Legea nr. 677/2001, pentru protectia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulatie a acestor date

Art. 20. - (1) Operatorul este obligat sa aplice masurile tehnice si organizatorice adecvate pentru protejarea datelor cu caracter personal impotriva distrugerii accidentale sau ilegale, pierderii, modificarii, dezvaluirii sau accesului neautorizat, in special daca prelucrarea respectiva comporta transmisii de date in cadrul unei retele, precum si impotriva oricarei alte forme de prelucrare ilegala.

(2) Aceste masuri trebuie sa asigure, potrivit stadiului tehnicii utilizate in procesul de prelucrare si de costuri, un nivel de securitate adecvat in ceea ce priveste riscurile pe care le reprezinta prelucrarea, precum si in ceea ce priveste natura datelor care trebuie protejate. Cerintele minime de securitate vor fi elaborate de autoritatea de supraveghere si vor fi actualizate periodic, corespunzator progresului tehnic si experientei acumulate.

(3) Operatorul, atunci cand desemneaza o persoana imputernicita, este obligat sa aleaga o persoana care prezinta suficiente garantii in ceea ce priveste masurile de securitate tehnica si organizatorice cu privire la prelucrarile ce vor fi efectuate, precum si sa vegheze la respectarea acestor masuri de catre persoana desemnata.

(4) Autoritatea de supraveghere poate decide, in cazuri individuale, asupra obligarii operatorului la adoptarea unor masuri suplimentare de securitate, cu exceptia celor care privesc garantarea securitatii serviciilor de telecomunicatii.

(5) Efectuarea prelucrarilor prin persoane imputernicite trebuie sa se desfasoare in baza unui contract incheiat in forma scrisa, care va cuprinde in mod obligatoriu:

a) obligatia persoanei imputernicite de a actiona doar in baza instructiunilor primite de la operator;

b) faptul ca indeplinirea obligatiilor prevazute la alin. (1) revine si persoanei imputernicite.

CAPITOLUL VI
Supravegherea si controlul prelucrarilor de date cu caracter personal

Autoritatea de supraveghere

Art. 21. - (1) Autoritatea de supraveghere, in sensul prezentei legi, este Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal.

(2) Autoritatea de supraveghere isi desfasoara activitatea in conditii de completa independenta si impartialitate.

(3) Autoritatea de supraveghere monitorizeaza si controleaza sub aspectul legalitatii prelucrarile de date cu caracter personal care cad sub incidenta prezentei legi.

In acest scop autoritatea de supraveghere exercita urmatoarele atributii:

a) elaboreaza formularele tipizate ale notificarilor si ale registrelor proprii;

b) primeste si analizeaza notificarile privind prelucrarea datelor cu caracter personal, anuntand operatorului rezultatele controlului prealabil;

c) autorizeaza prelucrarile de date in situatiile prevazute de lege;

d) poate dispune, in cazul in care constata incalcarea dispozitiilor prezentei legi, suspendarea provizorie sau incetarea prelucrarii datelor, stergerea partiala ori integrala a datelor prelucrate si poate sa sesiseze organele de urmarire penala sau sa intenteze actiuni in justitie;

d¹) informeaza persoanele fizice sau/si juridice care activeaza in aceste domenii, in mod direct sau prin intermediul structurilor asociative ale acestora, asupra necesitatii respectarii obligatiilor si indeplinirii procedurilor prevazute de prezenta lege;

e) pastreaza si pune la dispozitie publicului registrul de evidenta a prelucrarilor de date cu caracter personal;

f) primeste si solutioneaza plangeri, sesizari sau cereri de la persoanele fizice si comunica solutia data ori, dupa caz, diligentele depuse;

g) efectueaza investigatii din oficiu sau la primirea unor plangeri ori sesizari;

h) este consultata atunci cand se elaboreaza proiecte de acte normative referitoare la protectia drepturilor si libertatilor persoanelor, in privinta prelucrarii datelor cu caracter personal;

i) poate face propuneri privind initierea unor proiecte de acte normative sau modificarea actelor normative in vigoare in domenii legate de prelucrarea datelor cu caracter personal;

j) coopereaza cu autoritatile publice si cu organele administratiei publice, centralizeaza si analizeaza rapoartele anuale de activitate ale acestora privind protectia persoanelor in privinta prelucrarii datelor cu caracter personal, formuleaza recomandari si avize asupra oricarei chestiuni legate de protectia drepturilor si libertatilor fundamentale in privinta prelucrarii datelor cu caracter personal, la cererea oricarei persoane, inclusiv a autoritatilor publice si a organelor administratiei publice; aceste recomandari si avize trebuie sa faca mentiune despre temeiurile pe care se sprijina si se comunica in copie si Ministerului Justitiei; atunci cand recomandarea sau avizul este cerut de lege, se publica in Monitorul Oficial al Romaniei, Partea I;

k) coopereaza cu autoritatile similare de peste hotare in vederea asistentei mutuale, precum si cu persoanele cu domiciliul sau cu sediul in strainatate, in scopul apararii drepturilor si libertatilor fundamentale ce pot fi afectate prin prelucrarea datelor cu caracter personal;

l) indeplineste alte atributii prevazute de lege;

m) modul de organizare si functionare a Autoritatii Nationale de Supraveghere a Prelucrarii Datelor cu Caracter Personal se stabileste prin lege.

(4) Intregul personal al autoritatii de supraveghere are obligatia de a pastra secretul profesional, cu exceptiile prevazute de lege, pe termen nelimitat, asupra informatiilor confidentiale sau clasificate la care are sau a avut acces in exercitarea atributiilor de serviciu, inclusiv dupa incetarea raporturilor juridice cu autoritatea de supraveghere .

Notificarea catre autoritatea de supraveghere

Art. 22. - (1) Operatorul este obligat sa notifice autoritatii de supraveghere, personal sau prin reprezentant, inainte de efectuarea oricarei prelucrari ori a oricarui ansamblu de prelucrari avand acelasi scop sau scopuri corelate.

(2) Notificarea nu este necesara in cazul in care prelucrarea are ca unic scop tinerea unui registru destinat prin lege informarii publicului si deschis spre consultare publicului in general sau oricarei persoane care probeaza un interes legitim, cu conditia ca prelucrarea sa se limiteze la datele strict necesare tinerii registrului mentionat.

(3) Notificarea va cuprinde cel putin urmatoarele informatii:

a) numele sau denumirea si domiciliul ori sediul operatorului si ale reprezentantului desemnat al acestuia, daca este cazul;

b) scopul sau scopurile prelucrarii;

c) o descriere a categoriei sau a categoriilor de persoane vizate si a datelor ori a categoriilor de date ce vor fi prelucrate;

d) destinatarii sau categoriile de destinatari carora se intentioneaza sa li se dezvaluie datele;

e) garantiile care insotesc dezvaluirea datelor catre terti;

f) modul in care persoanele vizate sunt informate asupra drepturilor lor; data estimata pentru incheierea operatiunilor de prelucrare, precum si destinatia ulterioara a datelor;

g) transferuri de date care se intentioneaza sa fie facute catre alte state;

h) o descriere generala care sa permita aprecierea preliminara a masurilor luate pentru asigurarea securitatii prelucrarii;

i) specificarea oricarui sistem de evidenta a datelor cu caracter personal, care are legatura cu prelucrarea, precum si a eventualelor legaturi cu alte prelucrari de date sau cu alte sisteme de evidenta a datelor cu caracter personal, indiferent daca se efectueaza, respectiv daca sunt sau nu sunt situate pe teritoriul Romaniei;

j) motivele care justifica aplicarea prevederilor art. 11, art. 12 alin. (3) sau (4) ori ale art. 13 alin. (5) sau (6), in situatia in care prelucrarea datelor se face exclusiv in scopuri jurnalistice, literare sau artistice ori in scopuri statistice, de cercetare istorica sau stiintifica.

(4) Daca notificarea este incompleta, autoritatea de supraveghere va solicita completarea acesteia.

(5) In limitele puterilor de investigare de care dispune, autoritatea de supraveghere poate solicita si alte informatii, in special privind originea datelor, tehnologia de prelucrare automata utilizata si detalii referitoare la masurile de securitate . Dispozitiile prezentului alineat nu se aplica in situatia in care prelucrarea datelor se face exclusiv in scopuri jurnalistice, literare sau artistice.