Legea nr. 238/2009, republicata 2012, privind reglementarea prelucrarii datelor cu caracter personal de catre structurile/unitatile MAI

(5) Dispozitiile alin. (1)-(4) sunt aplicabile si in cazul activitatilor de control la frontiera, executate, in conditiile legii, de structura specializata a M.A.I, care impun interconectarea sistemelor de evidenta a datelor cu caracter personal sau a mijloacelor automate de prelucrare a datelor cu caracter personal, constituite potrivit dispozitiilor art. 3.

Art. 20. -
(1) Structurile/Unitatile M.A.I. pot configura sistemele de evidenta a datelor cu caracter personal sau, dupa caz, mijloacele automate de prelucrare a datelor cu caracter personal pe care le detin pentru scopuri corelate sau diferite, astfel incat semnalarile cu privire la persoane sau bunuri sa fie accesibile in orice sistem ori mijloc de prelucrare
(2) Sistemele de evidenta a datelor cu caracter personal sau, dupa caz, mijloacele automate de prelucrare a datelor cu caracter personal detinute de structurile/unitatile M.A.I. se configureaza astfel incat niciun utilizator sa nu aiba acces decat la datele cu caracter personal strict necesare desfasurarii atributiilor de serviciu . Structurile/Unitatile M.A.I. au obligatia de a stabili categoriile de date la care are acces fiecare utilizator, in scopul indeplinirii atributiilor de serviciu .

Art. 21. -
(1) In cazul sistemelor de evidenta constituite potrivit scopurilor prevazute la art. 1 alin. (1), structurile/unitatile M.A.I. pot permite autoritatilor, institutiilor sau organizatiilor prevazute la art. 10 accesul direct la sistemele gestionate, doar in conditii care sa asigure securitatea datelor cu caracter personal, in urmatoarele situatii:
a) in baza unui tratat ratificat de Romania;
b) in cadrul activitatii de cooperare politieneasca si judiciara in materie penala efectuata in cadrul Uniunii Europene
(2) Prelucrarile efectuate potrivit alin. (1) se notifica Autoritatii nationale de supraveghere in conditiile art. 4
(3) In situatia prevazuta la alin. (1), prelucrarea datelor cu caracter personal de catre autoritatile, institutiile sau organizatiile prevazute la art. 10 se permite doar pentru scopul stabilit prin tratat ori, dupa caz, printr-un instrument juridic al Uniunii Europene.

Art. 22. -
(1) In situatiile prevazute la art. 18 alin. (1), structurile/unitatile M.A.I. dispun masurile necesare pentru ca toate prelucrarile de date cu caracter personal sa fie inregistrate in sistem intr-un fisier de acces, in scopul monitorizarii legalitatii efectuarii prelucrarilor
(2) Sistemele de evidenta sau mijloacele automate de prelucrare a datelor cu caracter personal gestionate de catre structurile/unitatile M.A.I. trebuie sa fie configurate astfel incat sa genereze fisierele de acces si in situatia in care structurilor/unitatilor M.A.I. li se permite accesul direct in sistemele de evidenta gestionate de autoritatile, institutiile sau organizatiile prevazute la art. 10
(3) Fisierele de acces trebuie sa cuprinda cel putin data, ora exacta, motivul prelucrarii, datele de identificare a autoritatii, institutiei sau, dupa caz, a organizatiei care a efectuat prelucrarea, precum si codul de identificare a utilizatorului care a efectuat prelucrarea. Daca este cazul, fisierele de acces pot contine si datele cu caracter personal care au facut obiectul prelucrarii
(4) Fisierele de acces pot fi utilizate doar in scopul verificarii legalitatii prelucrarii sau pentru asigurarea securitatii datelor cu caracter personal.

Art. 23. - La cerere, structurile/unitatile M.A.I. comunica, in termen de 15 zile, autoritatilor competente in domeniul protectiei datelor cu caracter personal din afara teritoriului Romaniei, inregistrarile referitoare la prelucrarile efectuate in sistemele de evidenta gestionate de entitatile din statul a carui autoritate a formulat cererea .
CAPITOLUL VI
Drepturile persoanei vizate

Art. 24. -
(1) Structurile/Unitatile M.A.I. asigura conditiile de exercitare a drepturilor conferite de lege persoanei vizate, cu respectarea Legii nr. 677/2001, cu modificarile si completarile ulterioare, si a prezentei legi
(2) Prevederile referitoare la exercitarea drepturilor persoanei vizate, prevazute de Legea nr. 677/2001, cu modificarile si completarile ulterioare, nu se aplica pe perioada in care o asemenea masura este necesara pentru evitarea prejudicierii activitatilor specifice de prevenire, cercetare si combatere a infractiunilor, precum si de mentinere si asigurare a ordinii publice, ca urmare a cunoasterii de persoana vizata a faptului ca datele sale cu caracter personal sunt prelucrate, sau este necesara pentru protejarea persoanei vizate ori a drepturilor si libertatilor altor persoane, in cazul in care exista date si informatii ca aceste drepturi si libertati sunt puse in pericol
(3) In cazul aplicarii exceptiilor de la exercitarea drepturilor persoanei vizate, prevazute la alin. (2), acestea trebuie motivate in scris. Necomunicarea motivelor este posibila numai in masura in care este necesara bunei desfasurari a activitatilor prevazute la art. 1 alin. (1) sau pentru protejarea drepturilor si libertatilor altor persoane decat persoana vizata
(4) In toate situatiile, persoana vizata va fi informata cu privire la dreptul de a se adresa Autoritatii nationale de supraveghere sau, dupa caz, instantei de judecata, care va decide daca masurile luate de structurile/unitatile M.A.I., conform prevederilor alin. (2), sunt intemeiate
(5) In situatia in care, in urma exercitarii dreptului de acces sau a dreptului de interventie, rezulta ca datele cu caracter personal sunt inexacte, irelevante sau inregistrate in mod abuziv, acestea vor fi sterse sau rectificate prin anexarea unui document, incheiat in acest sens, la sistemul de evidenta ale carui date cu caracter personal au suferit modificari, detinut de structurile/unitatile M.A.I
(6) Masurile prevazute la alin. (5) se aplica tuturor documentelor care au legatura cu sistemul de evidenta a datelor cu caracter personal. In cazul in care acestea nu sunt efectuate imediat, se va avea in vedere realizarea lor cel mai tarziu la data prelucrarii ulterioare a datelor cu caracter personal sau la o urmatoare comunicare a acestora
(7) In situatia in care structurile/unitatile M.A.I. nu pot da curs cererilor formulate in exercitarea dreptului de interventie in scopul rectificarii, stergerii ori, dupa caz, blocarii datelor cu caracter personal, transmit persoanei vizate un raspuns scris in care sunt mentionate motivele care stau la baza imposibilitatii solutionarii solicitarii, precum si faptul ca aceasta are dreptul de a se adresa Autoritatii nationale de supraveghere sau, dupa caz, instantei de judecata .

Art. 25. -
(1) In cazul in care structurile/unitatile M.A.I. formuleaza cereri pentru comunicarea datelor cu caracter personal adresate unor autoritati competente ori entitati de drept privat din afara teritoriului Romaniei, pot solicita ca persoana vizata sa nu fie informata cu privire la prelucrare numai daca sunt aplicabile dispozitiile art. 24 alin. (2). La incetarea motivelor pentru care s-a formulat o astfel de solicitare, structurile/unitatile M.A.I. informeaza in scris autoritatea competenta ori entitatea de drept privat din afara teritoriului Romaniei cu privire la faptul ca persoana vizata, ale carei date cu caracter personal au fost comunicate, poate fi informata cu privire la aceasta prelucrare
(2) In cazul in care autoritatile competente ale unui stat membru solicita, cu ocazia comunicarilor de date cu caracter personal de catre structurile/unitatile M.A.I., ca persoana vizata sa nu fie informata, structurile/unitatile M.A.I. dispun informarea persoanei vizate doar cu consimtamantul autoritatii competente solicitante.

Art. 26. - In situatia in care cererea persoanei vizate in contextul prelucrarii datelor cu caracter personal se refera la o prelucrare efectuata de catre o autoritate competenta ori entitate de drept privat din afara teritoriului Romaniei in sistemele de evidenta gestionate de structurile/unitatile M.A.I., prin derogare de la prevederile art. 13 alin. (3), ale art. 14 alin. (3) si ale art. 15 alin. (4) din Legea nr. 677/2001, cu modificarile si completarile ulterioare, i se raspunde solicitantului cat mai curand posibil, dar nu mai tarziu de 60 de zile de la data primirii cererii. In acest termen, structurile/unitatile M.A.I. solicita informatii autoritatii competente ori entitatii de drept privat din afara teritoriului Romaniei care a efectuat prelucrarea.

Art. 27. -
(1) In cazul in care exactitatea unor date cu caracter personal este contestata de persoana vizata, iar exactitatea sau inexactitatea datelor respective nu se poate stabili cu certitudine, acestora li se pot atribui referinte. La cererea persoanei vizate, atribuirea de referinte este obligatorie
(2) Datele cu caracter personal carora le-au fost atribuite referinte nu pot fi comunicate decat in scopul stabilirii corectitudinii acestora
(3) Referintele atribuite potrivit alin. (1) pot fi inlaturate in unul dintre urmatoarele cazuri:
a) la solicitarea ori cu acordul persoanei vizate, atunci cand exactitatea sau, dupa caz, inexactitatea datelor cu caracter personal a fost stabilita;
b) atunci cand exista o hotarare a instantei de judecata sau autorizarea Autoritatii nationale de supraveghere .

Art. 28. -
(1) Structurile/Unitatile M.A.I., in calitate de operatori, raspund pentru prejudiciul cauzat persoanei vizate in urma unei prelucrari de date cu caracter personal, chiar si in situatia in care prejudiciul a fost cauzat prin prelucrarea, in conditiile legii, a unor date cu caracter personal inexacte furnizate de o autoritate competenta a unui stat membru
(2) In situatia in care structurile/unitatile M.A.I. sunt obligate, in conditiile legii, la plata unor despagubiri pentru prejudiciile cauzate persoanei vizate ca urmare a prelucrarii unor date cu caracter personal inexacte furnizate de o autoritate competenta a unui stat membru, acestea sunt obligate sa dispuna masurile necesare pentru recuperarea sumelor platite ca despagubire de la autoritatea care a furnizat datele respective
(3) Pentru a se asigura indeplinirea obligatiei prevazute la alin. (2), structurile/unitatile M.A.I., care au platit despagubiri pentru prejudiciile cauzate persoanei vizate ca urmare a prelucrarii unor date cu caracter personal inexacte, informeaza autoritatea competenta din statul membru care a furnizat aceste date si solicita rambursarea sumei platite ca despagubire . Cu aceasta ocazie, structurile/unitatile M.A.I. comunica faptul ca prejudiciul a fost cauzat exclusiv ca urmare a prelucrarii, in conditiile legii, a datelor inexacte furnizate de autoritatea competenta din statul membru, si nu din culpa structurii/unitatii M.A.I. care a primit datele cu caracter personal si anexeaza documente din care sa rezulte:
a) ca structura/unitatea M.A.I. a fost obligata la plata despagubirii pentru prejudiciile cauzate persoanei vizate si ca a platit o suma de bani;