Source: https://legalup.ro/category/transparenta/
Timestamp: 2019-12-14 00:42:00+00:00
Document Index: 2124673

Matched Legal Cases: ['articolul 5', 'Articolul 29', 'Articolul 29', 'Articolul 29', 'Articolul 29', 'Articolul29', 'Articolul 29']

Arhive transparenta - LegalUp
dreptul noilor tehnologiidrepturile persoanei vizategdprtransparentatransparență
Date personale. Ce informații trebuie să primesc înainte de prelucrare?
19 noiembrie 2019 LegalUp0
În ceea ce privește prelucrarea datelor cu caracter personal, fiecare persoană vizată trebuie să cunoască și să aibă în vedere cadrul legislativ actual pentru a ști ce drepturi are vis-a-vis de prelucrarea unor date personale de către entitățile publice sau private. Astfel, pentru ca drepturile sale să fie respectate, acestea trebuie aprioric cunoscute, iar acest lucru se va aplica și operatorilor ce efectuează procedura de prelucrare a datelor cu caracter personal.
Ce informații trebuie să mi se furnizeze în caz de prelucrare a unor date personale?
Atunci când sunteți în situația în care vi se solicită prelucrarea datelor cu caracter personal, trebuie să cunoașteți faptul că operatorul care se va ocupa de prelucrarea unor date personale este obligat să vă furnizeze anumite informații. Conform art. 13 din Regulamentul privind Protecția Datelor cu Caracter Personal, în situația în care datele cu caracter personal referitoare la o persoană vizată sunt colectate în mod direct de la aceasta, operatorul va furniza acesteia următoarele informații:
Identitatea sa și datele de contact (sau ale reprezentantului operatorului);
Scopurile în care se realizează prelucrarea datelor cu caracter personal, alături de temeiul juridic al prelucrării;
Interesele legitime pe care operatorul sau o parte terță le urmăresc (în cazurile anume prevăzute de lege);
Destinatarii/categoriile de destinatari ai datelor cu caracter personal, fapt ce prezintă importanță însemnată în privința furnizării unor asemenea date;
Intenția operatorului în cazul în care dorește să transfere datele fie către o țară terță, fie către o organizație internațională (conform platformei online;
Față de aceste informații, operatorul va furniza, în momentul în care datele cu caracter personal sunt deja obținute, informații cu caracter suplimentar, în scopul respectării principiilor echității și transparenței în materie de prelucrare de date personale. Aceste informații vizează:
Perioada pentru care datele vor fi stocate;
Dacă perioada pentru care datele vor fi stocate nu este prevăzută, se vor transmite informații privind criteriile utilizate pentru stabilirea perioadei;
Existența dreptului de a solicita operatorului accesul la datele prelucrate, inclusiv rectificarea sau ștergerea lor ori restricționarea prelucrării ori a dreptului de a se opune prelucrăii. De asemenea se va avea în vedere și dreptul la portabilitatea datelor;
Existența dreptului persoanei de a-și retrage consimțământul în orice moment, fără să afecteze în niciun fel legalitatea prelucrării ce a fost efectuată pe baza consimțământului persoanei dat înainte de retragere;
Dreptul la depunerea unei plângeri în fața autorităților îndreptățite cu supravegherea;
Consecințele nerespectării anumitor obligații de către persoana vizată.
Modele de note de informare pe categorii de persoane fizice (angajați, candidați, clienți, vizitatori pe site, parteneri comerciali etc) găsiți aici.
Îmi conferă legea dreptul de a avea acces la datele prelucrate?
Cel mai important aspect este reprezentat de conferirea dreptului de acces al persoanei vizate cu privire la prelucrarea datelor sale. Conform art. 15 din Regulamentul privind Protecția Datelor cu Caracter Personal, persoana vizată are dreptul să obțină din partea operatorului o confirmare cu privire la prelucrarea sau neprelucrarea unor date personale ce o privesc pe aceasta și să obțină accesul la acele date. În plus, Regulamentul extinde accesul și la date personale ce privesc:
Categoriile de date cu caracter personal ce sunt vizate;
Destinatarii/categoriile de destinatari cărora datele le-au fost divulgate sau urmează să le fie divulgate;
Perioada pentru care se preconizează că vor fi stocate datele, atunci când acest lucru este posibil;
Criteriile utilizate pentru stabilirea perioadei pentru care datele vor fi utilizate;
Existența dreptului de ao solicita operatorului rectificarea ori ștergerea datelor;
Dreptul persoanei vizate de a depune o plângere în fața unei autorități de supraveghere;
Regulamentul privind Protecția Datelor cu Caracter Personal cuprinde prevederi referitoare la transferul datelor cu caracter personal către o țară terță sau către o organizație internațională. În această situație, este evident dreptul la informare al persoanei vizate privitor la garanțiile conferite în caz de transfer. Operatorului îi revine obligația de furnizare a unei copii a datelor cu caracter personal ce constituie obiectul prelucrării. Dacă persoana vizată dorește alte copii, este prevăzut dreptul operatorului de a percepe o taxă cu privire la acest lucru, având la bază costurile administrative apărute. Informațiile pot să fie furnizate inclusiv în sistem electronic, fiind o modalitate facilă de transmitere a informațiilor privind prelucrarea datelor cu caracter personal.
În ceea ce privește prelucrarea datelor cu caracter personal, fiecare persoană vizată trebuie să cunoască și să aibă în vedere cadrul legislativ actual. Astfel, pentru ca drepturile sale să fie respectate, acestea trebuie aprioric cunoscute, iar acest lucru se va aplica și operatorilor ce efectuează procedura de prelucrare a datelor cu caracter personal. Nimeni nu se va putea prevala la nivel intern de necunoaștere a legii. Este o obligație fundamentală ce aparține cetățenilor statului român și o garanție a faptului că legea are într-adevăr aplicabilitate în societate. Deci, atunci când aveți în vedere o prelucrare a datelor dumneavoastră cu caracter personal, trebuie să cunoașteți inclusiv ce obligații incumbă operatorului.
Consimțământ GDPR. Cum obții un consimțământ valabil al persoanelor vizate?
Politica de confidențialitate. Cum o redactezi și cum o implementezi pe site. Ghid.
drepturile persoanei vizategdprinformaremonitorizareprincipii GDPRtemeiuri juridicetransparentatransparență
12 august 2019 LegalUp0
Autor Roxana Constantinescu, Avocat Baroul Cluj
Supravegherea video a angajaților și a altor persoane vizate necesită implementarea unor procese tehnice și organizatorice adecvate pentru a respecta GDPR. În prezentul articol vom explica ce anume trebuie să facă operatorii pentru a respecta GDPR atunci când utilizează sisteme de supraveghere CCTV.
1.Introducere – despre monitorizarea CCTV
CCTV înseamnă televiziune cu circuit închis, cunoscută și sub denumirea de supraveghere video. Sistemele de supraveghere video monitorizează comportamentul, activitățile sau alte informații ale persoanelor prin intermediul unui echipament electronic.
Supravegherea video poate include orice, de la sistem de supraveghere cu circuit închis sau sisteme automate de recunoaștere, la orice alt sistem pentru înregistrarea, stocarea, primirea sau vizualizarea imaginilor vizuale în scopuri de supraveghere.
În conformitate cu GDPR, angajatorii au dreptul să monitorizeze activitatea angajaților dacă au o bază legală pentru a face acest lucru, iar scopul monitorizării lor este clar comunicat angajaților în avans prin intermediul unei note de informare.
2.Temeiul legal – Interes legitim. Consimțământ
Din cauza dezechilibrului de putere în relația angajator-angajat, angajatorii nu se pot baza în decât în cazuri excepționale pe consimțământ pentru prelucrarea datelor angajaților. Pentru întreprinderi, cel mai potrivit temei legal este interesul legitim al angajatorului.
Există multe motive de interes legitim pentru care angajatorii monitorizează angajații folosind CCTV. Bazele legale ale monitorizării includ securitatea, sănătatea și siguranța angajaților prin prevenirea infracțiunilor, prevenirea comportamentului incorect al angajaților, asigurarea respectării procedurilor de sănătate și siguranță, monitorizarea și îmbunătățirea productivității etc.
Angajatorii se bazează în general pe interesele legitime ca bază legală adecvată pentru prelucrarea datelor cu caracter personal – implică responsabilitatea organizațională și permite utilizarea responsabilă a datelor cu caracter personal, protejând în același timp drepturile angajaților.
Angajatorii care se bazează pe interese legitime ca bază legală pentru prelucrare trebuie să ia în considerare legitimitatea interesului lor declarat (și potențial interesele terților) și trebuie să echilibreze acel interes cu interesele, drepturile și libertățile angajaților lor. Cu alte cuvinte, angajatorii trebuie să realizeze o analiză a interesul legitim, prin intermediul căreia să pună în balanță interesele companiei și interesele și drepturile persoanelor fizice vizate. Dacă în urma analizei, rezultă că primează interesele companiei, supravegherea CCTV se va putea realiza. Dacă în urma analizei rezultă că primează drepturile și interesele persoanelor fizice vizate, atunci supravegherea CCTV nu va putea fi realizată pe temeiul interesului legitim.
Exemplu #1: O companie care deține o parcare a identificat probleme cu furturile în mașinile parcate. Parcarea este deschisă publicului și poate fi accesată cu ușurință de către oricine. Compania are un interes legitim (prevenirea furturilor) să monitorizeze zona expusă riscului. Persoanele vizate sunt monitorizate pe o perioadă limitată de timp, nu se află în timpul unor activități recreaționale și este, de asemenea, în interesul lor ca furturile să fie prevenite. În acest caz, interesul legitim al companiei depășește dreptul la viață privată.[1]
Exemplu #2: Un restaurant decide să instaleze camere video în toalete pentru a supraveghea efectuarea curățeniei. În acest caz, drepturile persoanelor vizate depășesc în mod clar interesul legitim, iar supravegherea video nu poate avea loc.[2]
În plus, angajatorii trebuie să aplice, de asemenea, măsuri de protecție și de conformitate pentru a se asigura că drepturile angajaților nu sunt prejudiciate în niciun caz.
În cazul în care un angajat se opune utilizării camerelor de televiziune CCTV într-o anumită zonă, GDPR pune în sarcina angajatorului de a demonstra că are „motive legitime convingătoare” pentru prelucrare.
Monitorizarea angajaților prin supraveghere CCTV ar trebui să se limiteze la zonele în care riscul de a încălca drepturile angajaților este scăzut. Utilizarea camerelor CCTV care monitorizează în mod constant un grup specific de angajați dintr-o anumită zonă este mai probabil să fie considerat intruziv și abuziv decât cele care monitorizează toți angajații dintr-o zonă de intrare generală.
Scopul CCTV ar trebui să fie clar transmis angajaților prin intermediul unei notificări. În conformitate cu cerințele GDPR, angajatorii au obligația angajaților de a face acest lucru într-un mod clar și fără ambiguitate. Află mai multe despre pachetul nostru GDPR pentru supraveghere video aici.
Simpla presupunere generală că utilizarea CCTV la locul de muncă se realizează în scopuri de securitate, dar este utilizat și pentru monitorizarea performanței sau conduitei angajaților nu este conformă. Prin urmare, angajații trebuie să fie anunțați clar înainte de a folosirea datele lor personale în acest scop. Aceeași abordare a notificării trebuie adoptată și dacă scopul supravegherii CCTV este și din motive de sănătate și siguranță.
Conform articolului 35 GDPR, orice utilizare excesivă a monitorizării CCTV pentru angajații este considerată profilare „cu risc ridicat”, în conformitate cu orientările emise de Grupul de Lucru Art. 29. Aceasta necesită o evaluare a impactului privind protecția datelor („DPIA”). O DPIA ia în considerare dacă supravegherea este necesară și proporțională cu ceea ce un angajator încearcă să obțină, având în vedere riscurile pentru drepturile persoanelor vizate, inclusiv luarea în considerare a oricăror garanții sau măsuri de securitate pe care operatorul le va pune în aplicare.
3. Informarea angajatului. Cum o facem, ce trebuie să cuprindă
Angajatorii ar trebui să țină seama de noile cerințe GDPR dacă intenționează să instaleze camere CCTV, oricare ar fi scopul acestora. Angajatorii trebuie să rețină faptul că toate datele personale colectate trebuie utilizate și păstrate numai pentru a-și îndeplini scopul inițial, iar notificarea conformă cu GDPR trebuie să fie afișată în locuri vizibile. Un model de notificare, împreună cu celalalte documente necesare GDPR pentru utilizarea camerelor de supraveghere găsiți aici.
Este recomandabil ca angajatorii să elaboreze o serie de politici de protecție a datelor referitoare la utilizarea camerelor CCTV. Aceste politici ar trebui să abordeze scopurile pentru care se realizează supravegherea CCTV, condițiile în care va avea loc monitorizarea, natura monitorizării, modul în care vor fi utilizate datele personale ale persoanelor obținute, cât timp va fi păstrat materialul, precum și impactul asupra drepturilor persoanelor.
Angajatorii ar trebui să se asigure că semnalizează proeminent și adecvat zonele în care sunt instalate camere CCTV. Angajatorii ar trebui de asemenea, să pună la dispoziție măsuri tehnice și organizatorice adecvate pentru atenuarea oricăror riscuri pentru drepturile unui angajat în cazul unei încălcări a datelor, conform cerințelor GDPR.
Sistemele CCTV sunt, în mod inerent, vulnerabile la atacurile cibernetice atunci când sunt conectate la internet sau la cloud, iar securitatea și confidențialitatea datelor deținute este asigurată cel mai bine prin restricționarea accesului la ele și dispunerea de sisteme solide pentru a preveni atacurile transmise prin internet. Să nu uităm că utilizarea de către angajator a CCTV la locul de muncă poate ridica probleme juridice complexe, în funcție de noile cerințe GDPR și în funcție de scopul supravegherii.
Există o serie de întrebări de verificare pe care le puteți pune:
Dacă supravegheați video angajații, care este motivul/temeiul luat în considerare pentru a avea un sistem CCTV?
Ați afișat o notificare pentru a anunța că sunt monitorizați?
Cât timp păstrați imaginile și de ce? Ați efectuat o evaluare a riscurilor pentru a stabili și documenta aceste motive?
Unde sunt stocate datele (imaginile)? Sunteți sigur că nu vor fi distribuite terților, v-ați luat măsuri în acest sens?
Dacă există o încălcare, care este planul de acțiune?
4. Transparența și poziționarea semnului
Persoanele vizate trebuie să fie informate cu privire la faptul că supravegherea video este în funcțiune într-o manieră detaliată cu privire la locurile monitorizate.
În ceea ce privește supravegherea video, informațiile cele mai importante ar trebui să fie afișate pe semnul de avertizare în sine, în timp ce alte detalii pot fi furnizate prin alte mijloace.
Semnul ar trebui să fie poziționat la o distanță rezonabilă de locurile monitorizate în așa fel încât persoana vizată să poată recunoaște cu ușurință circumstanțele supravegherii anterior intrării în zona monitorizată (aproximativ la nivelul ochilor). Nu este necesar să se precizeze exact amplasarea echipamentului de supraveghere, atâta timp cât nu există niciun dubiu. Subiectul trebuie să fie capabil să estimeze ce zonă este capturată de o cameră, astfel încât el sau ea să poată evita supraveghează sau adaptează comportamentul, dacă este necesar. Informațiile din cadrul semnului de avertizare ar trebui să transmită cele mai importante informații, de exemplu detaliile scopurilor prelucrării, identitatea operatorului și existența drepturilor persoanei vizate. Trebuie, de asemenea, să se refere la celelalte informații obligatorii și unde pot fi găsite. Un model de semn de avertizare conform GDPR găsiți aici.
5. Ce aduce nou legislația română prin Legea 190/2018?
Legea nr. 190/2018 privind măsurile de punere în aplicare a Regulamentului GDPR nr. 679/2016 prevede anumite condiţii în care se va putea realiza supravegherea video a angajaților la locul de muncă de către angajator.
Mai exact, articolul 5 (“Prelucrarea datelor cu caracter personal în contextul relațiilor de muncă”) stabilește că atunci când sunt utilizate sisteme de monitorizare prin mijloace de comunicații electronice și/sau prin mijloace de supraveghere video la locul de muncă, prelucrarea datelor cu caracter personal ale angajaților, pentru a realiza interesele legitime urmărite de angajator, este posibilă numai dacă:
”a) interesele legitime urmărite de angajator sunt temeinic justificate şi prevalează asupra intereselor sau drepturilor şi libertăţilor persoanelor vizate;
d) alte forme şi modalităţi mai puţin intruzive pentru atingerea scopului urmărit de angajator nu şi-au dovedit anterior eficienţa; şi
e) durata de stocare a datelor cu caracter personal este proporţională cu scopul prelucrării, dar nu mai mare de 30 de zile, cu excepţia situaţiilor expres reglementate de lege sau a cazurilor temeinic justificate.”
În concluzie, conform Legii nr. 190/2018, supravegherea video poate fi realizată de către angajator numai dacă acesta poate demonstra ca interesele sale legitime sunt temeinic justificate și prevalează drepturilor și libertăților persoanelor. Totodată, angajatorul trebuie să facă dovada faptului ca alte metode prin care și-ar fi putut atinge scopul au eșuat anterior și astfel, singura soluție rămâne supravegherea video. În egală măsură, trebuie să asigura informarea angajaților și să se consulte cu sindicatul salariaților (dacă acesta există) sau cu reprezentanții acestora. Perioada de stocare nu poate depăși 30 de zile.
Implementarea și respectarea obligațiilor în materie de supraveghere video cu siguranță nu e floare-la-ureche, piece of cake sau alte formulări care vă plac, însă pachetul nostru monitorizare CCTV vă ia o grijă de pe umeri.
[1] Sursa aici
drepturile persoanei vizateinformareinteres legitimmonitorizaretransparentatransparență
5 iulie 2019 Ruxandra Sava0
Monitorizarea prin camere de supraveghere cu circuit închis (CCTV) face parte din activitatea majorității companiilor din România, însă pentru a supraveghea legal trebuie să respecți o serie de cerințe instituite de GDPR și de Legea 190/2018 privind măsurile de aplicare a GDPR. În acest articol îți vom explica pe scurt ce ai de făcut pentru a respecta legislația și îți vom furniza gratuit două modele de documente utile pentru conformare.
Potrivit Legii nr. 190/2018, în cazul în care sunt utilizate sisteme de monitorizare prin mijloace de comunicații electronice și/sau prin mijloace de supraveghere video la locul de muncă, prelucrarea datelor cu caracter personal ale angajaților, în scopul realizării intereselor legitime urmărite de angajator, este permisă numai dacă:
Cu alte cuvinte, trebuie puse în balanță interesul companiei de a monitoriza prin CCTV și drepturile angajaților la viața privată. Dacă balanța va înclina în favoarea angajatorului, atunci supravegherea CCTV poate fi realizată. Orientările europene în materie spun că trebuie documentat un test de echilibrare (sau analiză a interesului legitim) pentru ca angajatorul să afle dacă poate monitoriza legal prin CCTV. Un model de analiză a interesului legitim pentru CCTV găsești aici.
Poți descărca un model de Notă de informare CCTV
Atenție! Informarea angajaților cu privire la CCTV nu exonerează compania de informarea angajaților cu privire la toate aspectele legate de prelucrarea datelor cu caracter personal. Un model de notă de informare completă a angajaților găsești în KIT-ul nostru de implementare.
e) durata de stocare a datelor cu caracter personal este proporțională cu scopul prelucrării, dar nu mai mare de 30 de zile, cu excepția situațiilor expres reglementate de lege sau a cazurilor temeinic justificate.
Prima amenda GDPR în România. 130.000 euro pentru UniCredit Bank.
informareinteres legitimtransparenta
Supraveghere video la locul de muncă începută înainte de GDPR. Conditii
20 noiembrie 2018 LegalUp2
Întrebare: Conform GDPR trebuie ca, anterior începerii supravegherii video, să te consulți cu reprezentanții salariaților / sindicatul, să soliciți lămuriri firmei care a instalat sistemul de supraveghere privind conformitatea instalației și să informezi personal cu privire la supravegherea video. Dacă ne-am mutat în clădire cu mult timp înainte de GDPR, în condițiile în care noi am preluat clădirea cu sistemul de supraveghere video deja instalat, înțeleg că nu se mai poate pune problema ca anterior începerii supravegherii video să facem ceea ce am precizat anterior.
În aceste condiții, mai trebuie să facem acțiunile amintite mai sus?
Răspuns: Art. 5 din Legea 190/2018 privind măsurile de punere în aplicare a GDPR prevede ca „ În cazul în care sunt utilizate sisteme de monitorizare prin mijloace de comunicații electronice și/sau prin mijloace de supraveghere video la locul de muncă, prelucrarea datelor cu caracter personal ale angajaților, în scopul realizării intereselor legitime urmărite de angajator, este permisă numai dacă:
Prin urmare, intervin două situații:
Situația #1. Activitatea de supraveghere video a început anterior intrării în vigoare a Legii nr. 190/2018, prin urmare operatorul trebuie respecte toate conditiile de la punctele a-e cat mai curand.
Situația #2. Activitatea de supraveghere video a început ulterior intrării în vigoare a Legii nr. 190/2018, prin urmare operatorul trebuie respecte toate conditiile de la punctele a-e înainte de începerea efectivă a activității de prelucrare.
Concluzia: trebuie să respectați cerințele Legii 190/2018.
Ai nevoie documentație GDPR și/sau de suport la implementarea cerințelor GDPR? Cumpără KIT-ul nostru de implementare și îți răspundem gratuit la întrebări despre GDPR timp de un an.
anonimizaredreptul munciigdprinformareinteres legitiminterviuriprincipii GDPRsecuritatetransparentatransparență
12 februarie 2018 Ruxandra Sava2
Majoritatea firmelor prelucrează date cu caracter personal referitoare la angajații lor zi de zi. Datele personale prelucrate de firmă pot fi oricare, de la datele de identificare până la informațiile medicale prezentate de angajați pentru a justifica absența. În consecință, majoritatea întreprinderilor vor fi afectate de Regulamentul UE privind protecția generală a datelor (“GDPR”), care va reglementa prelucrarea datelor cu caracter personal atunci când devine direct aplicabil începând cu 25 mai 2018.
Acest articol cuprinde măsuri practice pe care ar trebui să le luați în considerare în ceea ce privește prelucrarea datelor angajaților.
Multe organizații se străduiesc să evalueze unde ar trebui să înceapă în ceea ce privește pregătirea pentru GDPR. Este util să ne amintim că am avut legislație privind protecția datelor în România încă din 2001 și, prin urmare, firmele care au respectat în mod serios respectarea protecției datelor sunt deja în bună formă pentru a îndeplini standardele de respectare a standardelor GDPR. GDPR se bazează și consolidează multe dintre cerințele și principiile existente privind protecția datelor în conformitate cu legislația actuală privind protecția datelor. GDPR ar trebui văzută ca o oportunitate de a revizita nivelul de protecție a datelor de către firma.
Începând cu 25 mai 2018, GDPR va înlocui Directiva din 1995 privind protecția datelor, care este legislația UE, pe care se bazează principala legislație română privind protecția datelor, Legea 677/2001. GDPR, fiind un Regulament, se va aplica direct în România, indiferent că se adoptă sau nu o lege națională.
2. „Consimțământul” în contractele de muncă
Ca și în cazul actualei legislații, pentru a prelucra datele personale ale unui angajat, firma are nevoie de o bază legală pentru a face acest lucru. Multe dintre bazele juridice pe care angajatorii le utilizează în prezent pentru a procesa datele cu caracter personal ale angajaților vor continua să existe în cadrul GDPR. Cele mai relevante baze juridice pentru angajatori, atât în ​​cadrul DPA, cât și în GDPR, sunt următoarele:
angajatul și-a dat consimțământul pentru prelucrare;
prelucrarea este necesară pentru executarea unui contract la care angajatul este parte;
prelucrarea este necesară pentru a lua măsuri la cererea angajatului înainte de a încheia un contract;
respectarea unei obligații legale;
prelucrarea este necesară pentru a proteja ale angajatului; și
în scopul intereselor legitime ale firmei.
În practică, constatăm că mulți angajatori tind să se bazeze pe prima bază juridică menționată mai sus pentru prelucrarea datelor, adică consimțământul, care este de obicei luat în contractul de muncă. Pentru ca consimțământul să fie valabil, acesta trebuie, printre altele, să fie „acordat în mod liber”, ceea ce ridică preocupări în contextul ocupării forței de muncă, deoarece este discutabil dacă consimțământul unui angajat este acordat în mod liber pe baza dezechilibrului puterii dintre un angajator și un angajat . Grupul de lucru „Articolul 29″, care este grupul reprezentativ al autorităților UE pentru protecția datelor, a comentat recent că un angajat este rareori în măsură să dea un consimțământ liber.
Comsimțământ GDPR. Ghid complet pentru operatorii de date
Un alt punct de reținut atunci când se bazează pe consimțământ este acela că anumite drepturi ale persoanelor vizate pot fi exercitate numai atunci când consimțământul este temeiul juridic, de exemplu dreptul la portabilitatea datelor și așa-numitul „drept de fi uitat”.
Având în vedere dificultățile legate de consimțământ, acum este momentul să te gândești dacă nu cumva firma ta poate invoca baze juridice alternative pentru o anumită prelucrare a datelor cu caracter personal. De exemplu, prelucrarea detaliilor unui angajat în cadrul salarizării ar putea fi întemeiată pe baza legală a executării unui contract cu angajatul. Cu toate acestea, pot exista situații în care consimțământul este singurul temei juridic adecvat pentru a se baza. O astfel de situație poate apărea, de exemplu, în contextul procesării informațiilor medicale ale unui angajat, în cazul în care o asemenea prelucrare nu este cerută de legislația muncii. În cazul în care este necesar să se bazeze pe consimțământul ca temei juridic, consimțământul ar trebui să fie obținut printr-o declarație sau alt document separat de contractul de muncă, care nu este în mod inerent legat de acceptarea de către salariat a locului de muncă în cadrul firmei.
3. Drepturile angajatului
GDPR introduce noi drepturi pentru persoanele vizate și modifică, de asemenea, unele dintre drepturile existente în cadrul legislației actuale. Un drept modificat pe care multe firme îl pot cunoaște este dreptul de acces al persoanelor vizate, care oferă în mod esențial unei persoane dreptul de a primi o copie a datelor sale personale.
Răspunsul la cerere trebuie să se facă „fără întârzieri nejustificate” și, în orice caz, în termen de o lună de la primirea solicitării.
Acest termen scurt înseamnă că firmele vor trebui să se asigure că au politicile și procedurile în vigoare pentru a se conforma unei cereri de acces primite și că dispune de personal și resurse suficiente pentru a se conforma. Cu toate acestea, în cazul în care o cerere este complexă sau dacă sunt formulate mai multe cereri, atunci termenul poate fi prelungit cu încă două luni, dacă este necesar, cu condiția ca persoana vizată să fie informată cu privire la prelungire și motivele acesteia în termen de o lună de la data la care angajatorul a primit cererea.
Responsabilitatea este un principiul fundamental al GDPR. Aceasta impune ca firmele nu numai să respecte GDPR prin implementarea unor măsuri tehnice și organizatorice adecvate și a unor politici adecvate de protecție a datelor, dar trebuie, de asemenea, să poată demonstra conformitatea acestora. Ca atare, acest lucru va implica mai mult decât crearea unor politici de protecție a datelor și a unor registre de prelucrare care să respecte GDPR, ci si punerea în practică a acestor politici.
Recrutarea și limitele GDPR. Soluții cheie. Nota de informare (I)
5. Informații care trebuie furnizate angajaților
Trebuie furnizate anumite informații angajaților înainte ca datele lor personale să fie colectate și prelucrate de către firmă. Informațiile vor fi în mod obișnuit furnizate sub forma unei notificări adresate candidaților, iar o politică de confidențialitate viitoare va fi furnizată angajaților, de regulă, cu ocazia încheierii contractului de muncă. În cadrul GDPR, vor fi furnizate următoarele informații:
numele firmei și datele de contact și numele și datele de contact responsabilului cu protectia datelor, dacă există;
scopul (scopurile) prelucrării, precum și temeiurile juridice pentru prelucrare;
în cazul în care temeiul juridic al prelucrării se bazează pe interesele legitime ale întreprinderii, aceste interese legitime trebuie identificate;
destinatarii sau categoriile de destinatari de date cu caracter personal;
dacă firma intenționează să transfere date cu caracter personal unei țări terțe și temeiul juridic al transferului;
perioada de păstrare a datelor cu caracter personal și criteriile utilizate pentru determinarea acesteia; modul în care angajații (sau candidații pentru locuri de muncă) își pot exercita drepturile;
modul în care angajații (sau candidații pentru locuri de muncă) își pot retrage consimțământul pentru prelucrare, în cazul în care prelucrarea de către firmă se bazează pe consimțământ;
dreptul de a depune o plângere autorității de supraveghere a protecției datelor;
dacă angajatul (sau candidatul la postul de loc de muncă) este obligat să furnizeze datele cu caracter personal în temeiul unei legi sau al unui contract și consecințele neconformării; și
existența procesului de luare a deciziilor automate, inclusiv profilarea, precum și logica și consecințele prelucrării pentru angajat (sau candidatul la un loc de muncă).
Este important să revizuiești informările oferite angajaților și candidaților pentru locuri de muncă, pentru a verifica dacă acestea includ informațiile de mai sus.
Dacă ai nevoie de modele de informare conforme GDPR pentru angajați și candidați le găsești aici, în KIT-ul nostru de implementare.
6. Responsabilul cu protecția datelor („DPO”)
O modificare importantă introdusă de GDPR este cerința ca anumiți operatori de date și împuterniciți să numească un DPO. DPO este responsabil de supravegherea conformității unei organizații cu protecția datelor.
Un DPO este obligatoriu atunci când:
operatorul este o autoritate publică sau un organism public (cu excepția instanțelor de judecată);
operatorii de date și împuterniciții au ca activitate principală o prelucrare “care necesită o monitorizare periodică și sistematică a persoanelor vizate la scară largă”; și
operatorii de date și împuterniciții implicați în prelucrarea la scară largă a datelor cu caracter personal sensibile sau a datelor cu caracter personal referitoare la condamnările și infracțiunile penale.
Grupul de lucru “Articolul 29” recomandă ca operatorii și împuterniciții să se informeze dacă este necesar un DPO.
DPO poate să fie intern (angajat) sau externalizat (de exemplu, un avocat) și trebuie să aibă cunoștințe de specialitate privind protecția datelor cu caracter personal. Dacă este angajat, nu poate fi sancționat sau demis pentru îndeplinirea activităților sale. Responsabilul va fi independent în îndeplinirea sarcinilor. Acest lucru trebuie luat în calcul înainte de a numi pe cineva.
KIT complet de documente și măsuri tehnice și organizatorice prin care îți faci singur implementarea, cu suportul nostru juridic. Află mai multe aici
drepturile persoanei vizategdprinformareprincipii GDPRtransparentatransparență
12 februarie 2018 Ruxandra Sava0
Cu ocazia întâlnirii din luna noiembrie 2017, Grupul de lucru Articolul 29 a adoptat două ghiduri (cu privire la „Transparență” și „Consimțământ”) în vederea asigurării unei aplicări armonizate a Regulamentului General privind Protecția Datelor începând cu data de 25 mai 2018. Acestea au fost lansate în vederea consultării publice până la data de 23 ianuarie 2018.
În prezentul articol, vom rezuma aspectele relevante cuprinse în Ghidul Grupului de Lucru Articolul 29 cu privire la transparență.
Noțiunea de transparență
Deși transparența nu este definită în GDPR, totuși Considerentul 39 din Preambul este informativ cu privire la principiul transparenței: „Ar trebui să fie transparent pentru persoanele fizice că sunt colectate, utilizate, consultate sau prelucrate în alt mod datele cu caracter personal care le privesc și în ce măsură datele cu caracter personal sunt sau vor fi prelucrate. Principiul transparenței prevede că orice informații și comunicări referitoare la prelucrarea respectivelor date cu caracter personal sunt ușor accesibile și ușor de înțeles și că se utilizează un limbaj simplu și clar. Acest principiu se referă în special la informarea persoanelor vizate privind identitatea operatorului și scopurile prelucrării, precum și la oferirea de informații suplimentare, pentru a asigura o prelucrare echitabilă și transparentă în ceea ce privește persoanele fizice vizate și dreptul acestora de a li se confirma și comunica datele cu caracter personal care le privesc care sunt prelucrate.“
Art. 12 din RGPD prevede că operatorul trebuie să realizeze informarea persoanei vizate astfel:
într-o formă concisă, transparentă, inteligibilă și usor accesibilă;
utilizând un simplar clar și simplu;
în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic;
la solicitarea personei vizate, informațiile pot fi prezentate oral;
informarea trebuie să fie gratuită.
I. Forma concisă, transparentă, inteligibilă și usor accesibilă
Grupul de Lucru recomandă ca informațiile să fie prezentate succinct și să se diferențieze în mod clar de alte informații, ca de exemplu, dispozițiile contractuale. Cerința ca informația să fie „inteligibilă” înseamnă că ar trebui înțeleasă de un membru mediu al publicului vizat. Cerința „ușor accesibilă” înseamnă că persoana vizată nu ar trebui să caute ea însăși informațiile, ci să îi fie gata oferite de către operator. Grupul de lucru recomandă ca pentru accesarea notei de informare să nu se folosească mai mult de două clickuri și că funcția de meniu utilizată în aplicații ar trebui să includă întotdeauna o secțiune pentru protecția datelor.
II. Limbaj simplu și clar
Informațiile prezentate trebuie incluse într-un limbaj simplu, clar și definitiv. Potrivit Grupului de Lucru, exemplele de limbaj neclar includ: „putem folosi datele tale cu caracter personal pentru a dezvolta noi servicii” (deoarece nu este clar care este serviciul), „putem folosi datele tale cu caracter personal în scopuri de cercetare” (întrucât nu este clar despre ce fel de cercetare este vorba).
III. în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic
Grupul de Lucru constată că „alte mijloace” pot include declarații/notificări de confidențialitate stratificate, ferestre pop-up, notificări 3D etc.
la solicitarea personei vizate, informațiile pot fi prezentate oral
Grupul constată că acest lucru nu înseamnă neapărat informații orale furnizate personal sau prin telefon. Informațiile orale automate pot fi furnizate în plus față de mijloacele scrise, cum ar fi în contextul persoanelor cu deficiențe de vedere atunci când interacționează cu furnizorii de servicii ale societății informaționale. În cazul în care informațiile sunt furnizate oral, operatorul ar trebui să permită persoanei vizate să asculte din nou mesajele preînregistrate.
informarea trebuie să fie gratuită
Un operator nu poate solicita o taxă pentru informarea persoanei vizate.
Consimțământ GDPR. Cum obții un consimțământ valabil pentru prelucrare? (I)
Notificările existente ar putea avea nevoie de actualizare
Operatorul trebuie să se asigure că notele de informare include toate informațiile prevăzute în Articolele 13 și 14 din GDPR, în caz contrar, este nevoie ca acestea să fie actualizate pentru a corespunde noilor standarde.
Note de informare și formulare de consimțământ conforme GDPR găsești aici.
Limbajul trebuie adaptat publicului. Dacă se prelucrează date cu caracter personal ale copiilor, limbajul trebuie să fie adecvat vârstei. Grupul oferă ca exemplu pentru un limbaj adresat copilului „Convenția ONU privind drepturile copilului” în limbaj pentru copii.
Dacă se dorește modificarea notei de informare, aceasta modificare ar trebui să fie într-o modalitate adecvată (de exemplu, prin e-mail) și să fie dedicată aceastui subiect. Nu se recomandă informarea despre modificare împreună cu conținutul despre marketing. Ar trebui ca informarea să se realizeze cu o marjă de timp adecvată înainte de aplcarea modificării dacă implică o modificare fundamental a naturii prelucrării sau este vorba despre o modificare care poate avea un impact semnificativ asupra persoanei.
Excepțiile de la informarea persoanei vizate
Art. 14 alin. (5) conține excepțiile de la obligația de informare. Grupul afirmă că aceste excepții ar trebui interpretate limitativ:
Ai nevoie de modele de informare? Le găsești aici
consimtamantgdprinformaretemeiuri juridicetransparentatransparență
3 februarie 2018 Ruxandra Sava0
Ruxandra Sava, Avocat, CIPP/E
Cu ocazia întâlnirii din luna noiembrie 2017, Grupul de lucru Articolul29 a adoptat două ghiduri (cu privire la „Transparență” și „Consimțământ”) în vederea asigurării unei aplicări armonizate a Regulamentului General privind Protecția Datelor începând cu data de 25 mai 2018. Acestea au fost lansate în vederea consultării publice până la data de 23 ianuarie 2018.
În prezentul articol, vom rezuma aspectele relevante cuprinse în Ghidul Grupului de Lucru Articolul 29 cu privire la consimțământ.
Potrivit Regulamentului, există șase temeiuri legale în baza cărora datele cu caracter personal pot fi prelucrate în mod legal: a) consimțământul; b) încheierea sau executarea unui contract; c) îndeplinirea unei obligații legale a operatorului; d) protejarea intereselor vitale ale persoanei vizate sau ale altei persoane fizice; e) îndeplinirea unei sarcini aferente unui interes public; și f) în scopul interesului legitim al operatorului sau al unei terțe.
Important de menționat este faptul că cele șase temeiuri legale se află, potrivit Regulamentului, pe poziție de egalitate. Așa cum vom arăta în cele ce urmează, obținerea unui consimțământ valabil potrivit GDPR nu este o sarcină ușoară, de aceea recomandarea noastră este să vă orientați către alte temeiuri legale, urmând să apelați la consimțământ ca ultimă variantă.
Ca să răspundem la întrebarea din subtitlu, consimțământul este unul dintre cele șase temeiuri legale în baza cărora datele cu caracter personal pot fi prelucrate legal, dar și unul dintre temeiurile în baza căruia datele personale pot fi transferate către un stat din afara Uniunii.
Consimțământul este definit în Art. 4 pct. 11 din Regulament drept „orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;”
Operatorul trebuie să poată face dovada că a obținut un consimțământ valabil. Totuși, obținerea acestuia nu exonerează operatorul de începlinirea celorlalte obligații pe care le are potrivit legii.
Ce condiții trebuie să îndeplinească consimțământul pentru a fi valabil potrivit GDPR?
Pentru a fi valabil, consimțământul trebuie să îndeplinească cumulativ următoarele condiții:
să fie dat în mod liber;
să fie specific;
să fie informat;
să fie lipsit de ambiguitate;
Cu privire la anumite categorii de date sensibile (de exemplu, datele medicale, genetice, biometrice, datele care dezvăluie originea rasială, etnică, convingerile religioase, filozofice), în situația transferurilor către state terțe UE fără garanții adecvate și în situația deciziilor automate cu efect semnificativ, consimțământul trebuie să îndeplinească o cerință suplimentară: să fie explicit. Consimțământul copiilor este, de asemenea, supus unor condiții suplimentare, așa cum vom arăta în cele ce urmează.
Consimțământul trebuie să fie dat în mod liber
Potrivit Grupului de Lucru, consimțământul trebuie să fie o alegere reală pentru persoana vizată. Dacă persoana nu are o alegere reală, se simte obligată să își dea consimțământul sau urmează să suporte consecințe negative dacă nu își dă acordul, consimțământul nu este valabil.
În situația în care consimțământul este asociat unor termeni și condiții care nu pot fi negociați sau în situația în care nu poate fi acordat sau retras fără prejudicii, vorbim despre un consimțământ nevalid.
Utilizarea unui serviciu condiționată de acordarea consimțământului este permisă doar dacă prelucrarea datelor este necesară pentru executarea respectivului contract. Grupul de Lucru precizează că această condiționare trebuie interpretată strict: “trebuie să existe o legătură directă și obiectivă între prelucrarea datelor și scopul executării contractului”.
Exemplu oferit de Grupul de Lucru:
„O aplicație pentru editarea fotografiilor solicită utilizatorilor să aibă locația GPS activată pentru utilizarea serviciilor, datele privind geolocalizarea fiind colectate în scopuri de publicitate comportamentală. Geolocalizarea nu este necesară pentru furnizarea serviciului de editare foto. Dacă utilizatorul nu poate folosi aplicația fără a fi de acord cu prelucrarea acestor date, contimțământul nu este acordat în mod liber.”
În situația unui dezechilibru de putere, ca de exemplu, în relația angajator – angajat, consimțământul nu este valabil decât în cazuri excepționale. Prin urmare, recomandarea Grupul este ca temeiul legal de prelucrare a datelor angajaților să nu fie consimțământul.
Datele personale nu pot fi oferite drept plata pentru serviciile online gratuite, consimțământul fiind valabil numai dacă sunt puse la dispoziție servicii echivalente care nu depind de utilizarea datelor cu caracter personal, fără costuri suplimentare, subiectul având, astfel, libertatea de a alege. Similar, dacă persoana decide să își retragă consimțământul, nu sunt permise costuri suplimentare sau dezavantaje.
Pentru a fi liber, consimțământul trebuie acordat separat pentru fiecare scop specific al prelucrării
Consimțământul trebuie să fie specific
„O rețea de televiziune prin cablu colectează datele personale ale abonaților, pe baza consimțământului acestora, pentru a le prezenta sugestii personalizate pentru filme. După un timp, rețeaua TV decide că ar dori să permită terților să trimită (sau să afișeze) publicitate vizată pe baza obiceiurilor de vizionare ale abonatului. Având în vedere acest nou scop, este necesar un nou consimțământ.”
Consimțământul trebuie să fie informat
Grupul de Lucru furnizează o listă de elemente obligatorii care trebuie prezentate persoanei înainte de a i se cere consimțământul: identitatea fiecărui operator, scopul prelucrării, tipurile de date colectate, existența dreptului de retragere a consimțământului și, dacă e cazul, informații despre profilare sau decizii automate cu impact semnificativ și informații privind posibilele riscuri de transfer către state terțe UE.
Informarea trebuie să utilizeze un limbaj simplu și ușor de înțeles și trebuie să se diferențieze de termenii generali. Dacă consimțământul este obținut pe hârtie, informarea trebuie să fie distinctă față de alte documente, astfel încât să se evidențieze și să atragă atenția. Utilizarea unui mod stratificat de prezentare a informației este un aspect pe care operatorii ar trebui să îl ia în calcul.
Dacă ai nevoie de formulare de consimțământ însoțite de note de informare, le găsești aici.
Consimțământul trebuie să fie lipsit de ambiguitate
Tăcerea, inacțiunea sau căsuțele pre-bifate nu valorează consimțământ. Grupul de Lucru recomandă operatorilor să facă uz de declarații scrise, însă, întrucât acest lucru nu este întotdeauna realist se poate apela la alternative precum declarații verbale înregistrate, raspunsuri la e-mail-uri și mesaje electronice, căsuțe cu posibilitate de bifare activă. Grupul menționează că „GDPR pune la dispoziția controlorilor obligația de a dezvolta modalități de abordare a acestei probleme”.
http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611232
https://iapp.org/news/a/the-working-party-guidance-on-consent-is-finally-here/
arhive-transparenta-legalup