Legea nr. 363/2018 privind protectia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de catre autoritatile competente in scopul prevenirii, descoperirii, cercetarii, urmaririi penale si combaterii infractiunilor sau al executarii pedepselor, masurilor educative si de siguranta, precum si privind libera circulatie a acestor date

Articolul 16. - (1) Persoana vizata are dreptul de a obtine de la operator, la cerere si in mod gratuit, confirmarea faptului ca datele cu caracter personal care o privesc sunt sau nu sunt prelucrate de acesta.
(2) Operatorul este obligat, in situatia in care prelucreaza date cu caracter personal care privesc persoana vizata, sa comunice acesteia, in termen de cel mult 60 de zile calendaristice de la inregistrarea solicitarii, in conditiile prevazute la art. 12 alin. (2) si (3), pe langa confirmare, inclusiv datele cu caracter personal care fac obiectul prelucrarii, precum si urmatoarele informatii:
a) scopurile si temeiul juridic al prelucrarii;
b) categoriile de date cu caracter personal vizate;
c) destinatarii sau categoriile de destinatari carora le-au fost divulgate datele cu caracter personal, in special destinatarii din state terte sau organizatii internationale;
d) acolo unde este posibil, perioada pentru care se preconizeaza ca vor fi stocate datele cu caracter personal sau, in cazul in care acest lucru nu este posibil, criteriile utilizate pentru a stabili aceasta perioada;
e) dreptul de a solicita de la operator rectificarea sau stergerea datelor cu caracter personal sau restrictionarea prelucrarii datelor cu caracter personal referitoare la persoana vizata;
f) dreptul de a depune o plangere la autoritatea de supraveghere si datele de contact ale acesteia;
g) comunicarea datelor cu caracter personal care sunt in curs de prelucrare si a oricarei informatii disponibile cu privire la originea datelor cu caracter personal.

Articolul 17. -
(1) Dispozitiile art. 16 nu se aplica daca, tinand seama de drepturile fundamentale si interesele legitime ale persoanei fizice, o astfel de masura este necesara si proportionala intr-o societate democratica pentru:
a) evitarea obstructionarii bunei desfasurari a procesului penal;
b) evitarea prejudicierii prevenirii, descoperirii, cercetarii, urmaririi penale si combaterii infractiunilor sau a executarii pedepselor;
c) protejarea ordinii si sigurantei publice;
d) protejarea securitatii nationale;
e) protejarea drepturilor si libertatilor celorlalti.
(2) Masura limitarii dreptului de acces poate sa fie totala sau partiala si se dispune cu privire la una sau mai multe operatiuni de prelucrare in situatia carora dezvaluirea este de natura sa afecteze una dintre activitatile prevazute la alin. (1).
(3) In situatia prevazuta la alin. (2), persoana vizata poate fi informata cu privire la categoriile de prelucrari care nu sunt de natura a afecta activitatile prevazute la alin. (1), motivul adoptarii acestei masuri, precum si cu privire la posibilitatea de a depune o plangere la autoritatea de supraveghere sau de a se adresa instantei.
(4) Prin exceptie de la dispozitiile alin. (3), motivul adoptarii masurii de limitare a dreptului de acces nu se comunica in situatia in care dezvaluirea acestuia este de natura sa afecteze una dintre activitatile prevazute la alin. (1) lit. a) -d).
(5) Operatorul este obligat sa tina evidenta cazurilor in care a fost dispusa masura de limitare a dreptului de acces si sa documenteze adoptarea acestei masuri .
(6) In luna ianuarie a fiecarui an, operatorul are obligatia de a informa autoritatea de supraveghere cu privire la situatia statistica a cazurilor in care a fost adoptata masura de limitare a dreptului de acces in anul precedent, defalcat pentru fiecare dintre activitatile prevazute la alin. (1).

Articolul 18. - (1) Persoana vizata are dreptul de a obtine de la operator, la cerere si in mod gratuit, rectificarea datelor cu caracter personal inexacte care o privesc.
(2) Persoana vizata are dreptul de a solicita completarea datelor cu caracter personal care o privesc, inclusiv prin furnizarea unei declaratii suplimentare.
(3) Operatorul are obligatia de a sterge, prin proceduri ireversibile, din oficiu sau la cererea persoanei vizate, datele cu caracter personal a caror prelucrare nu este conforma dispozitiilor art. 1 alin. (2), art. 5 sau 10 ori care trebuie sterse in virtutea indeplinirii unei obligatii prevazute expres de lege.
(4) Operatorul are obligatia de a restrictiona prelucrarea datelor cu caracter personal, si nu de a le sterge, in cazul in care este incidenta una dintre urmatoarele situatii:
a) exactitatea datelor cu caracter personal este contestata de persoana vizata, iar exactitatea sau inexactitatea datelor respective nu poate fi stabilita cu certitudine;
b) datele cu caracter personal trebuie sa fie pastrate ca mijloace de proba .
(5) Operatorul este obligat sa comunice persoanei vizate, in conditiile art. 12 alin. (2) - (4), in termen de cel mult 60 de zile calendaristice de la inregistrarea solicitarii, confirmarea sau, dupa caz, infirmarea solutionarii cererilor formulate potrivit prevederilor alin. (1), (2) sau (3), motivele pe care se intemeiaza masura infirmarii, precum si faptul ca se poate adresa cu plangere la autoritatea de supraveghere sau poate ataca in instanta decizia operatorului.
(6) Termenul prevazut la alin. (5) poate fi prelungit cu pana la 60 de zile calendaristice, in masura in care solutionarea cererilor necesita proceduri complexe, in special consultarea unor autoritati competente din strainatate. Persoana vizata este informata cu privire la prelungirea termenului inainte de expirarea termenului initial.
(7) Ridicarea restrictionarii prelucrarii instituite potrivit prevederilor alin. (4) lit. a) se realizeaza de catre operator, concomitent cu notificarea persoanei vizate cu privire la masura adoptata.
(8) Dispozitiile alin. (5) nu se aplica daca, tinand seama de drepturile fundamentale si interesele legitime ale persoanei fizice, o astfel de masura este necesara si proportionala intr-o societate democratica pentru:
a) a evita obstructionarea bunei desfasurari a procesului penal;
b) a nu prejudicia prevenirea, descoperirea, cercetarea, urmarirea penala si combaterea infractiunilor sau executarea pedepselor;
c) a proteja ordinea si siguranta publica;
d) a proteja securitatea nationala;
e) a proteja drepturile si libertatile celorlalti.

Articolul 19. - (1) In situatia rectificarii datelor cu caracter personal potrivit prevederilor art. 18 alin. (1), operatorul are obligatia sa verifice modul in care acestea au fost colectate.
(2) In cazul in care datele cu caracter personal au fost colectate prin transfer de la o autoritate competenta, operatorul are obligatia sa transmita acesteia o notificare cu privire la rectificarea datelor.
(3) In situatia rectificarii, stergerii ori restrictionarii datelor cu caracter personal potrivit prevederilor art. 18 alin. (1), (3) sau (4), operatorul are obligatia sa verifice daca acestea au fost transmise unui destinatar anterior rectificarii.
(4) In cazul in care datele cu caracter personal au fost transmise unui destinatar anterior rectificarii, operatorul are obligatia sa transmita acestuia o notificare cu privire la rectificarea, stergerea ori restrictionarea prelucrarii datelor cu caracter personal, dupa caz.
(5) Destinatarul situat pe teritoriul Romaniei ori caruia i se aplica legea romana are obligatia de a dispune o masura similara celei cu privire la care a fost notificat, cu exceptia incidentei, in cazul stergerii ori restrictionarii datelor cu caracter personal, a uneia dintre urmatoarele situatii:
a) datele sunt necesare pentru prevenirea, descoperirea, cercetarea, urmarirea penala si combaterea infractiunilor ori executarea pedepselor, altele decat cele pentru care au fost transmise;
b) datele sunt necesare pentru derularea altor proceduri judiciare sau administrative direct legate de prevenirea, descoperirea, cercetarea, urmarirea penala si combaterea infractiunilor ori executarea pedepselor;
c) datele sunt necesare pentru prevenirea unui pericol iminent si grav la adresa ordinii si sigurantei publice.
(6) In situatia incidentei vreuneia dintre situatiile prevazute la alin. (5) lit. a) -c), persoana vizata este informata cu aplicarea, dupa caz, a dispozitiilor art. 14, cu privire la masura adoptata, motivele pe care se intemeiaza masura infirmarii, precum si cu privire la faptul ca se poate adresa cu plangere autoritatii de supraveghere sau poate ataca in instanta decizia operatorului.