Принципы и правовые основания

Шесть принципов

Любая обработка персональных данных должна соответствовать принципам из ст. 5 ч. (1). Данные обрабатываются законно, справедливо и прозрачно по отношению к субъекту персональных данных ст. 5 ч. (1) п. a). Их собирают в определенных, понятных и законных целях и в дальнейшем не обрабатывают способом, несовместимым с этими целями ст. 5 ч. (1) п. b).

Данные должны быть адекватными, релевантными и ограниченными тем, что необходимо для цели ст. 5 ч. (1) п. c), а также точными и при необходимости обновляться ст. 5 ч. (1) п. d). Их не хранят в форме, позволяющей идентифицировать людей, дольше, чем этого требуют цели обработки ст. 5 ч. (1) п. e), и защищают соответствующими техническими или организационными мерами от несанкционированной или незаконной обработки, а также от случайной утраты, уничтожения или повреждения ст. 5 ч. (1) п. f).

Принцип ответственности

Оператор несет ответственность за соблюдение этих принципов и должен быть готов доказать их соблюдение ст. 5 ч. (2). Меры, которыми оператор гарантирует и доказывает соответствие закону, предусмотрены в ст. 24 ч. (1).

Правовые основания

Обработка законна только в том случае и в том объеме, в каких соблюдено хотя бы одно из условий ст. 6 ч. (1):

• субъект персональных данных дал согласие для одной или нескольких конкретных целей ст. 6 ч. (1) п. a);
• обработка необходима для исполнения договора, стороной которого является субъект персональных данных, или для преддоговорных мер, принимаемых по его запросу ст. 6 ч. (1) п. b);
• обработка необходима для выполнения предусмотренного законом обязательства оператора ст. 6 ч. (1) п. c);
• обработка необходима для защиты жизненно важных интересов субъекта персональных данных или другого физического лица ст. 6 ч. (1) п. d);
• обработка необходима для выполнения задачи в общественных интересах или для осуществления официальных полномочий, возложенных на оператора ст. 6 ч. (1) п. e);
• обработка необходима для законных интересов оператора или третьей стороны, кроме случаев, когда превалируют интересы или основные права и свободы субъекта персональных данных, в особенности если он ребенок ст. 6 ч. (1) п. f).

Основания, связанные с предусмотренным законом обязательством или задачей в общественных интересах, должны быть установлены законодательством Республики Молдова ст. 6 ч. (3). Органы публичной власти не вправе ссылаться на законный интерес при исполнении своих обязанностей ст. 6 ч. (4). Для новой цели, которая не основана на согласии или на нормативных актах, оператор определяет, совместима ли она с целью, ради которой данные были собраны изначально ст. 6 ч. (5).

Согласие

Если обработка основана на согласии, оператор должен иметь возможность доказать, что субъект персональных данных его дал ст. 7 ч. (1). Если согласие дается в письменном заявлении, которое касается и других вопросов, заявление о согласии должно четко отличаться от них ст. 7 ч. (2). Субъект персональных данных вправе отозвать согласие в любой момент, так же просто, как он его дал ст. 7 ч. (3). Если исполнение договора поставлено в зависимость от согласия, которое для этого договора не нужно, это учитывается при оценке того, было ли согласие свободным ст. 7 ч. (4).

Для услуг информационного общества, предлагаемых непосредственно ребенку, достаточно согласия самого ребенка с 14 лет; до этого возраста согласие должен дать или подтвердить законный представитель ст. 8 ч. (1), а оператор прилагает необходимые усилия, чтобы это проверить ст. 8 ч. (2).

Данные, требующие особой защиты

Обработка особых категорий данных запрещена ст. 9 ч. (1). К ним относятся, в частности, данные о состоянии здоровья, генетические данные, биометрические данные для уникальной идентификации человека, а также данные, раскрывающие расовую или национальную принадлежность, политические взгляды или членство в профсоюзах. Запрет не применяется в случаях, перечисленных в ст. 9 ч. (2), например если субъект персональных данных дал четкое согласие ст. 9 ч. (2) п. a). Данные, касающиеся уголовных приговоров и преступлений, обрабатываются только под контролем органа публичной власти и только когда это разрешено нормативными актами, предусматривающими надлежащие гарантии ст. 10 ч. (1). В румынском тексте закона эти условия альтернативны («sau»), а в русском — совокупны.

Когда идентификация не нужна

Если цели обработки не требуют идентифицировать субъекта персональных данных, оператор не обязан получать дополнительную информацию только для того, чтобы соблюсти закон ст. 11 ч. (1). Если он может доказать, что не в состоянии идентифицировать субъекта, он по мере возможности соответствующим образом информирует его, а права по статьям 15–20 не применяются, кроме случая, когда субъект сам предоставляет дополнительную информацию, позволяющую его идентифицировать ст. 11 ч. (2).