt cele legate de originea rasiala sau etnica, de convingerile politice, religioase, filozofice sau de natura similara, de apartenenta sindicala, precum si datele cu caracter personal privind starea de sanatate sau viata sexuala. De asemenea, datele referitoare la fapte penale sau contraventii, sanctiuni disciplinare, precum si datele privind cazierul judiciar fac parte din aceasta categorie de date.

Observatie: Prelucrarea de date cu caracter personal de orice fel, altele decat cele specificate in formularul de notificare, poate constitui contraventie.

3.2.10 SECTIUNEA X: Sursa de colectare a datelor cu caracter personal

Se marcheza cu „X” casutele corespunzatoare sursei sau surselor din care provin datele cu caracter personal ce vor fi prelucrate.

Sursele pot fi: directe – datele sunt colectate de la persoanele vizate prin furnizarea verbala a acestora sau prin completarea unui formular, cupon, talon etc.; indirecte - datele sunt colectate de la alte persoane ori de la alt operator. Alte surse pot fi cele publice.

In cazul in care exista si alte surse fata de cele mentionate in aceasta sectiune, se fac precizari in acest sens.

3.2.11 SECTIUNEA XI: Categorii de destinatari

Se marcheaza cu „X” casutele corespunzatoare destinatarilor carora li se vor dezvalui datele.

“Destinatar” este, in sensul art. 3 lit. h) din Legea nr. 677/2001, “orice persoana fizica sau juridica, de drept privat ori de drept public, inclusiv autoritatile publice, institutiile si structurile teritoriale ale acestora, careia ii sunt dezvaluite date, indiferent daca este sau nu tert”.

Autoritatile publice carora li se comunica date in cadrul unei competente speciale de ancheta nu vor fi considerate destinatari (de ex.: datele personale solicitate de instantele de judecata, procurori, organe de urmarire penala, daca sunt necesare desfasurarii unei anchete).

Observatie: Dezvaluirea, in cunostinta de cauza, a datelor cu caracter personal, unei persoane care nu este mentionata in formularul de notificare, poate constitui contraventie. Nu se bifeaza ca destinatari „angajati ai operatorului”, in masura in care dezvaluirea datelor le este necesara acestora pentru indeplinirea atributiilor de serviciu.

3.2.12 SECTIUNEA XII: Garantiile care insotesc dezvaluirea datelor catre terti

Se marcheaza cu „X” tipurile de garantii specifice scopului si mijloacelor de prelucrare, care sa ateste indeplinirea conditiilor de legitimitate a prelucrarii prevazute de art. 5 din Legea nr. 677/2001.

Consimtamantul persoanei vizate reprezinta una din garantiile in baza carora se pot dezvalui datele cu caracter personal.

De exemplu, prelucrarea datelor cu caracter personal poate fi efectuata numai daca persoana vizata si-a dat consimtamantul in mod expres si neechivoc pentru acea prelucrare (art. 5 alin. 1 din Legea nr. 677/2001).

Prelucrarea datelor sensibile (art. 7 alin. 2 lit. a) din Legea nr. 677/2001) si prelucrarea codului numeric personal sau a altor date cu caracter personal avand o functie de identificare de aplicabilitate generala (art. 8 alin. 1 lit. a) din Legea nr. 677/2001) este permisa cand persoana vizata si-a dat in mod expres consimtamantul pentru o astfel de prelucrare. In plus, pentru prelucrarea, implicit transferul unor date cu caracter sensibil, legea prevede si necesitatea ca persoana vizata sa isi dea consimtamantul in scris.

Alte tipuri de garantii se pot referi la: actele normative in baza carora are loc dezvaluirea datelor cu caracter personal, obligatiile de confidentialitate sau de respectare a secretului profesional ori de serviciu ale persoanelor care au acces la datele cu caracter personal prelucrate etc.

“Tert”, in sensul art. 3 lit. g) din Legea nr. 677/2001, este “orice persoana fizica sau juridica, de drept privat ori de drept public, inclusiv autoritatile publice, institutiile si structurile teritoriale ale acestora, alta decat persoana vizata, operatorul ori persoana imputernicita sau persoanele care, sub autoritatea directa a operatorului sau a persoanei imputernicite, sunt autorizate sa prelucreze date” (subl. ns. – angajatii operatorului sau ai personaei imputernicite) .

3.2.13 SECTIUNEA XIII: Data estimata pentru incheierea operatiunilor de prelucrare

La aceasta sectiune trebuie sa se precizeze durata prevazuta pentru prelucrare sau o anumita data exacta, daca este posibil, pana la care pot fi incheiate operatiunile de prelucrare.

De exemplu, la data certa poate fi mentionata o anumita data cunoscuta sau aproximativa cand se va termina prelucrarea datelor cu caracter personal, pentru scopul sau scopurile stabilite: „12 decembrie 2010” sau „1 martie 2006 – 1 martie 2007”. In ceea ce priveste perioada, aceasta se poate determina, cand nu se stie cu exactitate data inceperii si cea a finalizarii operatiunilor de prelucrare, astfel: „durata de desfasurare a activitatii societatii”, „pe perioada de acordare a serviciilor.”

3.2.14 SECTIUNEA XIV: Destinatia ulterioara a datelor

In cazul in care nu exista consimtamantul expres al persoanei vizate pentru o alta destinatie sau pentru o prelucrare ulterioara, se bifeaza una dintre modalitatile prevazute la aceasta sectiune pentru incheierea operatiunilor de prelucrare.

Aceste modalitati sunt urmatoarele:

distrugerea datelor;

transferarea datelor catre alt operator, cu conditia ca operatorul initial sa garanteze ca prelucrarile efectuate de tert au scopuri similare cu prelucrarea initiala;

transformarea in date anonime si stocarea lor exclusiv in scopuri statistice, de cercetare istorica sau stiintifica.

De asemenea, exista situatii in care operatorul, datorita activitatii pe care o desfasoara, este obligat, in baza unor legi speciale, sa pastreze datele o anumita perioada de timp, dupa care trebuie sa procedeze in una din modalitatile prevazute mai sus.

In alte cazuri, operatorii sunt creatori de arhiva si sunt obligati sa procedeze conform dispozitiilor legale privind pastrarea arhivelor.

In ceea ce priveste distrugerea, procedura interna si modalitatile de distrugere se stabilesc de catre fiecare operator, cu exceptia procedurii care se desfasoara potrivit prevederilor legale privind arhivele nationale.

Referitor la transferul datelor catre alt operator, in momentul in care se procedeaza la acest transfer, trebuie informata autoritatea de supraveghere si incheiat cu operatorul caruia i se preda baza de date, un contract care sa contina garantiile mentionate anterior. Copia contractului se transmite autoritatii de supraveghere.

Modalitatea de incheiere a operatiunilor de prelucrare, referitoare la transferare, nu se confunda cu transferul datelor in strainatate, ale carui conditii sunt reglementate de art. 29 si art. 30 din Legea nr. 677/2001.

3.2.15 SECTIUNEA XV: Transferuri de date in strainatate

Aceasta sectiune se refera doar la datele cu caracter personal care sunt transferate in strainatate. Se marcheaza cu „X”, dupa caz, daca se transfera date cu caracter personal in statele membre ale Uniunii Europene sau din afara acesteia. In cazul transferului datelor in statele din zona economica europeana, respectiv Islanda, Liechtenstein si Norvegia sau in statele carora Comisia Europeana le-a recunoscut, prin decizie, un nivel de protectie adecvat, respectiv Argentina, Canada, Elvetia, Guernsey, Isle of Man si Statele Unite ale Americii, se bifeaza casuta corespunzatoare transferului datelor in statele din Uniunea Europeana.

Statele respective trebuie enumerate si, de asemenea, precizate scopul transferului si categoriile de persoane vizate, prin mentionarea indicativului de la sectiunea IV sau V, dupa caz.

Totodata, este necesara precizarea datelor sau categoriilor de date transferate, prin mentionarea indicativului de la sectiunea VIII si/sau sectiunea IX, dupa caz.

Se mentioneaza denumirea si sediul destinatarului sau destinatarilor catre care se transfera datele, precum si durata propusa pentru prelucrare.

Observatie: Transferarea datelor cu caracter personal intr-un alt stat sau catre alt destinatar, decat cel mentionat in formularul de notificare, poate constitui contraventie.

3.2.16 SECTIUNEA XVI: Conditiile in care se intentioneaza efectuarea transferului datelor personale in strainatate.

Se marcheaza cu „X” una din conditiile corespunzatoare transferului de date efectuat in strainatate. In oricare dintre aceste conditii, transferul datelor catre un alt stat poate avea loc numai daca nu se incalca legea romana.

1. In cazul in care statul de destinatie asigura un nivel de protectie adecvat, se va mentiona actul normativ care reglementeaza protectia datelor cu caracter personal in acel stat.

2. In cazul in care statul de destinatie nu asigura un nivel de protectie adecvat, operatorul care exporta datele trebuie sa prezinte garantii suficiente cu privire la protectia drepturilor fundamentale ale persoanelor vizate, printr-un contract incheiat cu operatorul care importa datele. In acest scop, se vor avea in vedere clauzele contractuale standard prevazute in Ordinul Avocatului Poporului nr. 6/2003 privind stabilirea clauzelor contractuale standard in cazul transferurilor de date cu caracter personal catre un operator stabilit intr-un stat a carui legislatie nu prevede un nivel de protectie cel putin egal cu cel oferit de legea romana.

3. De asemenea, daca statul de destinatie nu asigura un nivel de protectie adecvat, transferul poate fi permis si autorizat de autoritatea de supraveghere, in conditiile prevazute la art. 30 din Legea nr. 677/2001. Exceptiile reglementate de aceste dispozitii legale sunt insa, de stricta interpretare.

Observatie: Daca prelucrarea datelor cu caracter personal face parte din situatiile in care nu este necesara notificarea, prevazute prin decizie a presedintelui ANSPDCP, operatorul care transfera date in strainatate va completa urmatoarele sectiuni din formularul tipizat de notificare: I, II, III, IV, V, VI, XIII, XV, XVI si XVIII. De asemenea, va achita taxa de notificare pentru transferul datelor in strainatate, in valoare de 1500 RON, iar dovada platii se realizeaza potrivit mentiunilor de la pct. 2.

3.2.17 SECTIUNEA XVII: Descrierea generala a masurilor luate pentru asigurarea securitatii prelucrarii

In aceasta sectiune trebuie indicate masurile pe care le ia operatorul pentru a proteja datele persoanelor vizate pe care le prelucreaza, in special daca printre acestea se numara si date cu caracter sensibil. Rubricile mentionate constituie principalele cerinte minime de securitate a prelucrarilor de date cu caracter personal, care trebuie completate, pe scurt, cu masurile adoptate in acest sens.

In prezent, Cerintele minime de securitate a prelucrarilor de date cu caracter personal se regasesc in prevederilor Ordinului Avocatului Poporului 52 din 18 aprilie 2002, publicat in Monitorul Oficial nr. 383 din 5 iunie 2002.

3.2.18 SECTIUNEA XVIII: Operatiunile de prelucrare a datelor cu caracter personal

Se bifeaza cu „X” operatiunile pe care operatorul le realizeaza asupra datelor cu caracter personal. Aceste operatiuni sunt enumerate in art. 3 lit. b) din Legea nr. 677/2001, modificata si completata, fara ca ele sa fie limitative. Astfel, in cazul in care exista si alte operatiuni de prelucrare, acestea trebuie precizate, potrivit cerintei de la aceasta sectiune.

3.2.19 SECTIUNEA XIX: Sistemul de evidenta utilizat si legaturile cu alte prelucrari sau sisteme de date

Se bifeaza cu „X” sistemul de evidenta al operatorului, dupa cum sunt utilizate mijloace automate (sistem informatic) sau neautomate pentru prelucrarea datelor cu caracter personal ori mixte. De asemenea, se marcheaza daca prelucrarea notificata are legatura cu alte prelucrari sau cu alte sisteme de evidenta a datelor cu caracter personal. In caz afirmativ, se marcheaza locul unde este situat sistemul de evidenta si daca legatura permite una sau mai multe situatii dintre cele precizate in aceasta sectiune.

Sistemul de evidenta, potrivit definitiei date de art. 3 lit. d) din Legea nr. 677/2001, este orice structura de date cu caracter personal, accesibila potrivit unor criterii determinate, indiferent daca aceasta structura este organizata in mod centralizat ori descentralizat sau este repartizata dupa criterii functionale ori geografice.

Prin “sistem informatic” se intelege orice dispozitiv sau ansamblu de dispozitive interconectate sau aflate in relatie functionala, dintre care unul sau mai multe asigura prelucrarea automata a datelor, cu ajutorul unui program informatic – art. 35 din Cartea I, Titlul III din Legea nr. 161/2003 privind unele masuri pentru asigurarea transparentei in exercitarea demnitatilor publice, a functiilor publice si in mediul de afaceri, prevenirea si sanctionarea coruptiei.

3.2.20 SECTIUNEA XX: Motivele care justifica aplicarea prevederilor art. 11, art. 12 alin. (3) sau alin. (4) ori ale art. 13 alin. (5) sau alin. (6) din Legea nr. 677/2001

Se completeaza motivele pentru care se aplica prevederile legale citate, in functie de scopul prelucrarii declarat la sectiunea IV din formularul de notificare, respectiv, faptul ca prelucrarea se efectueaza, fie exclusiv in scopuri jurnalistice, literare, artistice, fie in scopuri statistice, de cercetare istorica sau stiintifica.

Prevederile art. 11, art. 12 alin. (3) sau alin. (4) ori ale art. 13 alin. (5) sau alin. (6) din Legea nr. 677/2001, modificata si completata se aplica in situatia in care au loc prelucrari de date cu caracter personal in scopuri jurnalistice, literare, artistice, statistice, de cercetare istorica sau stiintifica, astfel:

lipsa consimtamantului persoanelor vizate, in situatia in care prelucrarea datelor se face exclusiv in scopuri jurnalistice, literare sau artistice (art. 5 si art. 11 din Legea nr. 677/2001);

lipsa obligatiei de a distruge, de a transfera datele unui alt operator sau de a le transforma in date anonime, la momentul incheierii operatiunilor de prelucrare, in situatia in care prelucrarea datelor se face exclusiv in scopuri jurnalistice, literare sau artistice (art. 6 si art. 11 din Legea nr. 677/2001);

prelucrarea datelor cu caracter personal legate de originea rasiala sau etnica, de convingerile politice, religioase, filozofice sau de natura similara, de apartenenta sindicala, a datelor cu caracter personal privind starea de sanatate sau viata sexuala, in situatia in care prelucrarea datelor se face exclusiv in scopuri jurnalistice, literare sau artistice (art. 7 si art. 11 din Legea nr. 677/2001);

prelucrarea datelor cu caracter personal referitoare la savarsirea de infractiuni, condamnari penale, masuri de siguranta sau sanctiuni administrative ori contraventionale, aplicate persoanei vizate, in situatia in care prelucrarea datelor se face exclusiv in scopuri jurnalistice, literare sau artistice (art. 10 si art. 11 din Legea nr. 677/2001);

lipsa obligatiei de a informa persoana vizata, atunci cand datele nu sunt obtinute direct de la persoana vizata, in situatia in care prelucrarea datelor se face exclusiv in scopuri jurnalistice, literare sau artistice (art. 12 alin. (3) din Legea nr. 677/2001);

lipsa obligatiei de a informa persoana vizata, atunci cand datele nu sunt obtinute direct de la persoana vizata, in situatia in care prelucrarea datelor se face in scopuri statistice, de cercetare istorica sau stiintifica (art. 12 alin. (4) din Legea nr. 677/2001);

comunicarea informatiilor solicitate de persoana vizata in exercitarea dreptului de acces, intr-un termen mai mare de 15 zile, in situatia in care prelucrarea datelor cu caracter personal legate de starea de sanatate se face in scop de cercetare stiintifica (art. 13 alin. (5) din Legea nr. 677/2001);

adresarea cererii de exercitare a dreptului de acces de catre persoana vizata, in alta forma decat printr-o cerere scrisa, semnata si datata, in situatia in care prelucrarea datelor cu caracter personal se face exclusiv in scopuri jurnalistice, literare sau artistice (art. 13 alin. (6) din Legea nr. 677/2001);

4. Modalitatea de completare a formularului  F 2

4.1 Prima pagina a formularului F 2:

Acest formular se completeaza numai in cazul prelucrarilor efectuate in cadrul activitatilor de prevenire, cercetare si reprimare a infractiunilor si de mentinere a ordinii publice, precum si al altor activitati desfasurate in domeniul dreptului penal, in limitele si cu restrictiile stabilite de lege.

Spatiile rezervate autoritatii de supraveghere nu se vor completa decat de catre aceasta.

Se va marca cu „X”, dupa caz, daca:

operatorul notifica pentru prima data;

operatorul completeaza si/sau modifica o notificare anterioara. In aceasta  situatie operatorul trebuie sa precizeze numarul notificarii pe care intentioneaza sa o modifice sau sa o completeze.

La sectiunea „DECLARATIE”, persoana abilitata sa dea aceasta declaratie isi mentioneaza numele si prenumele, functia sau profesia (dupa caz),  specifica data completarii si semneaza. De asemenea, este necesara precizarea coordonatelor de contact ale persoanei repsective, cum ar fi adresa, telefonul, faxul, adresa de posta electronica etc.

Notificarea trebuie sa poarte si stampila operatorului.

Atentie!

Formularele a caror „DECLARATIE” nu este completata si semnata potrivit cerintelor nu vor fi analizate, urmand a se proceda la clasarea lor.

4.2 Completarea celorlalte sectiuni ale Formularului F 2

4.2.1 SECTIUNEA I: Operatorul

Numele (denumirea) operatorului:

Se bifeaza categoria din care face parte operatorul, dintre cele enumerate in aceasta sectiune.

Se completeaza in intregime denumirea oficiala si completa a operatorului, asa cum rezulta din actul normativ de infiintare.

Adresa/Sediul operatorului:

Se completeaza in intregime sediul operatorului, asa cum este stabilit potrivit dispozitiilor legale.

Persoana de contact:

Se completeaza numele complet, functia, numarul de telefon, numarul de fax si adresa de posta electronica ale persoanei de contact desemnate de operator pentru mentinerea legaturii cu ANSPDCP. Este de preferat ca, in cadrul operatorului, sa fie desemnata o persoana responsabila cu aplicarea Legii nr. 677/2001 pentru protectia persoanelor cu privire la protectia datelor cu caracter personal si libera circulatie a acestor date, modificata si completata.

Observatie: Trebuie informata autoritatea de supraveghere in legatura cu orice schimbare de adresa, nume sau denumire a operatorului. Daca nu se procedeaza astfel, se savarseste o contraventie, conform art. 31 din Legea nr. 677/2001.

4.2.2 SECTIUNEA II: Scopul prelucrarii

Se bifeaza cu “X” casuta (casutele) corespunzatoare scopului stabilit prin actele normative care reglementeaza activitatea desfasurata de operator.

4.2.3. SECTIUNEA III: Temeiul legal al prelucrarii

Scopul si mijloacele de prelucrare a datelor cu caracter personal sunt stabilite de anumite acte normative, in functie de activitatea fiecarui operator in parte. Astfel, la aceasta sectiune se mentioneaza actul sau actele normative in baza carora operatorul efectueaza prelucrarea datelor cu caracter personal.

4.2.4 SECTIUNEA IV: Categoriile de date cu caracter personal supuse prelucrarii

Se bifeaza cu “X” categoriile de date cu caracter personal prelucrate, in functie de scopul sau scopurile declarate la Sectiunea III din notificare.

Date cu caracter personal pot fi numai acele date care se refera la o persoana fizica identificata sau identificabila, direct sau indirect, printr-un numar de identificare sau prin referire la o serie de factori specifici identitatii sale fizice, fiziologice, psihice, economice, culturale sau sociale, inclusiv datele biometrice (amprenta digitala, maxilo-faciala, retina si altele asemenea) sau datele genetice (ADN-ul).

Nota: Ghidul de completare a notificarilor poate fi obtinut de la sediul autoritatii sau de pe site-ul: www.dataprotection.ro.