Proiect de lege pentru aplicarea GDPR în România – Partea a doua

Recent a fost înregistrat la Senat un proiect de lege privind măsurile de punere în aplicare a Regulamentului UE 2016/679 al Parlamentului European și Consiliului din 27 aprilie 2016 privind protecția datelor cu caracter personal și libera circulație a acestor date și de abrogare a Directivei 95/46/EC (Regulamentul general privind protecția datelor – “GDPR”). Redăm în continuare aspectele cu relevanță practică ale acestui nou Proiect.

Proiectul a fost depus la Senat și este în proces de consultare publică până pe 13 mai 2018.

Dispoziții generale

Proiectul aduce noutăți, printre altele, cu privire la: (a) prelucrarea codului numeric personal (CNP); (b) supravegherea video a angajaților, (c) prelucrarea datelor genetice, biometrice sau de sănătate; (d) aplicarea GDPR.

În articolul de luni, 2 aprilie 2018, v-am prezentat prevederile referitoare la (a) CNP și continuăm astăzi acest subiect cu detalierea prevederile referitoare la punctele (b) – (d).

(b) Supravegherea video a angajaților

În cazul monitorizării angajaților prin sisteme video, operatorul trebuie să îndeplinească următoarele condiții în mod cumulativ:

• Angajatorul trebuie sa aibă interese legitime temeinic justificate care să vizeze activități de importanță deosebită și care prevalează asupra intereselor / drepturilor angajaților.
• Angajatorul trebuie să îi informeze explicit și complet pe angajați înaintea implementării măsurii.
• Angajatorul trebuie să consulte sindicatul / reprezentanții angajaților înainte de implementare.
• Angajatorul a folosit anterior alte modalități de atingere a scopului urmărit, dar acestea nu și-au dovedit eficiența.
• Datele trebuie stocate pentru o perioadă proporțională cu scopul urmărit, iar aceasta nu poate depăși 30 zile, cu excepția cazurilor prevăzute de lege sau a cazurilor temeinic justificate.

(c) Prelucrarea datelor genetice, biometrice sau de sănătate

Proiectul prevede că prelucrarea datelor genetice, biometrice sau a datelor privind sănătatea în scopul realizării unui proces decizional automatizat sau pentru crearea de profiluri este interzisă, cu excepția cazului când aceasta este făcută de către o autoritate publică sau sub controlul unei astfel de autorități. Interdicția nu poate fi ridicată prin consimțământul persoanei vizate.

(d) Aplicarea GDPR

Proiectul mai prevede că GDPR se aplică plângerilor depuse la autoritatea de supraveghere începând cu data de 25 mai 2018, dar și celor care au fost depuse înainte de această dată și care sunt în curs de soluționare, sub toate aspectele, inclusiv cu privire la procedura de investigație și la sancțiuni. Cu toate acestea, dacă GDPR prevede o sancțiune mai mare decât legislația anterioară, fapta va fi sancționată conform dispozițiilor în vigoare la data săvârșirii ei.