Control

PROCEDURA DE EFECTUARE A INVESTIGAŢIILOR ŞI A CONTROALELOR PREALABILE

CAPITOLUL I - DISPOZIŢII GENERALE

Art. 1 În exercitarea atribuţiilor de control prevăzute de Legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date, cu modificările şi completările ulterioare, denumită în continuare Legea nr. 677/2001, şi de Legea nr. 102/2005 privind înfiinţarea, organizarea şi funcţionarea Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu modificările şi completările ulterioare, denumită în continuare Legea nr. 102/2005, Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal, denumită în continuare ANSPDCP, efectuează investigaţii şi controale prealabile, cu respectarea prevederilor prezentei proceduri.

Art. 2 (1) Serviciul investigaţii propune în cursul ultimei săptămâni a fiecărei luni un plan minimal de investigaţii pentru luna următoare, iar până la data de 25 decembrie a fiecărui an un plan general de investigaţii pentru următorul an calendaristic.

(2) În afara investigaţiilor planificate, pot fi efectuate şi alte investigaţii, în funcţie de cazurile care impun verificarea fără amânare a unor prelucrări de date cu caracter personal. Investigaţiile efectuate pentru soluţionarea unor plângeri sau sesizări au prioritate faţă de cele planificate din oficiu. În cazul investigaţiilor efectuate pentru soluţionarea unor plângeri sau sesizări, pot fi verificate şi alte aspecte care se constată la faţa locului ca fiind încălcări ale Legii nr. 677/2001.

(3) Planurile de investigaţii prevăzute la alin. (1) se supun spre aprobare preşedintelui ANSPDCP.

Art. 3 Serviciul investigaţii ţine evidenţa investigaţiilor şi a controalelor prealabile efectuate.

CAPITOLUL AL II-LEA - PROCEDURA DE EFECTUARE A INVESTIGAŢIILOR ŞI A CONTROALELOR PREALABILE

SECŢIUNEA 1: Reguli comune

Art. 4 (1) Investigaţiile se efectuează la propunerea:

a) Serviciului evidenţă operatori şi prelucrări date, conform art. 12 lit. d) din Regulamentul de organizare şi funcţionare a ANSPDCP;

b) Serviciului investigaţii, conform art. 13 lit. a) din Regulamentul de organizare şi funcţionare a ANSPDCP;

c) Biroului autorizaţii, conform art. 14 lit. c) din Regulamentul de organizare şi funcţionare a ANSPDCP;

d) altor persoane interesate.

(2) Sesizarea Serviciului investigaţii în cazurile prevăzute la alin. (1) se face printr-o notă motivată, aprobată de preşedintele ANSPDCP şi comunicată sau, după caz, avizată de şeful Serviciului investigaţii."

(3) Serviciul investigaţii propune persoanele care vor efectua investigaţia sau controlul prealabil, data sau perioada efectuării acestora, precum şi obiectivele acţiunii de control, prin proiectul de împuternicire avizat de şeful Serviciului investigaţii şi înaintat spre aprobare preşedintelui ANSPDCP. Împuternicirea este semnată de către preşedintele ANSPDCP sau de către persoana anume desemnată de aceasta.

(4) Persoanele desemnate să facă parte din echipa de control au obligaţia de a anunţa în prealabil conducerea ANSPDCP în cazul existenţei unor motive ce ar putea determina un conflict de interese, potrivit Legii nr. 102/2005, în legătură cu controlul prealabil/investigaţia pentru care au fost nominalizate, în vederea schimbării componenţei echipei de control.

(5) Este interzisă efectuarea de investigaţii şi controale prealabile în afara limitelor prevăzute de împuternicire.

(6) Modelul legitimaţiei de control şi al împuternicirii sunt prevăzute în anexa nr. 1 şi anexa nr. 2 la prezenta procedură.

Art. 5 (1) În executarea controlului prealabil sau a investigaţiei, echipa de control a ANSPDCP întreprinde următoarele activităţi:

a) deplasarea la sediul entităţii supuse controlului;

b) prezentarea legitimaţiei de control şi a împuternicirii reprezentanţilor entităţii controlate, care vor desemna persoanele competente să dea relaţii în domeniul controlat. Persoanele desemnate participă la efectuarea controlului, prin furnizarea informaţiilor şi documentelor solicitate de către echipa de control şi semnează pentru conformitate actele de control încheiate;

c) înscrierea în registrul de control al entităţii controlate, a datelor prevăzute la art. 3 alin. (2) din Legea nr. 252/2003 privind registrul unic de control;

d) verificarea tuturor aspectelor prezentate în împuternicire prin solicitarea oricăror informaţii legate de obiectivele controlului;

e) verificarea oricărui document sau înregistrare referitoare la prelucrarea datelor cu caracter personal, care are legătură cu obiectul controlului;

f) ridicarea documentelor sau a înregistrărilor relevante care au legătură cu obiectul controlului;

g) întocmirea procesului-verbal de constatare/sancţionare contravenţională;

h) aplicarea de sancţiuni, dacă este cazul, de către persoana împuternicită în acest sens;

i) înmânarea/comunicarea către contravenient, a copiei procesului-verbal de constatare/sancţionare contravenţională şi a înştiinţării de plată;

j) formularea recomandărilor necesare pentru remedierea deficienţelor constatate, după caz;

k) propunerea emiterii unor decizii sau instrucţiuni, conform art. 8 din prezenta procedură;

l) urmărirea respectării măsurilor dispuse în urma efectuării controalelor prealabile/investigaţiilor;

m) comunicarea rezultatelor controalelor prealabile/investigaţiilor către persoana sau către persoana/compartimentul care a propus efectuarea acţiunii de control, conform art. 4 alin. (1) din prezenta procedură.

(2) Membrii echipei de control au următoarele obligaţii:

a) să solicite înregistrarea şi ştampilarea, după caz, a împuternicirii şi a ordinului de deplasare;

b) să ţină legătura cu autoritatea de supraveghere şi să comunice orice situaţie deosebită intervenită care are legătură cu realizarea controlului;

c) să aibă un comportament decent;

d) să păstreze secretul profesional pe termen nelimitat asupra informaţiilor confidenţiale sau clasificate la care au avut acces;

e) să completeze procesul-verbal de constatare/sancţionare contravenţională, prin evidenţierea situaţiilor prezentate de entitatea controlată, a declaraţiilor reprezentanţilor acesteia şi a constatărilor proprii, dacă este cazul;

f) să confrunte menţiunile din procesul-verbal de constatare/sancţionare cu documentele existente în evidenţele autorităţii de supraveghere, dacă este cazul;

g) să anexeze la procesul-verbal de constatare/sancţionare contravenţională mijloacele de probă necesare pentru dovedirea constatărilor consemnate;

h) să utilizeze pe teren mijloacele informatice puse la dispoziţie de ANSPDCP, constând în calculator şi imprimantă portabile, în vederea redactării procesului-verbal de constatare/sancţionare contravenţională. În cazurile excepţionale în care deplasarea nu se efectuează cu un autoturism al ANSPDCP, procesul-verbal se întocmeşte olograf; în această situaţie, echipa de control are obligaţia de a tehnoredacta un document conţinând principalele constatări şi sancţiunile aplicate, în termen de 10 zile lucrătoare după efectuarea acţiunii de control, pentru a se asigura acurateţea înregistrărilor existente în aplicaţia internă de gestionare al documentelor.

(3) În cazurile în care acţiunea de control nu se desfăşoară inopinat, controlul prealabil/investigaţia se efectuează la data şi ora anunţată de ANSPDCP.

(4) Prin excepţie de la prevederile alin. (1), controlul prealabil sau investigaţia se pot desfăşura la sediul ANSPDCP, în cazuri justificate printr-o notă înaintată şefului Serviciului investigaţii, în baza împuternicirii prevăzute la art. 4 alin. (3). În această situaţie, reprezentanţii entităţii controlate sunt convocaţi la sediul ANSPDCP.

(5) În anumite situaţii, controlul prealabil sau investigaţia se pot efectua printr-o procedură scrisă, în condiţiile prevăzute la art. 4. Aceasta constă în solicitarea unor informaţii, date şi documente necesare soluţionării cazului supus investigaţiei sau controlului prealabil, în scris şi în cadrul unui termen stabilit de ANSPDCP.

(6) Finalizarea controlului prealabil sau a investigaţiei efectuate conform alin. (4) sau (5) poate să constea în întocmirea procesului-verbal de constatare/sancţionare contravenţională în condiţiile prevăzute la art. 15 din prezenta procedură.

Art. 6 În situaţia în care persoanele vizate, entitatea controlată sau reprezentanţii lor solicită efectuarea unor expertize, acestea se realizează pe cheltuiala persoanelor în cauză, cu respectarea condiţiilor prevăzute de actele normative privind organizarea activităţii de expertiză tehnică judiciară şi extrajudiciară.

Art. 7 (1) Echipa de control poate propune, când este necesar, printr-o notă prezentată şefului Serviciului investigaţii, audierea persoanei vizate, a operatorului şi, dacă este cazul, a persoanei împuternicite sau a asociaţiei ori fundaţiei care reprezintă interesele persoanei vizate.

(2) Audierea efectuată în condiţiile alin. (1) se consemnează de echipa de control într-o notă de audiere semnată inclusiv de persoanele audiate care se înregistrează şi face parte din dosarul acţiunii de control.

(3) Rezultatul audierii se consemnează în raportul întocmit în cazurile prevăzute de prezenta procedură.

Art. 8 (1) În toate situaţiile în care se consideră necesar, echipa de control propune printr-un raport înaintat spre aprobare preşedintelui ANSPDCP, cu avizul şefului Serviciului investigaţii, emiterea unor recomandări, avize, decizii, instrucţiuni obligatorii sau a altor măsuri de înlăturare a unor deficienţe constatate, cu respectarea termenelor legale.

(2) În cazuri excepţionale, actele prevăzute la alin. (1), precum şi procesele-verbale de constatare/sancţionare contravenţională, însoţite de înştiinţările de plată, se pot comunica entităţii controlate, prin intermediul executorilor judecătoreşti.

SECŢIUNEA a 2-a: Reguli specifice privind efectuarea controalelor prealabile

Art. 9 (1) ANSPDCP efectuează controale prealabile în cazurile în care sunt notificate operaţiuni de prelucrare a datelor personale, care sunt susceptibile de a prezenta riscuri speciale pentru drepturile şi libertăţile persoanelor, stabilite potrivit deciziei preşedintelui ANSPDCP.

(2) Controlul prealabil este obligatoriu şi anterior începerii prelucrării datelor, realizându-se în condiţiile art. 4 alin. (3)-(6) din prezenta procedură. Efectuarea controlului prealabil este propusă de Serviciul evidenţă operatori şi prelucrări date ori de Biroul autorizaţii, printr-o notă înaintată şefului Serviciului investigaţii, cu respectarea deciziei preşedintelui autorităţii de supraveghere prevăzute la alin. (1).

(3) Entităţile la care se efectuează controlul prealabil sunt anunţate despre efectuarea acestuia, în termen de 5 zile de la data înregistrării notificării la ANSPDCP prin poştă, cu confirmare de primire, poştă electronică sau prin fax, după caz. Anunţul conţine data la care se va efectua controlul prealabil şi obligaţia de a nu începe prelucrarea datelor personale, notificată la ANSPDCP.

(4) Echipa de control verifică operaţiunile prevăzute la alin. (1), sub următoarele aspecte:

a) respectarea prevederilor legale referitoare la prelucrarea datelor cu caracter personal susceptibile de risc;

b) adoptarea unor măsuri suplimentare de securitate.

(5) În cazul în care se constată săvârşirea unei contravenţii, persoanele împuternicite în acest sens aplică sancţiunea prin procesul-verbal de constatare/sancţionare contravenţională.

Art. 10 (1) În funcţie de constatările consemnate în procesul-verbal încheiat cu ocazia controlului prealabil conform art. 15 din prezenta procedură, echipa de control poate propune prin raportul înaintat spre aprobare preşedintelui ANSPDCP, cu avizul şefului Serviciului investigaţii, următoarele:

a) emiterea unei decizii privind începerea prelucrării datelor cu caracter personal, în condiţiile declarate în notificare;

b) emiterea unei decizii privind începerea prelucrării datelor cu caracter personal, în alte condiţii decât cele declarate în notificare;

c) emiterea unei decizii privind interzicerea începerii prelucrării datelor cu caracter personal;

d) autorizarea transferului în străinătate sau a prelucrării datelor cu caracter personal, în cazul în care controlul a avut un astfel de obiect, în condiţiile prevăzute la lit. a) sau b), după caz.

(2) Actele emise în aplicarea alin. (1) se semnează de preşedintele ANSPDCP, cu avizul şefului compartimentului competent, după caz şi se vor face menţiunile corespunzătoare în registrele ţinute de ANSPDCP.

(3) În toate cazurile, actele emise în aplicarea alin. (1) se transmit entităţii controlate în maxim 30 de zile de la data înregistrării notificării la autoritatea de supraveghere.

SECŢIUNEA a 3-a: Reguli specifice privind efectuarea investigaţiilor

Art. 11 (1) ANSPDCP efectuează investigaţii în cazurile în care este necesară verificarea prelucrărilor de date cu caracter personal, indiferent dacă în cazul respectiv a fost efectuat sau nu un control prealabil.

(2) Investigaţia poate fi efectuată din oficiu ori pentru verificarea unor plângeri sau sesizări.

(3) În cadrul investigaţiei se va urmări respectarea legii de către operatori, împuterniciţii acestora, reprezentanţii şi persoanele care acţionează sub autoritatea operatorilor, în ceea ce priveşte asigurarea caracteristicilor datelor prelucrate, a legitimităţii prelucrării datelor personale, a confidenţialităţii sau securităţii datelor personale prelucrate, precum şi a drepturilor persoanelor vizate.

Art. 12 (1) Investigaţia din oficiu se efectuează pentru verificarea unor date şi informaţii cu privire la prelucrarea datelor cu caracter personal, obţinute de către ANSPDCP din alte surse decât cele care fac obiectul unor plângeri sau sesizări.

(2) Datele şi informaţiile menţionate la alin. (1) pot fi culese din notificări, mass-media, accesarea reţelei de internet, din documentele de constatare întocmite în urma efectuării altor controale prealabile sau investigaţii, din activităţile de cooperare cu entităţi de drept public sau privat ori cu autorităţi de supraveghere din străinătate, precum şi din alte surse.

(3) Investigaţia din oficiu se poate declanşa în conformitate cu condiţiile prevăzute la art. 4 din prezenta procedură.

Art. 13 (1) În afara situaţiilor prevăzute la art. 12, investigaţia se poate efectua şi pentru verificarea unor date şi informaţii cu privire la prelucrarea datelor cu caracter personal, obţinute de către ANSPDCP din plângerile sau sesizările adresate autorităţii de supraveghere.

(2) Soluţionarea plângerilor şi a sesizărilor se realizează în conformitate cu procedura aprobată prin decizie a preşedintelui ANSPDCP.

Art. 14 (1) În cazul în care, înainte sau în timpul efectuării investigaţiei, se constată că există o acţiune în justiţie introdusă în prealabil, care are ca obiect săvârşirea aceleiaşi încălcări a drepturilor persoanei vizate şi opune aceleaşi părţi, se întocmeşte o notă prezentată spre aprobare preşedintelui ANSPDCP, pe cale ierarhică.

(2) Prin nota prevăzută la alin. (1) sunt explicate motivele pentru care nu poate fi efectuată investigaţia sau prin care se propune suspendarea ori încetarea, după caz, a investigaţiei, în situaţia în care incidentul prevăzut la alin. (1) se constată după declanşarea procedurii de investigare.

Art. 15 (1) Rezultatul investigaţiei se consemnează în procesul-verbal de constatare/sancţionare contravenţională al cărui model este prevăzut în anexa nr. 3 la prezenta procedură, precum şi în raportul întocmit în cazurile în care acesta este necesar potrivit prezentei proceduri sau a cărui redactare este solicitată de preşedintele, vicepreşedintele ANSPDCP ori de şeful Serviciului Investigaţii.

(2) În procesul-verbal de constatare/sancţionare contravenţională încheiat conform alin. (1), echipa de control consemnează obligatoriu următoarele:

a) data şi locul încheierii procesului-verbal de constatare/sancţionare contravenţională;

b) datele de identificare şi funcţiile membrilor echipei de control, inclusiv numărul legitimaţiei de control;

c) numărul şi data împuternicirii aprobate de preşedintele ANSPDCP;

d) obiectul controlului;

e) datele de identificare ale entităţii controlate;

f) datele de identificare şi funcţiile reprezentanţilor entităţii controlate;

g) constatările rezultate în urma verificărilor efectuate;

h) descrierea faptei contravenţionale, cu indicarea datei şi locului în care a fost săvârşită fapta, precum şi a actului normativ prin care se stabileşte şi se sancţionează contravenţia, precum şi sancţiunea aplicată;

i) termenul de exercitare a căii de atac şi organul la care se depune plângerea, în cazul aplicării unei sancţiuni contravenţionale;

j) dacă s-au ridicat documente sau alte materiale, felul şi natura acestora;

k) obiecţiile reprezentanţilor entităţii controlate, care au participat la activitatea de control, după caz;

l) menţiuni privind înmânarea/comunicarea procesului-verbal de constatare/sancţionare contravenţională, în copie, reprezentanţilor entităţii controlate, în cazul aplicării unei sancţiuni contravenţionale de către persoanele împuternicite; în situaţia aplicării sancţiunii cu amendă de către persoanele împuternicite în acest sens, procesul-verbal va cuprinde şi menţiuni referitoare la înmânarea/comunicarea înştiinţării de plată;

m) motivele pentru care reprezentanţii entităţii controlate nu au semnat procesul-verbal de constatare/sancţionare, cu indicarea datelor de identificare a martorului care atestă motivele nesemnării procesului-verbal, în cazul în care acesta există sau a motivelor care au condus la întocmirea procesului-verbal în lipsa unui martor.

(3) În cazul aplicării sancţiunii cu amendă de către persoanele împuternicite în acest sens, echipa de control completează înştiinţarea de plată, al cărei model este prevăzut în anexa nr. 4 la prezenta procedură. Înştiinţarea de plată se înmânează, se comunică contravenientului ori se afişează împreună cu fotocopia procesului-verbal de constatare/sancţionare, după caz.

(4) Procesul-verbal de constatare/sancţionare se datează şi se semnează pe fiecare pagină completată de către membrii echipei de control, reprezentanţii desemnaţi ai entităţii controlate şi după caz, de către martor, la rubrica corespunzătoare.

(5) În cazul în care contravenientul nu este prezent sau, deşi prezent, nu poate sau refuză să semneze procesul-verbal, copia acestuia împreună cu înştiinţarea de plată a amenzii, după caz, se comunică în termen de o lună de la încheierea procesului-verbal, prin poştă, cu confirmare de primire sau se afişează la domiciliul/sediul contravenientului. În acest ultim caz, se întocmeşte un proces-verbal de afişare, semnat de cel puţin un martor, conform modelului din anexa nr. 5 la prezenta procedură. În cazuri excepţionale, se poate face aplicarea art. 8 alin. (2) din prezenta procedură.

(6) Serviciul investigaţii ţine evidenţa sancţiunilor contravenţionale aplicate.

Art. 16 Echipa de control comunică Biroului juridic şi comunicare, în original, procesul-verbal de constatare/sancţionare contravenţională, înştiinţarea de plată şi documentele de comunicare a acestora, după caz, în baza unei note avizate de şeful Serviciului investigaţii, în vederea declanşării procedurii de executare silită, conform legii.

Art. 17 (1) În urma efectuării investigaţiilor, ANSPDCP, pe lângă aplicarea sancţiunilor contravenţionale prevăzute de lege, poate dispune şi măsuri obligatorii care au rolul să întrerupă o încălcare a drepturilor persoanei vizate prin prelucrarea ilegală a datelor cu caracter personal.

(2) Măsurile prevăzute la alin. (1) se dispun prin decizii întocmite în formă scrisă, motivate şi semnate de preşedintele ANSPDCP şi pot avea ca obiect următoarele:

a) interzicerea efectuării unor prelucrări de date personale;

b) suspendarea provizorie a unora sau a tuturor operaţiunilor de prelucrare a datelor cu caracter personal;

c) încetarea prelucrării datelor cu caracter personal;

d) ştergerea parţială ori integrală a datelor prelucrate;

e) sesizarea organelor de urmărire penală, în cazul în care se constată că faptele săvârşite de entitatea controlată întrunesc elementele constitutive ale unor infracţiuni;

f) introducerea acţiunilor în instanţă pentru apărarea drepturilor garantate de lege persoanelor vizate;

g) alte măsuri accesorii pentru intrarea în legalitate.

(3) Măsurile prevăzute la alin. (2) se propun printr-un raport întocmit de către echipa de control, avizat de şeful Serviciului investigaţii. După aprobarea raportului de către preşedintele ANSPDCP, copia acestuia se transmite la Biroul juridic şi comunicare, în vederea elaborării proiectului de decizie.

(4) Deciziile aprobate şi semnate se transmit entităţii controlate în termen de maxim 30 de zile calendaristice de la data înregistrării plângerii, în cazul investigaţiilor efectuate pentru verificarea unor plângeri şi în maxim 30 de zile calendaristice de la data efectuării investigaţiilor din oficiu. Serviciul investigaţii este înştiinţat în legătură cu transmiterea deciziei.

(5) Deciziile conţin prevederi referitoare la termenul în care entitatea controlată trebuie să aducă la îndeplinire măsurile dispuse de preşedintele ANSPDCP.

(6) După expirarea termenului dispus prin decizie, în cazul în care entitatea controlată nu a făcut dovada îndeplinirii măsurilor, se efectuează o nouă investigaţie pentru verificarea modului în care au fost executate măsurile dispuse, cu respectarea prezentei proceduri.

(7) Măsurile prevăzute la alin. (2) pot fi modificate, înlocuite sau revocate, după caz, numai prin decizia preşedintelui ANSPDCP, în condiţiile prezentei proceduri.

Art. 18 Nerespectarea prevederilor prezentei proceduri poate atrage răspunderea disciplinară.

CAPITOLUL AL III-LEA - DISPOZIŢII TRANZITORII ŞI FINALE

Art. 19 Anexele nr. 1-5 fac parte integrantă din prezenta procedură.

Art. 20 Investigaţiile şi controalele prealabile începute anterior intrării în vigoare a prezentei proceduri, se efectuează în continuare cu respectarea prevederilor acesteia.