LEGEA 190/2018 pentru punerea in aplicare a GDPR (Regulamentul general privind protectia datelor)

Art. 8: Prelucrarea datelor cu caracter personal in scopuri de cercetare stiintifica sau istorica, in scopuri statistice ori in scopuri de arhivare in interes public

(1)Prevederile art. 15, 16, 18 si 21 din Regulamentul general privind protectia datelor nu se aplica in cazul in care datele cu caracter personal sunt prelucrate in scopuri de cercetare stiintifica sau istorica, in masura in care drepturile mentionate la aceste articole sunt de natura sa faca imposibila sau sa afecteze in mod grav realizarea scopurilor specifice, iar derogarile respective sunt necesare pentru indeplinirea acestor scopuri .

(2)Prevederile art. 15, 16, 18, 19, 20 si 21 din Regulamentul general privind protectia datelor nu se aplica in cazul in care datele cu caracter personal sunt prelucrate in scopuri de arhivare in interes public, in masura in care drepturile mentionate la aceste articole sunt de natura sa faca imposibila sau sa afecteze in mod grav realizarea scopurilor specifice, iar aceste derogari sunt necesare pentru indeplinirea acestor scopuri .

(3)Derogarile prevazute la alin. (1) si (2) sunt aplicabile numai sub rezerva existentei garantiilor corespunzatoare pentru drepturile si libertatile persoanelor vizate, prevazute la art. 89 alin. (1) din Regulamentul general privind protectia datelor.

(4)In cazul in care prelucrarea mentionata la alin. (1) si (2) serveste in acelasi timp si altui scop, derogarile se aplica numai prelucrarii in scopurile mentionate la alineatele respective.

Art. 9

(1)In vederea asigurarii proportionalitatii si a unui echilibru intre dreptul la protectia datelor cu caracter personal si a datelor speciale si prelucrarea unor astfel de date de catre partidele politice si organizatiile cetatenilor apartinand minoritatilor nationale, organizatiilor neguvernamentale, se vor realiza urmatoarele garantii:

a)informarea persoanei vizate despre prelucrarea datelor cu caracter personal;

b)garantarea transparentei informatiilor, a comunicarilor si a modalitatilor de exercitare a drepturilor persoanei vizate;

c)garantarea dreptului de rectificare si stergere.

(2)Prelucrarea datelor cu caracter personal si special este permisa partidelor politice si organizatiilor cetatenilor apartinand minoritatilor nationale, organizatiilor neguvernamentale, in vederea realizarii obiectivelor acestora, fara consimtamantul expres al persoanei vizate, dar cu conditia sa se prevada garantiile corespunzatoare, mentionate la alineatul precedent.

CAPITOLUL IV: Responsabilul cu protectia datelor

Art. 10: Desemnarea si sarcinile responsabilului cu protectia datelor

(1)Operatorii si persoanele imputernicite de operator desemneaza un responsabil cu protectia datelor in situatiile si conditiile prevazute la art. 37-39 din Regulamentul general privind protectia datelor.

(2)In cazul in care operatorul sau persoana imputernicita de operator este o autoritate publica sau un organism public, astfel cum este definit la art. 2 alin. (1) lit. a), poate fi desemnat un responsabil cu protectia datelor, unic pentru mai multe dintre aceste autoritati sau organisme, luand in considerare structura organizatorica si dimensiunea acestora.

(3)Activitatea si sarcinile responsabilului cu protectia datelor se realizeaza cu respectarea prevederilor art. 38 si 39 din Regulamentul general privind protectia datelor si a reglementarilor legale nationale aplicabile.

CAPITOLUL V: Organisme de certificare

Art. 11: Acreditarea organismelor de certificare

(1)Acreditarea organismelor de certificare prevazute la art. 43 din Regulamentul general privind protectia datelor se realizeaza de Asociatia de Acreditare din Romania - RENAR, in calitate de organism national de acreditare, in conformitate cu Regulamentul (CE) nr. 765/2008 al Parlamentului European si al Consiliului din 9 iulie 2008 de stabilire a cerintelor de acreditare si de supraveghere a pietei in ceea ce priveste comercializarea produselor si de abrogare a Regulamentului (CEE) nr. 339/93, publicat in Jurnalul Oficial al Uniunii Europene, seria L, nr. 218 din 13 august 2008, precum si in conformitate cu Ordonanta Guvernului nr. 23/2009 privind activitatea de acreditare a organismelor de evaluare a conformitatii, aprobata cu modificari prin Legea nr. 256/2011.

(2)Organismele de certificare vor fi acreditate potrivit reglementarilor legale aplicabile, in conformitate cu standardul EN-ISO/IEC 17065 si cu cerintele suplimentare stabilite de Autoritatea nationala de supraveghere, precum si cu respectarea prevederilor art. 43 din Regulamentul general privind protectia datelor.

CAPITOLUL VI: Masuri corective si sanctiuni

Art. 12: Dispozitii generale privind masuri corective si sanctiuni

(1)Incalcarea dispozitiilor enumerate la art. 83 alin. (4)-(6) din Regulamentul general privind protectia datelor constituie contraventie.

(2)Sanctiunile contraventionale principale sunt avertismentul si amenda contraventionala.

(3)Incalcarea prevederilor art. 3-9 din prezenta lege constituie contraventie si se sanctioneaza in conditiile prevazute la art. 83 alin. (5) din Regulamentul general privind protectia datelor.

(4)Constatarea contraventiilor prevazute de prezenta lege si aplicarea sanctiunilor contraventionale, precum si a celorlalte masuri corective prevazute de art. 58 din Regulamentul general privind protectia datelor se fac de Autoritatea nationala de supraveghere, in conformitate cu dispozitiile Regulamentului general privind protectia datelor, ale Legii nr. 102/2005 privind infiintarea, organizarea si functionarea Autoritatii Nationale de Supraveghere a Prelucrarii Datelor cu Caracter Personal, cu modificarile si completarile ulterioare, si ale prezentei legi.

Art. 13: Aplicarea masurilor corective autoritatilor si organismelor publice

(1)In cazul constatarii incalcarii prevederilor Regulamentului general privind protectia datelor si ale prezentei legi de catre autoritatile/organismele publice, Autoritatea nationala de supraveghere incheie un proces-verbal de constatare si sanctionare a contraventiei prin care se aplica sanctiunea avertismentului si la care anexeaza un plan de remediere.

(2)Termenul de remediere se stabileste in functie de riscurile asociate prelucrarii, precum si demersurile necesar a fi indeplinite pentru asigurarea conformitati prelucrarii.

(3)In termen de 10 zile de la data expirarii termenului de remediere, Autoritatea nationala de supraveghere poate sa reia controlul .

(4)Responsabilitatea indeplinirii masurilor de remediere revine autoritatii/organismului public care, potrivit legii, poarta raspunderea contraventionala pentru faptele constatate.

(5)Modelul planului de remediere care se anexeaza la procesul-verbal de constatare si sanctionare a contraventiei este prevazut in anexa Plan de remediere, care face parte integranta din prezenta lege.

Art. 14: Constatarea contraventiilor si aplicarea de sanctiuni autoritatilor si organismelor publice

(1)Daca in urma controlului prevazut la art. 13 alin. (3) se constata faptul ca autoritatile/organismele publice nu au adus la indeplinire in totalitate masurile prevazute in planul de remediere, Autoritatea nationala de supraveghere, in functie de circumstantele fiecarui caz in parte, poate aplica sanctiunea contraventionala a amenzii, cu luarea in considerare a criteriilor prevazute la art. 83 alin. (2) din Regulamentul general privind protectia datelor.

(2)Constituie contraventie incalcarea de catre autoritatile/organismele publice a urmatoarelor dispozitii din Regulamentul general privind protectia datelor, referitoare la:

a)obligatiile operatorului si ale persoanei imputernicite de operator in conformitate cu prevederile art. 8, art. 11, art. 25-39, art. 42 si 43;

b)obligatiile organismului de certificare in conformitate cu art. 42 si 43;

c)obligatiile organismului de monitorizare in conformitate cu art. 41 alin. (4).

(3)Constituie contraventie incalcarea de catre autoritatile/organismele publice a dispozitiilor art. 3-9 din prezenta lege.

(4)Contraventiile prevazute la alin. (2) si (3) se sanctioneaza cu amenda de la 10.000 lei pana la 100.000 lei.

(5)Constituie contraventie incalcarea de catre autoritatile/organismele publice a urmatoarelor dispozitii din Regulamentul general privind protectia datelor, referitoare la:

a)principiile de baza pentru prelucrare, inclusiv conditiile privind consimtamantul, in conformitate cu art. 5-7 si art. 9;

b)drepturile persoanelor vizate in conformitate cu art. 12-22;

c)transferurile de date cu caracter personal catre un destinatar dintr-o tara terta sau o organizatie internationala, in conformitate cu art. 44-49;

d)orice obligatii in temeiul legislatiei nationale adoptate in temeiul capitolului IX;

e)nerespectarea unei decizii sau a unei limitari temporare sau definitive asupra prelucrarii sau a suspendarii fluxurilor de date, emisa de catre Autoritatea nationala de supraveghere in temeiul art. 58 alin. (2), sau neacordarea accesului, prin incalcarea dispozitiilor art. 58 alin. (1).

(6)Prin derogare de la prevederile art. 8 alin. (2) lit. a) din Ordonanta Guvernului nr. 2/2001 privind regimul juridic al contraventiilor, aprobata cu modificari si completari prin Legea nr. 180/2002, cu modificarile si completarile ulterioare, contraventiile prevazute la alin. (5) se sanctioneaza cu amenda de la 10.000 lei pana la 200.000 lei.

(7)Constituie contraventie incalcarea de catre autoritatile/organismele publice a unei decizii emise de Autoritatea nationala de supraveghere in conformitate cu art. 58 alin. (2) coroborat cu art. 83 alin. (2) din Regulamentul general privind protectia datelor.

(8)Prin derogare de la prevederile art. 8 alin. (2) lit. a) din Ordonanta Guvernului nr. 2/2001, cu modificarile si completarile ulterioare, contraventiile prevazute la alin. (7) se sanctioneaza cu amenda de la 10.000 lei pana la 200.000 lei.