Centrul Naţional pentru Protecţia Datelor cu Caracter Personal \rOrdin nr.25 din 10.07.2024 cu privire la aprobarea Regulamentului privind controlul legalităţii prelucrării datelor cu caracter personal

CENTRUL NAŢIONAL PENTRU PROTECŢIA

DATELOR CU CARACTER PERSONAL

O R D I N

cu privire la aprobarea Regulamentului privind controlul

legalităţii prelucrării datelor cu caracter personal

nr. 25  din  10.07.2024

 (în vigoare 25.07.2024) 

Monitorul Oficial al R. Moldova nr. 318-320 art. 594 din 25.07.2024

* * *

Abrogat: 16.09.2026

Ordinul Centrului Naţional pentru Protecţia Datelor cu Caracter Personal nr.48 din 09.09.2026

În conformitate cu prevederile art.26 alin.(2) din Legea nr.133/2011 privind protecţia datelor cu caracter personal (Monitorul Oficial al Republicii Moldova nr.170-175/492 din 14.10.2011),

ORDON:

1. Se aprobă Regulamentul privind controlul legalităţii prelucrării datelor cu caracter personal (se anexează).

2. Ordinul nr.14/2014 privind aprobarea Regulamentului privind controlul legalităţii prelucrărilor de date cu caracter personal (Monitorul Oficial al Republicii Moldova nr.153-159/814 din 13.06.2014), se abrogă.

3. Prezentul ordin intră în vigoare la data publicării în Monitorul Oficial al Republicii Moldova.

Aprobat

prin Ordinul Directorului Centrului

Naţional pentru Protecţia Datelor

cu Caracter Personal nr.25/2024

REGULAMENT

privind controlul legalităţii prelucrării datelor cu caracter personal

I. DISPOZIŢII GENERALE

1. Regulamentul privind controlul legalităţii prelucrării datelor cu caracter personal (în continuare - Regulament) este elaborat în scopul implementării prevederilor art.26 alin.(2) din Legea nr.133/2011.

2. Regulamentul stabileşte, sub aspect juridic şi instituţional, activitatea de control efectuată de către Centrul Naţional pentru Protecţia Datelor cu Caracter Personal (în continuare - CNPDCP) şi condiţiile de efectuare a cercetării la faţa locului.

3. În sensul prezentului Regulament se aplică noţiunile definite în Legea nr.133/2011.

II. SCOPUL ŞI CONDIŢIILE DE DESFĂŞURARE A CONTROLULUI

4. Controlul legalităţii prelucrării datelor cu caracter personal (în continuare - control) are drept scop verificarea corespunderii prelucrării datelor cu caracter personal efectuate de către operator sau persoana împuternicită de către acesta, cu cerinţele Legii nr.133/2011.

5. Controlul se efectuează de către angajaţii CNPDCP, abilitaţi cu funcţii de control.

6. Controlul se iniţiază la plângerea subiectului de date cu caracter personal sau în baza autosesizării CNPDCP, în ordinea prevăzută la art.27 din Legea nr.133/2011, la deţinerea informaţiilor/indiciilor susţinute prin probe despre existenţa situaţiilor de încălcare a drepturilor şi libertăţilor fundamentale ale persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal, în special a dreptului la inviolabilitatea vieţii intime, familiale şi private.

7. Controlul începe de la data înregistrării plângerii complete, depuse în conformitate cu prevederile art.60 alin.(2) lit.c), art.75 alin.(1) din Codul administrativ şi art.27 alin.(1) din Legea nr.133/2011, cu emiterea dispoziţiei de iniţiere a controlului, fapt despre care se informează petentul.

8. CNPDCP ţine evidenţa electronică a controalelor, prin consemnarea:

1) denumirii (numelui) persoanei şi a obiectului supus controlului;

2) numărul şi data dispoziţiei de iniţiere a controlului;

3) în cazul cercetării la faţa locului - data şi numărul delegaţiei privind cercetarea la faţa locului;

4) la încheierea controlului, numărul şi data deciziei emise pe caz.

9. În cadrul controlului, CNPDCP poate decide suspendarea sau încetarea operaţiunilor de prelucrare a datelor cu caracter personal în privinţa persoanelor care practică activitate de întreprinzător în cazul în care încălcările constatate sunt "foarte grave", în sensul prevăzut de Legea nr.131/2012 privind controlul de stat.

10. La efectuarea controlului, CNPDCP solicită în scris informaţiile necesare, indicându-se temeiul juridic şi scopul solicitării informaţiilor şi stabileşte un termen rezonabil în care acestea trebuie furnizate, care este de cel puţin 5 zile lucrătoare, din momentul recepţionării solicitării, precum şi specifică sancţiunile prevăzute de lege pentru refuzul de a furniza informaţiile sau documentele solicitate de CNPDCP în procesul exercitării atribuţiilor de control, prezentarea unor informaţii neautentice sau incomplete, precum şi neprezentarea în termenul stabilit de lege a informaţiilor şi a documentelor solicitate. Solicitarea de informaţii trebuie să conţină cel puţin elementele prevăzute la lit.5) - 8) din pct.12.

11. Doar în cazul insuficienţei documentelor/probelor şi a informaţiei deţinute pentru a verifica respectarea legislaţiei de către persoana supusă controlului şi ţinând cont de atingerea adusă drepturilor subiectului de date în legătură cu prelucrarea datelor cu caracter personal, CNPDCP realizează cercetarea la faţa locului, prin emiterea unei delegaţii în acest sens. Cercetarea la faţa locului poate fi efectuată numai dacă există indici că pot fi găsite documente/probe sau pot fi obţinute informaţii despre presupusul caz de încălcare a legislaţiei privind protecţia datelor cu caracter personal, fapt care nu necesită a fi demonstrat persoanei supuse controlului.

12. Cercetarea la faţa locului se desfăşoară de către minimum doi controlori în baza unei delegaţii, semnate de conducerea CNPDCP, care va conţine cel puţin:

1) numărul şi data emiterii;

2) datele de identificare ale CNPDCP;

3) numele, prenumele, funcţia persoanelor care vor efectua controlul;

4) temeiul iniţierii cercetării la faţa locului;

5) trimiterile la prevederile legale, în baza cărora este realizat controlul;

6) datele despre persoana supusă controlului (după caz, denumirea/numele, prenumele persoanei; sediul/adresa subdiviziunii controlate şi codul de identificare a acesteia, alte date de contact);

7) obiectul controlului;

8) scopul şi aspectele/întrebările ce urmează a fi examinate/elucidate;

9) perioada efectuării cercetării la faţa locului.

13. Delegaţia privind cercetarea la faţa locului se aduce la cunoştinţă cu semnătură, cu transmiterea unui exemplar persoanei supuse controlului ori reprezentantului împuternicit al acesteia. În cazul refuzului primirii şi semnării delegaţiei, acest fapt se consemnează în delegaţia de control, în prezenţa unui martor.

14. Orice constatare a unui fapt în cadrul cercetării la faţa locului se consemnează de controlori într-un proces-verbal.

15. În cadrul cercetării la faţa locului, controlorii identifică şi consemnează în procesul-verbal adresa de corespondenţă (electronică/poştală) la care urmează a fi remise actele aferente controlului.

16. În situaţia când apar circumstanţe ce împiedică efectuarea cercetării la faţa locului (lipsa persoanei la adresa indicată, îngrădirea accesului, refuzul de a prezenta documentaţia solicitată etc.), acestea se consemnează în procesul-verbal, care urmează a fi semnat de controlori şi de reprezentantul persoanei supuse controlului sau, în caz de refuz ori de imposibilitate a prezenţei acestuia, de cel puţin un martor, indicându-se datele de identitate ale ultimului. Calitatea de martor o poate avea orice persoană terţă care întruneşte condiţiile prevăzute de lege în acest sens, inclusiv funcţionarul public cu statut special din cadrul autorităţilor subordonate Ministerului Afacerilor Interne, cu excepţia angajatului CNPDCP.

În cazul în care nu poate fi asigurată prezenţa unui martor, pentru situaţiile expuse mai sus, acestea se vor fixa prin mijloace video şi/sau audio.

17. În cazul în care obiect al cercetării la faţa locului vizează mijloace de prelucrare a datelor cu caracter personal, care nu sunt în interiorul sediului/domiciliului persoanei supuse controlului (spre exemplu: sistem de supraveghere video, panou informativ etc.), aspectele constatate/identificate de controlor în cadrul cercetării la faţa locului se consemnează în procesul-verbal indicat la pct.16.

18. Procedura de cercetare la faţa locului se încheie prin întocmirea de către controlori a actului de control, în termen de cel mult 5 zile lucrătoare de la data încheierii acesteia.

19. Actul de control va conţine, în mod obligatoriu:

1) denumirea organului de control, subdiviziunea, numele complet şi funcţia controlorilor;

2) informaţii privind persoana supusă controlului (pentru persoane juridice - denumirea şi IDNO; pentru persoane fizice - numele, prenumele şi IDNP);

3) durata controlului;

4) obiectul şi temeiul controlului;

5) date privind aspectele, documentele (indiferent de suport), bunurile, încăperile, obiectele de altă natură care au fost supuse controlului, relevante scopului controlului;

6) constatările şi rezultatele controlului;

7) măsurile propuse de grupul de controlori.

20. La actul de control vor fi anexate:

1) copiile documentelor/materialelor examinate aferente obiectului controlului;

2) procesul-verbal întocmit în cadrul cercetării la faţa locului;

3) explicaţiile scrise ale persoanei supuse controlului (după caz, a responsabilului cu protecţia datelor sau altor persoane care au acţionat pe seama sau în alt mod sub autoritatea persoanei supuse controlului);

4) probele acumulate în cadrul cercetării la faţa locului, inclusiv prin mijloace foto/audio/video.

21. Actul de control se va întocmi în două exemplare, se va numerota şi se va semna pe fiecare pagină de toţi controlorii care au efectuat controlul.

22. Un exemplar al actului de control se expediază persoanei supuse cercetării la faţa locului, prin scrisoare recomandată cu aviz de recepţie sau prin poştă electronică semnat cu semnătură electronică, în termen de cel mult 5 zile lucrătoare de la data întocmirii actului de control, inclusiv în cazul efectuării controlului în baza autosesizării CNPDCP.

23. Persoana supusă controlului are dreptul, în termen de 10 zile lucrătoare de la recepţionarea actului de control, să prezinte dezacordul faţă de actul de control, susţinut cu probe suplimentare, ce confirmă poziţia sa.

24. Controlorul va examina materialele prezentate şi, în caz de necesitate, va întocmi un act de control adiţional, fără a efectua rectificări la actul de bază. În actul de control adiţional se va indica actul de control de bază, iar în partea constatatoare se vor reflecta poziţiile modificate, cu respectarea procedurii de întocmire a actului de control.

25. Persoanele care, în virtutea drepturilor şi atribuţiilor ce le revin în temeiul prezentului Regulament, au luat cunoştinţă de informaţiile investigaţiei, precum şi alte persoane cărora le-au devenit cunoscute astfel de informaţii, au obligaţia să asigure confidenţialitatea acestora, în condiţiile legislaţiei.

26. Cercetarea la faţa locului se desfăşoară în orele de program ale persoanei supuse controlului sau între orele 09:00 şi 17:00 şi se efectuează în prezenţa persoanei supuse controlului sau a reprezentantului acestuia. Controlul poate continua şi după orele de program sau după ora 17:00, după caz, numai cu acordul persoanei supuse controlului sau al reprezentantului acestuia. În situaţia în care persoana supusă controlului se află în imposibilitate/nu este de acord de/cu continuarea controlului după ora 17:00, de comun acord cu controlorul desemnat, cercetarea la faţa locului se va întrerupe şi se va stabili următoarea dată/oră pentru a continua acestea.

III. DREPTURILE ŞI OBLIGAŢIILE SUBIECŢILOR CONTROLULUI

27. În procesul efectuării controlului, inclusiv a cercetării la faţa locului, controlorul are următoarele drepturi:

1) să solicite şi să primească gratuit de la persoana supusă controlului, dar şi de la alte persoane fizice sau juridice, informaţiile/actele necesare legate de obiectul controlului;

2) să audieze subiectul datelor cu caracter personal, persoana/persoanele supuse controlului şi, dacă este cazul, alte persoane sau martorii cu privire la orice aspecte legate de obiectul controlului;

3) să aibă acces în încăperile şi pe teritoriul unde sunt amplasate sisteme de evidenţă a datelor cu caracter personal legate de obiectul şi scopul controlului, la prezentarea legitimaţiei, delegaţiei de efectuare a cercetării la faţa locului a entităţii/persoanei supuse controlului şi/sau a persoanei împuternicite ale acesteia, cu respectarea dreptului constituţional la inviolabilitatea domiciliului;

4) să aibă acces la datele cu caracter personal prelucrate, la echipamentul de prelucrare, programe şi aplicaţii, precum şi la orice document sau înregistrare referitoare la prelucrarea de date cu caracter personal care au legătură cu obiectul şi scopul controlului, cu respectarea condiţiilor stabilite pentru accesul la anumite informaţii care constituie secret protejat de lege;

5) să verifice şi să facă copii de pe orice document sau înregistrare foto sau video ale documentelor sau ale altor obiecte purtătoare de informaţii referitoare la prelucrarea datelor cu caracter personal care fac obiect al controlului;

6) să documenteze acţiunile cercetării la faţa locului prin intermediul mijloacelor de înregistrare foto, video, audio etc.;

7) să urmărească respectarea măsurilor dispuse în urma efectuării controalelor;

8) să solicite sprijinul subdiviziunilor abilitate ale Ministerului Afacerilor Interne. La efectuarea controlului pot fi antrenaţi, după caz, şi experţi din anumite domenii, împuterniciţi de CNPDCP, care sunt obligaţi să asigure confidenţialitatea informaţiilor de care au luat cunoştinţă în cadrul investigaţiei;

9) să constate contravenţii şi să întocmească procese-verbale cu privire la contravenţie în baza deciziei şi probelor acumulate pe caz şi a materialelor aferente procedurii de control, conform prevederilor Codului contravenţional.

28. Pe parcursul efectuării controlului, controlorii sunt obligaţi:

1) să efectueze controlul în conformitate cu împuternicirile atribuite de lege şi prezentul Regulament, ţinând cont de obiectul şi scopul acestuia;

2) să acorde suportul necesar persoanei supuse controlului pentru înţelegerea deplină a prevederilor documentelor normative şi actelor normative în a căror bază se efectuează controlul;

3) să aprecieze obiectiv şi echidistant toate aspectele care fac obiectul controlului;

4) să asigure integritatea bunurilor şi a documentaţiei persoanei supuse controlului;

5) să prezinte legitimaţia de serviciu persoanei supuse cercetării la faţa locului şi să-i permită să ia cunoştinţă de aceasta;

6) să nu divulge conţinutul documentelor şi al informaţiilor de care a luat cunoştinţă în procesul efectuării controlului, precum şi să nu utilizeze asemenea documente sau informaţii în scopuri care nu au legătură cu obiectul şi scopul controlului, decât în condiţiile legii;

7) să anexeze la actul de control orice documente sau copii ale acestora şi explicaţii în scris ale persoanei supuse controlului şi/sau ale angajaţilor acesteia;

8) la solicitare, să pună la dispoziţia persoanei supuse controlului, în formă electronică ori pe suport de hârtie, documentele şi lista actelor normative relevante ce vor fi utilizate în cadrul controlului şi în a căror bază se efectuează controlul.

29. În procesul efectuării controlului, controlorul nu este în drept:

1) să solicite şi să examineze documente şi informaţii ce nu ţin de competenţa sa şi/sau nu sunt relevante obiectului controlului;

2) să solicite persoanei supuse controlului resurse (încăperi, transport, tehnică de calcul, copiatoare, rechizite de birou etc.) şi să se folosească de acestea fără acordul persoanei în cauză;

3) să solicite de la persoana supusă controlului informaţii care au fost prezentate anterior de către aceasta organului de control şi/sau care nu au legătură cu obiectul şi aspectele supuse controlului;

4) să efectueze cercetarea la faţa locului în lipsa reprezentanţilor persoanei supuse controlului, dacă există temeiuri de a considera că absenţa acestora este justificată.

30. Pe parcursul efectuării controlului, persoana supusă controlului are următoarele drepturi:

1) să prezinte informaţii şi probe referitoare la obiectul şi scopul efectuării controlului;

2) să prezinte explicaţii înregistrate sub orice formă referitoare la obiectul şi scopul controlului;

3) să obţină o copie a delegaţiei privind efectuarea cercetării la faţa locului;

4) să asiste personal sau prin reprezentant în procesul cercetării la faţa locului;

5) să fie asistată de avocaţi, de alţi reprezentanţi împuterniciţi conform legislaţiei;

6) să ceară anexarea la actul de control a oricăror documente sau copii ale acestora, pe care entitatea supusă controlului are dreptul să aplice semnătura, explicaţii scrise, precum şi să ceară includerea menţiunilor cu privire la unele fapte sau drepturi/obligaţii;

7) să verifice delegaţia de control şi să ia cunoştinţă de legitimaţia de serviciu a controlorului;

8) să indice adresa sa electronică la care CNPDCP să transmită notificările şi informaţia/documentele aferente controlului;

9) să documenteze acţiunile controlorului şi ale persoanelor care îi însoţesc în interes de serviciu prin proba cu martori şi/sau prin intermediul altor mijloace, precum mijloacele de înregistrare foto, video, audio etc., cu asigurarea prelucrării datelor cu caracter personal devenite cunoscute în cadrul acestei acţiuni, în conformitate cu legislaţia în vigoare;

10) să fie informată referitor la drepturile şi obligaţiile sale;

11) să conteste acţiunile controlorului;

12) să solicite o singură dată, în cazuri temeinic justificate, suspendarea sau amânarea controlului pentru o altă perioadă, dar nu mai mare de 10 zile lucrătoare, în cazul în care efectuarea controlului va afecta funcţionarea sa normală sau va duce la suspendarea activităţii sale ori în cazul în care, din considerente obiective, ea nu poate fi supusă controlului;

13) să solicite acces la materialele controlului în conformitate cu prevederile art.83 din Codul administrativ.

31. Toate persoanele juridice de drept public sau drept privat şi persoanele fizice sunt obligate să se supună controlului efectuat de CNPDCP, inclusiv prin asigurarea condiţiilor pentru buna desfăşurare a controlului.

IV. TERMENUL DE EFECTUARE A CONTROLULUI ŞI

PERFECTAREA REZULTATELOR CONTROLULUI

32. Termenul de efectuare a controlului este de 3 luni, cu posibilitatea prelungirii justificate a acestuia la fiecare 30 de zile, în funcţie de complexitatea cauzei, volumul de informaţii ce urmează a fi obţinute şi analizate, comportamentul participanţilor vizaţi, conduita autorităţilor relevante şi importanţa procedurii administrative pentru partea interesată, dar nu mai mult de 6 luni.

33. CNPDCP informează subiectul datelor cu caracter personal şi persoana supusă controlului referitor la progresele în examinarea şi soluţionarea plângerii în cazul prelungirii termenului de examinare şi soluţionare a plângerii sau la cererea acestuia.

34. După obţinerea tuturor informaţiilor şi analiza acestora, CNPDCP, în termen de 30 de zile, emite o decizie motivată prin care constată lipsa încălcării sau încălcarea legislaţiei în domeniul protecţiei datelor cu caracter personal, cu dispunerea, după caz, a suspendării, încetării operaţiunilor de prelucrare a datelor cu caracter personal, rectificării, blocării sau distrugerii datelor neveridice ori obţinute ilicit. În cazul lipsei sau insuficienţei probelor ce ar demonstra încălcarea, CNPDCP constată, prin decizie motivată, lipsa încălcării.

35. Decizia CNPDCP este documentul prin care se confirmă faptul efectuării controlului şi în care se conţine toată informaţia cu privire la controlul desfăşurat, la procedurile aplicate şi constatările în urma acestuia, recomandările înaintate în baza constatărilor. Decizia este alcătuită din partea introductivă, partea constatatoare şi partea dispozitivă şi conţine în mod obligatoriu:

1) denumirea completă a organului de control;

2) date privind dispoziţia de iniţiere a controlului;

3) denumirea completă/numele persoanei supuse controlului şi obiectul controlului;

4) date privind toate aspectele, documentele, bunurile, încăperile, produsele, utilajele şi obiectele de altă natură care au fost supuse controlului, relevante în scopul controlului;

5) după caz, date cu privire la delegaţia de control şi temeiul efectuării cercetării la faţa locului;

6) după caz, constatările stabilite în actul de control urmare a cercetării la faţa locului;

7) referinţa expresă la prevederile actelor legislative şi normative pe care le-a încălcat persoana supusă controlului;

8) referinţa la documentele examinate care confirmă încălcarea legii, ale altor documente întocmite în cadrul controlului;

9) după caz, referire la explicaţiile persoanei supuse controlului şi/sau ale angajaţilor acesteia;

10) constatările şi, după caz, indicaţiile pentru înlăturarea încălcărilor stabilite în partea constatatoare;

11) în cazul constatării încălcării prevederilor Legii nr.133/2011 se va face referinţă la semnele constitutive ale contravenţiei constatate în cadrul procedurii de control şi referinţă expresă la normele de drept contravenţional vizate;

12) numele, prenumele complet şi funcţia persoanelor care au efectuat controlul.

36. Decizia privind constatarea încălcării legislaţiei în domeniul protecţiei datelor cu caracter personal şi probele acumulate servesc drept temei pentru întocmirea procesului-verbal cu privire la contravenţie, în condiţiile Codului contravenţional al Republicii Moldova. Dacă este cazul, instrucţiunile din decizie se includ în planul de remediere a contravenţiei.

37. Decizia se emite de către directorul Centrului, de către directorul adjunct şi personalul abilitat cu funcţii de control ai Centrului, în conformitate cu competenţele atribuite prin ordinul directorului. Decizia se comunică persoanelor vizate în termen de 10 zile lucrătoare de la data emiterii, prin orice mijloc care să confirme recepţionarea acesteia.

38. Operatorul, persoana împuternicită de către acesta sau subiectul datelor cu caracter personal pot contesta acţiunile, inacţiunile şi decizia Centrului direct în instanţa de judecată, în conformitate cu prevederile Codului administrativ, fără respectarea procedurii prealabile.