1. -RESPONSABILITATEA- PRINCIPIUL PRINCIPIILOR ÎN CADRUL
PRELUCRĂRII DATELOR CU CARACTER PERSONAL

2. Scurte considerații de ordin istoric (1)
În 1980 OECD oficializează pentru prima dată „principiul responsabilității” în cadrul unui set de instrucțiuni privind protecția și fluxul transfrontalier de date.
La nivel UE, abia la data de 24 octombrie 1995 apare Directiva (46/95/CE) privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date.
Directiva 2009/136/EC ce completează Directiva 2002/58/CE asupra confidenţialităţii și comunicaţiilor electronice, instituie obligația furnizorilor / prestatorilor de servicii de a asigura punerea în aplicare a unei politici de securitate în ceea ce privește prelucrarea datelor cu caracter personal.
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

3. Scurte considerații de ordin istoric (2)
În 1 decembrie 2009, WP 29 adoptă un punct de vedere privind viitorul protecției vieții private prin care recomandă Comisiei atât clarificarea principiilor ce guvernează protecția datelor cât și extinderea lor prin introducerea principiului responsabilității (”accountability”) într-un cadru legislativ complet.
Avizul 3 / 2010 privind principiul responsabilității, emis tot de WP 29, reafirmă instituirea obligației pentru operatorii de date să ia măsuri adecvate și eficace pentru a garanta respectarea Directivei 46/95/CE și să demonstreze, la cerere, acest lucru.
La data de 27 aprilie 2016 se adoptă Regulamentul privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (GDPR), document ce se va aplica din 25 Mai 2018.
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

4. Ce înseamnă „principiul responsabilității” ?
Directiva 95/46/CE
art. 6 al. 2
Operatorul are obligația să asigure respectarea alineatului (1)...
...și poate demonstra această respectare.
GDPR
art. 5 al. 2
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

5. Articolul 24 Responsabilitatea operatorului
(1) Ținând seama de natura, domeniul de aplicare, contextul și scopurile prlucrării, precum și de riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu prezentul regulament. Respectivele măsuri se revizuiesc și se actualizează dacă este necesar.
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

6. PERSOANĂ ÎMPUTERNICITĂ
MĂSURI
OPERATOR DE DATE
PERSOANĂ ÎMPUTERNICITĂ
Asigurarea protecției datelor
”by design” și ”by default” (art. 25) DA NU
Evidențele activităților de prelucrare
(art. 30)
DA (cu excepția prevăzută la al. 5)
Securitatea prelucrării (art. 32)
Notificare în cazul încălcării securității (art. 33)
DA (către autoritatea de supraveghere)
DA (numai către operator)
Evaluarea impactului asupra protecției datelor (art. 35)
DA (atunci când situația o impune)
NU (dar trebuie să asiste operatorul în elaborarea ei)
Desemnarea responsabilului cu protecția datelor (art. 37)
DA (când situația o impune)
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

7. Respectarea Principiului Responsabilității
SISTEME / APLICAȚII
PROCEDURI / POLITICI
ANGAJAȚI
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

8. Respectarea principiului responsabilității - sisteme
Dezvoltarea măsurilor necesare de siguranță odată cu crearea sistemelor / aplicațiilor
Minimizarea automată a datelor
Pseudonimizarea
Privacy by design
Prelucrarea este redusă implicit la scopul prelucrării și durata necesară realizării acestuia
Acces limitat implicit la date și / sau la operațiunile de prelucrare
Îmbunătățirea măsurilor de siguranță pe parcurs
Privacy by default
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

9. Respectarea principiului responsabilității
Respectarea principiului responsabilității exemple de proceduri / politici
Evaluarea impactului asupra protecției datelor (DPIA)
Politica privind informarea persoanelor vizate și respectarea drepturilor acestora (privacy policy)
Procedura privind evidența activităților de prelucrare
Politica privind prelucrarea datelor pe bază de consimțământ
Procedura privind fluxul datelor cu caracter personal și accesul la acestea
Implementarea unor reguli corporatiste obligatorii
Politica privind transferul datelor către state terțe
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

10. Respectarea principiului responsabilității - DPIA
“...în cazul în care un tip de prelucrare, în special cel bazat pe utilizarea noilor tehnologii, este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul efectuează, înaintea prelucrării, o evaluare a impactului operațiunilor de prelucrare prevăzute, asupra protecției datelor cu caracter personal.”
(art. 35, al 1)
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

11. Respectarea principiului responsabilității - DPIA
Situații ce necesită DPIA
Evaluarea sistematică a aspectelor personale –
Crearea de profiluri
Prelucrarea pe scară largă a unor date sensibile
Prelucrarea de date a unor persoane aflate în poziții vulnerabile (inclusiv angajați, copii)
Folosirea de noi tehnologii (smartapp, acces pe bază de scanare a retinei)
Corelarea / combinarea unor seturi de date
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

12. Respectarea principiului responsabilității - DPIA
Descrierea prelucrării
Analiza necesității și proporționalității
Măsurile ce demonstrează conformitatea
Analiza riscurilor pentru persoana vizată
Măsuri de reducere a riscurilor
Documentare
Monitorizare și audit
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

13. Respectarea principiului responsabilității – angajați
INSTRUIRE
dezvoltarea de traininguri adaptate specificului activității operatorului pentru conștientizarea implicațiilor și obligațiilor conform GDPR
monitorizarea însușirii de către angajați a principiilor GDPR precum și a politicilor interne privind prelucrarea datelor
RESPONSABILIZARE
identificarea clară a rolului și atribuirea de responsabilități în procesul de prelucrare a datelor
numirea unui responsabil cu protecția datelor (DPO)
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

14. Respectarea principiului responsabilității – DPO
monitorizează respectarea GDPR și a normelor națioale privind protecția datelor cu caracter personal în interiorul organizației
asigură informarea și consilierea operatorului / a persoanei împuternicite cu privire la obligațiile ce le revin în temeiul normelor privind protecția datelor
reprezintă punctul de contact pentru autoritatea de supraveghere privind orice aspecte legate de prelucrarea datelor, dar și în cadrul procedurilor de consultare
oferă sprijin și asistență în cadrul procedurilor privind evaluarea impactului asupra protecției datelor și monitorizarea funcționării acesteia
Responsabilul cu protecția datelor
-DPO-
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

15. Respectarea principiului responsabilității – DPO
Numirea unui DPO este obligatorie (atât pentru operator cât și petru persoana împuternicită) dacă:
a) prelucrarea este efectuată de o autoritate sau un organism public, cu excepția instanțelor de judecată
b) activitatea principală constă în monitorizare periodică și sistematică, pe scară largă, a persoanelor vizate
c) activitatea principală constă în prelucrarea pe scară largă a unor categorii speciale de date (cele de la art. 9 și 10)
art. 37 (1)
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

16. Respectarea principiului responsabilității – DPO
reprezintă operațiunile cheie pentru îndeplinirea obiectului de activitate al organizației (funcțiile suport, cum ar fi plata salariilor, nu intră în această clasificare)
activitate principală
are loc la intervale regulate, apare într-un sistem, este organizată și metodică, se manifestă ca un plan general de colectare a datelor, sau este efectuată ca parte a unei strategii
monitorizare periodică și sistematică
nu există o definiție, dar WP 29 recomandă următoarele repere de avut în vedere: procent din populația relevantă, volumul de date, durata prelucrării, suprafața geografică acoperită
pe scară largă
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

17. Abordarea ANSPDCP privind principiul responsabilității - numirea unui DPO
„Chiar dacă entitatea nu are obligaţia expresă de a desemna un responsabil cu protecţia datelor, ANSPDCP recomandă numirea acestuia, în considerarea efectului benefic al activităţii responsabilului în vederea asigurării respectării Regulamentului General de Protecţia Datelor de către operatorul respectiv sau persoana împuternicită de operator. Un responsabil cu protecţia datelor reprezintă un avantaj major pentru operator în vederea înţelegerii și respectării obligaţiilor prevăzute de RGPD, dialogului cu autorităţile pentru protecţia datelor și reducerii riscurilor apariţiei unor litigii.”
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.
Ghidul orientativ de aplicare a Regulamentului General privind Protecţia Datelor destinat operatorilor

18. Abordarea ANSPDCP privind principiul responsabilității – Decizia 105/2007
Art. 9.
(2) Participanții și birourile de credit sunt obligați să ia măsuri corespunzătoare pentru a asigura respectarea drepturilor de acces, de intervenție și de a nu fi supus unei decizii automate individuale, prevăzute la art. 13, 14 și 17 din Legea nr. 677/2001, cu modificările și completările ulterioare.
Art. 10. 
Participanții și birourile de credit sunt obligați să adopte măsurile de securitate tehnice și organizatorice necesare pentru protejarea datelor cu caracter personal în condițiile art. 19 și 20 din Legea nr. 677/2001, cu modificările și completările ulterioare. Pot avea acces la datele cu caracter personal stocate în sistemele de evidență de tipul birourilor de credit numai persoanele autorizate.
(extras din Decizia nr. 105/2007 cu privire la prelucrările de date cu caracter personal efectuate în sisteme de evidență de tipul birourilor de credit)
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

19. Studiu de caz - ANSPDCP
În 2016, ANSPDPC, a aplicat operatorilor privați mai multe sancțiuni pentru nesocotirea principiului responsabilității:
a) lei – lipsa unor măsuri tehnice şi organizatorice suficiente și adecvate pentru protejarea datelor cu caracter personal ale unor abonați, împotriva accesării ori divulgării ilicite.
b) lei – nesocotirea exercitării dreptului de intervenție din partea persoanelor vizate, în sensul de a fi adoptate măsuri de ștergere a datelor negative transmise la Biroul de Credit fără informarea lor prealabilă
c) lei - transmiterea de date negative la Biroul de Credit, fără dovada informării prealabile a persoanelor vizate și fără furnizarea informațiilor prevăzute de art. 9 alin. (1), din Decizia ANSPDCP nr. 105/2007
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

20. Studiu de caz – ICO (1)
În urma unui atac cibernetic asupra Carphone Warehouse Ltd.*, au fost furate datele personale a peste 3 milioane de clienți (nume, adresă, data nașterii, telefon, ), istoricul tranzacțiilor financiare a peste carduri de credit (nume, adresă, dată expirare, număr de card) și informații a peste de angajați.
ICO (Information Commissioner’s Office) a dispus sancționarea cu suma de £ pentru faptul că nu a asigurat punerea în aplicare de măsuri tehnice și organizatorice adecvate ce să prevină prelucrarea neatorizată, sau ilegală a datelor cu caracter personal. *
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

21. Studiu de caz – ICO (2)
Folosind un sistem de apelare automat, Barrington Claims Ltd*. a efectuat un număr de peste apeluri telefonice către diverși clienți. Având în vedere că nu toți dintre ei își dăduseră consimțământul pentru aceasta, Autoritatea de Supraveghere a înregistrat 41 de reclamații. Mai mult decât atât, mesajul înregistrat nu conținea datele de contact ale companiei, astfel că nu s-a realizat informarea completă a persoanelor vizate.
ICO a dispus: sancționarea cu suma de £ pentru faptul că nu s-a făcut dovada că prelucrarea datelor cu caracter personal s-a realizat cu respectarea normelor legale, având în vedere pe de o parte lipsa consimțământului, iar pe de alta informarea incompletă a persoanelor vizate * taken/enforcement/barrington-claims-ltd//
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

22. Concluzii:
ridicarea la nivel de lege a principiului responsabilității reprezintă un punct culminant al unui trend ascedent, la nivel global, în domeniul protecției vieții private. Este „trecerea de la teorie la practică în domeniul protecției datelor” (Avizul 3/2010 a WP 29)
respectarea acestui principiu trebuie analizată și asigurată ținând cont de împrejurările în care are loc prelucrarea datelor cu caracter personal (scopul, natura, riscurile, domeniul de aplicare)
operatorii și / sau persoanele împuternicite nu se pot degreva de respectarea lui sub nici o formă și în nici o circumstanță
principiul responsabilității implică atât luarea și implementarea clară de măsuri în vederea protecției drepturilor persoanelor vizate de prelucrare, cât și documentarea acestora
How presentation will benefit audience: Adult learners are more interested in a subject if they know how or why it is important to them.
Presenter’s level of expertise in the subject: Briefly state your credentials in this area, or explain why participants should listen to you.

23. 31 Dr Grigore Mora St
1st District Bucharest Romania T: F: E: W: