Evaluarea impactului și consultarea prealabilă

Ce este evaluarea impactului

Evaluarea impactului asupra protecției datelor este analiza pe care operatorul o face înaintea unei prelucrări cu risc ridicat, pentru a evalua impactul operațiunilor preconizate asupra protecției datelor cu caracter personal art. 35 alin. (1). Legea stabilește conținutul minim al evaluării art. 35 alin. (7), iar operatorul trebuie să poată demonstra că prelucrarea respectă legea art. 24 alin. (1).

Când este necesară

Obligația nu este generală. Operatorul efectuează evaluarea atunci când, având în vedere natura, domeniul de aplicare, contextul și scopurile prelucrării, un tip de prelucrare, în special unul bazat pe noi tehnologii, este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice art. 35 alin. (1). Legea numește trei situații în care evaluarea se impune în special:

• o evaluare sistematică și cuprinzătoare a aspectelor personale, bazată pe prelucrarea automată, inclusiv crearea de profiluri, care stă la baza unor decizii cu efecte juridice sau cu efecte similare semnificative art. 35 alin. (3) lit. a);
• prelucrarea pe scară largă a categoriilor speciale de date sau a datelor privind condamnări penale și infracțiuni art. 35 alin. (3) lit. b);
• monitorizarea sistematică pe scară largă a unei zone accesibile publicului art. 35 alin. (3) lit. c).

Centrul Național pentru Protecția Datelor cu Caracter Personal aprobă lista tipurilor de operațiuni care necesită o evaluare art. 35 alin. (4) și poate aproba o listă a celor pentru care evaluarea nu este necesară art. 35 alin. (5). Listele se publică în Monitorul Oficial al Republicii Moldova și pe pagina web a Centrului art. 35 alin. (6).

O singură evaluare poate acoperi un set de operațiuni similare care prezintă riscuri ridicate similare art. 35 alin. (1). Pentru prelucrările întemeiate pe o obligație legală sau pe o sarcină de interes public, evaluarea nu mai este necesară dacă a fost deja făcută în cadrul evaluării generale a impactului la adoptarea actelor normative care prevăd prelucrarea, cu excepția cazului în care actele normative o cer înaintea prelucrării art. 35 alin. (10).

Cine participă

Dacă a fost desemnat un responsabil cu protecția datelor, operatorul îi solicită avizul art. 35 alin. (2). Atunci când este cazul, operatorul solicită și opiniile persoanelor vizate sau ale reprezentanților lor art. 35 alin. (9). Respectarea unui cod de conduită aprobat se ia în considerare la evaluarea impactului art. 35 alin. (8).

Evaluarea nu se face o singură dată pentru totdeauna: dacă este necesar, operatorul verifică dacă prelucrarea se desfășoară conform evaluării, cel puțin atunci când riscul se modifică art. 35 alin. (11).

Consultarea prealabilă a Centrului

Operatorul consultă Centrul înainte de prelucrare atunci când evaluarea indică faptul că prelucrarea ar genera un risc ridicat în absența unor măsuri de atenuare a riscului art. 36 alin. (1). Cu această ocazie, îi furnizează informațiile prevăzute de lege, inclusiv evaluarea impactului art. 36 alin. (3).

Dacă Centrul consideră că prelucrarea preconizată ar încălca legea, oferă operatorului consiliere în scris în cel mult opt săptămâni de la primirea cererii, termen care poate fi prelungit cu șase săptămâni în funcție de complexitate. Centrul poate folosi și oricare dintre competențele sale art. 36 alin. (2), art. 60.

De ce contează

Obligațiile privind evaluarea impactului și consultarea prealabilă sunt sancționabile cu amenzi de până la 1 000 000 de lei sau, pentru o întreprindere, de până la 1% din cifra totală de afaceri realizată în anul anterior sancționării, luându-se în calcul cea mai mare valoare art. 88 alin. (1) lit. a).