Obligațiile operatorului și ale persoanei împuternicite

Responsabilitatea operatorului

Operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a putea demonstra că prelucrarea respectă legea, ținând cont de natura, contextul și scopurile prelucrării și de riscurile pentru persoane. Măsurile se revizuiesc și se actualizează dacă este necesar art. 24 alin. (1). Atunci când sunt proporționale cu prelucrarea, ele includ politici adecvate de protecție a datelor art. 24 alin. (2).

Protecția datelor se integrează încă de la stabilirea mijloacelor de prelucrare, nu doar ulterior art. 25 alin. (1). În mod implicit, se prelucrează numai datele necesare pentru fiecare scop, iar datele nu devin accesibile unui număr nelimitat de persoane fără intervenția persoanei art. 25 alin. (2).

Operatorii asociați și reprezentanții

Când doi sau mai mulți operatori stabilesc împreună scopurile și mijloacele prelucrării, ei sunt operatori asociați și își împart responsabilitățile printr-un acord art. 26 alin. (1), a cărui esență este făcută cunoscută persoanei vizate art. 26 alin. (2). Indiferent de acord, persoana vizată își poate exercita drepturile față de fiecare dintre ei art. 26 alin. (3).

Operatorii și persoanele împuternicite fără sediu în Republica Moldova care oferă bunuri sau servicii persoanelor aflate în țară ori le monitorizează comportamentul art. 3 alin. (2) desemnează în scris un reprezentant cu sediu în țară art. 27 alin. (1), cu excepțiile prevăzute de lege, de exemplu pentru cei cu sediu într-un stat membru al Spațiului Economic European art. 27 alin. (2).

Persoana împuternicită de operator

Operatorul recurge numai la persoane împuternicite care oferă garanții suficiente că prelucrarea va respecta legea art. 28 alin. (1). Relația se reglementează printr-un contract sau alt act juridic obligatoriu, al cărui conținut minim este stabilit de lege art. 28 alin. (3), întocmit în scris, inclusiv în format electronic art. 28 alin. (8). Persoana împuternicită nu recrutează o altă persoană împuternicită fără autorizația scrisă a operatorului art. 28 alin. (2) și rămâne pe deplin răspunzătoare față de operator dacă aceasta nu își respectă obligațiile art. 28 alin. (4).

Persoana împuternicită și oricine are acces la date sub autoritatea operatorului le prelucrează numai pe baza instrucțiunilor operatorului, cu excepția cazului în care actele normative impun prelucrarea art. 29. Dacă persoana împuternicită încalcă legea stabilind ea însăși scopurile și mijloacele, este considerată operator pentru acea prelucrare art. 28 alin. (9).

Evidența activităților de prelucrare

Fiecare operator păstrează o evidență a activităților de prelucrare desfășurate sub responsabilitatea sa art. 30 alin. (1), iar fiecare persoană împuternicită, o evidență a categoriilor de activități desfășurate în numele operatorilor art. 30 alin. (2). Evidențele se țin în scris, inclusiv în format electronic art. 30 alin. (3), și se pun la dispoziția Centrului Național pentru Protecția Datelor cu Caracter Personal la cerere art. 30 alin. (4).

Întreprinderile și organizațiile cu mai puțin de 250 de angajați sunt scutite, cu excepția cazului în care prelucrarea este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate, nu este ocazională sau include categorii speciale de date ori date privind condamnări penale și infracțiuni art. 30 alin. (5). Scutirea este, așadar, condiționată, nu automată. În aprecierea noastră, scutirea se aplică rar: în practică, una dintre aceste condiții este îndeplinită la majoritatea companiilor. Evidența ține locul înregistrării ca operator la Centru, care nu mai există după abrogarea Legii nr. 133/2011; detaliile sunt la tranziția de la Legea nr. 133/2011.

Cooperarea cu Centrul

Operatorul, persoana împuternicită și, după caz, reprezentanții lor cooperează, la cerere, cu Centrul în îndeplinirea sarcinilor acestuia art. 31.

Coduri de conduită și certificare

Asociațiile care reprezintă categorii de operatori pot elabora coduri de conduită art. 40 alin. (2), care se aprobă de Centru art. 40 alin. (5) și a căror respectare poate fi monitorizată de un organism acreditat art. 41 alin. (1). Certificarea este voluntară art. 42 alin. (3), se acordă pentru cel mult trei ani art. 42 alin. (7) și nu reduce responsabilitatea operatorului de a respecta legea art. 42 alin. (4). Organismele de certificare sunt acreditate de Centrul Național de Acreditare art. 43 alin. (2). Aderarea la un cod sau la un mecanism de certificare aprobat poate fi folosită ca un element care demonstrează respectarea obligațiilor art. 24 alin. (3).