LEGE nr. 677 din 21 noiembrie 2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date
Publicat în
MONITORUL OFICIAL nr. 790 din 12 decembrie 2001
+ LA DATA DE 25 MAI 2018 SE ABROGĂ LEGEA NR. 677/2001, POTRIVIT ALIN. (1) AL ART. V DIN LEGEA NR. 129 DIN 15 IUNIE 2018, PUBLICATĂ ÎN MONITORUL OFICIAL NR. 503 DIN 19 IUNIE 2018.Parlamentul României adopta prezenta lege. + Capitolul I Dispoziții generaleScop + Articolul 1(1) Prezenta lege are ca scop garantarea și protejarea drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la viața intima, familială și privată, cu privire la prelucrarea datelor cu caracter personal.(2) Exercitarea drepturilor prevăzute în prezenta lege nu poate fi restrânsă decât în cazuri expres și limitativ prevăzute de lege.Domeniu de aplicare + Articolul 2(1) Prezenta lege se aplică prelucrarilor de date cu caracter personal, efectuate, în tot sau în parte, prin mijloace automate, precum și prelucrării prin alte mijloace.decât cele automate a datelor cu caracter personal care fac parte dintr-un sistem de evidenta sau care sunt destinate să fie incluse într-un asemenea sistem.(2) Prezenta lege se aplică:a) prelucrarilor de date cu caracter personal, efectuate în cadrul activităților desfășurate de operatori stabiliți în România;b) prelucrarilor de date cu caracter personal, efectuate în cadrul activităților desfășurate de misiunile diplomatice sau de oficiile consulare ale României;c) prelucrarilor de date cu caracter personal, efectuate în cadrul activităților desfășurate de operatori care nu sunt stabiliți în România, prin utilizarea de mijloace de orice natura situate pe teritoriul României, cu excepția cazului în care aceste mijloace nu sunt utilizate decât în scopul tranzitarii pe teritoriul României a datelor cu caracter personal care fac obiectul prelucrarilor respective.(3) În cazul prevăzut la alin. (2) lit. c) operatorul își va desemna un reprezentant care trebuie să fie o persoană stabilită în România. Prevederile prezentei legi aplicabile operatorului sunt aplicabile și reprezentantului acestuia, fără a aduce atingere posibilității de a introduce acțiune în justiție direct împotriva operatorului.(4) Prezenta lege se aplică prelucrarilor de date cu caracter personal efectuate de persoane fizice sau juridice, române ori străine, de drept public sau de drept privat, indiferent dacă au loc în sectorul public sau în sectorul privat.(5) În limitele prevăzute de prezenta lege, aceasta se aplică și prelucrarilor și transferului de date cu caracter personal, efectuate în cadrul activităților de prevenire, cercetare și reprimare a infracțiunilor și de menținere a ordinii publice, precum și al altor activități desfășurate în domeniul dreptului penal, în limitele și cu restricțiile stabilite de lege.(6) Prezenta lege nu se aplică prelucrarilor de date cu caracter personal, efectuate de persoane fizice exclusiv pentru uzul lor personal, dacă datele în cauza nu sunt destinate a fi dezvăluite.(7) Prezenta lege nu se aplică prelucrarilor și transferului de date cu caracter personal, efectuate în cadrul activităților în domeniul apărării naționale și siguranței naționale, desfășurate în limitele și cu restricțiile stabilite de lege.(8) Prevederile prezentei legi nu aduc atingere obligațiilor asumate de România prin instrumente juridice ratificate.Definiții + Articolul 3În înțelesul prezentei legi, următorii termeni se definesc după cum urmează:a) date cu caracter personal - orice informații referitoare la o persoană fizica identificata sau identificabila; o persoană identificabila este acea persoana care poate fi identificata, direct sau indirect, în mod particular prin referire la un număr de identificare ori la unul sau la mai mulți factori specifici identității sale fizice, fiziologice, psihice, economice, culturale sau sociale;b) prelucrarea datelor cu caracter personal - orice operațiune sau set de operațiuni care se efectuează asupra datelor cu caracter personal, prin mijloace automate sau neautomate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvaluirea către terți prin transmitere, diseminare sau în orice alt mod, alaturarea ori combinarea, blocarea, ștergerea sau distrugerea;c) stocarea - păstrarea pe orice fel de suport a datelor cu caracter personal culese;d) sistem de evidenta a datelor cu caracter personal - orice structura organizată de date cu caracter personal, accesibila potrivit unor criterii determinate, indiferent dacă aceasta structura este organizată în mod centralizat ori descentralizat sau este repartizata după criterii functionale ori geografice;e) operator - orice persoană fizica sau juridică, de drept privat ori de drept public, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, care stabilește scopul și mijloacele de prelucrare a datelor cu caracter personal; dacă scopul și mijloacele de prelucrare a datelor cu caracter personal sunt determinate printr-un act normativ sau în baza unui act normativ, operator este persoana fizica sau juridică, de drept public ori de drept privat, care este desemnată ca operator prin acel act normativ sau în baza acelui act normativ;f) persoana imputernicita de către operator - o persoană fizica sau juridică, de drept privat ori de drept public, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, care prelucreaza date cu caracter personal pe seama operatorului;g) terț - orice persoană fizica sau juridică, de drept privat ori de drept public, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, alta decât persoana vizata, operatorul ori persoana imputernicita sau persoanele care, sub autoritatea directa a operatorului sau a persoanei împuternicite, sunt autorizate sa prelucreze date;h) destinatar - orice persoană fizica sau juridică, de drept privat ori de drept public, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, căreia îi sunt dezvăluite date, indiferent dacă este sau nu terț; autoritățile publice cărora li se comunică date în cadrul unei competente speciale de ancheta nu vor fi considerate destinatari;i) date anonime - date care, datorită originii sau modalitatii specifice de prelucrare, nu pot fi asociate cu o persoană identificata sau identificabila. + Capitolul II Reguli generale privind prelucrarea datelor cu caracter personalCaracteristicile datelor cu caracter personal în cadrul prelucrării + Articolul 4(1) Datele cu caracter personal destinate a face obiectul prelucrării trebuie să fie:a) prelucrate cu buna-credința și în conformitate cu dispozițiile legale în vigoare;b) colectate în scopuri determinate, explicite și legitime; prelucrarea ulterioară a datelor cu caracter personal în scopuri statistice, de cercetare istorica sau științifică nu va fi considerată incompatibilă cu scopul colectării dacă se efectuează cu respectarea dispozițiilor prezentei legi, inclusiv a celor care privesc efectuarea notificării către autoritatea de supraveghere, precum și cu respectarea garanțiilor privind prelucrarea datelor cu caracter personal, prevăzute de normele care reglementează activitatea statistica ori cercetarea istorica sau științifică;c) adecvate, pertinente și neexcesive prin raportare la scopul în care sunt colectate și ulterior prelucrate;d) exacte și, dacă este cazul, actualizate; în acest scop se vor lua măsurile necesare pentru ca datele inexacte sau incomplete din punct de vedere al scopului pentru care sunt colectate și pentru care vor fi ulterior prelucrate, să fie șterse sau rectificate;e) stocate într-o formă care să permită identificarea persoanelor vizate strict pe durata necesară realizării scopurilor în care datele sunt colectate și în care vor fi ulterior prelucrate; stocarea datelor pe o durată mai mare decât cea menționată, în scopuri statistice, de cercetare istorica sau științifică, se va face cu respectarea garanțiilor privind prelucrarea datelor cu caracter personal, prevăzute în normele care reglementează aceste domenii, și numai pentru perioada necesară realizării acestor scopuri.(2) Operatorii au obligația să respecte prevederile alin. (1) și să asigure îndeplinirea acestor prevederi de către persoanele împuternicite.Condiții de legitimitate privind prelucrarea datelor + Articolul 5(1) Orice prelucrare de date cu caracter personal, cu excepția prelucrarilor care vizează date din categoriile menționate la art. 7 alin. (1), art. 8 și 10, poate fi efectuată numai dacă persoana vizata și-a dat consimțământul în mod expres și neechivoc pentru acea prelucrare.(2) Consimțământul persoanei vizate nu este cerut în următoarele cazuri:a) când prelucrarea este necesară în vederea executării unui contract sau antecontract la care persoana vizata este parte ori în vederea luării unor măsuri, la cererea acesteia, înaintea încheierii unui contract sau antecontract;b) când prelucrarea este necesară în vederea protejării vieții, integrității fizice sau sănătății persoanei vizate ori a unei alte persoane amenintate;c) când prelucrarea este necesară în vederea îndeplinirii unei obligații legale a operatorului;d) când prelucrarea este necesară în vederea aducerii la îndeplinire a unor măsuri de interes public sau care vizează exercitarea prerogativelor de autoritate publică cu care este investit operatorul sau terțul căruia îi sunt dezvăluite datele;e) când prelucrarea este necesară în vederea realizării unui interes legitim al operatorului sau al terțului căruia îi sunt dezvăluite datele, cu condiția ca acest interes sa nu prejudicieze interesul sau drepturile și libertățile fundamentale ale persoanei vizate;f) când prelucrarea privește date obținute din documente accesibile publicului, conform legii;g) când prelucrarea este făcuta exclusiv în scopuri statistice, de cercetare istorica sau științifică, iar datele rămân anonime pe toată durata prelucrării.(3) Prevederile alin. (2) nu aduc atingere dispozițiilor legale care reglementează obligația autorităților publice de a respecta și de a ocroti viața intima, familială și privată.Încheierea operațiunilor de prelucrare + Articolul 6(1) La încheierea operațiunilor de prelucrare, dacă persoana vizata nu și-a dat în mod expres și neechivoc consimțământul pentru o alta destinație sau pentru o prelucrare ulterioară, datele cu caracter personal vor fi:a) distruse;b) transferate unui alt operator, cu condiția ca operatorul inițial sa garanteze faptul ca prelucrările ulterioare au scopuri similare celor în care s-a făcut prelucrarea inițială;c) transformate în date anonime și stocate exclusiv în scopuri statistice, de cercetare istorica sau științifică.(2) În cazul operațiunilor de prelucrare efectuate în condițiile prevăzute la art. 5 alin. (2) lit. c) sau d), în cadrul activităților descrise la art. 2 alin. (5), operatorul poate stoca datele cu caracter personal pe perioada necesară realizării scopurilor concrete urmărite, cu condiția asigurării unor măsuri corespunzătoare de protejare a acestora, după care va proceda la distrugerea lor dacă nu sunt aplicabile prevederile legale privind păstrarea arhivelor. + Capitolul III Reguli speciale privind prelucrarea datelor cu caracter personalPrelucrarea unor categorii speciale de date + Articolul 7(1) Prelucrarea datelor cu caracter personal legate de originea rasială sau etnică, de convingerile politice, religioase, filozofice sau de natura similară, de apartenența sindicala, precum și a datelor cu caracter personal privind starea de sănătate sau viața sexuală este interzisă.(2) Prevederile alin. (1) nu se aplică în următoarele cazuri:a) când persoana vizata și-a dat în mod expres consimțământul pentru o astfel de prelucrare;b) când prelucrarea este necesară în scopul respectării obligațiilor sau drepturilor specifice ale operatorului în domeniul dreptului muncii, cu respectarea garanțiilor prevăzute de lege; o eventuala dezvaluire către un terț a datelor prelucrate poate fi efectuată numai dacă exista o obligație legală a operatorului în acest sens sau dacă persoana vizata a consimțit expres la aceasta dezvaluire;c) când prelucrarea este necesară pentru protecția vieții, integrității fizice sau a sănătății persoanei vizate ori a altei persoane, în cazul în care persoana vizata se afla în incapacitate fizica sau juridică de a-și da consimțământul;d) când prelucrarea este efectuată în cadrul activităților sale legitime de către o fundație, asociație sau de către orice alta organizație cu scop nelucrativ și cu specific politic, filozofic, religios ori sindical, cu condiția ca persoana vizata să fie membra a acestei organizații sau sa întrețină cu aceasta, în mod regulat, relații care privesc specificul activității organizației și ca datele sa nu fie dezvăluite unor terți fără consimțământul persoanei vizate;e) când prelucrarea se referă la date făcute publice în mod manifest de către persoana vizata;f) când prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în justiție;g) când prelucrarea este necesară în scopuri de medicina preventivă, de stabilire a diagnosticelor medicale, de administrare a unor îngrijiri sau tratamente medicale pentru persoana vizata ori de gestionare a serviciilor de sănătate care acționează în interesul persoanei vizate, cu condiția ca prelucrarea datelor respective să fie efectuate de către ori sub supravegherea unui cadru medical supus secretului profesional sau de către ori sub supravegherea unei alte persoane supuse unei obligații echivalente în ceea ce privește secretul;h) când legea prevede în mod expres aceasta în scopul protejării unui interes public important, cu condiția ca prelucrarea să se efectueze cu respectarea drepturilor persoanei vizate și a celorlalte garanții prevăzute de prezenta lege.(3) Prevederile alin. (2) nu aduc atingere dispozițiilor legale care reglementează obligația autorităților publice de a respecta și de a ocroti viața intima, familială și privată.(4) Autoritatea de supraveghere poate dispune, din motive întemeiate, interzicerea efectuării unei prelucrari de date din categoriile prevăzute la alin. (1), chiar dacă persoana vizata și-a dat în scris și în mod neechivoc consimțământul, iar acest consimțământ nu a fost retras, cu condiția ca interdicția prevăzută la alin. (1) sa nu fie înlăturată prin unul dintre cazurile la care se referă alin. (2) lit. b)-g).Prelucrarea datelor cu caracter personal având funcție de identificare + Articolul 8(1) Prelucrarea codului numeric personal sau a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală poate fi efectuată numai dacă:a) persoana vizata și-a dat în mod expres consimțământul; saub) prelucrarea este prevăzută în mod expres de o dispoziție legală.(2) Autoritatea de supraveghere poate stabili și alte cazuri în care se poate efectua prelucrarea datelor prevăzute la alin. (1), numai cu condiția instituirii unor garanții adecvate pentru respectarea drepturilor persoanelor vizate.Prelucrarea datelor cu caracter personal privind starea de sănătate + Articolul 9(1) În afară cazurilor prevăzute la art. 7 alin. (2), prevederile art. 7 alin. (1) nu se aplică în privința prelucrării datelor privind starea de sănătate în următoarele cazuri:a) dacă prelucrarea este necesară pentru protecția sănătății publice;b) dacă prelucrarea este necesară pentru prevenirea unui pericol iminent, pentru prevenirea săvârșirii unei fapte penale sau pentru împiedicarea producerii rezultatului unei asemenea fapte ori pentru înlăturarea urmărilor prejudiciabile ale unei asemenea fapte.(2) Prelucrarea datelor privind starea de sănătate poate fi efectuată numai de către ori sub supravegherea unui cadru medical, cu condiția respectării secretului profesional, cu excepția situației în care persoana vizata și-a dat în scris și în mod neechivoc consimțământul atâta timp cat acest consimțământ nu a fost retras, precum și cu excepția situației în care prelucrarea este necesară pentru prevenirea unui pericol iminent, pentru prevenirea săvârșirii unei fapte penale, pentru împiedicarea producerii rezultatului unei asemenea fapte sau pentru înlăturarea urmărilor sale prejudiciabile.(3) Cadrele medicale, instituțiile de sănătate și personalul medical al acestora pot prelucra date cu caracter personal referitoare la starea de sănătate, fără autorizația autorității de supraveghere, numai dacă prelucrarea este necesară pentru protejarea vieții, integrității fizice sau sănătății persoanei vizate. Când scopurile menționate se referă la alte persoane sau la public în general și persoana vizata nu și-a dat consimțământul în scris și în mod neechivoc, trebuie cerută și obținută în prealabil autorizația autorității de supraveghere. Prelucrarea datelor cu caracter personal în afară limitelor prevăzute în autorizație este interzisă.(4) Cu excepția motivelor de urgenta, autorizația prevăzută la alin. (3) poate fi acordată numai după ce a fost consultat Colegiul Medicilor din România.(5) Datele cu caracter personal privind starea de sănătate pot fi colectate numai de la persoana vizata. Prin excepție, aceste date pot fi colectate din alte surse numai în măsura în care este necesar pentru a nu compromite scopurile prelucrării, iar persoana vizata nu vrea ori nu le poate furniza.Prelucrarea datelor cu caracter personal referitoare la fapte penale sau contravenții + Articolul 10(1) Prelucrarea datelor cu caracter personal referitoare la săvârșirea de infracțiuni de către persoana vizata ori la condamnări penale, măsuri de siguranță sau sancțiuni administrative ori contravenționale, aplicate persoanei vizate, poate fi efectuată numai de către sau sub controlul autorităților publice, în limitele puterilor ce le sunt conferite prin lege și în condițiile stabilite de legile speciale care reglementează aceste materii.(2) Autoritatea de supraveghere poate stabili și alte cazuri în care se poate efectua prelucrarea datelor prevăzute la alin. (1), numai cu condiția instituirii unor garanții adecvate pentru respectarea drepturilor persoanelor vizate.(3) Un registru complet al condamnărilor penale poate fi ținut numai sub controlul unei autorități publice, în limitele puterilor ce îi sunt conferite prin lege.Excepții + Articolul 11Prevederile art. 5, 6, 7 și 10 nu se aplică în situația în care prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice, dacă prelucrarea privește date cu caracter personal care au fost făcute publice în mod manifest de către persoana vizata sau care sunt strâns legate de calitatea de persoana publică a persoanei vizate ori de caracterul public al faptelor în care este implicata. + Capitolul IV Drepturile persoanei vizate în contextul prelucrării datelor cu caracter personalInformarea persoanei vizate + Articolul 12(1) În cazul în care datele cu caracter personal sunt obținute direct de la persoana vizata, operatorul este obligat sa furnizeze persoanei vizate cel puțin următoarele informații, cu excepția cazului în care aceasta persoana poseda deja informațiile respective:a) identitatea operatorului și a reprezentantului acestuia, dacă este cazul;b) scopul în care se face prelucrarea datelor;c) informații suplimentare, precum: destinatarii sau categoriile de destinatari ai datelor; dacă furnizarea tuturor datelor cerute este obligatorie și consecințele refuzului de a le furniza; existenta drepturilor prevăzute de prezenta lege pentru persoana vizata, în special a dreptului de acces, de intervenție asupra datelor și de opoziție, precum și condițiile în care pot fi exercitate;d) orice alte informații a căror furnizare este impusa prin dispoziție a autorității de supraveghere, ținând seama de specificul prelucrării.(2) În cazul în care datele nu sunt obținute direct de la persoana vizata, operatorul este obligat ca, în momentul colectării datelor sau, dacă se intenționează dezvaluirea acestora către terți, cel mai târziu până în momentul primei dezvaluiri, sa furnizeze persoanei vizate cel puțin următoarele informații, cu excepția cazului în care persoana vizata poseda deja informațiile respective:a) identitatea operatorului și a reprezentantului acestuia, dacă este cazul;b) scopul în care se face prelucrarea datelor;c) informații suplimentare, precum: categoriile de date vizate, destinatarii sau categoriile de destinatari ai datelor, existenta drepturilor prevăzute de prezenta lege pentru persoana vizata, în special a dreptului de acces, de intervenție asupra datelor și de opoziție, precum și condițiile în care pot fi exercitate;d) orice alte informații a căror furnizare este impusa prin dispoziție a autorității de supraveghere, ținând seama de specificul prelucrării.(3) Prevederile alin. (2) nu se aplică atunci când prelucrarea datelor se efectuează exclusiv în scopuri jurnalistice, literare sau artistice, dacă aplicarea acestora ar da indicii asupra surselor de informare.(4) Prevederile alin. (2) nu se aplică în cazul în care prelucrarea datelor se face în scopuri statistice, de cercetare istorica sau științifică, ori în orice alte situații în care furnizarea unor asemenea informații se dovedește imposibila sau ar implica un efort disproportionat față de interesul legitim care ar putea fi lezat, precum și în situațiile în care înregistrarea sau dezvaluirea datelor este expres prevăzută de lege.Dreptul de acces la date + Articolul 13(1) Orice persoană vizata are dreptul de a obține de la operator, la cerere și în mod gratuit pentru o solicitare pe an, confirmarea faptului ca datele care o privesc sunt sau nu sunt prelucrate de acesta. Operatorul este obligat, în situația în care prelucreaza date cu caracter personal care privesc solicitantul, sa comunice acestuia, împreună cu confirmarea, cel puțin următoarele:a) informații referitoare la scopurile prelucrării, categoriile de date avute în vedere și destinatarii sau categoriile de destinatari cărora le sunt dezvăluite datele;b) comunicarea într-o formă inteligibila a datelor care fac obiectul prelucrării, precum și a oricărei informații disponibile cu privire la originea datelor;c) informații asupra principiilor de funcționare a mecanismului prin care se efectuează orice prelucrare automată a datelor care vizează persoana respectiva;d) informații privind existenta dreptului de intervenție asupra datelor și a dreptului de opoziție, precum și condițiile în care pot fi exercitate;e) informații asupra posibilității de a consulta registrul de evidenta a prelucrarilor de date cu caracter personal, prevăzut la art. 24, de a înainta plângere către autoritatea de supraveghere, precum și de a se adresa instanței pentru atacarea deciziilor operatorului, în conformitate cu dispozițiile prezentei legi.(2) Persoana vizata poate solicita de la operator informațiile prevăzute la alin. (1), printr-o cerere întocmită în forma scrisă, datată și semnată. În cerere solicitantul poate arata dacă dorește ca informațiile sa îi fie comunicate la o anumită adresa, care poate fi și de posta electronică, sau printr-un serviciu de corespondenta care să asigure ca predarea i se va face numai personal.(3) Operatorul este obligat sa comunice informațiile solicitate, în termen de 15 zile de la data primirii cererii, cu respectarea eventualei optiuni a solicitantului exprimate potrivit alin. (2).(4) În cazul datelor cu caracter personal legate de starea de sănătate, cererea prevăzută la alin. (2) poate fi introdusă de persoana vizata fie direct, fie prin intermediul unui cadru medical care va indica în cerere persoana în numele căreia este introdusă. La cererea operatorului sau a persoanei vizate comunicarea prevăzută la alin. (3) poate fi făcuta prin intermediul unui cadru medical desemnat de persoana vizata.(5) În cazul în care datele cu caracter personal legate de starea de sănătate sunt prelucrate în scop de cercetare științifică, dacă nu exista, cel puțin aparent, riscul de a se aduce atingere drepturilor persoanei vizate și dacă datele nu sunt utilizate pentru a lua decizii sau măsuri față de o anumită persoana, comunicarea prevăzută la alin. (3) se poate face și într-un termen mai mare decât cel prevăzut la acel alineat, în măsura în care aceasta ar putea afecta bunul mers sau rezultatele cercetării, și nu mai târziu de momentul în care cercetarea este încheiată. În acest caz persoana vizata trebuie să își fi dat în mod expres și neechivoc consimțământul ca datele să fie prelucrate în scop de cercetare științifică, precum și asupra posibilei amânări a comunicării prevăzute la alin. (3) din acest motiv.(6) Prevederile alin. (2) nu se aplică atunci când prelucrarea datelor se efectuează exclusiv în scopuri jurnalistice, literare sau artistice, dacă aplicarea acestora ar da indicii asupra surselor de informare.Dreptul de intervenție asupra datelor + Articolul 14(1) Orice persoană vizata are dreptul de a obține de la operator, la cerere și în mod gratuit:a) după caz, rectificarea, actualizarea, blocarea sau ștergerea datelor a căror prelucrare nu este conformă prezentei legi, în special a datelor incomplete sau inexacte;b) după caz, transformarea în date anonime a datelor a căror prelucrare nu este conformă prezentei legi;c) notificarea către terții cărora le-au fost dezvăluite datele a oricărei operațiuni efectuate conform lit. a) sau b), dacă aceasta notificare nu se dovedește imposibila sau nu presupune un efort disproportionat față de interesul legitim care ar putea fi lezat.(2) Pentru exercitarea dreptului prevăzut la alin. (1) persoana vizata va înainta operatorului o cerere întocmită în forma scrisă, datată și semnată. În cerere solicitantul poate arata dacă dorește ca informațiile sa îi fie comunicate la o anumită adresa, care poate fi și de posta electronică, sau printr-un serviciu de corespondenta care să asigure ca predarea i se va face numai personal.(3) Operatorul este obligat sa comunice măsurile luate în temeiul alin. (1), precum și, dacă este cazul, numele terțului căruia i-au fost dezvăluite datele cu caracter personal referitoare la persoana vizata, în termen de 15 zile de la data primirii cererii, cu respectarea eventualei optiuni a solicitantului exprimate potrivit alin. (2).Dreptul de opoziție + Articolul 15(1) Persoana vizata are dreptul de a se opune în orice moment, din motive întemeiate și legitime legate de situația sa particulară, ca date care o vizează să facă obiectul unei prelucrari, cu excepția cazurilor în care exista dispoziții legale contrare. În caz de opoziție justificată prelucrarea nu mai poate viza datele în cauza.(2) Persoana vizata are dreptul de a se opune în orice moment, în mod gratuit și fără nici o justificare, ca datele care o vizează să fie prelucrate în scop de marketing direct, în numele operatorului sau al unui terț, sau să fie dezvăluite unor terți într-un asemenea scop.(3) În vederea exercitării drepturilor prevăzute la alin. (1) și (2) persoana vizata va înainta operatorului o cerere întocmită în forma scrisă, datată și semnată. În cerere solicitantul poate arata dacă dorește ca informațiile sa îi fie comunicate la o anumită adresa, care poate fi și de posta electronică, sau printr-un serviciu de corespondenta care să asigure ca predarea i se va face numai personal.(4) Operatorul este obligat sa comunice persoanei vizate măsurile luate în temeiul alin. (1) sau (2), precum și, dacă este cazul, numele terțului căruia i-au fost dezvăluite datele cu caracter personal referitoare la persoana vizata, în termen de 15 zile de la data primirii cererii, cu respectarea eventualei optiuni a solicitantului exprimate potrivit alin. (3).Excepții + Articolul 16(1) Prevederile art. 12, 13, ale art. 14 alin. (3) și ale art. 15 nu se aplică în cazul activităților prevăzute la art. 2 alin. (5), dacă prin aplicarea acestora este prejudiciata eficienta acțiunii sau obiectivul urmărit în îndeplinirea atribuțiilor legale ale autorității publice.(2) Prevederile alin. (1) sunt aplicabile strict pentru perioada necesară atingerii obiectivului urmărit prin desfășurarea activităților menționate la art. 2 alin. (5).(3) După încetarea situației care justifica aplicarea alin. (1) și (2) operatorii care desfășoară activitățile prevăzute la art. 2 alin. (5) vor lua măsurile necesare pentru a asigura respectarea drepturilor persoanelor vizate.(4) Autoritățile publice țin evidenta unor astfel de cazuri și informează periodic autoritatea de supraveghere despre modul de soluționare a lor.Dreptul de a nu fi supus unei decizii individuale + Articolul 17(1) Orice persoană are dreptul de a cere și de a obține:a) retragerea sau anularea oricărei decizii care produce efecte juridice în privința sa, adoptată exclusiv pe baza unei prelucrari de date cu caracter personal, efectuată prin mijloace automate, destinată sa evalueze unele aspecte ale personalității sale, precum competența profesională, credibilitatea, comportamentul sau ori alte asemenea aspecte;b) reevaluarea oricărei alte decizii luate în privința sa, care o afectează în mod semnificativ, dacă decizia a fost adoptată exclusiv pe baza unei prelucrari de date care întrunește condițiile prevăzute la lit. a).(2) Respectându-se celelalte garanții prevăzute de prezenta lege, o persoană poate fi supusă unei decizii de natura celei vizate la alin. (1), numai în următoarele situații:a) decizia este luată în cadrul încheierii sau executării unui contract, cu condiția ca cererea de încheiere sau de executare a contractului, introdusă de persoana vizata, sa fi fost satisfacuta sau ca unele măsuri adecvate, precum posibilitatea de a-și susține punctul de vedere, sa garanteze apărarea propriului interes legitim;b) decizia este autorizata de o lege care precizează măsurile ce garantează apărarea interesului legitim al persoanei vizate.Dreptul de a se adresa justiției + Articolul 18(1) Fără a se aduce atingere posibilității de a se adresa cu plângere autorității de supraveghere, persoanele vizate au dreptul de a se adresa justiției pentru apărarea oricăror drepturi garantate de prezenta lege, care le-au fost incalcate.(2) Orice persoană care a suferit un prejudiciu în urma unei prelucrari de date cu caracter personal, efectuată ilegal, se poate adresa instanței competente pentru repararea acestuia.(3) Instanța competența este cea în a carei raza teritorială domiciliază reclamantul. Cererea de chemare în judecata este scutită de taxa de timbru. + Capitolul V Confidențialitatea și securitatea prelucrarilorConfidențialitatea prelucrarilor + Articolul 19Orice persoană care acționează sub autoritatea operatorului sau a persoanei împuternicite, inclusiv persoana imputernicita, care are acces la date cu caracter personal, nu poate să le prelucreze decât pe baza instrucțiunilor operatorului, cu excepția cazului în care acționează în temeiul unei obligații legale.Securitatea prelucrarilor + Articolul 20(1) Operatorul este obligat să aplice măsurile tehnice și organizatorice adecvate pentru protejarea datelor cu caracter personal împotriva distrugerii accidentale sau ilegale, pierderii, modificării, dezvaluirii sau accesului neautorizat, în special dacă prelucrarea respectiva comporta transmisii de date în cadrul unei rețele, precum și împotriva oricărei alte forme de prelucrare ilegala.(2) Aceste măsuri trebuie să asigure, potrivit stadiului tehnicii utilizate în procesul de prelucrare și de costuri, un nivel de securitate adecvat în ceea ce privește riscurile pe care le reprezintă prelucrarea, precum și în ceea ce privește natura datelor care trebuie protejate. Cerințele minime de securitate vor fi elaborate de autoritatea de supraveghere și vor fi actualizate periodic, corespunzător progresului tehnic și experienței acumulate.(3) Operatorul, atunci când desemnează o persoană imputernicita, este obligat sa aleagă o persoană care prezintă suficiente garanții în ceea ce privește măsurile de securitate tehnica și organizatorice cu privire la prelucrările ce vor fi efectuate, precum și sa vegheze la respectarea acestor măsuri de către persoana desemnată.(4) Autoritatea de supraveghere poate decide, în cazuri individuale, asupra obligării operatorului la adoptarea unor măsuri suplimentare de securitate, cu excepția celor care privesc garantarea securității serviciilor de telecomunicații.(5) Efectuarea prelucrarilor prin persoane împuternicite trebuie să se desfășoare în baza unui contract încheiat în forma scrisă, care va cuprinde în mod obligatoriu:a) obligația persoanei împuternicite de a acționa doar în baza instrucțiunilor primite de la operator;b) faptul ca îndeplinirea obligațiilor prevăzute la alin. (1) revine și persoanei împuternicite. + Capitolul VI Supravegherea și controlul prelucrarilor de date cu caracter personalAutoritatea de supraveghere + Articolul 21(1) Autoritatea de supraveghere, în sensul prezentei legi, este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (la 12-05-2005, Alin. (1) al art. 21 a fost modificat de pct. 1 al art. 22 din LEGEA nr. 102 din 3 mai 2005, publicată în MONITORUL OFICIAL nr. 391 din 9 mai 2005. ) (2) Autoritatea de supraveghere își desfășoară activitatea în condiții de completa independenta și imparțialitate.(3) Autoritatea de supraveghere monitorizează și controlează sub aspectul legalității prelucrările de date cu caracter personal care cad sub incidența prezentei legi.În acest scop autoritatea de supraveghere exercita următoarele atribuții:a) elaborează formularele tipizate ale notificărilor și ale registrelor proprii;b) primește și analizează notificările privind prelucrarea datelor cu caracter personal, anuntând operatorului rezultatele controlului prealabil;c) autorizează prelucrările de date în situațiile prevăzute de lege;d) poate dispune, în cazul în care constata încălcarea dispozițiilor prezentei legi, suspendarea provizorie sau încetarea prelucrării datelor, ștergerea parțială ori integrală a datelor prelucrate și poate să sesizeze organele de urmărire penală sau sa intenteze acțiuni în justiție;d^1) informează persoanele fizice sau/și juridice care activează în aceste domenii, în mod direct sau prin intermediul structurilor asociative ale acestora, asupra necesității respectării obligațiilor și îndeplinirii procedurilor prevăzute de prezenta lege; (la 12-05-2005, Litera d^1) a alin. (3) al art. 21 a fost introdusă de pct. 2 al art. 22 din LEGEA nr. 102 din 3 mai 2005, publicată în MONITORUL OFICIAL nr. 391 din 9 mai 2005. ) e) păstrează și pune la dispoziție publicului registrul de evidenta a prelucrarilor de date cu caracter personal;f) primește și soluționează plângeri, sesizări sau cereri de la persoanele fizice și comunică soluția data ori, după caz, diligențele depuse;g) efectuează investigații din oficiu sau la primirea unor plângeri ori sesizări;h) este consultata atunci când se elaborează proiecte de acte normative referitoare la protecția drepturilor și libertăților persoanelor, în privința prelucrării datelor cu caracter personal;i) poate face propuneri privind inițierea unor proiecte de acte normative sau modificarea actelor normative în vigoare în domenii legate de prelucrarea datelor cu caracter personal;j) cooperează cu autoritățile publice și cu organele administrației publice, centralizează și analizează rapoartele anuale de activitate ale acestora privind protecția persoanelor în privința prelucrării datelor cu caracter personal, formulează recomandări și avize asupra oricărei chestiuni legate de protecția drepturilor și libertăților fundamentale în privința prelucrării datelor cu caracter personal, la cererea oricărei persoane, inclusiv a autorităților publice și a organelor administrației publice; aceste recomandări și avize trebuie să facă mențiune despre temeiurile pe care se sprijină și se comunică în copie și Ministerului Justiției; atunci când recomandarea sau avizul este cerut de lege, se publică în Monitorul Oficial al României, Partea I;k) cooperează cu autoritățile similare de peste hotare în vederea asistenței mutuale, precum și cu persoanele cu domiciliul sau cu sediul în străinătate, în scopul apărării drepturilor și libertăților fundamentale ce pot fi afectate prin prelucrarea datelor cu caracter personal;l) îndeplinește alte atribuții prevăzute de lege.m) modul de organizare și funcționare a Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal se stabilește prin lege. (la 12-05-2005, Litera m) a alin. (3) al art. 21 a fost introdusă de pct. 3 al art. 22 din LEGEA nr. 102 din 3 mai 2005, publicată în MONITORUL OFICIAL nr. 391 din 9 mai 2005. ) (4) Întregul personal al autorității de supraveghere are obligația de a păstra secretul profesional, cu excepțiile prevăzute de lege, pe termen nelimitat, asupra informațiilor confidențiale sau clasificate la care are sau a avut acces în exercitarea atribuțiilor de serviciu, inclusiv după încetarea raporturilor juridice cu autoritatea de supraveghere.Notificarea către autoritatea de supraveghere + Articolul 22(1) Operatorul este obligat sa notifice autorității de supraveghere, personal sau prin reprezentant, înainte de efectuarea oricărei prelucrari ori a oricărui ansamblu de prelucrari având același scop sau scopuri corelate.(2) Notificarea nu este necesară în cazul în care prelucrarea are ca unic scop ținerea unui registru destinat prin lege informării publicului și deschis spre consultare publicului în general sau oricărei persoane care probează un interes legitim, cu condiția ca prelucrarea să se limiteze la datele strict necesare ținerii registrului menționat.(3) Notificarea va cuprinde cel puțin următoarele informații:a) numele sau denumirea și domiciliul ori sediul operatorului și ale reprezentantului desemnat al acestuia, dacă este cazul;b) scopul sau scopurile prelucrării;c) o descriere a categoriei sau a categoriilor de persoane vizate și a datelor ori a categoriilor de date ce vor fi prelucrate;d) destinatarii sau categoriile de destinatari cărora se intenționează sa li se dezvaluie datele;e) garanțiile care însoțesc dezvaluirea datelor către terți;f) modul în care persoanele vizate sunt informate asupra drepturilor lor; data estimată pentru încheierea operațiunilor de prelucrare, precum și destinația ulterioară a datelor;g) transferuri de date care se intenționează să fie făcute către alte state;h) o descriere generală care să permită aprecierea preliminară a măsurilor luate pentru asigurarea securității prelucrării;i) specificarea oricărui sistem de evidenta a datelor cu caracter personal, care are legătura cu prelucrarea, precum și a eventualelor legături cu alte prelucrari de date sau cu alte sisteme de evidenta a datelor cu caracter personal, indiferent dacă se efectuează, respectiv dacă sunt sau nu sunt situate pe teritoriul României;j) motivele care justifica aplicarea prevederilor art. 11, art. 12 alin. (3) sau (4) ori ale art. 13 alin. (5) sau (6), în situația în care prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice ori în scopuri statistice, de cercetare istorica sau științifică.(4) Dacă notificarea este incompleta, autoritatea de supraveghere va solicita completarea acesteia.(5) În limitele puterilor de investigare de care dispune, autoritatea de supraveghere poate solicita și alte informații, în special privind originea datelor, tehnologia de prelucrare automată utilizata și detalii referitoare la măsurile de securitate. Dispozițiile prezentului alineat nu se aplică în situația în care prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice.(6) Dacă se intenționează ca datele care sunt prelucrate să fie transferate în străinătate, notificarea va cuprinde și următoarele elemente:a) categoriile de date care vor face obiectul transferului;b) țara de destinație pentru fiecare categorie de date.(7) Abrogat. (la 22-10-2007, Alin. (7) al art. 22 a fost abrogat de pct. 2 al articolului unic din LEGEA nr. 278 din 15 octombrie 2007, publicată în MONITORUL OFICIAL nr. 708 din 19 octombrie 2007. ) (8) Autoritățile publice care efectuează prelucrari de date cu caracter personal în legătură cu activitățile descrise la art. 2 alin. (5), în temeiul legii sau în îndeplinirea obligațiilor asumate prin acorduri internaționale ratificate, sunt scutite de taxa prevăzută la alin. (7). Notificarea se va transmite în termen de 15 zile de la intrarea în vigoare a actului normativ care instituie obligația respectiva și va cuprinde numai următoarele elemente:a) denumirea și sediul operatorului;b) scopul și temeiul legal al prelucrării;c) categoriile de date cu caracter personal supuse prelucrării.(9) Autoritatea de supraveghere poate stabili și alte situații în care notificarea nu este necesară, în afară celei prevăzute la alin. (2), sau situații în care notificarea se poate efectua într-o formă simplificata, precum și conținutul acesteia, numai în unul dintre următoarele cazuri:a) atunci când, luând în considerare natura datelor destinate să fie prelucrate, prelucrarea nu poate afecta, cel puțin aparent, drepturile persoanelor vizate, cu condiția sa precizeze expres scopurile în care se poate face o asemenea prelucrare, datele sau categoriile de date care pot fi prelucrate, categoria sau categoriile de persoane vizate, destinatarii sau categoriile de destinatari cărora datele le pot fi dezvăluite și perioada pentru care datele pot fi stocate;b) atunci când prelucrarea se efectuează în condițiile art. 7 alin. (2) lit. d).Controlul prealabil + Articolul 23(1) Autoritatea de supraveghere va stabili categoriile de operațiuni de prelucrare care sunt susceptibile de a prezenta riscuri speciale pentru drepturile și libertățile persoanelor.(2) Dacă pe baza notificării autoritatea de supraveghere constata ca prelucrarea se încadrează în una dintre categoriile menționate la alin. (1), va dispune obligatoriu efectuarea unui control prealabil începerii prelucrării respective, cu anunțarea operatorului.(3) Operatorii care nu au fost anunțați în termen de 5 zile de la data notificării despre efectuarea unui control prealabil pot începe prelucrarea.(4) În situația prevăzută la alin. (2) autoritatea de supraveghere este obligată ca, în termen de cel mult 30 de zile de la data notificării, sa aducă la cunoștința operatorului rezultatul controlului efectuat, precum și decizia emisă în urma acestuia.Registrul de evidenta a prelucrarilor de date cu caracter personal + Articolul 24(1) Autoritatea de supraveghere păstrează un registru de evidenta a prelucrarilor de date cu caracter personal, notificate în conformitate cu prevederile art. 22. Registrul va cuprinde toate informațiile prevăzute la art. 22 alin. (3).(2) Fiecare operator primește un număr de înregistrare. Numărul de înregistrare trebuie menționat pe orice act prin care datele sunt colectate, stocate sau dezvăluite.(3) Orice schimbare de natura sa afecteze exactitatea informațiilor înregistrate va fi comunicată autorității de supraveghere în termen de 5 zile. Autoritatea de supraveghere va dispune de îndată efectuarea mențiunilor corespunzătoare în registru.(4) Activitățile de prelucrare a datelor cu caracter personal, începute anterior intrării în vigoare a prezentei legi, vor fi notificate în vederea înregistrării în termen de 15 zile de la data intrării în vigoare a prezentei legi.(5) Registrul de evidenta a prelucrarilor de date cu caracter personal este deschis spre consultare publicului. Modalitatea de consultare se stabilește de autoritatea de supraveghere.Plângeri adresate autorității de supraveghere + Articolul 25(1) În vederea apărării drepturilor prevăzute de prezenta lege persoanele ale căror date cu caracter personal fac obiectul unei prelucrari care cade sub incidența prezentei legi pot înainta plângere către autoritatea de supraveghere. Plângerea se poate face direct sau prin reprezentant. Persoana lezata poate imputernici o asociație sau o fundație sa îi reprezinte interesele.(2) Plângerea către autoritatea de supraveghere nu poate fi înaintată dacă o cerere în justiție, având același obiect și aceleași părți, a fost introdusă anterior.(3) În afară cazurilor în care o întârziere ar cauza un prejudiciu iminent și ireparabil, plângerea către autoritatea de supraveghere nu poate fi înaintată mai devreme de 15 zile de la înaintarea unei plângeri cu același conținut către operator.(4) În vederea soluționării plângerii, dacă apreciază ca este necesar, autoritatea de supraveghere poate audia persoana vizata, operatorul și, dacă este cazul, persoana imputernicita sau asociația ori fundația care reprezintă interesele persoanei vizate. Aceste persoane au dreptul de a înainta cereri, documente și memorii. Autoritatea de supraveghere poate dispune efectuarea de expertize.(5) Dacă plângerea este gasita intemeiata, autoritatea de supraveghere poate decide oricare dintre măsurile prevăzute la art. 21 alin. (3) lit. d). Interdicția temporară a prelucrării poate fi instituită numai până la încetarea motivelor care au determinat luarea acestei măsuri.(6) Decizia trebuie motivată și se comunică părților interesate în termen de 30 de zile de la data primirii plângerii.(7) Autoritatea de supraveghere poate ordona, dacă apreciază necesar, suspendarea unora sau tuturor operațiunilor de prelucrare până la soluționarea plângerii în condițiile alin. (5).(8) Autoritatea de supraveghere se poate adresa justiției pentru apărarea oricăror drepturi garantate de prezenta lege persoanelor vizate. Instanța competența este Tribunalul Municipiului București. Cererea de chemare în judecata este scutită de taxa de timbru.(9) La cererea persoanelor vizate, pentru motive întemeiate, instanța poate dispune suspendarea prelucrării până la soluționarea plângerii de către autoritatea de supraveghere.(10) Prevederile alin. (4)-(9) se aplică în mod corespunzător și în situația în care autoritatea de supraveghere afla pe orice alta cale despre săvârșirea unei încălcări a drepturilor recunoscute de prezenta lege persoanelor vizate.Contestarea deciziilor autorității de supraveghere + Articolul 26(1) Împotriva oricărei decizii emise de autoritatea de supraveghere în temeiul dispozițiilor prezentei legi operatorul sau persoana vizata poate formula contestație în termen de 15 zile de la comunicare, sub sancțiunea decăderii, la instanța de contencios administrativ competența. Cererea se judeca de urgenta, cu citarea părților. Soluția este definitivă și irevocabilă.(2) Fac excepție de la prevederile alin. (1), precum și de la cele ale art. 23 și 25 prelucrările de date cu caracter personal, efectuate în cadrul activităților prevăzute la art. 2 alin. (5).Exercitarea atribuțiilor de investigare + Articolul 27(1) Autoritatea de supraveghere poate investiga, din oficiu sau la primirea unei plângeri, orice încălcare a drepturilor persoanelor vizate, respectiv a obligațiilor care revin operatorilor și, după caz, persoanelor împuternicite, în cadrul efectuării prelucrarilor de date cu caracter personal, în scopul apărării drepturilor și libertăților fundamentale ale persoanelor vizate.(2) Atribuțiile de investigare nu pot fi exercitate de către autoritatea de supraveghere în cazul în care o cerere în justiție introdusă anterior are ca obiect săvârșirea aceleiași încălcări a drepturilor și opune aceleași părți.(3) În exercitarea atribuțiilor de investigare autoritatea de supraveghere poate solicita operatorului orice informații legate de prelucrarea datelor cu caracter personal și poate verifica orice document sau înregistrare referitoare la prelucrarea de date cu caracter personal.(4) Secretul de stat și secretul profesional nu pot fi invocate pentru a împiedica exercitarea atribuțiilor acordate prin prezenta lege autorității de supraveghere. Atunci când este invocată protecția secretului de stat sau a secretului profesional, autoritatea de supraveghere are obligația de a păstra secretul. (la 12-05-2005, Alin. (5) al art. 27 a fost abrogat de pct. 4 al art. 22 din LEGEA nr. 102 din 3 mai 2005, publicată în MONITORUL OFICIAL nr. 391 din 9 mai 2005. ) Norme de conduita + Articolul 28(1) Asociațiile profesionale au obligația de a elabora și de a supune spre avizare autorității de supraveghere coduri de conduita care să conțină norme adecvate pentru protecția drepturilor persoanelor ale căror date cu caracter personal pot fi prelucrate de către membrii acestora.(2) Normele de conduita trebuie să prevadă măsuri și proceduri care să asigure un nivel satisfăcător de protecție, ținând seama de natura datelor ce pot fi prelucrate. Autoritatea de supraveghere poate dispune măsuri și proceduri specifice pentru perioada în care normele de conduita la care s-a făcut referire anterior nu sunt adoptate. + Capitolul VII Transferul în străinătate al datelor cu caracter personalCondițiile transferului în străinătate al datelor cu caracter personal + Articolul 29(1) Transferul către un alt stat de date cu caracter personal care fac obiectul unei prelucrari sau sunt destinate să fie prelucrate după transfer poate avea loc numai în condițiile în care nu se încalcă legea română, iar statul către care se intenționează transferul asigura un nivel de protecție adecvat.(2) Nivelul de protecție va fi apreciat de către autoritatea de supraveghere, ținând seama de totalitatea împrejurărilor în care se realizează transferul de date, în special având în vedere natura datelor transmise, scopul prelucrării și durata propusă pentru prelucrare, statul de origine și statul de destinație finala, precum și legislația statului solicitant. În cazul în care autoritatea de supraveghere constata ca nivelul de protecție oferit de statul de destinație este nesatisfăcător, poate dispune interzicerea transferului de date.(3) În toate situațiile transferul de date cu caracter personal către un alt stat va face obiectul unei notificări prealabile a autorității de supraveghere.(4) Autoritatea de supraveghere poate autoriza transferul de date cu caracter personal către un stat a cărui legislație nu prevede un nivel de protecție cel puțin egal cu cel oferit de legea română atunci când operatorul oferă garanții suficiente cu privire la protecția drepturilor fundamentale ale persoanelor. Aceste garanții trebuie să fie stabilite prin contracte încheiate între operatori și persoanele fizice sau juridice din dispoziția cărora se efectuează transferul.(5) Prevederile alin. (2), (3) și (4) nu se aplică dacă transferul datelor se face în baza prevederilor unei legi speciale sau ale unui acord internațional ratificat de România, în special dacă transferul se face în scopul prevenirii, cercetării sau reprimării unei infracțiuni.(6) Prevederile prezentului articol nu se aplică atunci când prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice, dacă datele au fost făcute publice în mod manifest de către persoana vizata sau sunt strâns legate de calitatea de persoana publică a persoanei vizate ori de caracterul public al faptelor în care este implicata.Situații în care transferul este întotdeauna permis + Articolul 30Transferul de date este întotdeauna permis în următoarele situații:a) când persoana vizata și-a dat în mod explicit consimțământul pentru efectuarea transferului; în cazul în care transferul de date se face în legătură cu oricare dintre datele prevăzute la art. 7, 8 și 10, consimțământul trebuie dat în scris;b) când este necesar pentru executarea unui contract încheiat între persoana vizata și operator sau pentru executarea unor măsuri precontractuale dispuse la cererea persoanei vizate;c) când este necesar pentru încheierea sau pentru executarea unui contract încheiat ori care se va încheia, în interesul persoanei vizate, între operator și un terț;d) când este necesar pentru satisfacerea unui interes public major, precum apărarea naționala, ordinea publică sau siguranța naționala, pentru buna desfășurare a procesului penal ori pentru constatarea, exercitarea sau apărarea unui drept în justiție, cu condiția ca datele să fie prelucrate în legătură cu acest scop și nu mai mult timp decât este necesar;e) când este necesar pentru a proteja viața, integritatea fizica sau sănătatea persoanei vizate;f) când intervine ca urmare a unei cereri anterioare de acces la documente oficiale care sunt publice ori a unei cereri privind informații care pot fi obținute din registre sau prin orice alte documente accesibile publicului. + Capitolul VIII Contravenții și sancțiuniOmisiunea de a notifica și notificarea cu rea-credința + Articolul 31Omisiunea de a efectua notificarea în condițiile art. 22 sau ale art. 29 alin. (3) în situațiile în care aceasta notificare este obligatorie, precum și notificarea incompleta sau care conține informații false constituie contravenții, dacă nu sunt săvârșite în astfel de condiții încât sa constituie infracțiuni, și se sancționează cu amendă de la 5.000.000 lei la 100.000.000 lei.Prelucrarea nelegală a datelor cu caracter personal + Articolul 32Prelucrarea datelor cu caracter personal de către un operator sau de o persoană imputernicita de acesta, cu încălcarea prevederilor art. 4-10 sau cu nesocotirea drepturilor prevăzute la art. 12-15 sau la art. 17, constituie contravenție, dacă nu este săvârșită în astfel de condiții încât sa constituie infracțiune, și se sancționează cu amendă de la 10.000.000 lei la 250.000.000 lei.Neîndeplinirea obligațiilor privind confidențialitatea și aplicarea măsurilor de securitate + Articolul 33Neîndeplinirea obligațiilor privind aplicarea măsurilor de securitate și de păstrare a confidențialității prelucrarilor, prevăzute la art. 19 și 20, constituie contravenție, dacă nu este săvârșită în astfel de condiții încât sa constituie infracțiune, și se sancționează cu amendă de la 15.000.000 lei la 500.000.000 lei.Refuzul de a furniza informații + Articolul 34Refuzul de a furniza autorității de supraveghere informațiile sau documentele cerute de aceasta în exercitarea atribuțiilor de investigare prevăzute la art. 27 constituie contravenție, dacă nu este săvârșită în astfel de condiții încât sa constituie infracțiune, și se sancționează cu amendă de la 10.000.000 lei la 150.000.000 lei.Constatarea contravențiilor și aplicarea sancțiunilor + Articolul 35(1) Constatarea contravențiilor și aplicarea sancțiunilor se efectuează de către autoritatea de supraveghere, care poate delega aceste atribuții unor persoane recrutate din rândul personalului sau, precum și de reprezentanți împuterniciți ai organelor cu atribuții de supraveghere și control, abilitate potrivit legii.(2) Dispozițiile prezentei legi referitoare la contravenții se completează cu prevederile Ordonanței Guvernului nr. 2/2001 privind regimul juridic al contravențiilor, în măsura în care prezenta lege nu dispune altfel.(3) Împotriva proceselor-verbale de constatare și sancționare se poate face plângere la secțiile de contencios administrativ ale tribunalelor. + Capitolul IX Dispoziții finaleIntrarea în vigoare + Articolul 36Prezenta lege intră în vigoare la data publicării ei în Monitorul Oficial al României, Partea I, și se pune în aplicare în termen de 3 luni de la intrarea sa în vigoare.Această lege a fost adoptată de Senat în ședința din 15 octombrie 2001, cu respectarea prevederilor art. 74 alin. (2) din Constituția României.
PREȘEDINTELE SENATULUI
NICOLAE VACAROIUAceastă lege a fost adoptată de Camera Deputaților în ședința din 22 octombrie 2001, cu respectarea prevederilor art. 74 alin. (2) din Constituția României.
PREȘEDINTELE
CAMEREI DEPUTAȚILOR
VALER DORNEANU
| EMITENT |
+ LA DATA DE 25 MAI 2018 SE ABROGĂ LEGEA NR. 677/2001, POTRIVIT ALIN. (1) AL ART. V DIN LEGEA NR. 129 DIN 15 IUNIE 2018, PUBLICATĂ ÎN MONITORUL OFICIAL NR. 503 DIN 19 IUNIE 2018.Parlamentul României adopta prezenta lege. + Capitolul I Dispoziții generaleScop + Articolul 1(1) Prezenta lege are ca scop garantarea și protejarea drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului la viața intima, familială și privată, cu privire la prelucrarea datelor cu caracter personal.(2) Exercitarea drepturilor prevăzute în prezenta lege nu poate fi restrânsă decât în cazuri expres și limitativ prevăzute de lege.Domeniu de aplicare + Articolul 2(1) Prezenta lege se aplică prelucrarilor de date cu caracter personal, efectuate, în tot sau în parte, prin mijloace automate, precum și prelucrării prin alte mijloace.decât cele automate a datelor cu caracter personal care fac parte dintr-un sistem de evidenta sau care sunt destinate să fie incluse într-un asemenea sistem.(2) Prezenta lege se aplică:a) prelucrarilor de date cu caracter personal, efectuate în cadrul activităților desfășurate de operatori stabiliți în România;b) prelucrarilor de date cu caracter personal, efectuate în cadrul activităților desfășurate de misiunile diplomatice sau de oficiile consulare ale României;c) prelucrarilor de date cu caracter personal, efectuate în cadrul activităților desfășurate de operatori care nu sunt stabiliți în România, prin utilizarea de mijloace de orice natura situate pe teritoriul României, cu excepția cazului în care aceste mijloace nu sunt utilizate decât în scopul tranzitarii pe teritoriul României a datelor cu caracter personal care fac obiectul prelucrarilor respective.(3) În cazul prevăzut la alin. (2) lit. c) operatorul își va desemna un reprezentant care trebuie să fie o persoană stabilită în România. Prevederile prezentei legi aplicabile operatorului sunt aplicabile și reprezentantului acestuia, fără a aduce atingere posibilității de a introduce acțiune în justiție direct împotriva operatorului.(4) Prezenta lege se aplică prelucrarilor de date cu caracter personal efectuate de persoane fizice sau juridice, române ori străine, de drept public sau de drept privat, indiferent dacă au loc în sectorul public sau în sectorul privat.(5) În limitele prevăzute de prezenta lege, aceasta se aplică și prelucrarilor și transferului de date cu caracter personal, efectuate în cadrul activităților de prevenire, cercetare și reprimare a infracțiunilor și de menținere a ordinii publice, precum și al altor activități desfășurate în domeniul dreptului penal, în limitele și cu restricțiile stabilite de lege.(6) Prezenta lege nu se aplică prelucrarilor de date cu caracter personal, efectuate de persoane fizice exclusiv pentru uzul lor personal, dacă datele în cauza nu sunt destinate a fi dezvăluite.(7) Prezenta lege nu se aplică prelucrarilor și transferului de date cu caracter personal, efectuate în cadrul activităților în domeniul apărării naționale și siguranței naționale, desfășurate în limitele și cu restricțiile stabilite de lege.(8) Prevederile prezentei legi nu aduc atingere obligațiilor asumate de România prin instrumente juridice ratificate.Definiții + Articolul 3În înțelesul prezentei legi, următorii termeni se definesc după cum urmează:a) date cu caracter personal - orice informații referitoare la o persoană fizica identificata sau identificabila; o persoană identificabila este acea persoana care poate fi identificata, direct sau indirect, în mod particular prin referire la un număr de identificare ori la unul sau la mai mulți factori specifici identității sale fizice, fiziologice, psihice, economice, culturale sau sociale;b) prelucrarea datelor cu caracter personal - orice operațiune sau set de operațiuni care se efectuează asupra datelor cu caracter personal, prin mijloace automate sau neautomate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea ori modificarea, extragerea, consultarea, utilizarea, dezvaluirea către terți prin transmitere, diseminare sau în orice alt mod, alaturarea ori combinarea, blocarea, ștergerea sau distrugerea;c) stocarea - păstrarea pe orice fel de suport a datelor cu caracter personal culese;d) sistem de evidenta a datelor cu caracter personal - orice structura organizată de date cu caracter personal, accesibila potrivit unor criterii determinate, indiferent dacă aceasta structura este organizată în mod centralizat ori descentralizat sau este repartizata după criterii functionale ori geografice;e) operator - orice persoană fizica sau juridică, de drept privat ori de drept public, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, care stabilește scopul și mijloacele de prelucrare a datelor cu caracter personal; dacă scopul și mijloacele de prelucrare a datelor cu caracter personal sunt determinate printr-un act normativ sau în baza unui act normativ, operator este persoana fizica sau juridică, de drept public ori de drept privat, care este desemnată ca operator prin acel act normativ sau în baza acelui act normativ;f) persoana imputernicita de către operator - o persoană fizica sau juridică, de drept privat ori de drept public, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, care prelucreaza date cu caracter personal pe seama operatorului;g) terț - orice persoană fizica sau juridică, de drept privat ori de drept public, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, alta decât persoana vizata, operatorul ori persoana imputernicita sau persoanele care, sub autoritatea directa a operatorului sau a persoanei împuternicite, sunt autorizate sa prelucreze date;h) destinatar - orice persoană fizica sau juridică, de drept privat ori de drept public, inclusiv autoritățile publice, instituțiile și structurile teritoriale ale acestora, căreia îi sunt dezvăluite date, indiferent dacă este sau nu terț; autoritățile publice cărora li se comunică date în cadrul unei competente speciale de ancheta nu vor fi considerate destinatari;i) date anonime - date care, datorită originii sau modalitatii specifice de prelucrare, nu pot fi asociate cu o persoană identificata sau identificabila. + Capitolul II Reguli generale privind prelucrarea datelor cu caracter personalCaracteristicile datelor cu caracter personal în cadrul prelucrării + Articolul 4(1) Datele cu caracter personal destinate a face obiectul prelucrării trebuie să fie:a) prelucrate cu buna-credința și în conformitate cu dispozițiile legale în vigoare;b) colectate în scopuri determinate, explicite și legitime; prelucrarea ulterioară a datelor cu caracter personal în scopuri statistice, de cercetare istorica sau științifică nu va fi considerată incompatibilă cu scopul colectării dacă se efectuează cu respectarea dispozițiilor prezentei legi, inclusiv a celor care privesc efectuarea notificării către autoritatea de supraveghere, precum și cu respectarea garanțiilor privind prelucrarea datelor cu caracter personal, prevăzute de normele care reglementează activitatea statistica ori cercetarea istorica sau științifică;c) adecvate, pertinente și neexcesive prin raportare la scopul în care sunt colectate și ulterior prelucrate;d) exacte și, dacă este cazul, actualizate; în acest scop se vor lua măsurile necesare pentru ca datele inexacte sau incomplete din punct de vedere al scopului pentru care sunt colectate și pentru care vor fi ulterior prelucrate, să fie șterse sau rectificate;e) stocate într-o formă care să permită identificarea persoanelor vizate strict pe durata necesară realizării scopurilor în care datele sunt colectate și în care vor fi ulterior prelucrate; stocarea datelor pe o durată mai mare decât cea menționată, în scopuri statistice, de cercetare istorica sau științifică, se va face cu respectarea garanțiilor privind prelucrarea datelor cu caracter personal, prevăzute în normele care reglementează aceste domenii, și numai pentru perioada necesară realizării acestor scopuri.(2) Operatorii au obligația să respecte prevederile alin. (1) și să asigure îndeplinirea acestor prevederi de către persoanele împuternicite.Condiții de legitimitate privind prelucrarea datelor + Articolul 5(1) Orice prelucrare de date cu caracter personal, cu excepția prelucrarilor care vizează date din categoriile menționate la art. 7 alin. (1), art. 8 și 10, poate fi efectuată numai dacă persoana vizata și-a dat consimțământul în mod expres și neechivoc pentru acea prelucrare.(2) Consimțământul persoanei vizate nu este cerut în următoarele cazuri:a) când prelucrarea este necesară în vederea executării unui contract sau antecontract la care persoana vizata este parte ori în vederea luării unor măsuri, la cererea acesteia, înaintea încheierii unui contract sau antecontract;b) când prelucrarea este necesară în vederea protejării vieții, integrității fizice sau sănătății persoanei vizate ori a unei alte persoane amenintate;c) când prelucrarea este necesară în vederea îndeplinirii unei obligații legale a operatorului;d) când prelucrarea este necesară în vederea aducerii la îndeplinire a unor măsuri de interes public sau care vizează exercitarea prerogativelor de autoritate publică cu care este investit operatorul sau terțul căruia îi sunt dezvăluite datele;e) când prelucrarea este necesară în vederea realizării unui interes legitim al operatorului sau al terțului căruia îi sunt dezvăluite datele, cu condiția ca acest interes sa nu prejudicieze interesul sau drepturile și libertățile fundamentale ale persoanei vizate;f) când prelucrarea privește date obținute din documente accesibile publicului, conform legii;g) când prelucrarea este făcuta exclusiv în scopuri statistice, de cercetare istorica sau științifică, iar datele rămân anonime pe toată durata prelucrării.(3) Prevederile alin. (2) nu aduc atingere dispozițiilor legale care reglementează obligația autorităților publice de a respecta și de a ocroti viața intima, familială și privată.Încheierea operațiunilor de prelucrare + Articolul 6(1) La încheierea operațiunilor de prelucrare, dacă persoana vizata nu și-a dat în mod expres și neechivoc consimțământul pentru o alta destinație sau pentru o prelucrare ulterioară, datele cu caracter personal vor fi:a) distruse;b) transferate unui alt operator, cu condiția ca operatorul inițial sa garanteze faptul ca prelucrările ulterioare au scopuri similare celor în care s-a făcut prelucrarea inițială;c) transformate în date anonime și stocate exclusiv în scopuri statistice, de cercetare istorica sau științifică.(2) În cazul operațiunilor de prelucrare efectuate în condițiile prevăzute la art. 5 alin. (2) lit. c) sau d), în cadrul activităților descrise la art. 2 alin. (5), operatorul poate stoca datele cu caracter personal pe perioada necesară realizării scopurilor concrete urmărite, cu condiția asigurării unor măsuri corespunzătoare de protejare a acestora, după care va proceda la distrugerea lor dacă nu sunt aplicabile prevederile legale privind păstrarea arhivelor. + Capitolul III Reguli speciale privind prelucrarea datelor cu caracter personalPrelucrarea unor categorii speciale de date + Articolul 7(1) Prelucrarea datelor cu caracter personal legate de originea rasială sau etnică, de convingerile politice, religioase, filozofice sau de natura similară, de apartenența sindicala, precum și a datelor cu caracter personal privind starea de sănătate sau viața sexuală este interzisă.(2) Prevederile alin. (1) nu se aplică în următoarele cazuri:a) când persoana vizata și-a dat în mod expres consimțământul pentru o astfel de prelucrare;b) când prelucrarea este necesară în scopul respectării obligațiilor sau drepturilor specifice ale operatorului în domeniul dreptului muncii, cu respectarea garanțiilor prevăzute de lege; o eventuala dezvaluire către un terț a datelor prelucrate poate fi efectuată numai dacă exista o obligație legală a operatorului în acest sens sau dacă persoana vizata a consimțit expres la aceasta dezvaluire;c) când prelucrarea este necesară pentru protecția vieții, integrității fizice sau a sănătății persoanei vizate ori a altei persoane, în cazul în care persoana vizata se afla în incapacitate fizica sau juridică de a-și da consimțământul;d) când prelucrarea este efectuată în cadrul activităților sale legitime de către o fundație, asociație sau de către orice alta organizație cu scop nelucrativ și cu specific politic, filozofic, religios ori sindical, cu condiția ca persoana vizata să fie membra a acestei organizații sau sa întrețină cu aceasta, în mod regulat, relații care privesc specificul activității organizației și ca datele sa nu fie dezvăluite unor terți fără consimțământul persoanei vizate;e) când prelucrarea se referă la date făcute publice în mod manifest de către persoana vizata;f) când prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în justiție;g) când prelucrarea este necesară în scopuri de medicina preventivă, de stabilire a diagnosticelor medicale, de administrare a unor îngrijiri sau tratamente medicale pentru persoana vizata ori de gestionare a serviciilor de sănătate care acționează în interesul persoanei vizate, cu condiția ca prelucrarea datelor respective să fie efectuate de către ori sub supravegherea unui cadru medical supus secretului profesional sau de către ori sub supravegherea unei alte persoane supuse unei obligații echivalente în ceea ce privește secretul;h) când legea prevede în mod expres aceasta în scopul protejării unui interes public important, cu condiția ca prelucrarea să se efectueze cu respectarea drepturilor persoanei vizate și a celorlalte garanții prevăzute de prezenta lege.(3) Prevederile alin. (2) nu aduc atingere dispozițiilor legale care reglementează obligația autorităților publice de a respecta și de a ocroti viața intima, familială și privată.(4) Autoritatea de supraveghere poate dispune, din motive întemeiate, interzicerea efectuării unei prelucrari de date din categoriile prevăzute la alin. (1), chiar dacă persoana vizata și-a dat în scris și în mod neechivoc consimțământul, iar acest consimțământ nu a fost retras, cu condiția ca interdicția prevăzută la alin. (1) sa nu fie înlăturată prin unul dintre cazurile la care se referă alin. (2) lit. b)-g).Prelucrarea datelor cu caracter personal având funcție de identificare + Articolul 8(1) Prelucrarea codului numeric personal sau a altor date cu caracter personal având o funcție de identificare de aplicabilitate generală poate fi efectuată numai dacă:a) persoana vizata și-a dat în mod expres consimțământul; saub) prelucrarea este prevăzută în mod expres de o dispoziție legală.(2) Autoritatea de supraveghere poate stabili și alte cazuri în care se poate efectua prelucrarea datelor prevăzute la alin. (1), numai cu condiția instituirii unor garanții adecvate pentru respectarea drepturilor persoanelor vizate.Prelucrarea datelor cu caracter personal privind starea de sănătate + Articolul 9(1) În afară cazurilor prevăzute la art. 7 alin. (2), prevederile art. 7 alin. (1) nu se aplică în privința prelucrării datelor privind starea de sănătate în următoarele cazuri:a) dacă prelucrarea este necesară pentru protecția sănătății publice;b) dacă prelucrarea este necesară pentru prevenirea unui pericol iminent, pentru prevenirea săvârșirii unei fapte penale sau pentru împiedicarea producerii rezultatului unei asemenea fapte ori pentru înlăturarea urmărilor prejudiciabile ale unei asemenea fapte.(2) Prelucrarea datelor privind starea de sănătate poate fi efectuată numai de către ori sub supravegherea unui cadru medical, cu condiția respectării secretului profesional, cu excepția situației în care persoana vizata și-a dat în scris și în mod neechivoc consimțământul atâta timp cat acest consimțământ nu a fost retras, precum și cu excepția situației în care prelucrarea este necesară pentru prevenirea unui pericol iminent, pentru prevenirea săvârșirii unei fapte penale, pentru împiedicarea producerii rezultatului unei asemenea fapte sau pentru înlăturarea urmărilor sale prejudiciabile.(3) Cadrele medicale, instituțiile de sănătate și personalul medical al acestora pot prelucra date cu caracter personal referitoare la starea de sănătate, fără autorizația autorității de supraveghere, numai dacă prelucrarea este necesară pentru protejarea vieții, integrității fizice sau sănătății persoanei vizate. Când scopurile menționate se referă la alte persoane sau la public în general și persoana vizata nu și-a dat consimțământul în scris și în mod neechivoc, trebuie cerută și obținută în prealabil autorizația autorității de supraveghere. Prelucrarea datelor cu caracter personal în afară limitelor prevăzute în autorizație este interzisă.(4) Cu excepția motivelor de urgenta, autorizația prevăzută la alin. (3) poate fi acordată numai după ce a fost consultat Colegiul Medicilor din România.(5) Datele cu caracter personal privind starea de sănătate pot fi colectate numai de la persoana vizata. Prin excepție, aceste date pot fi colectate din alte surse numai în măsura în care este necesar pentru a nu compromite scopurile prelucrării, iar persoana vizata nu vrea ori nu le poate furniza.Prelucrarea datelor cu caracter personal referitoare la fapte penale sau contravenții + Articolul 10(1) Prelucrarea datelor cu caracter personal referitoare la săvârșirea de infracțiuni de către persoana vizata ori la condamnări penale, măsuri de siguranță sau sancțiuni administrative ori contravenționale, aplicate persoanei vizate, poate fi efectuată numai de către sau sub controlul autorităților publice, în limitele puterilor ce le sunt conferite prin lege și în condițiile stabilite de legile speciale care reglementează aceste materii.(2) Autoritatea de supraveghere poate stabili și alte cazuri în care se poate efectua prelucrarea datelor prevăzute la alin. (1), numai cu condiția instituirii unor garanții adecvate pentru respectarea drepturilor persoanelor vizate.(3) Un registru complet al condamnărilor penale poate fi ținut numai sub controlul unei autorități publice, în limitele puterilor ce îi sunt conferite prin lege.Excepții + Articolul 11Prevederile art. 5, 6, 7 și 10 nu se aplică în situația în care prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice, dacă prelucrarea privește date cu caracter personal care au fost făcute publice în mod manifest de către persoana vizata sau care sunt strâns legate de calitatea de persoana publică a persoanei vizate ori de caracterul public al faptelor în care este implicata. + Capitolul IV Drepturile persoanei vizate în contextul prelucrării datelor cu caracter personalInformarea persoanei vizate + Articolul 12(1) În cazul în care datele cu caracter personal sunt obținute direct de la persoana vizata, operatorul este obligat sa furnizeze persoanei vizate cel puțin următoarele informații, cu excepția cazului în care aceasta persoana poseda deja informațiile respective:a) identitatea operatorului și a reprezentantului acestuia, dacă este cazul;b) scopul în care se face prelucrarea datelor;c) informații suplimentare, precum: destinatarii sau categoriile de destinatari ai datelor; dacă furnizarea tuturor datelor cerute este obligatorie și consecințele refuzului de a le furniza; existenta drepturilor prevăzute de prezenta lege pentru persoana vizata, în special a dreptului de acces, de intervenție asupra datelor și de opoziție, precum și condițiile în care pot fi exercitate;d) orice alte informații a căror furnizare este impusa prin dispoziție a autorității de supraveghere, ținând seama de specificul prelucrării.(2) În cazul în care datele nu sunt obținute direct de la persoana vizata, operatorul este obligat ca, în momentul colectării datelor sau, dacă se intenționează dezvaluirea acestora către terți, cel mai târziu până în momentul primei dezvaluiri, sa furnizeze persoanei vizate cel puțin următoarele informații, cu excepția cazului în care persoana vizata poseda deja informațiile respective:a) identitatea operatorului și a reprezentantului acestuia, dacă este cazul;b) scopul în care se face prelucrarea datelor;c) informații suplimentare, precum: categoriile de date vizate, destinatarii sau categoriile de destinatari ai datelor, existenta drepturilor prevăzute de prezenta lege pentru persoana vizata, în special a dreptului de acces, de intervenție asupra datelor și de opoziție, precum și condițiile în care pot fi exercitate;d) orice alte informații a căror furnizare este impusa prin dispoziție a autorității de supraveghere, ținând seama de specificul prelucrării.(3) Prevederile alin. (2) nu se aplică atunci când prelucrarea datelor se efectuează exclusiv în scopuri jurnalistice, literare sau artistice, dacă aplicarea acestora ar da indicii asupra surselor de informare.(4) Prevederile alin. (2) nu se aplică în cazul în care prelucrarea datelor se face în scopuri statistice, de cercetare istorica sau științifică, ori în orice alte situații în care furnizarea unor asemenea informații se dovedește imposibila sau ar implica un efort disproportionat față de interesul legitim care ar putea fi lezat, precum și în situațiile în care înregistrarea sau dezvaluirea datelor este expres prevăzută de lege.Dreptul de acces la date + Articolul 13(1) Orice persoană vizata are dreptul de a obține de la operator, la cerere și în mod gratuit pentru o solicitare pe an, confirmarea faptului ca datele care o privesc sunt sau nu sunt prelucrate de acesta. Operatorul este obligat, în situația în care prelucreaza date cu caracter personal care privesc solicitantul, sa comunice acestuia, împreună cu confirmarea, cel puțin următoarele:a) informații referitoare la scopurile prelucrării, categoriile de date avute în vedere și destinatarii sau categoriile de destinatari cărora le sunt dezvăluite datele;b) comunicarea într-o formă inteligibila a datelor care fac obiectul prelucrării, precum și a oricărei informații disponibile cu privire la originea datelor;c) informații asupra principiilor de funcționare a mecanismului prin care se efectuează orice prelucrare automată a datelor care vizează persoana respectiva;d) informații privind existenta dreptului de intervenție asupra datelor și a dreptului de opoziție, precum și condițiile în care pot fi exercitate;e) informații asupra posibilității de a consulta registrul de evidenta a prelucrarilor de date cu caracter personal, prevăzut la art. 24, de a înainta plângere către autoritatea de supraveghere, precum și de a se adresa instanței pentru atacarea deciziilor operatorului, în conformitate cu dispozițiile prezentei legi.(2) Persoana vizata poate solicita de la operator informațiile prevăzute la alin. (1), printr-o cerere întocmită în forma scrisă, datată și semnată. În cerere solicitantul poate arata dacă dorește ca informațiile sa îi fie comunicate la o anumită adresa, care poate fi și de posta electronică, sau printr-un serviciu de corespondenta care să asigure ca predarea i se va face numai personal.(3) Operatorul este obligat sa comunice informațiile solicitate, în termen de 15 zile de la data primirii cererii, cu respectarea eventualei optiuni a solicitantului exprimate potrivit alin. (2).(4) În cazul datelor cu caracter personal legate de starea de sănătate, cererea prevăzută la alin. (2) poate fi introdusă de persoana vizata fie direct, fie prin intermediul unui cadru medical care va indica în cerere persoana în numele căreia este introdusă. La cererea operatorului sau a persoanei vizate comunicarea prevăzută la alin. (3) poate fi făcuta prin intermediul unui cadru medical desemnat de persoana vizata.(5) În cazul în care datele cu caracter personal legate de starea de sănătate sunt prelucrate în scop de cercetare științifică, dacă nu exista, cel puțin aparent, riscul de a se aduce atingere drepturilor persoanei vizate și dacă datele nu sunt utilizate pentru a lua decizii sau măsuri față de o anumită persoana, comunicarea prevăzută la alin. (3) se poate face și într-un termen mai mare decât cel prevăzut la acel alineat, în măsura în care aceasta ar putea afecta bunul mers sau rezultatele cercetării, și nu mai târziu de momentul în care cercetarea este încheiată. În acest caz persoana vizata trebuie să își fi dat în mod expres și neechivoc consimțământul ca datele să fie prelucrate în scop de cercetare științifică, precum și asupra posibilei amânări a comunicării prevăzute la alin. (3) din acest motiv.(6) Prevederile alin. (2) nu se aplică atunci când prelucrarea datelor se efectuează exclusiv în scopuri jurnalistice, literare sau artistice, dacă aplicarea acestora ar da indicii asupra surselor de informare.Dreptul de intervenție asupra datelor + Articolul 14(1) Orice persoană vizata are dreptul de a obține de la operator, la cerere și în mod gratuit:a) după caz, rectificarea, actualizarea, blocarea sau ștergerea datelor a căror prelucrare nu este conformă prezentei legi, în special a datelor incomplete sau inexacte;b) după caz, transformarea în date anonime a datelor a căror prelucrare nu este conformă prezentei legi;c) notificarea către terții cărora le-au fost dezvăluite datele a oricărei operațiuni efectuate conform lit. a) sau b), dacă aceasta notificare nu se dovedește imposibila sau nu presupune un efort disproportionat față de interesul legitim care ar putea fi lezat.(2) Pentru exercitarea dreptului prevăzut la alin. (1) persoana vizata va înainta operatorului o cerere întocmită în forma scrisă, datată și semnată. În cerere solicitantul poate arata dacă dorește ca informațiile sa îi fie comunicate la o anumită adresa, care poate fi și de posta electronică, sau printr-un serviciu de corespondenta care să asigure ca predarea i se va face numai personal.(3) Operatorul este obligat sa comunice măsurile luate în temeiul alin. (1), precum și, dacă este cazul, numele terțului căruia i-au fost dezvăluite datele cu caracter personal referitoare la persoana vizata, în termen de 15 zile de la data primirii cererii, cu respectarea eventualei optiuni a solicitantului exprimate potrivit alin. (2).Dreptul de opoziție + Articolul 15(1) Persoana vizata are dreptul de a se opune în orice moment, din motive întemeiate și legitime legate de situația sa particulară, ca date care o vizează să facă obiectul unei prelucrari, cu excepția cazurilor în care exista dispoziții legale contrare. În caz de opoziție justificată prelucrarea nu mai poate viza datele în cauza.(2) Persoana vizata are dreptul de a se opune în orice moment, în mod gratuit și fără nici o justificare, ca datele care o vizează să fie prelucrate în scop de marketing direct, în numele operatorului sau al unui terț, sau să fie dezvăluite unor terți într-un asemenea scop.(3) În vederea exercitării drepturilor prevăzute la alin. (1) și (2) persoana vizata va înainta operatorului o cerere întocmită în forma scrisă, datată și semnată. În cerere solicitantul poate arata dacă dorește ca informațiile sa îi fie comunicate la o anumită adresa, care poate fi și de posta electronică, sau printr-un serviciu de corespondenta care să asigure ca predarea i se va face numai personal.(4) Operatorul este obligat sa comunice persoanei vizate măsurile luate în temeiul alin. (1) sau (2), precum și, dacă este cazul, numele terțului căruia i-au fost dezvăluite datele cu caracter personal referitoare la persoana vizata, în termen de 15 zile de la data primirii cererii, cu respectarea eventualei optiuni a solicitantului exprimate potrivit alin. (3).Excepții + Articolul 16(1) Prevederile art. 12, 13, ale art. 14 alin. (3) și ale art. 15 nu se aplică în cazul activităților prevăzute la art. 2 alin. (5), dacă prin aplicarea acestora este prejudiciata eficienta acțiunii sau obiectivul urmărit în îndeplinirea atribuțiilor legale ale autorității publice.(2) Prevederile alin. (1) sunt aplicabile strict pentru perioada necesară atingerii obiectivului urmărit prin desfășurarea activităților menționate la art. 2 alin. (5).(3) După încetarea situației care justifica aplicarea alin. (1) și (2) operatorii care desfășoară activitățile prevăzute la art. 2 alin. (5) vor lua măsurile necesare pentru a asigura respectarea drepturilor persoanelor vizate.(4) Autoritățile publice țin evidenta unor astfel de cazuri și informează periodic autoritatea de supraveghere despre modul de soluționare a lor.Dreptul de a nu fi supus unei decizii individuale + Articolul 17(1) Orice persoană are dreptul de a cere și de a obține:a) retragerea sau anularea oricărei decizii care produce efecte juridice în privința sa, adoptată exclusiv pe baza unei prelucrari de date cu caracter personal, efectuată prin mijloace automate, destinată sa evalueze unele aspecte ale personalității sale, precum competența profesională, credibilitatea, comportamentul sau ori alte asemenea aspecte;b) reevaluarea oricărei alte decizii luate în privința sa, care o afectează în mod semnificativ, dacă decizia a fost adoptată exclusiv pe baza unei prelucrari de date care întrunește condițiile prevăzute la lit. a).(2) Respectându-se celelalte garanții prevăzute de prezenta lege, o persoană poate fi supusă unei decizii de natura celei vizate la alin. (1), numai în următoarele situații:a) decizia este luată în cadrul încheierii sau executării unui contract, cu condiția ca cererea de încheiere sau de executare a contractului, introdusă de persoana vizata, sa fi fost satisfacuta sau ca unele măsuri adecvate, precum posibilitatea de a-și susține punctul de vedere, sa garanteze apărarea propriului interes legitim;b) decizia este autorizata de o lege care precizează măsurile ce garantează apărarea interesului legitim al persoanei vizate.Dreptul de a se adresa justiției + Articolul 18(1) Fără a se aduce atingere posibilității de a se adresa cu plângere autorității de supraveghere, persoanele vizate au dreptul de a se adresa justiției pentru apărarea oricăror drepturi garantate de prezenta lege, care le-au fost incalcate.(2) Orice persoană care a suferit un prejudiciu în urma unei prelucrari de date cu caracter personal, efectuată ilegal, se poate adresa instanței competente pentru repararea acestuia.(3) Instanța competența este cea în a carei raza teritorială domiciliază reclamantul. Cererea de chemare în judecata este scutită de taxa de timbru. + Capitolul V Confidențialitatea și securitatea prelucrarilorConfidențialitatea prelucrarilor + Articolul 19Orice persoană care acționează sub autoritatea operatorului sau a persoanei împuternicite, inclusiv persoana imputernicita, care are acces la date cu caracter personal, nu poate să le prelucreze decât pe baza instrucțiunilor operatorului, cu excepția cazului în care acționează în temeiul unei obligații legale.Securitatea prelucrarilor + Articolul 20(1) Operatorul este obligat să aplice măsurile tehnice și organizatorice adecvate pentru protejarea datelor cu caracter personal împotriva distrugerii accidentale sau ilegale, pierderii, modificării, dezvaluirii sau accesului neautorizat, în special dacă prelucrarea respectiva comporta transmisii de date în cadrul unei rețele, precum și împotriva oricărei alte forme de prelucrare ilegala.(2) Aceste măsuri trebuie să asigure, potrivit stadiului tehnicii utilizate în procesul de prelucrare și de costuri, un nivel de securitate adecvat în ceea ce privește riscurile pe care le reprezintă prelucrarea, precum și în ceea ce privește natura datelor care trebuie protejate. Cerințele minime de securitate vor fi elaborate de autoritatea de supraveghere și vor fi actualizate periodic, corespunzător progresului tehnic și experienței acumulate.(3) Operatorul, atunci când desemnează o persoană imputernicita, este obligat sa aleagă o persoană care prezintă suficiente garanții în ceea ce privește măsurile de securitate tehnica și organizatorice cu privire la prelucrările ce vor fi efectuate, precum și sa vegheze la respectarea acestor măsuri de către persoana desemnată.(4) Autoritatea de supraveghere poate decide, în cazuri individuale, asupra obligării operatorului la adoptarea unor măsuri suplimentare de securitate, cu excepția celor care privesc garantarea securității serviciilor de telecomunicații.(5) Efectuarea prelucrarilor prin persoane împuternicite trebuie să se desfășoare în baza unui contract încheiat în forma scrisă, care va cuprinde în mod obligatoriu:a) obligația persoanei împuternicite de a acționa doar în baza instrucțiunilor primite de la operator;b) faptul ca îndeplinirea obligațiilor prevăzute la alin. (1) revine și persoanei împuternicite. + Capitolul VI Supravegherea și controlul prelucrarilor de date cu caracter personalAutoritatea de supraveghere + Articolul 21(1) Autoritatea de supraveghere, în sensul prezentei legi, este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. (la 12-05-2005, Alin. (1) al art. 21 a fost modificat de pct. 1 al art. 22 din LEGEA nr. 102 din 3 mai 2005, publicată în MONITORUL OFICIAL nr. 391 din 9 mai 2005. ) (2) Autoritatea de supraveghere își desfășoară activitatea în condiții de completa independenta și imparțialitate.(3) Autoritatea de supraveghere monitorizează și controlează sub aspectul legalității prelucrările de date cu caracter personal care cad sub incidența prezentei legi.În acest scop autoritatea de supraveghere exercita următoarele atribuții:a) elaborează formularele tipizate ale notificărilor și ale registrelor proprii;b) primește și analizează notificările privind prelucrarea datelor cu caracter personal, anuntând operatorului rezultatele controlului prealabil;c) autorizează prelucrările de date în situațiile prevăzute de lege;d) poate dispune, în cazul în care constata încălcarea dispozițiilor prezentei legi, suspendarea provizorie sau încetarea prelucrării datelor, ștergerea parțială ori integrală a datelor prelucrate și poate să sesizeze organele de urmărire penală sau sa intenteze acțiuni în justiție;d^1) informează persoanele fizice sau/și juridice care activează în aceste domenii, în mod direct sau prin intermediul structurilor asociative ale acestora, asupra necesității respectării obligațiilor și îndeplinirii procedurilor prevăzute de prezenta lege; (la 12-05-2005, Litera d^1) a alin. (3) al art. 21 a fost introdusă de pct. 2 al art. 22 din LEGEA nr. 102 din 3 mai 2005, publicată în MONITORUL OFICIAL nr. 391 din 9 mai 2005. ) e) păstrează și pune la dispoziție publicului registrul de evidenta a prelucrarilor de date cu caracter personal;f) primește și soluționează plângeri, sesizări sau cereri de la persoanele fizice și comunică soluția data ori, după caz, diligențele depuse;g) efectuează investigații din oficiu sau la primirea unor plângeri ori sesizări;h) este consultata atunci când se elaborează proiecte de acte normative referitoare la protecția drepturilor și libertăților persoanelor, în privința prelucrării datelor cu caracter personal;i) poate face propuneri privind inițierea unor proiecte de acte normative sau modificarea actelor normative în vigoare în domenii legate de prelucrarea datelor cu caracter personal;j) cooperează cu autoritățile publice și cu organele administrației publice, centralizează și analizează rapoartele anuale de activitate ale acestora privind protecția persoanelor în privința prelucrării datelor cu caracter personal, formulează recomandări și avize asupra oricărei chestiuni legate de protecția drepturilor și libertăților fundamentale în privința prelucrării datelor cu caracter personal, la cererea oricărei persoane, inclusiv a autorităților publice și a organelor administrației publice; aceste recomandări și avize trebuie să facă mențiune despre temeiurile pe care se sprijină și se comunică în copie și Ministerului Justiției; atunci când recomandarea sau avizul este cerut de lege, se publică în Monitorul Oficial al României, Partea I;k) cooperează cu autoritățile similare de peste hotare în vederea asistenței mutuale, precum și cu persoanele cu domiciliul sau cu sediul în străinătate, în scopul apărării drepturilor și libertăților fundamentale ce pot fi afectate prin prelucrarea datelor cu caracter personal;l) îndeplinește alte atribuții prevăzute de lege.m) modul de organizare și funcționare a Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal se stabilește prin lege. (la 12-05-2005, Litera m) a alin. (3) al art. 21 a fost introdusă de pct. 3 al art. 22 din LEGEA nr. 102 din 3 mai 2005, publicată în MONITORUL OFICIAL nr. 391 din 9 mai 2005. ) (4) Întregul personal al autorității de supraveghere are obligația de a păstra secretul profesional, cu excepțiile prevăzute de lege, pe termen nelimitat, asupra informațiilor confidențiale sau clasificate la care are sau a avut acces în exercitarea atribuțiilor de serviciu, inclusiv după încetarea raporturilor juridice cu autoritatea de supraveghere.Notificarea către autoritatea de supraveghere + Articolul 22(1) Operatorul este obligat sa notifice autorității de supraveghere, personal sau prin reprezentant, înainte de efectuarea oricărei prelucrari ori a oricărui ansamblu de prelucrari având același scop sau scopuri corelate.(2) Notificarea nu este necesară în cazul în care prelucrarea are ca unic scop ținerea unui registru destinat prin lege informării publicului și deschis spre consultare publicului în general sau oricărei persoane care probează un interes legitim, cu condiția ca prelucrarea să se limiteze la datele strict necesare ținerii registrului menționat.(3) Notificarea va cuprinde cel puțin următoarele informații:a) numele sau denumirea și domiciliul ori sediul operatorului și ale reprezentantului desemnat al acestuia, dacă este cazul;b) scopul sau scopurile prelucrării;c) o descriere a categoriei sau a categoriilor de persoane vizate și a datelor ori a categoriilor de date ce vor fi prelucrate;d) destinatarii sau categoriile de destinatari cărora se intenționează sa li se dezvaluie datele;e) garanțiile care însoțesc dezvaluirea datelor către terți;f) modul în care persoanele vizate sunt informate asupra drepturilor lor; data estimată pentru încheierea operațiunilor de prelucrare, precum și destinația ulterioară a datelor;g) transferuri de date care se intenționează să fie făcute către alte state;h) o descriere generală care să permită aprecierea preliminară a măsurilor luate pentru asigurarea securității prelucrării;i) specificarea oricărui sistem de evidenta a datelor cu caracter personal, care are legătura cu prelucrarea, precum și a eventualelor legături cu alte prelucrari de date sau cu alte sisteme de evidenta a datelor cu caracter personal, indiferent dacă se efectuează, respectiv dacă sunt sau nu sunt situate pe teritoriul României;j) motivele care justifica aplicarea prevederilor art. 11, art. 12 alin. (3) sau (4) ori ale art. 13 alin. (5) sau (6), în situația în care prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice ori în scopuri statistice, de cercetare istorica sau științifică.(4) Dacă notificarea este incompleta, autoritatea de supraveghere va solicita completarea acesteia.(5) În limitele puterilor de investigare de care dispune, autoritatea de supraveghere poate solicita și alte informații, în special privind originea datelor, tehnologia de prelucrare automată utilizata și detalii referitoare la măsurile de securitate. Dispozițiile prezentului alineat nu se aplică în situația în care prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice.(6) Dacă se intenționează ca datele care sunt prelucrate să fie transferate în străinătate, notificarea va cuprinde și următoarele elemente:a) categoriile de date care vor face obiectul transferului;b) țara de destinație pentru fiecare categorie de date.(7) Abrogat. (la 22-10-2007, Alin. (7) al art. 22 a fost abrogat de pct. 2 al articolului unic din LEGEA nr. 278 din 15 octombrie 2007, publicată în MONITORUL OFICIAL nr. 708 din 19 octombrie 2007. ) (8) Autoritățile publice care efectuează prelucrari de date cu caracter personal în legătură cu activitățile descrise la art. 2 alin. (5), în temeiul legii sau în îndeplinirea obligațiilor asumate prin acorduri internaționale ratificate, sunt scutite de taxa prevăzută la alin. (7). Notificarea se va transmite în termen de 15 zile de la intrarea în vigoare a actului normativ care instituie obligația respectiva și va cuprinde numai următoarele elemente:a) denumirea și sediul operatorului;b) scopul și temeiul legal al prelucrării;c) categoriile de date cu caracter personal supuse prelucrării.(9) Autoritatea de supraveghere poate stabili și alte situații în care notificarea nu este necesară, în afară celei prevăzute la alin. (2), sau situații în care notificarea se poate efectua într-o formă simplificata, precum și conținutul acesteia, numai în unul dintre următoarele cazuri:a) atunci când, luând în considerare natura datelor destinate să fie prelucrate, prelucrarea nu poate afecta, cel puțin aparent, drepturile persoanelor vizate, cu condiția sa precizeze expres scopurile în care se poate face o asemenea prelucrare, datele sau categoriile de date care pot fi prelucrate, categoria sau categoriile de persoane vizate, destinatarii sau categoriile de destinatari cărora datele le pot fi dezvăluite și perioada pentru care datele pot fi stocate;b) atunci când prelucrarea se efectuează în condițiile art. 7 alin. (2) lit. d).Controlul prealabil + Articolul 23(1) Autoritatea de supraveghere va stabili categoriile de operațiuni de prelucrare care sunt susceptibile de a prezenta riscuri speciale pentru drepturile și libertățile persoanelor.(2) Dacă pe baza notificării autoritatea de supraveghere constata ca prelucrarea se încadrează în una dintre categoriile menționate la alin. (1), va dispune obligatoriu efectuarea unui control prealabil începerii prelucrării respective, cu anunțarea operatorului.(3) Operatorii care nu au fost anunțați în termen de 5 zile de la data notificării despre efectuarea unui control prealabil pot începe prelucrarea.(4) În situația prevăzută la alin. (2) autoritatea de supraveghere este obligată ca, în termen de cel mult 30 de zile de la data notificării, sa aducă la cunoștința operatorului rezultatul controlului efectuat, precum și decizia emisă în urma acestuia.Registrul de evidenta a prelucrarilor de date cu caracter personal + Articolul 24(1) Autoritatea de supraveghere păstrează un registru de evidenta a prelucrarilor de date cu caracter personal, notificate în conformitate cu prevederile art. 22. Registrul va cuprinde toate informațiile prevăzute la art. 22 alin. (3).(2) Fiecare operator primește un număr de înregistrare. Numărul de înregistrare trebuie menționat pe orice act prin care datele sunt colectate, stocate sau dezvăluite.(3) Orice schimbare de natura sa afecteze exactitatea informațiilor înregistrate va fi comunicată autorității de supraveghere în termen de 5 zile. Autoritatea de supraveghere va dispune de îndată efectuarea mențiunilor corespunzătoare în registru.(4) Activitățile de prelucrare a datelor cu caracter personal, începute anterior intrării în vigoare a prezentei legi, vor fi notificate în vederea înregistrării în termen de 15 zile de la data intrării în vigoare a prezentei legi.(5) Registrul de evidenta a prelucrarilor de date cu caracter personal este deschis spre consultare publicului. Modalitatea de consultare se stabilește de autoritatea de supraveghere.Plângeri adresate autorității de supraveghere + Articolul 25(1) În vederea apărării drepturilor prevăzute de prezenta lege persoanele ale căror date cu caracter personal fac obiectul unei prelucrari care cade sub incidența prezentei legi pot înainta plângere către autoritatea de supraveghere. Plângerea se poate face direct sau prin reprezentant. Persoana lezata poate imputernici o asociație sau o fundație sa îi reprezinte interesele.(2) Plângerea către autoritatea de supraveghere nu poate fi înaintată dacă o cerere în justiție, având același obiect și aceleași părți, a fost introdusă anterior.(3) În afară cazurilor în care o întârziere ar cauza un prejudiciu iminent și ireparabil, plângerea către autoritatea de supraveghere nu poate fi înaintată mai devreme de 15 zile de la înaintarea unei plângeri cu același conținut către operator.(4) În vederea soluționării plângerii, dacă apreciază ca este necesar, autoritatea de supraveghere poate audia persoana vizata, operatorul și, dacă este cazul, persoana imputernicita sau asociația ori fundația care reprezintă interesele persoanei vizate. Aceste persoane au dreptul de a înainta cereri, documente și memorii. Autoritatea de supraveghere poate dispune efectuarea de expertize.(5) Dacă plângerea este gasita intemeiata, autoritatea de supraveghere poate decide oricare dintre măsurile prevăzute la art. 21 alin. (3) lit. d). Interdicția temporară a prelucrării poate fi instituită numai până la încetarea motivelor care au determinat luarea acestei măsuri.(6) Decizia trebuie motivată și se comunică părților interesate în termen de 30 de zile de la data primirii plângerii.(7) Autoritatea de supraveghere poate ordona, dacă apreciază necesar, suspendarea unora sau tuturor operațiunilor de prelucrare până la soluționarea plângerii în condițiile alin. (5).(8) Autoritatea de supraveghere se poate adresa justiției pentru apărarea oricăror drepturi garantate de prezenta lege persoanelor vizate. Instanța competența este Tribunalul Municipiului București. Cererea de chemare în judecata este scutită de taxa de timbru.(9) La cererea persoanelor vizate, pentru motive întemeiate, instanța poate dispune suspendarea prelucrării până la soluționarea plângerii de către autoritatea de supraveghere.(10) Prevederile alin. (4)-(9) se aplică în mod corespunzător și în situația în care autoritatea de supraveghere afla pe orice alta cale despre săvârșirea unei încălcări a drepturilor recunoscute de prezenta lege persoanelor vizate.Contestarea deciziilor autorității de supraveghere + Articolul 26(1) Împotriva oricărei decizii emise de autoritatea de supraveghere în temeiul dispozițiilor prezentei legi operatorul sau persoana vizata poate formula contestație în termen de 15 zile de la comunicare, sub sancțiunea decăderii, la instanța de contencios administrativ competența. Cererea se judeca de urgenta, cu citarea părților. Soluția este definitivă și irevocabilă.(2) Fac excepție de la prevederile alin. (1), precum și de la cele ale art. 23 și 25 prelucrările de date cu caracter personal, efectuate în cadrul activităților prevăzute la art. 2 alin. (5).Exercitarea atribuțiilor de investigare + Articolul 27(1) Autoritatea de supraveghere poate investiga, din oficiu sau la primirea unei plângeri, orice încălcare a drepturilor persoanelor vizate, respectiv a obligațiilor care revin operatorilor și, după caz, persoanelor împuternicite, în cadrul efectuării prelucrarilor de date cu caracter personal, în scopul apărării drepturilor și libertăților fundamentale ale persoanelor vizate.(2) Atribuțiile de investigare nu pot fi exercitate de către autoritatea de supraveghere în cazul în care o cerere în justiție introdusă anterior are ca obiect săvârșirea aceleiași încălcări a drepturilor și opune aceleași părți.(3) În exercitarea atribuțiilor de investigare autoritatea de supraveghere poate solicita operatorului orice informații legate de prelucrarea datelor cu caracter personal și poate verifica orice document sau înregistrare referitoare la prelucrarea de date cu caracter personal.(4) Secretul de stat și secretul profesional nu pot fi invocate pentru a împiedica exercitarea atribuțiilor acordate prin prezenta lege autorității de supraveghere. Atunci când este invocată protecția secretului de stat sau a secretului profesional, autoritatea de supraveghere are obligația de a păstra secretul. (la 12-05-2005, Alin. (5) al art. 27 a fost abrogat de pct. 4 al art. 22 din LEGEA nr. 102 din 3 mai 2005, publicată în MONITORUL OFICIAL nr. 391 din 9 mai 2005. ) Norme de conduita + Articolul 28(1) Asociațiile profesionale au obligația de a elabora și de a supune spre avizare autorității de supraveghere coduri de conduita care să conțină norme adecvate pentru protecția drepturilor persoanelor ale căror date cu caracter personal pot fi prelucrate de către membrii acestora.(2) Normele de conduita trebuie să prevadă măsuri și proceduri care să asigure un nivel satisfăcător de protecție, ținând seama de natura datelor ce pot fi prelucrate. Autoritatea de supraveghere poate dispune măsuri și proceduri specifice pentru perioada în care normele de conduita la care s-a făcut referire anterior nu sunt adoptate. + Capitolul VII Transferul în străinătate al datelor cu caracter personalCondițiile transferului în străinătate al datelor cu caracter personal + Articolul 29(1) Transferul către un alt stat de date cu caracter personal care fac obiectul unei prelucrari sau sunt destinate să fie prelucrate după transfer poate avea loc numai în condițiile în care nu se încalcă legea română, iar statul către care se intenționează transferul asigura un nivel de protecție adecvat.(2) Nivelul de protecție va fi apreciat de către autoritatea de supraveghere, ținând seama de totalitatea împrejurărilor în care se realizează transferul de date, în special având în vedere natura datelor transmise, scopul prelucrării și durata propusă pentru prelucrare, statul de origine și statul de destinație finala, precum și legislația statului solicitant. În cazul în care autoritatea de supraveghere constata ca nivelul de protecție oferit de statul de destinație este nesatisfăcător, poate dispune interzicerea transferului de date.(3) În toate situațiile transferul de date cu caracter personal către un alt stat va face obiectul unei notificări prealabile a autorității de supraveghere.(4) Autoritatea de supraveghere poate autoriza transferul de date cu caracter personal către un stat a cărui legislație nu prevede un nivel de protecție cel puțin egal cu cel oferit de legea română atunci când operatorul oferă garanții suficiente cu privire la protecția drepturilor fundamentale ale persoanelor. Aceste garanții trebuie să fie stabilite prin contracte încheiate între operatori și persoanele fizice sau juridice din dispoziția cărora se efectuează transferul.(5) Prevederile alin. (2), (3) și (4) nu se aplică dacă transferul datelor se face în baza prevederilor unei legi speciale sau ale unui acord internațional ratificat de România, în special dacă transferul se face în scopul prevenirii, cercetării sau reprimării unei infracțiuni.(6) Prevederile prezentului articol nu se aplică atunci când prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice, dacă datele au fost făcute publice în mod manifest de către persoana vizata sau sunt strâns legate de calitatea de persoana publică a persoanei vizate ori de caracterul public al faptelor în care este implicata.Situații în care transferul este întotdeauna permis + Articolul 30Transferul de date este întotdeauna permis în următoarele situații:a) când persoana vizata și-a dat în mod explicit consimțământul pentru efectuarea transferului; în cazul în care transferul de date se face în legătură cu oricare dintre datele prevăzute la art. 7, 8 și 10, consimțământul trebuie dat în scris;b) când este necesar pentru executarea unui contract încheiat între persoana vizata și operator sau pentru executarea unor măsuri precontractuale dispuse la cererea persoanei vizate;c) când este necesar pentru încheierea sau pentru executarea unui contract încheiat ori care se va încheia, în interesul persoanei vizate, între operator și un terț;d) când este necesar pentru satisfacerea unui interes public major, precum apărarea naționala, ordinea publică sau siguranța naționala, pentru buna desfășurare a procesului penal ori pentru constatarea, exercitarea sau apărarea unui drept în justiție, cu condiția ca datele să fie prelucrate în legătură cu acest scop și nu mai mult timp decât este necesar;e) când este necesar pentru a proteja viața, integritatea fizica sau sănătatea persoanei vizate;f) când intervine ca urmare a unei cereri anterioare de acces la documente oficiale care sunt publice ori a unei cereri privind informații care pot fi obținute din registre sau prin orice alte documente accesibile publicului. + Capitolul VIII Contravenții și sancțiuniOmisiunea de a notifica și notificarea cu rea-credința + Articolul 31Omisiunea de a efectua notificarea în condițiile art. 22 sau ale art. 29 alin. (3) în situațiile în care aceasta notificare este obligatorie, precum și notificarea incompleta sau care conține informații false constituie contravenții, dacă nu sunt săvârșite în astfel de condiții încât sa constituie infracțiuni, și se sancționează cu amendă de la 5.000.000 lei la 100.000.000 lei.Prelucrarea nelegală a datelor cu caracter personal + Articolul 32Prelucrarea datelor cu caracter personal de către un operator sau de o persoană imputernicita de acesta, cu încălcarea prevederilor art. 4-10 sau cu nesocotirea drepturilor prevăzute la art. 12-15 sau la art. 17, constituie contravenție, dacă nu este săvârșită în astfel de condiții încât sa constituie infracțiune, și se sancționează cu amendă de la 10.000.000 lei la 250.000.000 lei.Neîndeplinirea obligațiilor privind confidențialitatea și aplicarea măsurilor de securitate + Articolul 33Neîndeplinirea obligațiilor privind aplicarea măsurilor de securitate și de păstrare a confidențialității prelucrarilor, prevăzute la art. 19 și 20, constituie contravenție, dacă nu este săvârșită în astfel de condiții încât sa constituie infracțiune, și se sancționează cu amendă de la 15.000.000 lei la 500.000.000 lei.Refuzul de a furniza informații + Articolul 34Refuzul de a furniza autorității de supraveghere informațiile sau documentele cerute de aceasta în exercitarea atribuțiilor de investigare prevăzute la art. 27 constituie contravenție, dacă nu este săvârșită în astfel de condiții încât sa constituie infracțiune, și se sancționează cu amendă de la 10.000.000 lei la 150.000.000 lei.Constatarea contravențiilor și aplicarea sancțiunilor + Articolul 35(1) Constatarea contravențiilor și aplicarea sancțiunilor se efectuează de către autoritatea de supraveghere, care poate delega aceste atribuții unor persoane recrutate din rândul personalului sau, precum și de reprezentanți împuterniciți ai organelor cu atribuții de supraveghere și control, abilitate potrivit legii.(2) Dispozițiile prezentei legi referitoare la contravenții se completează cu prevederile Ordonanței Guvernului nr. 2/2001 privind regimul juridic al contravențiilor, în măsura în care prezenta lege nu dispune altfel.(3) Împotriva proceselor-verbale de constatare și sancționare se poate face plângere la secțiile de contencios administrativ ale tribunalelor. + Capitolul IX Dispoziții finaleIntrarea în vigoare + Articolul 36Prezenta lege intră în vigoare la data publicării ei în Monitorul Oficial al României, Partea I, și se pune în aplicare în termen de 3 luni de la intrarea sa în vigoare.Această lege a fost adoptată de Senat în ședința din 15 octombrie 2001, cu respectarea prevederilor art. 74 alin. (2) din Constituția României.
PREȘEDINTELE SENATULUI
NICOLAE VACAROIUAceastă lege a fost adoptată de Camera Deputaților în ședința din 22 octombrie 2001, cu respectarea prevederilor art. 74 alin. (2) din Constituția României.
PREȘEDINTELE
CAMEREI DEPUTAȚILOR
VALER DORNEANU
Google Chrome
Mozilla Firefox
Internet Explorer
Apple Safari