GDPR

Regulamentul (UE) 2016/679 nu se aplică prelucrării datelor cu caracter personal:

– în cadrul unei activități care nu intră sub incidența dreptului Uniunii;

– de către statele membre atunci când desfășoară activități legate de
politica externă și de securitatea comună a Uniunii;

– de către o persoană fizică în cadrul unei activități exclusiv personale sau domestice;

– de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor, al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora; acestea sunt reglementate de Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului, care a fost implementată prin Legea nr. 363/2018 privind protecţia persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autorităţile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale şi combaterii infracţiunilor sau al executării pedepselor, măsurilor educative şi de siguranţă, precum şi privind libera circulaţie a acestor date.
(art. 2 din RGPD)

Operator înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal. Atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern.

Operatori asociați sunt doi sau mai mulți operatori care stabilesc în comun scopurile și mijloacele de prelucrare.
Operatorii asociați stabilesc într-un mod transparent responsabilitățile fiecăruia în ceea ce privește îndeplinirea obligațiilor care le revin în temeiul Regulamentului, în special în ceea ce privește exercitarea drepturilor persoanelor vizate și îndatoririle fiecăruia de furnizare a informațiilor prevăzute la articolele 13 și 14, prin intermediul unui acord între ei, cu excepția cazului și în măsura în care responsabilitățile operatorilor sunt stabilite în dreptul Uniunii sau în dreptul intern care se aplică acestora.

Persoana împuternicită de operator înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului.
Prelucrarea datelor efectuată de către o persoană împuternicită de operator este reglementată de art. 28 din RGPD.

Obligațiile pe care le au operatorii de date cu caracter personal sunt reglementate în Capitolul IV din Regulamentul (UE) 2016/679.
Printre principalele obligații ale operatorului în aplicarea Regulamentului se numără:
 respectarea principiilor de prelucrare a datelor (art. 5 din Regulament);
 respectarea drepturilor persoanelor fizice (art. 12-23 din Regulament);
 asigurarea securității datelor (art. 25 și art. 32 din Regulament);
 desemnarea unui responsabil cu protecția datelor (art. 37-39 din Regulament), după caz;
 notificarea încalcărilor de securitate (art. 33 din Regulament), după caz;
 evaluarea impactului asupra protecției datelor și respectarea drepturilor persoanelor fizice (art. 35 din Regulament), după caz;
 cartografierea prelucrărilor de date cu caracter personal (art. 30 din Regulament).
Pentru mai multe informații se poate accesa Ghidul orientativ de aplicare a Regulamentului general privind protecția datelor emis de Autoritatea Națională de Supraveghere.
Pot fi accesate și următoarele ghiduri emise de Comitetul European pentru Protecția Datelor:
 Ghidul privind responsabilul pentru protecția datelor;
 Ghidul privind evaluarea de impact;
 Ghidul privind notificarea încălcărilor de securitate;
 Ghidul privind dreptul la portabilitatea datelor;
 Ghidul privind deciziile automate individuale și profilare;
 Ghidul privind transparența;
 Ghidul privind consimțământul.

Contractul sau actul juridic prevede în special că persoană împuternicită de operator:
 prelucrează datele cu caracter personal numai pe baza unor instrucţiuni documentate din partea operatorului, inclusiv în ceea ce priveşte transferurile de date cu caracter personal către o ţară terţă sau o organizaţie internaţională, cu excepţia cazului în care această obligaţie îi revine persoanei împuternicite în temeiul dreptului Uniunii sau al dreptului intern care i se aplică;
 se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidenţialitatea sau au o obligaţie statutară adecvată de confidenţialitate;
 adoptă măsuri tehnice și organizatorice adecvate;
 respectă condiţiile privind recrutarea unei alte persoane împuternicite de operator;
 oferă asistenţă operatorului prin măsuri tehnice şi organizatorice adecvate, în măsura în care acest lucru este posibil, pentru îndeplinirea obligaţiei operatorului de a răspunde cererilor privind exercitarea de către persoana vizată a drepturilor sale;
 ajută operatorul să asigure respectarea obligaţiilor pe care acesta le are, în aplicarea Regulamentului;
 şterge sau returnează operatorului toate datele cu caracter personal după încetarea furnizării serviciilor legate de prelucrare şi elimină copiile existente, cu excepţia cazului în care dreptul Uniunii sau dreptul intern impune stocarea datelor cu caracter personal;
 pune la dispoziţia operatorului toate informaţiile necesare pentru a demonstra respectarea obligaţiilor sale, permite desfăşurarea auditurilor, inclusiv a inspecţiilor, efectuate de operator sau alt auditor mandatat şi contribuie la acestea.

Desemnarea responsabilului cu protecția datelor este obligatorie atunci când:
 prelucrarea este efectuată de o autoritate sau un organism public, cu excepția instanțelor care acționează în exercițiul funcției lor jurisdicționale;
 Autoritățile și organismele publice sunt: Camera Deputaților și Senatul, Administrația Prezidențială, Guvernul, ministerele, celelalte organe de specialitate ale administrației publice centrale, autoritățile și instituțiile publice autonome, autoritățile administrației publice locale și deja nivel județean, alte autorități publice, precum și instituțiile din Subordinea/coordonarea acestora; de asemenea, sunt asimilate autorităților/organismelor publice și unitățile de cult și asociațiile și fundațiile de utilitate publică – art. 2 alin. (1) lit. a) și art. 10 din Legea nr. 190/2018.
 activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în operațiuni de prelucrare care, prin natura, domeniul de aplicare și/sau scopurile lor, necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă;
 activitățile principale ale operatorului sau ale persoanei împuternicite de operator constau în prelucrarea pe scară largă a unor categorii speciale de date sau a unor date cu caracter personal privind condamnări penale și infracțiuni (art. 37 alin. (1) din Regulament);
 în alte cazuri decât cele mai sus menţionate, operatorul sau persoana împuternicită de operator ori asociaţiile şi alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot desemna sau, acolo unde dreptul Uniunii sau dreptul intern solicită acest lucru, desemnează un responsabil cu protecţia datelor. Responsabilul cu protecţia datelor poate să acţioneze în favoarea unor astfel de asociaţii şi alte organisme care reprezintă operatori sau persoane împuternicite de operatori.
Pentru mai multe informații puteți accesa Ghidul privind responsabilul cu protecția datelor emis de Comitetul European pentru Protecția Datelor.