Legea nr. 363/2018 privind protectia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de catre autoritatile competente in scopul prevenirii, descoperirii, cercetarii, urmaririi penale si combaterii infractiunilor sau al executarii pedepselor, masurilor educative si de siguranta, precum si privind libera circulatie a acestor date

(3) Pentru operatiunile de prelucrare existente, operatorii sunt obligati sa realizeze evaluarea prevazuta la alin. (1) si, dupa caz, evaluarea impactului operatiunilor de prelucrare prevazuta la alin. (2) in termen de 2 ani de la intrarea in vigoare a prezentei legi.
(4) Evaluarea impactului operatiunilor de prelucrare prevazuta la alin. (2) cuprinde cel putin urmatoarele:
a) descrierea generala a operatiunilor de prelucrare preconizate;
b) evaluarea riscurilor la adresa drepturilor si libertatilor persoanelor vizate;
c) masurile preconizate in vederea abordarii riscurilor;
d) garantiile, masurile de securitate si mecanismele menite sa asigure protectia datelor cu caracter personal si sa demonstreze respectarea dispozitiilor prezentei legi, luand in considerare drepturile si interesele legitime ale persoanelor vizate si ale celorlalte persoane interesate.

Articolul 33. - (1) Operatorul sau, dupa caz, persoana imputernicita de catre operator este obligat/obligata sa consulte autoritatea de supraveghere inainte de prelucrarea datelor cu caracter personal care fac parte dintr-un sistem nou de evidenta a datelor, in situatiile in care:
a) evaluarea impactului asupra protectiei datelor cu caracter personal prevazuta la art. 32 indica faptul ca prelucrarea ar genera un risc ridicat in absenta masurilor luate de operator pentru atenuarea riscului;
b) tipul de prelucrare, in special in cazul in care se utilizeaza noi tehnologii, mecanisme sau proceduri, implica un risc ridicat la adresa drepturilor si libertatilor persoanelor vizate.
(2) In cadrul procedurilor de elaborare a proiectelor de acte normative care reglementeaza prelucrari de date cu caracter personal sau in baza carora vor fi realizate astfel de prelucrari este obligatorie consultarea autoritatii de supraveghere .
(3) Autoritatea de supraveghere este abilitata sa stabileasca o lista a operatiunilor de prelucrare care fac obiectul consultarii prealabile prevazute la alin. (1).
(4) Operatorul sau, dupa caz, persoana imputernicita de catre operator transmite autoritatii de supraveghere, in termen de 30 de zile calendaristice de la finalizare, dar inainte de inceperea prelucrarii, evaluarea prevazuta la art. 32.
(5) La cererea autoritatii de supraveghere, operatorul sau, dupa caz, persoana imputernicita de catre operator pune la dispozitia acesteia orice informatie in scopul evaluarii conformitatii prelucrarii si a riscurilor la adresa protectiei datelor cu caracter personal ale persoanei vizate si a garantiilor aferente.

Articolul 34. - (1) In cazul in care autoritatea de supraveghere constata ca operatiunile de prelucrare pentru care este consultata potrivit prevederilor art. 33 incalca dispozitiile prezentei legi, in special in cazul in care riscul nu a fost identificat sau atenuat intr-o masura suficienta de catre operator, aceasta formuleaza si transmite operatorului sau, dupa caz, persoanei imputernicite de catre operator observatii sau recomandari, in termen de cel mult 30 de zile lucratoare de la data inregistrarii cererii de consultare.
(2) In functie de complexitatea prelucrarii preconizate, termenul prevazut la alin. (1) poate fi prelungit cu 20 de zile lucratoare. Autoritatea de supraveghere informeaza operatorul si, dupa caz, persoana imputernicita de catre operator, in termen de 20 de zile lucratoare de la inregistrarea cererii de consultare, cu privire la prelungirea termenului, inclusiv cu privire la motivele acesteia.
(3) Dreptul autoritatii de supraveghere de a formula observatii sau recomandari, in situatia prevazuta la alin. (1), nu afecteaza in niciun fel exercitarea oricareia dintre competentele acesteia prevazute in Legea nr. 102/2005, cu modificarile si completarile ulterioare.

Articolul 35. - (1) Operatorul sau, dupa caz, persoana imputernicita de catre operator implementeaza masuri tehnice si organizatorice adecvate in vederea asigurarii unui nivel de securitate corespunzator.
(2) La stabilirea nivelului de securitate corespunzator, operatorul sau, dupa caz, persoana imputernicita de acesta are in vedere stadiul actual al tehnologiei si costurile implementarii si tine seama de natura, domeniul de aplicare, contextul si scopurile prelucrarii, precum si de gradul de ingerinta asupra drepturilor si libertatilor persoanelor fizice, in special cu privire la prelucrarea categoriilor speciale de date cu caracter personal prevazute la art. 10.
(3) In situatia prelucrarilor prin mijloace automate, operatorul sau, dupa caz, persoana imputernicita de catre operator este obligata sa realizeze o evaluare a riscurilor incidente prelucrarilor preconizate.
(4) In urma evaluarii prevazute la alin. (3), operatorul sau, dupa caz, persoana imputernicita de catre operator are obligatia punerii in aplicare a masurilor menite:
a) sa asigure controlul accesului la echipamentele de prelucrare utilizate pentru prelucrare, denumit in continuare controlul accesului la echipamente;
b) sa asigure controlul asupra suporturilor de date, in scopul impiedicarii oricarei citiri, copieri, modificari sau eliminari neautorizate a acestora, denumit in continuare controlul suporturilor de date;
c) sa asigure controlul asupra introducerii de date cu caracter personal, precum si asupra inspectarii, modificarii sau stergerii neautorizate a datelor cu caracter personal stocate, denumit in continuare controlul stocarii;
d) sa asigure controlul asupra utilizarii sistemelor de prelucrare automata cu ajutorul echipamentelor de comunicare a datelor, denumit in continuare controlul utilizatorului;
e) sa asigure faptul ca persoanele autorizate au acces numai la datele cu caracter personal pentru care au autorizare, denumit in continuare controlul accesului la date;
f) sa asigure ca sunt posibile verificarea si identificarea organismelor carora le-au fost transmise sau puse la dispozitie sau s-ar putea sa le fie transmise sau puse la dispozitie date cu caracter personal utilizandu-se echipamente de comunicare a datelor, denumit in continuare controlul comunicarii;
g) sa asigure ca este posibil ca ulterior sa se verifice si sa se identifice datele cu caracter personal introduse in sistemele de prelucrare automata, momentul introducerii datelor cu caracter personal si entitatea care le-a introdus, denumit in continuare controlul introducerii datelor;
h) sa impiedice citirea, copierea, modificarea sau stergerea neautorizata a datelor cu caracter personal in timpul transferurilor de date cu caracter personal sau in timpul transportarii suporturilor de date, denumit in continuare controlul transportarii;
i) sa asigure posibilitatea recuperarii sistemelor instalate in cazul unei intreruperi, denumita in continuare recuperarea;
j) sa asigure functionarea, fiabilitatea si integritatea sistemului, prin instituirea de masuri de raportare a defectiunilor de functionare, precum si de asigurare a imposibilitatii coruperii datelor cu caracter personal stocate din cauza functionarii defectuoase a sistemului.

Articolul 36. - (1) In cazul in care operatorul constata o incalcare a securitatii datelor, notifica fara intarzieri nejustificate autoritatea de supraveghere .
(2) In functie de complexitatea incalcarii securitatii, notificarea prevazuta la alin. (1) se transmite nu mai tarziu de 72 de ore. In aceasta situatie, operatorul este obligat sa transmita si o justificare a intarzierii. Termenul incepe sa curga de la momentul la care operatorul a luat cunostinta despre incalcarea securitatii datelor cu caracter personal.
(3) Notificarea prevazuta la alin. (1) nu este necesara in cazul in care incalcarea securitatii datelor cu caracter personal nu este susceptibila sa genereze un risc la adresa drepturilor si libertatilor persoanelor fizice.
(4) Persoana imputernicita de catre operator are obligatia sa informeze operatorul, fara intarzieri nejustificate, cu privire la existenta unei incalcari a securitatii datelor cu caracter personal.
(5) Operatorul are obligatia sa implementeze toate masurile necesare pentru a se asigura ca persoana imputernicita de catre operator respecta si indeplineste obligatiile ce ii revin potrivit prevederilor alin. (4).
(6) Notificarea prevazuta la alin. (1) trebuie sa contina cel putin urmatoarele informatii:
a) o descriere a naturii incalcarii securitatii datelor cu caracter personal, inclusiv, acolo unde este posibil, categoriile si numarul aproximativ de persoane vizate in cauza, precum si categoriile si numarul aproximativ de inregistrari de date cu caracter personal in cauza;
b) numele si datele de contact ale responsabilului cu protectia datelor sau un alt punct de contact de unde se pot obtine mai multe informatii;
c) descrierea consecintelor probabile ale incalcarii securitatii datelor cu caracter personal;
d) descrierea masurilor luate sau propuse de operator pentru a remedia incalcarea securitatii datelor cu caracter personal, inclusiv, daca este cazul, a masurilor necesare pentru a atenua eventualele efecte adverse ale acesteia.
(7) In cazul in care nu este posibila furnizarea, in acelasi timp, a informatiilor prevazute la alin. (6), acestea pot fi transmise treptat, fara intarzieri nejustificate, intr-un termen care sa nu depaseasca 48 de ore de la momentul transmiterii notificarii initiale.

Articolul 37. - (1) Operatorul are obligatia sa documenteze toate cazurile de incalcare a securitatii datelor cu caracter personal si sa pastreze documentele pentru o perioada de 5 ani de la transmiterea notificarii prevazute la art. 36.
(2) Documentele prevazute la alin. (1) trebuie sa cuprinda:
a) descrierea situatiei in care a avut loc incalcarea securitatii datelor cu caracter personal;
b) descrierea efectelor acesteia;