Legea nr. 363/2018 privind protectia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de catre autoritatile competente in scopul prevenirii, descoperirii, cercetarii, urmaririi penale si combaterii infractiunilor sau al executarii pedepselor, masurilor educative si de siguranta, precum si privind libera circulatie a acestor date

a) contextul general al prelucrarii si obiectivele acesteia;
b) datele cu caracter personal care urmeaza sa fie prelucrate;
c) scopurile prelucrarii;
d) termenele de stocare generale si, dupa caz, specifice a datelor cu caracter personal.
(2) Stabilirea termenelor specifice de pastrare este obligatorie in urmatoarele situatii:
a) prelucrarea datelor cu caracter personal referitoare la minori;
b) prelucrarea categoriilor speciale de date cu caracter personal;
c) prelucrarea datelor cu caracter personal a caror acuratete nu a fost stabilita sau nu a putut fi stabilita;
d) in orice alta situatie in care prelucrarea presupune riscuri majore pentru persoana vizata.
(3) Termenele specifice de stocare nu pot fi mai mari decat jumatate din termenul general de stocare corespunzator scopului prelucrarii.
(4) La implinirea termenelor de stocare, datele cu caracter personal pot fi:
a) arhivate in interes public in conformitate cu legislatia speciala;
b) stocate in evidenta pasiva pentru o durata care nu poate depasi jumatate din termenul initial de stocare;
c) distruse sau sterse prin utilizarea unor proceduri ireversibile, daca nu se incadreaza in una dintre situatiile prevazute la lit. a) sau b).
(5) Prelucrarile de date cu caracter personal bazate pe utilizarea noilor tehnologii sau care sunt de natura sa genereze un risc ridicat pentru drepturile si libertatile persoanelor fizice pot fi instituite in scopul realizarii activitatilor prevazute la art. 1 numai in temeiul unui act normativ publicat in Monitorul Oficial al Romaniei, Partea I, care sa stabileasca garantii necesar a fi instituite in temeiul prezentei legi.

Articolul 7. - (1) Operatorii dispun masurile necesare in scopul evidentierii in mod distinct si structurarii datelor cu caracter personal, avand in vedere urmatoarele criterii:
a) date referitoare la persoane in privinta carora exista indicii temeinice ca au savarsit sau ca urmeaza sa savarseasca o infractiune, inclusiv cele impotriva carora a fost dispusa o masura preventiva privativa de libertate;
b) date referitoare la persoane condamnate pentru savarsirea unei infractiuni sau persoane fata de care s-a dispus executarea unei masuri educative sau de siguranta;
c) date referitoare la persoane victime ale unei infractiuni sau persoane in privinta carora exista motive sa se creada ca ar putea fi victimele unei infractiuni;
d) date referitoare la alte persoane care au legatura cu infractiunea, precum persoane care ar putea fi chemate sa depuna marturie in cadrul anchetelor legate de infractiuni sau in cadrul procedurilor penale ulterioare sau persoane care pot oferi informatii cu privire la infractiuni sau persoane care sunt in legatura sau asociate cu persoanele prevazute la lit. a) sau b).
(2) Datele cu caracter personal prelucrate in temeiul prezentei legi sunt ordonate in functie de gradul lor de acuratete si exactitate. In acest scop, operatorii dispun masurile necesare pentru realizarea unei distinctii intre date colectate ca urmare a constatarii unor fapte, respectiv date a caror colectare se bazeaza pe perceptia subiectiva a unor persoane fizice.
(3) Operatorii dispun toate masurile necesare pentru ca datele cu caracter personal inexacte, incomplete sau care nu sunt actualizate sa nu fie transmise sau puse la dispozitia destinatarului.
(4) Masurile prevazute la alin. (3) includ si evaluari periodice in scopul asigurarii calitatii datelor cu caracter personal prin raportare la scopul in care au fost colectate si sunt ulterior prelucrate.
(5) Termenele de evaluare sunt stabilite prin acte administrative adoptate de catre operatori, carora li se asigura o forma de publicitate. Frecventa evaluarilor este determinata de scopul in care datele cu caracter personal au fost colectate, calitatea datelor la momentul colectarii, cantitatea datelor, daca sunt prelucrate categorii speciale de date cu caracter personal. In cazul sistemelor automatizate de evidenta, termenele de evaluare nu pot depasi 2 ani de la momentul colectarii, respectiv de la precedenta evaluare.
(6) Evaluarea calitatii datelor cu caracter personal este obligatorie inainte ca datele cu caracter personal sa fie transmise sau puse la dispozitie altui operator .
(7) In situatia transmiterii de date cu caracter personal, in scopul asigurarii calitatii datelor, operatorul poate adauga informatii care sa permita autoritatii competente destinatare sa evalueze:
a) acuratetea datelor;
b) caracterul integral al datelor;
c) utilitatea datelor raportat la scopul prelucrarii;
d) daca acestea sunt actualizate.
(8) In situatia unei transmiteri neconforme cu legislatia in vigoare a unor date cu caracter personal sau in cazul in care se constata ca datele cu caracter personal nu au calitatea necesara, operatorul este obligat sa notifice de indata destinatarul. Datele care au facut obiectul transmiterii sunt, dupa caz:
a) rectificate sau sterse;
b) restrictionate la prelucrare .
(9) Restrictionarea prelucrarii datelor cu caracter personal prevazuta la alin. (8) se dispune doar in una dintre situatiile prevazute la art. 18 alin. (4).

Articolul 8. - (1) Datele cu caracter personal colectate in scopul prevazut la art. 1 nu pot fi prelucrate in alte scopuri, cu exceptia cazurilor prevazute in mod expres de lege.
(2) In situatiile exceptionale prevazute la alin. (1), prelucrarile suplimentare de date cu caracter personal se realizeaza in conformitate cu dispozitiile Regulamentului general privind protectia datelor, cu exceptia activitatilor prevazute la art. 3 alin. (2), situatie in care se aplica dispozitiile corespunzatoare cuprinse in legi speciale.
(3) Datele cu caracter personal colectate de catre autoritatile competente in alte scopuri decat cele necesare indeplinirii activitatilor prevazute la art. 1 alin. (1) sunt prelucrate in conformitate cu dispozitiile Regulamentului general privind protectia datelor, cu exceptia activitatilor prevazute la art. 3 alin. (2), situatie in care se aplica dispozitiile corespunzatoare cuprinse in legi speciale.
(4) Dispozitiile alin. (3) se aplica inclusiv pentru prelucrarea datelor cu caracter personal in scopuri de arhivare in interes public, in scopuri de cercetare stiintifica sau istorica ori in scopuri statistice.

Articolul 9. - (1) In situatia prelucrarii datelor cu caracter personal sub forma transferului catre destinatari, autoritatea competenta care transfera datele cu caracter personal are obligatia de a informa destinatarul datelor cu caracter personal cu privire la conditiile specifice de prelucrare si obligatia de a le respecta, in masura in care astfel de conditii sunt impuse de lege.
(2) Destinatarul datelor cu caracter personal are obligatia respectarii conditiilor specifice de prelucrare comunicate in conformitate cu prevederile alin. (1).
(3) In situatia transferului de date cu caracter personal catre destinatari din state membre ale Uniunii Europene sau catre agentii, oficii si organisme instituite in conformitate cu titlul V capitolele 4 si 5 din Tratatul privind functionarea Uniunii Europene, nu pot fi impuse conditii specifice de prelucrare, in conformitate cu prevederile alin. (1), suplimentare fata de cele prevazute de lege pentru transferul catre autoritati competente din Romania.

Articolul 10. - Datele cu caracter personal care dezvaluie originea rasiala sau etnica, opiniile politice, confesiunea religioasa sau convingerile filozofice, afilierea sindicala, prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unica a unei persoane fizice, prelucrarea datelor privind sanatatea sau a datelor privind viata sexuala si orientarea sexuala a unei persoane fizice pot fi prelucrate numai daca sunt strict necesare intr-un caz determinat, daca sunt instituite garantii adecvate pentru drepturile si libertatile persoanei vizate si daca este indeplinita una dintre urmatoarele conditii:
a) prelucrarea este prevazuta expres de lege;
b) prelucrarea este necesara pentru prevenirea unui pericol iminent cel putin asupra vietii, integritatii corporale sau sanatatii persoanei vizate sau ale unei alte persoane fizice;
c) prelucrarea se refera la date cu caracter personal care sunt facute publice in mod manifest de persoana vizata.