LEGE nr. 363 din 28 decembrie 2018privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date
EMITENT
  • PARLAMENTUL ROMÂNIEI
    • Publicat în  MONITORUL OFICIAL nr. 13 din 7 ianuarie 2019



    Parlamentul României adoptă prezenta lege.  +  Articolul 1(1) Prezenta lege reglementează prelucrarea datelor cu caracter personal în scopul realizării activităților de prevenire, descoperire, cercetare, urmărire penală și combatere a infracțiunilor, de executare a pedepselor, măsurilor educative și de siguranță, precum și de menținere și asigurare a ordinii și siguranței publice de către autoritățile competente, în limitele competențelor stabilite prin lege. (2) Prelucrarea datelor cu caracter personal pentru realizarea activităților de menținere și asigurare a ordinii și siguranței publice se realizează numai dacă acestea sunt prevăzute de lege și sunt necesare pentru prevenirea unui pericol cel puțin asupra vieții, integrității corporale sau sănătății unei persoane ori a proprietății acesteia, precum și pentru combaterea infracțiunilor.  +  Articolul 2(1) Prezenta lege are ca scop protejarea drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la protecția datelor cu caracter personal. (2) Prezenta lege stabilește condițiile în care se realizează libera circulație a datelor cu caracter personal în scopul realizării activităților prevăzute la art. 1. (3) Libera circulație a datelor cu caracter personal pe teritoriul național sau în relația cu statele membre ale Uniunii Europene, circumscrisă realizării activităților prevăzute la art. 1, nu poate fi împiedicată din motive legate de protecția persoanei față de prelucrările de date cu caracter personal atât timp cât condițiile din prezenta lege sau, după caz, din Regulamentul UE 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), denumit în continuare Regulamentul general privind protecția datelor, ori din legislația națională de punere în aplicare a acestuia sunt îndeplinite.  +  Articolul 3(1) Prezenta lege se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopurile prevăzute la art. 1. (2) Prezenta lege se aplică prelucrării datelor cu caracter personal realizate integral sau parțial prin mijloace automatizate, precum și prelucrării, prin alte mijloace decât cele automatizate, a datelor cu caracter personal care fac parte dintr-un sistem de evidență a datelor sau care sunt destinate să fie incluse într-un asemenea sistem.(3) Prezenta lege nu se aplică prelucrărilor de date cu caracter personal efectuate pentru realizarea activităților din domeniul apărării naționale și securității naționale, în limitele și cu restricțiile stabilite prin legislația în materie.  +  Articolul 4În sensul prezentei legi, termenii și expresiile de mai jos au următoarele semnificații:a) date cu caracter personal - orice informații privind o persoană fizică identificată sau identificabilă, denumită în continuare persoană vizată; o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;b) prelucrare - orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;c) restricționarea prelucrării - marcarea datelor cu caracter personal stocate, cu scopul de a limita prelucrarea viitoare a acestora;d) creare de profiluri - orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special pentru a analiza sau a preconiza aspecte privind performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, corectitudinea, comportamentul, localizarea sau deplasările respectivei persoane fizice;e) pseudonimizare - prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare, în măsura în care aceste informații suplimentare sunt stocate separat și fac obiectul unor măsuri de natură tehnică și organizatorică destinate să garanteze neatribuirea unei persoane fizice identificate sau identificabile;f) sistem de evidență a datelor - orice set structurat de date cu caracter personal accesibile conform unor criterii specifice, fie ele centralizate, descentralizate sau repartizate după criterii funcționale sau geografice;g) autoritate competentă - orice autoritate publică sau orice alt organism sau entitate învestită cu exercițiul autorității de stat, competentă în materie de prevenire, descoperire, cercetare, urmărire penală și combatere a infracțiunilor sau de executare a pedepselor, inclusiv în materia menținerii și asigurării ordinii și siguranței publice;h) operator - autoritatea competentă care, singură sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele de prelucrare sunt stabilite printr-un act normativ, operatorul sau criteriile specifice pentru determinarea acestuia se stabilesc prin actul normativ de referință;i) persoană împuternicită de către operator - persoana fizică sau juridică, instituția/autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului;j) destinatar - persoana fizică sau juridică, instituția/autoritatea publică, agenția sau un alt organism căruia îi sunt transmise datele cu caracter personal, fie că aceasta este sau nu o parte terță; sunt exceptate din înțelesul definiției autoritățile competente care pot primi date cu caracter personal în cadrul unei anchete, în conformitate cu legislația aplicabilă, iar prelucrarea datelor cu caracter personal respective de către acestea respectă normele aplicabile în materie de protecție a datelor în conformitate cu scopurile prelucrării;k) încălcarea securității datelor cu caracter personal - orice eveniment, acțiune sau inacțiune ce poate provoca o încălcare a securității, care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod;l) date genetice - datele cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane fizice, care oferă informații unice privind fiziologia sau sănătatea respectivei persoane fizice, astfel cum rezultă în special în urma unei analize a unei mostre de material biologic recoltate de la acea persoană fizică;m) date biometrice - date cu caracter personal care rezultă în urma unor tehnici de prelucrare specifice, referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane fizice, care permit sau confirmă identificarea unică a respectivei persoane fizice, cum ar fi imaginile faciale sau datele dactiloscopice;n) date privind sănătatea - date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv acordarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia;o) autoritate de supraveghere - Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, desemnată potrivit Legii nr. 102/2005 privind înființarea, organizarea și funcționarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu modificările și completările ulterioare;p) organizație internațională - o organizație și organismele sale subordonate reglementate de dreptul internațional public sau orice alt organism care este instituit printr-un acord încheiat între două sau mai multe state sau în temeiul unui astfel de acord;q) interoperabilizare - operațiunea de a pune în legătură datele cu caracter personal cuprinse într-un fișier, într-o bază de date sau într-un sistem de evidență automat cu cele cuprinse într-unul sau mai multe fișiere, baze de date sau sisteme de evidență automate care sunt gestionate de operatori diferiți sau de către același operator, dar având scopuri diferite, similare sau corelate, după caz;r) evidență pasivă - fișier sau bază de date cu caracter personal constituită în scopul accesării limitate și ulterior ștergerii datelor stocate din sistemul de evidență; s) stat membru - orice stat membru al Uniunii Europene;ș) plan de remediere - anexă la procesul-verbal de constatare și sancționare a contravenției, întocmit în condițiile prevăzute la art. 62, prin care Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal stabilește măsuri și un termen de remediere;t) măsură de remediere - soluție dispusă de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal în planul de remediere în vederea îndeplinirii de către operator sau de către persoana împuternicită de acesta a obligațiilor prevăzute de lege; ț) termen de remediere - perioada de timp cuprinsă între 60 și 180 de zile de la data comunicării procesului-verbal de constatare și sancționare a contravenției, în care operatorul sau persoana împuternicită de acesta are posibilitatea remedierii neregulilor constatate și îndeplinirii obligațiilor legale.  +  Articolul 5(1) Datele cu caracter personal trebuie să fie:a) prelucrate în mod legal și echitabil;b) colectate în scopuri determinate, explicite și legitime și să nu fie prelucrate într-un mod incompatibil cu aceste scopuri;c) adecvate, relevante și neexcesive prin raportare la scopurile în care sunt prelucrate;d) exacte și, dacă este necesar, actualizate; trebuie adoptate toate măsurile rezonabile pentru a asigura faptul că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, să fie șterse sau rectificate fără întârziere;e) păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate datele respective;f) prelucrate într-un mod care să asigure securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare.(2) Datele cu caracter personal pot fi prelucrate pentru realizarea activităților prevăzute la art. 1 de către același operator sau de către alt operator într-un alt scop decât cel avut în vedere la momentul colectării datelor cu caracter personal, numai dacă sunt îndeplinite cumulativ următoarele condiții:a) operatorul este abilitat să prelucreze astfel de date cu caracter personal în scopul respectiv, în conformitate cu cadrul normativ aplicabil;b) prelucrarea este necesară și proporțională în raport cu scopul respectiv, în conformitate cu cadrul normativ aplicabil.(3) Datele cu caracter personal pot fi prelucrate de către același operator sau de către alt operator în scopul arhivării în interes public sau în scopuri științifice, statistice sau istorice legate de realizarea activităților prevăzute la art. 1 alin. (1), cu condiția instituirii unor garanții adecvate pentru drepturile și libertățile persoanelor vizate.(4) Operatorul este responsabil pentru respectarea prevederilor alin. (1)-(3) și adoptă măsuri și/sau instituie proceduri pentru a demonstra respectarea acestor prevederi.  +  Articolul 6(1) Actele normative, indiferent de nivelul de legiferare, care instituie prelucrări de date cu caracter personal în scopul realizării activităților prevăzute la art. 1, trebuie să stabilească cel puțin următoarele aspecte:a) contextul general al prelucrării și obiectivele acesteia;b) datele cu caracter personal care urmează să fie prelucrate;c) scopurile prelucrării;d) termenele de stocare generale și, după caz, specifice a datelor cu caracter personal.(2) Stabilirea termenelor specifice de păstrare este obligatorie în următoarele situații:a) prelucrarea datelor cu caracter personal referitoare la minori;b) prelucrarea categoriilor speciale de date cu caracter personal;c) prelucrarea datelor cu caracter personal a căror acuratețe nu a fost stabilită sau nu a putut fi stabilită;d) în orice altă situație în care prelucrarea presupune riscuri majore pentru persoana vizată.(3) Termenele specifice de stocare nu pot fi mai mari decât jumătate din termenul general de stocare corespunzător scopului prelucrării. (4) La împlinirea termenelor de stocare, datele cu caracter personal pot fi:a) arhivate în interes public în conformitate cu legislația specială;b) stocate în evidența pasivă pentru o durată care nu poate depăși jumătate din termenul inițial de stocare;c) distruse sau șterse prin utilizarea unor proceduri ireversibile, dacă nu se încadrează în una dintre situațiile prevăzute la lit. a) sau b).(5) Prelucrările de date cu caracter personal bazate pe utilizarea noilor tehnologii sau care sunt de natură să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice pot fi instituite în scopul realizării activităților prevăzute la art. 1 numai în temeiul unui act normativ publicat în Monitorul Oficial al României, Partea I, care să stabilească garanții necesar a fi instituite în temeiul prezentei legi.  +  Articolul 7(1) Operatorii dispun măsurile necesare în scopul evidențierii în mod distinct și structurării datelor cu caracter personal, având în vedere următoarele criterii: a) date referitoare la persoane în privința cărora există indicii temeinice că au săvârșit sau că urmează să săvârșească o infracțiune, inclusiv cele împotriva cărora a fost dispusă o măsură preventivă privativă de libertate; b) date referitoare la persoane condamnate pentru săvârșirea unei infracțiuni sau persoane față de care s-a dispus executarea unei măsuri educative sau de siguranță;c) date referitoare la persoane victime ale unei infracțiuni sau persoane în privința cărora există motive să se creadă că ar putea fi victimele unei infracțiuni;d) date referitoare la alte persoane care au legătură cu infracțiunea, precum persoane care ar putea fi chemate să depună mărturie în cadrul anchetelor legate de infracțiuni sau în cadrul procedurilor penale ulterioare sau persoane care pot oferi informații cu privire la infracțiuni sau persoane care sunt în legătură sau asociate cu persoanele prevăzute la lit. a) sau b).(2) Datele cu caracter personal prelucrate în temeiul prezentei legi sunt ordonate în funcție de gradul lor de acuratețe și exactitate. În acest scop, operatorii dispun măsurile necesare pentru realizarea unei distincții între date colectate ca urmare a constatării unor fapte, respectiv date a căror colectare se bazează pe percepția subiectivă a unor persoane fizice.(3) Operatorii dispun toate măsurile necesare pentru ca datele cu caracter personal inexacte, incomplete sau care nu sunt actualizate să nu fie transmise sau puse la dispoziția destinatarului.(4) Măsurile prevăzute la alin. (3) includ și evaluări periodice în scopul asigurării calității datelor cu caracter personal prin raportare la scopul în care au fost colectate și sunt ulterior prelucrate.(5) Termenele de evaluare sunt stabilite prin acte administrative adoptate de către operatori, cărora li se asigură o formă de publicitate. Frecvența evaluărilor este determinată de scopul în care datele cu caracter personal au fost colectate, calitatea datelor la momentul colectării, cantitatea datelor, dacă sunt prelucrate categorii speciale de date cu caracter personal. În cazul sistemelor automatizate de evidență, termenele de evaluare nu pot depăși 2 ani de la momentul colectării, respectiv de la precedenta evaluare. (6) Evaluarea calității datelor cu caracter personal este obligatorie înainte ca datele cu caracter personal să fie transmise sau puse la dispoziție altui operator.(7) În situația transmiterii de date cu caracter personal, în scopul asigurării calității datelor, operatorul poate adăuga informații care să permită autorității competente destinatare să evalueze:a) acuratețea datelor;b) caracterul integral al datelor;c) utilitatea datelor raportat la scopul prelucrării;d) dacă acestea sunt actualizate.(8) În situația unei transmiteri neconforme cu legislația în vigoare a unor date cu caracter personal sau în cazul în care se constată că datele cu caracter personal nu au calitatea necesară, operatorul este obligat să notifice de îndată destinatarul. Datele care au făcut obiectul transmiterii sunt, după caz:a) rectificate sau șterse;b) restricționate la prelucrare.(9) Restricționarea prelucrării datelor cu caracter personal prevăzută la alin. (8) se dispune doar în una dintre situațiile prevăzute la art. 18 alin. (4).  +  Articolul 8(1) Datele cu caracter personal colectate în scopul prevăzut la art. 1 nu pot fi prelucrate în alte scopuri, cu excepția cazurilor prevăzute în mod expres de lege.(2) În situațiile excepționale prevăzute la alin. (1), prelucrările suplimentare de date cu caracter personal se realizează în conformitate cu dispozițiile Regulamentului general privind protecția datelor, cu excepția activităților prevăzute la art. 3 alin. (2), situație în care se aplică dispozițiile corespunzătoare cuprinse în legi speciale.(3) Datele cu caracter personal colectate de către autoritățile competente în alte scopuri decât cele necesare îndeplinirii activităților prevăzute la art. 1 alin. (1) sunt prelucrate în conformitate cu dispozițiile Regulamentului general privind protecția datelor, cu excepția activităților prevăzute la art. 3 alin. (2), situație în care se aplică dispozițiile corespunzătoare cuprinse în legi speciale.(4) Dispozițiile alin. (3) se aplică inclusiv pentru prelucrarea datelor cu caracter personal în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice.  +  Articolul 9(1) În situația prelucrării datelor cu caracter personal sub forma transferului către destinatari, autoritatea competentă care transferă datele cu caracter personal are obligația de a informa destinatarul datelor cu caracter personal cu privire la condițiile specifice de prelucrare și obligația de a le respecta, în măsura în care astfel de condiții sunt impuse de lege.(2) Destinatarul datelor cu caracter personal are obligația respectării condițiilor specifice de prelucrare comunicate în conformitate cu prevederile alin. (1).(3) În situația transferului de date cu caracter personal către destinatari din state membre ale Uniunii Europene sau către agenții, oficii și organisme instituite în conformitate cu titlul V capitolele 4 și 5 din Tratatul privind funcționarea Uniunii Europene, nu pot fi impuse condiții specifice de prelucrare, în conformitate cu prevederile alin. (1), suplimentare față de cele prevăzute de lege pentru transferul către autorități competente din România.  +  Articolul 10Datele cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, afilierea sindicală, prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice, prelucrarea datelor privind sănătatea sau a datelor privind viața sexuală și orientarea sexuală a unei persoane fizice pot fi prelucrate numai dacă sunt strict necesare într-un caz determinat, dacă sunt instituite garanții adecvate pentru drepturile și libertățile persoanei vizate și dacă este îndeplinită una dintre următoarele condiții:a) prelucrarea este prevăzută expres de lege;b) prelucrarea este necesară pentru prevenirea unui pericol iminent cel puțin asupra vieții, integrității corporale sau sănătății persoanei vizate sau ale unei alte persoane fizice;c) prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de persoana vizată.  +  Articolul 11(1) Adoptarea unei decizii întemeiate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, care produce un efect juridic negativ pentru persoana vizată sau care o afectează în mod semnificativ este interzisă, cu excepția cazului în care prelucrarea este reglementată expres de lege, fiind prevăzute garanții adecvate pentru drepturile și libertățile persoanei vizate, inclusiv dreptul de a obține intervenția umană din partea operatorului.(2) Prelucrarea categoriilor de date cu caracter personal prevăzute la art. 10 în scopul adoptării de decizii în condițiile prevăzute la alin. (1) este interzisă, cu excepția situației în care sunt instituite măsuri corespunzătoare pentru protejarea drepturilor, a libertăților și a intereselor legitime ale persoanei vizate.(3) Crearea de profiluri care au drept rezultat discriminarea persoanelor fizice pe baza criteriilor ce determină categoriile de date prevăzute la art. 10 este interzisă.  +  Articolul 12(1) Operatorii sunt obligați să instituie măsurile organizatorice, tehnice și de procedură pentru a furniza persoanei vizate informațiile necesare potrivit prevederilor art. 13 și art. 16-21 și pentru a asigura transmiterea unui răspuns în legătură cu prelucrările desfășurate în condițiile prevăzute la art. 11 sau în legătură cu notificarea persoanelor vizate în cazul apariției unui incident de securitate, în condițiile prevederilor art. 39.(2) Răspunsul trebuie formulat într-o formă concisă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu.(3) Comunicarea informațiilor în condițiile prevăzute la alin. (2) se realizează în același format în care cererea a fost formulată, cu următoarele excepții:a) identitatea solicitantului nu poate fi stabilită cu exactitate, în condițiile prevăzute la alin. (10);b) formatul ales pentru transmiterea cererii presupune riscuri de prelucrare neautorizată sau ilegală ori de pierdere, distrugere sau deteriorare accidentală, prin raportare la cantitatea de date cu caracter personal, gradul de sensibilitate al informației, în special în situația categoriilor de date prevăzute la art. 10 ori a datelor referitoare la minori.(4) Operatorul este obligat să instituie măsuri organizatorice și de procedură în scopul facilitării exercitării drepturilor persoanei vizate în temeiul prevederilor art. 11 și art. 16-21.(5) Operatorul are obligația de a informa persoana vizată, în scris, cu privire la modul de soluționare a cererilor formulate în temeiul prezentei legi. Răspunsul se transmite în mod gratuit, în cel mult 60 de zile calendaristice.(6) În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate:a) să perceapă o taxă rezonabilă care să țină cont de costurile administrative pentru transmiterea sau comunicarea informațiilor sau pentru luarea măsurilor solicitate; saub) să refuze să dea curs cererii.(7) Cuantumul taxei prevăzute la alin. (6) lit. a) va fi stabilit, respectiv actualizat prin act administrativ emis la nivelul operatorului.(8) Caracterul nefondat sau excesiv al cererii se stabilește de la caz la caz, în funcție de următoarele criterii:a) obiectul cererii;b) caracterul repetitiv al cererii;c) existența unor prelucrări suplimentare de date cu caracter personal, prin raportare la cele desfășurate la momentul formulării cererii precedente.(9) Caracterul nefondat sau excesiv al cererii, în condițiile prevăzute la alin. (6), trebuie demonstrat de operator.(10) În cazul în care identitatea persoanei care formulează o cerere în temeiul prevederilor art. 16 sau 18 nu a putut fi stabilită cu exactitate, operatorul îi solicită acesteia informații suplimentare necesare pentru confirmarea identității.(11) Informațiile suplimentare colectate potrivit prevederilor alin. (10) nu pot fi prelucrate în niciun alt scop decât pentru confirmarea identității și se distrug în termen de 3 ani de la colectare. Operatorul poate stabili termene de păstrare mai mici.  +  Articolul 13Operatorii sunt obligați să instituie măsuri organizatorice, tehnice și de procedură în scopul punerii la dispoziția persoanelor interesate a următoarelor categorii de informații:a) identitatea și datele de contact ale operatorului;b) datele de contact ale responsabilului cu protecția datelor, după caz;c) scopurile în care sunt prelucrate datele cu caracter personal;d) dreptul de a depune o plângere la autoritatea de supraveghere și datele de contact ale acesteia;e) dreptul de a solicita operatorului acces la datele cu caracter personal referitoare la persoana vizată ori rectificarea sau ștergerea acestor date sau restricționarea prelucrării lor.  +  Articolul 14La cerere, atunci când legea nu prevede altfel, operatorul comunică persoanei vizate informațiile prevăzute la art. 13, precum și următoarele informații suplimentare:a) temeiul juridic al prelucrării;b) perioada pentru care sunt stocate datele cu caracter personal sau, în cazul în care nu este posibil, criteriile utilizate pentru a stabili perioada respectivă;c) dacă este cazul, categoriile de destinatari ai datelor cu caracter personal, inclusiv din state terțe sau organizații internaționale;d) orice alte informații suplimentare, în funcție de specificul activităților de prelucrare, în special atunci când datele cu caracter personal sunt colectate fără știrea persoanei vizate.  +  Articolul 15(1) Operatorul poate dispune, după caz, măsura amânării, restricționării sau omiterii furnizării de informații persoanei vizate în condițiile prevăzute la art. 14 numai dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei vizate, o astfel de măsură este necesară și proporțională într-o societate democratică pentru:a) evitarea obstrucționării bunei desfășurări a procesului penal;b) evitarea prejudicierii prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau a executării pedepselor;c) protejarea ordinii și siguranței publice;d) protejarea securității naționale;e) protejarea drepturilor și libertăților celorlalți.(2) Măsura amânării furnizării de informații se dispune pe o perioadă ce nu poate depăși un an, în situația în care incidența condițiilor care fac imposibilă comunicarea este limitată în timp. Măsura amânării poate fi prelungită în interiorul termenului de un an. La împlinirea termenului pentru care măsura amânării furnizării de informații a fost dispusă, operatorul transmite informațiile prevăzute de lege.(3) Persoana vizată este informată în scris, în cel mult 60 de zile calendaristice de la înregistrarea solicitării, cu privire la măsura amânării furnizării de informații și motivul dispunerii acesteia, cu privire la termenul pentru care a fost dispusă această măsură, precum și cu privire la faptul că se poate adresa autorității de supraveghere cu plângere împotriva deciziei operatorului sau poate ataca în instanță decizia operatorului.(4) Măsura restricționării furnizării de informații se dispune în situația în care incidența condițiilor care fac imposibilă comunicarea nu este limitată în timp. În situația restricționării furnizării de informații, operatorul transmite persoanei vizate un răspuns. Forma și conținutul răspunsului sunt stabilite de fiecare operator în parte.(5) Măsura omisiunii furnizării de informații se dispune în situația în care chiar și simpla informare a persoanei vizate cu privire la una sau mai multe operațiuni de prelucrare este de natură să afecteze una dintre activitățile prevăzute la alin. (1) lit. a)-d).(6) Omisiunea furnizării de informații poate să fie parțială sau totală. În situația omisiunii parțiale, persoana vizată este informată, în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, cu privire la categoriile de prelucrări care nu sunt de natură a afecta activitățile prevăzute la alin. (1). În situația omisiunii totale, operatorul transmite persoanei vizate un răspuns. Forma și conținutul răspunsului sunt stabilite de fiecare operator în parte.(7) Operatorul este obligat să țină evidența situațiilor în care a fost dispusă măsura omiterii furnizării de informații și să documenteze adoptarea acestei măsuri.(8) În luna ianuarie a fiecărui an, operatorul are obligația de a informa autoritatea de supraveghere cu privire la situația statistică a măsurilor de omisiune a furnizării de informații adoptate în anul precedent, defalcat pentru fiecare dintre activitățile prevăzute la alin. (1) lit. a)-d).  +  Articolul 16(1) Persoana vizată are dreptul de a obține de la operator, la cerere și în mod gratuit, confirmarea faptului că datele cu caracter personal care o privesc sunt sau nu sunt prelucrate de acesta.(2) Operatorul este obligat, în situația în care prelucrează date cu caracter personal care privesc persoana vizată, să comunice acesteia, în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, în condițiile prevăzute la art. 12 alin. (2) și (3), pe lângă confirmare, inclusiv datele cu caracter personal care fac obiectul prelucrării, precum și următoarele informații:a) scopurile și temeiul juridic al prelucrării;b) categoriile de date cu caracter personal vizate;c) destinatarii sau categoriile de destinatari cărora le-au fost divulgate datele cu caracter personal, în special destinatarii din state terțe sau organizații internaționale;d) acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, în cazul în care acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;e) dreptul de a solicita de la operator rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată;f) dreptul de a depune o plângere la autoritatea de supraveghere și datele de contact ale acesteia;g) comunicarea datelor cu caracter personal care sunt în curs de prelucrare și a oricărei informații disponibile cu privire la originea datelor cu caracter personal.  +  Articolul 17(1) Dispozițiile art. 16 nu se aplică dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei fizice, o astfel de măsură este necesară și proporțională într-o societate democratică pentru:a) evitarea obstrucționării bunei desfășurări a procesului penal;b) evitarea prejudicierii prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau a executării pedepselor;c) protejarea ordinii și siguranței publice;d) protejarea securității naționale;e) protejarea drepturilor și libertăților celorlalți.(2) Măsura limitării dreptului de acces poate să fie totală sau parțială și se dispune cu privire la una sau mai multe operațiuni de prelucrare în situația cărora dezvăluirea este de natură să afecteze una dintre activitățile prevăzute la alin. (1).(3) În situația prevăzută la alin. (2), persoana vizată poate fi informată cu privire la categoriile de prelucrări care nu sunt de natură a afecta activitățile prevăzute la alin. (1), motivul adoptării acestei măsuri, precum și cu privire la posibilitatea de a depune o plângere la autoritatea de supraveghere sau de a se adresa instanței.(4) Prin excepție de la dispozițiile alin. (3), motivul adoptării măsurii de limitare a dreptului de acces nu se comunică în situația în care dezvăluirea acestuia este de natură să afecteze una dintre activitățile prevăzute la alin. (1) lit. a)-d).(5) Operatorul este obligat să țină evidența cazurilor în care a fost dispusă măsura de limitare a dreptului de acces și să documenteze adoptarea acestei măsuri.(6) În luna ianuarie a fiecărui an, operatorul are obligația de a informa autoritatea de supraveghere cu privire la situația statistică a cazurilor în care a fost adoptată măsura de limitare a dreptului de acces în anul precedent, defalcat pentru fiecare dintre activitățile prevăzute la alin. (1).  +  Articolul 18(1) Persoana vizată are dreptul de a obține de la operator, la cerere și în mod gratuit, rectificarea datelor cu caracter personal inexacte care o privesc.(2) Persoana vizată are dreptul de a solicita completarea datelor cu caracter personal care o privesc, inclusiv prin furnizarea unei declarații suplimentare.(3) Operatorul are obligația de a șterge, prin proceduri ireversibile, din oficiu sau la cererea persoanei vizate, datele cu caracter personal a căror prelucrare nu este conformă dispozițiilor art. 1 alin. (2), art. 5 sau 10 ori care trebuie șterse în virtutea îndeplinirii unei obligații prevăzute expres de lege.(4) Operatorul are obligația de a restricționa prelucrarea datelor cu caracter personal, și nu de a le șterge, în cazul în care este incidentă una dintre următoarele situații:a) exactitatea datelor cu caracter personal este contestată de persoana vizată, iar exactitatea sau inexactitatea datelor respective nu poate fi stabilită cu certitudine;b) datele cu caracter personal trebuie să fie păstrate ca mijloace de probă.(5) Operatorul este obligat să comunice persoanei vizate, în condițiile art. 12 alin. (2)-(4), în termen de cel mult 60 de zile calendaristice de la înregistrarea solicitării, confirmarea sau, după caz, infirmarea soluționării cererilor formulate potrivit prevederilor alin. (1), (2) sau (3), motivele pe care se întemeiază măsura infirmării, precum și faptul că se poate adresa cu plângere la autoritatea de supraveghere sau poate ataca în instanță decizia operatorului.(6) Termenul prevăzut la alin. (5) poate fi prelungit cu până la 60 de zile calendaristice, în măsura în care soluționarea cererilor necesită proceduri complexe, în special consultarea unor autorități competente din străinătate. Persoana vizată este informată cu privire la prelungirea termenului înainte de expirarea termenului inițial.(7) Ridicarea restricționării prelucrării instituite potrivit prevederilor alin. (4) lit. a) se realizează de către operator, concomitent cu notificarea persoanei vizate cu privire la măsura adoptată.(8) Dispozițiile alin. (5) nu se aplică dacă, ținând seama de drepturile fundamentale și interesele legitime ale persoanei fizice, o astfel de măsură este necesară și proporțională într-o societate democratică pentru:a) a evita obstrucționarea bunei desfășurări a procesului penal;b) a nu prejudicia prevenirea, descoperirea, cercetarea, urmărirea penală și combaterea infracțiunilor sau executarea pedepselor;c) a proteja ordinea și siguranța publică;d) a proteja securitatea națională;e) a proteja drepturile și libertățile celorlalți.  +  Articolul 19(1) În situația rectificării datelor cu caracter personal potrivit prevederilor art. 18 alin. (1), operatorul are obligația să verifice modul în care acestea au fost colectate.(2) În cazul în care datele cu caracter personal au fost colectate prin transfer de la o autoritate competentă, operatorul are obligația să transmită acesteia o notificare cu privire la rectificarea datelor.(3) În situația rectificării, ștergerii ori restricționării datelor cu caracter personal potrivit prevederilor art. 18 alin. (1), (3) sau (4), operatorul are obligația să verifice dacă acestea au fost transmise unui destinatar anterior rectificării.(4) În cazul în care datele cu caracter personal au fost transmise unui destinatar anterior rectificării, operatorul are obligația să transmită acestuia o notificare cu privire la rectificarea, ștergerea ori restricționarea prelucrării datelor cu caracter personal, după caz.(5) Destinatarul situat pe teritoriul României ori căruia i se aplică legea română are obligația de a dispune o măsură similară celei cu privire la care a fost notificat, cu excepția incidenței, în cazul ștergerii ori restricționării datelor cu caracter personal, a uneia dintre următoarele situații:a) datele sunt necesare pentru prevenirea, descoperirea, cercetarea, urmărirea penală și combaterea infracțiunilor ori executarea pedepselor, altele decât cele pentru care au fost transmise;b) datele sunt necesare pentru derularea altor proceduri judiciare sau administrative direct legate de prevenirea, descoperirea, cercetarea, urmărirea penală și combaterea infracțiunilor ori executarea pedepselor;c) datele sunt necesare pentru prevenirea unui pericol iminent și grav la adresa ordinii și siguranței publice.(6) În situația incidenței vreuneia dintre situațiile prevăzute la alin. (5) lit. a)-c), persoana vizată este informată cu aplicarea, după caz, a dispozițiilor art. 14, cu privire la măsura adoptată, motivele pe care se întemeiază măsura infirmării, precum și cu privire la faptul că se poate adresa cu plângere autorității de supraveghere sau poate ataca în instanță decizia operatorului.  +  Articolul 20(1) În situațiile prevăzute la art. 15, art. 17 alin. (3) sau art. 19 alin. (6), persoana vizată se poate adresa autorității de supraveghere pentru exercitarea drepturilor prevăzute de lege.(2) Operatorul are obligația de a informa persoana vizată cu privire la posibilitatea prevăzută la alin. (1).(3) În situația prevăzută la alin. (1), autoritatea de supraveghere întreprinde măsurile necesare potrivit atribuțiilor sale legale.(4) Autoritatea de supraveghere informează persoana vizată cu privire la aspectele constatate, precum și cu privire la posibilitatea de a se adresa instanței de judecată.  +  Articolul 21Art. 13, 16 și 18 se aplică inclusiv în cazul în care datele cu caracter personal sunt cuprinse în hotărâri judecătorești, în cazierul judiciar sau în cadrul procesului penal, cu excepția situațiilor expres prevăzute de lege.  +  Articolul 22(1) Operatorul, ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de gradul de ingerință în drepturile și libertățile persoanelor fizice, este obligat să aplice măsurile tehnice și organizatorice adecvate pentru a asigura și a fi în măsură să demonstreze efectuarea prelucrării în conformitate cu prezenta lege.(2) Măsurile adoptate potrivit prevederilor alin. (1) trebuie să fie proporționale cu operațiunile de prelucrare realizate de către operator și includ politici corespunzătoare de protecție a datelor cu caracter personal.  +  Articolul 23(1) În scopul punerii în aplicare în mod eficient a principiilor de protecție a datelor cu caracter personal, precum și pentru reducerea la minimum a prelucrărilor de date cu caracter personal, dar și în scopul integrării garanțiilor necesare în cadrul prelucrării, pentru a îndeplini cerințele prezentei legi și pentru a proteja drepturile persoanelor vizate, operatorul este obligat ca, la momentul stabilirii mijloacelor de prelucrare, precum și la cel al prelucrării efective, să pună în aplicare măsuri tehnice și organizatorice adecvate, având în vedere:a) stadiul actual al tehnologiei;b) costurile de punere în aplicare;c) natura, domeniul de aplicare, contextul și scopurile prelucrării;d) riscurile cu grade diferite de probabilitate și de gravitate la adresa drepturilor și libertăților persoanelor fizice pe care le prezintă prelucrarea.(2) Pentru îndeplinirea obiectivelor prevăzute la alin. (1), operatorul evaluează, la momentul stabilirii mijloacelor de prelucrare, în scopul identificării măsurilor tehnice și organizatorice adecvate, cel puțin posibilitatea introducerii unei soluții de pseudonimizare ori a unei alte soluții tehnice cu efect similar.(3) Operatorul are obligația de a pune în aplicare măsuri tehnice și organizatorice adecvate prin care să se asigure că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării.(4) Obligația prevăzută la alin. (3) vizează:a) volumul de date cu caracter personal colectate;b) gradul de prelucrare a acestora;c) perioada de stocare;d) accesibilitatea acestora.(5) Prin măsurile dispuse potrivit prevederilor alin. (3) și (4), operatorul trebuie să se asigure că datele cu caracter personal nu sunt accesibile, fără intervenție umană, unui număr nedefinit de utilizatori.  +  Articolul 24(1) Operatorii asociați se desemnează printr-un act normativ, în cuprinsul căruia se stabilesc, în comun, scopurile și mijloacele de prelucrare a datelor cu caracter personal.(2) Actul normativ prevăzut la alin. (1) trebuie să cuprindă o delimitare a responsabilităților ce revin fiecăruia dintre operatorii asociați în condițiile prezentei legi.(3) Actul normativ prevăzut la alin. (1) trebuie să cuprindă cel puțin următoarele aspecte:a) modalitatea de exercitare a drepturilor persoanelor vizate, în raport cu oricare dintre operatori;b) îndatoririle fiecăruia dintre operatorii asociați cu privire la furnizarea informațiilor prevăzute la art. 13;c) punctul de contact unic pentru persoanele vizate.(4) În situația în care scopurile și mijloacele de prelucrare nu sunt stabilite prin act normativ, responsabilitățile ce revin în condițiile prezentei legi operatorilor asociați pot fi stabilite prin intermediul unui act juridic. Acesta trebuie să cuprindă elementele prevăzute la alin. (3) și este supus obligației de punere la dispoziția persoanelor vizate. Obligația de punere la dispoziție trebuie îndeplinită cu minimum 5 zile înainte de intrarea în vigoare a respectivului act juridic.  +  Articolul 25(1) Desemnarea persoanelor împuternicite de către operator este posibilă doar dacă există suficiente garanții pentru punerea în aplicare a măsurilor tehnice și organizatorice adecvate, astfel încât prelucrarea să îndeplinească cerințele prezentei legi și să asigure protecția drepturilor persoanei vizate.(2) Desemnarea, de către o persoană împuternicită de către operator, a unei alte persoane împuternicite în scopul realizării uneia sau mai multor operațiuni de prelucrare nu este posibilă decât cu acordul scris al operatorului. Acordul scris poate fi emis doar dacă sunt îndeplinite condițiile prevăzute la alin. (1).(3) Persoana împuternicită de către operator are obligația de a informa operatorul cu privire la orice modificări preconizate privind adăugarea sau înlocuirea altor persoane împuternicite de către operator.(4) Desemnarea prevăzută la alin. (1) sau, după caz, alin. (2) se realizează prin intermediul unui contract sau protocol încheiat între părți, care trebuie să detalieze:a) obiectul și durata prelucrării;b) natura și scopul prelucrării;c) tipul de date cu caracter personal și categoriile de persoane vizate;d) obligațiile și drepturile operatorului.(5) Protocolul sau, după caz, contractul prevăzut la alin. (4) se pune la dispoziția persoanelor vizate și trebuie să stabilească în sarcina persoanei împuternicite de către operator următoarele obligații:a) să acționeze numai la instrucțiunile operatorului;b) să garanteze faptul că persoanele autorizate să prelucreze date cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate corespunzătoare;c) să asiste operatorul prin orice mijloace adecvate pentru a asigura respectarea dispozițiilor privind drepturile persoanei vizate;d) să șteargă sau să returneze, din dispoziția operatorului, toate datele cu caracter personal după încetarea furnizării serviciilor de prelucrare a datelor cu caracter personal și să elimine copiile existente, cu excepția cazului în care există o dispoziție legală expresă care îl abilitează să stocheze în continuare datele;e) să pună la dispoziția operatorului toate informațiile necesare pentru a demonstra respectarea dispozițiilor prezentului articol;f) să respecte condițiile prevăzute la alin. (2)-(4) pentru recrutarea unei alte persoane împuternicite de către operator.(6) Protocolul sau, după caz, contractul prevăzut la alin. (4) poate fi pus la dispoziția persoanelor vizate, la cerere, în format electronic.(7) Persoana împuternicită de către operator este considerată operator în cazul în care, prin încălcarea dispozițiilor prezentei legi, aceasta stabilește scopurile și mijloacele de prelucrare pentru datele cu caracter personal puse la dispoziție de către operator.(8) În situația prevăzută la alin. (7), operatorul este exonerat de răspundere numai în situația în care demonstrează că persoana împuternicită de operator a acționat cu rea-credință.  +  Articolul 26(1) Se interzice persoanei împuternicite de către operator să prelucreze datele cu caracter personal cu depășirea instrucțiunilor primite de la operator, cu excepția situațiilor prevăzute expres de lege.(2) Orice persoană care acționează sub autoritatea operatorului sau a persoanei împuternicite de către operator, care are acces la date cu caracter personal, nu poate să le prelucreze decât pe baza instrucțiunilor operatorului, cu excepția situațiilor prevăzute expres de lege.  +  Articolul 27(1) Operatorul este obligat să țină evidența tuturor categoriilor de activități de prelucrare aflate în responsabilitatea sa.(2) Evidența prevăzută la alin. (1) cuprinde următoarele informații:a) denumirea și datele de contact ale operatorului și, după caz, ale operatorului asociat și ale responsabilului cu protecția datelor;b) scopul sau scopurile prelucrării;c) categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din țări terțe sau organizații internaționale;d) o descriere a categoriilor de persoane vizate și a categoriilor de date cu caracter personal care sunt prelucrate;e) dacă este cazul, mențiuni cu privire la desfășurarea activității de creare de profiluri;f) dacă este cazul, categoriile de transferuri de date cu caracter personal către un stat terț sau o organizație internațională;g) indicarea temeiului juridic al operațiunii de prelucrare, inclusiv al transferurilor de date cu caracter personal efectuate;h) dacă este posibil, termenele-limită preconizate pentru ștergerea diferitelor categorii de date cu caracter personal;i) dacă este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la art. 35.  +  Articolul 28(1) Persoana împuternicită de către operator este obligată să țină evidența tuturor categoriilor de activități de prelucrare aflate în responsabilitatea sa.(2) Evidența prevăzută la alin. (1) cuprinde următoarele informații:a) numele și datele de contact ale persoanei sau persoanelor împuternicite de către operator, ale fiecărui operator în numele căruia acționează această persoană și, după caz, cele ale responsabilului cu protecția datelor cu caracter personal;b) categoriile de activități de prelucrare desfășurate în numele fiecărui operator;c) după caz, transferurile de date cu caracter personal către un stat terț sau către o organizație internațională, inclusiv indicarea statului terț sau a organizației internaționale respective, atunci când au primit instrucțiuni explicite în acest sens de la operator;d) dacă este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la art. 35.  +  Articolul 29(1) Evidențele prevăzute la art. 27 și 28 se păstrează în format hârtie și în format electronic.(2) Operatorul și persoana împuternicită de către operator au obligația de a pune la dispoziția autorității de supraveghere, la solicitarea acesteia, evidențele prevăzute la art. 27 și 28.  +  Articolul 30(1) Operatorul sau persoana împuternicită de către operator este obligat/obligată să înregistreze, în cadrul sistemelor de prelucrare automată, toate operațiunile de prelucrare a datelor cu caracter personal.(2) Înregistrările prevăzute la alin. (1) trebuie să conțină cel puțin următoarele informații:a) tipul operațiunii de prelucrare;b) codul de identificare a utilizatorului și a stației de lucru folosite;c) numele fișierului accesat;d) numărul operațiunilor de prelucrare efectuate;e) codul operației executate sau programul folosit;f) data accesului - an, lună, zi, cu precizarea inclusiv a orei și minutului la care a fost efectuată prelucrarea.(3) În cazul operațiunilor de prelucrare sub forma consultării sau divulgării este obligatorie înregistrarea motivului prelucrării care trebuie să permită identificarea documentului/situației concrete care a stat la bază și a justificat prelucrarea datelor cu caracter personal și, după caz, a destinatarilor datelor cu caracter personal.(4) Înregistrările prevăzute la alin. (1) pot fi utilizate doar în următoarele situații:a) verificarea legalității prelucrării;b) monitorizare proprie realizată de către operator sau, după caz, de către persoana împuternicită de către operator;c) asigurarea integrității și a securității datelor cu caracter personal;d) în cadrul unor proceduri penale, în condițiile și cu restricțiile impuse de lege.(5) Responsabilul cu protecția datelor cu caracter personal, în realizarea atribuțiilor sale, are acces la înregistrările prevăzute la alin. (1).(6) Înregistrările prevăzute la alin. (1) se pun la dispoziția autorității de supraveghere, la cererea acesteia.  +  Articolul 31Operatorul sau, după caz, persoana împuternicită de către operator este obligată să coopereze cu autoritatea de supraveghere, la cererea acesteia, și să dispună orice măsură necesară îndeplinirii sarcinilor acesteia.  +  Articolul 32