Procedura de efectuare a investigaţiilor – aprobare (Decizia ANSPSCP nr. 161/2018)

În M. Of. nr. 892 din 23 octombrie 2018 a fost publicată Decizia Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPSCP) nr. 161/2018 privind aprobarea Procedurii de efectuare a investigațiilor.

Astfel, prin respectiva decizie, a fost aprobată procedura ce trebuie urmată în vederea efectuării investigațiilor de către ANSPDCP. Această procedură este structurată în șase capitole, iar cele două anexe includ și modelele pentru legitimația de control și procesul-verbal de constatare/sancționare.

Cap. I („Dispoziții generale”);

Cap. II („Efectuarea investigațiilor pe teren”);

Cap. III („Efectuarea investigațiilor la sediul ANSPDCP”);

Cap. IV („Efectuarea investigațiilor în scris”);

Cap. V („Efectuarea investigațiilor la autoritățile/organismele publice”);

Cap. VI („Dispoziții finale”);

Anexa nr. 1 („Legitimație de control”);

Anexa nr. 4 („Proces-verbal de constatare/sancționare”).

Potrivit art. 2, investigațiile se pot efectua fie din oficiu, fie la plângere. Astfel, efectuarea din oficiu a investigațiilor intervine în următoarele cazuri:

– la propunerea compartimentelor cu atribuții de control ale ANSPDCP;

– la propunerea președintelui sau vicepreședintelui ANSPDCP, printr-o rezoluție scrisă;

– la propunerea celorlalte compartimente din cadrul ANSPDCP;

– ca urmare a transmiterii notificărilor de încălcare a securității datelor cu caracter personal;

– pentru verificarea unor date și informații cu privire la prelucrarea datelor cu caracter personal, obținute de către ANSPDCP din alte surse decât cele care fac obiectul unor plângeri, inclusiv pe baza sesizărilor sau a informațiilor primite de la o altă autoritate de supraveghere sau de la o altă autoritate publică;

– în vederea cooperării internaționale, precum și cu celelalte autorități de supraveghere din statele membre, în domeniul protecției datelor cu caracter personal, inclusiv în cadrul operațiunilor comune și al acordării de asistență reciprocă.

Dacă în cazul investigațiilor din oficiu este necesară o propunere făcută printr-o notă motivată, avizată de șeful ierarhic și aprobată de președintele ANSPDCP  și care să cuprindă entitatea supusă investigației, în situația plângerilor, efectuarea investigațiilor realizate în vederea soluționării se aprobă prin rezoluția scrisă a președintelui ANSPDCP care poate delega această atribuție șefului compartimentului de specialitate.

Conform art. 8, în cadrul investigațiilor pot fi verificate orice aspecte privind respectarea regulilor de prelucrare a datelor cu caracter personal, iar personalul de control al ANSPDCP are dreptul să efectueze investigații și este împuternicit prin decizie a președintelui ANSPDCP.

De asemenea, personalul de control al ANSPDCP se va legitima pe baza legitimației de control, fiindu-i interzis să utilizeze legitimația de control în afara atribuțiilor de serviciu pentru care a fost desemnat.

În ceea ce privește investigațiile pe teren, acestea reprezintă verificări efectuate la sediul/domiciliul/punctul de lucru sau alte locații unde își desfășoară activitatea entitatea controlată sau locații care au legătură cu prelucrarea în cauză. În acest caz, dacă reprezentantul legal al entității controlate nu este prezent în timpul efectuării investigației, el  are obligația de a desemna în scris sau de a împuterniciuna sau mai multe persoane care să reprezinte acea entitate.

În acest sens, art. 19 stabilește obligațiile entității controlate, după cum urmează:

a) să permită personalului de control, fără întârziere, începerea și derularea investigației și să asigure suportul necesar personalului de control;

b) să asigure accesul personalului de control în incintele în care își desfășoară activitatea, la orice echipament, mijloc sau suport de prelucrare/stocare a datelor, în vederea efectuării verificărilor necesare desfășurării investigației, inclusiv la cele care pot fi accesate la distanță;

c) să pună la dispoziția personalului de control orice informații și documente indiferent de suportul de stocare, necesare desfășurării investigației, inclusiv copii de pe acestea;

d) să pună la dispoziția ANSPDCP documentele solicitate, certificate pentru conformitate cu originalul;

e) să furnizeze într-o formă completă documentele, informațiile, înregistrările și evidențele solicitate, precum și orice lămuriri necesare, fără a putea opune caracterul confidențial al acestora, în condițiile legii;

f) să permită personalului de control utilizarea echipamentelor de înregistrare și stocare audiovideo/foto ori de câte ori echipa de control consideră că este necesar în cadrul derulării activității de control.

Conform art. 23, rezultatul investigației se consemnează în procesul-verbal de constatare/sancționare încheiat de personalul de control și întocmit într-un singur exemplar, o copie a acestuia înmânându-se reprezentantului legal sau desemnat al entității controlate.

Principalele sancțiuni contravenționale aplicate de ANSPDCP sunt avertismentul și amenda, aplicarea lor făcându-se prin procesul-verbal de constatare/sancționare încheiat de personalul de control sau prin decizie a președintelui ANSPDCP.

Pe de altă parte, investigațiile pot fi efectuate și la sediul ANSPDCP, context în care personalul de control desemnat transmite o adresă de convocare a reprezentanților entității controlate, cu precizarea datei și orei de începere a investigației. În adresă se menționează obligația entității controlate de a se prezenta la sediul ANSPDCP, după caz, cu documente, înregistrări relevante, echipamente informatice în funcție de obiectul controlului, actele de identitate ale reprezentantului legal/persoanei împuternicite și ale entității controlate, inclusiv cu ștampila în cazul autorităților publice și registrul de control, dacă este cazul.

Potrivit art. 33, în cazul investigațiilor în scris, se transmite o adresă către entitatea controlată, întocmită de titularul de lucrare și semnată, după caz, de către șeful ierarhic sau președintele ANSPDCP/înlocuitorii acestora, prin care se solicită informații, date și documente necesare soluționării cazului supus investigației. În adresă se menționează obligația entității controlate de a răspunde în scris, cu anexarea de dovezi în copii certificate pentru conformitate cu originalul și în cadrul termenului stabilit de ANSPDCP.

Pe de altă parte, efectuarea investigațiilor se poate realiza și la autoritățile/organismele publice, iar în cazul constatării încălcării prevederilor legale de către acestea, echipa de control încheie un proces-verbal de constatare/sancționare prin care se aplică sancțiunea avertismentului și la care anexează un plan de remediere.