UPDATE: GDPR: Cum controlează personalul ANSPDCP firmele care prelucrează date personale

Cadrul legal în conformitate cu care personalul ANSPDCP va face investigații la firme de acum înainte este reprezentat de Decizia ANSPDCP nr. 161/2018 privind aprobarea procedurii de efectuare a investigațiilor, apărută marți în Monitorul Oficial, Partea I, nr. 892, în vigoare de la momentul publicării.

În primul rând, conform procedurii oficializate, investigațiile se pot face din oficiu sau în urma unor plângeri primite de la persoanele fizice, cu informare prealabilă sau inopinat.

Ca să se declanșeze o investigație din oficiu, ar trebui să existe ori o propunere din interiorul ANSPDCP, ori o notificare de la altcineva privind încălcarea securității datelor de către un operator (dar nu plângere a persoanei vizate), ori date sau informații din alte surse cu privire la încălcări ale legislației prelucrării datelor.

"Investigațiile din oficiu se declanşează potrivit prevederilor legale aplicabile, în conformitate cu condiţiile prevăzute de prezenta procedură și se efectuează pentru verificarea unor date şi informaţii cu privire la prelucrarea datelor cu caracter personal, obţinute de către ANSPDCP din orice surse, altele decât cele care fac obiectul unor plângeri. Datele şi informaţiile pot fi culese din corespondența primită de ANSPDCP, mass-media, accesarea reţelei de internet, din documentele de constatare întocmite în urma efectuării altor investigaţii sau alte documente de la nivelul ANSPDCP, din activităţile de cooperare cu entităţi de drept public sau privat ori cu autorităţi de supraveghere din străinătate, precum şi din alte surse", scrie în procedură.

Investigații la sediu sau la domiciliu

În documentul publicat scrie că investigațiile pot fi făcute pe teren, la sediul autorității sau în scris. În câteva cuvinte, investigațiile la sediul ANSPDCP presupun invitația de a veni la sediu pentru a da lămuriri, iar investigațiile în scris presupun solicitarea de informații, date și documente în scris.

Investigațiile pe teren sunt, în fapt, cele de la sediul, domiciliul, punctul de lucru sau orice alte locații unde își desfășoară activitatea entitatea controlată, după cum se explică în procedură.

În orice caz, personalul ANSPDCP trebuie să arate celui controlat o legitimație de control și să-i prezinte obiectivele investigației în desfășurare.

Ce vor verifica angajații la entitățile controlate și ce le vor cere, mai exact:

• toate aspectele care au legătură cu obiectul investigației, solicitând orice informaţii legate de obiectivele controlului; 
• orice document, echipament, mijloc sau suport de stocare a datelor necesare desfășurării investigației.

De asemenea, organele de control pot ridica documente, în copie certificată de către entitatea controlată, înregistrări relevante pentru obiectul controlului, pe care le vor anexa la procesul-verbal de control. Și audierea persoanelor e prevăzută în procedură.

Desigur, controlul se va încheia cu întocmirea unui proces-verbal de constatare/sancționare contravențională, unde se vor putea dispune și recomandări, nu doar sancțiuni. "În situația în care cuantumul amenzii depășește echivalentul în lei al sumei de 300.000 euro, aplicarea amenzii se efectuează prin decizie a președintelui ANSPDCP, care are la baza procesul-verbal de constatare și raportul personalului de control", se prevede în document.

Personalul ANSPDCP trebuie să păstreze secretul profesional cu privire la informațiile confidențiale/clasificate la care a avut acces, iar asta, pe termen nelimitat, potrivit procedurii publicate. Ca fapt divers, și inspectorii fiscali sunt ținuți de o astfel de obligație în activitatea lor.

Autorizare judiciară pentru a face control la cei care se opun

Apoi, documentul mai prevede și că personalul de control va putea să ceară autorizare judiciară de la Curtea de Apel București dacă va fi împiedicată să facă un control.

"În situația în care personalul de control este împiedicat în orice mod în exercitarea atribuțiilor, ANSPDCP poate solicita autorizarea judiciară, dată prin încheiere de către președintele Curții de Apel București sau de către un judecător delegat de acesta (...)  O copie a autorizaţiei judiciare pentru efectuarea investigației se comunică entității controlate înainte de începerea investigației. Încheierea privind autorizarea judiciară poate fi atacată cu contestaţie la Înalta Curte de Casaţie şi Justiţie, în termen de 72 de ore de la comunicarea acesteia. Contestaţia nu este suspensivă de executare", scrie în procedură.