Elemente esențiale ale procedurii de investigații desfășurate de către ANSPDCP
Prin Decizia nr. 161 din 9 octombrie 2018, publicată în Monitorul Oficial al României nr. 892 din 23 octombrie 2018, a fost aprobată Procedura de efectuare a investigațiilor GDPR prin care au fost consfințite următoarele elemente esențiale:
1. Cum se declanșează investigațiile?
Conform prevederilor art. 2 din Deczia nr. 161, investigaţiile se pot efectua atât din oficiu cât și în urma primirii unei plângeri.
Când autoritatea de supraveghere a fost sesizată prin plângere efectuarea investigaţiilor pentru soluţionarea acestora se aprobă prin rezoluţia scrisă a preşedintelui ANSPDCP care dispune de posibilitatea de a delega această atribuţie şefului compartimentului de specialitate.
Atunci când autoritatea de supraveghere se autosesizează, informaţiile care pot conduce la efectuarea unei investigații provin din surse precum:
- corespondenţa primită de autoritate;
- mass-media;
- accesarea reţelei de internet;
- documentele de constatare întocmite în urma efectuării altor investigaţii sau alte documente de la nivelul autorității;
- activităţile de cooperare cu entităţi de drept public sau privat ori cu autorităţi de supraveghere din străinătate.
Este de reținut că investigaţiile din oficiu se pot efectua şi sub formă de audituri privind protecţia datelor.
2. Notificarea entității unde se desfășoară investigația
Conform art. 14 din decizia ante-menționată investigaţiile pot fi efectuate:
– cu înştiinţarea entităţii controlate, sau
– fără înștiințarea prealabilă, în scris, a entităţii controlate.
Rămâne la liberul arbitru al autorității să stabilească exact criteriile în urma cărora pot anunța sau nu entitățile vizate de controale.
În cazul în care investigaţia este efectuată cu înştiinţarea entităţii controlate, aceasta se efectuează începând cu data şi ora anunţate de ANSPDCP. Investigațiile se pot efectua doar în intervalul orar 8:00-18:00, depășirea acestui interval putându-se realiza doar cu încuviințarea reprezentantului entității controlate.
3. Modalități de investigare
Investigaţiile pot fi efectuate în trei modalități:
– pe teren – însemnând la sediul/punctul de lucru entității controlate;
– la sediul autorității de supraveghere – în acest caz i se va solicita reprezentantului entității controlate să furnizeze documentele/mediile de stocare ș.a. direct autorității de supraveghere.
– în scris – până la publicarea procedurii de investigații aceasta a fost modalitatea prin care ANSPDCP a efectuat investigații. În concret, inspectorii din cadrul ANSPDCP, de regulă în urma primirii unor plângeri, transmit adrese entității controlate prin care îi solicită punct de vedere + documente/probe față de cele invocate de către persoana vizată prin plângere.
4. Obligațiile entității controlate
a) să permită personalului de control din cadrul ANSPDCP, fără întârziere, începerea şi derularea investigaţiei şi să asigure suportul necesar personalului de control;
b) să asigure accesul personalului de control în incintele în care îşi desfăşoară activitatea, la orice echipament, mijloc sau suport de prelucrare/stocare a datelor, în vederea efectuării verificărilor necesare desfăşurării investigaţiei, inclusiv la cele care pot fi accesate la distanţă;
c) să pună la dispoziţia personalului de control orice informaţii şi documente indiferent de suportul de stocare, necesare desfăşurării investigaţiei, inclusiv copii de pe acestea;
d) să pună la dispoziţia ANSPDCP documentele solicitate, certificate pentru conformitate cu originalul;
e) să furnizeze într-o formă completă documentele, informaţiile, înregistrările şi evidenţele solicitate, precum şi orice lămuriri necesare, fără a putea opune caracterul confidenţial al acestora, în condiţiile legii;
f) să permită personalului de control utilizarea echipamentelor de înregistrare şi stocare audiovideo/foto ori de câte ori echipa de control consideră că este necesar în cadrul derulării activităţii de control.
5. Materializarea rezultatelor investigațiilor
În cadrul efectuării investigaţiilor, inspectorii ANSPDCP pot propune printr-o notă, avizată/semnată de şeful ierarhic şi aprobată de preşedintele ANSPDCP/înlocuitorul acestuia, efectuarea de expertize, în condiţiile legii sau pot audia persoanele persoanele ale căror declaraţii sunt considerate relevante şi necesare desfăşurării investigaţiei.
Rezultatul investigaţiei se consemnează în procesul-verbal de constatare/sancţionare încheiat de inspectorii ANSPDCP.
6. Caracteristicile procesului-verbal de constatare/sancționare
Acest proces-verbal de constatare/sancţionare se întocmeşte într-un singur exemplar, o copie a acestuia înmânându-se reprezentantului legal sau desemnat al entităţii controlate. Cele mai importante aspecte legate de procesul-verbal sunt faptul că este titlu de creanţă şi înştiinţare de plată. În plus, procesul-verbal de constatare/sancţionare necontestat la instanţa competentă în termen de 15 zile, potrivit legii, constituie titlu executoriu.
În cuprinsul procedurii sunt expres menționate informațiile pe care trebuie să le conțină, în mod obligatoriu, procesul-verbal de constatare/sancționare.
7. Sancțiunile care pot fi aplicate de inspectorii ANSPDCP/președintele ANSPDCP
Aplicarea de sancţiuni operatorilor se face prin procesul-verbal de constatare/sancţionare încheiat de personalul de control sau prin decizie a preşedintelui ANSPDCP. În urma efectuării investigaţiilor, pe lângă aplicarea sancţiunilor contravenţionale prevăzute de lege, respectiv amenda administrativă, avertismentul şi avertizarea, ANSPDCP poate dispune şi alte măsuri corective şi poate formula recomandări.
Măsurile corective pot consta în obligarea operatorului sau a persoanei împuternicite de operator să respecte cererile persoanei vizate de exercitare a drepturilor, să asigure conformitatea operaţiunilor de prelucrare cu dispoziţiile legale aplicabile, obligarea operatorului să informeze persoana vizată cu privire la o încălcare a protecţiei datelor cu caracter personal. Acestea pot fi dispuse prin procesul-verbal de constatare/sancţionare sau prin decizie a preşedintelui ANSPDCP.
Există și măsuri corective care se dispun doar prin decizie a președintelui ANSPDCP. Astfel de măsuri constau, după caz, în limitarea temporară sau definitivă, interdicţia asupra prelucrării, rectificarea sau ştergerea datelor cu caracter personal, restricţionarea prelucrării, notificarea acestor acţiuni destinatarilor cărora le-au fost divulgate datele cu caracter personal, retragerea unei certificări etc.
8. Contestarea măsurilor dispuse de Autoritate
Împotriva procesului-verbal de constatare/sancţionare şi/sau a deciziei de aplicare a măsurilor corective, după caz, operatorul sau persoana împuternicită de operator poate introduce contestaţie la secţia de contencios administrativ a tribunalului competent, în termen de 15 de zile de la data înmânării, respectiv de la data comunicării procesului-verbal de constatare/sancţionare sau a deciziei preşedintelui ANSPDCP.
De menționat este și faptul că introducerea contestaţiei suspendă numai plata amenzii (nu și a celorlaltor sancțiuni), până la pronunţarea unei hotărâri judecătoreşti definitive.
Avocat Gherasim Andrei-Gheorghe
Titular Cabinet de Avocat ”Gherasim Andrei-Gheorghe”