Legea nr. 363/2018 privind protectia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de catre autoritatile competente in scopul prevenirii, descoperirii, cercetarii, urmaririi penale si combaterii infractiunilor sau al executarii pedepselor, masurilor educative si de siguranta, precum si privind libera circulatie a acestor date

Articolul 20. - (1) In situatiile prevazute la art. 15, art. 17 alin. (3) sau art. 19 alin. (6), persoana vizata se poate adresa autoritatii de supraveghere pentru exercitarea drepturilor prevazute de lege.
(2) Operatorul are obligatia de a informa persoana vizata cu privire la posibilitatea prevazuta la alin. (1).
(3) In situatia prevazuta la alin. (1), autoritatea de supraveghere intreprinde masurile necesare potrivit atributiilor sale legale.
(4) Autoritatea de supraveghere informeaza persoana vizata cu privire la aspectele constatate, precum si cu privire la posibilitatea de a se adresa instantei de judecata .

Articolul 21. - Art. 13, 16 si 18 se aplica inclusiv in cazul in care datele cu caracter personal sunt cuprinse in hotarari judecatoresti, in cazierul judiciar sau in cadrul procesului penal, cu exceptia situatiilor expres prevazute de lege.

Articolul 22. - (1) Operatorul, tinand seama de natura, domeniul de aplicare, contextul si scopurile prelucrarii, precum si de gradul de ingerinta in drepturile si libertatile persoanelor fizice, este obligat sa aplice masurile tehnice si organizatorice adecvate pentru a asigura si a fi in masura sa demonstreze efectuarea prelucrarii in conformitate cu prezenta lege.
(2) Masurile adoptate potrivit prevederilor alin. (1) trebuie sa fie proportionale cu operatiunile de prelucrare realizate de catre operator si includ politici corespunzatoare de protectie a datelor cu caracter personal.

Articolul 23. - (1) In scopul punerii in aplicare in mod eficient a principiilor de protectie a datelor cu caracter personal, precum si pentru reducerea la minimum a prelucrarilor de date cu caracter personal, dar si in scopul integrarii garantiilor necesare in cadrul prelucrarii, pentru a indeplini cerintele prezentei legi si pentru a proteja drepturile persoanelor vizate, operatorul este obligat ca, la momentul stabilirii mijloacelor de prelucrare, precum si la cel al prelucrarii efective, sa puna in aplicare masuri tehnice si organizatorice adecvate, avand in vedere:
a) stadiul actual al tehnologiei;
b) costurile de punere in aplicare;
c) natura, domeniul de aplicare, contextul si scopurile prelucrarii;
d) riscurile cu grade diferite de probabilitate si de gravitate la adresa drepturilor si libertatilor persoanelor fizice pe care le prezinta prelucrarea.
(2) Pentru indeplinirea obiectivelor prevazute la alin. (1), operatorul evalueaza, la momentul stabilirii mijloacelor de prelucrare, in scopul identificarii masurilor tehnice si organizatorice adecvate, cel putin posibilitatea introducerii unei solutii de pseudonimizare ori a unei alte solutii tehnice cu efect similar.
(3) Operatorul are obligatia de a pune in aplicare masuri tehnice si organizatorice adecvate prin care sa se asigure ca, in mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrarii.
(4) Obligatia prevazuta la alin. (3) vizeaza:
a) volumul de date cu caracter personal colectate;
b) gradul de prelucrare a acestora;
c) perioada de stocare;
d) accesibilitatea acestora.
(5) Prin masurile dispuse potrivit prevederilor alin. (3) si (4), operatorul trebuie sa se asigure ca datele cu caracter personal nu sunt accesibile, fara interventie umana, unui numar nedefinit de utilizatori.

Articolul 24. - (1) Operatorii asociati se desemneaza printr-un act normativ, in cuprinsul caruia se stabilesc, in comun, scopurile si mijloacele de prelucrare a datelor cu caracter personal.
(2) Actul normativ prevazut la alin. (1) trebuie sa cuprinda o delimitare a responsabilitatilor ce revin fiecaruia dintre operatorii asociati in conditiile prezentei legi.
(3) Actul normativ prevazut la alin. (1) trebuie sa cuprinda cel putin urmatoarele aspecte:
a) modalitatea de exercitare a drepturilor persoanelor vizate, in raport cu oricare dintre operatori;
b) indatoririle fiecaruia dintre operatorii asociati cu privire la furnizarea informatiilor prevazute la art. 13;
c) punctul de contact unic pentru persoanele vizate.
(4) In situatia in care scopurile si mijloacele de prelucrare nu sunt stabilite prin act normativ, responsabilitatile ce revin in conditiile prezentei legi operatorilor asociati pot fi stabilite prin intermediul unui act juridic. Acesta trebuie sa cuprinda elementele prevazute la alin. (3) si este supus obligatiei de punere la dispozitia persoanelor vizate. Obligatia de punere la dispozitie trebuie indeplinita cu minimum 5 zile inainte de intrarea in vigoare a respectivului act juridic.

Articolul 25. - (1) Desemnarea persoanelor imputernicite de catre operator este posibila doar daca exista suficiente garantii pentru punerea in aplicare a masurilor tehnice si organizatorice adecvate, astfel incat prelucrarea sa indeplineasca cerintele prezentei legi si sa asigure protectia drepturilor persoanei vizate.
(2) Desemnarea, de catre o persoana imputernicita de catre operator, a unei alte persoane imputernicite in scopul realizarii uneia sau mai multor operatiuni de prelucrare nu este posibila decat cu acordul scris al operatorului. Acordul scris poate fi emis doar daca sunt indeplinite conditiile prevazute la alin. (1).
(3) Persoana imputernicita de catre operator are obligatia de a informa operatorul cu privire la orice modificari preconizate privind adaugarea sau inlocuirea altor persoane imputernicite de catre operator .
(4) Desemnarea prevazuta la alin. (1) sau, dupa caz, alin. (2) se realizeaza prin intermediul unui contract sau protocol incheiat intre parti, care trebuie sa detalieze:
a) obiectul si durata prelucrarii;
b) natura si scopul prelucrarii;
c) tipul de date cu caracter personal si categoriile de persoane vizate;
d) obligatiile si drepturile operatorului.
(5) Protocolul sau, dupa caz, contractul prevazut la alin. (4) se pune la dispozitia persoanelor vizate si trebuie sa stabileasca in sarcina persoanei imputernicite de catre operator urmatoarele obligatii:
a) sa actioneze numai la instructiunile operatorului;
b) sa garanteze faptul ca persoanele autorizate sa prelucreze date cu caracter personal s-au angajat sa respecte confidentialitatea sau au o obligatie legala de confidentialitate corespunzatoare;
c) sa asiste operatorul prin orice mijloace adecvate pentru a asigura respectarea dispozitiilor privind drepturile persoanei vizate;
d) sa stearga sau sa returneze, din dispozitia operatorului, toate datele cu caracter personal dupa incetarea furnizarii serviciilor de prelucrare a datelor cu caracter personal si sa elimine copiile existente, cu exceptia cazului in care exista o dispozitie legala expresa care il abiliteaza sa stocheze in continuare datele;
e) sa puna la dispozitia operatorului toate informatiile necesare pentru a demonstra respectarea dispozitiilor prezentului articol;
f) sa respecte conditiile prevazute la alin. (2) - (4) pentru recrutarea unei alte persoane imputernicite de catre operator .
(6) Protocolul sau, dupa caz, contractul prevazut la alin. (4) poate fi pus la dispozitia persoanelor vizate, la cerere, in format electronic.
(7) Persoana imputernicita de catre operator este considerata operator in cazul in care, prin incalcarea dispozitiilor prezentei legi, aceasta stabileste scopurile si mijloacele de prelucrare pentru datele cu caracter personal puse la dispozitie de catre operator .
(8) In situatia prevazuta la alin. (7), operatorul este exonerat de raspundere numai in situatia in care demonstreaza ca persoana imputernicita de operator a actionat cu rea-credinta.