Guvernul a aprobat proiectul de lege privind protecția datelor cu caracter personal, inclusiv pentru ajustarea la legislația europeană în domeniu. În noua lege apar două noțiuni noi pentru moldoveni – pseudonimizare și dreptul de a fi uitat. Astfel, conform autorităților, va fi asigurat un nivel mai înalt de securitate la prelucrarea acestora.

Documentul stabilește cadrul juridic referitor la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal. De asemenea, este descris modul de organizare și funcționare a Centrului Național pentru Protecția Datelor cu Caracter Personal (CNPDCP), instituție ce va monitoriza implementarea legislației în domeniu.

În noua lege este introdusă mai explicit noțiunea de „pseudonimizare” - prelucrarea datelor cu caracter personal se va realiza într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane. Autoritățile declară că aplicarea acestei norme va reduce riscurile pentru persoanele vizate și va ajuta operatorii să își îndeplinească mai facil obligațiile de protecție a datelor. Totodată, pentru a consolida „dreptul de a fi uitat” în mediul online, operatorul care a făcut publice date personale are obligația de a-i informa pe cei care le prelucrează să șteargă orice copii sau linkuri către acestea.

Dreptul de a fi uitat este reglementat de Regulamentul UE nr. 679/2016 (RGPD) și reprezintă dreptul persoanei vizate de a obține ștergerea datelor cu caracter personal deținute de un operator, chiar și în cazul în care acestea au fost obținute în mod legal de către operator. 

Cererea de ștergere formulată de persoana vizată trebuie să îndeplinească anumite condiții prevăzute de RGPD și aceasta trebuie analizată ținând cont de necesitatea protejării drepturilor persoanei vizate și de interesul operatorului care prelucrează aceste informații.

Izvorul actualei reglementări a dreptului de a fi uitat în RGPD, l-a constituit decizia Curții de Justiție a Uniunii Europene în cauza Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario Costeja González” pronunțată în 2014 (C-131/12). În această cauză, persoana vizată a solicitat eliminarea din lista de rezultate, ce apăreau atunci când era folosit motorul de căutare Google, a anunțurilor ce vizau scoaterea la licitație publică a casei acestuia pentru acoperirea unor datorii la asigurările sociale. Deși acest eveniment a fost prezentat în presă cu mai mult de 10 ani înainte de formularea plângerii de către persoana în cauză și deși datoriile fuseseră achitate, aceste anunțuri continuau să cauzeze persoanei prejudicii de imagine. Astfel, CJUE a decis că reclamantul are dreptul să solicite eliminarea rezultatelor afișate de motorul de căutare Google, privind persoana sa. 

Cine poate beneficia de dreptul de a fi uitat

Dreptul de a fi uitat aparține persoanei fizice a cărei date personale sunt supuse prelucrării. Art. 17 din Regulament prevede situațiile în care persoana vizata poate obține ștergerea datelor sale, și anume:

1.În cazul în care datele cu caracter personal nu mai sunt necesare pentru îndeplinirea scopurilor pentru care au fost colectate sau prelucrate;

Scopul prelucrării datelor constituie o informație pe care operatorul este obligat să o furnizeze persoanei vizate, potrivit art. 13 alin. (1) lit. c) din RGPD, iar în funcție de acest scop operatorul va trebui să stabilească perioada de retenție a datelor. Prin urmare, cunoașterea scopurilor prelucrării va ajuta persoana vizată să aprecieze perioada pentru este necesară păstrarea datelor și oportunitatea formulării cererii de ștergere.

2.În cazul în care persoana vizată își retrage consimțământul pe baza căruia are loc prelucrarea și când nu există niciun alt temei juridic pentru prelucrare;

Ne putem imagina situația în care la un moment dat ne-am creat un cont pe o rețea socială și după o anumită perioadă de timp dorim să renunțam la prezența noastră pe această rețea socială. În această situație avem dreptul de a-i cere entității care administrează platforma de socializare și care ne prelucrează datele personale să șteargă aceste date. De reținut că retragerea consimțământului nu afectează legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia.

3.Dacă persoana vizată își exercită dreptul de opoziție. 

Se poate solicita ștergerea datelor personale dacă prelucrarea se bazează pe interesul legitim al operatorului, însă prevalează necesitatea respectării drepturilor persoanei vizate. Astfel, așa cum a observat și CJUE în hotărârea din cauza Google Spain v. Mario Costeja González dreptul de a solicita eliminarea din lista de rezultate a motorului de căutare implică exercitarea a două drepturi (dreptul la opoziție și dreptul la ștergerea datelor). 

4.Dacă datele cu caracter personal au fost prelucrate ilegal, adică nu au fost prelucrate conform prevederilor RGPD. Spre exemplu, în cazul în care consimțământul persoanei vizate pentru a primi mesaje de marketing a fost condiționat de accesul la anumite servicii, prelucrarea datelor în aceste condiții nu respectă exigențele RGPD întrucât consimțământul nu a fost liber exprimat.

5.În cazul în care datele cu caracter personal trebuie șterse pentru respectarea unei obligații legale care revine operatorului în temeiul dreptului Uniunii sau al dreptului intern sub incidența căruia se află operatorul. 

6.Atunci când datele cu caracter personal au fost colectate în legătură cu oferirea de servicii ale societății informaționale către un copil. 

Este posibil ca persoana vizată, fiind copil la momentul exprimării consimțământului, să nu fi putut aprecia pe deplin de toate implicațiile viitoare ale prelucrării datelor sale.  

Când nu poate fi utilizat dreptul de a fi uitat

RGPD prevede și cazuri în care operatorul nu este obligat să dea curs unei cereri de ștergere. Acestea sunt:

a.Cazul în care prelucrarea datelor este necesară pentru exercitarea dreptului la libertatea de exprimare și de informare. 

Legea nr. 190/2018 privind unele măsuri de punere în aplicare a Regulamentului nr. 679/2016 prevede, la art. 7, că în vederea asigurării unui echilibru între dreptul la protecția datelor cu caracter personal, libertatea de exprimare și dreptul la informație, prelucrarea în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare poate fi efectuată, dacă aceasta privește date cu caracter personal care au fost făcute publice în mod manifest de către persoana vizată sau care sunt strâns legate de calitatea de persoană publică a persoanei vizate ori de caracterul public al faptelor în care este implicată, prin derogare de la dispozițiile privind drepturile persoanelor vizate. Astfel, o investigație jurnalistică asupra unei persoane care deține o funcție publică și asupra căreia există informații cum că ar fi săvârșit fapte de corupție poate constitui o situație în care dreptul la informare a publicului prevalează în fața dreptului persoanei investigate de a obține ștergerea datelor.

b.Pentru respectarea unei obligații legale care prevede prelucrarea în temeiul dreptului Uniunii sau al dreptului intern care se aplică operatorului sau pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării unei autorități oficiale cu care este învestit operatorul;

Dreptul la ștergere nu poate fi exercitat atunci când legea prevede necesitatea păstrării unor informații un anumit termen. Spre exemplu, legislația muncii impune angajatorilor să păstreze datele despre angajați o anumită  perioadă  de timp (de ex. dosarele de personal se păstrează timp de 75 de ani).

c.Din motive de interes public în domeniul sănătății publice. 

Aceste motive pot avea în vedere prelucrările legate de medicina preventivă sau medicina muncii, de evaluarea capacității de muncă a angajatului, de furnizarea de asistență medicală.

d.În scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice în măsura în care exercitarea dreptului la ștergere este susceptibil să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective.

e.Pentru constatarea, exercitarea sau apărarea unui drept în instanță. Astfel, în cazul în care există un litigiu, una dintre părți nu ar putea să solicite ștergerea datelor care reprezintă probe în dosar. 

În același timp, noua lege descrie și sancțiunile aplicate pentru încălcările legislației de profil. Orice persoană care consideră că i-a fost încălcat dreptul cu privire la protecția datelor cu caracter personal poate depune o plângere la CNPDCP timp de un an de la data constatării încălcării. Amenzile pentru operatori se pot ridica la 1 milion de lei sau până la 1% din cifra de afaceri, în cazul unei întreprinderi.