Legea nr. 363/2018 privind protectia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de catre autoritatile competente in scopul prevenirii, descoperirii, cercetarii, urmaririi penale si combaterii infractiunilor sau al executarii pedepselor, masurilor educative si de siguranta, precum si privind libera circulatie a acestor date

Articolul 11. -
(1) Adoptarea unei decizii intemeiate exclusiv pe prelucrarea automata, inclusiv crearea de profiluri, care produce un efect juridic negativ pentru persoana vizata sau care o afecteaza in mod semnificativ este interzisa, cu exceptia cazului in care prelucrarea este reglementata expres de lege, fiind prevazute garantii adecvate pentru drepturile si libertatile persoanei vizate, inclusiv dreptul de a obtine interventia umana din partea operatorului.
(2) Prelucrarea categoriilor de date cu caracter personal prevazute la art. 10 in scopul adoptarii de decizii in conditiile prevazute la alin. (1) este interzisa, cu exceptia situatiei in care sunt instituite masuri corespunzatoare pentru protejarea drepturilor, a libertatilor si a intereselor legitime ale persoanei vizate.
(3) Crearea de profiluri care au drept rezultat discriminarea persoanelor fizice pe baza criteriilor ce determina categoriile de date prevazute la art. 10 este interzisa.

Articolul 12. - (1) Operatorii sunt obligati sa instituie masurile organizatorice, tehnice si de procedura pentru a furniza persoanei vizate informatiile necesare potrivit prevederilor art. 13 si art. 16-21 si pentru a asigura transmiterea unui raspuns in legatura cu prelucrarile desfasurate in conditiile prevazute la art. 11 sau in legatura cu notificarea persoanelor vizate in cazul aparitiei unui incident de securitate, in conditiile prevederilor art. 39.
(2) Raspunsul trebuie formulat intr-o forma concisa, inteligibila si usor accesibila, utilizand un limbaj clar si simplu.
(3) Comunicarea informatiilor in conditiile prevazute la alin. (2) se realizeaza in acelasi format in care cererea a fost formulata, cu urmatoarele exceptii:
a) identitatea solicitantului nu poate fi stabilita cu exactitate, in conditiile prevazute la alin. (10);
b) formatul ales pentru transmiterea cererii presupune riscuri de prelucrare neautorizata sau ilegala ori de pierdere, distrugere sau deteriorare accidentala, prin raportare la cantitatea de date cu caracter personal, gradul de sensibilitate al informatiei, in special in situatia categoriilor de date prevazute la art. 10 ori a datelor referitoare la minori.
(4) Operatorul este obligat sa instituie masuri organizatorice si de procedura in scopul facilitarii exercitarii drepturilor persoanei vizate in temeiul prevederilor art. 11 si art. 16-21.
(5) Operatorul are obligatia de a informa persoana vizata, in scris, cu privire la modul de solutionare a cererilor formulate in temeiul prezentei legi. Raspunsul se transmite in mod gratuit, in cel mult 60 de zile calendaristice.
(6) In cazul in care cererile din partea unei persoane vizate sunt in mod vadit nefondate sau excesive, in special din cauza caracterului lor repetitiv, operatorul poate:
a) sa perceapa o taxa rezonabila care sa tina cont de costurile administrative pentru transmiterea sau comunicarea informatiilor sau pentru luarea masurilor solicitate; sau
b) sa refuze sa dea curs cererii.
(7) Cuantumul taxei prevazute la alin. (6) lit. a) va fi stabilit, respectiv actualizat prin act administrativ emis la nivelul operatorului.
(8) Caracterul nefondat sau excesiv al cererii se stabileste de la caz la caz, in functie de urmatoarele criterii:
a) obiectul cererii;
b) caracterul repetitiv al cererii;
c) existenta unor prelucrari suplimentare de date cu caracter personal, prin raportare la cele desfasurate la momentul formularii cererii precedente.
(9) Caracterul nefondat sau excesiv al cererii, in conditiile prevazute la alin. (6), trebuie demonstrat de operator .
(10) In cazul in care identitatea persoanei care formuleaza o cerere in temeiul prevederilor art. 16 sau 18 nu a putut fi stabilita cu exactitate, operatorul ii solicita acesteia informatii suplimentare necesare pentru confirmarea identitatii.
(11) Informatiile suplimentare colectate potrivit prevederilor alin. (10) nu pot fi prelucrate in niciun alt scop decat pentru confirmarea identitatii si se distrug in termen de 3 ani de la colectare. Operatorul poate stabili termene de pastrare mai mici.

Articolul 13. - Operatorii sunt obligati sa instituie masuri organizatorice, tehnice si de procedura in scopul punerii la dispozitia persoanelor interesate a urmatoarelor categorii de informatii:
a) identitatea si datele de contact ale operatorului;
b) datele de contact ale responsabilului cu protectia datelor, dupa caz;
c) scopurile in care sunt prelucrate datele cu caracter personal;
d) dreptul de a depune o plangere la autoritatea de supraveghere si datele de contact ale acesteia;
e) dreptul de a solicita operatorului acces la datele cu caracter personal referitoare la persoana vizata ori rectificarea sau stergerea acestor date sau restrictionarea prelucrarii lor.

Articolul 14. - La cerere, atunci cand legea nu prevede altfel, operatorul comunica persoanei vizate informatiile prevazute la art. 13, precum si urmatoarele informatii suplimentare:
a) temeiul juridic al prelucrarii;
b) perioada pentru care sunt stocate datele cu caracter personal sau, in cazul in care nu este posibil, criteriile utilizate pentru a stabili perioada respectiva;
c) daca este cazul, categoriile de destinatari ai datelor cu caracter personal, inclusiv din state terte sau organizatii internationale;
d) orice alte informatii suplimentare, in functie de specificul activitatilor de prelucrare, in special atunci cand datele cu caracter personal sunt colectate fara stirea persoanei vizate.

Articolul 15. - (1) Operatorul poate dispune, dupa caz, masura amanarii, restrictionarii sau omiterii furnizarii de informatii persoanei vizate in conditiile prevazute la art. 14 numai daca, tinand seama de drepturile fundamentale si interesele legitime ale persoanei vizate, o astfel de masura este necesara si proportionala intr-o societate democratica pentru:
a) evitarea obstructionarii bunei desfasurari a procesului penal;
b) evitarea prejudicierii prevenirii, descoperirii, cercetarii, urmaririi penale si combaterii infractiunilor sau a executarii pedepselor;
c) protejarea ordinii si sigurantei publice;
d) protejarea securitatii nationale;
e) protejarea drepturilor si libertatilor celorlalti.
(2) Masura amanarii furnizarii de informatii se dispune pe o perioada ce nu poate depasi un an, in situatia in care incidenta conditiilor care fac imposibila comunicarea este limitata in timp . Masura amanarii poate fi prelungita in interiorul termenului de un an. La implinirea termenului pentru care masura amanarii furnizarii de informatii a fost dispusa, operatorul transmite informatiile prevazute de lege.
(3) Persoana vizata este informata in scris, in cel mult 60 de zile calendaristice de la inregistrarea solicitarii, cu privire la masura amanarii furnizarii de informatii si motivul dispunerii acesteia, cu privire la termenul pentru care a fost dispusa aceasta masura, precum si cu privire la faptul ca se poate adresa autoritatii de supraveghere cu plangere impotriva deciziei operatorului sau poate ataca in instanta decizia operatorului.
(4) Masura restrictionarii furnizarii de informatii se dispune in situatia in care incidenta conditiilor care fac imposibila comunicarea nu este limitata in timp . In situatia restrictionarii furnizarii de informatii, operatorul transmite persoanei vizate un raspuns. Forma si continutul raspunsului sunt stabilite de fiecare operator in parte .
(5) Masura omisiunii furnizarii de informatii se dispune in situatia in care chiar si simpla informare a persoanei vizate cu privire la una sau mai multe operatiuni de prelucrare este de natura sa afecteze una dintre activitatile prevazute la alin. (1) lit. a) -d).
(6) Omisiunea furnizarii de informatii poate sa fie partiala sau totala. In situatia omisiunii partiale, persoana vizata este informata, in termen de cel mult 60 de zile calendaristice de la inregistrarea solicitarii, cu privire la categoriile de prelucrari care nu sunt de natura a afecta activitatile prevazute la alin. (1). In situatia omisiunii totale, operatorul transmite persoanei vizate un raspuns. Forma si continutul raspunsului sunt stabilite de fiecare operator in parte .
(7) Operatorul este obligat sa tina evidenta situatiilor in care a fost dispusa masura omiterii furnizarii de informatii si sa documenteze adoptarea acestei masuri .
(8) In luna ianuarie a fiecarui an, operatorul are obligatia de a informa autoritatea de supraveghere cu privire la situatia statistica a masurilor de omisiune a furnizarii de informatii adoptate in anul precedent, defalcat pentru fiecare dintre activitatile prevazute la alin. (1) lit. a) -d).